Fehlerbehebung und Aktivieren von Debuggen auf der ISE

Einleitung

In diesem Dokument wird die Fehlerbehebung und das Debuggen beschrieben, um bei einem bestimmten Problem der Identity Service Engine (ISE) die Fehlerbehebung zu aktivieren.

Konfiguration des Debugprotokolls

Die ISE generiert Protokolle basierend auf der Konfiguration der Protokollstufe, die für verschiedene Funktionstypen festgelegt wurde. Verwenden Sie diese Anweisungen, um diese Einstellungen zu ändern und das Protokoll auf die Debugstufe festzulegen. 

1. Für ISE 2.x-Versionen navigieren Sie zu Administration > System > Logging > Debug log configuration:
   
   
   Für ISE-Versionen 3.x navigieren Sie zu Operations > Troubleshoot > Debug Wizard > Debug Log Configuration:
   
   

2. Wählen Sie den Knoten, der betroffen ist/das Problem verursacht, und klicken Sie aufEdit.

3. Eine Liste der verschiedenen Log-Attribute wird angezeigt, wie im Bild gezeigt.

Die Liste im vorherigen Image ist nicht vollständig, aber hier kann die Protokollstufe bestimmter Dienste aktiviert werden.

Alle Protokollkonfigurationen für eine der hier beschriebenen Funktionen können von hier aus festgelegt werden. Dieser Abschnitt wird in der zugehörigen Dokumentation als Debugseite bezeichnet.

Alternativ für ISE 3.x-Versionen können Sie Debug-Meldungen auch nach Funktion aktivieren Operations > Troubleshoot > Debug Wizard > Debug Profile Configuration und den Knoten auswählen, auf den diese Meldungen angewendet werden sollen, wie hier gezeigt:

  

4. Nachdem die entsprechenden Debugs aktiviert wurden (die in den nächsten Abschnitten für bestimmte Probleme angegeben sind), reproduzieren/reproduzieren Sie das Problem.

5. Notieren Sie die Zeitstempel, mit denen das Problem reproduziert wird.

6. Notieren Sie sich die Endpunkt-ID (MAC-Adressen) oder die IP-Adressen der getesteten Clients.

7. Setzen Sie die Protokollstufen auf die Standardwerte, während Sie das Attribut auswählen und auf klicken Reset to Default.

8. Navigieren Sie zu Operations > Troubleshoot > Download logs. Wählen Sie den Knoten aus, auf dem die Protokolle gesammelt werden müssen.

9. Das Support-Paket finden Sie unter Operations > Troubleshoot > Download Logs > (Wählen Sie den Knoten aus, auf dem das Problem reproduziert/angezeigt wurde.)

10. Diese Optionen werden zum Generieren der Datei verwendet:

[ ] Vollständige Konfigurationsdatenbank einschließen.
[x] Debugging-Protokolle einschließen.
[x] Lokale Protokolle einschließen.
[ ] Core-Dateien einschließen.
[x] Monitor- und Berichtsprotokolle einschließen.
[x] Systemprotokolle einschließen.
        

Legen Sie den Verschlüsselungsschlüssel auf <Verschlüsselungsschlüssel Ihrer Wahl> fest.

Wählen Sie die Tage (Zeitbereich), an denen das Problem neu erstellt/erkannt wird.

11. Um das Support-Paket zu sammeln, klicken Sie auf die download Schaltfläche.

  

Laden Sie hier das Support-Paket und weitere Details in das Ticket hoch.

Problem: Profilierung

Auf Debugging-Ebene festzulegende Attribute: 

• Profiler (profiler.log) 
• runtime-AAA (prrt-server.log)
• nsf (ise-psc.log)
• nsf-session (ise.psc.log)

Anmerkung: Wenn Sie die Laufzeit-AAA auf debug festlegen, wird prrt-JNI auch auf debug-Ebene festgelegt. Das wird erwartet. Wenn Sie Laufzeitdebugs aktivieren, kann dies bei starker Auslastung zu erheblichen Leistungsproblemen führen. Es wird empfohlen, sich zur Fehlerbehebung mit dem TAC in Verbindung zu setzen oder die Fehlerbehebung in einem Wartungsfenster zu aktivieren.

Problem: Lizenzierung 

Auf Debugging-Ebene festzulegende Attribute:

• Lizenz (ise-psc.log)
• admin-license (ise-psc.log)

Problem: Status

Auf Debugging-Ebene festzulegende Attribute: 

• Körperhaltung (ise-psc.log)
• Portal (guest.log)
• Bereitstellung (ise-psc.log)
• runtime-AAA (prrt-server.log)
• nsf (ise-psc.log)
• nsf-session (ise-psc.log)
• Schweizer (ise-psc.log)
• client-webapp (guest.log)

Problem: Gastportal

Auf Debugging-Ebene festzulegende Attribute:

• Gastzugriff (guest.log)
• guest-admin (guest.log)
• guest-access-admin (guest.log)
• Profiler (profiler.log)
• runtime-AAA (prrt-server.log)
• saml (guest.log) (Aktivieren Sie diese Option nur, wenn saml verwendet wird)
• nsf (guest.log)
• nsf-session (guest.log)

Problem: dot1x/mab

Auf Debugging-Ebene festzulegende Attribute:

• runtime-AAA (prrt-server.log)
• nsf (ise-psc.log)
• nsf-session (ise-psc.log)

Problem: Replikation

Auf Debugging-Ebene festzulegende Attribute:

• Replication-Deployment (Replication.log und ise-psc.log)
• Replication-JGroup (Replication.log und ise-psc.log)
• Replication Tracker (tracking.log)
• hibernate (hibernate.log)
• JMS (replikation.log)

Problem: SAML-bezogene Probleme

Auf Debugging-Ebene festzulegende Attribute:

• opensaml (ise-psc.log)
• saml (ise-psc.log)

Problem: Probleme mit dem Anwendungsserver

Auf Debugging-Ebene festzulegende Attribute:

• org-apache (appserver/catalina.out)
• org-apache-cxf (appserver/catalina.out)
• org-apache-digester (appserver/catalina.out)

Problem: Sponsor-Portal

Auf Debugging-Ebene festzulegende Attribute:

• Sponsorportal (ise-psc.log)
• Portal (guest.log)
• runtime-AAA (prrt-server.log)
• nsf (ise-psc.log)
• nsf-session (ise-psc.log)

Problem: BYOD-Portal/Integration

Auf Debugging-Ebene festzulegende Attribute:

• Client (guest.log)
• client-webapp (guest.log)
• scep (ise-psc.log)
• ca-service (ise-psc.log)
• admin-ca (ise-psc.log)
• runtime-AAA (prrt-server.log)
• nsf (ise-psc.log)
• nsf-session (ise-psc.log)
• Profiler (profiler.log)

Problem: MDM

Auf TRACE-Ebene festzulegende Attribute:

• Portal (guest.log)
• mdmportal (ise-psc.log)
• external-mdm (ise-psc.log)
• runtime-AAA (prrt-server.log)
• nsf (ise-psc.log)
• nsf-session (ise-psc.log)

Problem: Portal zur Zertifikatsbereitstellung

Auf Debugging-Ebene festzulegende Attribute:

• ca-service (caservice.log)
• admin-ca (ise-psc.log)
• Clientbereitstellungsportal (ise-psc.log)
• Portal (guest.log)

Problem: Geräteportal

Auf Debugging-Ebene festzulegende Attribute:

• Portal (guest.log)
• mydevices (ise-psc.log)
• Profiler (profiler.log)

Problem: TrustSec

Auf Debugging-Ebene festzulegende Attribute:

• sxp (sxp_appserver/sxp.log)
• sgtbinding (sxp_appserver/sxp.log)
• runtime-AAA (prrt-server.log)
• nsf (ise-psc.log)
• nsf-session (ise-psc.log)

Problem: Schwachstellenbewertung und Trust Centric NAC

Auf Debugging-Ebene festzulegende Attribute:

• va-runtime (varuntime.log)
• va-service (varuntime.log und vaaggregation.log)
• TC-NAC (ise-psc.log)
• anc (ise-psc.log)

Problem: Probleme im Zusammenhang mit dem ODBC-Identitätsspeicher

Auf Debugging-Ebene festzulegende Attribute:

• odbc-id-store (prrt-management.log und prrt-server.log)

Problem: Probleme mit RBAC

Auf Debugging-Ebene festzulegende Attribute:

• Accessfilter (ise-psc.log)

Problem: pxGrid

Auf TRACE-Ebene festzulegende Attribute:

• pxgrid (pxgrid-server.log)
• Infrastruktur (ise-psc.log)
• ers (ise-psc.log)

Problem: Protokolle/Berichte

Auf Debugging-Ebene festzulegende Attribute:

• cpm-mnt (ise-psc.log)
• report (ise-psc.log)
• cisco-mnt (ise-psc.log)
• Runtime-logging (prrt-server.log)
• Collector (Collector.log)

Problem: Active Directory

Auf TRACE-Ebene festzulegende Attribute:

• Active Directory (ad_agent.log)
• identity-store-AD (ad_agent.log)
• runtime-AAA (prrt-server.log)
• nsf (ise-psc.log)
• nsf-session (ise-psc.log)

Problem: PassiveID 

Auf Debugging-Ebene festzulegende Attribute:

• PassiveID (Passiveid*)
• runtime-AAA (prrt-server.log)
• Active Directory (ad)_agent.log
• Collector (collection.log) (Bei PassiveID, MnT-Knoten und bei aktiven pxGrid-Knoten, wenn Sitzungen veröffentlicht werden.)
• pxGrid (pxgrid/) (Auf sekundärem MnT und aktivem pxGrid-Knoten, wenn die Sitzungen veröffentlicht werden.)

Problem: REST-Services

Auf Debugging-Ebene festzulegende Attribute:

• ers (ise-psc.log)

Problem: TACACS

Auf Debugging-Ebene festzulegende Attribute:  

• runtime-AAA (prrt-server.log)

Problem: Wireless-Einrichtung 

Auf Debugging-Ebene festzulegende Attribute:

• WirelessSetupelper (/wifisetup)

Problem: Kontextsensitivität

Auf Debugging-Ebene festzulegende Attribute:

• vcs (ise-elasticsearch.log/vcs.log)
• vcs-db (ise-elasticsearch.log/vcs.log)

Problem: RabbitMQ-Messaging

• ise-Messaging (ise-Messaging/)

Problem: Leichtes Sitzungsverzeichnis

• Light-Session-Verzeichnis (lsd.log)

Problem: SSE Connector/Smart Call Home

• sse-connector (connector.log)

Problem: UDN

• UDN (udn.log)

Problem: Endpunktskripte

• endpoint-script (ise-psc.log)

LSAP

• runtime-aaa (prrt-server.log)

Für die Behebung generischer Probleme erforderliche Debugs

Problem: Probleme mit dem Portal

Auf Debugging-Ebene festzulegende Attribute:

• Portal (guest.log)
• Portal-Session-Manager (guest.log)
• portal-web-action (guest.log)
• Previewportal (Vorschaubereich in jeder Portalkonfigurationsseite) (guest.log)

Problem: Probleme bei der Evaluierung von Richtlinien und Regeln

Auf Debugging-Ebene festzulegende Attribute:

• RuleEngine-Policy-IDGroups (ise-psc.log)
• RuleEngine-Attribute (ise-psc.log)
• Policy-Engine (ise-psc.log)
• epm-pdp (ise-psc.log)
• epm-pip (ise-psc.log)

Problem: PAN-Failover

• Infrastruktur (ise-psc.log)
• PanFailover (ise-psc.log)

Problem: Einschränkung des IP-Zugriffs

• Infrastruktur (ise-psc.log)
• Admin-infra (ise-psc.log)
• NSF (ise-psc.log)