Risoluzione dei problemi e abilitazione dei debug su ISE

Introduzione

In questo documento viene descritto come risolvere i problemi e come eseguire il debug per abilitare questa funzionalità quando si verifica un problema specifico in Identity Service Engine (ISE).

Configurazione registro di debug

ISE genera log basati sulla configurazione del livello di log impostato per diversi tipi di funzionalità. Utilizzare queste istruzioni per modificare queste impostazioni per impostare il livello di debug del registro. 

1. Per le versioni ISE 2.x, selezionare Administration > System > Logging > Debug log configuration:
   
   
   Per ISE versioni 3.x, selezionare Operations > Troubleshoot > Debug Wizard > Debug Log Configuration:
   
   

2. Scegliere il nodo interessato/causa del problema e fare clic suEdit.

3. Viene visualizzato un elenco di vari attributi di log, come mostrato nell'immagine.

L'elenco nell'immagine precedente non è completo, ma è la posizione in cui è possibile abilitare il livello di log di determinati servizi.

Da questa posizione è possibile impostare tutte le configurazioni di registro per le funzionalità descritte qui. Nella documentazione correlata, questa sezione è definita pagina di debug.

In alternativa, per le versioni ISE 3. x, è possibile scegliere di abilitare i debug per funzione Operations > Troubleshoot > Debug Wizard > Debug Profile Configuration e scegliere il nodo per applicare i debug, come mostrato di seguito:

  

4. Dopo aver abilitato i debug appropriati (indicati per problemi specifici nelle sezioni successive), riprodurre/ricreare il problema.

5. Registrare l'indicatore orario in cui viene riprodotto il problema.

6. Registrare l'ID endpoint (indirizzi MAC) o gli indirizzi IP dei client sottoposti al test.

7. Impostare i livelli di log sui valori predefiniti quando si sceglie l'attributo e si fa clic su Reset to Default.

8. Passare a Operations > Troubleshoot > Download logs. Scegliere il nodo in cui devono essere raccolti i log.

9. Il pacchetto di supporto si trova sotto Operations > Troubleshoot > Download Logs > (selezionare il nodo su cui il problema è stato riprodotto/visto).

10. Per generare il file vengono utilizzate le seguenti opzioni:

[ ] Include il database di configurazione completo.
[x] Include i log di debug.
[x] Include i registri locali.
[ ] Include i file di base.
[x] Include i registri di monitoraggio e di report.
[x] Include i registri di sistema.
        

Impostare la chiave di crittografia su <Encryption key of choice>.

Scegliere i giorni (intervallo di tempo) in cui ricreare/visualizzare il problema.

11. Per raccogliere il pacchetto di supporto, fare clic sul download pulsante.

  

Caricare il pacchetto di supporto e altri dettagli nella richiesta da qui.

Problema: Creazione profilo

Attributi da impostare sul livello di debug: 

• profiler (profiler.log) 
• runtime-AAA (prt-server.log)
• nsf (ise-psc.log)
• sessione nsf (ise.psc.log)

Nota: Quando si imposta il runtime-AAA su debug, prt-JNI viene impostato anche sul livello di debug. Questo è previsto. Se si attivano i debug in fase di esecuzione, è possibile che si verifichino problemi significativi di prestazioni con un carico di lavoro elevato. Per risolvere i problemi, si consiglia di consultare il centro TAC o abilitare i debug in una finestra di manutenzione.

Problema: Licenze 

Attributi da impostare sul livello di debug:

• Licenza (ise-psc.log)
• licenza-amministratore (ise-psc.log)

Problema: Postura

Attributi da impostare sul livello di debug: 

• postura (ise-psc.log)
• portale (guest.log)
• provisioning (ise-psc.log)
• runtime-AAA (prt-server.log)
• nsf (ise-psc.log)
• sessione nsf (ise-psc.log)
• svizzero (ise-psc.log)
• client-webapp (guest.log)

Problema: Guest Portal

Attributi da impostare sul livello di debug:

• guestaccess (guest.log)
• guest-admin (guest.log)
• guest-access-admin (guest.log)
• profiler (profiler.log)
• runtime-AAA (prt-server.log)
• saml (guest.log) (attiva solo se saml è in uso)
• nsf (guest.log)
• sessione nsf (guest.log)

Problema: dot1x/mab

Attributi da impostare sul livello di debug:

• runtime-AAA (prt-server.log)
• nsf (ise-psc.log)
• sessione nsf (ise-psc.log)

Problema: Replica

Attributi da impostare sul livello di debug:

• Replication-Deployment (replication.log e ise-psc.log)
• Replication-JGroup (replication.log e ise-psc.log)
• Tracker repliche (tracking.log)
• ibernazione (hibernate.log)
• JMS (replication.log)

Problema: Problemi correlati a SAML

Attributi da impostare sul livello di debug:

• opensaml (ise-psc.log)
• saml (ise-psc.log)

Problema: Problemi del server applicazioni

Attributi da impostare sul livello di debug:

• org-apache (appserver/catalina.out)
• org-apache-cxf (appserver/catalina.out)
• org-apache-digester (appserver/catalina.out)

Problema: Portale sponsor

Attributi da impostare sul livello di debug:

• sponsorportal (ise-psc.log)
• portale (guest.log)
• runtime-AAA (prt-server.log)
• nsf (ise-psc.log)
• sessione nsf (ise-psc.log)

Problema: Portale BYOD/Onboarding

Attributi da impostare sul livello di debug:

• client (guest.log)
• client-webapp (guest.log)
• scep (ise-psc.log)
• ca-service (ise-psc.log)
• admin-ca (ise-psc.log)
• runtime-AAA (prt-server.log)
• nsf (ise-psc.log)
• sessione nsf (ise-psc.log)
• profiler (profiler.log)

Problema: MDM

Attributi da impostare al livello TRACE:

• portale (guest.log)
• mdmportal (ise-psc.log)
• external-mdm (ise-psc.log)
• runtime-AAA (prt-server.log)
• nsf (ise-psc.log)
• sessione nsf (ise-psc.log)

Problema: Portale di provisioning certificati

Attributi da impostare sul livello di debug:

• ca-service (caservice.log)
• admin-ca (ise-psc.log)
• clientprovisioningportal (ise-psc.log)
• portale (guest.log)

Problema: Portale I miei dispositivi

Attributi da impostare sul livello di debug:

• portale (guest.log)
• periferiche (ise-psc.log)
• profiler (profiler.log)

Problema: TrustSec

Attributi da impostare sul livello di debug:

• sxp (sxp_appserver/sxp.log)
• sgtbinding (sxp_appserver/sxp.log)
• runtime-AAA (prt-server.log)
• nsf (ise-psc.log)
• sessione nsf (ise-psc.log)

Problema: Valutazione delle vulnerabilità e NAC basato sulla fiducia

Attributi da impostare sul livello di debug:

• va-runtime (varuntime.log)
• va-service (varuntime.log e vaaggregation.log)
• TC-NAC (ise-psc.log)
• anc (ise-psc.log)

Problema: Problemi correlati all'archivio identità ODBC

Attributi da impostare sul livello di debug:

• odbc-id-store (prrt-management.log e prrt-server.log)

Problema: Problemi RBAC

Attributi da impostare sul livello di debug:

• filtro accesso (ise-psc.log)

Problema: pxGrid

Attributi da impostare al livello TRACE:

• pxgrid (pxgrid-server.log)
• infrastruttura (ise-psc.log)
• ers (ise-psc.log)

Problema: Log/Report

Attributi da impostare sul livello di debug:

• cpm-mnt (ise-psc.log)
• report (ise-psc.log)
• cisco-mnt (ise-psc.log)
• registrazione in fase di esecuzione (prrt-server.log)
• agente di raccolta (collector.log)

Problema: Active Directory

Attributi da impostare al livello TRACE:

• Active Directory (ad_agent.log)
• identity-store-AD (ad_agent.log)
• runtime-AAA (prt-server.log)
• nsf (ise-psc.log)
• sessione nsf (ise-psc.log)

Problema: ID passivo 

Attributi da impostare sul livello di debug:

• ID passivo (passiveid*)
• runtime-AAA (prt-server.log)
• Active Directory (ad)_agent.log
• collector (collector.log) (Su PassiveID, nodi MnT e su nodo pxGrid attivo se le sessioni sono pubblicate).
• pxGrid (pxgrid/) (su MnT secondario e nodo pxGrid attivo se le sessioni sono pubblicate).

Problema: Servizi REST

Attributi da impostare sul livello di debug:

• ers (ise-psc.log)

Problema: TACAC

Attributi da impostare sul livello di debug:  

• runtime-AAA (prt-server.log)

Problema: Installazione wireless 

Attributi da impostare sul livello di debug:

• utilità di configurazione wireless (/wifisetup)

Problema: Visibilità contesto

Attributi da impostare sul livello di debug:

• vcs (ise-elasticsearch.log/vcs.log)
• vcs-db (ise-elasticsearch.log/vcs.log)

Problema: Messaggistica RabbitMQ

• ise-messaging (ise-messaging/)

Problema: Directory di sessione leggera

• Directory-Sessione-Chiara (lsd.log)

Problema: Connettore SSE/Smart Call Home

• connettore sse (connector.log)

Problema: UDN

• UDN (udn.log)

Problema: Script degli endpoint

• script-endpoint (ise-psc.log)

LDAP

• runtime-aaa (prt-server.log)

Debug necessari per la risoluzione dei problemi più generici

Problema: problemi del portale

Attributi da impostare sul livello di debug:

• portale (guest.log)
• portal-session-manager (guest.log)
• portale-azione-web (guest.log)
• anteprima portale (sezione anteprima in ogni pagina di configurazione del portale) (guest.log)

Problema: Problemi di valutazione delle regole e dei criteri

Attributi da impostare sul livello di debug:

• RuleEngine-Policy-IDGroups (ise-psc.log)
• Attributi del Motore regole (ise-psc.log)
• Policy-Engine (ise-psc.log)
• epm-pdp (ise-psc.log)
• epm-pip (ise-psc.log)

Problema: Failover PAN

• Infrastruttura (ise-psc.log)
• PanFailover (ise-psc.log)

Problema: Restrizioni accesso IP

• Infrastruttura (ise-psc.log)
• Inf-Ammin (ise-psc.log)
• NSF (ise-psc.log)