Solucionar problemas de consultas DNS do AnyConnect para mus.cisco.com

Introdução

Este documento descreve o comportamento do módulo de núcleo do AnyConnect VPN quando consulta o FQDN (nome de domínio totalmente qualificado) mus.cisco.com em cenários específicos. Essa consulta ocorre quando o cliente AnyConnect tenta determinar se o endpoint tem acesso à Internet e não há VPN em uso.

Contribuição de Peter Giang, Cisco BU.

Contribuição de Steve Sargent, líder técnico da Cisco BU.

Pré-requisitos

Requisitos

A Cisco recomenda que você tenha conhecimento destes tópicos:

• Instalação do módulo do AnyConnect.
• Criação de pacote da ferramenta de diagnóstico e relatório (DART) do AnyConnect.
• Capturas de farejador do Wireshark.

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software e hardware:

• Módulo AnyConnect Core VPN versão 4.8.03052
• 18363 de Compilação do Windows 10 Enterprise 10.0.18363

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Este documento também pode ser usado com as seguintes versões de hardware e software:

• Qualquer sistema operacional (MacOS, Windows, Linux).
• AnyConnect versão anterior à 4.10.

Informações de Apoio

As consultas do AnyConnect a mus.cisco.com são esperadas por design.

Observação: há um defeito de aprimoramento criado para esse comportamento. ID de bug da Cisco CSCvu39643. As consultas a mus.cisco.com a partir do núcleo da VPN não devem ser realizadas se o módulo VPN não for usado.

Problema

Quando o módulo principal do AnyConnect VPN não está em uso (nenhum perfil XML está configurado para conexões VPN), as consultas a mus.cisco.com são geradas a cada 15 segundos.

Solução 1

Adicione uma entrada de Sistema de Nome de Domínio (DNS) no servidor DNS para resolver consultas de nome para mus.cisco.com. Se você não gerenciar um servidor DNS, encaminhe essas solicitações para um servidor DNS público.

Quando mus.cisco.com FQDN puder ser resolvido, o AnyConnect interrompe a tentativa de consulta.

Solução 2

Adicione uma entrada DNS ao arquivo de hosts do Sistema Operacional (SO) para resolver o FQDN mus.cisco.com.

Consultas do AnyConnect para mus.cisco.com

Configurar

A instalação do módulo principal do AnyConnect VPN.

Diagrama de Rede

******************************************
Date : 06/17/2020
Time : 20:21:57
Type : Warning
Source : acvpnagent
Description : Function : CDNSRequest::OnSocketReadComplete
File: c:\temp\build\thehoff\negasonic_mr30.297045120452\negasonic_mr3\vpn\common\ip\dnsrequesct.cpp
Line: 1147
Timeout (per request) while trying to resolve [A] query mus.cisco.com via DNS server 10.88.240.69 (timeout interval = 10 sec)
******************************************

Troubleshooting

Para confirmar a operação apropriada, você pode habilitar uma captura de pacote na interface de saída do ponto final com o uso do Wireshark.

Na interface gráfica do usuário (GUI) do cliente AnyConnect, a mensagem "Erro de rede. Unable to lookup host names" é exibido (como mostrado na imagem).

Quando qualquer uma das soluções alternativas for aplicada, você também poderá fazer uma captura de pacote no Wireshark e usar o filtro DNS para confirmar as consultas constantes para mus.cisco.com:

Na interface GUI do cliente AnyConnect, a mensagem "Pronto para conectar" é exibida (como mostrado na imagem).

Dica: mesmo que você não veja o módulo principal do AnyConnect VPN na interface GUI, isso não significa que o módulo principal do vpn não está em operação, procure o arquivo VPNDisable_ServiceProfile.xml no diretório "C:\programdata\cisco no Windows" e "/opt/cisco/anyconnect/profile" nos dispositivos Apple. No Linux, isso não é suportado.