Introduction
Ce document décrit le comportement du module Anyconnect VPN Core lorsqu'il interroge le nom de domaine complet (FQDN) mus.cisco.com dans des scénarios spécifiques. Cette requête se produit lorsque le client AnyConnect tente de déterminer si le terminal dispose d’un accès Internet et qu’aucun VPN n’est utilisé.
Contribution de Peter Giang, Cisco BU.
Contribution de Steve Sargent, responsable technique de l'unité commerciale Cisco.
Conditions préalables
Exigences
Cisco vous recommande de prendre connaissance des rubriques suivantes :
- Installation du module AnyConnect.
- Création d'un bundle d'outils de diagnostic et de création de rapports AnyConnect.
- Captures de renifleur Wireshark.
Composants utilisés
Les informations contenues dans ce document sont basées sur les versions de matériel et de logiciel suivantes :
- Module VPN de base Anyconnect version 4.8.03052
- Windows 10 Entreprise 10.0.18363 Version 18363
The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si votre réseau est en ligne, assurez-vous de bien comprendre l’incidence possible des commandes.
Ce document peut également être utilisé avec les versions de matériel et de logiciel suivantes :
- Tout système d'exploitation (MacOS, Windows, Linux).
- Toute version d'AnyConnect antérieure à la version 4.10.
Informations générales
Les requêtes AnyConnect vers mus.cisco.com sont attendues par conception.
Remarque : un défaut d'amélioration a été créé pour ce comportement. ID de bogue Cisco CSCvu39643. Les requêtes vers mus.cisco.com à partir du noyau VPN ne doivent pas être effectuées si le module VPN n'est pas utilisé.
Problème
Lorsque le module principal VPN AnyConnect n'est pas utilisé (aucun profil XML n'est configuré pour les connexions VPN), des requêtes vers mus.cisco.com sont générées toutes les 15 secondes.
Solution 1
Ajoutez une entrée DNS (Domain Name System) sur votre serveur DNS afin de résoudre les requêtes de noms vers mus.cisco.com. Si vous ne gérez pas de serveur DNS, transférez ces requêtes à un serveur DNS public.
Une fois le mus.cisco.com FQDN résolu, AnyConnect arrête la tentative de requête.
Solution 2
Ajoutez une entrée DNS à votre fichier d'hôtes OS (Operative System) afin de résoudre le nom de domaine complet mus.cisco.com.
Fenêtres
- Appuyez sur la touche Windows.
- Tapez Bloc-notes dans le champ de recherche.
- Dans les résultats de la recherche, cliquez avec le bouton droit sur Bloc-notes et sélectionnez Exécuter en tant qu'administrateur.
- À partir du Bloc-notes, ouvrez le fichier : « C:\Windows\System32\Drivers\etc\hosts ».
- Apportez les modifications nécessaires au fichier.
- Sélectionnez File > Save afin d'enregistrer vos modifications.
Mac
- Ouvrez une fenêtre Terminal.
- Entrez cette commande afin d'ouvrir le fichier hosts avec l'éditeur de nano texte incorporé dans le système d'exploitation : "sudo nano /etc/hosts".
- Saisissez votre nom d'utilisateur et votre mot de passe.
- Apportez les modifications nécessaires au fichier.
Linux
- Ouvrez une fenêtre Terminal.
- Entrez la commande this afin d'ouvrir le fichier hosts avec l'éditeur de nano texte incorporé dans le système d'exploitation : "sudo nano /etc/hosts".
- Saisissez votre nom d'utilisateur et votre mot de passe.
- Apportez les modifications nécessaires au fichier.
Requêtes AnyConnect vers mus.cisco.com
Configurer
Installation du module principal VPN AnyConnect.
Diagramme du réseau
******************************************
Date : 06/17/2020
Time : 20:21:57
Type : Warning
Source : acvpnagent
Description : Function : CDNSRequest::OnSocketReadComplete
File: c:\temp\build\thehoff\negasonic_mr30.297045120452\negasonic_mr3\vpn\common\ip\dnsrequesct.cpp
Line: 1147
Timeout (per request) while trying to resolve [A] query mus.cisco.com via DNS server 10.88.240.69 (timeout interval = 10 sec)
******************************************
Dépannage
Afin de confirmer le bon fonctionnement, vous pouvez activer une capture de paquets sur l'interface de sortie du point d'extrémité à l'aide de Wireshark.
Sur l’interface graphique utilisateur (GUI) du client AnyConnect, le message « Erreur réseau. Impossible de rechercher les noms d'hôtes" s'affiche (comme illustré dans l'image).
Lorsque l'une des solutions de contournement est appliquée, vous pouvez également effectuer une capture de paquets sur Wireshark et utiliser le filtre DNS afin de confirmer les requêtes constantes vers mus.cisco.com:
Sur l’interface graphique utilisateur du client AnyConnect, le message « Ready to connect » s’affiche (comme illustré dans l’image).
Conseil : même si vous ne voyez pas le module principal VPN AnyConnect sur l'interface GUI, cela ne signifie pas que le module principal VPN n'est pas en fonctionnement, recherchez le fichier VPNDisable_ServiceProfile.xml dans le répertoire « C:\programdata\cisco sous Windows », et « /opt/cisco/anyconnect/profile » sur les périphériques Apple. Sous Linux, cette fonctionnalité n'est pas prise en charge.