Was bedeutet „Syslog parsing error: Unsupported message code 91106“ auf Cisco ISE und wie behebt man den Fehler?

**Die Meldung bedeutet in der Praxis meist keinen „kaputten Syslog-Server“, sondern dass deine ISE einen Log-Eintrag mit Message-Code 91106 erzeugt, den die Monitoring-/Log-Collection-Komponente dieser ISE-Version nicht kennt oder nicht korrekt parsen kann. Das ist typischerweise ein Software-Bug oder ein Versions-/Patch-Mismatch, nicht ein Fehler in deinem eigentlichen Authentifizierungsfluss.** ([cisco.com](https://www.cisco.com/c/en/us/td/docs/security/ise/syslog/Cisco_ISE_Syslogs/m_SyslogsList.html)) ## Was hinter der Meldung steckt Cisco ISE arbeitet intern mit festen Message-Codes für Syslog- und Audit-Ereignisse. Wenn im Alarmtext **„Syslog parsing error: Unsupported message code 91106“** steht, heißt das: Ein interner Parser oder die MNT-/Log-Collection-Schicht stößt auf einen Code, der in ihrer aktuellen Message-Definition nicht vorhanden ist. Cisco dokumentiert diese Message-Codes grundsätzlich zentral; wenn ein Code dort nicht sauber zur laufenden Version passt, entstehen genau solche Alarme. ([cisco.com](https://www.cisco.com/c/en/us/td/docs/security/ise/syslog/Cisco_ISE_Syslogs/m_IntrotoSyslogs.html)) Wichtig ist der Unterschied: **„Unsupported message code“** bedeutet etwas anderes als **„unknown syslog format“**. Bei einem Formatfehler ist oft ein externer Syslog-Header falsch. Bei **91106** geht es eher um einen **nicht unterstützten internen Ereigniscode**. Das ist der entscheidende Punkt, weil man sonst an der falschen Stelle sucht. ([community.cisco.com](https://community.cisco.com/t5/security-knowledge-base/custom-syslog-templates-in-ise-pic-or-ise/ta-p/3636614)) ## Wahrscheinlichste Ursache Am wahrscheinlichsten ist ein **bekannter ISE-Softwarefehler** in deiner Release-/Patch-Kombination. Cisco führt in den Release Notes bereits ähnliche Bugs mit **Unsupported message code 91104 und 91105** als Alarmproblem auf. Daraus folgt naheliegend: **91106 ist sehr wahrscheinlich dieselbe Fehlerklasse** – also ein Parser-/Katalogproblem in ISE selbst, nicht ein inhaltlich „böses“ Log. Das ist eine Schlussfolgerung aus den Cisco-Hinweisen, keine wörtliche Cisco-Aussage zu genau 91106. ([cisco.com](https://www.cisco.com/c/en/us/td/docs/security/ise/3-0/release_notes/b_ise_30_rn.pdf)) Zusätzlich kann die Meldung auftreten, wenn: - nach Upgrade/Patch **MNT und PAN nicht sauber auf demselben Patchstand** sind, - die **Log-Datenbank/Log-Collection** inkonsistent ist, - ein Node alte Message-Definitionen nutzt, obwohl ein anderer Node schon neuere Events erzeugt. Diese Einordnung passt auch zu Cisco-Community-Fällen, in denen Log-Collection-Fehler mit „unsupported message code“ nach DB-/MNT-Problemen auftauchen. ([community.cisco.com](https://community.cisco.com/t5/network-access-control/cscwc63056-log-collection-error-alarm-unsupported-message-code/td-p/5314917)) ## So beseitigst du es sinnvoll 1. **Patchstand aller ISE-Nodes prüfen.** Entscheidend ist nicht nur die Major-Version, sondern derselbe **exakte Patchlevel** auf PAN, MNT und PSN. Unterschiedliche Stände sind die häufigste plausible Ursache. 2. **Prüfen, ob die Funktion selbst betroffen ist oder nur der Alarm.** Wenn Authentifizierung, Live Logs und Reports normal laufen, ist das oft ein **Monitoring-/Parserproblem** und kein produktiver Ausfall. 3. **MNT-/Log-Collection gezielt prüfen.** Cisco empfiehlt für ISE-Fehlersuche die System- und Logging-Diagnose über CLI und Debugs, etwa über `show logging` bzw. die einschlägigen Troubleshooting-Methoden. Damit lässt sich sehen, welcher Dienst den 91106-Code erzeugt. ([cisco.com](https://www.cisco.com/c/en/us/support/docs/security/identity-services-engine/212594-debugs-to-troubleshoot-on-ise.html)) 4. **Auf aktuellen empfohlenen Patch aktualisieren.** Gerade weil Cisco ähnliche „unsupported message code“-Alarme bereits als Bug geführt hat, ist ein Update meist die sauberste Lösung. 5. **Wenn der Alarm nach Upgrade bestehen bleibt: MNT/Log-DB reparieren bzw. TAC-Fall.** In dokumentierten Fällen mit Log-Collection-Fehlern half erst eine **DB-/MNT-Bereinigung** bzw. ein Eingriff auf dem Monitoring-Node. Das ist kein Standard-„erstmal machen“, sondern der Schritt nach Patch- und Versionsprüfung. ([community.cisco.com](https://community.cisco.com/t5/network-access-control/cscwc63056-log-collection-error-alarm-unsupported-message-code/td-p/5314917)) ## Praktisch wichtigste Einschätzung Wenn nur dieser Alarm erscheint, aber **Authentifizierung und Policy-Entscheidungen funktionieren**, dann ist das Problem meist **administrativ lästig, aber nicht kritisch für den Access-Control-Pfad**. Kritisch wird es erst, wenn zusätzlich **Live Logs fehlen, Reports leer bleiben oder MNT-Alarme zunehmen** – dann steckt eher ein echtes Monitoring-/Datenbankproblem dahinter. ([community.cisco.com](https://community.cisco.com/t5/network-access-control/cscwc63056-log-collection-error-alarm-unsupported-message-code/td-p/5314917)) ## Kurz gesagt **„Unsupported message code 91106“ heißt meist: Deine ISE-Version kennt einen intern erzeugten Log-Code nicht sauber. Beheben lässt sich das in der Regel durch einheitlichen Patchstand aller Nodes und, falls nötig, Reparatur der MNT-/Log-Collection-Komponente statt durch Änderungen am externen Syslog-Format.** ([cisco.com](https://www.cisco.com/c/en/us/td/docs/security/ise/syslog/Cisco_ISE_Syslogs/m_SyslogsList.html))