أستكشاف أخطاء إسقاط الحزمة وإصلاحها على FP2100 بسبب الواجهة المادية في وضع الإرسال أحادي الإتجاه

المقدمة

يصف هذا وثيقة cisco بق id CSCwa79915 شرط، عرض، مشغل، و تخفيف خيار أن يسترد الجهاز.

المتطلبات الأساسية

المتطلبات

توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:

• نظام التشغيل Firepower eXtensible Operating System ‏(FXOS)
• أجهزة الأمان المعدلة (ASA)
• LiNux NaLayer (LINA)
• Firepower Threat Defense ‏(FTD)

المكونات المستخدمة

أسست المعلومة في هذا وثيقة على هذا جهاز نموذج وبرمجية صيغة:

• Firepower 2110
• برنامج FTD 6.6.5 (مضمن مع إصدار FXOS 2.8.1.165)

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

شروط معروفة للقابلية للتأثر

الشروط الحالية المعروفة المرتبطة ب Cisco bug ID CSCwa79915 تشمل:

1. جهاز سلسلة Firepower 2100.

2. منفذ واحد أو أكثر من منافذ الهيكل الخارجية الموجهة التي تعمل في وضع الإرسال أحادي الإتجاه (سواء كان ذلك مقصودا أو كنتيجة عدم تطابق إرسال ثنائي الإتجاه).

3. يتم تكوينها باستخدام أي إصدار يتأثر من برنامج أجهزة الأمان المعدلة (ASA) أو برنامج الدفاع ضد تهديد الطاقة النارية (FTD).

أعراض الأخطاء

1. لا تغادر الحزم التي يتم الحصول عليها من ASA/LINA (FTD) الجهاز مطلقا.

الملاحظة الأكثر تقليدية/الشائعة لهذه الحالة هي أن جميع واجهات البيانات تظهر حركة مرور قليلة جدا من واجهات.

عندما يتم وضع التقاط في هذا الشرط، فإنه يكشف عن أن طلبات بروتوكول تحليل العنوان (ARP) يتم إرسالها من قبل مضيفين آخرين على الشبكة الفرعية نفسها والاستعلام الخاص بعنوان الطبقة 2 من عنوان IP الخاص ب LInux (LINA) بشكل تفاعلي (LINA) ويتم عرض التقاط LINA ردا. ومع ذلك، لا ترى ردود ARP هذه لمغادرة الهيكل، كما هو موضح عندما يتم إجراء محلل منفذ محول (SPAN) على المحول الخارجي الذي يتم فيه توصيل واجهات الهيكل المعنية المعينة إلى LINA.

على سبيل المثال:

firepower# show capture arp

4 packets captured

   1: 14:43:44.185872       arp who-has 10.255.255.1 tell 10.255.255.2   
   2: 14:43:44.186132       arp reply 10.255.255.1 is-at b0:8b:cf:8c:61:4f
   3: 14:43:45.205906       arp who-has 10.255.255.1 tell 10.255.255.2
   4: 14:43:45.206166       arp reply 10.255.255.1 is-at b0:8b:cf:8c:61:4f

حيث 10.255.255.2 هو عنوان IP لمضيف خارجي يرسل استعلامات ARP إلى 10.255.255.1، والذي ينتمي إلى إحدى واجهات بيانات LINA.

الردود على ARP التي تعتبر منقولة بواسطة LINA عند التقاطها لا ترى أبدا في الواقع أنها تترك منفذ الهيكل المادي الخاص بها.

2. لا تتزايد عدادات واجهة FXOS لحزم TX.

وكما هو الحال مع الأعراض التي لا تتلقى الأجهزة المضيفة الخارجية أي حزم من الجهاز المتأثر، كما هو موضح من جميع الحزم المرسلة من قبل LINA لا تترك الهيكل، فإن لدينا الأعراض حيث لا تتزايد عدادات المنافذ الخارجية لحزم (TX) المرسلة.

في هذا المثال، الواجهة المتأثرة هي Ethernet1/12. تحقق من عدادات واجهة نظام التشغيل القابل للتشغيل (FXOS) Firepower لحزم TX وأظهر أن العدادات لم تتزايد أبدا، على الرغم من الإشارة من LINA إلى أن هذه الحزم تم إرسالها إلى محول الهيكل الداخلي.

firepower# scope eth-uplink
firepower/eth-uplink # scope fabric
firepower/eth-uplink/fabric # scope interface 1 12   <<< interface Eth1/12
firepower/eth-uplink/fabric/interface # show stats ether-tx-stats
Ether Tx Stats:
    Time Collected: 2021-12-09T17:29:45.621   <<< first execution of the command
    Monitored Object: sys/switch-A/slot-1/switch-ether/port-8
    Suspect: No
    Total Packets (packets): 4823522   <<< Counter of packets transmitted
    Unicast Packets (packets): 4823515
    Multicast Packets (packets): 0
    Broadcast Packets (packets): 7
    Total Bytes (bytes): 606771974
    Jumbo Packets (packets): 0
    Thresholded: 0

firepower/eth-uplink/fabric/interface # show stat ether-tx-stats

Ether Tx Stats:
    Time Collected: 2021-12-09T17:30:15.726   <<< second execution of the command
    Monitored Object: sys/switch-A/slot-1/switch-ether/port-8
    Suspect: No
    Total Packets (packets): 4823522   <<< Counter of packets transmitted (No delta seen)
    Unicast Packets (packets): 4823515
    Multicast Packets (packets): 0
    Broadcast Packets (packets): 7
    Total Bytes (bytes): 606771974
    Jumbo Packets (packets): 0
    Thresholded: 0

3. حالات السقوط على واجهة البيانات/اللوحة الخلفية الداخلية بين محول الهيكل الداخلي و ASA/LINA.

يتم إستخدام الواجهة Internal1/3 كواجهة توصيل/لوحة خلفية بين المحول على الجهاز المنطقي الذي يعمل على الهيكل.

firepower# 
firepower# connect local-mgmt 
firepower(local-mgmt)# show portmanager counters internal 1 3   <<< first execution of the command
Good Octets Received : 23510696205
Bad Octets Received : 0
MAC Transmit Error : 0
Good Packets Received : 49729185
Bad Packets Received : 0
BRDC Packets Received : 1704250
MC Packets Received : 320755
Size 64 : 21746457
Size 65 to 127 : 112073389
Size 128 to 255 : 7536865
Size 256 to 511 : 3053841
Size 512 to 1023 : 2490597
Size 1024 to Max : 0
Good Octets Sent : 27203100553
Good Packets Sent : 122656923
Excessive Collision : 0
MC Packets Sent : 1095115
BRDC Packets Sent : 90585686
Unrecognized MAC Received : 0
FC Sent : 0
Good FC Received : 0
Drop Events : 16837069
Undersize Packets : 0
Fragments Packets : 0
Oversize Packets : 0
Jabber Packets : 0
MAC RX Error Packets Received : 0
Bad CRC : 0
Collisions : 0
Late Collision : 0
bad FC Received : 0
Good UC Packets Received : 47704180
Good UC Packets Sent : 30976122
Multiple Packets Sent : 0
Deferred Packets Sent : 0
Size 1024 to 15180 : 0
Size 1519 to Max : 0
txqFilterDisc : 0
linkChange : 1

firepower(local-mgmt)# show portmanager counters internal 1 3 <<< second execution of the command
Good Octets Received : 23510700469
Bad Octets Received : 0
MAC Transmit Error : 0
Good Packets Received : 49729250     >>>> 49729250 – 49729185 = 65 packets received from FTD
Bad Packets Received : 0
BRDC Packets Received : 1704261
MC Packets Received : 320759
Size 64 : 21746518
Size 65 to 127 : 112074355
Size 128 to 255 : 7536866
Size 256 to 511 : 3053847
Size 512 to 1023 : 2490606
Size 1024 to Max : 0
Good Octets Sent : 27203179868
Good Packets Sent : 122657901
Excessive Collision : 0
MC Packets Sent : 1095130
BRDC Packets Sent : 90586649
Unrecognized MAC Received : 0
FC Sent : 0
Good FC Received : 0
Drop Events : 16837134   >>>>> 16837134 – 16837069 = 65 packets dropped (matching above counter)
Undersize Packets : 0
Fragments Packets : 0
Oversize Packets : 0
Jabber Packets : 0
MAC RX Error Packets Received : 0
Bad CRC : 0
Collisions : 0
Late Collision : 0
bad FC Received : 0
Good UC Packets Received : 47704230
Good UC Packets Sent : 30976122
Multiple Packets Sent : 0
Deferred Packets Sent : 0
Size 1024 to 15180 : 0
Size 1519 to Max : 0
txqFilterDisc : 0
linkChange : 1
firepower(local-mgmt)# 

ملاحظة: بالنسبة لبيئة حركة مرور مباشرة، قد يكون من الصعب التحقق من عداد الواجهة بسبب الضوضاء، لذلك تحقق أولا من وضع الإرسال أحادي الإتجاه وتصحيحه.

محفز الأعراض

يظهر فحص لحالة الواجهات النشطة إحدى واجهات البيانات النشطة/UP في وضع الإرسال أحادي الإتجاه، وهو أمر غير معتاد ليتم عرضه بشكل عام. 

firepower# 
firepower# connect local-mgmt 
firepower(local-mgmt)# show portmanager switch status 

Dev/Port      Mode         Link  Speed Duplex Loopback Mode
--------- ---------------- ----- ----- ------ -------------

0/0          QSGMII        Down   1G    Half   None 
0/1          QSGMII         Up    1G    Full   None 
0/2          QSGMII        Down   1G    Half   None 
0/3          QSGMII        Down   1G    Half   None 
0/4          QSGMII        Down   1G    Half   None 
0/5          QSGMII        Down   1G    Half   None 
0/6          QSGMII         Up    100   Half   None    <<<<< Up and Half-duplex
0/7          QSGMII        Down   1G    Half   None 
0/8          QSGMII        Down   1G    Half   None 
0/9          QSGMII         Up    1G    Full   None 
0/10         QSGMII         Up    1G    Full   None 
0/11         QSGMII         Up    1G    Full   None 
0/12         QSGMII         Up    1G    Full   None 
0/13         QSGMII        Down   10    Half   None 
0/14         QSGMII        Down   10    Half   None 
0/15         QSGMII        Down   10    Half   None 
0/16          n/a          Down   n/a   Full   N/A 
0/17          n/a          Down   n/a   Full   N/A 
0/18          n/a          Down   n/a   Full   N/A 
0/19          n/a          Down   n/a   Full   N/A 
0/20          n/a          Down   n/a   Full   N/A 
0/21          n/a          Down   n/a   Full   N/A 
0/22          n/a          Down   n/a   Full   N/A 
0/23          n/a          Down   n/a   Full   N/A 
0/24          KR            Up    10G   Full   None 
0/25          KR            Up    10G   Full   None 
0/26          KR           Down   10G   Full   None 
0/27          KR            Up    10G   Full   None 

يوفر هذا الجدول تخطيط واجهة الهيكل المادية لرقم منفذ المحول الداخلي. يلزم هذا التعيين لفهم الإخراج من حالة محول show portManager. استنادا إلى الجدول، يمكننا أن نرى أنه بالنسبة لمعرف منفذ المحول الداخلي 0/6 (يظهر في الإخراج السابق لحالة المحول show portManager)، فإن منفذ الهيكل المادي المقترن هو إيثرنت 1/8.

Interface Name	Internal Switch Port (2110/2120)	Internal Switch Port (2130/2140) 
Ethernet 1/1	               1	                 1 
Ethernet 1/2	               0	                 0 
Ethernet 1/3	               3	                 3 
Ethernet 1/4	               2	                 2 
Ethernet 1/5	               5	                 5 
Ethernet 1/6	               4	                 4 
Ethernet 1/7	               7	                 7 
Ethernet 1/8	               6	                 6 
Ethernet 1/9	               9	                 49 
Ethernet 1/10	               8	                 48 
Ethernet 1/11	               11	                 51 
Ethernet 1/12	               10	                 50 
Ethernet 1/13	               12	                 59 
Ethernet 1/14	               13	                 58 
Ethernet 1/15	               14	                 57 
Ethernet 1/16	               15	                 56 
Ethernet 2/1	               N/A	                 70 
Ethernet 2/2	               N/A	                 71 
Ethernet 2/3	               N/A	                 69 
Ethernet 2/4	               N/A	                 68 
Ethernet 2/5	               N/A	                 66 
Ethernet 2/6	               N/A	                 67 
Ethernet 2/7	               N/A	                 65 
Ethernet 2/8	               N/A	                 64 
Internal 1/1 	               26	                 81 (Eventing Port - NOT visible at Service Manager) 
Internal 1/2 	               27	                 80 (Unused - NOT visible at Service Manager) 
Internal 1/3 	 	       24    	                 52 (Internal backplane uplink to logical device, whether ASA or FTD) 

خيارات تخفيف المشغل واسترداد الجهاز

تصحيح أي عدم تطابق مزدوج هو الطريقة الوحيدة لمنع التأثير الجانبي الذي يظهر على واجهة اللوحة الخلفية، ويمكن القيام بذلك باستخدام إحدى الطريقتين التاليتين وإعادة تحميل الجهاز.

1. إذا لم يتم تكوين جهاز النظير باستخدام ميزة "الإرسال ثنائي الإتجاه"، قم بتغييره إلى "تلقائي" (الطريقة المفضلة).

2. إذا لم يكن هناك وصول إلى الإدارة لجهاز النظير:

   2.1. بالنسبة ل FTD الذي تتم إدارته بواسطة مركز إدارة FirePOWER (FMC)، قم بتعطيل التفاوض التلقائي للخيار تحت تحرير الواجهة المادية على FMC.

   2.2. بالنسبة إلى FTD الذي تتم إدارته بواسطة FirePOWER Device Manager (FDM)، قم بتغيير خيار الإرسال ثنائي الإتجاه من "تلقائي" إلى "كامل" تحت الخيارات المتقدمة للواجهة.

   2.3. بالنسبة إلى ASA، قم بتعطيل التفاوض التلقائي للإرسال ثنائي الإتجاه من مستوى الهيكل على النحو التالي: 

firepower /eth-uplink # scope 
firepower /eth-uplink # scope fabric a
firepower /eth-uplink/fabric # scope interface 1 1
firepower /eth-uplink/fabric/interface # set auto-negotiation
no No
yes Yes

firepower /eth-uplink/fabric/interface # set auto-negotiation no
firepower /eth-uplink/fabric/interface* # commit-buffer
firepower /eth-uplink/fabric/interface #

ملاحظة: الطرق الواردة في الخطوة 2 هي خيارات نظرية يمكن أن تعمل في الظروف العادية.

3. قم بتوصيل واجهة Firepower في وضع الإرسال أحادي الإتجاه بمحول مختلف يدعم التفاوض التلقائي لإعدادات الإرسال ثنائي الإتجاه أو تكوين منفذ المحول لتمكين التفاوض التلقائي لإعدادات الإرسال ثنائي الإتجاه.

ملاحظة: لا يزال من الضروري إعادة تحميل الجهاز بالكامل بعد تنفيذ أي من الخطوات، من أجل إسترداد واجهة اللوحة الخلفية من حالتها الفاشلة.

معلومات معرف الخطأ من Cisco

رفعت هذا خطأ أن يتتبع برمجية حل من العرض حيث اللوحة الخلفية Internal1/3 قارن يعجز أن يعالج أي حركة مرور يستلم من ال LINA بعد بعض الوقت.

يتسبب المنفذ المادي لمعرف تصحيح الأخطاء من Cisco CSCwa79915 في وضع الإرسال أحادي الإتجاه في إسقاط جميع الحزم من LINA بواسطة الهيكل.