Verificar operaciones del dispositivo IPDT

Platform	Función	Valor predeterminado activado (Iniciar en)	Método Disable	Desactivar CLI
Cat 2960/3750 (Cisco IOS)	IPDT	15.2(1)E *	CLI global (versiones anteriores) * por interfaz	no ip device tracking * ip device tracking maximum 0 ***
Cat 2960/3750 (Cisco IOS)	NMSP	no	CLI global o CLI por interfaz	no nmsp enable nmsp attachment suppress ****
Cat 2960/3750 (Cisco IOS)	Sensor de dispositivos	15.0(1)SE	CLI global	no macro auto monitor
Cat 2960/3750 (Cisco IOS)	Detección ARP	15.2(1)E **	n/a	n/a
CAT 3850	IPDT	todas las versiones *	por interfaz *	ip device tracking maximum 0 ***
CAT 3850	NMSP	todas las versiones	por interfaz	nmsp attachment suppress
CAT 3850	Sensor de dispositivos	no	n/a	n/a
CAT 3850	Detección ARP	todas las versiones **	n/a	n/a
CAT 4500	IPDT	15.2(1)E / 3.5.0E *	CLI global (versiones anteriores) * por interfaz	no ip device tracking * ip device tracking maximum 0 ***
CAT 4500	NMSP	no	CLI global o CLI por interfaz	no nmsp enable nmsp attachment suppress ****
CAT 4500	Sensor de dispositivos	15.1(1)SG / 3.3.0SG	CLI global	no macro auto monitor
CAT 4500	Detección ARP	15.2(1)E / 3.5.0E **	n/a	n/a

Funciones

• IPDT no se puede inhabilitar globalmente en las versiones más recientes, pero IPDT sólo está activo en los puertos, si las funciones que lo requieren están activas.
• La indagación ARP solo está activa si las combinaciones de funciones específicas la habilitan.
• Si inhabilita IPDT por interfaz, no detiene la indagación ARP, evita el seguimiento IPDT. Está disponible en i3.3.0SE, 15.2(1)E, 3.5.0E y versiones posteriores.
• La supresión de NMSP por interfaz sólo está disponible si NMSP está habilitado globalmente.

Desactivar IPDT

En las versiones en las que IPDT no está habilitado de forma predeterminada, IPDT se puede desactivar globalmente con este comando:

Switch(config)#no ip device tracking

En las versiones en las que IPDT está siempre activado, el comando anterior no está disponible o no le permite inhabilitar IPDT (Id. de error de Cisco CSCuj04986). En este caso, hay varias maneras de asegurarse de que IPDT no monitoree un puerto específico o no genere alertas IP duplicadas.

Introduzca el comando IP Device Tracking Probe Delay 10

Este comando no permite que un switch envíe una sonda durante 10 segundos cuando detecta un link UP/flap, lo que minimiza la posibilidad de que se envíe la sonda mientras el host del otro lado del link verifica si hay direcciones IP duplicadas. El RFC especifica una ventana de 10 segundos para la detección de direcciones duplicadas, por lo que si retrasa la sonda de seguimiento de dispositivos, el problema se puede resolver en la mayoría de los casos.

Si el switch envía una sonda ARP para el cliente mientras el host (por ejemplo, una PC con Microsoft Windows) está en su fase de detección de dirección duplicada, el host detecta la sonda como una dirección IP duplicada y presenta al usuario un mensaje indicando que se ha encontrado una dirección IP duplicada en la red. Si el PC no obtiene una dirección, y el usuario debe liberar/renovar manualmente la dirección, desconectar y volver a conectar a la red, o reiniciar el PC para obtener acceso a la red.

Además de la demora de sondeo, la demora también se restablece cuando el switch detecta una sonda del PC/host. Por ejemplo, si el temporizador de la sonda ha contado hasta cinco segundos y detecta una sonda ARP del PC/host, el temporizador se restablece nuevamente a 10 segundos.

Esta configuración se ha hecho disponible a través del ID de bug Cisco CSCtn27420.

Introduzca el comando IP Device Tracking Probe Use SVI

Con este comando, puede configurar el switch para enviar una sonda ARP no compatible con RFC; el origen IP no es 0.0.0.0, sino que es la interfaz virtual del switch (SVI) en la VLAN donde reside el host. Las máquinas con Microsoft Windows ya no ven la sonda como una sonda tal como se define en RFC 5227 y no marcan una IP duplicada potencial.

Introduzca el comando IP Device Tracking Probe Auto-Source [fallback <host-ip> <mask>] [override]

Para los clientes que no tienen dispositivos finales predecibles/controlables, o para aquellos que tienen muchos switches con una función solo de L2, la configuración de una SVI, que introduce una variable de capa 3 en el diseño, no es una solución adecuada. Una mejora introducida en la versión 15.2(2)E y posteriores, la posibilidad de permitir la asignación arbitraria de una dirección IP que no necesita pertenecer al switch para su uso como dirección de origen en sondas ARP generadas por IPDT. Esta mejora introduce la posibilidad de modificar el comportamiento automático del sistema de las siguientes maneras (esta lista muestra cómo se comporta automáticamente el sistema después de utilizar cada comando):

Ingrese el comando IP Device Tracking Probe Auto-Source

1. Establezca el origen en VLAN SVI, si está presente.
   
   
2. Busque un par de origen/MAC en la tabla de host IP para la misma subred.
   
   
3. Envíe el origen de IP cero como en el caso predeterminado.

Introduzca el comando IP Device Tracking Probe Auto-Source Fallback 0.0.0.1 255.255.255.0

1. Establezca el origen en VLAN SVI, si está presente.
   
   
2. Busque un par de origen/MAC en la tabla de host IP para la misma subred.
   
   
3. Calcule la IP de origen desde la IP de destino con el bit de host y la máscara proporcionados.

Ingrese el comando IP Device Tracking Probe Auto-Source Fallback 0.0.0.1 255.255.255.0 Override

1. Establezca el origen en VLAN SVI, si está presente.
   
   
2. Calcule la IP de origen desde la IP de destino con el bit de host y la máscara proporcionados.
   
   

   Nota: Una sustitución hace que se omita la búsqueda de una entrada en la tabla.

Como ejemplo de los cálculos anteriores, suponga que sondea el host 192.168.1.200. Con la máscara y los bits de host proporcionados, se genera una dirección de origen de 192.168.1.1. Si usted sondea la entrada 10.5.5.20, puede generar una sonda ARP con la dirección de origen 10.5.5.1, y así sucesivamente.

Introduzca el comando IP Device Tracking Maximum 0

Este comando realmente no inhabilita IPDT, pero limita el número de hosts rastreados a cero. Esta no es una solución recomendada, y debe usarse con precaución porque afecta a todas las otras funciones que dependen de IPDT, que incluye la configuración de canales de puerto como se describe en el Id. de bug Cisco CSCun81556.

Desactivar las funciones activas que activan IPDT

Algunas características que pueden activar IPDT incluyen NMSP, sensor de dispositivos, dot1x/MAB, WebAuth e IPSG. No se recomienda habilitar estas características en los puertos troncales. Esta solución se reserva para las situaciones más difíciles o complejas, en las que todas las soluciones disponibles anteriormente no funcionaban como se esperaba o creaban problemas adicionales. Sin embargo, esta es la única solución que permite una granularidad extrema al deshabilitar IPDT, ya que sólo puede desactivar las características relacionadas con IPDT que causan problemas y dejar todo lo demás intacto.

En la versión más reciente de Cisco IOS, Versions 15.2(2)E y posteriores, verá un resultado similar al siguiente:

Switch#show ip device tracking interface GigabitEthernet 1/0/9
--------------------------------------------
Interface GigabitEthernet1/0/9 is: STAND ALONE
IP Device Tracking = Disabled
IP Device Tracking Probe Count = 3
IP Device Tracking Probe Interval = 180000
IPv6 Device Tracking Client Registered Handle: 75
IP Device Tracking Enabled Features:
       HOST_TRACK_CLIENT_ATTACHMENT
       HOST_TRACK_CLIENT_SM

Las dos líneas en mayúsculas en la parte inferior de la salida son las que utilizan IPDT para funcionar. La mayoría de los problemas creados al deshabilitar el seguimiento de dispositivos se pueden evitar si deshabilita los servicios individuales que se ejecutan en la interfaz.

En versiones anteriores de Cisco IOS, esta forma fácil de saber qué módulos están habilitados bajo una interfaz aún no está disponible, por lo que debe pasar por un proceso más involucrado para obtener los mismos resultados. Debe activar debug ip device track interface, que es un registro de baja frecuencia que debe ser seguro en la mayoría de las configuraciones. Tenga cuidado de no activar debug ip device tracking all porque esto, por el contrario, inunda la consola en situaciones de escala.

Una vez activada la depuración, vuelva a establecer una interfaz predeterminada y, a continuación, agregue y quite un servicio IPDT de la configuración de la interfaz. Los resultados de las depuraciones indican qué servicio se ha habilitado o deshabilitado con el comando que ha utilizado.

Ejemplo:

Switch(config)#interface GigabitEthernet 1/0/9
Switch(config-if)#ip device tracking maximum 10
Switch(config-if)#
*Mar 27 09:58:49.470: sw_host_track-interface:Feature 00000008 enabled on port
Gi1/0/9, mask now 0000004C, 65 ports enabled
*Mar 27 09:58:49.471: sw_host_track-interface:Gi1/0/9[L2 DOWN, IPHOST DIS]IP
host tracking max set to 10
Switch(config-if)#

Lo que la salida revela es que usted habilitó la función 00000008, y que la nueva máscara de función es 0000004C.

Ahora, elimine la configuración que acaba de agregar:

Switch(config-if)#no ip device tracking maximum 10
Switch(config-if)#
*Mar 27 10:02:31.154: sw_host_track-interface:Feature 00000008 disabled on port
Gi1/0/9, mask now 00000044, 65 ports enabled
*Mar 27 10:02:31.154: sw_host_track-interface:Gi1/0/9[L2 DOWN, IPHOST DIS]IP
host tracking max cleared
*Mar 27 10:02:31.154: sw_host_track-interface:Max limit has been removed from
the interface GigabitEthernet1/0/9.
Switch(config-if)#

Una vez quitada la función 00000008, puede ver la máscara 00000044, que debe haber sido la máscara original predeterminada. Se espera este valor de 00000044 ya que AIM es 0x00000004 y SM es 0x00000040, lo que en conjunto resulta en 0x00000044.

Hay varios servicios IPDT que se pueden ejecutar bajo una interfaz:

Servicio IPT	Interfaz
HOST_TRACK_CLIENT_IP_ADMISSIONS	= 0x00000001
HOST_TRACK_CLIENT_DOT1X	= 0x00000002
HOST_TRACK_CLIENT_ATTACHMENT	= 0x00000004
HOST_TRACK_CLIENT_TRACK_HOST_UPTO_MAX	= 0x00000008
HOST_TRACK_CLIENT_RSVP	= 0x00000010
HOST_TRACK_CLIENT_CTS	= 0x00000020
HOST_TRACK_CLIENT_SM	= 0x00000040
HOST_TRACK_CLIENT_WIRELESS	= 0x00000080

En el ejemplo, los módulos HOST_TRACK_CLIENT_SM (SESSION-MANAGER) y HOST_TRACK_CLIENT_ATTACHMENT (también conocido como AIM/NMSP) se configuran para IPDT. Para desactivar IPDT en esta interfaz, debe desactivar ambos, ya que IPDT está desactivado SOLO cuando todas las funciones que lo utilizan también están desactivadas.

Después de desactivar estas funciones, tendrá una salida similar a la siguiente:

Switch(config-if)#do show ip device tracking interface GigabitEthernet 1/0/9
--------------------------------------------
Interface GigabitEthernet1/0/9 is: STAND ALONE
IP Device Tracking = Disabled     ß IPDT is disabled
IP Device Tracking Probe Count = 3
IP Device Tracking Probe Interval = 180000
IP Device Tracking Enabled Features:
ß No active features
--------------------------------------------

De esta manera, IPDT se inhabilita con más granularidad.

A continuación se muestra un ejemplo de comandos utilizados para inhabilitar algunas de las funciones mencionadas anteriormente:

• nmsp attach suppress
• no macro auto monitor

Nota: la función más reciente debe estar disponible sólo en plataformas compatibles con puertos inteligentes, que se utilizan para habilitar funciones basadas en la ubicación de un switch en la red y para implementaciones de configuración masiva en toda la red. 

Verifique el funcionamiento de IPDT

Utilice estos comandos para verificar el estado de IPDT en su dispositivo:

• show ip device tracking 
  Este comando muestra las interfaces en las que IPDT está habilitado y en las que se realiza un seguimiento de las asociaciones de interfaz/IP/MAC actualmente.
• clear ip device tracking 
• Este comando borra las entradas relacionadas con IPDT.
  
  

Nota: El switch envía sondas ARP a los hosts que se eliminaron. Si un host está presente, responde a la sonda ARP y el switch agrega una entrada IPDT para el host. Debe inhabilitar los sondeos ARP antes del comando clear IPDT; de esa manera, todas las entradas ARP han desaparecido. Si se habilitan los sondeos ARP después del comando clear ip device tracking, todas las entradas regresan nuevamente.

• debug ip device tracking 
  Este comando le permite recopilar depuraciones para mostrar la actividad IPDT en tiempo real.