Introduction
Ce document décrit un comportement différent lorsque le protocole SNMP (Simple Network Monitoring Protocol) marche ou se dirige vers 6200 Fabric Interconnect (FI) par rapport au protocole 6454 FI. Les pare-feu avec état peuvent bloquer les réponses IP physiques aux passerelles d'adresses IP virtuelles (VIP) SNMP dans FI 6200, alors que le problème n'est pas visible dans 6454 FI.
Conditions préalables
Conditions requises
Cisco vous recommande de prendre connaissance des rubriques suivantes :
- SNMP Walk Tool installé sur un serveur avec connectivité au domaine UCSM (Unified Computing System Manager).
- 6248 FI et 6454 FI
Components Used
Les informations contenues dans ce document sont basées sur les versions de matériel et de logiciel suivantes :
- SNMP Walk Tool installé sur un serveur avec connectivité au domaine UCSM (Unified Computing System Manager).
- 6248 FI avec microprogramme UCSM 4.0(4e)
- 6454 FI avec microprogramme UCSM 4.0(4f)
The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si votre réseau est en ligne, assurez-vous de bien comprendre l’incidence possible des commandes.
Produits connexes
Ce document peut également être utilisé avec les versions de matériel et de logiciel suivantes :
- Tout logiciel d'interrogation ou de marche SNMP tiers
- 6296 FI
Informations générales
Les pare-feu entre les serveurs FI et SNMP Collector/Walk peuvent être configurés pour l'inspection dynamique, ce qui signifie que lorsqu'une requête est envoyée à partir d'une certaine adresse IP, la réponse est uniquement autorisée à partir de cette même adresse IP. Les interconnexions de fabric utilisent une adresse IP virtuelle (VIP) à laquelle répond l'FI principal. L'inspection dynamique du pare-feu peut bloquer les réponses SNMP dans une FI de 2e génération comme le 6248 si le SNMP Get ou Walk est demandé au VIP comme dans ce modèle si la réponse provient de l'IP physique de l'FI principal. Le pare-feu avec inspection avec état autorise uniquement les réponses de l'adresse IP ciblée de sorte que les paquets soient bloqués. Dans les tests, une FI de 4e génération comme la réponse 6454 avec quelle IP est demandée, le VIP ou l'une ou l'autre IP physique répondra s'il s'agit de l'IP cible.
La solution de contournement pour les FI de 2e génération, comme les modèles 6248 et 6296, consiste à cibler l'IP physique de l'FI principal ou à modifier les règles de pare-feu pour autoriser les réponses de l'une ou l'autre IP physique de l'IF si une demande est faite du VIP.
Le résultat du test présente un comportement différent de 6200 et 6400 FI lorsque VIP est interrogé par SNMP
FI 6248 avec microprogramme UCSM 4.0.4e
Sortie de ligne de commande du serveur Walk SNMP :
[SNMP Walk Server]$ snmpwalk -c 'xxx' 172.16.0.52 <<< SNMP Walk of the Physical IP of FI
snmpwalk: No securityName specified <<<<<<<<<<<<<<<<< No network errors so successful reply
[SNMP Walk Server]$ snmpwalk -c 'xxx' 172.16.0.53 <<< SNMP Walk of the Virtual IP
snmpwalk: Timeout <<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<< Network Error
Capture de paquets FI :
FI-B(nxos)# ethanalyzer local interface mgmt capture-filter "host 10.0.45.154" limit-captured-frames 0
Capturing on eth0
2020-01-06 11:44:00.739413 10.0.45.154 -> 172.16.0.52 SNMP get-request <<< SNMP Walk of the Physical IP of FI
2020-01-06 11:44:01.274570 172.16.0.52 -> 10.0.45.154 SNMP report <<<<<<<< FI replies with Physical IP of Primary FI
FI-B(nxos)# ethanalyzer local interface mgmt capture-filter "host 10.0.45.154" limit-captured-frames 0
Capturing on eth0
2020-01-06 11:44:50.886972 10.0.45.154 -> 172.16.0.53 SNMP get-request <<< SNMP Walk of the Virtual IP
2020-01-06 11:44:50.887350 172.16.0.52 -> 10.0.45.154 SNMP report <<<<<<<< FI Replies with the IP of the Primary FI Physical IP Stateful Firewall may block this reply
2020-01-06 11:44:51.886878 10.0.45.154 -> 172.16.0.53 SNMP get-request
2020-01-06 11:44:51.887223 172.16.0.52 -> 10.0.45.154 SNMP report
2020-01-06 11:44:52.887808 10.0.45.154 -> 172.16.0.53 SNMP get-request
2020-01-06 11:44:52.888161 172.16.0.52 -> 10.0.45.154 SNMP report
2020-01-06 11:44:53.888741 10.0.45.154 -> 172.16.0.53 SNMP get-request
2020-01-06 11:44:53.889087 172.16.0.52 -> 10.0.45.154 SNMP report
2020-01-06 11:44:54.889477 10.0.45.154 -> 172.16.0.53 SNMP get-request
2020-01-06 11:44:54.889816 172.16.0.52 -> 10.0.45.154 SNMP report
2020-01-06 11:44:55.890280 10.0.45.154 -> 172.16.0.53 SNMP get-request
2020-01-06 11:44:55.890623 172.16.0.52 -> 10.0.45.154 SNMP report
FI 6454 avec microprogramme UCSM 4.0.4d
Sortie de ligne de commande du serveur Walk SNMP :
[SNMP Walk Server]$ snmpwalk -c 'fgING$df' 172.16.0.94 <<< SNMP Walk of the Physical IP of FI
snmpwalk: No securityName specified <<<<<<<<<<<<<<<<< No network errors so successful reply
[SNMP Walk Server]$ snmpwalk -c 'fgING$df' 172.16.0.93 <<< SNMP Walk of the Virtual IP
snmpwalk: No securityName specified <<<<<<<<<<<<<<<<< No network errors so successful reply
Capture de paquets FI :
stha99u11-B(nx-os)# ethanalyzer local interface mgmt capture-filter "host 10.0.45.154" limit-captured-frames 0
Capturing on mgmt0
2020-01-06 12:01:31.866959 10.0.45.154 -> 172.16.0.94 SNMP get-request <<< SNMP Walk of the Physical IP of FI
2020-01-06 12:01:31.868620 172.16.0.94 -> 10.0.45.154 SNMP report 1.3.6.1.6.3.15.1.1.4.0 <<< FI replies from Physical IP no issues with Stateful Firewall
2020-01-06 12:01:47.647205 10.0.45.154 -> 172.16.0.93 SNMP get-request <<< SNMP Walk of the Virtual IP
2020-01-06 12:01:47.648800 172.16.0.93 -> 10.0.45.154 SNMP report 1.3.6.1.6.3.15.1.1.4.0 <<< FI replies from IP of Virtual IP no issues with Stateful Firewall
Informations connexes
Commentaires