Wave 2 및 11ax 액세스 포인트(CSCvx32806)의 이미지 손상으로 인한 부팅 루프에서 복구

소개

일부 Cisco AP(Access Point)는 9800 Series 컨트롤러에서 CAPWAP(Control and Provisioning of Wireless Access Points)를 통해 손상된 이미지를 다운로드할 수 있습니다.  AP의 소프트웨어 버전에 따라 AP가 손상된 이미지의 부팅을 시도하여 부팅 루프가 발생할 수 있습니다.  이 문서에서는 부팅 루프에 갇힌 액세스 포인트를 복구하는 방법에 대해 설명합니다. 어떤 제품 및 구축이 이 이 문제에 영향을 받기 쉬우며 부팅 루프 문제를 겪지 않고 안전하게 업그레이드하는 방법에 대해 자세히 알아보려면 Safety Upgrade Access Points, Avoiding Image Corrupt That Cause Boot Loop 문서를 참조하십시오.

이 문제는 Field Notice(필드 알림): FN74109 - CAPWAP 업그레이드 중 액세스 포인트 이미지가 손상되어 부팅이 실패할 수 있음...

문제 조건

영향 받지 않는 제품

• WLC(Wireless LAN Controller): AireOS Wireless LAN Controller에서 다운로드하는 AP는 영향을 받지 않습니다
• Mobility Express, 내장 무선 컨트롤러

• AP - Aironet 1800/1540/1100AC series Wave 2 11ac AP 및 Wave 1 11ac Access Point(1700/2700/3700/1570/IW3700)는 영향을 받지 않습니다(이러한 AP가 9800 WLC에 등록하더라도 영향을 받지 않음)
• 2023년부터 도입된 Wi-Fi 6E AP: IW9167, IW9165, C9163

영향을 받는 제품

• WLC: Cisco Catalyst 9800 Series Wireless LAN Controller에서 다운로드되는 AP에 영향을 미칠 수 있습니다.
  
• AP: Cisco Catalyst 9800 Series Wireless LAN Controller에 등록하는 다음 AP 모델이 영향을 받습니다.
  • Aironet Wave2 11ac Access Point(2800/3800/4800/1560/IW6330/ESW6300)
  • Catalyst 9100 Series Wi-Fi6 Access Point(9105/9115/9117/9120/9124/9130/WP-WIFI6/ISR-AP1101AX)
  • Catalyst 9100 Series Wi-FI6E Access Point(9136/9162/9164/9166)

영향을 받는 버전: Boot a Bad Image Syndrome

AP가 손상된 것으로 알고 있는 이미지를 부팅하려고 시도하는 경우 이 문제는 CSCvx32806 , CSCwc72021 , CSCwd90081 Cisco 버그 ID로 해결됩니다.

• 8.10.185.0 이상
• 17.3.7 이상
• 17.6.6 이상
• 17.9.3 이상
• 17.11.1 이상

AP가 위 수정 사항이 적용된 소프트웨어로 업그레이드된 후에도 손상된 이미지가 다운로드될 수 있습니다. 그러나 이 AP는 해당 이미지의 부팅을 시도하지 않고 성공할 때까지 다운로드를 다시 시도합니다.

증상

AP 콘솔:

손상된 이미지를 이미 다운로드하고 부팅 루프에 있는 AP는 다음과 유사한 콘솔 메시지를 표시합니다.

/bootpart/part1/ramfs_data_cisco.cpio.lzma에 대한 서명 확인 실패

또는

/bootpart/part2/ramfs_data_cisco.squashfs에 대한 서명을 확인하지 못했습니다.

메시지에 "part1" 또는 "part2"가 표시되는지 기록해 두십시오. 그러면 어떤 부트 파티션이 손상되었는지 알 수 있습니다.

Syslog 또는 Show logging:

이미지 다운로드 시도 전에 외부 syslog 서버에 로깅하도록 액세스 포인트를 구성한 경우 다음 오류가 기록됩니다.

이미지 서명 확인 실패: -3

이 오류 메시지는 AP CLI(콘솔 또는 SSH)의 "show logging" 출력에서도 확인할 수 있습니다.  이미지 업데이트 시도 이후 로깅 버퍼를 덮어쓴 경우 AP 플래시에 저장된 syslog 파일에서 오류 메시지가 표시될 수 있습니다. show logging에서 성공 또는 실패 메시지가 표시되지 않으면 AP에서 복구 방법 중 하나를 사용하여 TFTP 또는 SFTP를 통해 원하는 이미지를 다시 설치합니다.

Cisco Switchport:

부팅 루프 상태의 AP는 AP 업링크 스위치 포트의 Show 출력에 아래와 같이 IEEE PD를 표시합니다.  (CDP 또는 LLDP를 사용하는 경우 올바르게 작동하는 AP는 Device 열에 해당 모델을 표시합니다.)

switch#show power inline
Available:195.0(w)  Used:159.9(w)  Remaining:35.1(w)

Interface Admin  Oper       Power   Device              Class Max
                            (Watts)
--------- ------ ---------- ------- ------------------- ----- ----
Gi0/1     auto   on         15.4    Ieee PD             4     30.0
Gi0/2     auto   on         24.1    C9115AXI-B          4     30.0

부팅 루프에 있는 AP를 복구하는 방법

AP에 Alt-boot Enhancement가 있는지 확인합니다.

AP가 손상된 이미지를 다운로드하고 부팅을 시도하는 경우 해당 u-부트(AP 부트로더)가 Alt-부트(대체 부트) 개선 기능을 갖는지 여부에 따라 두 가지 동작 중 하나가 표시됩니다

• Alt-boot를 사용하지 않는 경우: AP는 손상된 이미지를 무기한 부팅하려고 시도하며 콘솔 포트를 통해 복구해야 합니다
• Alt-boot를 사용하는 경우: AP가 손상된 이미지를 5번 부팅한 다음 해당 백업 파티션에서 이미지를 부팅합니다.  이 경우 아래에 설명된 Alt-boot 복구 방법 중 하나를 사용하여 콘솔 액세스 없이 AP를 복구할 수 있습니다.

Alt-boot u-boot 개선 사항은 다음 소프트웨어 릴리스에서 번들로 제공됩니다.

• 9117/9130/9124: 8.10.190.0, 17.3.8+, 17.6.6+, 17.9.1+
• 9136: 17.9.1+
• 916x: 모든 장치에 Alt-boot 개선 사항이 적용됨
• 9105/9115/9120/2800/3800/4800/1560/6300: 8.10.190.0, 17.3.8+, 17.6.6+, 17.9.4

AP에서 Alt-boot 개선 사항이 적용된 이미지를 다운로드한 경우 런타임 이미지가 손상된 경우에도 u-boot가 업그레이드됩니다.  예를 들어, 다음 시나리오를 고려해 보십시오.

• 9130 AP에 17.3.4c가 설치되어 있습니다(Alt-boot 기능 향상 없음).
• 그런 다음 17.9.5 이미지를 다운로드하지만 다운로드 중에 해당 이미지가 손상되었습니다. 
• 17.3.4c에는 Boot a Bad Image Syndrome(불량 이미지 부팅 신드롬)에 대한 수정 사항이 없으므로 AP는 계속해서 손상된 이미지를 부팅하려고 시도합니다. 
• 새 이미지 파티션을 부팅하면 AP가 잘못된 런타임 이미지를 부팅하기 전에 17.9.5 u-boot로 업그레이드됩니다.
• 그런 다음 AP는 손상된 17.9.5 런타임 이미지를 부팅하기 위해 5번 시도합니다.
• 그런 다음 AP가 현재 17.9.5 u-boot를 실행 중이므로 Alt-boot 로직은 AP가 해당 백업 파티션의 런타임 이미지를 부팅하도록 전환합니다.
• 이제 콘솔 액세스 없이 AP를 복구할 수 있습니다.

부팅 루프에 있는 AP 복구 - Alt-boot 개선 기능 사용

AP가 부팅 루프에 있고 U-부팅에 Alt-boot Enhancement가 있는 경우 다음 절차 중 하나를 사용하여 AP를 복구합니다.

AP에서 SSH가 활성화된 경우

1. 영향을 받는 AP에 액세스할 수 있는 TFTP 또는 SFTP 서버에 원하는 AP 이미지를 준비합니다.  원하는 Cisco IOS® XE 버전에 매핑되는 15.3(3)J* AP 버전에 대한 호환성 매트릭스의 표 4를 참조한 다음, software.cisco.com에서 영향을 받는 AP 모델에 적합한 경량 AP 소프트웨어 이미지를 다운로드합니다.
   
   1. 예를 들어 CW9162의 17.9.5 AP 이미지는 ap1g6b-k9w8-tar.153-3.JPN4.tar입니다.
2. 손상된 AP가 손상된 파티션에 있는 것과 동일한 소프트웨어 버전을 실행하는 컨트롤러에 조인하지 못하도록 합니다.  따라서 AP 스위치 포트에 CAPWAP ACL을 추가하여 AP가 다시 컨트롤러에 조인하지 못하도록 합니다. 예를 들어, 아래와 유사한 ACL을 AP 서브넷의 기본 게이트웨이 인터페이스에 적용할 수 있습니다.
   

   Router#show running-config | section access-list 133
   access-list 133 deny ip host <wlc_ip> any log
   access-list 133 deny ip any host <wlc_ip> log
   access-list 133 permit ip any any
   
   Router#show running-config interface Vlan6
   [ ... ]
   interface Vlan6
   ip address 192.168.6.1 255.255.255.0
   ip access-group 133 in

3. AP가 손상된 이미지를 사용하여 5번 재부팅한 다음 백업 파티션의 작업 이미지로 전환합니다.
   1. AP 스위치의 show cdp neighbor <interface> detail 명령을 사용하여 AP의 백업 파티션에 있는 코드 버전을 확인할 수 있습니다.  (AP가 손상된 이미지를 부팅하는 경우 CDP가 해당 포트에 나타나지 않습니다.)
4. AP가 작동 중인 백업 이미지를 발견하면 컨트롤러에 조인하려고 시도하지만 2단계에서 추가된 ACL 때문에 수행할 수 없습니다.
5. 영향을 받는 각 AP에 대한 SSH(많은 수의 AP가 영향을 받는 경우 WLAN Poller를 통해 이 단계를 자동화할 수 있음)
6. 이제 archive download 명령을 사용하여 AP의 백업 파티션에 원하는 이미지를 다운로드합니다.
   archive download-sw /no-reload tftp://<ip-address>/<apimage>
   또는
   archive download-sw /no-reload sftp://<ip-address>/<apimage>
   이렇게 하면 손상된 이미지를 유효한 이미지로 덮어씁니다.  이미지 다운로드가 완료되면 다음을 실행합니다.
   capwap 재시작 테스트
   그러면 AP가 새로 설치된 이미지를 인식할 수 있도록 CAPWAP 프로세스가 다시 시작됩니다.
   
7. 이제 ACL을 제거하고 AP가 컨트롤러에 조인하도록 합니다. 이미지를 다시 다운로드하지 않습니다.

AP에서 SSH가 활성화되지 않았지만 AP에 Alt-boot Enhancement가 있는 경우

1. AP가 손상된 파티션에 있는 것과 동일한 소프트웨어 버전을 실행 중인 컨트롤러에 조인하려고 시도하지 않는지 확인하십시오.  따라서 AP 스위치 포트에 CAPWAP ACL을 추가하여 AP가 다시 컨트롤러에 조인하지 못하도록 합니다.
2. AP의 손상된 버전과 다른 소프트웨어 버전을 실행하는 컨트롤러를 시작합니다.
   
   1. AP 스위치의 show cdp neighbor <interface> detail 명령을 사용하여 AP의 백업 파티션에 있는 코드 버전을 확인할 수 있습니다.  (AP가 손상된 이미지를 부팅하는 동안에는 CDP가 해당 포트에 나타나지 않습니다.)
   2. AP의 백업 버전을 실행하는 컨트롤러를 스테이징할 수 없는 경우(9800인 경우) 최소한 Boot a Bad Image Syndrome 및 Alt-boot에 대한 수정 사항이 포함된 버전을 스테이징합니다.
   3. 또 다른 옵션은 8.10.190.0 이상을 실행하는 AireOS 컨트롤러를 사용하는 것입니다. AireOS에서 CAPWAP 다운로드는 이미지 손상에 취약하지 않기 때문입니다.
3. AP가 DHCP 옵션 43, IP 헬퍼 주소 또는 DNS를 통해 대체 컨트롤러를 검색할 수 있도록 설정합니다.
   1. 대체 컨트롤러에서 AP의 백업과 다른 Cisco IOS XE 버전을 실행 중인 경우 AP는 손상된 이미지를 다운로드하기 쉬우므로 새로 손상될 수 있는 모든 AP에 대해 이 프로세스를 반복합니다.
4. AP가 대체 컨트롤러에 조인하면 원하는 이미지를 AP에 다운로드합니다.
   1. 영향을 받는 AP에 액세스할 수 있는 TFTP 또는 SFTP 서버에 원하는 AP 이미지를 준비합니다.  원하는 Cisco IOS XE 버전에 매핑되는 15.3(3)J* AP 버전에 대한 호환성 매트릭스의 표 4를 참조한 다음, software.cisco.com에서 영향을 받는 AP 모델에 대한 적절한 경량 AP 소프트웨어 이미지를 다운로드합니다.
      
      1. 예를 들어 CW9162의 17.9.5 AP 이미지는 ap1g6b-k9w8-tar.153-3.JPN4.tar입니다.
   2. 영향을 받는 AP에서 ssh를 활성화하고 영향을 받는 각 AP에 ssh를 적용합니다(많은 수의 AP가 영향을 받는 경우 WLAN Poller를 통해 이 단계를 자동화할 수 있습니다).
      1. 이제 archive download 명령을 사용하여 AP의 백업 파티션에 원하는 이미지를 다운로드합니다.
         archive download-sw /no-reload tftp://<ip-address>/<apimage>
         또는
         archive download-sw /no-reload sftp://<ip-address>/<apimage>
         이렇게 하면 손상된 이미지를 유효한 이미지로 덮어씁니다. 
      2. 이미지 다운로드가 완료되면 다음을 실행합니다.
         capwap 재시작 테스트
         그러면 AP가 새로 설치된 이미지를 인식할 수 있도록 CAPWAP 프로세스가 다시 시작됩니다.
   3. AP에서 아카이브 download-sw를 실행하는 대신 다음 controller 명령을 사용하여 TFTP 서버에서 원하는 이미지를 다운로드할 AP를 가져올 수 있습니다.
      1. Cisco IOS XE에서 ap 이름 APNAME tftp-downgrade ip.addr.of.sever imagename.tar
      2. AireOS에서: config ap tftp-downgrade ip.addr.of.sever imagename.tar APNAME
         
      3. TFTP 서버 로그를 모니터링하여 각 AP가 이미지를 성공적으로 다운로드했는지 확인합니다.  다운로드가 완료되면 각 AP가 다시 로드되어 새로 다운로드된 이미지가 실행됩니다.
         
5. 1단계에서 설치된 ACL을 제거하고 AP를 원하는 컨트롤러에 연결합니다.

콘솔을 통한 복구

AP가 부팅 루프에 있고 AP에 Alt-boot 개선 사항이 없는 경우 콘솔을 통해 AP를 복구해야 합니다.

모든 AP 모델: 어떤 부팅 파티션이 손상되었는지 확인

먼저 어떤 부트 파티션이 손상되었는지 확인합니다.

1. AP 콘솔에 연결합니다.
   
2. 메시지가 표시될 때까지 AP 부팅 시도 확인
   /bootpart/part1/ramfs_data_cisco.cpio.lzma에 대한 서명 확인 실패
   또는
   /bootpart/part2/ramfs_data_cisco.cpio.lzma에 대한 서명 확인 실패
   (메시지에 "ramfs_data_cisco.cpio.lzma" 대신 "ramfs_data_cisco.squashfs"가 표시될 수 있습니다."
   
3. 어떤 파티션(part1 또는 part2)이 손상되었는지를 기록합니다

AP 모델 9117, 9124, 9130, 9136

1. 콘솔에 연결된 상태에서 AP 전원을 껐다가 켭니다.
   

2. 부팅하는 동안 Esc 키를 눌러 자동 부팅을 중지하는 것이 표시되면 Escape 키를 누릅니다
   

3. 다음 프롬프트 중 하나가 표시됩니다.

   (BTLDR) #
   또는
   (u-boot)>

4. 다음 명령을 실행합니다
   

   (u-boot)> or (BTLDR)# setenv mtdids nand0=nand0 && setenv mtdparts mtdparts=nand0:0x40000000@0x0(fs) && ubi part fs
   (u-boot)> or (BTLDR)# ubi remove part1   (or part2 if corrupted image is in part2)
   (u-boot)> or (BTLDR)# ubi create part1   (or part2 if corrupted image is in part2)
   (u-boot)> or (BTLDR)# reset

AP 모델 2802, 3802, 4800, 9105, 9115, 9120

1. 콘솔에 연결된 상태에서 AP 전원을 껐다가 켭니다.
   

2. 부팅하는 동안 Esc 키를 눌러 자동 부팅을 중지하는 것이 표시되면 Escape 키를 누릅니다

3. 이렇게 하면 (u-boot)> 프롬프트가 표시됩니다.

4. 다음 명령을 실행합니다

(u-boot)> ubi part fs 
(u-boot)> ubi remove part1  (or part2 if corrupted image is in part2) 
(u-boot)> ubi create part1  (or part2 if corrupted image is in part2) 
(u-boot)> boot

자주 묻는 질문(FAQ)

Q1) 내 AP는 모두 고속 저지연 LAN 연결을 통해 9800에 연결됩니다.  위의 작업을 계속 수행해야 합니까?

이 문제는 WAN 연결을 통해 AP를 업그레이드할 때만 보고되었습니다.

Q2) 새로운 기본 AP가 있습니다. 이 문제를 겪지 않고 어떻게 구축할 수 있습니까?

손실 WAN 링크를 통해 코드를 다운로드하는 새로운 기본 AP도 2023년 12월 이전에 제조된 경우 문제가 발생할 수 있습니다. 로컬 WLC로 이러한 AP를 먼저 스테이징하는 것이 좋습니다.

Q3) 이 문제에 대해 더 궁금한 점이 있습니다.  어느 분에게 지시하면 될까요?

A: fn74109-questions@cisco.com으로 이메일을 전송합니다.