Configurar e verificar o canal de porta em dispositivos Firepower
Contents
Introdução
Este documento descreve como configurar, verificar e solucionar problemas do canal de porta em dispositivos Firepower.
Pré-requisitos
Requisitos
A Cisco recomenda que você tenha conhecimento destes tópicos:
- Firepower Management Center (FMC)
- Firepower Chassis Manager (FCM)
- Firepower eXtensible Operating System (FXOS)
- Firepower Threat Defense (FTD)
- EtherChannel (EC)
Observação: neste documento, os termos EtherChannel e Port-Channel (PC) são usados como sinônimos.
Componentes Utilizados
As informações neste documento são baseadas nestas versões de software e hardware:
- 2 x FPR4120 em FXOS 2.2(2.17), FTD 6.2.0.2.51
- 1 x FPR4110 em FXOS 2.1(0.159), FTD 6.1.0.330
- 1 x FPR2110 em FTD 6.2.1 (build 341)
- 1 x FPR1150 em FTD 6.5.0
- WS-C3750X-24 em 15.2(4)E5
As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.
Informações de Apoio
Este documento descreve a configuração, verificação e solução de problemas de um Port-Channel nos dispositivos Firepower (FPR1xxx, FPR21xx, FPR41xx, FPR93xx). Os exemplos de configuração de documentos são baseados no Firepower Threat Defense (FTD), mas muitos conceitos (por exemplo, a verificação e a solução de problemas) também são totalmente aplicáveis ao Adaptive Security Appliance (ASA).
Configurar
Port-Channel no FPR4100/FPR9300
Diagrama de Rede
Configurar um Port-Channel na interface do usuário do FXOS (FPR4100/FPR9300)
O Port-Channel do FTD nos dispositivos Firepower é gerenciado pelo código do FXOS. No FPR4100/FPR9300, a configuração é feita no Firepower Chassis Manager:
O Port-Channel fica inativo (estado de falha) até ser atribuído a um dispositivo lógico:
Para atribuir o Port-Channel ao dispositivo lógico:
O resultado:
Pontos principais
- Antes da versão 2.4.x do FXOS, o FPR4100/FPR9300 é compatível somente com o LACP (não há modo ON nem PAGP). Desde o FXOS 2.4.1.101, o modo ON é compatível com os Etherchannels de dados e compartilhamento de dados.
- Certifique-se de que as interfaces que devem ser adicionadas no canal de porta ainda não foram adicionadas ao dispositivo lógico. Se estiverem, eles não aparecerão na interface quando o canal de porta for adicionado.
- Você não pode ativar/desativar membros individuais do Port-Channel, mas apenas o próprio Port-Channel.
- Não é possível excluir um canal de porta usado por um dispositivo lógico (por exemplo, ASA ou FTD). Você deve desassociá-lo primeiro.
- O Port-Channel não fica ativo até ser atribuído a um dispositivo lógico. Se o EtherChannel for removido do dispositivo lógico ou o dispositivo lógico for excluído, o Port-Channel volta para um estado de suspensão.
- Defina as portas do switch que se conectam ao modo Ativo para obter a melhor compatibilidade.
Configuração do Switch
Ao configurar o switch, recomenda-se o seguinte para evitar instabilidades no Port-Channel:
- Use o comando interface range.
- Desligue os membros da interface do canal de porta antes de fazer alterações que afetem a operação do canal de porta (por exemplo, se o modo do canal de porta for alterado).
Exemplo
Switch(config)# interface range g1/0/2 - 3 Switch(config-if-range)# shutdown Switch(config-if-range)# switchport trunk encapsulation dot1q Switch(config-if-range)# switchport mode trunk Switch(config-if-range)# channel-group 5 mode active Switch(config-if-range)# no shutdown
Observação: consulte sempre a seção Guia de configuração do modelo de switch para obter detalhes adicionais.
Configurar um Port-Channel na CLI do FXOS (FPR4100/FPR9300)
Etapa 1. Verificar as interfaces que já estão atribuídas ao dispositivo lógico do FTD.
FP4110-7-A# scope ssa
FP4110-7-A /ssa # show logical-device
Logical Device:
Name Description Slot ID Mode Oper State Template Name
---------- ----------- ---------- ---------- ------------------------ -------------
mzafeiro_FTD 1 Standalone Ok ftd
FP4110-7-A /ssa # scope logical-device mzafeiro_FTD
FP4110-7-A /ssa/logical-device # show external-port-link
External-Port Link:
Name Port or Port Channel Name App Name Description
--------------- ------------------------- ---------- -----------
Ethernet11_ftd Ethernet1/1 ftd
Ethernet16_ftd Ethernet1/6 ftd
Etapa 2. Verificar as interfaces do chassi.
FP4110-7-A# scope eth-uplink
FP4110-7-A /eth-uplink # scope fabric a
FP4110-7-A /eth-uplink/fabric # show interface
Interface:
Port Name Port Type Admin State Oper State State Reason
--------------- ------------------ ----------- ---------------- ------------
Ethernet1/1 Mgmt Enabled Up
Ethernet1/2 Data Disabled Admin Down Administratively down
Ethernet1/3 Data Disabled Admin Down Administratively down
Ethernet1/4 Data Disabled Failed SFP checksum error
Ethernet1/5 Data Disabled Sfp Not Present Unknown
Ethernet1/6 Data Disabled Sfp Not Present Unknown
Ethernet1/7 Data Disabled Sfp Not Present Unknown
Ethernet1/8 Data Disabled Sfp Not Present Unknown
Ethernet3/1 Data Disabled Admin Down Administratively down
Ethernet3/2 Data Disabled Admin Down Administratively down
Ethernet3/3 Data Disabled Admin Down Administratively down
Ethernet3/4 Data Disabled Admin Down Administratively down
Ethernet3/5 Data Disabled Admin Down Administratively down
Ethernet3/6 Data Disabled Admin Down Administratively down
FP4110-7-A /eth-uplink/fabric # show port-channel
Port Channel:
Port Channel Id Name Port Type Admin State Oper State State Reason
--------------- ---------------- ------------------ ----------- ---------------- ------------
48 Port-channel48 Cluster Disabled Admin Down Administratively down
Etapa 3. Criar o Port-Channel.
bsns-4110-2-A# scope eth-uplink bsns-4110-2-A /eth-uplink # scope fabric a bsns-4110-2-A /eth-uplink/fabric # create port-channel 15 bsns-4110-2-A /eth-uplink/fabric/port-channel* # create member-port Ethernet1/5 bsns-4110-2-A /eth-uplink/fabric/port-channel/member-port* # exit bsns-4110-2-A /eth-uplink/fabric/port-channel* # create member-port Ethernet1/6 bsns-4110-2-A /eth-uplink/fabric/port-channel/member-port* # exit bsns-4110-2-A /eth-uplink/fabric/port-channel* # set port-type data bsns-4110-2-A /eth-uplink/fabric/port-channel* # set speed 1gbps bsns-4110-2-A /eth-uplink/fabric/port-channel* # enable bsns-4110-2-A /eth-uplink/fabric/port-channel* # commit-buffer
Etapa 4. Atribua a interface ao dispositivo lógico do FTD:
FP4110-7-A# scope ssa FP4110-7-A /ssa # scope logical-device mzafeiro_FTD FP4110-7-A /ssa/logical-device # create external-port-link PC15_ftd Port-channel15 ftd FP4110-7-A /ssa/logical-device/external-port-link* # commit-buffer FP4110-7-A /ssa/logical-device/external-port-link #
Verificação
FP4110-7-A# scope ssa
FP4110-7-A /ssa # scope logical-device mzafeiro_FTD
FP4110-7-A /ssa/logical-device # show external-port-link
External-Port Link:
Name Port or Port Channel Name App Name Description
--------------- ------------------------- ---------- -----------
Ethernet11_ftd Ethernet1/1 ftd
Ethernet16_ftd Ethernet1/6 ftd
PC15_ftd Port-channel15 ftd
FP4110-7-A# scope eth-uplink
FP4110-7-A /eth-uplink # scope fabric a
FP4110-7-A /eth-uplink/fabric # show port-channel
Port Channel:
Port Channel Id Name Port Type Admin State Oper State State Reason
--------------- ---------------- ------------------ ----------- ---------------- ------------
15 Port-channel15 Data Enabled Up
48 Port-channel48 Cluster Disabled Admin Down Administratively down
FP4110-7-A /eth-uplink/fabric # enter port-channel 15
FP4110-7-A /eth-uplink/fabric/port-channel # show member-port
Member Port:
Port Name Membership Oper State State Reason
--------------- ------------------ ---------------- ------------
Ethernet1/2 Up Up
Ethernet1/3 Up Up
Exclua o canal de porta da CLI do FXOS (FPR4100/FPR9300).
FP4110-7-A# scope eth-uplink FP4110-7-A /eth-uplink # scope fabric a FP4110-7-A /eth-uplink/fabric # delete port-channel 15 FP4110-7-A /eth-uplink/fabric* # commit-buffer
Port-Channel no FPR21xx/FPR1xxx
Diagrama de Rede
O Port-Channel do FTD nos dispositivos FPR21xx/FPR1xxx é gerenciado pelo código do FXOS, mas a configuração é feita pelo FMC, pois o código do FTD e do FXOS está integrado em um pacote de software:
O modo (Ativo do LACP ou ON) é configurado na guia Avançado:
As configurações de duplex e velocidade são definidas na guia Configuração de hardware:
Observação: no FPR2100, você não pode criar um canal de porta a partir da CLI do FXOS, a menos que use um ASA como um dispositivo lógico. Depois do ASA 9.13.x, esse é o caso somente no modo de plataforma. No modo Dispositivo (11xx/21xx), não há FCM e toda a configuração de interface é realizada diretamente na CLI do ASA.
Fp2110 /eth-uplink/fabric* # create port-channel 16 Fp2110 /eth-uplink/fabric/port-channel* # create member-port Ethernet1/10 Fp2110 /eth-uplink/fabric/port-channel/member-port* # exit Fp2110 /eth-uplink/fabric/port-channel* # create member-port Ethernet1/11 Fp2110 /eth-uplink/fabric/port-channel/member-port* # exit Fp2110 /eth-uplink/fabric/port-channel* # commit-buffer Error: Changes not allowed. use: 'connect ftd' to make changes.
Caso uma interface física esteja inativa e você queira ativá-la, faça o seguinte:
firepower-2110# scope eth-uplink
firepower-2110 /eth-uplink # scope fabric a
firepower-2110 /eth-uplink/fabric # show interface
Interface:
Port Name Port Type Admin State Oper State State Reason
-------------- ------------------ ----------- ---------------- ------------
Ethernet1/3 Data Enabled Up Up
Ethernet1/4 Data Disabled Link Down Down
Ethernet1/5 Data Disabled Link Down Down
Ethernet1/6 Data Disabled Link Down Down
Ethernet1/7 Data Disabled Link Down Down
Ethernet1/8 Data Disabled Link Down Down
Ethernet1/9 Data Disabled Link Down Down
Ethernet1/10 Data Disabled Link Down Down
Ethernet1/11 Data Disabled Link Down Down
Ethernet1/12 Data Disabled Link Down Down
Ethernet1/13 Data Disabled Link Down Down
Ethernet1/14 Data Disabled Link Down Down
Ethernet1/15 Data Disabled Link Down Down
Ethernet1/16 Data Disabled Link Down Down
firepower-2110 /eth-uplink/fabric # enter interface Ethernet1/4
firepower-2110 /eth-uplink/fabric/interface # show
Interface:
Port Name Port Type Admin State Oper State State Reason
-------------- ------------------ ----------- ---------------- ------------
Ethernet1/4 Data Disabled Link Down Down
firepower-2110 /eth-uplink/fabric/interface # enable
firepower-2110 /eth-uplink/fabric/interface* # commit-buffer
firepower-2110 /eth-uplink/fabric/interface # show
Interface:
Port Name Port Type Admin State Oper State State Reason
-------------- ------------------ ----------- ---------------- ------------
Ethernet1/4 Data Enabled Link Down Down
firepower-2110 /eth-uplink/fabric/interface #
Configuração do FDM
Considere esta topologia:
Você pode configurar as interfaces EtherChannel que usam o FDM a partir da versão de software 6.5. Navegue até Dispositivo > Interfaces > EtherChannels e adicione um EtherChannel. Como nesse caso o EtherChannel é um tronco, especifique a ID do EtherChannel, ative-a (status) e adicione os membros. O EtherChannel é compatível com o modo Ativo do LACP e On (sem LACP). Nesse caso, o modo Ativo do LACP está configurado.
Adicione as subinterfaces:
O resultado:
Implante as alterações esperadas.
Verificar
Verificar Port-Channel no FPR4100/FPR9300
Diagrama de Rede
O FTD (ou ASA) não tem conhecimento dos membros individuais do Port-Channel. As interfaces lógicas (subinterfaces) são configuradas no FMC:
> system support diagnostic-cli firepower# show interface ip brief Interface IP-Address OK? Method Status Protocol Internal-Data0/0 unassigned YES unset up up Internal-Data0/1 unassigned YES unset up up Internal-Data0/2 169.254.1.1 YES unset up up Port-channel15 unassigned YES unset up up
firepower# show nameif Interface Name Security Port-channel15 INSIDE 0 Ethernet1/1 diagnostic 0
firepower# show interface Port-channel15 detail
Interface Port-channel15 "INSIDE", is up, line protocol is up
Hardware is EtherSVI, BW 20000 Mbps, DLY 1000 usec
MAC address 2c33.118e.07de, MTU 1500
IP address unassigned
Traffic Statistics for "INSIDE":
6767 packets input, 566328 bytes
0 packets output, 0 bytes
6736 packets dropped
1 minute input rate 4 pkts/sec, 375 bytes/sec
1 minute output rate 0 pkts/sec, 0 bytes/sec
1 minute drop rate, 4 pkts/sec
5 minute input rate 4 pkts/sec, 401 bytes/sec
5 minute output rate 0 pkts/sec, 0 bytes/sec
5 minute drop rate, 4 pkts/sec
Control Point Interface States:
Interface number is 6
Interface config status is active
Interface state is active
Para verificar o status do canal de porta e seus membros, navegue até o modo FXOS:
FP4110-7-A# connect fxos
FP4110-7-A(fxos)# show port-channel summary
Flags: D - Down P - Up in port-channel (members)
I - Individual H - Hot-standby (LACP only)
s - Suspended r - Module-removed
S - Switched R - Routed
U - Up (port-channel)
M - Not in use. Min-links not met
--------------------------------------------------------------------------------
Group Port- Type Protocol Member Ports
Channel
--------------------------------------------------------------------------------
15 Po15(SU) Eth LACP Eth1/2(P) Eth1/3(P)
48 Po48(SD) Eth NONE --
Para ver o estado dos Port-Channels, juntamente com o histórico dos últimos estados:
FP4110-7-A(fxos)# show port-channel database
port-channel15
Last membership update is successful
2 ports in total, 2 ports up
First operational port is Ethernet1/3
Age of the port-channel is 0d:00h:35m:00s
Time since last bundle is 0d:00h:34m:56s
Last bundled member is Ethernet1/3
Ports: Ethernet1/2 [active ] [up]
Ethernet1/3 [active ] [up] *
port-channel48
Last membership update is successful
0 ports in total, 0 ports up
Age of the port-channel is 5d:06h:35m:27s
Para verificar a distribuição de tráfego entre os membros da interface do Port-Channel:
FP4110-7-A(fxos)# show port-channel traffic
ChanId Port Rx-Ucst Tx-Ucst Rx-Mcst Tx-Mcst Rx-Bcst Tx-Bcst
------ --------- ------- ------- ------- ------- ------- -------
15 Eth1/2 20.83% 49.71% 17.75% 43.67% 20.11% 49.94%
15 Eth1/3 79.16% 50.28% 82.24% 56.32% 79.88% 50.05%
Verificação de vizinhos do LACP
FP4110-7-A(fxos)# show lacp neighbor
Flags: S - Device is sending Slow LACPDUs F - Device is sending Fast LACPDUs
A - Device is in Active mode P - Device is in Passive mode
port-channel15 neighbors
Partner's information
Partner Partner Partner
Port System ID Port Number Age Flags
Eth1/2 32768,28-6f-7f-ec-59-800x103 1984 FA
LACP Partner Partner Partner
Port Priority Oper Key Port State
32768 0x5 0x3f
Partner's information
Partner Partner Partner
Port System ID Port Number Age Flags
Eth1/3 32768,28-6f-7f-ec-59-800x104 2221 FA
LACP Partner Partner Partner
Port Priority Oper Key Port State
32768 0x5 0x3f
Chave Operacional do Parceiro 0x5 = O switch está configurado com o ID do canal de porta 5.
No switch:
Switch# show lacp neighbor
Flags: S - Device is requesting Slow LACPDUs
F - Device is requesting Fast LACPDUs
A - Device is in Active mode P - Device is in Passive mode
Channel group 5 neighbors
Partner's information:
LACP port Admin Oper Port Port
Port Flags Priority Dev ID Age key Key Number State
Gi1/0/2 FA 32768 2c33.118e.07b3 0s 0x0 0xE 0x42 0x3F
Gi1/0/3 FA 32768 2c33.118e.07b3 0s 0x0 0xE 0x43 0x3F
Observação: no Switch adjacente, a Chave Operacional do Parceiro é mostrada como 0xE (14), embora o FXOS esteja configurado com o ID de Canal de Porta 15.
Captura de pacotes do LACP no Wireshark:
| Estado do parceiro |
||||||||
| Estado |
Expirado |
Padrão |
Distribuído |
Coletado |
Sincronização |
Agregação |
Limite de tempo do LACP |
Atividade do LACP |
| Valor |
0 |
0 |
1 |
1 |
1 |
1 |
1 |
1 |
| Hex |
3 |
f |
||||||
Verificar Port-Channel no FPR21xx/FPR1xxx
Diagrama de Rede
Verificação básica do Port-Channel
> connect fxos
FP2110-2# connect local-mgmt
FP2110-2(local-mgmt)# show portchannel summary
Flags: D - Down P - Up in port-channel (members)
I - Individual H - Hot-standby (LACP only)
s - Suspended r - Module-removed
S - Switched R - Routed
U - Up (port-channel)
M - Not in use. Min-links not met
--------------------------------------------------------------------------------
Group Port- Type Protocol Member Ports
Channel
--------------------------------------------------------------------------------
11 Po11(U) Eth LACP Eth1/1(P) Eth1/2(P)
Verificação adicional:
FP2110-2# scope eth-uplink
FP2110-2 /eth-uplink # scope fabric a
FP2110-2 /eth-uplink/fabric # show port-channel
Port Channel:
Port Channel Id Name Port Type Admin State Oper State State Reason
--------------- ---------------- ------------------ ----------- ---------------- ------------
11 Port-channel11 Data Enabled Up Up
Verifique os detalhes do Port-Channel:
FP2110-2 /eth-uplink/fabric # show port-channel detail
Port Channel:
Port Channel Id: 11
Name: Port-channel11
Port Type: Data
Description:
Admin State: Enabled
Oper State: Up
Auto negotiation: Yes
Speed: 1 Gbps
Duplex: Full Duplex
Oper Speed: 1 Gbps
Band Width (Gbps): 2
State Reason: Up
flow control policy: default
LACP policy name: default
oper LACP policy name: org-root/lacp-default
Lacp Mode: Active
Inline Pair Admin State: Enabled
Inline Pair Peer Port Name:
Verifique os detalhes dos membros do Port-Channel:
FP2110-2# scope eth-uplink
FP2110-2 /eth-uplink # scope fabric a
FP2110-2 /eth-uplink/fabric # scope port-channel 11 FP2110-2 /eth-uplink/fabric/port-channel # show member-port Member Port: Port Name Membership Oper State State Reason --------------- ------------------ ---------------- ------------ Ethernet1/1 Up Up Up Ethernet1/2 Up Up Up
Detalhes da porta de membros:
FP2110-2 /eth-uplink/fabric/port-channel # show member-port detail
Member Port:
Port Name: Ethernet1/1
Membership: Up
Oper State: Up
State Reason: Up
Ethernet Link Profile name: default
Oper Ethernet Link Profile name: fabric/lan/eth-link-prof-default
Udld Oper State: Unknown
Current Task:
Port Name: Ethernet1/2
Membership: Up
Oper State: Up
State Reason: Up
Ethernet Link Profile name: default
Oper Ethernet Link Profile name: fabric/lan/eth-link-prof-default
Udld Oper State: Unknown
Current Task:
Verificação do LACP
FP2110-2(local-mgmt)# show lacp neighbor
Flags: S - Device is requesting Slow LACPDUs
F - Device is requesting Fast LACPDUs
A - Device is in Active mode P - Device is in Passive mode
Channel group: 11
Partner (internal) information:
Partner Partner Partner
Port System ID Port Number Age Flags
Eth1/1 32768,286f.7fec.5980 0x10e 13 s FA <-- the peer is requesting Fast Rate
LACP Partner Partner Partner
Port Priority Oper Key Port State
32768 0x16 0x3f
Port State Flags Decode:
Activity: Timeout: Aggregation: Synchronization:
Active Long Yes Yes
Collected: Distributing: Defaulted: Expired:
Yes Yes No No
Partner Partner Partner
Port System ID Port Number Age Flags
Eth1/2 32768,286f.7fec.5980 0x10f 5 s FA <-- the peer is requesting Fast Rate
LACP Partner Partner Partner
Port Priority Oper Key Port State
32768 0x16 0x3f
Port State Flags Decode:
Activity: Timeout: Aggregation: Synchronization:
Active Long Yes Yes
Collected: Distributing: Defaulted: Expired:
Yes Yes No No
Observação: em FPR21xx/FPR1xxx, a taxa de LACP padrão é Lenta e não pode ser alterada.
Contadores do LACP
FP2110-2(local-mgmt)# show lacp counters
LACPDUs Marker Marker Response LACPDUs
Port Sent Recv Sent Recv Sent Recv Pkts Err
---------------------------------------------------------------------
Channel group: 11
Eth1/1 4435 3532 0 0 0 0 0
Eth1/2 4566 3532 0 0 0 0 0
FP2110-2(local-mgmt)# show lacp counters
LACPDUs Marker Marker Response LACPDUs
Port Sent Recv Sent Recv Sent Recv Pkts Err
---------------------------------------------------------------------
Channel group: 11
Eth1/1 4436 3532 0 0 0 0 0
Eth1/2 4567 3532 0 0 0 0 0
Verificação de interface do FPR2100
Como as interfaces físicas são mapeadas para o switch interno do FPR2100:
| Interface |
Switch interno no FPR2110/FPR2120 |
Switch interno no FPR2130/FPR2140 |
| E1/1 |
1 |
1 |
| E1/2 |
0 |
0 |
| E1/3 |
3 |
3 |
| E1/4 |
2 |
2 |
| E1/5 |
5 |
5 |
| E1/6 |
4 |
4 |
| E1/7 |
7 |
7 |
| E1/8 |
6 |
6 |
| E1/9 |
9 |
49 |
| E1/10 |
8 |
48 |
| E1/11 |
11 |
51 |
| E1/12 |
10 |
50 |
| E1/13 |
12 |
59 |
| E1/14 |
13 |
58 |
| E1/15 |
14 |
57 |
| E1/16 |
15 |
56 |
| E2/1 |
- |
70 |
| E2/2 |
- |
71 |
| E2/3 |
- |
69 |
| E2/4 |
- |
68 |
| E2/5 |
- |
66 |
| E2/6 |
- |
67 |
| E2/7 |
- |
65 |
| E2/8 |
- |
64 |
Verifique o status da interface física:
FP2110-2(local-mgmt)# show portmanager port-info ethernet 1 1
port_info:
if_index: 0x1081000
type: PORTMGR_IPC_MSG_PORT_TYPE_PHYSICAL
mac_address: 70:df:2f:18:d8:04
flowctl: PORTMGR_IPC_MSG_FLOWCTL_NONE
role: PORTMGR_IPC_MSG_PORT_ROLE_NPU
admin_state: PORTMGR_IPC_MSG_PORT_STATE_ENABLED
oper_state: PORTMGR_IPC_MSG_PORT_STATE_UP
admin_speed: PORTMGR_IPC_MSG_SPEED_AUTO
oper_speed: PORTMGR_IPC_MSG_SPEED_1GB
admin_mtu: 9216
admin_duplex: PORTMGR_IPC_MSG_PORT_DUPLEX_FULL
oper_duplex: PORTMGR_IPC_MSG_PORT_DUPLEX_FULL
pc_if_index: 0x200000b
pc_membership_status: PORTMGR_IPC_MSG_MMBR_UP
pc_protocol: PORTMGR_IPC_MSG_PORT_CHANNEL_PRTCL_LACP_ACTIVE
native_vlan: 1011
num_allowed_vlan: 1
allowed_vlan[0]: 1011
Contadores da interface física:
FP2110-2(local-mgmt)# show portmanager counters ethernet 1 1 Good Octets Received : 2692986 Bad Octets Received : 0 MAC Transmit Error : 0 Good Packets Received : 37038 Bad Packets Received : 0 BRDC Packets Received : 22290 MC Packets Received : 12538 Size 64 : 34193 Size 65 to 127 : 1531 Size 128 to 255 : 1515 Size 256 to 511 : 374 Size 512 to 1023 : 95 Size 1024 to Max : 0 Good Octets Sent : 87296 Good Packets Sent : 682 Excessive Collision : 0 MC Packets Sent : 682 BRDC Packets Sent : 0 Unrecognized MAC Received : 0 FC Sent : 0 Good FC Received : 0 Drop Events : 0 Undersize Packets : 0 Fragments Packets : 0 Oversize Packets : 0 Jabber Packets : 0 MAC RX Error Packets Received : 0 Bad CRC : 0 Collisions : 0
Tabela MAC do switch interno do FPR2100.
Nota: 01:80:C2:00:00:02 = LACP
FP2110-2(local-mgmt)# show portmanager switch mac-filters
port ix MAC mask action packets bytes
00 03e 70:DF:2F:18:D8:05 FF:FF:FF:FF:FF:FF FORWARD
043 01:80:C2:00:00:02 FF:FF:FF:FF:FF:FF FORWARD 687 87936
044 70:DF:2F:18:D8:2D FF:FF:FF:FF:FF:FF FORWARD
045 FF:FF:FF:FF:FF:FF FF:FF:FF:FF:FF:FF FORWARD 5501 385360
3d0 00:00:00:00:00:00 01:00:00:00:00:00 DROP 2101 141426
3e8 01:00:00:00:00:00 01:00:00:00:00:00 DROP 7946 1524820
01 03f 70:DF:2F:18:D8:04 FF:FF:FF:FF:FF:FF FORWARD
040 01:80:C2:00:00:02 FF:FF:FF:FF:FF:FF FORWARD 687 87936
041 70:DF:2F:18:D8:2D FF:FF:FF:FF:FF:FF FORWARD
042 FF:FF:FF:FF:FF:FF FF:FF:FF:FF:FF:FF FORWARD 22351 1451504
3d1 00:00:00:00:00:00 01:00:00:00:00:00 DROP 2215 154542
3e9 01:00:00:00:00:00 01:00:00:00:00:00 DROP 11886 1006067
02 03c 70:DF:2F:18:D8:07 FF:FF:FF:FF:FF:FF FORWARD
049 01:80:C2:00:00:02 FF:FF:FF:FF:FF:FF FORWARD
04a 70:DF:2F:18:D8:6D FF:FF:FF:FF:FF:FF FORWARD
04b FF:FF:FF:FF:FF:FF FF:FF:FF:FF:FF:FF FORWARD
3d2 00:00:00:00:00:00 01:00:00:00:00:00 DROP
3ea 01:00:00:00:00:00 01:00:00:00:00:00 DROP
As portas e1/1 e e1/2 correspondem a 0/0 e 0/1 no switch interno:
FP2110-2(local-mgmt)# show portmanager switch status Dev/Port Mode Link Speed Duplex Loopback Mode --------- ---------------- ----- ----- ------ ------------- 0/0 QSGMII Up 1G Full None 0/1 QSGMII Up 1G Full None 0/2 QSGMII Down 1G Half None 0/3 QSGMII Down 1G Half None 0/4 QSGMII Down 1G Half None 0/5 QSGMII Down 1G Half None 0/6 QSGMII Down 1G Half None 0/7 QSGMII Down 1G Half None 0/8 QSGMII Down 1G Half None 0/9 QSGMII Down 1G Half None 0/10 QSGMII Down 1G Half None 0/11 QSGMII Down 1G Half None 0/12 QSGMII Down 10 Half None 0/13 QSGMII Down 10 Half None 0/14 QSGMII Down 10 Half None 0/15 QSGMII Down 10 Half None 0/16 n/a Down n/a Full N/A 0/17 n/a Down n/a Full N/A 0/18 n/a Down n/a Full N/A 0/19 n/a Down n/a Full N/A 0/20 n/a Down n/a Full N/A 0/21 n/a Down n/a Full N/A 0/22 n/a Down n/a Full N/A 0/23 n/a Down n/a Full N/A 0/24 KR Up 10G Full None 0/25 KR Up 10G Full None 0/26 KR Down 10G Full None 0/27 KR Up 10G Full None
Troubleshooting
Resumo do LACP
Fatos de LACP:
- O Link Aggregation Control Protocol (LACP) do padrão IEEE (802.3ad) é um protocolo L2 usado para negociação do Port-Channel.
- O LACP usa o MAC de destino 0180.c200.0002 e o tipo de Ethernet 0x8809.
- O LACP e o modo On (sem LACP) são os únicos modos compatíveis com os dispositivos Firepower (o modo On foi adicionado ao FP4100/FP9300 na versão 2.4.x do FXOS).
- O LACP pode ser configurado em um dos dois modos (Ativo ou Passivo). O FXOS sempre usa o modo Ativo.
- O objetivo principal do LACP é proteger contra configurações incorretas do Port-Channel.
- Para que um PC do LACP fique ATIVO, é necessário ter as mesmas configurações de velocidade/duplex nos membros da interface do Port-Channel. No FXOS, você define a velocidade no nível do Port-Channel.
- Agente do LACP = o dispositivo local
- Parceiro do LACP = o dispositivo remoto
- Cada dispositivo tem um ID de sistema LACP que geralmente é o MAC do chassi. A ID do sistema do LACP é enviada em cada pacote do LACP.
- Cada pacote do LACP tem aproximadamente 110 bytes.
- O LACP pode funcionar em taxa rápida ou taxa lenta (normal). No FXOS, o padrão é taxa rápida (exceto para 1xxx/21xx, em que a taxa é sempre lenta), mas também pode ser configurado como taxa lenta. O modo do LACP no lado do switch depende do modelo do switch e do SW usado. Por exemplo, um Cat3750 é compatível com taxa lenta e rápida a partir da versão 15.2(4)E. Verifique o guia de confirmação do switch para obter mais detalhes.
- No período de detecção do LACP, os LACPs são enviados a cada 1 segundo, independentemente da taxa de LACP. A taxa do LACP afeta apenas o intervalo de keepalive do LACP, quando a interface está ATIVA.
Benefícios da manutenção de atividade do LACP
O keepalive do LACP é útil nas situações em que a interface remota não está mais funcional, mas ainda está ATIVA (nenhuma falha direta foi detectada). Esse pode ser o caso de um problema de driver/L2 ou se houver algum dispositivo no caminho (por exemplo, IPS) que não permita a detecção de falhas de link remoto. O keepalive do LACP tem um limite de tempo de taxa de pares x 3. Por exemplo, se o par remoto é enviado a cada 1 segundo, o dispositivo local declara o par remoto como inativo se nenhum pacote do LACP for recebido em 3 segundos. No caso de taxa lenta, isso ocorre depois de 90 segundos.
Todos os campos de um pacote do LACP conforme são mostrados no Wireshark:
Observação: quando um canal de porta é terminado no FTD, a captura FXOS não mostra pacotes LACP (entrada ou saída).
Comparação entre taxa rápida e taxa lenta do LACP
Em geral, a recomendação é usar a taxa rápida em ambos os lados (o FXOS no 4100/9300 usa a taxa rápida por padrão e, no FPR2100, a taxa de envio padrão do LACP é lenta). A taxa rápida do LACP pode aumentar a velocidade dos pacotes do Port-Channel.
| FXOS configurado com taxa lenta |
FXOS configurado com taxa rápida |
|
| Switch configurado com taxa lenta |
O switch solicita taxa lenta O FXOS solicita taxa lenta O switch envia 1 LACP/30 segundos O FXOS envia 1 LACP/30 segundos |
O switch solicita taxa lenta O FXOS solicita taxa rápida O switch envia 1 LACP/segundo O FXOS envia 1 LACP/30 segundos |
| Switch configurado com taxa rápida |
O switch solicita taxa rápida O FXOS solicita taxa lenta O switch envia 1 LACP/30 segundos O FXOS envia 1 LACP/segundo |
O switch solicita taxa rápida O FXOS solicita taxa rápida O switch envia 1 LACP/segundo O FXOS envia 1 LACP/segundo |
Para configurar o modo do LACP no FXOS (41xx/93xx):
KSEC-FPR4100-1# scope org
KSEC-FPR4100-1 /org # show lacppolicy
LACP policy:
Name LACP rate
---------- ---------
default Fast
KSEC-FPR4100-1 /org # scope lacppolicy default
KSEC-FPR4100-1 /org/lacppolicy # set lacp-rate
fast lacp rate fast
normal lacp rate normal
Solucionar problemas do Port-Channel no FPR4100/FPR9300
Diagrama de Rede
Os chassis do FPR4100 e do FPR9300 contêm um switch interno em que o Port-Channel é encerrado. Como o switch interno é semelhante a um Nexus 5K e o FXOS é compatível apenas com o LACP, a abordagem de solução de problemas é semelhante a um Nexus 5K.
Verificação 1 - Verificar o status do canal de porta.
FP4110-7-A(fxos)# show port-channel summary
Flags: D - Down P - Up in port-channel (members)
I - Individual H - Hot-standby (LACP only)
s - Suspended r - Module-removed
S - Switched R - Routed
U - Up (port-channel)
M - Not in use. Min-links not met
--------------------------------------------------------------------------------
Group Port- Type Protocol Member Ports
Channel
--------------------------------------------------------------------------------
15 Po15(SU) Eth LACP Eth1/2(P) Eth1/3(P)
Verifique o status da interface do FXOS:
FP4110-7-A(fxos)# show interface brief -------------------------------------------------------------------------------- Ethernet VLAN Type Mode Status Reason Speed Port Interface Ch # -------------------------------------------------------------------------------- Eth1/1 1 eth 1qtunl up none 1000(D) -- Eth1/2 1 eth 1qtunl up none 1000(D) 15 Eth1/3 1 eth 1qtunl up none 1000(D) 15 Eth1/4 1 eth 1qtunl down SFP not inserted 10G(D) -- Eth1/5 1 eth 1qtunl down Administratively down 1000(D) -- Eth1/6 1 eth 1qtunl down Administratively down 1000(D) -- Eth1/7 1 eth 1qtunl down Administratively down 10G(D) -- Eth1/8 1 eth 1qtunl down SFP not inserted 10G(D) -- Eth1/9 1 eth vntag up none 40G(D) -- Eth1/10 1 eth access down Administratively down 40G(D) -- Eth1/11 1 eth access down Administratively down 1000(D) -- Eth1/12 1 eth access down Administratively down 1000(D) --
Verificação 2 - Verificar se o FXOS envia e recebe LACPs (execute o comando algumas vezes).
FP4110-7-A(fxos)# show lacp counters interface port-channel 15
LACPDUs Marker Marker Response LACPDUs
Port Sent Recv Sent Recv Sent Recv Pkts Err
---------------------------------------------------------------------
port-channel15
Ethernet1/2 223019 207280 0 0 0 0 0
Ethernet1/3 296532 207744 0 0 0 0 0
Verifique o mesmo no switch:
Switch# show lacp 5 counters
LACPDUs Marker Marker Response LACPDUs
Port Sent Recv Sent Recv Sent Recv Pkts Err
---------------------------------------------------------------------
Channel group: 5
Gi1/0/2 627 596 0 0 0 0 0
Gi1/0/3 623 593 0 0 0 0 0
Verifique os detalhes do LACP de uma interface individual do FXOS:
FP4110-7-A(fxos)# show lacp interface ethernet 1/2 Interface Ethernet1/2 is up Channel group is 15 port channel is Po15 PDUs sent: 222828 PDUs rcvd: 207074 Markers sent: 0 Markers rcvd: 0 Marker response sent: 0 Marker response rcvd: 0 Unknown packets rcvd: 0 Illegal packets rcvd: 0 Lag Id: [ [(8000, 28-6f-7f-ec-59-80, 5, 8000, 103), (8000, 2c-33-11-8e-7-b3, e, 8000, 42)] ] Operational as aggregated link since Tue Oct 31 19:14:57 2017 Local Port: Eth1/2 MAC Address= 2c-33-11-8e-7-b3 System Identifier=0x8000,2c-33-11-8e-7-b3 Port Identifier=0x8000,0x42 Operational key=14 LACP_Activity=active LACP_Timeout=Short Timeout (1s) Synchronization=IN_SYNC Collected=true Distributing=true
Verificação 3 - Verificar as IDs do LACP dos dispositivos local e remoto.
FP4110-7-A(fxos)# show lacp port-channel interface port-channel 15 port-channel15 System Mac=2c-33-11-8e-7-b3 Local System Identifier=0x8000,2c-33-11-8e-7-b3 Admin key=0xe Operational key=0xe Partner System Identifier=0x8000,28-6f-7f-ec-59-80 Operational key=0x5 Max delay=0 Aggregate or individual=1 Member Port List=
Verificação 4 (opcional) - Coletar esta saída (pode ser usada pelo Cisco TAC).
FP4110-7-A(fxos)# show lacp internal event-history errors
1) Event:E_DEBUG, length:74, at 574387 usecs after Tue Oct 31 19:14:57 2017
[102] lacp_proto_set_ntt(1780): Restarting periodic tx timer in 0x210 msecs
2) Event:E_DEBUG, length:467, at 544757 usecs after Tue Oct 31 19:14:57 2017
[102] lacp_ac_init_port_channel_member(1660): TYPE1 UPDATE lacp_ac_init_port
_channel_member port-channel port-channel15(0x1600000e) lacp_mcec_type1_upd_sent
...
Verificação 5 – Verifique a transição do FSM do LACP para a porta específica que tem o problema. As mensagens são mostradas com as mais antigas na parte superior da saída.
FP4110-7-A(fxos)# show lacp internal event-history interface ethernet 1/2
>>>>FSM: <Ethernet1/2> has 975 logged transitions<<<<<
1) FSM:<Ethernet1/2> Transition at 257150 usecs after Sun Oct 29 12:35:16 2017
Previous state: [LACP_ST_WAIT_FOR_HW_TO_PROGRAM_RECEIVE_PATH]
Triggered event: [LACP_EV_PORT_RECEIVE_PATH_ENABLED_AS_CHANNEL_MEMBER_MESSAGE]
Next state: [LACP_ST_PORT_MEMBER_RECEIVE_ENABLED]
...
4) FSM:<Ethernet1/2> Transition at 966987 usecs after Sun Oct 29 12:35:19 2017
Previous state: [LACP_ST_PORT_MEMBER_COLLECTING_AND_DISTRIBUTING_ENABLED]
Triggered event: [LACP_EV_PARTNER_PDU_IN_SYNC] <--- Good (Received LACP with ‘Synchronization = 1’
Next state: [LACP_ST_PORT_IS_DOWN_OR_LACP_IS_DISABLED]
...
207) FSM:<Ethernet1/4> Transition at 482767 usecs after Sun Oct 29 13:18:40 2017
Previous state: [LACP_ST_ATTACHED_TO_AGGREGATOR]
Triggered event: [LACP_EV_PARTNER_PDU_OUT_OF_SYNC]
Next state: [FSM_ST_NO_CHANGE]
208) FSM:<Ethernet1/4> Transition at 363720 usecs after Sun Oct 29 13:18:41 2017
Previous state: [LACP_ST_ATTACHED_TO_AGGREGATOR]
Triggered event: [LACP_EV_PARTNER_PDU_OUT_OF_SYNC] <--- Bad (Received LACP with ‘Synchronization = 0’
Next state: [FSM_ST_NO_CHANGE]
Verificação 6 - Coletar o histórico de eventos do canal de porta (pode ser usado pelo Cisco TAC).
FP4110-7-A(fxos)# show port-channel internal event-history all
Low Priority Pending queue: len(0), max len(1) [Tue Oct 31 19:37:03 2017] High Priority Pending queue: len(0), max len(12) [Tue Oct 31 19:37:03 2017] PCM Control Block info: pcm_max_channels : 4096 pcm_max_channel_in_use : 48 pc count : 2 hif-pc count : 0 Max PC Cnt : 104 Load-defer timeout : 120 ==================================================== PORT CHANNELS: 2LvPC PO in system : 0 port-channel15 channel : 15 bundle : 65535 ... >>>>FSM: <eth-port-channel 15> has 66 logged transitions<<<<< 1) FSM:<eth-port-channel 15> Transition at 174796 usecs after Tue Oct 31 18:05:0 8 2017 Previous state: [PCM_PC_ST_INIT] Triggered event: [PCM_PC_EV_CREATE_INIT] Next state: [FSM_ST_NO_CHANGE] 2) Event:ESQ_START length:38, at 174810 usecs after Tue Oct 31 18:05:08 2017 Instance:369098766, Seq Id:0x1, Ret:SUCCESS Seq Type:SERIAL ...
Solucionar problemas do Port-Channel no FPR21xx/FPR1xxx
Diagrama de Rede
Verificação 1. Caso o LACP seja usado, verifique os contadores do LACP.
Você verá que os dois lados (switch e FXOS) enviam e recebem:
FP2110-2(local-mgmt)# show lacp counters
LACPDUs Marker Marker Response LACPDUs
Port Sent Recv Sent Recv Sent Recv Pkts Err
---------------------------------------------------------------------
Channel group: 11
Eth1/1 4435 3532 0 0 0 0 0
Eth1/2 4566 3532 0 0 0 0 0
Outra maneira de verificar o mesmo:
FP2110-2(local-mgmt)# show pktmgr counters
Ports Tx Tx Tx Rx Rx Rx Rx
Packets Drops Bytes Packets Drops Bytes Forwards
----------------------------------------------------------------------------
Eth1/1 4575 0 567300 3537 0 452736 3537 < LACP PDUs forwarded internally to LACP process
Eth1/2 4706 0 583544 3537 0 452736 3537 < LACP PDUs forwarded internally to LACP process
Eth1/3 0 0 0 0 0 0 0
Eth1/4 0 0 0 0 0 0 0
Eth1/5 0 0 0 0 0 0 0
Eth1/6 0 0 0 0 0 0 0
Eth1/7 0 0 0 0 0 0 0
Eth1/8 0 0 0 0 0 0 0
Eth1/9 0 0 0 0 0 0 0
Eth1/10 0 0 0 0 0 0 0
Eth1/11 0 0 0 0 0 0 0
Eth1/12 0 0 0 0 0 0 0
Eth1/13 0 0 0 0 0 0 0
Eth1/14 0 0 0 0 0 0 0
Eth1/15 0 0 0 0 0 0 0
Eth1/16 0 0 0 0 0 0 0
Misc. 0 0 0 0 0 0 n/a
Verificação 2. Verifique o status do switch de upstream.
FP2110-2(local-mgmt)# show lacp neighbor
Flags: S - Device is requesting Slow LACPDUs
F - Device is requesting Fast LACPDUs
A - Device is in Active mode P - Device is in Passive mode
Channel group: 11
Partner (internal) information:
Partner Partner Partner
Port System ID Port Number Age Flags
Eth1/1 32768,286f.7fec.5980 0x10e 9 s FA
LACP Partner Partner Partner
Port Priority Oper Key Port State
32768 0x16 0x3f
Port State Flags Decode:
Activity: Timeout: Aggregation: Synchronization:
Active Long Yes Yes
Collected: Distributing: Defaulted: Expired:
Yes Yes No No
Partner Partner Partner
Port System ID Port Number Age Flags
Eth1/2 32768,286f.7fec.5980 0x10f 24 s FA
LACP Partner Partner Partner
Port Priority Oper Key Port State
32768 0x16 0x3f
Port State Flags Decode:
Activity: Timeout: Aggregation: Synchronization:
Active Long Yes Yes
Collected: Distributed: Defaulted: Expired:
Yes Yes No No
Observação: se Coletado e Distribuído não forem Sim e Padrão for Não, o LACP não será convergido.
Verificação 3. Verifique se o ID de sistema do LACP local não é 0.
FP2110-2(local-mgmt)# show lacp sys-id 32768, 70df.2f18.d813
Solução de problemas adicional (comum em todas as plataformas)
Verificação 1
Certifique-se de que ambos os lados (Firewall e switch) tenham configurações correspondentes (por exemplo, Velocidade é a mesma, o modo de canal de porta é o mesmo).
Verificação 2
Verifique se há falhas do FXOS. Você pode fazer esta verificação na interface do usuário (UI) do chassi ou na CLI que usa este comando:
FPR4100# show fault Severity Code Last Transition Time ID Description --------- -------- ------------------------ -------- ----------- Major F0479 2020-03-19T11:50:44.322 543322 Virtual interface 781 link state is down Major F0373 2020-03-19T10:55:13.778 34178 Fan 1 in Fan Module 1-5 under chassis 1 operability: inoperable Minor F0480 2020-03-19T10:55:13.777 34177 Fan module 1-5 in chassis 1 operability: degraded Major F1767 2020-03-19T10:54:04.162 531228 The password encryption key has not been set. Major F0727 2020-03-19T09:50:02.891 522921 lan Member 1/5 of Port-Channel 10 on fabric interconnect A is down, membership: suspended Major F0282 2020-03-19T09:49:31.462 522922 lan port-channel 10 on fabric interconnect A oper state: failed, reason: No operational members Major F0277 2020-03-19T09:49:31.437 522929 ether port 1/5 on fabric interconnect A oper state: failed, reason: Other Info F0279 2020-01-17T11:06:45.472 300958 ether port 1/7 on fabric interconnect A oper state: sfp-not-present Info F0279 2020-01-17T11:06:37.941 300903 ether port 1/6 on fabric interconnect A oper state: sfp-not-present Minor F1437 2020-01-16T10:11:39.675 291723 Config backup may be outdated
As falhas são mostradas em ordem cronológica. A gravidade reflete a importância da falha, enquanto a descrição fornece um breve resumo. O foco está principalmente na gravidade, no carimbo de hora e na descrição. A ordem de gravidade da falha da mais grave para a menos grave é:
- Crítico
- Principal
- Menor
- Aviso
- Informações/condição
- Limpo
Para obter detalhes sobre cada falha, consulte o guia Falhas e mensagens de erro do FXOS: Mensagens de erro e do sistema do FXOS
Verificação 3
Se você fez algumas alterações recentes relacionadas à configuração do canal de porta no FMC, verifique se a política foi implantada do FMC para o FTD.
Verificação 4
Se o Port-Channel estiver no estado Falha e o dispositivo pertencer a um Cluster, verifique se o Cluster está habilitado no dispositivo. Para um dispositivo iniciado no cluster, é normal ter o Port-Channel em um estado de falha.
Verificação 5
Se a configuração estiver correta, mas a interface não aparecer, verifique e substitua o cabo e/ou o transceptor Small Form-Fator Pluggable (SFP).
Verificação 6
Verifique as notas de versão do Firepower quanto a problemas conhecidos relacionados ao Port-Channel. Por exemplo, se você executar o FXOS versão 2.6.1.169 e o FTD 6.4.0.6, verifique estas seções:
Além disso, verifique as notas de versão relacionadas do FMC/FTD. Neste exemplo, como o FTD executa o 6.4.0.5, é necessário verificar as notas de versão do 6.4.x:
Problemas comuns
Caso 1. Incompatibilidade do modo EtherChannel
Considere esta topologia:
Os sintomas do problema
No Firepower, o Port-Channel está inativo e o protocolo de negociação é o LACP:
FP2110-2(local-mgmt)# show portchannel summary
Flags: D - Down P - Up in port-channel (members)
I - Individual H - Hot-standby (LACP only)
s - Suspended r - Module-removed
S - Switched R - Routed
U - Up (port-channel)
M - Not in use. Min-links not met
--------------------------------------------------------------------------------
Group Port- Type Protocol Member Ports
Channel
--------------------------------------------------------------------------------
11 Po11(D) Eth LACP Eth1/1(D) Eth1/2(D)
Em FXOS, os contadores de LACP enviados são incrementados a cada 30 segundos, mas os contadores de recebimento não:
FP2110-2(local-mgmt)# show lacp counters
LACPDUs Marker Marker Response LACPDUs
Port Sent Recv Sent Recv Sent Recv Pkts Err
---------------------------------------------------------------------
Channel group: 11
Eth1/1 11356 3762 0 0 0 0 0
Eth1/2 11393 3761 0 0 0 0 0
FP2110-2(local-mgmt)# show lacp counters
LACPDUs Marker Marker Response LACPDUs
Port Sent Recv Sent Recv Sent Recv Pkts Err
---------------------------------------------------------------------
Channel group: 11
Eth1/1 11357 3762 0 0 0 0 0
Eth1/2 11394 3761 0 0 0 0 0
A causa do problema
O Port-Channel no switch está ATIVO, mas observe a ausência do protocolo de negociação:
Switch# show etherchannel 22 summary … Number of channel-groups in use: 15 Number of aggregators: 15 Group Port-channel Protocol Ports ------+-------------+-----------+----------------------------------------------- 22 Po22(SU) - Gi1/0/13(P) Gi1/0/14(P)
A configuração da porta do switch confirma isso:
Switch# show run int g1/0/13 interface GigabitEthernet1/0/13 lacp rate fast channel-group 22 mode on end Switch# show run int g1/0/14 interface GigabitEthernet1/0/14 lacp rate fast channel-group 22 mode on end
Solução
Como este é um dispositivo FPR21xx, há duas soluções possíveis:
- Altere o modo do Port-Channel no lado do switch de ON para LACP (Ativo ou Passivo).
- Altere o modo do Port-Channel no lado do FTD de LACP para ON.
Neste cenário, foi escolhida a segunda solução (definir o canal de porta FTD para o modo ON):
FP2110-2(local-mgmt)# show portchannel summary
Flags: D - Down P - Up in port-channel (members)
I - Individual H - Hot-standby (LACP only)
s - Suspended r - Module-removed
S - Switched R - Routed
U - Up (port-channel)
M - Not in use. Min-links not met
--------------------------------------------------------------------------------
Group Port- Type Protocol Member Ports
Channel
--------------------------------------------------------------------------------
11 Po11(U) Eth ON Eth1/1(P) Eth1/2(P)
Os contadores do LACP não serão mais exibidos:
FP2110-2(local-mgmt)# show lacp counters FP2110-2(local-mgmt)#
Caso 2. Design errado do Port-Channel
Os sintomas do problema
FP4110-7-A(fxos)# show port-channel summary
Flags: D - Down P - Up in port-channel (members)
I - Individual H - Hot-standby (LACP only)
s - Suspended r - Module-removed
S - Switched R - Routed
U - Up (port-channel)
M - Not in use. Min-links not met
--------------------------------------------------------------------------------
Group Port- Type Protocol Member Ports
Channel
--------------------------------------------------------------------------------
15 Po15(SD) Eth LACP Eth1/2(P) Eth1/3(s)
48 Po48(SD) Eth NONE --
Os contadores do LACP do FXOS aumentam em ambas as direções:
FP4110-7-A(fxos)# show lacp counters
LACPDUs Marker Marker Response LACPDUs
Port Sent Recv Sent Recv Sent Recv Pkts Err
---------------------------------------------------------------------
port-channel15
Ethernet1/2 419219 451268 0 0 0 0 0
Ethernet1/3 419215 446806 0 0 0 0 0
FP4110-7-A(fxos)# show lacp counters
LACPDUs Marker Marker Response LACPDUs
Port Sent Recv Sent Recv Sent Recv Pkts Err
---------------------------------------------------------------------
port-channel15
Ethernet1/2 419219 451269 0 0 0 0 0
Ethernet1/3 419216 446807 0 0 0 0 0
A causa do problema
A saída do show lacp neighbor mostra uma ID do sistema do parceiro diferente em cada porta:
FP4110-7-A(fxos)# show lacp neighbor
Flags: S - Device is sending Slow LACPDUs F - Device is sending Fast LACPDUs
A - Device is in Active mode P - Device is in Passive mode
port-channel15 neighbors
Partner's information
Partner Partner Partner
Port System ID Port Number Age Flags
Eth1/2 32768,28-6f-7f-ec-59-800x103 419611 FA
LACP Partner Partner Partner
Port Priority Oper Key Port State
32768 0x5 0x3d
Partner's information
Partner Partner Partner
Port System ID Port Number Age Flags
Eth1/3 32768,4-62-73-d2-65-0 0x12f 419610 SA
LACP Partner Partner Partner
Port Priority Oper Key Port State
32768 0x16 0xd
Isso pode ser visualizado da seguinte maneira:
Solução
- No caso do 2960, você precisa configurar o empilhamento (FlexStack).
- No caso do 3750-X/3850 e assim por diante, você precisa configurar o empilhamento (StackWise Plus).
- No caso de 4500, 6500, 6800, você precisa usar o Virtual Switching System (VSS).
- No caso do Nexus 5K, 7K ou 9K, você precisa usar o Virtual Port-Channel (vPC).
- Em um caso diferente, você precisa conectar o FXOS ao mesmo switch físico.
Caso 3. Port-Channel do FXOS não atribuído
Diagrama de Rede
Os sintomas do problema
No lado do FXOS, os membros do Port-Channel estão suspensos:
FP4110-7-A(fxos)# show port-channel summary
Flags: D - Down P - Up in port-channel (members)
I - Individual H - Hot-standby (LACP only)
s - Suspended r - Module-removed
S - Switched R - Routed
U - Up (port-channel)
M - Not in use. Min-links not met
--------------------------------------------------------------------------------
Group Port- Type Protocol Member Ports
Channel
--------------------------------------------------------------------------------
15 Po15(SD) Eth LACP Eth1/2(s) Eth1/3(s)
48 Po48(SD) Eth NONE --
O mesmo ocorre no lado do switch:
Switch# show etherchannel 5 summary … Group Port-channel Protocol Ports ------+-------------+-----------+----------------------------------------------- 5 Po5(SD) LACP Gi1/0/2(s) Gi1/0/3(s)
Os contadores FXOS LACP mostram pacotes que são enviados e recebidos:
FP4110-7-A(fxos)# show lacp counters
LACPDUs Marker Marker Response LACPDUs
Port Sent Recv Sent Recv Sent Recv Pkts Err
---------------------------------------------------------------------
port-channel15
Ethernet1/2 420839 452531 0 0 0 0 0
Ethernet1/3 420793 447409 0 0 0 0 0
FP4110-7-A(fxos)# show lacp counters
LACPDUs Marker Marker Response LACPDUs
Port Sent Recv Sent Recv Sent Recv Pkts Err
---------------------------------------------------------------------
port-channel15
Ethernet1/2 421026 452537 0 0 0 0 0
Ethernet1/3 420981 447416 0 0 0 0 0
No lado do switch, os contadores do LACP também mostram pacotes que são enviados, mas não recebidos:
Switch# show lacp 5 counters
LACPDUs Marker Marker Response LACPDUs
Port Sent Recv Sent Recv Sent Recv Pkts Err
---------------------------------------------------------------------
Channel group: 5
Gi1/0/2 452539 420223 0 0 0 0 0
Gi1/0/3 447232 415274 0 0 0 0 0
Switch# show lacp 5 counters
LACPDUs Marker Marker Response LACPDUs
Port Sent Recv Sent Recv Sent Recv Pkts Err
---------------------------------------------------------------------
Channel group: 5
Gi1/0/2 452540 420223 0 0 0 0 0
Gi1/0/3 447233 415274 0 0 0 0 0
A causa do problema
Nesse caso, o problema é que o Port-Channel do FXOS não foi atribuído ao dispositivo lógico (aplicação do FTD):
Solução
Atribuir o Port-Channel ao dispositivo lógico.
Caso 4. Os Alertas De Integridade Sobre Port-Channel Não Recebem Nenhum Pacote
A cada 5 minutos, o dispositivo (FTD) envia informações sobre o tráfego de interface recebido em cada interface que tem um nome configurado e está ATIVA. Se não houver pacotes recebidos no último intervalo, mensagens como esta serão exibidas na interface do usuário do FMC:
Ação recomendada
Na CLI do FTD, verifique a saída do comando show traffic e concentre-se na taxa de entrada de 5 minutos. Por exemplo,
Interface Port-channel10.14
INSIDE:
received (in 237938.740 secs):
2 packets 84 bytes
0 pkts/sec 0 bytes/sec
transmitted (in 237938.740 secs):
5 packets 140 bytes
0 pkts/sec 0 bytes/sec
1 minute input rate 0 pkts/sec, 0 bytes/sec
1 minute output rate 0 pkts/sec, 0 bytes/sec
1 minute drop rate, 0 pkts/sec
5 minute input rate 0 pkts/sec, 0 bytes/sec
5 minute output rate 0 pkts/sec, 0 bytes/sec
5 minute drop rate, 0 pkts/sec
Caso 5. Alerta de saúde no FMC: canal de porta desassociado ou interface adicionada
O alerta de Integridade informa: "Interface com nome-físico: "Canal-porta" desassociado." ou "Interface com nome-físico: \"name_if\" adicionado."
Ação recomendada
Esse é um problema cosmético conhecido monitorado pela ID de bug da Cisco CSCvb15074
Considerações do canal da porta
Considerações do projeto
Caso 1. Blade do FTD/ASA em HA
Esta configuração não é compatível. O motivo é que a configuração do canal de porta no lado do switch está incorreta e leva ao bloqueio de tráfego no dispositivo de standby. Esse design é compatível somente quando você configura o ASA ou o FTD no modo Cluster Distribuído.
Aviso: este cenário está incorreto no failover (alta disponibilidade).
Este é o design apropriado do Port-Channel para alta disponibilidade:
Informações Relacionadas
Caso 2. FTD/ASA no cluster
Cada Port-Channel da interface de dados do firewall usa o modo Distribuído (esse é o único modo compatível nas plataformas Firepower). Da perspectiva de design, no lado do switch, as portas do switch para uma única interface de dados pertencem a um port-channel.
Por exemplo, no caso do FP9300 (2 chassis, 6 blades), as portas de dados podem ser configuradas da seguinte forma:
Por outro lado, o Cluster Control Link (CCL) usa o modo de canal de porta individual e, de acordo com as melhores práticas, a largura de banda deve corresponder à capacidade máxima de cada membro. Além disso, no caso do Nexus, cada port-channel pertence a um vPC diferente.
Da mesma forma, no caso do FP41xx:
E o CCL:
Caso 3. Port-Channel encerrado no FXOS
Port-Channel encerrado no chassi do FXOS. Veja abaixo um exemplo desse design:
Caso 4. Port-Channel através do FXOS
O canal de porta passa pelo chassi FXOS. Veja abaixo um exemplo desse design:
Observação: no segundo cenário, não há nenhum canal de porta configurado no dispositivo Firepower.
Port-Channel encerrado no FXOS versus Port-Channel através do FXOS
| Recurso |
Comentários |
| Port-Channel encerrado no chassi do FXOS (MIO) |
Funciona a partir do FXOS 2.1.1 |
| O canal de porta passa pelo chassi FXOS (MIO) |
|
Outras considerações
Convergência normal do LACP
No caso de uma configuração de cluster (ASA ou FTD), a recomendação é que a convergência gratuita do LACP seja habilitada no Nexus.
Perguntas frequentes
P. A distribuição hash de canal de porta do SSP é fixa ou adaptável?
O FXOS usa a distribuição de hash resiliente. Parece ser equivalente ao modo de distribuição de hash fixo descrito na documentação on-line do Nexus 7000/9k. No hash resiliente, se um link falhar, os fluxos atribuídos ao link com falha serão redistribuídos uniformemente entre os links ativos. Os fluxos atuais através dos links ativos não são recriados e seus pacotes não são entregues fora de ordem. Quando um link é adicionado ao canal de porta ou ao grupo ECMP, alguns dos fluxos com hash para os links atuais são recriados para o novo link, mas não em todos os links atuais.
P. O que acontece se as portas do switch conectadas ao canal de porta forem desativadas? O FTD monitora o link físico ou o canal de porta?
Se todos os membros da interface do port-channel ficarem inativos, o port-channel também ficará inativo. O estado de operação do Port-Channel é mostrado como falha. Da perspectiva do FTD, o port-channel é mostrado como inativo. Por outro lado, nesta regra, há uma exceção: Quando os switches usam empilhamento. Com o LACP, a ID do sistema usa o endereço MAC da pilha do switch ativo e, se o switch ativo for alterado, a ID do sistema do LACP poderá ser alterada. Se a ID do sistema do LACP for alterada, o EtherChannel será alternado e ocorrerá a reconvergência do STP. Use o comando stack-mac persistent timer para controlar se o endereço MAC da pilha muda ou não após um failover de switch ativo.
P. Gostaria de usar o comando "port-channel min-bundle 2" para que, se um link no canal da porta cair, o canal da porta ficará inativo e o firewall executará um failover.
Essa opção não é possível no chassi do FXOS. Como alternativa e sempre que possível, configure o comando lacp min-links nos switches de pares.
P. Como capturar pacotes LACP?
Caso 1. Port-Channel encerrado no dispositivo lógico (FTD/ASA)
- O Port-Channel é realmente encerrado no nível do chassi (FXOS).
- Você não pode capturar os pacotes do LACP (entrada ou saída) no nível do chassi (FXOS) nem no nível do aplicativo (FTD/ASA).
Caso 2. Canal de porta através da interface FTD - FTD implantada como conjunto em linha:
inline-set set1
snort fail-open down
interface-pair INSIDE OUTSIDE
!
interface Ethernet1/2
nameif INSIDE
cts manual
propagate sgt preserve-untag
policy static sgt disabled trusted
!
interface Ethernet1/3
nameif OUTSIDE
cts manual
propagate sgt preserve-untag
policy static sgt disabled trusted
LACP Ethertype is 0x8809 (dec 34825):
firepower# capture CAP interface INSIDE ethernet-type 34825
firepower# show capture CAP
1: 21:15:00.403131 2894.0f57.271d 0180.c200.0002 0x8809 Length: 124 <-- LACP packet
0101 0114 8000 0017 dfd6 ec00 0016 8000
0223 3d00 0000 0214 8000 0017 dfd6 ec00
0015 8000 0222 3d00 0000 0310 8000 0000
0000 0000 0000 0000 0000 0000 0000 0000
0000 0000 0000 0000 0000 0000 0000 0000
0000 0000 0000 0000 0000 0000 0000 0000
0000 0000 0000 0000 0000 0000 0000
Caso 3. Port-Channel através do FTD – Interface do FTD implantada como modo bridge-group:
interface Ethernet1/2
bridge-group 1
nameif INSIDE
cts manual
propagate sgt preserve-untag
policy static sgt disabled trusted
security-level 0
!
interface Ethernet1/3
bridge-group 1
nameif OUTSIDE
cts manual
propagate sgt preserve-untag
policy static sgt disabled trusted
security-level 0
!
interface BVI1
ip address 192.168.201.134 255.255.255.0
firepower# capture CAP interface INSIDE ethernet-type 34825
firepower# show capture CAP
1 packet captured
1: 21:21:29.731987 2894.0f57.271c 0180.c200.0002 0x8809 Length: 124 <-- LACP packet
0101 0114 8000 0017 dfd6 ec00 0015 8000
0222 7d00 0000 0214 0000 0000 0000 0000
0000 0000 0000 0000 0000 0310 8000 0000
0000 0000 0000 0000 0000 0000 0000 0000
0000 0000 0000 0000 0000 0000 0000 0000
0000 0000 0000 0000 0000 0000 0000 0000
0000 0000 0000 0000 0000 0000 0000
1 packet shown
P. Como migrar de uma única porta para um canal de porta?
Essa alteração exige uma janela de manutenção (MW) e é inconveniente. Depois que você migra de uma única interface para o Port-Channel, toda a configuração relacionada a uma única interface é desassociada. Depois de criar o canal de porta, é necessário reassociar a mesma configuração ao canal de porta recém-configurado, por exemplo, NAT, roteamento, VPN e assim por diante. Para o FTD, há uma observação neste documento:
Configurar um EtherChannel
Para um dispositivo ASA, o procedimento é descrito neste documento:
Conversão das interfaces em uso em uma interface redundante ou EtherChannel
P. Como alterar o link de alta disponibilidade (HA) do FTD para o canal de porta?
Essa alteração exige uma janela de manutenção (MW) e é inconveniente. Você deve interromper a HA e reconfigurá-la. No novo par de HA, especifique o Port-Channel como um link de HA. Documento relacionado:
Configurar a alta disponibilidade do FTD em dispositivos Firepower
Q. O Firepower com ASA mostra o canal de porta ativo, o status da interface física inativo
Isso está relacionado ao bug da Cisco ID CSCvp03354
P. O que deve ser escolhido para a ID do canal de porta no FMC? Ele precisa corresponder a alguma coisa no lado do switch?
Não, não é importante. Você pode usar qualquer ID do Port-Channel desejada.
P. Na guia Port-Channel Advanced (Avançado do canal de porta), há alguma necessidade de fazer algo para o MAC ativo/standby?
Se você planeja usar o canal de porta no modo de acesso (sem tronco) e usar a configuração de alta disponibilidade (HA), é altamente recomendável configurar o MAC ativo/em espera. Essa recomendação não é específica do Port-Channel, mas é aplicável a qualquer configuração de HA.
P. É possível configurar descrições para membros de interface de um canal de porta?
Atualmente (FXOS 2.13.x), não é suportado. Verifique o guia de configuração mais recente do FXOS para obter mais detalhes.
P. É possível alterar o algoritmo de balanceamento de carga de canal de porta FXOS?
Atualmente (FXOS 2.13.x), não é suportado. Verifique o guia de configuração mais recente do FXOS para obter mais detalhes.
P. É possível configurar o número mínimo (min-links) de interfaces membro em um canal de porta para fazer a transição do canal de porta para o estado agrupado?
Atualmente (FXOS 2.13.x), não é suportado. Verifique o guia de configuração mais recente do FXOS para obter mais detalhes.
Informações Relacionadas
Histórico de revisões
| Revisão | Data de publicação | Comentários |
|---|---|---|
4.0 |
11-Apr-2024 |
Requisitos de estilo e formatação atualizados. |
3.0 |
15-May-2023 |
Formatação e idioma atualizados |
1.0 |
26-Mar-2020 |
Versão inicial |
FeedbackContate a Cisco
- Abrir um caso de suporte
- (É necessário um Contrato de Serviço da Cisco)