带单ESP的Cisco ASR 1006或ASR 1013路由器的加密引擎故障

简介

本文档介绍如何识别和解决可能在思科聚合服务路由器(ASR)1006或ASR 1013平台上观察到的IPSec操作问题。当只安装一个嵌入式服务处理器(ESP)，且其已安装在插槽F1中时，就会发生这种情况。

先决条件

要求

本文档没有任何特定的要求。

使用的组件

本文档中的信息基于Cisco 1000系列ASR 1006或Cisco ASR 1013。

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您使用的是真实网络，请确保您已经了解所有命令的潜在影响。

背景信息

Cisco 1000系列ASR产品组合包括两种型号（ASR 1006和ASR 1013）。 每种型号都配备冗余路由处理器(RP)和ESP。 通常，Cisco ASR 1006和Cisco ASR 1013中的插槽F0或F1中安装一个ESP，无限制。RP插槽也适用相同的前提。

插槽编号在Cisco ASR 1006和Cisco ASR 1013安装指南中有说明。

问题

设备重新通电后，加密引擎无法初始化。当ESP安装在插槽F1中且插槽F0中没有运行ESP时。以下产品出现了问题：

Hardware:

• 双ESP Cisco ASR 1000型号： ASR1006或ASR1013。

软件：

• 对于Cisco IOS^{® XE}版本3.7.xS系列： 3.7.3S或更低版本；3.7.4S及更高版本不受影响。
• 对于后续的Cisco IOS XE系列： 3.9.1S或更低版本；3.9.2S及更高版本不受影响。

问题的症状包括：

• 日志显示以下错误消息：

  ISAKMP: Unable to find a crypto engine to allocate IKE SA

• show crypto eli和show crypto ace slot < number> status命令的输出表明加密引擎处于非活动状态：

  ASR1006#show crypto eli 
  Hardware Encryption: INACTIVE 
   Number of hardware crypto engines = 1 
  
   CryptoEngine IOSXE-ESP(14) details: state = Initializing
   Capability    : DES, 3DES, AES, GCM, GMAC, RSA, IPv6, GDOI, FAILCLOSE
   IKE-Session   :     0 active, 12287 max, 0 failed 
   DH            :     0 active, 12287 max, 0 failed 
   IPSec-Session :     0 active, 32766 max, 0 failed
  
  
  ASR1006#show crypto ace slot 14 stat | inc status
  
  ACE status: OFFLINE

此问题可能发生在以下场景中：

• 插槽F1中插入一个ESP，插槽F0中没有ESP。路由器已重新通电。
• 有两个ESP，但由于问题，F0中的ESP发生故障，F1中留下一个ESP。路由器已重新通电。

输入show platform命令以验证ESP的可用性。 

示例：

    ASR1006#show platform
    Chassis type: ASR1006 

    Slot  Type                State       Insert time (ago) 
    0     ASR1000-SIP10       ok          00:32:04       
    0/0   SPA-8X1GE-V2        ok          00:29:46      
    1     ASR1000-SIP10       ok          00:32:04      
    1/0   SPA-8X1GE-V2        ok          00:29:46
    R1    ASR1000-RP1         ok, active  00:32:04      
    F1    ASR1000-ESP10       ok, active  00:32:04      
    P0    ASR1006-PWR-AC      ok          00:31:12     
    P1    ASR1006-PWR-AC      ok          00:31:11

解决方案

问题是由于Cisco Bug ID CSCue45131，“sVTI tunnel I/F does not up after router reboot.（路由器重新启动后，sVTI隧道I/F不会启动。）”。
Cisco IOS XE版本3.7.4S和3.9.2S中已修复该漏洞。

Cisco IOS XE版本3.10.0S系列中不存在该问题。

最佳解决方案是确保插槽F0中安装了当前正常运行的ESP。如果无法使用该解决方案，可以远程应用的其他解决方法包括：

• 重新加载ESP: # hw module slot F1 reload

或

• 重新加载路由器