Falla del motor criptográfico en el router Cisco ASR 1006 o ASR 1013 con un único ESP

Introducción

Este documento describe cómo identificar y resolver un problema con las operaciones IPSec que se pueden observar en las plataformas Cisco Aggregation Services Router (ASR) 1006 o ASR 1013. Esto puede ocurrir cuando sólo hay un procesador de servicios integrados (ESP) instalado y está instalado en la ranura F1.

Prerequisites

Requirements

No hay requisitos específicos para este documento.

Componentes Utilizados

La información de este documento se basa en el ASR 1006 de la serie Cisco 1000 o en el ASR 1013 de Cisco.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Antecedentes

La cartera de Cisco ASR serie 1000 incluye dos modelos (ASR 1006 y ASR 1013). Cada modelo incluye procesadores de ruta redundantes (RP) y ESP.  En general, se instala un único ESP en Cisco ASR 1006 y Cisco ASR 1013 en cualquiera de las ranuras F0 o F1, sin restricciones. La misma premisa se aplica a las ranuras RP.

La numeración de las ranuras se describe en las guías de instalación de Cisco ASR 1006 y Cisco ASR 1013.

Problema

El motor criptográfico no se puede inicializar después de un ciclo de encendido del dispositivo. Cuando ESP está sentado en el slot F1 y no hay ESP en ejecución en el slot F0. El problema se observa en los siguientes productos:

Hardware

• Modelos Cisco ASR 1000 Dual-ESP:  ASR1006 o ASR1013.

Software:

• Para el tren Cisco IOS^® XE versión 3.7.xS:  Versión 3.7.3S o anterior; 3.7.4S y posteriores no se ven afectados.
• Para los trenes Cisco IOS XE posteriores:  Versión 3.9.1S o anterior; 3.9.2S y posteriores no se ven afectados.

Los síntomas del problema incluyen:

• Los registros muestran este mensaje de error:

  ISAKMP: Unable to find a crypto engine to allocate IKE SA

• La salida de los comandos show crypto eli y show crypto ace slot <number> status indica que el motor crypto está inactivo:

  ASR1006#show crypto eli 
  Hardware Encryption: INACTIVE 
   Number of hardware crypto engines = 1 
  
   CryptoEngine IOSXE-ESP(14) details: state = Initializing
   Capability    : DES, 3DES, AES, GCM, GMAC, RSA, IPv6, GDOI, FAILCLOSE
   IKE-Session   :     0 active, 12287 max, 0 failed 
   DH            :     0 active, 12287 max, 0 failed 
   IPSec-Session :     0 active, 32766 max, 0 failed
  
  
  ASR1006#show crypto ace slot 14 stat | inc status
  
  ACE status: OFFLINE

Este problema podría ocurrir en estos escenarios:

• Se inserta un ESP único en la ranura F1 y no hay ESP en la ranura F0. El router se ha apagado y encendido.
• Hay dos ESP, pero debido a un problema, el ESP en F0 falló y dejó un ESP único en F1. El router se ha apagado y encendido.

Ingrese el comando show platform para verificar la disponibilidad del ESP. 

Ejemplo:

    ASR1006#show platform
    Chassis type: ASR1006 

    Slot  Type                State       Insert time (ago) 
    0     ASR1000-SIP10       ok          00:32:04       
    0/0   SPA-8X1GE-V2        ok          00:29:46      
    1     ASR1000-SIP10       ok          00:32:04      
    1/0   SPA-8X1GE-V2        ok          00:29:46
    R1    ASR1000-RP1         ok, active  00:32:04      
    F1    ASR1000-ESP10       ok, active  00:32:04      
    P0    ASR1006-PWR-AC      ok          00:31:12     
    P1    ASR1006-PWR-AC      ok          00:31:11

Solución

El problema se debe al Id. de bug Cisco CSCue45131, "sVTI tunnel I/F no se activa después del reinicio del router".
El error se corrige en las versiones 3.7.4S y 3.9.2S del IOS XE de Cisco.

El problema no existe en el tren Cisco IOS XE Release 3.10.0S.

La mejor solución es asegurarse de que el ESP que actualmente funciona esté instalado en el slot F0. Si esa solución no es posible, otras soluciones que se pueden aplicar de forma remota son:

• Recargue el ESP:  # hw module slot F1 reload

or

• Vuelva a cargar el router