Contenu

Introduction

Diagnostic de l'utilisation élevée du CPU

Échange binaire des adresses MAC

Déterminer les points de terminaison SNA

Filtrer sur les SAP

Filtrer le trafic indésirable

Autoriser uniquement les adresses MAC utilisées pour SNA

Introduction

Ce document décrit comment dépanner une utilisation élevée du CPU due à la commutation de liaison de données (DLSw).

Diagnostic de l'utilisation élevée du CPU

Complétez ces étapes afin de déterminer que DLSw est la cause d'une utilisation élevée du CPU.

1. Entrez la commande show proc cpu sort.

CISCO-2821-P1#show proc cpu sort

CPU utilization for five seconds: 98%/16%; one minute: 98%; five minutes: 98%

PID Runtime(ms)     Invoked      uSecs   5Sec   1Min   5Min TTY Process

366    40569376    27522064       1474 72.31% 74.57% 74.62%   0 DLSw msg proc

371     2099016    27845490         75  3.83%  3.93%  3.94%   0 HyBridge Input P

13      134172        1263     106232  2.15%  0.27%  0.18%   0 Licensing Auto U

367      779500    27475147         28  1.27%  1.35%  1.35%   0 CLS Background
Dans la sortie précédente, le processus de message DLSw indique un type de trafic qui est ponté dans DLSw et DLSw tente de l'envoyer à tous les homologues. Il peut s'agir du trafic réel de l'explorateur SNA (Systems Network Architecture), des trames SNAP (Sub-Network Access Protocol) (SNA is Service Access Point (SAP) encapsulé), DECnet ou éventuellement NetBIOS. Même s'il n'est pas envoyé aux homologues, il est traité par DLSw et prend l'utilisation du CPU, car le trafic DLSw est commuté par processus.

L'entrée Hybridge est un indice, car elle indique le trafic ponté Ethernet. Le contexte des services de liaison Cisco (CLS) est également impliqué.

2. Entrez la commande show proc cpu history afin de déterminer la durée d'utilisation élevée du processeur.

3. Entrez la commande show dlsw peer ssp-dlx afin de voir le trafic sur l'homologue également.

CISCO-2821-P1#show dlsw peer ssp-dlx

Peer: 192.168.2.1                           received transmitted

CUR_ex Can U Reach Explorers                   0           3

DATA Data Frame                                0      205842

--> DSAP: SNAP (0xAA)                          0      205789

--> DSAP: Other                                0          53

CAPX Capabilities Exchange                   102         111

Total SSP Primatives                         102      205956

DLX Peer Test Request                          0         347

DLX Peer Test Response                       347           0

Last SSP Sent:  DATA

Total number of connected peers: 1

Total number of connections:     1

Échange binaire des adresses MAC

Le trafic peut s’incrémenter rapidement sur les adresses MAC apprises sur le pont de l’interface Ethernet.

Address          Action    Interface        Age   RX count   TX count

90fb.a616.4e77   forward   Gi0/0.1           0       1696       1968

54ee.7505.86b9   forward   Gi0/0.1           0    1448758          0

0200.ae00.0080   forward   DLSw Port0        0     306187     232570

54ee.7505.8705   forward   Gi0/0.1           0    1448766          0

0011.258d.a82d   forward   Gi0/0.1           0     119501     184767

a820.6604.f332   forward   Gi0/0.1           1       1294          0

Notez les adresses de la sortie précédente qui ont un nombre Rx et aucun nombre Tx. Voici les adresses des problèmes.

Vous pouvez utiliser l'outil Bitswap afin d'échanger les adresses MAC par bit en adresses Ethernet.

- MAC 0088.a4b1.15b4 dans DLSw est l'adresse Ethernet 0011.258D.A82D.

- MAC 09df.6568.72ee dans DLSw est l'adresse Ethernet 90FB.A616.4E77.

- MAC 4000.7500.0001 dans DLSw est l’adresse Ethernet 0200.ae00.0080.

Déterminer les points de terminaison SNA

Vous devez connaître les adresses MAC et les SAP qui composent les terminaux SNA. Si tout est en ligne et fonctionne, vous pouvez le déterminer à l'aide de la commande show dlsw circuit :

CISCO-2821-P1#show dlsw cir

Index           local addr(lsap)    remote addr(dsap)  state          uptime

369099416       0088.a4b1.15b4(04)  4000.7500.0001(04) CONNECTED         1d02h

3607102105      09df.6568.72ee(04)  4000.7500.0001(04) CONNECTED      00:57:43

Total number of circuits connected: 2

Dans la sortie précédente, l'adresse MAC locale est la forme non canonique (anneau de jeton) de l'adresse MAC. Cela signifie qu’il doit être remplacé par un bit pour voir l’adresse MAC telle qu’elle apparaît sur Ethernet. Le nombre entre parenthèses (04) est le SAP utilisé par cette connexion. Toutes les stations d'extrémité de la sortie précédente utilisent 0x04. Les SAP utilisés sont donc 0 et 4. SAP 0x0 est utilisé pour les explorateurs.

Filtrer sur les SAP

Maintenant, vous pouvez filtrer sur les SAP. Vous devez autoriser au moins 0 et 4. Il est recommandé de toujours autoriser 0, 4, 8 et C.

Pour plus d'informations, référez-vous à Techniques de filtrage SAP/MAC DLSw+.

Supposons que vous ayez une configuration comme celle-ci :

dlsw local-peer peer-id 192.168.1.1

dlsw remote-peer 0 tcp 192.168.2.1

dlsw bridge-group 15

!

interface GigabitEthernet0/0.1

description **Production LAN Segment**

encapsulation dot1Q 1 native

ip address 192.168.1.1 255.255.0.0

bridge-group 15

!

bridge 1 protocol vlan-bridge

Vous devez d'abord filtrer ce qui est envoyé entre les homologues DLSw, car cela a le plus grand impact. Vous pouvez bloquer SAPs AA (SNAP), E0 (Novell NetWare) et F0 (NetBIOS). Cette configuration est sécurisée à implémenter.

conf t

dlsw icannotreach saps AA E0 F0

exit

wr

Vous pouvez utiliser la version permit du filtre, si vous savez quels SNA SAP le client utilise et si la liste est petite. Voici un exemple :

conf t

dlsw icanreach saps 0 4 8 C

exit

wr

Filtrer le trafic indésirable

Vous pouvez filtrer le trafic indésirable au niveau du groupe de pontage sur l'interface Ethernet :

conf t

access-list 200 permit 0x0000 0x0D0D

access-list 201 deny 0x0000 0xFFFF

exit

wr

Note: Cet exemple utilise access-list 200 afin de pemit 0, 4, 8 et C avec un bit d'ordre haut (commande/réponse).Cet exemple utilise access-list 201 afin de bloquer le SNAP (Sub-Network Access Protocol) et tout autre trafic indésirable.

Appliquez les filtres sur l’interface Ethernet :

conf t

interface GigabitEthernet0/0.1

bridge-group 15 input-lsap-list 200

bridge-group 15 input-type-list 201

exit

wr

Voici un exemple de configuration sur Ethernet :

interface GigabitEthernet0/0.1

description **Production LAN Segment**

encapsulation dot1Q 1 native

ip address 192.168.1.1 255.255.0.0

bridge-group 15

bridge-group 15 input-lsap-list 200

bridge-group 15 input-type-list 201

Ceci doit être tout ce qui est nécessaire pour arrêter l'utilisation élevée du CPU par le DLSw.

Autoriser uniquement les adresses MAC utilisées pour SNA

Vous pouvez effectuer une autre étape afin d'autoriser uniquement les adresses MAC utilisées pour SNA à être pontées. Assurez-vous que tous les périphériques SNA sont en ligne et fonctionnent pour obtenir une liste complète avec cette commande :

CISCO-2821-P1#show dlsw cir

Index           local addr(lsap)    remote addr(dsap)  state          uptime

369099416       0088.a4b1.15b4(04)  4000.7500.0001(04) CONNECTED         1d02h

3607102105      09df.6568.72ee(04)  4000.7500.0001(04) CONNECTED      00:57:43

Total number of circuits connected: 2

MAC 0088.a4b1.15b4  in DLSw is ethernet address 0011.258D.A82D.

MAC 09df.6568.72ee in DLSw is ethernet address 90FB.A616.4E77.

access-list 701 permit 0011.258D.A82D 0000.0000.0000

access-list 701 permit  0FB.A616.4E77 0000.0000.0000

access-list 701 deny 0000.0000.0000 ffff.ffff.ffff

conf t

interface GigabitEthernet0/0.1

bridge-group 1 input-address-list 701

exit

wr

Si vous avez encore une utilisation élevée du CPU après avoir terminé cette procédure, contactez le centre d'assistance technique Cisco (TAC) afin de transmettre le dossier.