Routers : Routers de servicios de agregación Cisco ASR de la serie 1000

Fallo mecánico de motor de criptografía en Cisco ASR 1006 o 1013 Router ASR con un solo ESP

18 Octubre 2015 - Traducción Automática
Otras Versiones: PDFpdf | Inglés (22 Agosto 2015) | Comentarios

 

Introducción

Este documento describe cómo identificar y resolver un problema con las operaciones del IPSec que se pudieron observar en el router de los servicios de la agregación de Cisco (ASR) 1006 o las Plataformas ASR 1013. Esto puede ocurrir cuando allí es solamente un procesador de servicio integrado (ESP) instalado y se asienta en el slot F1.

Contribuido por Michal Stanczyk, ingeniero de Cisco TAC.

Prerrequisitos

Requisitos

No hay requisitos específicos para este documento.

Componentes Utilizados

La información en este documento se basa en las Cisco 1000 Series ASR 1006 o Cisco ASR 1013.

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si la red está funcionando, asegúrese de haber comprendido el impacto que puede tener cualquier comando.

Antecedentes

La cartera de las Cisco 1000 Series ASR incluye dos modelos (ASR 1006 y ASR 1013). Cada modelo ofrece el (RP) de los Route Processor redundantes y los ESP.  Un solo ESP está instalado generalmente en Cisco ASR 1006 y Cisco ASR 1013 en el slot F0 o el F1, sin las restricciones. La misma premisa se aplica a los slots RP.

La numeración de slot se describe en las guías de instalación de Cisco ASR 1006 y de Cisco ASR 1013.

Problema

El motor de criptografía no puede inicializarse después de un ciclo de la potencia del dispositivo. Cuando el ESP se asienta en el slot F1 y no hay funcionamiento ESP en el slot F0. El problema se considera en los Productos siguientes:

Hardware

  • Modelos Dual-ESP Cisco ASR 1000:  ASR1006 o ASR1013.

Software:

  • Para el tren de la versión 3.7.xS del ® XE del Cisco IOS:  Versión 3.7.3S o anterior; 3.7.4S y posterior no es afectado.
  • Para trenes posteriores del Cisco IOS XE:  Versión 3.9.1S o anterior; 3.9.2S y posterior no es afectado.

Los síntomas del problema incluyen:

  • Los registros visualizan este mensaje de error:
    ISAKMP: Unable to find a crypto engine to allocate IKE SA
  • La salida del show crypto eli y de los comandos status crypto del <number> del slot del as de la demostración indica que el motor de criptografía está inactivo:
    ASR1006#show crypto eli 
    Hardware Encryption: INACTIVE
    Number of hardware crypto engines = 1

    CryptoEngine IOSXE-ESP(14) details: state = Initializing Capability : DES, 3DES, AES, GCM, GMAC, RSA, IPv6, GDOI, FAILCLOSE IKE-Session : 0 active, 12287 max, 0 failed DH : 0 active, 12287 max, 0 failed IPSec-Session : 0 active, 32766 max, 0 failed


    ASR1006#show crypto ace slot 14 stat | inc status

    ACE status: OFFLINE

Este problema pudo ocurrir en estos escenarios:

  • Un solo ESP se inserta en el slot F1 y no hay ESP en el slot F0. El router ha sido power-cycled.
  • Hay dos ESP, pero debido a un problema, el ESP en el F0 fallado y dejado un solo ESP en el F1. El router ha sido power-cycled.

Ingrese el comando show platform para verificar la Disponibilidad del ESP. 

Ejemplo:

    ASR1006#show platform
Chassis type: ASR1006
Slot Type State Insert time (ago) 0 ASR1000-SIP10 ok 00:32:04 0/0 SPA-8X1GE-V2 ok 00:29:46 1 ASR1000-SIP10 ok 00:32:04 1/0 SPA-8X1GE-V2 ok 00:29:46 R1 ASR1000-RP1 ok, active 00:32:04 F1 ASR1000-ESP10 ok, active 00:32:04 P0 ASR1006-PWR-AC ok 00:31:12 P1 ASR1006-PWR-AC ok 00:31:11

Solución

El problema es debido al Id. de bug Cisco CSCue45131, el “túnel I/F del sVTI no sube después de que la reinicialización del router.”
El bug se repara en las versiones 3.7.4S y 3.9.2S del Cisco IOS XE.


El problema no existe en el tren de la versión 3.10.0S del Cisco IOS XE.

La mejor solución es aseegurarse que el ESP actualmente de funcionamiento está instalado en el slot F0. Si esa solución no es posible, otras soluciones alternativas que pueden ser aplicadas remotamente son:

  • Recargue el ESP:  # recarga del slot del módulo F1 del hw

o

  • Recargue al router

Discusiones relacionadas de la comunidad de soporte de Cisco

La Comunidad de Soporte de Cisco es un foro donde usted puede preguntar y responder, ofrecer sugerencias y colaborar con colegas.


Document ID: 116878