المحتويات

المقدمة

المتطلبات الأساسية

المتطلبات

المكونات المستخدمة

شروط معروفة للقابلية للتأثر

أعراض الأخطاء

1. لا تغادر الحزم التي يتم الحصول عليها من ASA/LINA (FTD) الجهاز مطلقا.

2. لا تتزايد عدادات واجهة FXOS لحزم TX.

3. حالات السقوط على واجهة البيانات/اللوحة الخلفية الداخلية بين محول الهيكل الداخلي و ASA/LINA.

محفز الأعراض

خيارات تخفيف المشغل واسترداد الجهاز

معلومات معرف الخطأ من Cisco

المقدمة

يصف هذا وثيقة cisco بق id CSCwa79915 شرط، عرض، مشغل، و تخفيف خيار أن يسترد الجهاز.

المتطلبات الأساسية

المتطلبات

توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:

- نظام التشغيل Firepower eXtensible Operating System ‏(FXOS)

- أجهزة الأمان المعدلة (ASA)

- LiNux NaLayer (LINA)

- Firepower Threat Defense ‏(FTD)

المكونات المستخدمة

أسست المعلومة في هذا وثيقة على هذا جهاز نموذج وبرمجية صيغة:

- Firepower 2110

- برنامج FTD 6.6.5 (مضمن مع إصدار FXOS 2.8.1.165)

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

شروط معروفة للقابلية للتأثر

الشروط الحالية المعروفة المرتبطة ب Cisco bug ID CSCwa79915 تشمل:

1. جهاز سلسلة Firepower 2100.

2. منفذ واحد أو أكثر من منافذ الهيكل الخارجية الموجهة التي تعمل في وضع الإرسال أحادي الإتجاه (سواء كان ذلك مقصودا أو كنتيجة عدم تطابق إرسال ثنائي الإتجاه).

3. يتم تكوينها باستخدام أي إصدار يتأثر من برنامج أجهزة الأمان المعدلة (ASA) أو برنامج الدفاع ضد تهديد الطاقة النارية (FTD).

أعراض الأخطاء

1. لا تغادر الحزم التي يتم الحصول عليها من ASA/LINA (FTD) الجهاز مطلقا.

الملاحظة الأكثر تقليدية/الشائعة لهذه الحالة هي أن جميع واجهات البيانات تظهر حركة مرور قليلة جدا من واجهات.

عندما يتم وضع التقاط في هذا الشرط، فإنه يكشف عن أن طلبات بروتوكول تحليل العنوان (ARP) يتم إرسالها من قبل مضيفين آخرين على الشبكة الفرعية نفسها والاستعلام الخاص بعنوان الطبقة 2 من عنوان IP الخاص ب LInux (LINA) بشكل تفاعلي (LINA) ويتم عرض التقاط LINA ردا. ومع ذلك، لا ترى ردود ARP هذه لمغادرة الهيكل، كما هو موضح عندما يتم إجراء محلل منفذ محول (SPAN) على المحول الخارجي الذي يتم فيه توصيل واجهات الهيكل المعنية المعينة إلى LINA.

على سبيل المثال:

firepower# show capture arp

4 packets captured

1: 14:43:44.185872       arp who-has 10.255.255.1 tell 10.255.255.2

2: 14:43:44.186132       arp reply 10.255.255.1 is-at b0:8b:cf:8c:61:4f

3: 14:43:45.205906       arp who-has 10.255.255.1 tell 10.255.255.2

4: 14:43:45.206166       arp reply 10.255.255.1 is-at b0:8b:cf:8c:61:4f

حيث 10.255.255.2 هو عنوان IP لمضيف خارجي يرسل استعلامات ARP إلى 10.255.255.1، والذي ينتمي إلى إحدى واجهات بيانات LINA.

الردود على ARP التي تعتبر منقولة بواسطة LINA عند التقاطها لا ترى أبدا في الواقع أنها تترك منفذ الهيكل المادي الخاص بها.

2. لا تتزايد عدادات واجهة FXOS لحزم TX.

وكما هو الحال مع الأعراض التي لا تتلقى الأجهزة المضيفة الخارجية أي حزم من الجهاز المتأثر، كما هو موضح من جميع الحزم المرسلة من قبل LINA لا تترك الهيكل، فإن لدينا الأعراض حيث لا تتزايد عدادات المنافذ الخارجية لحزم (TX) المرسلة.

في هذا المثال، الواجهة المتأثرة هي Ethernet1/12. تحقق من عدادات واجهة نظام التشغيل القابل للتشغيل (FXOS) Firepower لحزم TX وأظهر أن العدادات لم تتزايد أبدا، على الرغم من الإشارة من LINA إلى أن هذه الحزم تم إرسالها إلى محول الهيكل الداخلي.

firepower# scope eth-uplink

firepower/eth-uplink # scope fabric

firepower/eth-uplink/fabric # scope interface 1 12   <<< interface Eth1/12

firepower/eth-uplink/fabric/interface # show stats ether-tx-stats

Ether Tx Stats:

Time Collected: 2021-12-09T17:29:45.621   <<< first execution of the command

Monitored Object: sys/switch-A/slot-1/switch-ether/port-8

Suspect: No

Total Packets (packets): 4823522   <<< Counter of packets transmitted

Unicast Packets (packets): 4823515

Multicast Packets (packets): 0

Broadcast Packets (packets): 7

Total Bytes (bytes): 606771974

Jumbo Packets (packets): 0

Thresholded: 0

firepower/eth-uplink/fabric/interface # show stat ether-tx-stats

Ether Tx Stats:

Time Collected: 2021-12-09T17:30:15.726   <<< second execution of the command

Monitored Object: sys/switch-A/slot-1/switch-ether/port-8

Suspect: No

Total Packets (packets): 4823522   <<< Counter of packets transmitted (No delta seen)

Unicast Packets (packets): 4823515

Multicast Packets (packets): 0

Broadcast Packets (packets): 7

Total Bytes (bytes): 606771974

Jumbo Packets (packets): 0

Thresholded: 0

3. حالات السقوط على واجهة البيانات/اللوحة الخلفية الداخلية بين محول الهيكل الداخلي و ASA/LINA.

يتم إستخدام الواجهة Internal1/3 كواجهة توصيل/لوحة خلفية بين المحول على الجهاز المنطقي الذي يعمل على الهيكل.

firepower#

firepower# connect local-mgmt

firepower(local-mgmt)# show portmanager counters internal 1 3   <<< first execution of the command

Good Octets Received : 23510696205

Bad Octets Received : 0

MAC Transmit Error : 0

Good Packets Received : 49729185

Bad Packets Received : 0

BRDC Packets Received : 1704250

MC Packets Received : 320755

Size 64 : 21746457

Size 65 to 127 : 112073389

Size 128 to 255 : 7536865

Size 256 to 511 : 3053841

Size 512 to 1023 : 2490597

Size 1024 to Max : 0

Good Octets Sent : 27203100553

Good Packets Sent : 122656923

Excessive Collision : 0

MC Packets Sent : 1095115

BRDC Packets Sent : 90585686

Unrecognized MAC Received : 0

FC Sent : 0

Good FC Received : 0

Drop Events : 16837069

Undersize Packets : 0

Fragments Packets : 0

Oversize Packets : 0

Jabber Packets : 0

MAC RX Error Packets Received : 0

Bad CRC : 0

Collisions : 0

Late Collision : 0

bad FC Received : 0

Good UC Packets Received : 47704180

Good UC Packets Sent : 30976122

Multiple Packets Sent : 0

Deferred Packets Sent : 0

Size 1024 to 15180 : 0

Size 1519 to Max : 0

txqFilterDisc : 0

linkChange : 1

firepower(local-mgmt)# show portmanager counters internal 1 3 <<< second execution of the command

Good Octets Received : 23510700469

Bad Octets Received : 0

MAC Transmit Error : 0

Good Packets Received : 49729250     >>>> 49729250 – 49729185 = 65 packets received from FTD

Bad Packets Received : 0

BRDC Packets Received : 1704261

MC Packets Received : 320759

Size 64 : 21746518

Size 65 to 127 : 112074355

Size 128 to 255 : 7536866

Size 256 to 511 : 3053847

Size 512 to 1023 : 2490606

Size 1024 to Max : 0

Good Octets Sent : 27203179868

Good Packets Sent : 122657901

Excessive Collision : 0

MC Packets Sent : 1095130

BRDC Packets Sent : 90586649

Unrecognized MAC Received : 0

FC Sent : 0

Good FC Received : 0

Drop Events : 16837134   >>>>> 16837134 – 16837069 = 65 packets dropped (matching above counter)

Undersize Packets : 0

Fragments Packets : 0

Oversize Packets : 0

Jabber Packets : 0

MAC RX Error Packets Received : 0

Bad CRC : 0

Collisions : 0

Late Collision : 0

bad FC Received : 0

Good UC Packets Received : 47704230

Good UC Packets Sent : 30976122

Multiple Packets Sent : 0

Deferred Packets Sent : 0

Size 1024 to 15180 : 0

Size 1519 to Max : 0

txqFilterDisc : 0

linkChange : 1

firepower(local-mgmt)#

ملاحظة: بالنسبة لبيئة حركة مرور مباشرة، قد يكون من الصعب التحقق من عداد الواجهة بسبب الضوضاء، لذلك تحقق أولا من وضع الإرسال أحادي الإتجاه وتصحيحه.

محفز الأعراض

يظهر فحص لحالة الواجهات النشطة إحدى واجهات البيانات النشطة/UP في وضع الإرسال أحادي الإتجاه، وهو أمر غير معتاد ليتم عرضه بشكل عام.

firepower#

firepower# connect local-mgmt

firepower(local-mgmt)# show portmanager switch status

Dev/Port      Mode         Link  Speed Duplex Loopback Mode

--------- ---------------- ----- ----- ------ -------------

0/0          QSGMII        Down   1G    Half   None

0/1          QSGMII         Up    1G    Full   None

0/2          QSGMII        Down   1G    Half   None

0/3          QSGMII        Down   1G    Half   None

0/4          QSGMII        Down   1G    Half   None

0/5          QSGMII        Down   1G    Half   None

0/6          QSGMII         Up    100   Half   None    <<<<< Up and Half-duplex

0/7          QSGMII        Down   1G    Half   None

0/8          QSGMII        Down   1G    Half   None

0/9          QSGMII         Up    1G    Full   None

0/10         QSGMII         Up    1G    Full   None

0/11         QSGMII         Up    1G    Full   None

0/12         QSGMII         Up    1G    Full   None

0/13         QSGMII        Down   10    Half   None

0/14         QSGMII        Down   10    Half   None

0/15         QSGMII        Down   10    Half   None

0/16          n/a          Down   n/a   Full   N/A

0/17          n/a          Down   n/a   Full   N/A

0/18          n/a          Down   n/a   Full   N/A

0/19          n/a          Down   n/a   Full   N/A

0/20          n/a          Down   n/a   Full   N/A

0/21          n/a          Down   n/a   Full   N/A

0/22          n/a          Down   n/a   Full   N/A

0/23          n/a          Down   n/a   Full   N/A

0/24          KR            Up    10G   Full   None

0/25          KR            Up    10G   Full   None

0/26          KR           Down   10G   Full   None

0/27          KR            Up    10G   Full   None

يوفر هذا الجدول تخطيط واجهة الهيكل المادية لرقم منفذ المحول الداخلي. يلزم هذا التعيين لفهم الإخراج من حالة محول show portManager. استنادا إلى الجدول، يمكننا أن نرى أنه بالنسبة لمعرف منفذ المحول الداخلي 0/6 (يظهر في الإخراج السابق لحالة المحول show portManager)، فإن منفذ الهيكل المادي المقترن هو إيثرنت 1/8.

Interface Name Internal Switch Port (2110/2120) Internal Switch Port (2130/2140)

Ethernet 1/1                1                  1

Ethernet 1/2                0                  0

Ethernet 1/3                3                  3

Ethernet 1/4                2                  2

Ethernet 1/5                5                  5

Ethernet 1/6                4                  4

Ethernet 1/7                7                  7

Ethernet 1/8                6                  6

Ethernet 1/9                9                  49

Ethernet 1/10                8                  48

Ethernet 1/11                11                  51

Ethernet 1/12                10                  50

Ethernet 1/13                12                  59

Ethernet 1/14                13                  58

Ethernet 1/15                14                  57

Ethernet 1/16                15                  56

Ethernet 2/1                N/A                  70

Ethernet 2/2                N/A                  71

Ethernet 2/3                N/A                  69

Ethernet 2/4                N/A                  68

Ethernet 2/5                N/A                  66

Ethernet 2/6                N/A                  67

Ethernet 2/7                N/A                  65

Ethernet 2/8                N/A                  64

Internal 1/1                 26                  81 (Eventing Port - NOT visible at Service Manager)

Internal 1/2                 27                  80 (Unused - NOT visible at Service Manager)

Internal 1/3           24                      52 (Internal backplane uplink to logical device, whether ASA or FTD)

خيارات تخفيف المشغل واسترداد الجهاز

تصحيح أي عدم تطابق مزدوج هو الطريقة الوحيدة لمنع التأثير الجانبي الذي يظهر على واجهة اللوحة الخلفية، ويمكن القيام بذلك باستخدام إحدى الطريقتين التاليتين وإعادة تحميل الجهاز.

1. إذا لم يتم تكوين جهاز النظير باستخدام ميزة "الإرسال ثنائي الإتجاه"، قم بتغييره إلى "تلقائي" (الطريقة المفضلة).

2. إذا لم يكن هناك وصول إلى الإدارة لجهاز النظير:

2.1. بالنسبة ل FTD الذي تتم إدارته بواسطة مركز إدارة FirePOWER (FMC)، قم بتعطيل التفاوض التلقائي للخيار تحت تحرير الواجهة المادية على FMC.

2.2. بالنسبة إلى FTD الذي تتم إدارته بواسطة FirePOWER Device Manager (FDM)، قم بتغيير خيار الإرسال ثنائي الإتجاه من "تلقائي" إلى "كامل" تحت الخيارات المتقدمة للواجهة.

2.3. بالنسبة إلى ASA، قم بتعطيل التفاوض التلقائي للإرسال ثنائي الإتجاه من مستوى الهيكل على النحو التالي:

firepower /eth-uplink # scope

firepower /eth-uplink # scope fabric a

firepower /eth-uplink/fabric # scope interface 1 1

firepower /eth-uplink/fabric/interface # set auto-negotiation

no No

yes Yes

firepower /eth-uplink/fabric/interface # set auto-negotiation no

firepower /eth-uplink/fabric/interface* # commit-buffer

firepower /eth-uplink/fabric/interface #

ملاحظة: الطرق الواردة في الخطوة 2 هي خيارات نظرية يمكن أن تعمل في الظروف العادية.

3. قم بتوصيل واجهة Firepower في وضع الإرسال أحادي الإتجاه بمحول مختلف يدعم التفاوض التلقائي لإعدادات الإرسال ثنائي الإتجاه أو تكوين منفذ المحول لتمكين التفاوض التلقائي لإعدادات الإرسال ثنائي الإتجاه.

ملاحظة: لا يزال من الضروري إعادة تحميل الجهاز بالكامل بعد تنفيذ أي من الخطوات، من أجل إسترداد واجهة اللوحة الخلفية من حالتها الفاشلة.

معلومات معرف الخطأ من Cisco

رفعت هذا خطأ أن يتتبع برمجية حل من العرض حيث اللوحة الخلفية Internal1/3 قارن يعجز أن يعالج أي حركة مرور يستلم من ال LINA بعد بعض الوقت.

يتسبب المنفذ المادي لمعرف تصحيح الأخطاء من Cisco CSCwa79915 في وضع الإرسال أحادي الإتجاه في إسقاط جميع الحزم من LINA بواسطة الهيكل.