المحتويات

مسألة

يتم إسقاط حزم البث المتعدد من خلال واجهات أعضاء مجموعة الجسر على جدار الحماية مع ظهور هذه الأعراض:

1. لا تترك حزم البث المتعدد واجهة الخروج المقصودة:

firewall# show bridge-group

Static mac-address entries:  0 (in use), 16384 (max)

Dynamic mac-address entries: 2 (in use), 16384 (max)

Bridge Group: 100

Interfaces:

GigabitEthernet0/2

GigabitEthernet0/3

firewall# show nameif

Interface                Name                     Security

..

GigabitEthernet0/2       inside                   100

GigabitEthernet0/3       outside                  0

firewall# show capture

capture capi type raw-data trace interface inside[Capturing - 15642 bytes]

match udp any host 239.1.1.1

capture capo type raw-data interface outside [Capturing - 0 bytes]

match udp any host 239.1.1.1

2. وحدات البايت في إخراج الأمر show conn ذات الصلة هي 0:

firewall# show conn address 239.1.1.1

16 in use, 17 most used

UDP inside  192.0.2.1:50609 outside  239.1.1.1:5555, idle 0:01:03, bytes 0, flags –

3. واجهة المسار الوارد S،G خالية:

firewall# show mroute

Multicast Routing Table

Flags: D - Dense, S - Sparse, B - Bidir Group, s - SSM Group,

C - Connected, L - Local, I - Received Source Specific Host Report,

P - Pruned, R - RP-bit set, F - Register flag, T - SPT-bit set,

J - Join SPT

Timers: Uptime/Expires

Interface state: Interface, State

(*, 239.1.1.1), 3d01h/never, RP 198.51.100.100, flags: SCJ

Incoming interface: rp

RPF nbr: 198.51.100.100

Immediate Outgoing interface list:

outside, Forward, 3d01h/never

(192.0.2.1, 239.1.1.1), 00:02:48/00:00:41, flags: SJ

Incoming interface: Null

RPF nbr: 0.0.0.0

Inherited Outgoing interface list:

outside, Forward, 3d01h/never

البيئة

المخطط

- Firepower 4115 الذي يشغل حماية الحماية ضد تهديد جدار الحماية الآمن. يمكن أن تتأثر أيضا الأنظمة الأساسية للأجهزة الأخرى وتقنية ASA للأمان.

- الإصدار 7.6.4 من FTD. يمكن أن تتأثر أيضا إصدارات البرامج الأخرى.

- يتم تمكين توجيه البث المتعدد باستخدام الوضع المتناثر (SM) للبث المتعدد المستقل عن البروتوكول.

- يكون مسار حركة مرور البث المتعدد من خلال أعضاء مجموعة الجسر.

- لا تحتوي واجهة الجسر الظاهرية (BVI) على اسم:

firewall# show bridge-group

Static mac-address entries:  0 (in use), 16384 (max)

Dynamic mac-address entries: 2 (in use), 16384 (max)

Bridge Group: 100

Interfaces:

GigabitEthernet0/2

GigabitEthernet0/3

firewall# show nameif

Interface                Name                     Security

..

GigabitEthernet0/2       inside                     100

GigabitEthernet0/3       outside                   0

firewall# show run int bvi100

interface BVI100

no nameif

security-level 0

ip address 192.0.2.100 255.255.255.0

قرار

تحليل

1. زيادة عداد عمليات إسقاط أخرى لقاعدة معلومات إعادة توجيه البث المتعدد:

firewall# show mfib 239.1.1.1

Entry Flags: C - Directly Connected, S - Signal, IA - Inherit A flag,

AR - Activity Required, K - Keepalive

Forwarding Counts: Pkt Count/Pkts per second/Avg Pkt Size/Kbits per second

Other counts: Total/RPF failed/Other drops

Interface Flags: A - Accept, F - Forward, NS - Negate Signalling

IC - Internal Copy, NP - Not platform switched

SP - Signal Present

Interface Counts: FS Pkt Count/PS Pkt Count

(*,239.1.1.1) Flags: C K

Forwarding: 0/0/0/0, Other: 0/0/0

rp Flags: A NS

outside Flags: F NS

Pkts: 0/0

(192.0.2.1,239.1.1.1) Flags: K

Forwarding: 0/0/0/0, Other: 2620/0/2620

OBNS-FWinside Flags: A

outside Flags: F NS

Pkts: 0/0

firewall# show mfib 239.1.1.1

…

(192.0.2.1,239.1.1.1) Flags: K

Forwarding: 0/0/0/0, Other: 2629/0/2629

rp Flags: A

outside Flags: F NS

Pkts: 0/0

2. يشير تصحيح أخطاء حزمة MFIB إلى عمليات إسقاط حزمة البث المتعدد:

firewall# debug mfib pak 239.1.1.1

MFIB IPv4 pak debugging enabled

all MFIB debugging is for 239.1.1.1

MFIB: Pkt (192.0.2.1,239.1.1.1) from inside (PS) dropping

MFIB: Pkt (192.0.2.1,239.1.1.1) from inside (PS) dropping

3. يعرض إخراج أمر debug pim بحث RPF فشل لرسائل 192.0.2.1:

firewall# debug pim

IPv4 PIM:    RPF lookup failed for root 192.0.2.1

IPv4 PIM:    RPF lookup failed for root 192.0.2.1

4. يتم تمكين PIM على أعضاء مجموعة الجسر:

firewall# show pim interface

Address          Interface          PIM  Nbr   Hello  DR         DR

Count Intvl  Prior

239.1.1.1      inside             on   0     30     1          this system

239.1.1.1      outside            on   0     30     1          this system

يجب ألا يشارك أعضاء مجموعة الجسر في بروتوكولات توجيه البث المتعدد. يتم تعقب هذه المشكلة في معرف تصحيح الأخطاء من Cisco CSCwv23349.

ال workaround أن يضيف ال name if إلى ال BVI، بعد ذلك أزلت/readd جسر عضو قارن name. إزالة الأسماء مؤثرة. ينصح بتقدير المستخدم ويتم التوصية بهذا التغيير فقط أثناء إطار الصيانة التي يتم التحكم بها.

السبب

بسبب معرف تصحيح الأخطاء من Cisco CSCwv23349 إذا لم يكن ل BVI اسم، يشارك أعضاء مجموعة الجسر في بروتوكولات توجيه البث المتعدد، أي PIM ويتم تمكين بروتوكول رسائل مجموعة الإنترنت (IGMP) على هذه الواجهات. ينتج عن تنشيط بروتوكول توجيه البث المتعدد فرض جميع عمليات التحقق من مستوى البروتوكول، والتي يكون أحدها التحقق من إعادة توجيه المسار العكسي (RPF).

تقارن إعادة توجيه المسار العكسي (RPF) واجهة مدخل البث المتعدد (A) بالواجهة تجاه مرسل البث المتعدد وفقا لجدول البث الأحادي (B). إذا لم تتطابق الواجهات، يتم إسقاط حزم البث المتعدد بسبب فشل RPF.

في هذه الحالة، الداخل هو المدخل قارن. في جدول التوجيه، لا يوجد مسار للبث الأحادي تجاه مرسل البث المتعدد بعنوان IP 192.0.2.1.

firewall# show route 192.0.2.1

% Network not in table

firewall# show asp table routing address 192.0.2.1

route table timestamp: 46

نظرا لأن أعضاء مجموعة الجسر لا يشاركون في التوجيه، لا يحتوي جدول التوجيه على مسارات عبر أعضاء مجموعة الجسر. ينتج عن ذلك حالات فشل التحقق من إعادة توجيه المسار العكسي (RPF) إذا شارك أعضاء مجموعة الجسر في بروتوكولات التوجيه. تستثني الإصدارات ذات إصلاح معرف تصحيح الأخطاء من Cisco CSCwv23349 هذه الواجهات من بروتوكولات توجيه البث المتعدد.

تحذير: يتعلق هذا الخلل تحديدا بمشاركة أعضاء مجموعة الجسر في بروتوكولات توجيه البث المتعدد. لا ينطبق على البث المتعدد من خلال المربع من خلال أعضاء مجموعة الجسر، أي اتصال البث المتعدد بين أجهزة تدفق/تدفق البيانات.

المحتوى ذي الصلة

- معرف تصحيح الأخطاء من Cisco CSCwv23349