Auth Reject - Nicht autorisierte SAID-Fehlermeldungen und BPI-Konfigurationsänderungen in 12.2(8)BC1

Einleitung

CableLabs, das Gremium, das die Standards für DOCSIS-Kabelmodems (Data-over-Cable Service Interface Specifications) und CMTS (Cable Modem Termination Systems) regelt, hat die Art und Weise, wie ein CMTS einem DOCSIS 1.0-Kabelmodem die BPI-Verschlüsselung (Baseline Privacy Interface) zwischen Modem und CMTS ermöglicht, grundlegend geändert. Diese obligatorischen Änderungen können dazu führen, dass einige Kabelmodems, die DOCSIS-Konfigurationsdateien verwenden, die mit früheren Versionen von Cisco IOS® als 12.2(8)BC1 kompatibel sind, nicht online gehen. Zusätzlich kann folgende Meldung auf dem CMTS generiert werden:

%UBR7200-3-AUTH_REJECT_UNAUTHORIZED_SAID: <132>CMTS[Cisco]:<66030104> 
Auth Reject - Unauthorized SAID. CM Mac Addr <0081.9607.3831> 

Um dieses Problem zu beheben und die neuen Änderungen zu übernehmen, müssen Sie sicherstellen, dass mindestens eine der BPI-Konfigurationsoptionen in der vom Kabelmodem heruntergeladenen DOCSIS-Konfigurationsdatei angegeben ist.

In diesem Dokument werden die Symptome in den von dieser Änderung betroffenen Systemen beschrieben und es wird erläutert, wie Sie die DOCSIS-Konfigurationsdateien schnell aktualisieren, um die neuen BPI-Konfigurationsspezifikationen zu erfüllen.

Vorbereitungen

Konventionen

Weitere Informationen zu Dokumentkonventionen finden Sie unter Cisco Technical Tips Conventions (Technische Tipps von Cisco zu Konventionen).

Voraussetzungen

Es sind keine besonderen Voraussetzungen erforderlich, um den Inhalt dieses Dokuments nachzuvollziehen.

Verwendete Komponenten

Die Informationen in diesem Dokument basieren auf folgenden Software- und Hardware-Versionen:

• Cisco IOS-Versionen 12.2(8)BC1 und höher

• Alle Cisco CMTS-Produkte, einschließlich CMTS der Serien uBR10000, uBR7200 und uBR7100.

• Alle Versionen des Cisco DOCSIS Customer Premises Equipment (CPE) Configurator-Tools.

• Dieses Dokument gilt nur für Kabelmodems, die für den Betrieb im DOCSIS 1.0-Modus bereitgestellt wurden, und für die Verwendung von BPI im DOCSIS 1.0-Modus.

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn sich Ihr Netzwerk in der Produktionsumgebung befindet, müssen Sie sich bei jedem Befehl zunächst dessen potenzielle Auswirkungen vor Augen führen.

Details zu den Änderungen bei der Konfiguration von DOCSIS 1.0-basiertem BPI

Die neueste Version der BPI-Spezifikation enthält eine neue Anforderung. Wenn ein im DOCSIS 1.0-Modus bereitgestelltes Kabelmodem BPI ausführen muss, muss die Option Typ 17 für die BPI-Konfigurationseinstellungen in der DOCSIS-Konfigurationsdatei und dem nachfolgenden Registrierungsantrag vom Kabelmodem vorhanden sein.

Weitere Einzelheiten zu dieser Änderung finden Sie in der Änderungsmitteilung zu CableLabs Engineering RFI-N-02005. Dieses Dokument steht nur registrierten CableLabs-Teilnehmern zur Verfügung. Weitere Informationen finden Sie unter CableLabs .

Für Versionen von CMTS Cisco IOS vor 12.2(8)BC1 waren keine Kabelmodems erforderlich, die im DOCSIS 1.0-Modus bereitgestellt wurden, um BPI für die Registrierung bei einer BPI-Konfigurationsoption zu verwenden. Ab Version 12.2(8)BC1 muss die zusätzliche BPI-Konfigurationsoption hinzugefügt werden.

Symptome bei Nichtverwendung des Optionstyps 17 für die Basisdatenschutzkonfiguration

Wenn ein Kabelmodem für den Betrieb im DOCSIS 1.0-Modus und die Verwendung von BPI bereitgestellt wurde, jedoch keine BPI-Konfigurationsoptionen angegeben wurden, erreicht es nicht den bekannten Online-Status (pt). Sie werden jedoch scheinbar den Online-Zustand erreichen. Es kann den Anschein erwecken, dass sie schnell offline gehen. Die folgenden Fehlermeldungen können auf der Konsole des CMTS angezeigt werden, wenn Kabelmodems beginnen, BPI-Parameter mit dem CMTS auszuhandeln:

uBR7246VXR# term mon    

 !--- Necessary for a Telnet session.

uBR7246VXR# 
01:27:42: %UBR7200-3-AUTH_REJECT_UNAUTHORIZED_SAID: <132>CMTS[Cisco]:<66030104> 
   Auth Reject - Unauthorized SAID. CM Mac Addr <0090.9607.382f> 
01:27:50: %UBR7200-3-AUTH_REJECT_UNAUTHORIZED_SAID: <132>CMTS[Cisco]:<66030104> 
   Auth Reject - Unauthorized SAID. CM Mac Addr <0090.9607.3831> 
01:27:55: %UBR7200-3-AUTH_REJECT_UNAUTHORIZED_SAID: <132>CMTS[Cisco]:<66030104> 
   Auth Reject - Unauthorized SAID. CM Mac Addr <0050.7366.12fb> 
01:27:57: %UBR7200-3-AUTH_REJECT_UNAUTHORIZED_SAID: <132>CMTS[Cisco]:<66030104> 
   Auth Reject - Unauthorized SAID. CM Mac Addr <0050.7366.2223>

Wenn Sie ein Debugging anwenden, um genauer zu analysieren, warum Kabelmodems keine BPI-Aushandlung durchführen können, können Sie sehen, dass das CMTS behauptet, dass das Kabelmodem nicht korrekt für die Ausführung von BPI bereitgestellt ist, obwohl das Modem selbst versucht, BPI zu initiieren.

uBR7246# debug cable privacy 
CMTS privacy debugging is on 
May 23 01:39:27.214: CMTS Received AUTH REQ. 
May 23 01:39:27.214: Auth-Req contains 1 SID(s). 
May 23 01:39:27.214: SIDs are not provisioed to run Baseline Privacy. 
May 23 01:39:27.214: Unauthorized SID in the SID list 
May 23 01:39:27.214: Sending KEK REJECT. 
01:31:06: %UBR7200-3-AUTH_REJECT_UNAUTHORIZED_SAID: <132>CMTS[Cisco]:<66030104> 
   Auth Reject - Unauthorized SAID. CM Mac Addr <0030.96f9.65d9>

Hinweis: Beim obigen Debugging ist provisioned falsch geschrieben, wie angegeben. Ein Kosmetikfehler, CSCdx67908 (nur registrierte Kunden) , wurde ausgelöst, um dieses Problem zu beheben, das in IOS-Version 12.2(8)BC1 auftritt

Konfigurieren des Optionstyps "Baseline-Datenschutz" 17

Mit dem Cisco DOCSIS CPE Configurator-Tool können DOCSIS-Konfigurationsdateien für Kabelmodems, die im DOCSIS 1.0-Modus betrieben werden, geändert werden, um die BPI-Konfigurationsoption aufzunehmen, indem mindestens eine der folgenden Optionen in der Konfigurationsdatei angegeben wird. Alle diese Optionen finden Sie im Tool Cisco DOCSIS CPE Configurator auf der Registerkarte Baseline Privacy (Basisdatenschutz). Außerdem werden die Standardwerte für die einzelnen Parameter aufgeführt.

Konfigurationsoption für Baseline-Datenschutz	Standardwert
Wartezeitüberschreitung autorisieren	10
Wartezeitüberschreitung erneut autorisieren	10
Kulanzzeit autorisieren	600
Wartezeit bei Betrieb	10
Timeout für erneute Schlüsselwartung	10
TEK-Kulanzzeit	600
Autorisiertes Wartezeitlimit	60

Beachten Sie, dass das SA Map Wait Timeout und die SA Map Max Retries nur für Kabelmodems im DOCSIS 1.1-Modus gelten und daher nicht in einer DOCSIS-Konfigurationsdatei für ein Kabelmodem im DOCSIS 1.0-Modus angegeben werden dürfen.

Hinweis: Obwohl die obigen Werte für die BPI-Konfigurationsoption Typ 17 Standardwerte sind, müssen Sie einen dieser Werte im DOCSIS CPE Configurator-Tool angeben, um die BPI-Konfigurationsoption Typ 17 zu aktivieren.

Im Folgenden finden Sie zwei Beispiele für die Verwendung verschiedener Tools zum Festlegen eines oder mehrerer dieser Werte mithilfe des Cisco DOCSIS CPE Configurator-Tools. Es können auch andere Formen von DOCSIS-Konfigurationsdatei-Editoren oder Buildern verwendet werden.

Beispiel: Nur einen Parameter angeben

In diesem Beispiel wird die Benutzeroberfläche von Cisco DOCSIS CPE Configurator verwendet, um den Parameter Authorize Wait Timeout (Wartezeit autorisieren) auf den Standardwert 10 festzulegen. Wenn Sie diesen einen Wert festlegen, wird die erforderliche BPI-Konfigurationsoption in die DOCSIS-Konfigurationsdatei eingefügt.

Die nachfolgende Grafik zeigt einen der Parameter, mit denen die BPI-Konfigurationsoption in die DOCSIS-Konfigurationsdatei eingefügt wird.

Sobald dieses Feld ausgefüllt ist, wählen Sie Apply -> OK button. Speichern Sie die DOCSIS-Konfigurationsdatei wie gewohnt.

Beispiel: Festlegen aller Parameter

In diesem Beispiel wird die Benutzeroberfläche von Cisco DOCSIS CPE Configurator verwendet, um für alle Parameter, die Teil der BPI-Konfigurationsoption sind, die Standardwerte festzulegen. Beachten Sie, dass die Felder "SA Map Wait Timeout" und "SA Map Max Retries" nicht ausgefüllt sind. Diese Felder beziehen sich nur auf Kabelmodems, die im DOCSIS 1.1-Modus betrieben werden. Sie dürfen daher nicht in einer DOCSIS-Konfigurationsdatei für ein Kabelmodem angegeben werden, das im DOCSIS 1.0-Modus betrieben wird.

Die nachfolgende Grafik zeigt alle Parameter, die Teil der BPI-Konfigurationsoption sind.

Wenn Sie diese Felder ausgefüllt haben, wählen Sie Anwenden -> OK. Speichern Sie die DOCSIS-Konfigurationsdatei wie gewohnt.

Schlussfolgerung

Cisco ist bemüht, die uBR-Suite von CMTS-Produkten so nah wie möglich an den neuesten Versionen der DOCSIS-Spezifikation zu halten. Diese Strategie mag in seltenen Fällen zu kurzfristigen Verlusten an Abwärtskompatibilität oder Unannehmlichkeiten führen, sie stellt jedoch sicher, dass Service Provider, die Cisco CMTS-Geräte bereitstellen, langfristig die Interoperabilität mit ähnlich konformen DOCSIS-Produkten von Drittanbietern gewährleisten können.

Zugehörige Informationen

• DOCSIS 1.0 Grundlegender Datenschutz auf dem Cisco CMTS
• CableLabs-Kabelmodem-Projekte - Startseite
• Technischer Support – Cisco Systems