Wiederherstellung aus dem errdisable-Portstatus auf Cisco IOS-Plattformen
Inhalt
Einleitung
In diesem Dokument wird der errdisabled-Status beschrieben und es wird anhand von Beispielen erläutert, wie die Wiederherstellung danach funktioniert.
Voraussetzungen
Anforderungen
Es gibt keine spezifischen Anforderungen für dieses Dokument.
Verwendete Komponenten
Die Ausgaben in diesem Dokument stammen von Cisco Catalyst Switches der Serien 4500/6500. Auf den Switches wurde die Cisco IOS®-Software ausgeführt und es gab Ethernet-Ports, die für EtherChannel und PortFast geeignet waren.
Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.
Hintergrundinformationen
In diesem Dokument wird die Funktion errdisable und err-disabled für den Schnittstellenstatus verwendet. Es ist üblich, sich um technischen Support zu bemühen, wenn Sie feststellen, dass ein oder mehrere Switch-Ports deaktiviert wurden, d. h., dass die Ports den Status "Err-Disabled" haben. In diesem Dokument wird erläutert, warum der Fehler aufgetreten ist und wie die Ports auf den normalen Betrieb zurückgesetzt werden können.
Anmerkung: Der Portstatus "err-disabled" wird in der Ausgabe des Befehls show interfaces status angezeigt.
Die Funktion "errdisable" wird auf Catalyst-Switches mit Cisco IOS® und Cisco IOS XE unterstützt. Die Befehle und Beispiele in diesem Dokument beziehen sich auf die unter "Verwendete Komponenten" genannten Cisco IOS® Software-Plattformen.
Die zur Implementierung und Überprüfung von errdisable verwendeten Befehle können je nach Softwareplattform variieren. Das vorliegende Dokument behandelt speziell errdisable-fähige Switches, auf denen Cisco IOS-Software ausgeführt wird.
FehlerDeaktivieren
Funktion von Errdisable
Wenn die Konfiguration einen zu aktivierenden Port anzeigt, die Software am Switch jedoch einen Fehler am Port erkennt, fährt die Software diesen Port herunter. Mit anderen Worten: Der Port wird automatisch von der Switch-Betriebssystemsoftware deaktiviert, da ein Fehler am Port aufgetreten ist.
Wenn ein Port deaktiviert wird, wird er effektiv heruntergefahren, und es wird kein Datenverkehr über diesen Port gesendet oder empfangen. Die Port-LED ist orange eingestellt, und wenn Sie den Befehl show interfaces ausführen, wird der Port-Status als fehlerhaft deaktiviert angezeigt. Dies ist ein Beispiel dafür, wie ein fehlerhaft deaktivierter Port in der Befehlszeilenschnittstelle (CLI) des Switches aussieht:
cat6k#show interfaces gigabitethernet 4/1 status Port Name Status Vlan Duplex Speed Type Gi4/1 err-disabled 100 full 1000 1000BaseSX
Wenn die Schnittstelle aufgrund eines Fehlers deaktiviert wurde, werden Meldungen angezeigt, die in der Konsole und im Syslog ähnlich sind:
%SPANTREE-SP-2-BLOCK_BPDUGUARD: Received BPDU on port GigabitEthernet4/1 with BPDU Guard enabled. Disabling port.
%PM-SP-4-ERR_DISABLE: bpduguard error detected on Gi4/1, putting Gi4/1 in err-disable state
Diese Beispielmeldung wird angezeigt, wenn ein Host-Port die Bridge Protocol Data Unit (BPDU) empfängt. Die tatsächliche Meldung hängt vom Grund für die Fehlerbedingung ab.
Die errdisable-Funktion hat zwei Zwecke:
-
Der Administrator wird informiert, wann und wo ein Portproblem besteht.
-
Dadurch wird verhindert, dass durch diesen Port andere Ports auf dem Modul (oder das gesamte Modul) ausfallen können.
-
Ein solcher Fehler kann auftreten, wenn ein beschädigter Port ein Monopol auf Puffer oder Port-Fehlermeldungen auf die prozessübergreifende Kommunikation auf der Karte hat, was zu schwerwiegenden Netzwerkproblemen führen kann. Die Funktion errdisable hilft, solche Situationen zu vermeiden.
-
Fehlerursachen
Diese Funktion wurde zuerst implementiert, um spezielle Kollisionssituationen zu bewältigen, wenn der Switch übermäßige oder späte Kollisionen an einem Port erkannte. Übermäßige Kollisionen treten auf, wenn ein Frame verworfen wird, weil der Switch 16 Kollisionen in einer Reihe erkennt. Späte Kollisionen treten auf, weil jedes Gerät am Kabel den verwendeten Draht nicht erkannte. Mögliche Ursachen für diese Fehlerarten sind:
-
Ein Kabel, das außerhalb der Spezifikationen liegt (entweder zu lang, der falsche Typ oder defekt).
-
Eine fehlerhafte Netzwerkkarte (NIC) (mit physischen Problemen oder Treiberproblemen).
-
Eine falsche Port-Duplexkonfiguration.
-
Eine Port-Duplexfehlkonfiguration ist eine häufige Fehlerursache, da die Geschwindigkeit und die Duplexfunktion zwischen zwei direkt verbundenen Geräten (z. B. einer Netzwerkkarte, die mit einem Switch verbunden wird) nicht ordnungsgemäß ausgehandelt werden können.
-
Nur bei Halbduplex-Verbindungen kann es in einem LAN je zu Kollisionen kommen. Aufgrund der CSMA-Architektur (Carrier Sense Multiple Access) von Ethernet sind Kollisionen bei Halbduplex normal, solange die Kollisionen einen kleinen Prozentsatz des Datenverkehrs nicht übersteigen.
-
Es gibt verschiedene Gründe, warum die Schnittstelle errdisable aufruft. Diese Gründe können sein:
-
Duplexkonflikt
-
Port-Channel-Fehlkonfigurationen
-
BPDU Guard-Verletzung(en)
-
UniDirectional Link Detection (UDLD)-Bedingung(en)
-
Spät-Kollisionserkennung
-
Erkennung von Verbindungslaschen
-
Sicherheitsverletzung(en)
-
PAgP-Klappe (Port Aggregation Protocol)
-
Layer 2 Tunneling Protocol (L2TP) Guard
-
Durchsatzbegrenzer für DHCP-Snooping
-
Falsches GBIC-/SFP-Modul oder Kabel
-
Address Resolution Protocol (ARP)-Inspektion
-
Inline-Stromversorgung
Ermitteln Sie, ob die Ports den Status Errdisabled (Nicht deaktiviert) aufweisen.
Sie können feststellen, ob Ihr Port deaktiviert wurde, indem Sie den Befehl show interfaces <interface> status ausführen.
Dies ist ein Beispiel für einen aktiven Port:
cat6k#show interfaces gigabitethernet 4/1 status Port Name Status Vlan Duplex Speed Type Gi4/1 connected 100 full 1000 1000BaseSX
Im nächsten Beispiel befindet sich derselbe Port im Status "err-disabled":
cat6k#show interfaces gigabitethernet 4/1 status Port Name Status Vlan Duplex Speed Type Gi4/1 err-disabled 100 full 1000 1000BaseSX
Bestimmen Sie den Grund für den Status "Errdisabled" (Konsolenmeldungen, Syslog und den Befehl Show Errdisable Recovery).
Wenn der Switch einen Port in den Status "error-disabled" versetzt, sendet er eine Meldung an die Konsole, in der er beschreibt, warum er den Port deaktiviert hat. Das Beispiel in diesem Abschnitt enthält zwei Beispielnachrichten, die den Grund für die Port-Deaktivierung zeigen:
-
Eine Deaktivierung ist die PortFast BPDU Guard-Funktion.
-
Die andere Deaktivierung ist auf ein EtherChannel-Konfigurationsproblem zurückzuführen.
Hier einige Beispielaussagen:
%SPANTREE-SP-2-BLOCK_BPDUGUARD: Received BPDU on port GigabitEthernet4/1 with BPDU Guard enabled. Disabling port. %PM-SP-4-ERR_DISABLE: bpduguard error detected on Gi4/1, putting Gi4/1 in err-disable state %SPANTREE-2-CHNMISCFG: STP loop - channel 11/1-2 is disabled in vlan 1
Wenn Sie errdisable recovery aktiviert haben, können Sie den Befehl show errdisable recovery ausführen, um die Ursache anzuzeigen, die für die für die automatische Wiederherstellung aufgelisteten Schnittstellen gemeldet wurde:
cat6k#show errdisable recovery ErrDisable Reason Timer Status ----------------- -------------- udld Enabled bpduguard Enabled security-violatio Enabled channel-misconfig Enabled pagp-flap Enabled dtp-flap Enabled link-flap Enabled l2ptguard Enabled psecure-violation Enabled gbic-invalid Enabled dhcp-rate-limit Enabled mac-limit Enabled unicast-flood Enabled arp-inspection Enabled Timer interval: 300 seconds Interfaces that can be enabled at the next timeout: Interface Errdisable reason Time left(sec) --------- --------------------- -------------- Fa2/4 bpduguard 273
Wiederherstellen eines Ports aus dem Status "Err-disabled"
In diesem Abschnitt finden Sie Beispiele dafür, wie Sie einen deaktivierten Port erkennen und beheben können, sowie einige weitere Gründe, warum ein Port deaktiviert werden kann. Um einen Port aus dem deaktivierten Zustand wiederherzustellen, identifizieren und beheben Sie zunächst das zugrunde liegende Problem, und aktivieren Sie dann den Port erneut. Wenn Sie den Port erneut aktivieren, bevor Sie das Root-Problem beheben, werden die Ports wieder deaktiviert.
Korrigieren des Grundproblems
Nachdem Sie festgestellt haben, warum die Ports deaktiviert waren, beheben Sie das Problem. Die Lösung hängt davon ab, was das Problem ausgelöst hat. Es gibt zahlreiche Dinge, die das Herunterfahren auslösen können. In diesem Abschnitt werden einige der häufigsten und auffälligsten Ursachen beschrieben:
-
Fehlkonfiguration des Etherchannel:
-
Damit der EtherChannel funktioniert, müssen die beteiligten Ports über konsistente Konfigurationen verfügen. Die Ports müssen über dasselbe VLAN, denselben Trunk-Modus, dieselbe Geschwindigkeit, denselben Duplex usw. verfügen. Die meisten Konfigurationsunterschiede innerhalb eines Switches werden abgefangen und gemeldet, wenn Sie den Kanal erstellen. Wenn ein Switch für den EtherChannel und der andere Switch nicht für den EtherChannel konfiguriert ist, kann der Spanning Tree-Prozess die kanalisierten Ports auf der für den EtherChannel konfigurierten Seite herunterfahren.
-
Der Ein-Modus des EtherChannels sendet keine PAgP-Pakete, um mit der anderen Seite vor dem Channeling zu verhandeln. Es wird angenommen, dass die andere Seite "Channeling" ist. Außerdem wird in diesem Beispiel der EtherChannel für den anderen Switch nicht aktiviert. Diese Ports bleiben als einzelne, nicht kanalisierte Ports erhalten. Wenn Sie den anderen Switch für eine Minute in diesem Zustand belassen, geht das Spanning Tree Protocol (STP) auf dem Switch, auf dem der EtherChannel aktiviert ist, von einer Schleife aus. Dadurch werden die Channeling-Ports in den deaktivierten Zustand versetzt.
-
In diesem Beispiel wurde eine Schleife erkannt und die Ports deaktiviert. Die Ausgabe des Befehls show etherchannel summary zeigt an, dass die Anzahl der verwendeten Kanalgruppen 0 ist. Wenn Sie einen der beteiligten Ports betrachten, sehen Sie, dass der Status fehlerhaft deaktiviert ist:
%SPANTREE-2-CHNL_MISCFG: Detected loop due to etherchannel misconfiguration of Gi4/1
cat6k#show etherchannel summary
Flags: D - down P - in port-channel
I - stand-alone s - suspended
H - Hot-standby (LACP only)
R - Layer3 S - Layer2
U - in use f - failed to allocate aggregator
u - unsuitable for bundling
Number of channel-groups in use: 0
Number of aggregators: 0
Group Port-channel Protocol Ports
------+-------------+-----------+-----------------------------------------------
Der EtherChannel wurde deaktiviert, weil die Ports auf diesem Switch in errdisable gesetzt wurden.
cat6k#show interfaces gigabitethernet 4/1 status Port Name Status Vlan Duplex Speed Type Gi4/1 err-disabled 100 full 1000 1000BaseSX
Um das Problem zu identifizieren, sehen Sie sich die Fehlermeldung an. Die Meldung zeigt an, dass der EtherChannel auf eine Spanning-Tree-Schleife gestoßen ist. Wie in diesem Abschnitt erläutert wird, kann dieses Problem auftreten, wenn ein Gerät (in diesem Fall der Switch) den EtherChannel manuell im Ein-Modus aktiviert (im Gegensatz zu erwünscht). Auf dem anderen verbundenen Gerät (in diesem Fall auf dem anderen Switch) ist der EtherChannel überhaupt nicht aktiviert. Um dieses Problem zu beheben, müssen Sie, wenn beide Switches PAgP unterstützen, den Kanalmodus auf beiden Seiten der Verbindung auf "erwünscht" einstellen und dann die Ports erneut aktivieren. Jede Seite bildet dann nur dann einen Kanal, wenn beide Seiten mit dem Kanal übereinstimmen. Wenn sie keinen Kanal bilden, überprüfen Sie den resultierenden Status der einzelnen Mitglieds-Ports, bevor Sie Datenverkehr über die Verbindung zulassen.
cat6k(config)#interface gigabitethernet 4/1 cat6k(config-if)#channel-group 3 mode desirable non-silent
- Duplexkonflikt:
- Duplex-Diskrepanzen treten häufig auf, weil Geschwindigkeit und Duplex nicht ordnungsgemäß automatisch ausgehandelt werden können. Im Gegensatz zu einem Halbduplex-Gerät, das warten muss, bis keine anderen Geräte im gleichen LAN-Segment senden, sendet ein Vollduplex-Gerät unabhängig von anderen Geräten, wann immer das Gerät etwas zu senden hat. Tritt diese Übertragung auf, während die Halbduplexeinrichtung ebenfalls sendet, so betrachtet die Halbduplexeinrichtung dies entweder als Kollision (während der Steckplatzzeit) oder als späte Kollision (nach der Steckplatzzeit). Da die Vollduplex-Seite nie mit Kollisionen rechnet, wird auf dieser Seite nie klar, dass das verworfene Paket erneut übertragen werden muss. Eine niedrige Prozentrate von Kollisionen ist bei einem Halbduplex normal, bei einem Vollduplex jedoch nicht normal.
- Ein Switch-Port, der viele späte Kollisionen empfängt, weist in der Regel auf ein Duplexungleichgewicht hin. Stellen Sie sicher, dass beide Seiten kompatible Geschwindigkeits- und Duplexeinstellungen verwenden, einschließlich kompatibler Einstellungen für die automatische Aushandlung. Der Befehl show interfaces <interface> gibt die Geschwindigkeit und die Duplexoptionen für Catalyst Switch-Ports an. Spätere Versionen des Cisco Discovery Protocol (CDP) können Sie vor Duplex-Diskrepanzen warnen, bevor der Port in den Status "error-disabled" versetzt wird.
Darüber hinaus gibt es Einstellungen für eine Netzwerkkarte, z. B. Funktionen zur automatischen Polarität, die das Problem verursachen können. Überprüfen Sie die NIC-Dokumentation, und deaktivieren Sie eine Einstellung nur, wenn Sie sie als Ursache des Verbindungsproblems identifizieren. Wenn Sie mehrere NICs von einem Anbieter besitzen und die NICs alle scheinbar das gleiche Problem aufweisen, suchen Sie auf der Hersteller-Website nach den Versionshinweisen, und stellen Sie sicher, dass Sie über die neuesten Treiber verfügen.
Weitere Ursachen für späte Kollisionen sind:
- Eine fehlerhafte Netzwerkkarte (mit physischen Problemen, nicht nur mit Konfigurationsproblemen)
- Ein fehlerhaftes Kabel
- Ein zu langes Kabelsegment
- BPDU-Port Guard
Ein Port, der PortFast verwendet, darf nur mit einer Endstation (z. B. einer Workstation oder einem Server) verbunden sein und nicht mit Geräten, die Spanning-Tree-BPDUs generieren, z. B. Switches oder Bridges und Router, die eine Bridge bilden. Wenn der Switch eine Spanning-Tree-BPDU auf einem Port empfängt, auf dem Spanning Tree PortFast und Spanning Tree BPDU Guard aktiviert sind, versetzt der Switch den Port in den deaktivierten Modus, um potenzielle Schleifen zu vermeiden. PortFast geht davon aus, dass ein Port an einem Switch keine physische Schleife generieren kann. PortFast überspringt daher die anfänglichen Spanning Tree-Prüfungen für diesen Port, wodurch das Timeout der Endstationen beim Start vermieden wird. Der Netzwerkadministrator muss PortFast sorgfältig implementieren. Bei Ports mit aktivierter PortFast-Funktion sorgt BPDU Guard dafür, dass das LAN schleifenfrei bleibt.
Dieses Beispiel zeigt, wie diese Funktion aktiviert wird. Dieses Beispiel wurde gewählt, weil die Erstellung einer errdisable-Situation in diesem Fall einfach ist:
cat6k(config-if)#spanning-tree bpduguard enable
In diesem Beispiel wird ein Catalyst 6509-Switch mit einem anderen Switch (einem 6509) verbunden. Der 6500 sendet BPDUs alle 2 Sekunden (unter Verwendung der Standard-Spanning-Tree-Einstellungen). Wenn Sie PortFast auf dem 6509-Switch-Port aktivieren, sucht die Funktion BPDU Guard nach BPDUs, die auf diesem Port eingehen. Wenn ein BPDU in den Port eingeht (ein Gerät, das kein Endgerät ist, wird an diesem Port erkannt), deaktivieren die BPDU-Guard-Funktion den Port, um die Möglichkeit eines Spanning-Tree-Loops zu vermeiden.
cat6k(config-if)#spanning-tree portfast enable Warning: Spantree port fast start can only be enabled on ports connected to a single host. Connecting hubs, concentrators, switches, bridges, etc. to a fast start port can cause temporary spanning tree loops. %PM-SP-4-ERR_DISABLE: bpduguard error detected on Gi4/1, putting Gi4/1 in err-disable state.
In dieser Nachricht gibt der Switch an, dass er eine BPDU an einem PortFast-aktivierten Port empfangen hat, und der Switch fährt den Port Gi4/1 herunter.
cat6k#show interfaces gigabitethernet 4/1 status Port Name Status Vlan Duplex Speed Type Gi4/1 err-disabled 100 full 1000 1000BaseSX
Da dieser Port mit einem anderen Switch verbunden ist, deaktivieren Sie PortFast und die BPDU Guard-Konfiguration auf Schnittstellenebene. Aktivieren Sie dann den Port erneut, nachdem Sie die beabsichtigte Spanning-Tree-Topologie überprüft haben. Die Verbindung ist falsch, da PortFast und BPDU Guard aktiviert sind und der Switch eine Verbindung mit einem anderen Switch herstellt. Beachten Sie, dass PortFast nur für Ports verwendet wird, die mit Endgeräten verbunden sind.
cat6k(config-if)#spanning-tree portfast disablecat6k(config-if)#no spanning-tree bpduguard enable
-
UDLD:
-
Das UDLD-Protokoll ermöglicht Geräten, die über Glasfaser- oder Kupfer-Ethernet-Kabel verbunden sind (z. B. Kabel der Kategorie 5), die physische Konfiguration der Kabel zu überwachen und zu erkennen, wenn eine unidirektionale Verbindung besteht. Wenn eine unidirektionale Verbindung erkannt wird, fährt UDLD den betroffenen Port herunter und benachrichtigt den Benutzer. Unidirektionale Verbindungen können eine Vielzahl von Problemen verursachen, darunter Spanning-Tree-Topologieschleifen.
-
Jeder für UDLD konfigurierte Switch-Port sendet UDLD-Protokollpakete, die das Port-Gerät (oder die Port-ID) und die benachbarten Geräte (oder Port-IDs) enthalten, die von UDLD an diesem Port erkannt werden. Die benachbarten Ports müssen ihre eigene Geräte- oder Port-ID (Echo) in den von der anderen Seite empfangenen Paketen sehen. Wenn der Port in den eingehenden UDLD-Paketen für einen bestimmten Zeitraum keine eigene Geräte- oder Port-ID sieht, wird die Verbindung als unidirektional angesehen. Daher ist der jeweilige Port deaktiviert und eine Meldung, die dieser ähnelt, wird auf der Konsole ausgegeben:
PM-SP-4-ERR_DISABLE: udld error detected on Gi4/1, putting Gi4/1 in err-disable state.
-
Link-Flap-Fehler:
-
Verbindungsklappe bedeutet, dass sich die Schnittstelle kontinuierlich auf- und abbewegt. In diesem Beispiel beträgt der Schwellenwert für Verbindungsklappen 5 Klappen in 10 Sekunden. Führen Sie den Befehl show errdisable flatvalues für den Schwellenwert des betroffenen Switches aus. Die häufigste Ursache für Link-Flap ist ein Layer-1-Problem, z. B. ein fehlerhaftes Kabel, eine Duplexunstimmigkeit oder eine fehlerhafte Gigabit Interface Converter (GBIC)-Karte. Sehen Sie sich die Konsolenmeldungen oder die Meldungen an, die an den Syslog-Server gesendet wurden und die den Grund für das Herunterfahren des Ports angeben.
-
%PM-4-ERR_DISABLE: link-flap error detected on Gi4/1, putting Gi4/1 in err-disable state
Führen Sie diesen Befehl aus, um die Klappenwerte anzuzeigen:
cat6k#show errdisable flap-values ErrDisable Reason Flaps Time (sec) ----------------- ------ ---------- pagp-flap 3 30 dtp-flap 3 30 link-flap 5 10
-
Loopback-Fehler:
-
Ein Loopback-Fehler tritt auf, wenn das Keepalive-Paket in eine Loopback-Schleife an den Port zurückgeleitet wird, der den Keepalive gesendet hat. Der Switch sendet standardmäßig Keepalives an alle Schnittstellen. Ein Gerät kann die Pakete über eine Schleife zurück an die Quellschnittstelle leiten. Dies geschieht normalerweise, weil im Netzwerk eine logische Schleife vorhanden ist, die vom Spanning Tree nicht blockiert wurde. Die Quellschnittstelle empfängt das Keepalive-Paket, das sie gesendet hat, und der Switch deaktiviert die Schnittstelle (errdisable). Diese Nachricht tritt auf, weil das Keepalive-Paket in eine Schleife zurück zu dem Port geschleift wird, der das Keepalive gesendet hat:
-
%PM-4-ERR_DISABLE: loopback error detected on Gi4/1, putting Gi4/1 in err-disable state
Keepalives werden standardmäßig für alle Schnittstellen der auf Cisco IOS® Software, Version 12.1EA, basierenden Software gesendet. In Version 12.2SE der Cisco IOS® Software und höher werden Keepalives nicht standardmäßig an Glasfaser- und Uplink-Schnittstellen gesendet.
Prüfen Sie zuerst die Loopback-Bedingung. Bei einer betroffenen Version und Schnittstelle sollte ein Software-Upgrade in Betracht gezogen werden. Deaktivieren Sie Keepalives erst, nachdem Sie den Verlust der Loopback-Erkennung bewertet haben.
-
Verletzung der Port-Sicherheit:
-
Sie können die Port-Sicherheit mit dynamisch abgefragten und statischen MAC-Adressen verwenden, um den eingehenden Datenverkehr eines Ports zu beschränken. Um den Datenverkehr zu beschränken, können Sie die MAC-Adressen begrenzen, die Datenverkehr an den Port senden dürfen. Führen Sie den folgenden Befehl aus, um den Switch-Port so zu konfigurieren, dass er bei einem Sicherheitsverstoß in den Status "errr-disabled" wechselt:
-
cat6k(config-if)#switchport port-security violation shutdown
Eine Sicherheitsverletzung tritt in einem der beiden folgenden Fälle auf:
-
-
Wenn die maximale Anzahl an sicheren MAC-Adressen an einem sicheren Port erreicht wird und die Quell-MAC-Adresse des eingehenden Datenverkehrs sich von einer der identifizierten sicheren MAC-Adressen unterscheidet. In diesem Fall wendet die Port-Sicherheit den konfigurierten Verletzungsmodus an.
-
Wenn Datenverkehr mit einer sicheren MAC-Adresse auf einem sicheren Port konfiguriert oder abgefragt wird, versucht dieser, auf einen anderen sicheren Port im gleichen VLAN zuzugreifen. In diesem Fall wendet die Port-Sicherheit den Modus zur Verletzung des Herunterfahrens an.
-
-
L2pt-Schutz:
-
Wenn die Layer-2-PDUs in den Tunnel oder Access Port am Eingangs-Edge-Switch eintreten, überschreibt der Switch die ursprüngliche PDU-Ziel-MAC-Adresse mit einer proprietären Multicast-Adresse von Cisco (01-00-0c-cd-cd-d0). Wenn 802.1Q-Tunneling aktiviert ist, werden Pakete doppelt markiert. Das äußere Tag ist das Metro-Tag, das innere Tag das VLAN-Tag. Die Core-Switches ignorieren die inneren Tags und senden das Paket an alle Trunk-Ports im gleichen Metro-VLAN. Die ausgehenden Edge-Switches stellen die korrekten Layer-2-Protokoll- und MAC-Adressinformationen wieder her und senden die Pakete an alle Tunnel- oder Access-Ports im gleichen Metro-VLAN. Daher bleiben die Layer-2-PDUs intakt und werden über die Service-Provider-Infrastruktur auf die andere Seite des Netzwerks übertragen.
-
Switch(config)#interface gigabitethernet 0/7
Switch(config-if)#l2protocol-tunnel {cdp | vtp | stp}
Die Schnittstelle wechselt in den Status "errdisabled". Wenn eine gekapselte PDU (mit der proprietären MAC-Zieladresse) von einem Tunnel-Port oder Access-Port mit aktiviertem Layer-2-Tunneling empfangen wird, wird der Tunnel-Port abgeschaltet, um Schleifen zu vermeiden. Der Port wird auch deaktiviert, wenn ein konfigurierter Shutdown-Schwellenwert für das Protokoll erreicht wird. Sie können den Port manuell wieder aktivieren (shutdown, keine shutdown-Befehlssequenz), oder wenn errdisable recovery aktiviert ist, wird der Vorgang nach einem festgelegten Zeitintervall wiederholt.
Um eine zeitgesteuerte automatische Wiederherstellung für Ports zu aktivieren, die von L2pt Guard deaktiviert wurden, konfigurieren Sie errdisable recovery reason l2ptguard. Nachdem Sie das zugrunde liegende Problem behoben haben, führen Sie für die manuelle Wiederherstellung die Befehle zum Herunterfahren der Schnittstelle und kein Herunterfahren aus. Dieser Befehl wird verwendet, um den Wiederherstellungsmechanismus anhand eines Layer-2-Fehlers mit maximaler Rate zu konfigurieren, sodass die Schnittstelle aus dem deaktivierten Zustand verschoben und ein erneuter Versuch unternommen werden kann. Sie können auch das Zeitintervall festlegen. Errdisable recovery ist standardmäßig deaktiviert. Wenn diese Option aktiviert ist, beträgt das Standard-Zeitintervall 300 Sekunden.
-
Falsches SFP-Kabel:
-
Die Ports wechseln in den deaktivierten Zustand mit der Fehlermeldung %PHY-4-SFP_NOT_SUPPORTED, wenn Sie Catalyst Switches der Serie 3560 und Catalyst Switches der Serie 3750 verbinden und ein SFP-Interconnect-Kabel verwenden.
-
Das Cisco Catalyst 3560 SFP-Interconnect-Kabel (CAB-SFP-50CM=) bietet eine kostengünstige Punkt-zu-Punkt-Gigabit-Ethernet-Verbindung zwischen den Catalyst Switches der Serie 3560. Das 50 cm lange Kabel ist eine Alternative zu den SFP-Transceivern, um Catalyst Switches der Serie 3560 über ihre SFP-Ports über kurze Distanzen zu verbinden. Überprüfen Sie die Informationen zur Hardwarekompatibilität für das jeweilige Catalyst 3560-Modell, bevor Sie das SFP-Interconnect-Kabel verwenden.
-
Wenn ein Catalyst Switch der Serie 3560 mit einem Catalyst Switch der Serie 3750 oder einem anderen Catalyst Switch-Modell verbunden ist, können Sie das CAB-SFP-50CM=-Kabel nicht verwenden. Sie können beide Switches mit einem Kupferkabel und einem kompatiblen Kupfer-SFP, wie z. B. GLC-T, an jedem Ende anstelle eines CAB-SFP-50CM=-Kabels verbinden.
-
-
802.1X-Sicherheitsverletzung:
DOT1X-SP-5-SECURITY_VIOLATION: Security violation on interface GigabitEthernet4/8, New MAC address 0080.ad00.c2e4 is seen on the interface in Single host mode %PM-SP-4-ERR_DISABLE: security-violation error detected on Gi4/8, putting Gi4/8 in err-disable state
Diese Meldung gibt an, dass der Port an der angegebenen Schnittstelle im Einzelhost-Modus konfiguriert ist. Jeder neue Host, der auf der Schnittstelle erkannt wird, wird als Sicherheitsverletzung behandelt. Der Port wurde deaktiviert.
-
Stellen Sie sicher, dass nur ein Host mit dem Port verbunden ist. Wenn Sie ein IP-Telefon und einen Host dahinter an den Port anschließen müssen, konfigurieren Sie den Multidomain Authentication Mode auf diesem Switch-Port.
-
Der MDA-Modus (Multidomain Authentication) ermöglicht die unabhängige Authentifizierung eines IP-Telefons und eines einzelnen Hosts hinter dem IP-Telefon. Hierzu stehen 802.1X, MAC Authentication Bypass (MAB) oder (nur für den Host) eine webbasierte Authentifizierung zur Verfügung. In dieser Anwendung bezieht sich Multidomain auf zwei Domänen - Daten und Sprache - und pro Port sind nur zwei MAC-Adressen zulässig. Der Switch kann den Host im Daten-VLAN und das IP-Telefon im Sprach-VLAN platzieren, obwohl sie sich scheinbar auf demselben Switch-Port befinden. Die Daten-VLAN-Zuordnung kann anhand der anbieterspezifischen Attribute (VSAs) erfolgen, die der AAA-Server im Rahmen der Authentifizierung übermittelt.
-
Weitere Informationen finden Sie im Dokument zur IEEE 802.1X-Multidomain-Authentifizierung.
- Erneutes Aktivieren der Erneut deaktivierten Ports
Nach der Behebung des Root-Problems sind die Ports weiterhin deaktiviert, wenn Sie errdisable recovery auf dem Switch nicht konfiguriert haben. In diesem Fall müssen Sie die Ports manuell erneut aktivieren. Um einen betroffenen Port manuell wieder zu aktivieren, nachdem Sie die Ursache behoben haben, wechseln Sie in den Schnittstellenkonfigurationsmodus, und führen Sie shutdown und dann keine shutdown-Befehle aus.
Mit dem Befehl errdisable recovery können Sie die Art von Fehlern auswählen, die die Ports nach einer bestimmten Zeit automatisch wieder aktivieren. Der Befehl show errdisable recovery zeigt den standardmäßigen Wiederherstellungszustand error-disable für alle möglichen Bedingungen an.
cat6k#show errdisable recovery
Recovery Status Timer Status
--------------- ------------
udld Disabled
bpduguard Disabled
security-violation Disabled
channel-misconfig Disabled
vmps Disabled
pagp-flap Disabled
dtp-flap Disabled
link-flap Disabled
l2ptguard Disabled
psecure-violation Disabled
gbic-invalid Disabled
dhcp-rate-limit Disabled
mac-limit Disabled
unicast-flood Disabled
storm-control Disabled
arp-inspection Disabled
loopback Disabled
link-monitor-failure Disabled
oam-remote-failure critical-event Disabled
oam-remote-failure dying-gasp Disabled
oam-remote-failure link-fault Disabled
dot1ad-incomp-etype Not supported
dot1ad-incomp-tunnel Not supported
mvrp Not supported
transceiver-incomp Not supported
VSL transceiver-incomp Not supported
packet-buffer Not supported
FEX Licensing module removed Not supported
inline-power Not supported
Timer interval: 300 seconds
Interfaces that will be enabled at the next timeout:
cat6k# Anmerkung: Das Standard-Zeitüberschreitungsintervall beträgt 300 Sekunden und ist standardmäßig deaktiviert.
Führen Sie den folgenden Befehl aus, um die errdisable-Wiederherstellung zu aktivieren und die errdisable-Bedingungen auszuwählen:
cat6k#configure terminal
cat6k(config)#errdisable recovery cause ?
all Enable timer to recover from all causes
arp-inspection Enable timer to recover from arp inspection error
disable state
bpduguard Enable timer to recover from BPDU Guard error disable
state
channel-misconfig Enable timer to recover from channel misconfig disable
state
dhcp-rate-limit Enable timer to recover from dhcp-rate-limit error
disable state
dtp-flap Enable timer to recover from dtp-flap error disable
state
gbic-invalid Enable timer to recover from invalid GBIC error disable
state
l2ptguard Enable timer to recover from l2protocol-tunnel error
disable state
link-flap Enable timer to recover from link-flap error disable
state
link-monitor-failure Enable timer to recover from link monitoring failure
loopback Enable timer to recover from loopback disable state
mac-limit Enable timer to recover from mac limit disable state
oam-remote-failure Enable timer to recover from remote failure detected by
OAM
pagp-flap Enable timer to recover from pagp-flap error disable
state
psecure-violation Enable timer to recover from psecure violation disable
state
security-violation Enable timer to recover from 802.1x violation disable
state
storm-control Enable timer to recover from storm-control error
disable state
udld Enable timer to recover from udld error disable state
unicast-flood Enable timer to recover from unicast flood disable
state
vmps Enable timer to recover from vmps shutdown error
disable state
Dieses Beispiel zeigt, wie die Wiederherstellungsbedingung errdisable des BPDU Guard aktiviert wird:
cat6k(config)#errdisable recovery cause bpduguard
cat6k(config)#end Eine nützliche Funktion dieses Befehls ist, wenn Sie errdisable recovery aktivieren, es listet allgemeine Gründe auf, warum die Ports in den err-disabled-Zustand versetzt wurden. Beachten Sie, dass in diesem Beispiel die Funktion BPDU Guard der Grund für das Herunterfahren von Port 2/4 war:
cat6k#show errdisable recovery
Recovery Status Timer Status
--------------- ------------
udld Disabled
bpduguard Enabled
security-violation Disabled
channel-misconfig Disabled
vmps Disabled
pagp-flap Disabled
dtp-flap Disabled
link-flap Disabled
l2ptguard Disabled
psecure-violation Disabled
gbic-invalid Disabled
dhcp-rate-limit Disabled
mac-limit Disabled
unicast-flood Disabled
storm-control Disabled
arp-inspection Disabled
loopback Disabled
link-monitor-failure Disabled
oam-remote-failure critical-event Disabled
oam-remote-failure dying-gasp Disabled
oam-remote-failure link-fault Disabled
dot1ad-incomp-etype Not supported
dot1ad-incomp-tunnel Not supported
mvrp Not supported
transceiver-incomp Not supported
VSL transceiver-incomp Not supported
packet-buffer Not supported
FEX Licensing module removed Not supported
inline-power Not supported
Timer interval: 300 seconds
Interfaces that will be enabled at the next timeout:
Interface Errdisable reason Time left(sec)
--------- --------------------- --------------
Fa2/4 bpduguard 290 Wenn die Wiederherstellungsbedingung errdisable aktiviert ist, werden Ports, die zu diesem Zweck deaktiviert wurden, nach dem konfigurierten Intervall erneut versucht. Wenn die Bedingung weiterhin besteht, können die Ports wieder deaktiviert werden. Sie können diese Standardeinstellung von 300 Sekunden ändern, indem Sie den Befehl errdisable recovery interval <timer_interval_in_seconds> (Wiederherstellungsintervall errdisable) unter der globalen Konfiguration ausführen. Im nächsten Beispiel wird das errdisable-Wiederherstellungsintervall von 300 auf 400 Sekunden geändert:
cat6k#configure terminal
Enter configuration commands, one per line. End with CNTL/Z.
cat6k(config)#errdisable recovery interval 400
cat6k(config)#end
cat6k#show errdisable recovery
Recovery Status Timer Status
--------------- ------------
udld Disabled
bpduguard Disabled
security-violation Disabled
channel-misconfig Disabled
vmps Disabled
pagp-flap Disabled
dtp-flap Disabled
link-flap Disabled
l2ptguard Disabled
psecure-violation Disabled
gbic-invalid Disabled
dhcp-rate-limit Disabled
mac-limit Disabled
unicast-flood Disabled
storm-control Disabled
arp-inspection Disabled
loopback Disabled
link-monitor-failure Disabled
oam-remote-failure critical-event Disabled
oam-remote-failure dying-gasp Disabled
oam-remote-failure link-fault Disabled
dot1ad-incomp-etype Not supported
dot1ad-incomp-tunnel Not supported
mvrp Not supported
transceiver-incomp Not supported
VSL transceiver-incomp Not supported
packet-buffer Not supported
FEX Licensing module removed Not supported
inline-power Not supported
Timer interval: 400 seconds
Interfaces that will be enabled at the next timeout:
cat6k# Überprüfung
-
show version: Zeigt die Version der Software an, die auf dem Switch verwendet wird.
-
show interfaces <interface> status: Zeigt den aktuellen Status des Switch-Ports an. Hilft zu überprüfen, ob der Port nicht mehr deaktiviert ist.
-
show errdisable detect: Zeigt Einstellungen für die Fehlererkennung an. Führen Sie show errdisable recovery aus, um Wiederherstellungseinstellungen und aufgelistete Wiederherstellungskandidaten zu überprüfen.
Fehlerbehebung
-
show interfaces status err-disabled: Zeigt an, welche lokalen Ports in den deaktivierten Zustand "errdisable" verwickelt sind.
-
EtherChannel-Zusammenfassung anzeigen: Zeigt den aktuellen Status des EtherChannels an.
-
show errdisable recovery: Zeigt die aktivierten Wiederherstellungsursachen, das konfigurierte Intervall und die für den nächsten Wiederholungsversuch aufgelisteten Schnittstellen an.
-
show errdisable detect: Zeigt den Grund für den errdisable-Status an.
Zugehörige Informationen
- Fehlerbehebung bei Hardware und Problemen mit Catalyst 6500/6000 Switches
- Kenntnis der Erweiterung von Spanning Tree PortFast BPDU Guard
- Grundlegendes zur Erkennung von EtherChannel-Inkonsistenzen
- Fehlerbehebung bei Switch-Port- und Schnittstellenproblemen
Revisionsverlauf
| Überarbeitung | Veröffentlichungsdatum | Kommentare |
|---|---|---|
5.0 |
07-Oct-2026
|
Aktualisierte Rechtschreibung, Grammatik, eingefügte horizontale Linien in separate Abschnitte für Lesbarkeit. |
4.0 |
19-Aug-2024
|
Aktualisierte technische Inhalte und Formatierungen. |
3.0 |
17-Jul-2023
|
Aktualisierte Einführung, SEO, maschinelle Übersetzung, Stilanforderungen und Formatierung. |
2.0 |
16-Jun-2022
|
Catalyst Switch-Modelle hinzugefügt.
CatOS-Switches und -Referenzen entfernt (veraltet).
Korrigierte Fehlermeldungen. |
1.0 |
24-Apr-2006
|
Erstveröffentlichung |
Feedback