Fehlerbehebung bei Multicast-Paketverlusten durch Bridge-Gruppenmitglieder ohne BVI nameif

Problem

Multicast-Pakete, die über Schnittstellen von Bridge-Gruppenmitgliedern geleitet werden, werden auf der Firewall mit den folgenden Symptomen verworfen:

1. Die Multicast-Pakete verlassen die beabsichtigte Ausgangsschnittstelle nicht:

firewall# show bridge-group
Static mac-address entries:  0 (in use), 16384 (max)
Dynamic mac-address entries: 2 (in use), 16384 (max)
 
 Bridge Group: 100
 Interfaces:
 GigabitEthernet0/2
 GigabitEthernet0/3
 
firewall# show nameif                           
Interface                Name                     Security
..
GigabitEthernet0/2       inside                   100
GigabitEthernet0/3       outside                  0
 
firewall# show capture
capture capi type raw-data trace interface inside[Capturing - 15642 bytes]
  match udp any host 239.1.1.1
capture capo type raw-data interface outside [Capturing - 0 bytes]
  match udp any host 239.1.1.1

2. Die Bytes in der Ausgabe des entsprechenden Befehls show conn sind 0:

firewall# show conn address 239.1.1.1
16 in use, 17 most used
 
UDP inside  192.0.2.1:50609 outside  239.1.1.1:5555, idle 0:01:03, bytes 0, flags –

3. Die eingehende S,G-mroute-Schnittstelle ist Null:

firewall# show mroute
 
Multicast Routing Table
Flags: D - Dense, S - Sparse, B - Bidir Group, s - SSM Group,
       C - Connected, L - Local, I - Received Source Specific Host Report,
       P - Pruned, R - RP-bit set, F - Register flag, T - SPT-bit set,
       J - Join SPT
Timers: Uptime/Expires
Interface state: Interface, State
 
(*, 239.1.1.1), 3d01h/never, RP 198.51.100.100, flags: SCJ
  Incoming interface: rp
  RPF nbr: 198.51.100.100
  Immediate Outgoing interface list:
    outside, Forward, 3d01h/never
 
(192.0.2.1, 239.1.1.1), 00:02:48/00:00:41, flags: SJ
  Incoming interface: Null
  RPF nbr: 0.0.0.0
  Inherited Outgoing interface list:
    outside, Forward, 3d01h/never

Umwelt

Topologie

• Firepower 4115 mit Secure Firewall Threat Defense Auch andere Hardwareplattformen und Security ASA können betroffen sein.

• FTD Version 7.6.4. Andere Softwareversionen können ebenfalls betroffen sein.

• Multicast-Routing mit dem Protokoll Independent Multicast (PIM) Sparse Mode (SM) ist aktiviert.

• Der Multicast-Datenverkehrspfad verläuft über Bridge-Gruppenmitglieder.

• Der Name der Bridge Virtual Interface (BVI) ist nicht vorhandenF:

firewall# show bridge-group
Static mac-address entries:  0 (in use), 16384 (max)
Dynamic mac-address entries: 2 (in use), 16384 (max)
 
 Bridge Group: 100
 Interfaces:
 GigabitEthernet0/2
 GigabitEthernet0/3
 
firewall# show nameif                           
Interface                Name                     Security
..
GigabitEthernet0/2       inside                     100
GigabitEthernet0/3       outside                   0
 
firewall# show run int bvi100
interface BVI100
no nameif
security-level 0
ip address 192.0.2.100 255.255.255.0

Auflösung

Analyse

1. Die Multicast Forwarding Information Base (MFIB) Other drops counter increase:

firewall# show mfib 239.1.1.1
Entry Flags: C - Directly Connected, S - Signal, IA - Inherit A flag,
             AR - Activity Required, K - Keepalive
Forwarding Counts: Pkt Count/Pkts per second/Avg Pkt Size/Kbits per second
Other counts: Total/RPF failed/Other drops
Interface Flags: A - Accept, F - Forward, NS - Negate Signalling
             IC - Internal Copy, NP - Not platform switched
             SP - Signal Present
Interface Counts: FS Pkt Count/PS Pkt Count
 
(*,239.1.1.1) Flags: C K
   Forwarding: 0/0/0/0, Other: 0/0/0
   rp Flags: A NS
   outside Flags: F NS
     Pkts: 0/0
(192.0.2.1,239.1.1.1) Flags: K
   Forwarding: 0/0/0/0, Other: 2620/0/2620
   OBNS-FWinside Flags: A
   outside Flags: F NS
     Pkts: 0/0
 
firewall# show mfib 239.1.1.1
…
(192.0.2.1,239.1.1.1) Flags: K
   Forwarding: 0/0/0/0, Other: 2629/0/2629
   rp Flags: A
   outside Flags: F NS
     Pkts: 0/0

2. Die MFIB-Paketdebugs weisen auf Multicast-Paketverluste hin:

firewall# debug mfib pak 239.1.1.1
MFIB IPv4 pak debugging enabled
  all MFIB debugging is for 239.1.1.1
MFIB: Pkt (192.0.2.1,239.1.1.1) from inside (PS) dropping
MFIB: Pkt (192.0.2.1,239.1.1.1) from inside (PS) dropping

3. Die Ausgabe des Befehls debug pim zeigt an, dass die RPF-Suche für die Root 192.0.2.1-Meldungen fehlgeschlagen ist:

firewall# debug pim 
 
IPv4 PIM:    RPF lookup failed for root 192.0.2.1
IPv4 PIM:    RPF lookup failed for root 192.0.2.1

4. PIM ist für Bridge-Gruppenmitglieder aktiviert:

firewall# show pim interface
 
Address          Interface          PIM  Nbr   Hello  DR         DR
                                         Count Intvl  Prior
 
239.1.1.1      inside             on   0     30     1          this system
239.1.1.1      outside            on   0     30     1          this system

Bridge-Gruppenmitglieder dürfen nicht an Multicast-Routing-Protokollen teilnehmen. Dieses Problem wird in der Cisco Bug-ID CSCwv23349 verfolgt.

Die Problemumgehung besteht darin, den Namen der BVI hinzuzufügen und dann den Namen der Bridge-Member-Schnittstelle zu entfernen/erneut hinzuzufügen. Die Entfernung von nameifs ist wirkungsvoll. Es wird empfohlen, dass der Benutzer diese Änderung nur während eines kontrollierten Wartungsfensters vornehmen kann.

Ursache

Aufgrund der Cisco Bug-ID CSCwv2349, wenn die BVI keinen Namen hat, sind die Bridge-Gruppenmitglieder an Multicast-Routing-Protokollen beteiligt, d. h. PIM und Internet Group Messaging Protocol (IGMP) sind auf diesen Schnittstellen aktiviert. Die Aktivierung des Multicast-Routing-Protokolls führt zur Durchsetzung aller Prüfungen auf Protokollebene, von denen eine die RPF-Prüfung (Reverse Path Forwarding) ist.

Die RPF-Prüfung vergleicht die Multicast-Eingangsschnittstelle (A) mit der Schnittstelle zum Multicast-Sender gemäß der Unicast-Tabelle (B). Wenn die Schnittstellen nicht übereinstimmen, werden Multicast-Pakete aufgrund eines RPF-Fehlers verworfen.

In diesem Fall ist innen die Eingangsschnittstelle. In der Routing-Tabelle wird keine Unicast-Route zum Multicast-Absender mit der IP-Adresse 192.0.2.1 durchgeführt.

firewall# show route 192.0.2.1                   
 
% Network not in table
 
firewall# show asp table routing address 192.0.2.1
route table timestamp: 46

Da Bridge-Gruppenmitglieder nicht am Routing teilnehmen, verfügt die Routing-Tabelle nicht über Routen über Bridge-Gruppenmitglieder. Dies führt zu Fehlern bei der RPF-Prüfung, wenn Bridge-Gruppenmitglieder an Routing-Protokollen beteiligt sind. Die Versionen mit der Cisco Bug-ID CSCwv2349 befreien diese Schnittstellen von Multicast-Routing-Protokollen.

Verwandte Inhalte

• Cisco Bug-ID CSCwv23349

Revisionsverlauf

Überarbeitung	Veröffentlichungsdatum	Kommentare
1.0	06-Jul-2026	Erstveröffentlichung