Einführung
Dieses Dokument beschreibt ein anderes Verhalten, wenn das Simple Network Monitoring Protocol (SNMP) den 6200 Fabric Interconnect (FI) durchläuft oder erhält, im Vergleich zum 6454 FI. Stateful Firewalls blockieren unter Umständen physische IP-Antworten auf SNMP-Spaziergänge virtueller IPs (VIP) in FI 6200, während das Problem nicht in 6454 FI erkannt wird.
Voraussetzungen
Anforderungen
Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:
- Das SNMP Walk Tool wird auf einem Server installiert, der mit der UCSM-Domäne (Unified Computing System Manager) verbunden ist.
- 6248 FI und 6454 FI
Verwendete Komponenten
Die Informationen in diesem Dokument basierend auf folgenden Software- und Hardware-Versionen:
- Das SNMP Walk Tool wird auf einem Server installiert, der mit der UCSM-Domäne (Unified Computing System Manager) verbunden ist.
- 6248 FI mit UCSM-Firmware 4.0(4e)
- 6454 FI mit UCSM-Firmware 4.0(4f)
Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die potenziellen Auswirkungen eines Befehls verstehen.
Verwandte Produkte
Dieses Dokument kann auch mit den folgenden Hardware- und Softwareversionen verwendet werden:
- SNMP-Walk- oder Polling-Software von Drittanbietern
- 6296 FI
Hintergrundinformationen
Firewalls zwischen FI- und SNMP Collectors/Walk-Servern können für Stateful Inspection eingerichtet werden. Das bedeutet, dass beim Senden einer Anfrage von einer bestimmten IP-Adresse die Antwort nur von derselben IP-Adresse aus zulässig ist. Fabric Interconnects verwenden eine virtuelle IP (VIP), auf die die primäre FI antwortet. Die Stateful Inspection der Firewall blockiert möglicherweise SNMP-Antworten in FI der zweiten Generation (z. B. 6248), wenn SNMP Get oder Walk vom VIP angefordert wird, wie in diesem Modell FI. Die Antwort stammt von der physischen IP-Adresse des primären FI. Die Firewall mit Stateful Inspection lässt nur Antworten von der Ziel-IP-Adresse zu, sodass die Pakete blockiert werden. Bei Tests antwortet der FI der 4. Generation, wie der 6454, mit der angeforderten IP, entweder mit dem VIP oder mit der physischen IP, wenn es sich um die Ziel-IP-Adresse handelt.
Die Problemumgehung für FI der zweiten Generation wie 6248 und 6296 besteht darin, die physische IP der primären FI zu erreichen oder die Firewall-Regeln so zu ändern, dass Antworten von einer der physischen IP der FI möglich sind, wenn eine Anforderung des VIP gestellt wird.
Testausgabe zeigt ein anderes Verhalten der 6200- und 6400-FI, wenn VIP als SNMP Polled fungiert
FI 6248 th UCSM-Firmware 4.0.4e
SNMP Walk Server Befehlszeilenausgabe:
[SNMP Walk Server]$ snmpwalk -c 'xxx' 172.16.0.52 <<< SNMP Walk of the Physical IP of FI
snmpwalk: No securityName specified <<<<<<<<<<<<<<<<< No network errors so successful reply
[SNMP Walk Server]$ snmpwalk -c 'xxx' 172.16.0.53 <<< SNMP Walk of the Virtual IP
snmpwalk: Timeout <<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<< Network Error
FI-Paketerfassung:
FI-B(nxos)# ethanalyzer local interface mgmt capture-filter "host 10.0.45.154" limit-captured-frames 0
Capturing on eth0
2020-01-06 11:44:00.739413 10.0.45.154 -> 172.16.0.52 SNMP get-request <<< SNMP Walk of the Physical IP of FI
2020-01-06 11:44:01.274570 172.16.0.52 -> 10.0.45.154 SNMP report <<<<<<<< FI replies with Physical IP of Primary FI
FI-B(nxos)# ethanalyzer local interface mgmt capture-filter "host 10.0.45.154" limit-captured-frames 0
Capturing on eth0
2020-01-06 11:44:50.886972 10.0.45.154 -> 172.16.0.53 SNMP get-request <<< SNMP Walk of the Virtual IP
2020-01-06 11:44:50.887350 172.16.0.52 -> 10.0.45.154 SNMP report <<<<<<<< FI Replies with the IP of the Primary FI Physical IP Stateful Firewall may block this reply
2020-01-06 11:44:51.886878 10.0.45.154 -> 172.16.0.53 SNMP get-request
2020-01-06 11:44:51.887223 172.16.0.52 -> 10.0.45.154 SNMP report
2020-01-06 11:44:52.887808 10.0.45.154 -> 172.16.0.53 SNMP get-request
2020-01-06 11:44:52.888161 172.16.0.52 -> 10.0.45.154 SNMP report
2020-01-06 11:44:53.888741 10.0.45.154 -> 172.16.0.53 SNMP get-request
2020-01-06 11:44:53.889087 172.16.0.52 -> 10.0.45.154 SNMP report
2020-01-06 11:44:54.889477 10.0.45.154 -> 172.16.0.53 SNMP get-request
2020-01-06 11:44:54.889816 172.16.0.52 -> 10.0.45.154 SNMP report
2020-01-06 11:44:55.890280 10.0.45.154 -> 172.16.0.53 SNMP get-request
2020-01-06 11:44:55.890623 172.16.0.52 -> 10.0.45.154 SNMP report
FI 6454 mit UCSM-Firmware 4.0.4d
SNMP Walk Server Befehlszeilenausgabe:
[SNMP Walk Server]$ snmpwalk -c 'fgING$df' 172.16.0.94 <<< SNMP Walk of the Physical IP of FI
snmpwalk: No securityName specified <<<<<<<<<<<<<<<<< No network errors so successful reply
[SNMP Walk Server]$ snmpwalk -c 'fgING$df' 172.16.0.93 <<< SNMP Walk of the Virtual IP
snmpwalk: No securityName specified <<<<<<<<<<<<<<<<< No network errors so successful reply
FI-Paketerfassung:
stha99u11-B(nx-os)# ethanalyzer local interface mgmt capture-filter "host 10.0.45.154" limit-captured-frames 0
Capturing on mgmt0
2020-01-06 12:01:31.866959 10.0.45.154 -> 172.16.0.94 SNMP get-request <<< SNMP Walk of the Physical IP of FI
2020-01-06 12:01:31.868620 172.16.0.94 -> 10.0.45.154 SNMP report 1.3.6.1.6.3.15.1.1.4.0 <<< FI replies from Physical IP no issues with Stateful Firewall
2020-01-06 12:01:47.647205 10.0.45.154 -> 172.16.0.93 SNMP get-request <<< SNMP Walk of the Virtual IP
2020-01-06 12:01:47.648800 172.16.0.93 -> 10.0.45.154 SNMP report 1.3.6.1.6.3.15.1.1.4.0 <<< FI replies from IP of Virtual IP no issues with Stateful Firewall
Zugehörige Informationen
Feedback