Fallo mecánico de motor de criptografía en Cisco ASR 1006 o 1013 Router ASR con un solo ESP

Introducción

Este documento describe cómo identificar y resolver un problema con las operaciones del IPSec que se pudieron observar en el router de los servicios de la agregación de Cisco (ASR) 1006 o las Plataformas ASR 1013. Esto puede ocurrir cuando allí es solamente un procesador de servicio integrado (ESP) instalado y se asienta en el slot F1.

Prerrequisitos

Requisitos

No hay requisitos específicos para este documento.

Componentes Utilizados

La información en este documento se basa en las Cisco 1000 Series ASR 1006 o Cisco ASR 1013.

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si la red está funcionando, asegúrese de haber comprendido el impacto que puede tener cualquier comando.

Antecedentes

La cartera de las Cisco 1000 Series ASR incluye dos modelos (ASR 1006 y ASR 1013). Cada modelo ofrece el (RP) de los Route Processor redundantes y los ESP.  Un solo ESP está instalado generalmente en Cisco ASR 1006 y Cisco ASR 1013 en el slot F0 o el F1, sin las restricciones. La misma premisa se aplica a los slots RP.

La numeración de slot se describe en las guías de instalación de Cisco ASR 1006 y de Cisco ASR 1013.

Problema

El motor de criptografía no puede inicializarse después de un ciclo de la potencia del dispositivo. Cuando el ESP se asienta en el slot F1 y no hay funcionamiento ESP en el slot F0. El problema se considera en los Productos siguientes:

Hardware

• Modelos Dual-ESP Cisco ASR 1000:  ASR1006 o ASR1013.

Software:

• Para el tren de la versión 3.7.xS del ^® XE del Cisco IOS:  Versión 3.7.3S o anterior; 3.7.4S y posterior no es afectado.
• Para trenes posteriores del Cisco IOS XE:  Versión 3.9.1S o anterior; 3.9.2S y posterior no es afectado.

Los síntomas del problema incluyen:

• Los registros visualizan este mensaje de error:

  ISAKMP: Unable to find a crypto engine to allocate IKE SA

• La salida del show crypto eli y de los comandos status crypto del <number> del slot del as de la demostración indica que el motor de criptografía está inactivo:

  ASR1006#show crypto eli 
  Hardware Encryption: INACTIVE 
   Number of hardware crypto engines = 1 
  
   CryptoEngine IOSXE-ESP(14) details: state = Initializing Capability    : DES, 3DES, AES, GCM, GMAC, RSA, IPv6, GDOI, FAILCLOSE IKE-Session   :     0 active, 12287 max, 0 failed  DH            :     0 active, 12287 max, 0 failed  IPSec-Session :     0 active, 32766 max, 0 failed
  
  
  ASR1006#show crypto ace slot 14 stat | inc status
  
  ACE status: OFFLINE

Este problema pudo ocurrir en estos escenarios:

• Un solo ESP se inserta en el slot F1 y no hay ESP en el slot F0. El router ha sido power-cycled.
• Hay dos ESP, pero debido a un problema, el ESP en el F0 fallado y dejado un solo ESP en el F1. El router ha sido power-cycled.

Ingrese el comando show platform para verificar la Disponibilidad del ESP. 

Ejemplo:

    ASR1006#show platform
    Chassis type: ASR1006 
    Slot  Type                State       Insert time (ago)     0     ASR1000-SIP10       ok          00:32:04           0/0   SPA-8X1GE-V2        ok          00:29:46          1     ASR1000-SIP10       ok          00:32:04          1/0   SPA-8X1GE-V2        ok          00:29:46    R1    ASR1000-RP1         ok, active  00:32:04          F1    ASR1000-ESP10       ok, active  00:32:04          P0    ASR1006-PWR-AC      ok          00:31:12         P1    ASR1006-PWR-AC      ok          00:31:11

Solución

El problema es debido al Id. de bug Cisco CSCue45131, el “túnel I/F del sVTI no sube después de que la reinicialización del router.”
El bug se repara en las versiones 3.7.4S y 3.9.2S del Cisco IOS XE.

El problema no existe en el tren de la versión 3.10.0S del Cisco IOS XE.

La mejor solución es aseegurarse que el ESP actualmente de funcionamiento está instalado en el slot F0. Si esa solución no es posible, otras soluciones alternativas que pueden ser aplicadas remotamente son:

• Recargue el ESP:  # recarga del slot del módulo F1 del hw

o

• Recargue al router