Falla del motor criptográfico en el router Cisco ASR 1006 o ASR 1013 con un único ESP
Contenido
Introducción
Este documento describe cómo identificar y resolver un problema con las operaciones IPSec que se pueden observar en las plataformas Cisco Aggregation Services Router (ASR) 1006 o ASR 1013. Esto puede ocurrir cuando sólo hay un procesador de servicios integrados (ESP) instalado y está instalado en la ranura F1.
Prerequisites
Requirements
No hay requisitos específicos para este documento.
Componentes Utilizados
La información de este documento se basa en el ASR 1006 de la serie Cisco 1000 o en el ASR 1013 de Cisco.
The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.
Antecedentes
La cartera de Cisco ASR serie 1000 incluye dos modelos (ASR 1006 y ASR 1013). Cada modelo incluye procesadores de ruta redundantes (RP) y ESP. En general, se instala un único ESP en Cisco ASR 1006 y Cisco ASR 1013 en cualquiera de las ranuras F0 o F1, sin restricciones. La misma premisa se aplica a las ranuras RP.
La numeración de las ranuras se describe en las guías de instalación de Cisco ASR 1006 y Cisco ASR 1013.
Problema
El motor criptográfico no se puede inicializar después de un ciclo de encendido del dispositivo. Cuando ESP está sentado en el slot F1 y no hay ESP en ejecución en el slot F0. El problema se observa en los siguientes productos:
Hardware
- Modelos Cisco ASR 1000 Dual-ESP: ASR1006 o ASR1013.
Software:
- Para el tren Cisco IOS® XE versión 3.7.xS: Versión 3.7.3S o anterior; 3.7.4S y posteriores no se ven afectados.
- Para los trenes Cisco IOS XE posteriores: Versión 3.9.1S o anterior; 3.9.2S y posteriores no se ven afectados.
Los síntomas del problema incluyen:
- Los registros muestran este mensaje de error:
ISAKMP: Unable to find a crypto engine to allocate IKE SA
- La salida de los comandos show crypto eli y show crypto ace slot <number> status indica que el motor crypto está inactivo:
ASR1006#show crypto eli
Hardware Encryption: INACTIVE
Number of hardware crypto engines = 1
CryptoEngine IOSXE-ESP(14) details: state = Initializing Capability : DES, 3DES, AES, GCM, GMAC, RSA, IPv6, GDOI, FAILCLOSE IKE-Session : 0 active, 12287 max, 0 failed DH : 0 active, 12287 max, 0 failed IPSec-Session : 0 active, 32766 max, 0 failed
ASR1006#show crypto ace slot 14 stat | inc status
ACE status: OFFLINE
Este problema podría ocurrir en estos escenarios:
- Se inserta un ESP único en la ranura F1 y no hay ESP en la ranura F0. El router se ha apagado y encendido.
- Hay dos ESP, pero debido a un problema, el ESP en F0 falló y dejó un ESP único en F1. El router se ha apagado y encendido.
Ingrese el comando show platform para verificar la disponibilidad del ESP.
Ejemplo:
ASR1006#show platform
Chassis type: ASR1006
Slot Type State Insert time (ago) 0 ASR1000-SIP10 ok 00:32:04 0/0 SPA-8X1GE-V2 ok 00:29:46 1 ASR1000-SIP10 ok 00:32:04 1/0 SPA-8X1GE-V2 ok 00:29:46 R1 ASR1000-RP1 ok, active 00:32:04 F1 ASR1000-ESP10 ok, active 00:32:04 P0 ASR1006-PWR-AC ok 00:31:12 P1 ASR1006-PWR-AC ok 00:31:11
Solución
El problema se debe al Id. de bug Cisco CSCue45131, "sVTI tunnel I/F no se activa después del reinicio del router".
El error se corrige en las versiones 3.7.4S y 3.9.2S del IOS XE de Cisco.
El problema no existe en el tren Cisco IOS XE Release 3.10.0S.
La mejor solución es asegurarse de que el ESP que actualmente funciona esté instalado en el slot F0. Si esa solución no es posible, otras soluciones que se pueden aplicar de forma remota son:
- Recargue el ESP: # hw module slot F1 reload
or
- Vuelva a cargar el router
Historial de revisiones
| Revisión | Fecha de publicación | Comentarios |
|---|---|---|
1.0 |
18-Dec-2013 |
Versión inicial |
ComentariosContacte a Cisco
- Abrir un caso de soporte
- (Requiere un Cisco Service Contract)