Este documento describe cómo identificar y resolver un problema con las operaciones del IPSec que se pudieron observar en el router de los servicios de la agregación de Cisco (ASR) 1006 o las Plataformas ASR 1013. Esto puede ocurrir cuando allí es solamente un procesador de servicio integrado (ESP) instalado y se asienta en el slot F1.
No hay requisitos específicos para este documento.
La información en este documento se basa en las Cisco 1000 Series ASR 1006 o Cisco ASR 1013.
La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si la red está funcionando, asegúrese de haber comprendido el impacto que puede tener cualquier comando.
La cartera de las Cisco 1000 Series ASR incluye dos modelos (ASR 1006 y ASR 1013). Cada modelo ofrece el (RP) de los Route Processor redundantes y los ESP. Un solo ESP está instalado generalmente en Cisco ASR 1006 y Cisco ASR 1013 en el slot F0 o el F1, sin las restricciones. La misma premisa se aplica a los slots RP.
La numeración de slot se describe en las guías de instalación de Cisco ASR 1006 y de Cisco ASR 1013.
El motor de criptografía no puede inicializarse después de un ciclo de la potencia del dispositivo. Cuando el ESP se asienta en el slot F1 y no hay funcionamiento ESP en el slot F0. El problema se considera en los Productos siguientes:
Hardware
Software:
Los síntomas del problema incluyen:
ISAKMP: Unable to find a crypto engine to allocate IKE SA
ASR1006#show crypto eli
Hardware Encryption: INACTIVE
Number of hardware crypto engines = 1
CryptoEngine IOSXE-ESP(14) details: state = Initializing Capability : DES, 3DES, AES, GCM, GMAC, RSA, IPv6, GDOI, FAILCLOSE IKE-Session : 0 active, 12287 max, 0 failed DH : 0 active, 12287 max, 0 failed IPSec-Session : 0 active, 32766 max, 0 failed
ASR1006#show crypto ace slot 14 stat | inc status
ACE status: OFFLINE
Este problema pudo ocurrir en estos escenarios:
Ingrese el comando show platform para verificar la Disponibilidad del ESP.
Ejemplo:
ASR1006#show platform
Chassis type: ASR1006
Slot Type State Insert time (ago) 0 ASR1000-SIP10 ok 00:32:04 0/0 SPA-8X1GE-V2 ok 00:29:46 1 ASR1000-SIP10 ok 00:32:04 1/0 SPA-8X1GE-V2 ok 00:29:46 R1 ASR1000-RP1 ok, active 00:32:04 F1 ASR1000-ESP10 ok, active 00:32:04 P0 ASR1006-PWR-AC ok 00:31:12 P1 ASR1006-PWR-AC ok 00:31:11
El problema es debido al Id. de bug Cisco CSCue45131, el “túnel I/F del sVTI no sube después de que la reinicialización del router.”
El bug se repara en las versiones 3.7.4S y 3.9.2S del Cisco IOS XE.
El problema no existe en el tren de la versión 3.10.0S del Cisco IOS XE.
La mejor solución es aseegurarse que el ESP actualmente de funcionamiento está instalado en el slot F0. Si esa solución no es posible, otras soluciones alternativas que pueden ser aplicadas remotamente son:
o