Estos síntomas se observan en Secure Firewall Threat Defence (FTD), que participa como salto intermedio en el dominio de routing multidifusión con multidifusión independiente de protocolo bidireccional (BIDIR-PIM), una variante de PIM Sparse-Mode (PIM-SM):
1. La ruta multicast para el grupo multicast específico 232.4.4.4 está ausente:
device# show mroute 232.4.4.4
No mroute entries found.
2. El contador "Otras caídas" para el rango del grupo 232.0.0.0/8 en la salida del comando show mfib count aumenta:
device# show mfib count
IP Multicast Statistics
6 routes, 3 groups, 0.00 average sources per group
Forwarding Counts: Pkt Count/Pkts per second/Avg Pkt Size/Kilobits per second
Other counts: Total/RPF failed/Other drops(OIF-null, rate-limit etc)
Group: 224.0.1.39
RP-tree:
Forwarding: 0/0/0/0, Other: 0/0/0
Group: 224.0.1.40
RP-tree:
Forwarding: 0/0/0/0, Other: 0/0/0
Group: 232.0.0.0/8
RP-tree:
Forwarding: 0/0/0/0, Other: 2551/0/2551 <----
device# show mfib count
IP Multicast Statistics
6 routes, 3 groups, 0.00 average sources per group
Forwarding Counts: Pkt Count/Pkts per second/Avg Pkt Size/Kilobits per second
Other counts: Total/RPF failed/Other drops(OIF-null, rate-limit etc)
Group: 224.0.1.39
RP-tree:
Forwarding: 0/0/0/0, Other: 0/0/0
Group: 224.0.1.40
RP-tree:
Forwarding: 0/0/0/0, Other: 0/0/0
Group: 232.0.0.0/8
RP-tree:
Forwarding: 0/0/0/0, Other: 2864/0/2864 <----
3. Los paquetes de multidifusión se descartan con el motivo de la pérdida Punt rate limit exceeded (punt-rate-limit) en Accelerated Security Path (ASP). El contador de caídas aumenta continuamente:
device# cap capi trace interface inside match udp any host 232.4.4.4
device# show cap capi trace
2: 19:36:08.509205 192.168.1.2.12345 > 232.4.4.4.12345: udp 0
Phase: 1
Type: CAPTURE
Subtype:
Result: ALLOW
Elapsed time: 13056 ns
Config:
Additional Information:
MAC Access list
Phase: 2
Type: ACCESS-LIST
Subtype:
Result: ALLOW
Elapsed time: 13056 ns
Config:
Implicit Rule
Additional Information:
MAC Access list
Phase: 3
Type: FLOW-LOOKUP
Subtype:
Result: ALLOW
Elapsed time: 2560 ns
Config:
Additional Information:
Found flow with id 4876, using existing flow
Result:
input-interface: inside
input-status: up
input-line-status: up
Action: drop
Time Taken: 28672 ns
Drop-reason: (punt-rate-limit) Punt rate limit exceeded, Drop-location: frame snp_sp_mcast:4898 flow (NA)/NA
device# show asp drop
Frame drop:
Punt rate limit exceeded (punt-rate-limit) 142
FP L2 rule drop (l2_acl) 6
Last clearing: 19:38:00 UTC Apr 29 2026 by admin
Flow drop:
Last clearing: 19:38:00 UTC Apr 29 2026 by admin
…
device# show asp drop
Frame drop:
Punt rate limit exceeded (punt-rate-limit) 780
FP L2 rule drop (l2_acl) 37
4. Las capturas de la interfaz externa no muestran ningún paquete multicast de salida:
device# capture capo type raw-data interface outside match udp any host 232.4.4.4
device# show cap capo
0 packet captured
0 packet shown
Topología:
topology.png
Puntos clave:
Los peers en el dominio multicast utilizan BIDIR-PIM.
El "router" de este artículo hace referencia a un router de Cisco como CSR o ASR.
Rendezvous Point (RP) es ASR1001-X que ejecuta el software Cisco IOS XE, versión 17.09.08. Otras plataformas y versiones de software también pueden verse afectadas.
El router de primer salto (FHR) es C9200L-48T-4G que ejecuta el software Cisco IOS XE, versión 16.12.04. Otras plataformas y versiones de software también pueden verse afectadas.
La dirección de punto de encuentro (RP) 10.4.4.4 en la interfaz Loopback0 para todo el rango de multidifusión 224.0.0.0/8 se propaga dinámicamente en el dominio de multidifusión mediante el router PIM Bootstrap (BSR). Las implementaciones con la configuración de dirección RP de PIM estática también pueden verse afectadas.
Configuración de PIM en RP:
device# show run interface loopback0
interface Loopback0
description LO0
ip address 10.4.4.4 255.255.255.255
ip pim sparse-mode
device(config)# ip pim bidir-enable
device(config)# ip pim bsr-candidate Loopback0 0 1
device(config)# ip pim rp-candidate Loopback0 interval 10 priority 1 bidir
En aras de la simplicidad, en este caso, el RP se muestra como conectado al receptor, es decir, también es el router de último salto (LHR). Esto es opcional.
El firewall es Secure Firewall 3110 con la versión 7.6.4. Otras plataformas de firewall, versiones de software y el software Adaptive Security Appliance (ASA) también pueden verse afectados.
En el firewall, el routing multidifusión está activado y existe adyacencia PIM con el router de primer salto (FHR) y RP con la capacidad PIM BIDIR:
device# show run multicast-routing
multicast-routing
device# show pim neighbor
Neighbor Address Interface Uptime Expires DR pri Bidir
192.168.2.1 inside 1d12h 00:01:40 1 B
192.168.3.1 outside 1d12h 00:01:35 1 B
En el firewall, a pesar del uso de PIM BSR, la dirección PIM RP 10.4.4.4 se configura manualmente. Esta es una configuración redundante. Como resultado, hay 2 mapeos RP a grupo entre el grupo 224.0.0.0/4 y la dirección RP 10.4.4.4:
device# show run pim
pim rp-address 10.4.4.4 bidir
device# show pim group-map
Group Range Proto Client Groups RP address Info
224.0.1.39/32* DM static 0 0.0.0.0
224.0.1.40/32* DM static 0 0.0.0.0
224.0.0.0/24* L-Local static 1 0.0.0.0
232.0.0.0/8* SSM config 0 0.0.0.0
224.0.0.0/4* BD BSR 0 10.4.4.4 RPF: outside,192.168.3.1 <-- * means the mapping is in use.
224.0.0.0/4 BD config 0 10.4.4.4 RPF: outside,192.168.3.1
224.0.0.0/4 SM static 0 0.0.0.0 RPF: ,0.0.0.0
Antes de continuar, asegúrese de revisar la sección Causa.
Se espera que se produzcan descartes de paquetes en el firewall debido a la incompatibilidad entre la configuración deseada (BIDIR-PIM) y el tráfico que debe gestionarse mediante PIM SSM.
Si la configuración deseada es BIDIR-PIM, considere estas opciones:
Utilice sólo grupos SSM que no sean PIM.
Si se deben utilizar grupos PIM SSM, asegúrese de que el firewall maneja los grupos multicast del rango PIM SSM como direcciones de grupo no SSM. Consulte la sección Preguntas y respuestas para obtener más información.
Considere el ID de bug de Cisco CSCwt9960.
La dirección 232.4.4.4 pertenece al intervalo de grupos de multidifusión específica de origen (SSM) reservado por la Autoridad de números asignados de Internet (IANA). El firewall reserva automáticamente el rango 232.0.0.0/8 para PIM SSM:
device# show pim group-map
Group Range Proto Client Groups RP address Info
224.0.1.39/32* DM static 0 0.0.0.0
224.0.1.40/32* DM static 0 0.0.0.0
224.0.0.0/24* L-Local static 1 0.0.0.0
232.0.0.0/8* SSM config 0 0.0.0.0
224.0.0.0/4* BD BSR 0 10.4.4.4 RPF: outside,192.168.3.1
224.0.0.0/4 BD config 0 10.4.4.4 RPF: outside,192.168.3.1
224.0.0.0/4 SM static 0 0.0.0.0 RPF: ,0.0.0.0
Puntos clave sobre PIM SSM:
Construye árboles basados en la fuente y utiliza rutas multicast (S, G).
La infraestructura de árbol compartido basada en RP del protocolo PIM-SM no es necesaria. En otras palabras, no se utilizan rutas multicast RP o (*, G).
Los receptores se unen normalmente al árbol de multidifusión mediante el protocolo de administración de grupos de Internet versión 3 (IGMPv3) con el "filtrado de origen", es decir, la capacidad de que un sistema informe del interés en recibir paquetes sólo de direcciones de origen específicas, o de todas las direcciones de origen excepto de las específicas, enviadas a una dirección de multidifusión concreta.
Puntos clave sobre BIDIR-PIM:
Construye árboles compartidos bidireccionales que conectan fuentes y receptores multicast.
Los árboles bidireccionales se crean mediante un mecanismo de elección de reenviador designado (DF) a prueba de fallos que funciona en cada vínculo de una topología de multidifusión.
Con la ayuda del DF, los datos multicast se reenvían de forma nativa desde los orígenes al RP y, por lo tanto, a lo largo del árbol compartido a los receptores sin requerir el estado específico del origen.
BIDIR-PIM no utiliza entradas de árboles de trayecto más corto (SPT) y (S, G).
Los pares BIDIR-PIM crean árboles compartidos mediante entradas (*, G). Esta entrada para un grupo multicast determinado debe existir en la tabla mroute.
Al contrastar los puntos clave para PIM SSM y BIDIR-PIM, se muestra que PIM SSM y BIDIR-PIM tienen una funcionalidad mutuamente excluyente.
En este caso, el dominio multicast se configura para utilizar BIDIR-PIM, mientras que el grupo multicast pertenece al rango reservado por IANA y el firewall para PIM SSM. Dado que el dominio multicast utiliza BIDIR-PIM, las rutas multicast (S, G) necesarias para PIM SSM no están disponibles en el firewall. Debido a la falta de rutas multicast, la interfaz de salida/egreso para el tráfico multicast no está disponible. La ausencia de interfaz de salida/salida provoca caídas de paquetes en la base de información de reenvío multidifusión (MFIB). Las caídas se pueden verificar mediante los comandos show mfib o show mfib count:
device# show mfib count
IP Multicast Statistics
6 routes, 3 groups, 0.00 average sources per group
Forwarding Counts: Pkt Count/Pkts per second/Avg Pkt Size/Kilobits per second
Other counts: Total/RPF failed/Other drops(OIF-null, rate-limit etc)
Group: 224.0.1.39
RP-tree:
Forwarding: 0/0/0/0, Other: 0/0/0
Group: 224.0.1.40
RP-tree:
Forwarding: 0/0/0/0, Other: 0/0/0
Group: 232.0.0.0/8
RP-tree:
Forwarding: 0/0/0/0, Other: 333797/0/333797
El firewall intenta resolver la interfaz de salida/salida activando el punto de control (CP). Este es el componente crítico del firewall que se encarga principalmente de las funciones del plano de control y gestión, como los protocolos de routing, el acceso a la gestión, la gestión de clústeres/conmutación por fallo, la gestión de paquetes destinados a la interfaz del firewall, las direcciones IP de difusión o multidifusión, etc.
Para evitar sobrecargar el punto de control, el firewall cuenta con mecanismos de protección integrados. Por ejemplo, el firewall limita la velocidad de los paquetes enviados desde el plano de datos (DP) al punto de control. Los paquetes que exceden la velocidad se descartan con el motivo de descarte de ASP de límite de velocidad de punteo excedido (punt-rate-limit). La velocidad de punt se puede verificar en la salida de show asp event dp-cp punt | begin EVENT-TYPE :
device# show asp event dp-cp punt | begin EVENT-TYPE
EVENT-TYPE ALLOC ALLOC-FAIL ENQUEUED ENQ-FAIL RETIRED 15SEC-RATE
punt 1264746 0 1264746 0 1264746 44 <-- 15-second punt rate
multicast 1250020 0 1250020 0 1250020 44
pim 14726 0 14726 0 14726 0
En resumen, la conclusión es que se esperan caídas de paquetes en el firewall debido a la incompatibilidad entre la configuración deseada (BIDIR-PIM) y el tráfico que debe gestionarse mediante PIM SSM.
Preguntas y respuestas
En esta sección, "router" hace referencia a un router de Cisco como CSR y "firewall" hace referencia a los firewalls de Cisco que ejecutan ASA o FTD.
1. Q: ¿El firewall reserva automáticamente 232.0.0.0/8 para PIM SSM?
R: Yes. A diferencia, por ejemplo, de routers como CSR, no se requiere ninguna configuración específica. En los routers, el rango PIM SSM necesita una configuración explícita:
device(config)#ip pim ssm ?
default Use 232/8 group range for SSM
range ACL for group range to be used for SSM
2. Q: ¿El contador "Otras caídas" de MFIB es específico para el firewall?
R: No. Existe un contador similar en los routers Cisco con ruteo multicast.
3. Q: ¿Otro dispositivo como un router en lugar de un firewall también descartaría paquetes enviados al grupo 232.4.4.4?
R: Depende de cómo el router trate la dirección 232.4.4.4. A diferencia de los firewalls, los routers predeterminados no reservan el rango 232.0.0.0/8 para PIM SSM. Sin embargo, si tanto PIM SSM como BIDIR-PIM están habilitados, y el router es RP que reconoce BIDIR-PIM o recibe mapeo RP a grupo con el indicador Bidir y recibe paquetes multicast enviados al rango PIM SSM, los paquetes se descartan y el contador "Otros" de MFIB aumenta:
device# show run | i pim
ip pim bidir-enable
no ip pim autorp
ip pim ssm default
device# show ip pim rp mapping
Auto-RP is not enabled
PIM Group-to-RP Mappings
Group(s) 224.0.0.0/4
RP 10.4.4.4 (?), v2, bidir <-- mapping has the bidir flag
Info source: 10.4.4.4 (?), via bootstrap, priority 1, holdtime 150
Uptime: 17:32:39, expires: 00:02:05
device# show ip mfib count
Forwarding Counts: Pkt Count/Pkts per second/Avg Pkt Size/Kilobits per second
Other counts: Total/RPF failed/Other drops(OIF-null, rate-limit etc)
Default
9 routes, 6 (*,G)s, 3 (*,G/m)s
Group: 224.0.0.0/4
RP-tree,
SW Forwarding: 1/0/28/0, Other: 41037/41037/0
HW Forwarding: 3428217/0/64/0, Other: 0/0/0
Group: 232.0.0.0/8
RP-tree,
SW Forwarding: 0/0/0/0, Other: 97/97/0 <----
HW Forwarding: 0/0/0/0, Other: 0/0/0
device# show ip mfib count
Forwarding Counts: Pkt Count/Pkts per second/Avg Pkt Size/Kilobits per second
Other counts: Total/RPF failed/Other drops(OIF-null, rate-limit etc)
Default
9 routes, 6 (*,G)s, 3 (*,G/m)s
Group: 224.0.0.0/4
RP-tree,
SW Forwarding: 1/0/28/0, Other: 41037/41037/0
HW Forwarding: 3428217/0/64/0, Other: 0/0/0
Group: 232.0.0.0/8
RP-tree,
SW Forwarding: 0/0/0/0, Other: 106/106/0 <----
HW Forwarding: 0/0/0/0, Other: 0/0/0
Tenga en cuenta que, a diferencia del firewall con el contador de aumento "Otras caídas" en el router, el contador de aumento es "Error de RPF".
4. Q: ¿Cómo forzar a los firewalls a manejar un grupo desde el rango PIM SSM como una dirección de grupo no SSM?
R: Asegúrese de que RP anuncie la asignación RP a grupo para los grupos que son más específicos que 232.0.0.0/8 (prefijo más largo) o que en el firewall configure manualmente la dirección RP para grupos específicos.
Opción 1. Configuración en RP:
device(config)# access-list 1 permit host 232.4.4.4
device(config)# ip pim rp-candidate Loopback0 group 1 interval 10 priority 1 bidir <-- group refers to the access-list
Verificación en el firewall:
device# show pim group-map 232.4.4.4 Group Range Proto Client Groups RP address Info 232.4.4.4/32* BD BSR 0 10.4.4.4 RPF: outside,192.168.3.1 <-- Proto is BD, not SSM
Opción 2. Configuración en el firewall:
device(config)# access-list mcast standard permit 232.4.4.4 255.255.255.254
device(config)# pim rp-address 10.4.4.4 mcast bidir
device(config)# show pim group-map 232.4.4.4
Group Range Proto Client Groups RP address Info
232.4.4.4/31* BD config 0 10.4.4.4 RPF: outside,192.168.3.1 <-- Proto is BD, not SSM
Tenga en cuenta que la lista de acceso no debe utilizar entradas de host o entradas con la máscara 255.255.255.255.
5. Q: ¿Qué sucede si el firewall maneja un grupo del rango PIM SSM como una dirección de grupo no SSM?
R: Suponga que el grupo 232.4.4.4 se maneja como una dirección no SSM (consulte la pregunta 4):
device# show pim group-map 232.4.4.4
Group Range Proto Client Groups RP address Info
232.4.4.4/32* BD BSR 0 10.4.4.4 RPF: outside,192.168.3.1
Si la versión de software se ve afectada por el Id. de error de Cisco CSCwt9960, falta la ruta multicast (*, G) y el flujo multicast se limita a una velocidad de aproximadamente 50 paquetes por segundo. Los paquetes excesivos se descartan con el límite de velocidad de punteo excedido (punt-rate-limit) motivo de descarte de ASP:
device# show mroute 232.4.4.4
No mroute entries found.
device# show mfib 232.4.4.4 count
IP Multicast Statistics
7 routes, 4 groups, 0.00 average sources per group
Forwarding Counts: Pkt Count/Pkts per second/Avg Pkt Size/Kilobits per second
Other counts: Total/RPF failed/Other drops(OIF-null, rate-limit etc)
Group: 232.4.4.4
RP-tree:
Forwarding: 23317/50/28/10, Other: 0/0/0
device# show mfib 232.4.4.4 count
IP Multicast Statistics
7 routes, 4 groups, 0.00 average sources per group
Forwarding Counts: Pkt Count/Pkts per second/Avg Pkt Size/Kilobits per second
Other counts: Total/RPF failed/Other drops(OIF-null, rate-limit etc)
Group: 232.4.4.4
RP-tree:
Forwarding: 23540/49/28/10, Other: 0/0/0
device# capture capi interface inside trace match udp any host 232.4.4.4
device# show capture capi trace | i Drop-reason
Drop-reason: (punt-rate-limit) Punt rate limit exceeded, Drop-location: frame snp_sp_mcast:4898 flow (NA)/NA
Drop-reason: (punt-rate-limit) Punt rate limit exceeded, Drop-location: frame snp_sp_mcast:4898 flow (NA)/NA
Drop-reason: (punt-rate-limit) Punt rate limit exceeded, Drop-location: frame snp_sp_mcast:4898 flow (NA)/NA
Drop-reason: (punt-rate-limit) Punt rate limit exceeded, Drop-location: frame snp_sp_mcast:4898 flow (NA)/NA
Drop-reason: (punt-rate-limit) Punt rate limit exceeded, Drop-location: frame snp_sp_mcast:4898 flow (NA)/NA
Drop-reason: (punt-rate-limit) Punt rate limit exceeded, Drop-location: frame snp_sp_mcast:4898 flow (NA)/NA
Drop-reason: (punt-rate-limit) Punt rate limit exceeded, Drop-location: frame snp_sp_mcast:4898 flow (NA)/NA
Drop-reason: (punt-rate-limit) Punt rate limit exceeded, Drop-location: frame snp_sp_mcast:4898 flow (NA)/NA
…
Para obtener más información, consulte el Id. de bug Cisco CSCwt9960.
ID de bug de Cisco CSCwt99960
| Revisión | Fecha de publicación | Comentarios |
|---|---|---|
1.0 |
30-Apr-2026
|
Versión inicial |