Resolución de Problemas de Miembros de Multicast Packet Drop Via Bridge Sin BVI nameif

Problema

Los paquetes de multidifusión a través de las interfaces miembro del grupo de puentes se descartan en el firewall con estos síntomas:

1. Los paquetes multicast no salen de la interfaz de salida deseada:

firewall# show bridge-group
Static mac-address entries:  0 (in use), 16384 (max)
Dynamic mac-address entries: 2 (in use), 16384 (max)
 
 Bridge Group: 100
 Interfaces:
 GigabitEthernet0/2
 GigabitEthernet0/3
 
firewall# show nameif                           
Interface                Name                     Security
..
GigabitEthernet0/2       inside                   100
GigabitEthernet0/3       outside                  0
 
firewall# show capture
capture capi type raw-data trace interface inside[Capturing - 15642 bytes]
  match udp any host 239.1.1.1
capture capo type raw-data interface outside [Capturing - 0 bytes]
  match udp any host 239.1.1.1

2. Los bytes en la salida del resultado del comando show conn relevante es 0:

firewall# show conn address 239.1.1.1
16 in use, 17 most used
 
UDP inside  192.0.2.1:50609 outside  239.1.1.1:5555, idle 0:01:03, bytes 0, flags –

3. La interfaz entrante de ruta multicast S,G es nula:

firewall# show mroute
 
Multicast Routing Table
Flags: D - Dense, S - Sparse, B - Bidir Group, s - SSM Group,
       C - Connected, L - Local, I - Received Source Specific Host Report,
       P - Pruned, R - RP-bit set, F - Register flag, T - SPT-bit set,
       J - Join SPT
Timers: Uptime/Expires
Interface state: Interface, State
 
(*, 239.1.1.1), 3d01h/never, RP 198.51.100.100, flags: SCJ
  Incoming interface: rp
  RPF nbr: 198.51.100.100
  Immediate Outgoing interface list:
    outside, Forward, 3d01h/never
 
(192.0.2.1, 239.1.1.1), 00:02:48/00:00:41, flags: SJ
  Incoming interface: Null
  RPF nbr: 0.0.0.0
  Inherited Outgoing interface list:
    outside, Forward, 3d01h/never

Entorno

Topología

• Firepower 4115 con Secure Firewall Threat Defence, otras plataformas de hardware y Security ASA pueden verse afectados.

• La versión 7.6.4 del FTD y otras versiones de software pueden verse afectadas.

• El routing multidifusión con el modo disperso (SM) de multidifusión independiente de protocolo (PIM) está activado.

• La trayectoria del tráfico de multidifusión es a través de los miembros del grupo de bridges.

• La interfaz virtual de puente (BVI) no tiene nombre si.

firewall# show bridge-group
Static mac-address entries:  0 (in use), 16384 (max)
Dynamic mac-address entries: 2 (in use), 16384 (max)
 
 Bridge Group: 100
 Interfaces:
 GigabitEthernet0/2
 GigabitEthernet0/3
 
firewall# show nameif                           
Interface                Name                     Security
..
GigabitEthernet0/2       inside                     100
GigabitEthernet0/3       outside                   0
 
firewall# show run int bvi100
interface BVI100
no nameif
security-level 0
ip address 192.0.2.100 255.255.255.0

Resolución

Análisis

1. El contador de la Base de información de reenvío de multidifusión (MFIB) Other drops aumenta:

firewall# show mfib 239.1.1.1
Entry Flags: C - Directly Connected, S - Signal, IA - Inherit A flag,
             AR - Activity Required, K - Keepalive
Forwarding Counts: Pkt Count/Pkts per second/Avg Pkt Size/Kbits per second
Other counts: Total/RPF failed/Other drops
Interface Flags: A - Accept, F - Forward, NS - Negate Signalling
             IC - Internal Copy, NP - Not platform switched
             SP - Signal Present
Interface Counts: FS Pkt Count/PS Pkt Count
 
(*,239.1.1.1) Flags: C K
   Forwarding: 0/0/0/0, Other: 0/0/0
   rp Flags: A NS
   outside Flags: F NS
     Pkts: 0/0
(192.0.2.1,239.1.1.1) Flags: K
   Forwarding: 0/0/0/0, Other: 2620/0/2620
   OBNS-FWinside Flags: A
   outside Flags: F NS
     Pkts: 0/0
 
firewall# show mfib 239.1.1.1
…
(192.0.2.1,239.1.1.1) Flags: K
   Forwarding: 0/0/0/0, Other: 2629/0/2629
   rp Flags: A
   outside Flags: F NS
     Pkts: 0/0

2. Los debugs de paquetes MFIB indican caídas de paquetes multicast:

firewall# debug mfib pak 239.1.1.1
MFIB IPv4 pak debugging enabled
  all MFIB debugging is for 239.1.1.1
MFIB: Pkt (192.0.2.1,239.1.1.1) from inside (PS) dropping
MFIB: Pkt (192.0.2.1,239.1.1.1) from inside (PS) dropping

3. El resultado del comando debug pim muestra RPF lookup failed for root 192.0.2.1 messages:

firewall# debug pim 
 
IPv4 PIM:    RPF lookup failed for root 192.0.2.1
IPv4 PIM:    RPF lookup failed for root 192.0.2.1

4. El PIM está habilitado en los miembros del grupo de puentes:

firewall# show pim interface
 
Address          Interface          PIM  Nbr   Hello  DR         DR
                                         Count Intvl  Prior
 
239.1.1.1      inside             on   0     30     1          this system
239.1.1.1      outside            on   0     30     1          this system

Los miembros del grupo de puentes no deben participar en los protocolos de ruteo multicast. Se realiza un seguimiento de este problema en la ID de bug de Cisco: CSCwv23349. La solución alternativa es agregar el nameif a BVI, luego quitar/volver a agregar el nameif de la interfaz del miembro del puente. La eliminación de nombres es efectiva y se aconseja la discreción del usuario. Este cambio sólo se recomienda durante una ventana de mantenimiento controlado.

Causa

Debido a la ID de bug de Cisco: CSCwv23349, si la BVI no tiene un nombre if, los miembros del grupo de puentes que participan en los protocolos de ruteo multicast (es decir, PIM y el protocolo de mensajería de grupo de Internet (IGMP)) se habilitan en estas interfaces. La activación del protocolo de ruteo multicast resulta en la aplicación de todas las verificaciones de nivel de protocolo, una de las cuales es la verificación de reenvío de trayectoria inversa (RPF).

La verificación RPF compara la interfaz de ingreso de multidifusión (A) con la interfaz hacia el remitente de multidifusión de acuerdo con la tabla de unidifusión (B). Si las interfaces no coinciden, los paquetes multicast se descartan debido a una falla de RPF. En este caso, inside es la interfaz de ingreso. En la tabla de ruteo no hay una ruta de unidifusión hacia el remitente de multidifusión con la dirección IP: 192.0.2.1.

firewall# show route 192.0.2.1                   
 
% Network not in table
 
firewall# show asp table routing address 192.0.2.1
route table timestamp: 46

Teniendo en cuenta que los miembros del grupo de puentes no participan en el ruteo, las tablas de ruteo no tienen rutas sobre los miembros del grupo de puentes. Esto resulta en fallas de verificación RPF si los miembros del grupo de puentes participan en los protocolos de ruteo. Las versiones con la corrección del ID de bug de Cisco: CSCwv2349 exime estas interfaces de los protocolos de routing multidifusión.

Contenido relacionado

• ID de bug de Cisco CSCwv23349

Historial de revisiones

Revisión	Fecha de publicación	Comentarios
2.0	29-Oct-2026	Título actualizado, ortografía, gramática de KCS, alertas de CCW revisadas o corregidas.
1.0	06-Jul-2026	Versión inicial