Contenido

Problema

Los paquetes de multidifusión a través de las interfaces miembro del grupo de puentes se descartan en el firewall con estos síntomas:

1. Los paquetes multicast no salen de la interfaz de salida deseada:

firewall# show bridge-group

Static mac-address entries:  0 (in use), 16384 (max)

Dynamic mac-address entries: 2 (in use), 16384 (max)

Bridge Group: 100

Interfaces:

GigabitEthernet0/2

GigabitEthernet0/3

firewall# show nameif

Interface                Name                     Security

..

GigabitEthernet0/2       inside                   100

GigabitEthernet0/3       outside                  0

firewall# show capture

capture capi type raw-data trace interface inside[Capturing - 15642 bytes]

match udp any host 239.1.1.1

capture capo type raw-data interface outside [Capturing - 0 bytes]

match udp any host 239.1.1.1

2. Los bytes en la salida del resultado del comando show conn relevante es 0:

firewall# show conn address 239.1.1.1

16 in use, 17 most used

UDP inside  192.0.2.1:50609 outside  239.1.1.1:5555, idle 0:01:03, bytes 0, flags –

3. La interfaz entrante de ruta multicast S,G es Nula:

firewall# show mroute

Multicast Routing Table

Flags: D - Dense, S - Sparse, B - Bidir Group, s - SSM Group,

C - Connected, L - Local, I - Received Source Specific Host Report,

P - Pruned, R - RP-bit set, F - Register flag, T - SPT-bit set,

J - Join SPT

Timers: Uptime/Expires

Interface state: Interface, State

(*, 239.1.1.1), 3d01h/never, RP 198.51.100.100, flags: SCJ

Incoming interface: rp

RPF nbr: 198.51.100.100

Immediate Outgoing interface list:

outside, Forward, 3d01h/never

(192.0.2.1, 239.1.1.1), 00:02:48/00:00:41, flags: SJ

Incoming interface: Null

RPF nbr: 0.0.0.0

Inherited Outgoing interface list:

outside, Forward, 3d01h/never

Entorno

Topología

- Firepower 4115 con Secure Firewall Threat Defence. Otras plataformas de hardware y Security ASA también pueden verse afectadas.

- FTD versión 7.6.4. Otras versiones de software también pueden verse afectadas.

- El routing multidifusión con el modo disperso (SM) de multidifusión independiente de protocolo (PIM) está activado.

- La trayectoria del tráfico de multidifusión es a través de los miembros del grupo de bridges.

- La interfaz virtual de puente (BVI) no tiene nombre si:

firewall# show bridge-group

Static mac-address entries:  0 (in use), 16384 (max)

Dynamic mac-address entries: 2 (in use), 16384 (max)

Bridge Group: 100

Interfaces:

GigabitEthernet0/2

GigabitEthernet0/3

firewall# show nameif

Interface                Name                     Security

..

GigabitEthernet0/2       inside                     100

GigabitEthernet0/3       outside                   0

firewall# show run int bvi100

interface BVI100

no nameif

security-level 0

ip address 192.0.2.100 255.255.255.0

Resolución

Análisis

1. El contador de la Base de información de reenvío de multidifusión (MFIB) Other drops aumenta:

firewall# show mfib 239.1.1.1

Entry Flags: C - Directly Connected, S - Signal, IA - Inherit A flag,

AR - Activity Required, K - Keepalive

Forwarding Counts: Pkt Count/Pkts per second/Avg Pkt Size/Kbits per second

Other counts: Total/RPF failed/Other drops

Interface Flags: A - Accept, F - Forward, NS - Negate Signalling

IC - Internal Copy, NP - Not platform switched

SP - Signal Present

Interface Counts: FS Pkt Count/PS Pkt Count

(*,239.1.1.1) Flags: C K

Forwarding: 0/0/0/0, Other: 0/0/0

rp Flags: A NS

outside Flags: F NS

Pkts: 0/0

(192.0.2.1,239.1.1.1) Flags: K

Forwarding: 0/0/0/0, Other: 2620/0/2620

OBNS-FWinside Flags: A

outside Flags: F NS

Pkts: 0/0

firewall# show mfib 239.1.1.1

…

(192.0.2.1,239.1.1.1) Flags: K

Forwarding: 0/0/0/0, Other: 2629/0/2629

rp Flags: A

outside Flags: F NS

Pkts: 0/0

2. Los debugs de paquetes MFIB indican caídas de paquetes multicast:

firewall# debug mfib pak 239.1.1.1

MFIB IPv4 pak debugging enabled

all MFIB debugging is for 239.1.1.1

MFIB: Pkt (192.0.2.1,239.1.1.1) from inside (PS) dropping

MFIB: Pkt (192.0.2.1,239.1.1.1) from inside (PS) dropping

3. El resultado del comando debug pim muestra RPF lookup failed for root 192.0.2.1 messages:

firewall# debug pim

IPv4 PIM:    RPF lookup failed for root 192.0.2.1

IPv4 PIM:    RPF lookup failed for root 192.0.2.1

4. El PIM está habilitado en los miembros del grupo de puentes:

firewall# show pim interface

Address          Interface          PIM  Nbr   Hello  DR         DR

Count Intvl  Prior

239.1.1.1      inside             on   0     30     1          this system

239.1.1.1      outside            on   0     30     1          this system

Los miembros del grupo de puentes no deben participar en los protocolos de ruteo multicast. Este problema se rastrea en el Id. de bug Cisco CSCwv2349.

La solución alternativa es agregar el nameif a la BVI, luego quitar/volver a agregar el nameif de la interfaz del miembro del puente. La supresión de nombres es eficaz. Se aconseja al usuario discreción y este cambio se recomienda solo durante la ventana de mantenimiento controlado.

Causa

Debido al Id. de error de Cisco CSCwv23349, si la BVI no tiene un nombre, si los miembros del grupo de puentes participan en los protocolos de ruteo multicast, es decir, PIM y el protocolo de mensajería de grupo de Internet (IGMP) están habilitados en estas interfaces. La activación del protocolo de ruteo multicast resulta en la aplicación de todas las verificaciones de nivel de protocolo, una de las cuales es la verificación de reenvío de trayectoria inversa (RPF).

La verificación RPF compara la interfaz de ingreso de multidifusión (A) con la interfaz hacia el remitente de multidifusión de acuerdo con la tabla de unidifusión (B). Si las interfaces no coinciden, los paquetes multicast se descartan debido a una falla de RPF.

En este caso, inside es la interfaz de ingreso. En la tabla de ruteo no hay una ruta de unidifusión hacia el remitente de multidifusión con la dirección IP 192.0.2.1.

firewall# show route 192.0.2.1

% Network not in table

firewall# show asp table routing address 192.0.2.1

route table timestamp: 46

Teniendo en cuenta que los miembros del grupo de puentes no participan en el ruteo, la tabla de ruteo no tiene rutas sobre los miembros del grupo de puentes. Esto resulta en fallas de verificación RPF si los miembros del grupo de puentes participan en los protocolos de ruteo. Las versiones con la corrección del Id. de bug Cisco CSCwv2349 eximen a estas interfaces de los protocolos de ruteo multicast.

Advertencia: Este defecto se refiere específicamente a la participación de los miembros del grupo de puentes en los protocolos de ruteo multicast. No se aplica a la multidifusión a través de la caja a través de los miembros del grupo de puentes, es decir, la conectividad de multidifusión entre los dispositivos de flujo ascendente/descendente.

Contenido relacionado

- ID de bug de Cisco CSCwv23349