Risoluzione dei problemi STP & Considerazioni di progettazione correlate

Introduzione

In questo documento vengono forniti suggerimenti per implementare una rete sicura sul bridging di switch Cisco Catalyst con software Cisco IOS^®.

Prerequisiti

Requisiti

Nessun requisito specifico previsto per questo documento.

Componenti usati

Il documento può essere consultato per tutte le versioni software o hardware.

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Premesse

In questo documento vengono descritti alcuni motivi di errore comuni del protocollo Spanning Tree Protocol (STP) e le informazioni da cercare per individuare la causa del problema. Mostra inoltre il tipo di struttura che riduce al minimo i problemi relativi allo spanning tree ed è facile da risolvere.

Questo documento non illustra le operazioni di base dell'STP. Per informazioni sul funzionamento dell'STP, consultare questo documento:

• Informazioni e configurazione del protocollo STP sui Catalyst switch

Questo documento non illustra il protocollo RSTP (Rapid STP), definito in IEEE 802.1w. Inoltre, questo documento non illustra il protocollo MST (Multiple Spanning Tree), definito in IEEE 802.1s. Per ulteriori informazioni sui protocolli RSTP e MST, consultare questi documenti:

• Informazioni sul protocollo 802.1s (Multiple Spanning Tree Protocol)

• Informazioni sul protocollo Rapid Spanning Tree Protocol (802.1w)

Per un documento più specifico sulla risoluzione dei problemi STP sugli switch Catalyst con software Cisco IOS, consultare il documento sulla risoluzione dei problemi STP sugli switch Catalyst.

Errore dello Spanning Tree Protocol

La funzione primaria dell'algoritmo STA (Spanning Tree Algorithm) è quella di eliminare i loop creati dai collegamenti ridondanti nelle reti bridge. L'STP opera al livello 2 del modello OSI (Open System Interconnection). Tramite unità dati di protocollo bridge (BPDU) scambiate tra bridge, l'STP elegge le porte che inoltrano o bloccano il traffico. Questo protocollo può fallire in alcuni casi specifici e risolvere la situazione che può risultare molto difficile, che dipende dalla progettazione della rete. In questa particolare area, è necessario eseguire la parte più importante del processo di risoluzione dei problemi prima che si verifichi il problema.

Un errore a livello di STA generalmente determina un bridging loop. La maggior parte dei clienti che chiamano il supporto tecnico Cisco per problemi di spanning tree sospetta un bug, ma raramente questa è la causa. Anche se il problema è il software, un loop di bridging in un ambiente STP continua a provenire da una porta che può bloccare, ma inoltra il traffico.

Convergenza dello Spanning Tree

Fare riferimento al video sullo Spanning Tree per vedere un esempio che spiega come inizialmente converge. L'esempio spiega anche perché una porta bloccata entra in modalità di inoltro a causa di un'eccessiva perdita di BPDU, con conseguente errore dell'STA.

Questo documento elenca inoltre le varie situazioni che possono causare errori dell'STA. La maggior parte di questi errori si riferisce a una perdita enorme di BPDU. La perdita causa il passaggio delle porte bloccate alla modalità di inoltro.

Mancata corrispondenza del duplex

La mancata corrispondenza duplex su un collegamento point-to-point è un errore di configurazione molto comune. Se si imposta manualmente la modalità duplex su Full su un lato del collegamento e si lascia l'altro lato in modalità di negoziazione automatica, il collegamento termina in modalità half-duplex. (Una porta con modalità duplex impostata su Full non negozia più).

Lo scenario peggiore si ha quando un bridge che invia BPDU ha la modalità duplex impostata su half-duplex su una porta, ma la porta peer sull'altra estremità del collegamento ha la modalità duplex impostata su full-duplex. Nell'esempio precedente, la mancata corrispondenza del duplex sul collegamento tra il ponte A e il ponte B può facilmente portare a un loop di bridging. Poiché il bridge B ha una configurazione full-duplex, non esegue il rilevamento del vettore prima dell'accesso al collegamento. Il ponte B inizia a inviare fotogrammi anche se il ponte A utilizza già il collegamento. Questa situazione è un problema per A; il ponte A rileva una collisione ed esegue l'algoritmo backoff prima che il ponte tenti un'altra trasmissione del frame. Se il traffico da B a A è sufficiente, ogni pacchetto inviato da A, incluse le BPDU, subisce differimento o collisione e alla fine viene eliminato. In termini di STP, poiché il bridge B non riceve più BPDU da A, il bridge B ha perso il bridge root. Questa situazione porta B a sbloccare la porta collegata al bridge C, creando il loop.

In caso di mancata corrispondenza duplex, questo messaggio di errore può essere visualizzato sulle console degli switch Catalyst con software Cat IOS:

Software Cisco IOS

%CDP-4-DUPLEX_MISMATCH: duplex mismatch discovered on FastEthernet5/1 (not half duplex), with TBA05071417(Cat6K-B) 4/1 (half duplex).

Controllare le impostazioni duplex e, se la configurazione duplex non corrisponde, impostarla in modo appropriato.

Per ulteriori informazioni su come risolvere una mancata corrispondenza duplex, consultare il documento sulla configurazione e verifica della negoziazione automatica Ethernet 10/100/1000Mb half/full duplex.

Collegamento unidirezionale

I collegamenti unidirezionali sono una causa comune di bridging loop. Sui collegamenti in fibra ottica, un errore senza rilevamento spesso causa collegamenti unidirezionali. Un'altra causa può essere un problema con un ricetrasmettitore. Tutto ciò che può portare un collegamento a restare in piedi e fornire una comunicazione unidirezionale è molto pericoloso in termini di STP. Ecco un esempio per chiarire:

Qui, supponiamo che il collegamento tra A e B sia unidirezionale. Il collegamento rimuove il traffico da A a B mentre trasmette il traffico da B ad A. Si supponga che il bridge B fosse in stato di blocco prima che il collegamento diventasse unidirezionale. Tuttavia, una porta può bloccare solo se riceve BPDU da un bridge con una priorità più alta. Poiché, in questo caso, tutte le BPDU provenienti da A sono perse, il bridge B alla fine fa passare la sua porta verso A allo stato di inoltro e inoltra il traffico. Questo si ripete ciclicamente. Se questo errore si verifica all'avvio, il protocollo STP non converge correttamente. In caso di mancata corrispondenza del duplex, il riavvio aiuta temporaneamente; in questo caso, tuttavia, il riavvio dei bridge non ha assolutamente alcun effetto.

Per rilevare i collegamenti unidirezionali prima della creazione del loop di inoltro, Cisco ha progettato e implementato il protocollo UDLD (UniDirectional Link Detection). Questa funzione può rilevare cavi o collegamenti unidirezionali errati sul layer 2 e interrompere automaticamente i loop risultanti disabilitando alcune porte. Eseguire l'UDLD ove possibile in un ambiente con bridge.

Per ulteriori informazioni sull'uso del protocollo UDLD, consultare il documento relativo alla configurazione della funzione di protocollo UDLD.

Danneggiamento del pacchetto

Il danneggiamento del pacchetto può determinare lo stesso tipo di errore. Se un collegamento presenta un alto tasso di errori fisici, è possibile perdere un certo numero di BPDU consecutive. Tale perdita può far sì che una porta di blocco passi allo stato di inoltro. Questo caso non è molto frequente perché i parametri STP predefiniti sono molto conservativi. La porta di blocco deve perdere BPDU per 50 secondi prima di passare allo stato di inoltro. La trasmissione di una singola BPDU interrompe il ciclo. Questa situazione si verifica in genere in caso di regolazione non accurata dei parametri STP. Un esempio di regolazione è la riduzione max-age.

La mancata corrispondenza del duplex, cavi danneggiati o di lunghezza inadatta possono danneggiare i pacchetti. Per una spiegazione dell'output del contatore degli errori del software Cisco IOS, consultare il documento sulla risoluzione dei problemi relativi alle porte e alle interfacce dello switch.

Errori delle risorse

L'STP è implementato nel software, anche su switch di fascia alta che svolgono la maggior parte delle funzioni di switching in hardware con ASIC (Specialized Application-Specific Integrated Circuit). In caso di sovrautilizzo della CPU del bridge, le risorse possono essere inadeguate per la trasmissione di BPDU. L'STA generalmente non è ad alta intensità di processore e ha priorità su altri processi. La sezione Ricerca di errori delle risorse di questo documento fornisce alcune linee guida sul numero di istanze STP che una particolare piattaforma può gestire.

Errore di configurazione PortFast

PortFast è una funzionalità solitamente abilitata solo per una porta o un'interfaccia che si connette a un host. Quando il collegamento arriva su questa porta, il bridge salta le prime fasi dell'STA e passa direttamente alla modalità di inoltro.

Attenzione: non usare la funzione PortFast sulle porte o sulle interfacce dello switch che si connettono ad altri switch, hub o router. In caso contrario, è possibile creare un loop di rete.

In questo esempio, il dispositivo A è un bridge con la porta p1 in fase di inoltro. La porta p2 ha una configurazione PortFast. Il dispositivo B è un hub. Non appena si collega il secondo cavo alla porta A, la porta p2 passa alla modalità di inoltro e crea un loop tra p1 e p2. Questo loop si arresta non appena p1 o p2 riceve una BPDU che mette una di queste due porte in modalità di blocco. Tuttavia questo tipo di ciclo transitorio è problematico. Se il traffico in loop è molto intenso, il bridge può avere problemi a trasmettere correttamente la BPDU che arresta il loop. Questo può ritardare notevolmente la convergenza o, in casi estremi, far crollare la rete.

Per ulteriori informazioni sull'uso corretto di PortFast sugli switch con software Cisco IOS, consultare il documento relativo all'uso di PortFast e di altri comandi per risolvere i ritardi della connettività di avvio della workstation.

Con la configurazione PortFast, la porta o l'interfaccia partecipa all'STP. Se uno switch con una priorità di bridge inferiore a quella del root bridge attivo si collega a una porta o un'interfaccia configurata con PortFast, può essere scelto come bridge di root. Questa modifica del root bridge può influire negativamente sulla topologia dell'STP attivo e rendere la rete non ottimale. Per prevenire questa situazione, la maggior parte degli switch Catalyst con software Cisco IOS dispone di una funzione con il nome BPDU Guard. BPDU Guard disabilita una porta o un'interfaccia configurata con PortFast se la porta o l'interfaccia riceve una BPDU.

Per ulteriori informazioni sull'uso della funzione BPDU Guard sugli switch con software Cisco IOS, consultare il documento sui miglioramenti della funzionalità Spanning Tree PortFast BPDU Guard.

Problemi di regolazione dei parametri STP e di diametro

Un valore aggressivo del parametro max-age e il ritardo di trasmissione possono determinare una topologia STP molto instabile. In questi casi, la perdita di alcune BPDU può determinare un loop. Un altro problema poco noto riguarda il diametro della rete di bridge. I valori predefiniti conservativi per i timer STP impongono un diametro di rete massimo di sette. Questo diametro massimo della rete limita la distanza tra i bridge della rete. In questo caso, due bridge distinti non possono essere distanti più di sette hop l'uno dall'altro. Parte di questa limitazione deriva dal campo age delle BPDU.

Quando una BPDU si propaga dal bridge root verso le ramificazioni della struttura ad albero, il campo age aumenta ogni volta che la BPDU passa attraverso un bridge. Quando il campo age supera il limite massimo, il bridge elimina la BPDU. Se il root è troppo lontano da alcuni bridge di rete, può verificarsi questo problema. Questo problema riguarda la convergenza dello spanning tree.

Prestare particolare attenzione se si prevede di modificare i timer STP rispetto al valore predefinito. C'è pericolo se si cerca di ottenere una riconvergenza più veloce in questo modo. Una modifica del timer STP influisce sul diametro della rete e sulla stabilità dell'STP. È possibile modificare la priorità del bridge per selezionare il root bridge e modificare il costo della porta o il parametro di priorità per controllare la ridondanza e il bilanciamento del carico.

Il software Cisco Catalyst offre macro che consentono di ottimizzare i principali parametri STP:

• La radice del numero di vlan dello spanning-tree { primary | secondario } diminuisce la priorità del bridge in modo che diventi root (o root alternativo). Per questo comando è disponibile un'opzione aggiuntiva che consente di ottimizzare i timer STP specificando il diametro della rete. Anche se eseguita correttamente, la regolazione del timer non migliora in modo significativo il tempo di convergenza e introduce alcuni rischi di instabilità della rete. Inoltre, questo tipo di ottimizzazione deve essere aggiornata ogniqualvolta un dispositivo viene aggiunto alla rete. Mantenere i valori predefiniti conservativi, che sono familiari ai tecnici di rete.

• Il comando spanning-tree uplinkfast per il software Cisco IOS aumenta la priorità dello switch in modo che non possa essere root. Il comando aumenta il tempo di convergenza STP in caso di errore di uplink. Utilizzare questo comando su uno switch di distribuzione con connessione doppia ad alcuni switch core. Fare riferimento al documento Descrizione e configurazione della funzionalità Cisco UplinkFast.

• Il comando spanning-tree backboneFast per il software Cisco IOS può aumentare il tempo di convergenza STP dello switch in caso di errore di collegamento indiretto. BackboneFast è una funzionalità proprietaria di Cisco. Fare riferimento al documento sulla descrizione e configurazione della backbone Fast sugli switch Catalyst.

Per ulteriori informazioni sui timer STP e sulle regole per regolarli quando assolutamente necessario, consultare il documento Comprendere e regolare i timer del protocollo Spanning Tree.

Errori del software

Come indicato nell'Introduzione, l'STP è una delle prime funzionalità implementate nei prodotti Cisco. Questa funzionalità è molto stabile. Solo l'interazione con le funzionalità più recenti, come EtherChannel, ha causato errori STP in alcuni casi molto specifici che sono stati risolti. Fattori diversi possono causare un bug del software e avere diversi effetti. Non è possibile descrivere adeguatamente i problemi che un bug può causare. La situazione più pericolosa che può verificarsi a causa di errori software è se si ignorano alcune BPDU o se si ha una transizione della porta di blocco verso l'inoltro.

Risoluzione di un errore

Purtroppo, non esiste una procedura sistematica per risolvere un problema STP. Tuttavia, questa sezione riassume alcune delle azioni disponibili. La maggior parte dei passaggi di questa sezione riguarda la risoluzione dei problemi dei bridging loop in generale. È possibile utilizzare un approccio più tradizionale per identificare altri errori dell'STP che comportano una perdita di connettività. Ad esempio, è possibile esplorare il percorso seguito dal traffico su cui si verifica un problema.

Nota: la maggior parte di questi passaggi per la risoluzione dei problemi presuppone una connettività ai diversi dispositivi della rete bridge. Questa connettività indica l'accesso alla console. Durante un ciclo di bridging, ad esempio, probabilmente non è possibile stabilire una connessione remota.

se il dispositivo Cisco restituisce i risultati di un show tech-support comando, è possibile usare Cisco CLI Analyzer.

Nota: solo gli utenti Cisco registrati hanno accesso agli strumenti e alle informazioni interni di Cisco.

Uso del diagramma della rete

Prima di risolvere un bridging loop, è necessario conoscere almeno questi elementi:

• Topologia della rete bridge

• Posizione del bridge root

• Posizione delle porte bloccate e dei collegamenti ridondanti

Queste informazioni sono essenziali per almeno questi due motivi:

• Per sapere che cosa risolvere in una rete, è necessario sapere com'è la rete quando funziona correttamente.

• La maggior parte delle procedure per la risoluzione dei problemi si basa sull'utilizzo di show comandi che consentono di identificare le condizioni di errore. La conoscenza della rete consente di concentrarsi sulle porte critiche dei principali dispositivi.

Identificazione di un bridging loop

In passato, una tempesta di trasmissione poteva avere un effetto disastroso sulla rete. Oggi, con i collegamenti ad alta velocità e i dispositivi che forniscono lo switching a livello di hardware, è improbabile che un singolo host, ad esempio un server, interrompa una rete durante le trasmissioni. Il modo migliore per identificare un bridging loop è acquisire il traffico su un collegamento saturo e controllare che vengano visualizzati più volte pacchetti simili. Realisticamente, tuttavia, se tutti gli utenti in un determinato dominio di bridge hanno problemi di connettività allo stesso tempo, si può già sospettare un bridging loop.

Controllare l'utilizzo della porta sui dispositivi e cercare valori anomali. Fare riferimento alla sezione Controlla utilizzo porta di questo documento.

Rapido ripristino della connettività e riallestimento

Disabilitazione delle porte per interrompere il loop

Il bridging loop ha conseguenze estremamente gravi su una rete bridge. In genere, gli amministratori non hanno il tempo di cercare la causa del loop e preferiscono ripristinare la connettività il prima possibile. In questo caso, la soluzione più semplice è disabilitare manualmente tutte le porte che forniscono ridondanza nella rete. Se è possibile identificare una parte della rete più colpita, iniziare a disabilitare le porte in quell'area. Oppure, se possibile, disattivare inizialmente le porte che possono essere bloccate. Ogni volta che si disattiva una porta, verificare se è stata ripristinata la connettività nella rete. Identificando la porta disabilitata che arresta il loop, è possibile identificare anche il percorso ridondante in cui si trova la porta. Se la porta è stata bloccata, probabilmente è stato trovato il collegamento in cui si è verificato l'errore.

Registrazione di eventi STP su dispositivi che ospitano porte bloccate

Se non è possibile identificare con precisione l'origine del problema o se il problema è transitorio, abilitare la registrazione degli eventi STP sui bridge e sugli switch della rete su cui si verifica l'errore. Se si desidera limitare il numero di dispositivi da configurare, abilitare almeno questa funzionalità di accesso ai dispositivi che ospitano porte bloccate. La transizione di una porta bloccata è ciò che crea un loop.

• Software Cisco IOS: eseguire il comando exec debug spanning-tree events per abilitare le informazioni di debug STP. Eseguire il comando general config mode logging buffered per acquisire le informazioni di debug nei buffer del dispositivo.

È inoltre possibile provare a inviare l'output di debug a un dispositivo syslog. Purtroppo, quando si verifica un bridging loop, raramente si mantiene la connettività a un server syslog.

Controllo delle porte

Le porte critiche da analizzare per prime sono le porte di blocco. In questa sezione viene fornito un elenco delle operazioni da cercare sulle diverse porte, con una breve descrizione dei comandi da eseguire sugli switch con software Cisco IOS.

Verificare che le porte bloccate ricevano le BPDU

Soprattutto sulle porte bloccate e root, verificare periodicamente di ricevere le BPDU. Vari problemi possono determinare errori di ricezione di pacchetti o BPDU nelle porte.

• Software Cisco IOS-Nel software Cisco IOS versione 12.0 o successive, l'output del show spanning-tree vlan <vlan-id> detail comando ha un campo BPDU. Il campo mostra il numero di BPDU ricevute per ogni interfaccia. Utilizzare il comando una o due volte in più per determinare se il dispositivo riceve le BPDU. In alternativa è possibile abilitare il debug STP con il comando debug spanning-tree bpdu per verificare la ricezione di BPDU.

Verificare l'eventuale mancata corrispondenza duplex

Per cercare una mancata corrispondenza duplex, è necessario controllare ogni lato del collegamento point-to-point.

• Software Cisco IOS: eseguire il show interfaces [interface-number] status comando per controllare la velocità e lo stato duplex della porta specifica.

Controllare l'utilizzo delle porte

Un'interfaccia con sovraccarico di traffico può non riuscire a trasmettere le BPDU vitali. Un sovraccarico del collegamento indica anche un possibile bridging loop.

• Software Cisco IOS: utilizzare il comando show interfaces per determinare l'utilizzo di un'interfaccia. In questo campo sono disponibili diversi campi, ad esempio load (carico) e packets input/output (ingresso/uscita pacchetti). Per una descrizione dell'output del show interfaces comando, consultare il documento sulla risoluzione dei problemi relativi alle porte e alle interfacce dello switch.

Verifica del danneggiamento dei pacchetti

• Software Cisco IOS: cercare gli incrementi degli errori nel contatore degli errori di input del show interfaces comando. I contatori di errori sono runts, giant, no buffer, CRC, frame, overrun e ignored counts.

  Per una spiegazione dei problemi relativi alle porte e alle interfacce dello switch, consultare il documento sulla risoluzione dei problemi relativi alle porte e alle interfacce dello switch show interfaces command output.

Ricerca di errori delle risorse

Un utilizzo elevato della CPU può essere pericoloso per un sistema che esegue lo STA. Utilizzare questo metodo per verificare che la risorsa CPU di un dispositivo sia adeguata:

• Software Cisco IOS: immettere il comando show processes cpu. Verificare che l'utilizzo della CPU non sia troppo elevato.

Esiste una limitazione al numero di diverse istanze di STP che un Supervisor Engine può gestire. Assicurarsi che il numero totale di porte logiche in tutte le istanze di STP per VLAN diverse non superi il numero massimo supportato per ogni tipo di motore Supervisor e configurazione di memoria.

Eseguire il show spanning-tree summary totals comando per gli switch per visualizzare il numero di porte logiche o interfacce per VLAN nella colonna STP Active. Il totale viene visualizzato nella parte inferiore di questa colonna. Il totale rappresenta la somma di tutte le porte logiche su tutte le istanze di STP per le diverse VLAN. Accertarsi che questo numero non superi il numero massimo supportato per ciascun tipo di Supervisor Engine.

Nota: la formula per calcolare la somma delle porte logiche sullo switch è:

(number of non-ATM trunks * number of active Vlans on that trunk)
+ 2*(number of ATM trunks * number of active Vlans on that trunk)
+ number of non-trunking ports