Risoluzione dei problemi relativi al traffico multicast che non passa attraverso il firewall FTD con configurazione PIM Bidir
Sommario
Problema
Si manifestano tutti i seguenti sintomi:
Il traffico multicast ha smesso di funzionare su Firewall Threat Defense (FTD) per un gruppo multicast specifico.
Non ci sono route multicast (route) nell'FTD per il gruppo (nell'esempio 224.2.2.2).
device# show mroute 224.2.2.2
No mroute entries found.
device#
Ambiente
Visualizzato per la prima volta nella versione 7.4. Il problema può riguardare anche altre versioni software, tra cui Adaptive Security Appliance (ASA).
PIM (Bidirectional Protocol Independent Multicast) abilitato sul firewall.
Topologia
inline_image_0.png
Risoluzione
Passaggio 1: Controllare la configurazione multicast corrente.
Esaminare la configurazione del routing multicast esistente su tutti i dispositivi nel percorso di rete per identificare eventuali configurazioni errate o impostazioni mancanti che potrebbero impedire al traffico multicast di attraversare il firewall.
Sul firewall è presente una configurazione PIM bidirezionale:
device# show run pim
pim rp-address 192.0.2.100 bidir
Passaggio 2: Verificare i vicini PIM.
Verificare che i router adiacenti multicast siano visualizzati correttamente sul firewall:
device# show pim neighbor
Neighbor Address Interface Uptime Expires DR pri Bidir
10.0.200.151 INSIDE 19:13:30 00:01:24 1 (DR)
10.0.201.200 OUTSIDE 00:01:31 00:01:42 1 (DR) B
Nell'output si noti che il router adiacente 10.0.201.200 ha il flag Bidir B, mentre il router adiacente 10.0.200.151 non lo ha.
Passaggio 3: Abilita debug PIM per il gruppo multicast 24.2.2.2:
FPR3100-14# debug pim group 224.2.2.2
IPv4 PIM group debugging is on
for group 224.2.2.2
Il debug mostra che è presente un pacchetto di aggiunta/eliminazione PIM che viene scartato a causa della mancata scelta di un file df bidir:
IPv4 PIM: J/P entry: Join root: 192.0.2.100 group: 224.2.2.2 flags: RPT WC S
IPv4 PIM: (*,224.2.2.2) J/P with RP 192.0.2.100 on INSIDE discarded, no bidir df election-state on this intf
Passaggio 4: Abilita le acquisizioni PIM verso la risorsa adiacente PIM 10.0.200.151. L'obiettivo è ottenere una maggiore visibilità sul contenuto del pacchetto:
device# capture CAPI interface INSIDE trace match pim host 10.0.200.151 any
Passaggio 5: Raccogli l'acquisizione del firewall dal dispositivo FTD:
device# copy /pcap capture:CAPI CAPI.pcap
Source capture name [CAPI]?
Destination filename [CAPI.pcap]?
%Warning:There is a file already existing with this name
Do you want to over write? [confirm]
!
28 packets copied in 0.0 secs
Raccogliere il file pcap da FMC seguendo la procedura descritta all'indirizzo https://www.cisco.com/c/en/us/support/docs/security/firepower-ngfw/212474-working-with-firepower-threat-defense-f.html
Passaggio 6: Analisi delle acquisizioni.
Il pacchetto PIM Hello contiene queste opzioni:
PIM_Hello_Options_no-bidir-capabilities.png
Si noti l'assenza del flag Bidir.
Passaggio 7: Abilitare il PIM bidirezionale sulla porta adiacente 10.0.200.151.
A questo punto, il flag PIM Bidir B viene visualizzato per entrambi i vicini:
device# show pim neighbor
Neighbor Address Interface Uptime Expires DR pri Bidir
10.0.200.151 INSIDE 19:34:26 00:01:38 1 (DR) B
10.0.201.200 OUTSIDE 00:22:27 00:01:23 1 (DR) B
Passaggio 8: Raccogliere una nuova acquisizione e controllare le opzioni di PIM Hello per il router adiacente 10.0.200.151. Viene visualizzata l'opzione PIM 22 (capacità bidirezionale):
PIM_Hello_Options_option2.png
Passaggio 9: Verificare che il percorso per il gruppo multicast 24.2.2.2 sia visualizzato:
device# show mroute
Multicast Routing Table
Flags: D - Dense, S - Sparse, B - Bidir Group, s - SSM Group,
C - Connected, L - Local, I - Received Source Specific Host Report,
P - Pruned, R - RP-bit set, F - Register flag, T - SPT-bit set,
J - Join SPT
Timers: Uptime/Expires
Interface state: Interface, State
(*, 224.0.1.40), 19:41:44/never, RP 0.0.0.0, flags: DPC
Incoming interface: Null
RPF nbr: 0.0.0.0
Immediate Outgoing interface list:
INSIDE, Null, 19:41:44/never
(*, 224.2.2.2), 00:06:29/00:02:53, RP 192.0.2.100, flags: B
Bidir-Upstream: OUTSIDE
RPF nbr: 10.0.201.200
Immediate Outgoing interface list:
INSIDE, Forward, 00:06:29/00:02:53
Causa
L'errore relativo al traffico multicast è stato causato da una configurazione PIM multicast e bidirezionale errata o incompleta nel dispositivo di rete adiacente. A causa del problema di configurazione specifico, FTD ha eliminato il messaggio di aggiunta/eliminazione PIM per il gruppo multicast specifico. Di conseguenza, il firewall non è in grado di creare il percorso per il traffico multicast. Affinché il traffico di dati multicast passi attraverso il piano dati del firewall, il control plane (PIM) deve stabilire il percorso corretto.
Causa.png
Contenuto correlato
Cronologia delle revisioni
| Revisione | Data di pubblicazione | Commenti |
|---|---|---|
1.0 |
27-Apr-2026
|
Versione iniziale |
Feedback