Risoluzione dei problemi relativi all'errore di indirizzo APIPA nella rete

• I computer utente ricevono l'indirizzo IP APIPA e la connettività dell'utente è compromessa.

Sintomi del problema

1. Gli utenti di una VLAN specifica riscontrano problemi intermittenti quando ricevono un indirizzo IP APIPA e perdono la connettività alla rete.
2. I firewall dispongono di più voci ARP per un singolo indirizzo MAC dell'utente finale, ad esempio:

Firewall/pri/act# show arp | include abcd.abcd.abcd
inside 10.1.1.12 abcd.abcd.abcd 30 
inside 10.1.1.13 abcd.abcd.abcd 40 
inside 10.1.1.14 abcd.abcd.abcd 51 
inside 10.1.1.15 abcd.abcd.abcd 53

Procedura di risoluzione dei problemi

1. I debug sul firewall puntano al firewall che invia la risposta all'sonda ARP degli utenti finali.

DHCPD/RA: creating ARP entry (10.1.1.12, abcd.abcd.abcd). 
DHCPRA: Adding rule to allow client to respond using offered address 10.1.1.12

In questo modo il dispositivo terminale considera l'indirizzo duplicato. 

2. Acquisizioni sul dispositivo terminale o sul firewall

Acquisisce e mostra il dispositivo terminale che invia i pacchetti DHCP Rifiuta una volta completato il processo DORA.

Isolare

• L'interfaccia interna del firewall risponde alla sonda ARP come proxy una volta completato il processo DORA. In questo modo il PC rifiuta l'invio di DHCP. 

Piano d'azione

• Disabilitare l'arp proxy sull'interfaccia interna del firewall utilizzando il comando "sysopt noproxyarp inside"

Risoluzione/verifica

• I dispositivi terminali ricevono l'indirizzo IP dopo aver disattivato il proxy-arp.

• 

  Nota: accertarsi che nessun dispositivo agisca come proxy o invii una risposta per le sonde ARP dell'utente finale.

Descrizione del problema:

• I computer utente ricevono l'indirizzo IP APIPA e la connettività dell'utente è compromessa.

Sintomi utente

1. Alcuni utenti di una VLAN specifica non sono in grado di ottenere gli indirizzi DHCP tramite il punto di accesso wireless.
2. Il firewall dispone di più voci arp per un unico indirizzo MAC dell'utente finale

Firewall# show arp | i abcd
Inside 10.1.1.22 abcd.abcd.abcd 48
Inside 10.1.1.23 abcd.abcd.abcd 49
Inside 10.1.1.24 abcd.abcd.abcd 50

Risoluzione dei problemi eseguita

• Offerta DHCP scartata dal commutatore
• FTD popola ARP in base all'OFFERTA DHCP restituita dal server DHCP.

***DROP*** Broadcast to Access-Tunnel disallowed (accessTunnelBroadcastDrop)

Isolare

• Se la VLAN solo L2 è configurata per l'installazione wireless SDA, il pacchetto dell'offerta con flag di trasmissione non raggiunge l'access point. Poiché il tunnel di accesso non consente i pacchetti broadcast per impostazione predefinita.

Piano d'azione

• Consentire la "capacità di inondazione" all'interno dell'ambiente LISP.

router lisp 
instance-id 8456 
flood access-tunnel 

Risoluzione/verifica

• Dopo aver configurato `flood access-tunnel` nel C9300 connesso all'interfaccia interna, i client ricevono gli indirizzi DHCP.

Descrizione del problema:

• I computer utente ricevono l'indirizzo IP APIPA e la connettività dell'utente è compromessa.

Sintomi

1. La tabella degli indirizzi Mac mostra le voci con "drop".

#show mac address-table interface gigabitethernet1/0/20           
Mac Address Table 
-------------------------------------------   
Vlan    Mac Address       Type        Ports 
----    -----------       --------    -----   
10    0000.0001.000a    DYNAMIC     Drop

2. La sessione Mostra autenticazione visualizza molte voci, probabilmente superiori a 2000 o anche a 10000.

switch2#show authentication sessions
Gi1/0/1  0000.0001.1234 N/A   UNKNOWN Unauth  0AFF0B8D000000EC000000AF
Gi1/0/1  0000.0001.2345 N/A   UNKNOWN Unauth  0AFF0B8D000000F00016B7D7
Gi1/0/1  0000.0001.3456 N/A   UNKNOWN Unauth  0AFF0B8D0028DE3500000000

Procedura di risoluzione dei problemi

• L'acquisizione dei pacchetti visualizza molti pacchetti in arrivo dal dispositivo terminale con indirizzi MAC di origine diversi.
• Il limite di sessioni di autenticazione è 2000 e, una volta superato il limite, si verificano problemi imprevisti nella rete
• https://www.cisco.com/c/en/us/td/docs/switches/lan/catalyst3650/software/release/16-12/configuration_guide/sec/b_1612_sec_3650_cg/configuring_ieee_802_1x_port_based_authentication.html

Isolare

•  Questa è un'indicazione di un problema dell'adattatore dell'utente finale. Lo switch invia pacchetti in formato non corretto che lo switch riconosce come indirizzi mac di origine casuali.

Piano d'azione

• Configurare "authentication host-mode multi-domain" che consente solo 2 indirizzi mac.
• Identificare e isolare il dispositivo responsabile.

Risoluzione/verifica

• Dopo aver configurato questa soluzione, non si osserverà alcun problema.

• 

  Nota: abilitare la sicurezza della porta o la modalità host della sessione di autenticazione Dot1x a più domini.

Descrizione del problema:

• I computer utente ricevono l'indirizzo IP APIPA e la connettività dell'utente è compromessa.
  

Sintomi utente

1. Il client finale invia una risposta EAP con una lunghezza del pacchetto superiore a (ad esempio, 3736) la lunghezza prevista effettiva del pacchetto, pari a 1492.

Extensible Authentication Protocol
Code: Response (2)
Id: 4
Length: 1492
Type: TLS EAP (EAP-TLS) (13)
• EAP-TLS Flags: 0xc0
..0. .... = Start: False
EAP-TLS Length: 3736

Risoluzione dei problemi eseguita

• L'MTU è impostata su un valore inferiore sullo switch come voce a livello di sistema. (Esempio: 1998 byte)
• Interfaccia in uscita configurata con dimensioni maggiori. (Esempio: 9198byte)

Isolare

• Il problema è causato da una mancata corrispondenza dell'MTU nel percorso.

Piano d'azione

• Modificare l'MTU del sistema a 1500 e ricaricare lo switch

Risoluzione/verifica

• Dopo aver configurato queste impostazioni, l'autenticazione ha esito positivo.

• 

  Nota: accertarsi di abilitare la stessa MTU per tutto il percorso del flusso di pacchetto.

Descrizione del problema:

• I computer utente ricevono l'indirizzo IP APIPA e la connettività dell'utente è compromessa.

Sintomi utente

• Se si dispone di VM in HA, nell'interfaccia viene applicato questo criterio:

criterio di rilevamento dispositivi IPDT_POLICY

nessun protocollo udp

attivazione tracciamento

• Dopo un failover, la risposta ARP viene eliminata dallo switch di accesso.
  

Risoluzione dei problemi eseguita

1. Le risposte ARP alle sonde verrebbero scartate da uno switch.
2. Lo switch è configurato con IPDT Guard.
3. IPDT - Protezione nella caduta della sonda ARP e dispositivo terminale nell'acquisizione di APIPA.