内容

概要

前提条件

要件

使用するコンポーネント

FANソリューションのZTDプロセスに従ったトラブルシューティング手順

フィールドエリアルータ(FAR)の製造設定

SCEP登録

トンネルプロビジョニング

FARは、ポート9120でHTTPSによるトンネルプロビジョニング要求を使用してTPSに接続します

トンネルがHERとFARの間に確立された後のログと、今後FARがHERと直接通信できるログ

デバイス登録

ステップ1：デバイス登録の準備をする

ステップ2:CG-NMSがデバイス登録要求を受信する

関連情報

概要

このドキュメントでは、Connected Gridルータ(CGR)とField Network Director(FND)で構成されるフィールドエリアネットワーク(FAN)ソリューションのゼロタッチ導入(ZTD)で一般的な問題をトラブルシューティングする方法について説明します。

前提条件

要件

このドキュメントに特有の要件はありません。

使用するコンポーネント

このドキュメントの情報は、CGRによるZTDの導入に基づいています。

コンポーネントとしてCGR(CGR1120/CGR1240)、FND、Tunnel Provisioning Server(TPS)、Registration Authority(RA)、Certificate Authority(CA)、Domain Name Server(DNS)が含まれます。  CG-NMSは以前のバージョンのFNDであるため、FNDとCisco Connected Grid Network Management System(CG-NMS)は互換性があります。

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。対象のネットワークが実稼働中である場合には、どのようなコマンドについても、その潜在的な影響について確実に理解しておく必要があります。

FANソリューションのZTDプロセスに従ったトラブルシューティング手順

フィールドエリアルータ(FAR)の製造設定

この製造構成から始まるすべてが、このステップが導入を成功させる鍵となります。

この設定は、最初の2つのフェーズをトリガーします。Simple Certificate Enrollment Protocol(SCEP)およびトンネルプロビジョニング。

テストの成功は、製造構成を持つFARを導入し、ZTDプロセスを経て、介入なしで最終的にCG-NMSに登録できます。

容疑者：

- FARとCG-NMSの間のクレデンシャルが一致しません。

- トンネルプロビジョニングのConnected Grid NMS Agent(CGNA)URLが正しくない（httpではなくhttpsであることを確認してください）。

- TPS完全修飾ドメイン名(FQDN)を解決するためにドメインネームサーバ(DNS)が正しく設定されていません。

これら2つのフェーズのトラブルシューティングを行う際に、製造構成を更新する必要がある場合は、次の手順に従ってください。

- HE（物理的または論理的）とのFAR接続をブロックする

- FARをexpress-setup-configにロールバックします

- 変更の適用

- 新しいexpress-setup-configファイルを作成します

- nvramに設定を保存します

- FARがZTDプロセスを再びトリガーできるように、接続を復元します

SCEP登録

このフェーズの目標は、FARがローカルデバイスID(LDevID)証明書をRSA公開キーインフラストラクチャ(PKI)から受信し、認証後に証明書を取得することを許可することです。このステップは、FARがTPSと通信し、HERとのIPSecトンネルを確立するために証明書を必要とする次のステップに必要です。

関連するコンポーネントは次のとおりです。FAR、RA、SCEPサーバ、RADIUSサーバ、およびそのDB。

tm_ztd_scep.tclというTool Command Language(TCL)スクリプトが自動的にSCEPプロセスを開始し、登録が成功するまで試行を続けます。

手順

関連コンポーネント

トラブルシューティングのガイドライン

便利なコマンド

イベントマネージャがtm_ztd_scep.tclスクリプトを開始

FAR

- イベントマネージャの設定の確認

- スクリプトで使用される環境変数の設定を確認します

deb event manager tclコマンドは、スクリプトによって適用されるすべてのCLIコマンドを強調表示します

RA FQDN解決

FAR、DNS

- FARとDNSの間の接続を確認します

- この名前を解決するには、DNSレコードを確認します

- FAR登録プロファイル設定を確認します

FAR

FARがRAにSCEP要求を送信

ラ・ファール

- RAとFARの間の接続をチェックします。

- RA設定を確認します。PKIサーバが起動している必要があります

debug crypto pki transactions

debug crypto provisioning

PKI認可

RA、RADIUS

- RAとRADIUSサーバ間の接続を確認します。

- RA PKI許可設定を確認します

- Radiusサーバ設定の確認

debug crypto pki scep

debug crypto pki transactions

debug crypto pki server

debug crypto provisioning

FAR証明書発行

RA、発行者CA

- RAと発行者CA間の接続を確認します

RA:debug crypto pki

発行者CAがIOS-CAである場合は、同じdebugコマンドも使用できます

トンネルプロビジョニング

このフェーズの時点で、FARは（CG-NMSの代理として）TPSと通信し、CG-NMSからトンネル設定を取得します。このフェーズは、CGNAプロファイルをアクティブ化して登録が完了すると、SCEP tclスクリプトによって開始されます。

関連するコンポーネントは次のとおりです。FAR、DNS、TPS、CG-NMS

手順

関連コンポーネント

トラブルシューティングガイドライン

便利なコマンド

CGNAプロファイルをアクティブにするTCLスクリプト

FAR

適切なプロファイルがZTD_SCEP_CGNA_Profile環境変数に設定されていることを確認します

プロファイルがアクティブであることを確認するには、「show cgna profile-all」

CGNAプロファイルがTPS FQDNを解決

FAR、DNS

- DNSとFARの間の接続を確認する

- この名前を解決するには、DNSレコードを確認します

- CGNA URLのTPS FQDN設定を確認します

FAR:ping TPS FQDN

CGNAプロファイルは、TPSとのHTTPSセッションを確立します

FAR、TPS

- TPSサービスが実行中であることを確認します

- TPSキーストアファイルの確認

- TPSがCGRからTPSパケットを受信することを確認します

- CGNAプロファイル設定の確認

TPSログファイルは、/opt/cgms-tpsproxy/log/tpsproxy.logにあります。

TPSがトンネル要求をCG-NMSに転送

TPS、CG-NMS

- TPSおよびCG-NMSプロパティの確認

- TPSとCG-NMS間の接続を確認する

- TPSおよびCG-NMSログのチェック

FNDログファイルは：cd /opt/cgms/server/cgms/logにあります。

FARは、ポート9120でHTTPSによるトンネルプロビジョニング要求を使用してTPSに接続します

4351: iok-tps: Jul 13 2016 14:46:12.328 +0000: %CGMS-6-UNSPECIFIED: %[ch=1c3d5104]

[eid=IR809G-LTE-NA-K9+JMX2007X00Z][ip=192.168.1.1][sev=INFO][tid=qtp756319399-23]:

Inbound proxy request from [192.168.1.1] with client certificate subject

[SERIALNUMBER=PID:IR809G-LTE-NA-K9 SN:JMX2007X00Z, CN=IR800_JMX2007X00Z.cisco.com]

4352: iok-tps: Jul 13 2016 14:46:12.382 +0000: %CGMS-6-UNSPECIFIED: %[ch=1c3d5104]

[eid=IR809G-LTE-NA-K9+JMX2007X00Z][ip=192.168.1.1][sev=INFO][tid=qtp756319399-23]:

Completed inbound proxy request from [192.168.1.1] with client certificate subject

[SERIALNUMBER=PID:IR809G-LTE-NA-K9 SN:JMX2007X00Z, CN=IR800_JMX2007X00Z.cisco.com]

トンネルがHERとFARの間に確立された後のログと、今後FARがHERと直接通信できるログ

4351: iok-tps: Jul 13 2016 14:46:12.328 +0000: %CGMS-6-UNSPECIFIED: %[ch=1c3d5104]

[eid=IR809G-LTE-NA-K9+JMX2007X00Z][ip=192.168.1.1][sev=INFO][tid=qtp756319399-23]:

Inbound proxy request from [192.168.1.1] with client certificate subject [SERIALNUMBER=PID:

IR809G-LTE-NA-K9 SN:JMX2007X00Z, CN=IR800_JMX2007X00Z.cisco.com]

4352: iok-tps: Jul 13 2016 14:46:12.382 +0000: %CGMS-6-UNSPECIFIED:

%[ch=1c3d5104][eid=IR809G-LTE-NA-K9+JMX2007X00Z][ip=192.168.1.1][sev=INFO][tid=qtp756319399-23]:

Completed inbound proxy request from [192.168.1.1] with client certificate subject [SERIALN

UMBER=PID:IR809G-LTE-NA-K9 SN:JMX2007X00Z, CN=IR800_JMX2007X00Z.cisco.com]

4353: iok-tps: Jul 13 2016 14:46:12.425 +0000: %CGMS-6-UNSPECIFIED:

%[ch=TpsProxyOutboundHandler][ip=192.168.1.1][sev=INFO][tid=qtp687776794-16]:

Outbound proxy request from [192.168.1.2] to [192.168.1.1]

4354: iok-tps: Jul 13 2016 14:46:14.176 +0000: %CGMS-6-UNSPECIFIED:

%[ch=TpsProxyOutboundHandler][ip=10.10.10.61][sev=INFO][tid=qtp687776794-16]:

Outbound proxy request from [192.168.1.2] to [192.168.1.1

デバイス登録

ステップ1：デバイス登録の準備をする

CG-NMSは、CGNAプロファイルcg-nms-registerの設定をプッシュします。インターバルタイマーが期限切れになるまで待たずに、プロファイルがすぐに実行されるように、追加のコマンドが追加されます。

CG-NMSはCGNAプロファイルcg-nms-tunnelを非アクティブにします。この時点でトンネルプロビジョニングが完了していると見なされます。

ステップ2:CG-NMSがデバイス登録要求を受信する

- FARがDBでプロビジョニングされていることを確認します

- cg-nms.odmおよびcg-nms-scripts.tclファイルがFARフラッシュに存在しないか、新しいバージョンに更新する必要があるかどうかを確認します。必要に応じて、CG-NMSによって自動的にアップロードされます。

- FARの現在の設定のキャプチャ

- 要求に含まれるすべてのshowコマンド出力を処理します。必要に応じて、足りない項目を求めます。このリストは、FARハードウェア設定によって異なる場合があります。

ネットワーク内でのゼロタッチ導入の実装の詳細については、シスコパートナーまたはシスコシステムエンジニアにお問い合わせください。

ルータのexpress-setup-configについては、パートナーまたはシスコのシステムエンジニアにお問い合わせください。

関連情報

- http://www.cisco.com/c/en/us/td/docs/routers/connectedgrid/cgr1000/1_0/software/configuration/guide/security/security_Book/sec_ztdv4_cgr1000.html

- テクニカル サポートとドキュメント – Cisco Systems