Cisco ASR 1006 またはシングル ESP の ASR 1013 ルータでの暗号エンジン障害

概要

このドキュメントは、Cisco アグリゲーション サービス ルータ（ASR）1006 または ASR 1013 プラットフォームで観察される可能性がある問題を、IPSec 操作を使用して特定し、解決する方法について説明します。これは、Embedded Services Processor（ESP）が 1 つしか設置されておらず、スロット F1 に装着されている場合に発生する可能性があります。

前提条件

要件

このドキュメントに特有の要件はありません。

使用するコンポーネント

このドキュメントの情報は、Cisco 1000 Series ASR 1006 または Cisco ASR 1013 に基づいています。

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。対象のネットワークが実稼働中である場合には、どのようなコマンドについても、その潜在的な影響について確実に理解しておく必要があります。

背景説明

Cisco 1000 Series ASR ポートフォリオには、ASR 1006 と ASR 1013 の 2 つのモデルが含まれています。 各モデルには、冗長性ルート プロセッサ（RP）と ESP が搭載されています。 一般に、単一の ESP が Cisco ASR 1006 および Cisco ASR 1013 のスロット F0 または F1 のいずれかに設置されます。制限はありません。同じ前提が RP スロットにも当てはまります。

スロットの番号付けについては、『Cisco ASR 1006』および『Cisco ASR 1013』インストール ガイドを参照してください。

問題

デバイスの電源を再投入した後、暗号化エンジンの初期化に失敗します。ESPがスロットF1に装着され、スロットF0に実行中のESPがない場合、次の製品で問題が発生します。

Hardware:

• デュアル ESP Cisco ASR 1000 モデル： ASR1006 または ASR1013。

ソフトウェア：

• Cisco IOS^{® XE リリース 3.7.xS トレインの場合：} バージョン 3.7.3S 以前、3.7.4S 以降では、影響はありません。
• それ以降の Cisco IOS XE トレインの場合： バージョン 3.9.1S 以前、3.9.2S 以降では、影響はありません。

問題の症状には、次のものがあります。

• ログに、次のエラーメッセージが表示されます。

  ISAKMP: Unable to find a crypto engine to allocate IKE SA

• show crypto eli および show crypto ace slot <number> status コマンドからの出力は、暗号化エンジンが非アクティブであることを示しています。

  ASR1006#show crypto eli 
  Hardware Encryption: INACTIVE 
   Number of hardware crypto engines = 1 
  
   CryptoEngine IOSXE-ESP(14) details: state = Initializing
   Capability    : DES, 3DES, AES, GCM, GMAC, RSA, IPv6, GDOI, FAILCLOSE
   IKE-Session   :     0 active, 12287 max, 0 failed 
   DH            :     0 active, 12287 max, 0 failed 
   IPSec-Session :     0 active, 32766 max, 0 failed
  
  
  ASR1006#show crypto ace slot 14 stat | inc status
  
  ACE status: OFFLINE

この問題は、次のシナリオで発生する可能性があります。

• 単一のESPがスロットF1に挿入され、スロットF0にESPはありません。ルータの電源がオフ/オンされました。
• 2つのESPがありますが、問題が原因で、F0のESPに障害が発生し、F1の1つのESPが残っています。ルータの電源がオフ/オンされました。

ESP の可用性を確認するために、show platform コマンドを入力します。 

例：

    ASR1006#show platform
    Chassis type: ASR1006 

    Slot  Type                State       Insert time (ago) 
    0     ASR1000-SIP10       ok          00:32:04       
    0/0   SPA-8X1GE-V2        ok          00:29:46      
    1     ASR1000-SIP10       ok          00:32:04      
    1/0   SPA-8X1GE-V2        ok          00:29:46
    R1    ASR1000-RP1         ok, active  00:32:04      
    F1    ASR1000-ESP10       ok, active  00:32:04      
    P0    ASR1006-PWR-AC      ok          00:31:12     
    P1    ASR1006-PWR-AC      ok          00:31:11

解決方法

問題は Cisco Bug ID CSCue45131の「sVTI tunnel I/F does not come up after router reboot」によるものです。
このバグは、Cisco IOS XE リリース 3.7.4S および 3.9.2S で修正されています。

問題は Cisco IOS XE リリース 3.10.0S トレインでは発生しません。

最善の解決策は、現在機能しているESPがスロットF0に取り付けられていることを確認することです。そのソリューションが不可能な場合、リモートで適用できる他の回避策は次のとおりです。

• ESP をリロードします。 # hw module slot F1 reload

または

• ルータをリロードします。