内容

概要

前提条件

要件

使用するコンポーネント

背景説明

問題

解決方法

概要

このドキュメントは、Cisco アグリゲーション サービス ルータ（ASR）1006 または ASR 1013 プラットフォームで観察される可能性がある問題を、IPSec 操作を使用して特定し、解決する方法について説明します。これは、Embedded Services Processor（ESP）が 1 つしか設置されておらず、スロット F1 に装着されている場合に発生する可能性があります。

前提条件

要件

このドキュメントに特有の要件はありません。

使用するコンポーネント

このドキュメントの情報は、Cisco 1000 Series ASR 1006 または Cisco ASR 1013 に基づいています。

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。対象のネットワークが実稼働中である場合には、どのようなコマンドについても、その潜在的な影響について確実に理解しておく必要があります。

背景説明

Cisco 1000 Series ASR ポートフォリオには、ASR 1006 と ASR 1013 の 2 つのモデルが含まれています。 各モデルには、冗長性ルート プロセッサ（RP）と ESP が搭載されています。 一般に、単一の ESP が Cisco ASR 1006 および Cisco ASR 1013 のスロット F0 または F1 のいずれかに設置されます。制限はありません。同じ前提が RP スロットにも当てはまります。

スロットの番号付けについては、『Cisco ASR 1006』および『Cisco ASR 1013』インストール ガイドを参照してください。

問題

デバイスの電源を再投入した後、暗号化エンジンの初期化に失敗します。ESPがスロットF1に装着され、スロットF0に実行中のESPがない場合、次の製品で問題が発生します。

Hardware:

- デュアル ESP Cisco ASR 1000 モデル： ASR1006 または ASR1013。

ソフトウェア：

- Cisco IOS® XE リリース 3.7.xS トレインの場合： バージョン 3.7.3S 以前、3.7.4S 以降では、影響はありません。

- それ以降の Cisco IOS XE トレインの場合： バージョン 3.9.1S 以前、3.9.2S 以降では、影響はありません。

問題の症状には、次のものがあります。

- ログに、次のエラーメッセージが表示されます。
ISAKMP: Unable to find a crypto engine to allocate IKE SA

- show crypto eli および show crypto ace slot <number> status コマンドからの出力は、暗号化エンジンが非アクティブであることを示しています。
ASR1006#show crypto eli

Hardware Encryption: INACTIVE

Number of hardware crypto engines = 1

CryptoEngine IOSXE-ESP(14) details: state = Initializing

Capability    : DES, 3DES, AES, GCM, GMAC, RSA, IPv6, GDOI, FAILCLOSE

IKE-Session   :     0 active, 12287 max, 0 failed

DH            :     0 active, 12287 max, 0 failed

IPSec-Session :     0 active, 32766 max, 0 failed

ASR1006#show crypto ace slot 14 stat | inc status

ACE status: OFFLINE

この問題は、次のシナリオで発生する可能性があります。

- 単一のESPがスロットF1に挿入され、スロットF0にESPはありません。ルータの電源がオフ/オンされました。

- 2つのESPがありますが、問題が原因で、F0のESPに障害が発生し、F1の1つのESPが残っています。ルータの電源がオフ/オンされました。

ESP の可用性を確認するために、show platform コマンドを入力します。

例：

ASR1006#show platform

Chassis type: ASR1006

Slot  Type                State       Insert time (ago)

0     ASR1000-SIP10       ok          00:32:04

0/0   SPA-8X1GE-V2        ok          00:29:46

1     ASR1000-SIP10       ok          00:32:04

1/0   SPA-8X1GE-V2        ok          00:29:46

R1    ASR1000-RP1         ok, active  00:32:04

F1    ASR1000-ESP10       ok, active  00:32:04

P0    ASR1006-PWR-AC      ok          00:31:12

P1    ASR1006-PWR-AC      ok          00:31:11

解決方法

問題は Cisco Bug ID CSCue45131の「sVTI tunnel I/F does not come up after router reboot」によるものです。

このバグは、Cisco IOS XE リリース 3.7.4S および 3.9.2S で修正されています。

問題は Cisco IOS XE リリース 3.10.0S トレインでは発生しません。

最善の解決策は、現在機能しているESPがスロットF0に取り付けられていることを確認することです。そのソリューションが不可能な場合、リモートで適用できる他の回避策は次のとおりです。

- ESP をリロードします。 # hw module slot F1 reload

または

- ルータをリロードします。