内容

はじめに

前提条件

要件

使用するコンポーネント

背景説明

設定

FPR4100/FPR9300 のポートチャネル

FXOS ユーザーインターフェイスからのポートチャネルの設定（FPR4100/FPR9300）

スイッチの設定

FXOS CLI からのポートチャネルの設定（FPR4100/FPR9300）

FPR21xx/FPR1xxx のポートチャネル

FDM による構成

確認

FPR4100/FPR9300 でのポートチャネルの確認

FPR21xx/FPR1xxx でのポートチャネルの確認

トラブルシュート

LACP の概要

FPR4100/FPR9300 でのポートチャネルのトラブルシューティング

FPR21xx/FPR1xxx でのポートチャネルのトラブルシューティング

その他のトラブルシューティング（すべてのプラットフォームで共通）

一般的な問題

Case 1.EtherChannelモードのミスマッチ

Case 2.誤ったポートチャネル設計

Case 3.FXOSポートチャネル未割り当て

ケース 4.ポートチャネルに関するヘルスアラートがパケットを受信しない

ケース 5.FMCのヘルスアラート：ポートチャネルの関連付けが解除されたか、インターフェイスが追加されました

ポートチャネルの考慮事項

設計上の考慮事項

Case 1.HA内のFTD/ASAブレード

Case 2.クラスタ内のFTD/ASA

Case 3.ポートチャネルFXOSで終了

ケース 4.FXOSを介したポートチャネル

その他の考慮事項

よく寄せられる質問（FAQ）

関連情報

はじめに

このドキュメントでは、FirepowerアプライアンスのPort-Channelの設定、確認、およびトラブルシューティングの方法について説明します。

前提条件

要件

次の項目に関する知識があることが推奨されます。

- Firepower Management Center（FMC）

- Firepower Chassis Manager（FCM）

- Firepower eXtensible Operating System（FXOS）

- Firepower Threat Defense（FTD）

- EtherChannel（EC）

注：このドキュメントでは、EtherChannel(EC)とポートチャネル(PC)という用語は同じ意味で使用されています。

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。

- FXOS 2.2(2.17)、FTD 6.2.0.2.51でFPR4120 X 2

- FXOS 2.1(0.159)、FTD 6.1.0.330でFPR4110 X 1

- FTD 6.2.1でFPR2110 X 1（ビルド341）

- FTD 6.5.0上のFPR1150 X 1

- WS-C3750X-24(15.2(4)E5)

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

背景説明

このドキュメントでは、Firepower アプライアンス（FPR1xxx、FPR21xx、FPR41xx、FPR93xx）のポートチャネルの設定、検証、およびトラブルシューティングについて説明します。このドキュメントの設定例はFirepower脅威対策(FTD)に基づいていますが、多くの概念（検証やトラブルシューティングなど）は適応型セキュリティアプライアンス(ASA)にも完全に適用できます。

設定

FPR4100/FPR9300 のポートチャネル

ネットワーク図

FXOS ユーザーインターフェイスからのポートチャネルの設定（FPR4100/FPR9300）

Firepower アプライアンスの FTD ポートチャネルは、FXOS コードによって管理されます。FPR4100/FPR9300 では、構成は Firepower Chassis Manager から実行されます。

ポートチャネルは、論理デバイスに割り当てられるまではダウン（機能不全状態）しています。

ポートチャネルを論理デバイスに割り当てるには

結果は、次のとおりです。

主な注意点

- FXOS 2.4.x より前のリリースでは、FPR4100/FPR9300 は LACP のみをサポートします（ON、PAGP モードは未サポート）。FXOS 2.4.1.101 以降は、ON モードがデータおよびデータ共有 EtherChannel でサポートされます。

- Port-Channelに追加するインターフェイスが論理デバイスにすでに追加されていないことを確認してください。ポートチャネルが存在する場合、ポートチャネルが追加されてもインターフェイスには表示されません。

- 個々のポートチャネルメンバーを有効または無効にはできません。ポートチャネル自体のみ可能です。

- 論理デバイス（ASAやFTDなど）によって使用されるポートチャネルは削除できません。最初に関連付けを解除する必要があります。

- ポートチャネルは、論理デバイスに割り当てられるまではアップ状態になりません。EtherChannel が論理デバイスから削除された場合や論理デバイスが削除された場合は、ポートチャネルは一時停止状態に戻ります。

- 最適な互換性を得るために、Activeモードに接続するスイッチポートを設定します。

スイッチの設定

スイッチを設定するときは、ポートチャネルが不安定にならないように、次のことを推奨します。

- interface range コマンドを使用します。

- ポートチャネルの動作に影響する変更（ポートチャネルモードの変更など）を行う前に、ポートチャネルインターフェイスのメンバをシャットダウンします。

例

Switch(config)# interface range g1/0/2 - 3

Switch(config-if-range)# shutdown

Switch(config-if-range)# switchport trunk encapsulation dot1q

Switch(config-if-range)# switchport mode trunk

Switch(config-if-range)# channel-group 5 mode active

Switch(config-if-range)# no shutdown

注：詳細については、常に「スイッチモデル設定ガイド」のセクションを参照してください。

FXOS CLI からのポートチャネルの設定（FPR4100/FPR9300）

ステップ 1：FTD論理デバイスにすでに割り当てられているインターフェイスを確認します

FP4110-7-A# scope ssa

FP4110-7-A /ssa # show logical-device

Logical Device:

Name       Description Slot ID    Mode       Oper State               Template Name

---------- ----------- ---------- ---------- ------------------------ -------------

mzafeiro_FTD                           1          Standalone Ok                       ftd

FP4110-7-A /ssa # scope logical-device mzafeiro_FTD

FP4110-7-A /ssa/logical-device # show external-port-link

External-Port Link:

Name            Port or Port Channel Name App Name   Description

--------------- ------------------------- ---------- -----------

Ethernet11_ftd  Ethernet1/1               ftd

Ethernet16_ftd  Ethernet1/6               ftd

ステップ 2：シャーシインターフェイスを確認する

FP4110-7-A# scope eth-uplink

FP4110-7-A /eth-uplink # scope fabric a

FP4110-7-A /eth-uplink/fabric # show interface

Interface:

Port Name       Port Type          Admin State Oper State       State Reason

--------------- ------------------ ----------- ---------------- ------------

Ethernet1/1     Mgmt               Enabled     Up

Ethernet1/2     Data               Disabled    Admin Down       Administratively down

Ethernet1/3     Data               Disabled    Admin Down       Administratively down

Ethernet1/4     Data               Disabled    Failed           SFP checksum error

Ethernet1/5     Data               Disabled    Sfp Not Present  Unknown

Ethernet1/6     Data               Disabled    Sfp Not Present  Unknown

Ethernet1/7     Data               Disabled    Sfp Not Present  Unknown

Ethernet1/8     Data               Disabled    Sfp Not Present  Unknown

Ethernet3/1     Data               Disabled    Admin Down       Administratively down

Ethernet3/2     Data               Disabled    Admin Down       Administratively down

Ethernet3/3     Data               Disabled    Admin Down       Administratively down

Ethernet3/4     Data               Disabled    Admin Down       Administratively down

Ethernet3/5     Data               Disabled    Admin Down       Administratively down

Ethernet3/6     Data               Disabled    Admin Down       Administratively down

FP4110-7-A /eth-uplink/fabric # show port-channel

Port Channel:

Port Channel Id Name             Port Type          Admin State Oper State     State Reason

--------------- ---------------- ------------------ ----------- ---------------- ------------

48              Port-channel48   Cluster            Disabled    Admin Down     Administratively down

ステップ 3：ポートチャネルの作成

bsns-4110-2-A# scope eth-uplink

bsns-4110-2-A /eth-uplink # scope fabric a

bsns-4110-2-A /eth-uplink/fabric # create port-channel 15

bsns-4110-2-A /eth-uplink/fabric/port-channel* # create member-port Ethernet1/5

bsns-4110-2-A /eth-uplink/fabric/port-channel/member-port* # exit

bsns-4110-2-A /eth-uplink/fabric/port-channel* # create member-port Ethernet1/6

bsns-4110-2-A /eth-uplink/fabric/port-channel/member-port* # exit

bsns-4110-2-A /eth-uplink/fabric/port-channel* # set port-type data

bsns-4110-2-A /eth-uplink/fabric/port-channel* # set speed 1gbps

bsns-4110-2-A /eth-uplink/fabric/port-channel* # enable

bsns-4110-2-A /eth-uplink/fabric/port-channel* # commit-buffer

ステップ 4：インターフェイスをFTD論理デバイスに割り当てます。

FP4110-7-A# scope ssa

FP4110-7-A /ssa # scope logical-device mzafeiro_FTD

FP4110-7-A /ssa/logical-device # create external-port-link PC15_ftd Port-channel15 ftd

FP4110-7-A /ssa/logical-device/external-port-link* # commit-buffer

FP4110-7-A /ssa/logical-device/external-port-link #

検証

FP4110-7-A# scope ssa

FP4110-7-A /ssa # scope logical-device mzafeiro_FTD

FP4110-7-A /ssa/logical-device # show external-port-link

External-Port Link:

Name            Port or Port Channel Name App Name   Description

--------------- ------------------------- ---------- -----------

Ethernet11_ftd  Ethernet1/1               ftd

Ethernet16_ftd  Ethernet1/6               ftd

PC15_ftd        Port-channel15            ftd

FP4110-7-A# scope eth-uplink

FP4110-7-A /eth-uplink # scope fabric a

FP4110-7-A /eth-uplink/fabric # show port-channel

Port Channel:

Port Channel Id Name             Port Type          Admin State Oper State     State Reason

--------------- ---------------- ------------------ ----------- ---------------- ------------

15              Port-channel15   Data               Enabled     Up

48              Port-channel48   Cluster            Disabled    Admin Down     Administratively down

FP4110-7-A /eth-uplink/fabric # enter port-channel 15

FP4110-7-A /eth-uplink/fabric/port-channel # show member-port

Member Port:

Port Name       Membership         Oper State       State Reason

--------------- ------------------ ---------------- ------------

Ethernet1/2     Up                 Up

Ethernet1/3     Up                 Up

FXOS CLI からのポートチャネルの削除（FPR4100/FPR9300）

FP4110-7-A# scope eth-uplink

FP4110-7-A /eth-uplink # scope fabric a

FP4110-7-A  /eth-uplink/fabric # delete port-channel 15

FP4110-7-A /eth-uplink/fabric* # commit-buffer

FPR21xx/FPR1xxx のポートチャネル

ネットワーク図

FPR21xx/FPR1xxx アプライアンスの FTD ポートチャネルは FXOS コードによって管理されますが、FTD および FXOS コードが 1 つのソフトウェアバンドルに統合されているため、構成は FMC から行われます。

モード（LACP Active または ON）は、[Advanced] タブから設定します。

デュプレックスと速度の設定は、[Hardware Configuration] タブから設定します。

注：FPR2100では、ASAを論理デバイスとして使用しない限り、FXOS CLIからポートチャネルを作成することはできません。ASA 9.13.x 以降、これはプラットフォームモードの場合にのみ当てはまります。アプライアンスモード（11xx/21xx）では、FCM はなく、すべてのインターフェイス設定は ASA CLI で直接実行されます。

Fp2110 /eth-uplink/fabric* # create port-channel 16

Fp2110 /eth-uplink/fabric/port-channel* # create member-port Ethernet1/10

Fp2110 /eth-uplink/fabric/port-channel/member-port* # exit

Fp2110 /eth-uplink/fabric/port-channel* # create member-port Ethernet1/11

Fp2110 /eth-uplink/fabric/port-channel/member-port* # exit

Fp2110 /eth-uplink/fabric/port-channel* # commit-buffer

Error: Changes not allowed. use: 'connect ftd' to make changes.

物理インターフェイスがダウンしていて、それを有効にする場合は、次のようにします。

firepower-2110# scope eth-uplink

firepower-2110 /eth-uplink # scope fabric a

firepower-2110 /eth-uplink/fabric # show interface

Interface:

Port Name      Port Type          Admin State Oper State       State Reason

-------------- ------------------ ----------- ---------------- ------------

Ethernet1/3    Data               Enabled     Up               Up

Ethernet1/4    Data               Disabled    Link Down        Down

Ethernet1/5    Data               Disabled    Link Down        Down

Ethernet1/6    Data               Disabled    Link Down        Down

Ethernet1/7    Data               Disabled    Link Down        Down

Ethernet1/8    Data               Disabled    Link Down        Down

Ethernet1/9    Data               Disabled    Link Down        Down

Ethernet1/10   Data               Disabled    Link Down        Down

Ethernet1/11   Data               Disabled    Link Down        Down

Ethernet1/12   Data               Disabled    Link Down        Down

Ethernet1/13   Data               Disabled    Link Down        Down

Ethernet1/14   Data               Disabled    Link Down        Down

Ethernet1/15   Data               Disabled    Link Down        Down

Ethernet1/16   Data               Disabled    Link Down        Down

firepower-2110 /eth-uplink/fabric # enter interface Ethernet1/4

firepower-2110 /eth-uplink/fabric/interface # show

Interface:

Port Name      Port Type          Admin State Oper State       State Reason

-------------- ------------------ ----------- ---------------- ------------

Ethernet1/4    Data               Disabled    Link Down        Down

firepower-2110 /eth-uplink/fabric/interface # enable

firepower-2110 /eth-uplink/fabric/interface* # commit-buffer

firepower-2110 /eth-uplink/fabric/interface # show

Interface:

Port Name      Port Type          Admin State Oper State       State Reason

-------------- ------------------ ----------- ---------------- ------------

Ethernet1/4    Data               Enabled     Link Down        Down

firepower-2110 /eth-uplink/fabric/interface #

FDM による構成

このトポロジを参照してください。

6.5ソフトウェアリリースからは、FDMを使用するEtherChannelインターフェイスを設定できます。[Device] > [Interfaces] > [EtherChannels] に移動し、EtherChannel を追加します。この場合、EtherChannel はトランクであるため、EtherChannel ID を指定して有効にし（[Status]）、メンバーを追加します。EtherChannel は、LACP Active および On モード（LACP なし）をサポートします。ここでは、LACP Active モードを設定します。

サブインターフェイスを追加します。

結果は、次のとおりです。

予想される変更を展開する

確認

FPR4100/FPR9300 でのポートチャネルの確認

ネットワーク図

FTD（または ASA）が、ポートチャネルの個々のメンバーを認識しません。論理インターフェイス（サブインターフェイス）は FMC で次のように設定されています。

> system support diagnostic-cli

firepower# show interface ip brief

Interface                  IP-Address      OK? Method Status                Protocol

Internal-Data0/0           unassigned      YES unset  up                    up

Internal-Data0/1           unassigned      YES unset  up                    up

Internal-Data0/2           169.254.1.1     YES unset  up                    up

Port-channel15             unassigned      YES unset  up                    up

firepower# show nameif

Interface                Name                     Security

Port-channel15           INSIDE                     0

Ethernet1/1              diagnostic                 0

firepower# show interface Port-channel15 detail

Interface Port-channel15 "INSIDE", is up, line protocol is up

Hardware is EtherSVI, BW 20000 Mbps, DLY 1000 usec

MAC address 2c33.118e.07de, MTU 1500

IP address unassigned

Traffic Statistics for "INSIDE":

6767 packets input, 566328 bytes

0 packets output, 0 bytes

6736 packets dropped

1 minute input rate 4 pkts/sec,  375 bytes/sec

1 minute output rate 0 pkts/sec,  0 bytes/sec

1 minute drop rate, 4 pkts/sec

5 minute input rate 4 pkts/sec,  401 bytes/sec

5 minute output rate 0 pkts/sec,  0 bytes/sec

5 minute drop rate, 4 pkts/sec

Control Point Interface States:

Interface number is 6

Interface config status is active

Interface state is active

ポートチャネルとそのメンバーのステータスを確認するには、FXOS モードに移動します。

FP4110-7-A# connect fxos

FP4110-7-A(fxos)# show port-channel summary

Flags:  D - Down        P - Up in port-channel (members)

I - Individual  H - Hot-standby (LACP only)

s - Suspended   r - Module-removed

S - Switched    R - Routed

U - Up (port-channel)

M - Not in use. Min-links not met

--------------------------------------------------------------------------------

Group Port-       Type     Protocol  Member Ports

Channel

--------------------------------------------------------------------------------

15    Po15(SU)    Eth      LACP      Eth1/2(P)    Eth1/3(P)

48    Po48(SD)    Eth      NONE      --

ポートチャネルの状態と最新の状態履歴を表示します。

FP4110-7-A(fxos)# show port-channel database

port-channel15

Last membership update is successful

2 ports in total, 2 ports up

First operational port is Ethernet1/3

Age of the port-channel is 0d:00h:35m:00s

Time since last bundle is 0d:00h:34m:56s

Last bundled member is Ethernet1/3

Ports:   Ethernet1/2     [active ] [up]

Ethernet1/3     [active ] [up] *

port-channel48

Last membership update is successful

0 ports in total, 0 ports up

Age of the port-channel is 5d:06h:35m:27s

ポートチャネルのインターフェイスメンバー間のトラフィック分散を確認します。

FP4110-7-A(fxos)# show port-channel traffic

ChanId      Port Rx-Ucst Tx-Ucst Rx-Mcst Tx-Mcst Rx-Bcst Tx-Bcst

------ --------- ------- ------- ------- ------- ------- -------

15    Eth1/2  20.83%  49.71%  17.75%  43.67%  20.11%  49.94%

15    Eth1/3  79.16%  50.28%  82.24%  56.32%  79.88%  50.05%

LACP ネイバーの確認

FP4110-7-A(fxos)# show lacp neighbor

Flags:  S - Device is sending Slow LACPDUs F - Device is sending Fast LACPDUs

A - Device is in Active mode       P - Device is in Passive mode

port-channel15 neighbors

Partner's information

Partner                Partner                     Partner

Port        System ID              Port Number     Age         Flags

Eth1/2      32768,28-6f-7f-ec-59-800x103           1984        FA

LACP Partner           Partner                     Partner

Port Priority          Oper Key                    Port State

32768                  0x5                         0x3f

Partner's information

Partner                Partner                     Partner

Port        System ID              Port Number     Age         Flags

Eth1/3      32768,28-6f-7f-ec-59-800x104           2221        FA

LACP Partner           Partner                     Partner

Port Priority          Oper Key                    Port State

32768                  0x5                         0x3f

Partner Oper Key 0x5 は、このスイッチがポートチャネル ID 5 で設定されていることを意味します。

スイッチ側：

Switch# show lacp neighbor

Flags:  S - Device is requesting Slow LACPDUs

F - Device is requesting Fast LACPDUs

A - Device is in Active mode       P - Device is in Passive mode

Channel group 5 neighbors

Partner's information:

LACP port                        Admin  Oper   Port    Port

Port      Flags   Priority  Dev ID          Age    key    Key    Number  State

Gi1/0/2   FA      32768     2c33.118e.07b3   0s    0x0    0xE    0x42    0x3F

Gi1/0/3   FA      32768     2c33.118e.07b3   0s    0x0    0xE    0x43    0x3F

隣接するスイッチでは、FXOS はポートチャネル ID 15 で設定されていますが、Partner Oper Key は 0xE (14) として表示されることに注意してください。

LACP パケットキャプチャ（Wireshark）

パートナーの状態

都道府県

Expired

デフォルト

分散

収集

同期

集約

LACP タイムアウト

LACP アクティビティ

値

0

0

1

1

1

1

1

1

16進数

3

f

FPR21xx/FPR1xxx でのポートチャネルの確認

ネットワーク図

ポートチャネルの基本的な確認

> connect fxos

FP2110-2# connect local-mgmt

FP2110-2(local-mgmt)# show portchannel summary

Flags:  D - Down        P - Up in port-channel (members)

I - Individual  H - Hot-standby (LACP only)

s - Suspended   r - Module-removed

S - Switched    R - Routed

U - Up (port-channel)

M - Not in use. Min-links not met

--------------------------------------------------------------------------------

Group Port-       Type     Protocol  Member Ports

Channel

--------------------------------------------------------------------------------

11    Po11(U)     Eth      LACP      Eth1/1(P)    Eth1/2(P)

その他の検証:

FP2110-2# scope eth-uplink

FP2110-2 /eth-uplink # scope fabric a

FP2110-2 /eth-uplink/fabric # show port-channel

Port Channel:

Port Channel Id Name             Port Type          Admin State Oper State       State Reason

--------------- ---------------- ------------------ ----------- ---------------- ------------

11              Port-channel11   Data               Enabled     Up               Up

ポートチャネルの詳細を確認します。

FP2110-2 /eth-uplink/fabric # show port-channel detail

Port Channel:

Port Channel Id: 11

Name: Port-channel11

Port Type: Data

Description:

Admin State: Enabled

Oper State: Up

Auto negotiation: Yes

Speed: 1 Gbps

Duplex: Full Duplex

Oper Speed: 1 Gbps

Band Width (Gbps): 2

State Reason: Up

flow control policy: default

LACP policy name: default

oper LACP policy name: org-root/lacp-default

Lacp Mode: Active

Inline Pair Admin State: Enabled

Inline Pair Peer Port Name:

ポートチャネルメンバーの詳細を確認します。

FP2110-2# scope eth-uplink

FP2110-2 /eth-uplink # scope fabric a

FP2110-2 /eth-uplink/fabric # scope port-channel 11

FP2110-2 /eth-uplink/fabric/port-channel # show member-port

Member Port:

Port Name       Membership         Oper State       State Reason

--------------- ------------------ ---------------- ------------

Ethernet1/1     Up                 Up               Up

Ethernet1/2     Up                 Up               Up

メンバーポートの詳細

FP2110-2 /eth-uplink/fabric/port-channel # show member-port detail

Member Port:

Port Name: Ethernet1/1

Membership: Up

Oper State: Up

State Reason: Up

Ethernet Link Profile name: default

Oper Ethernet Link Profile name: fabric/lan/eth-link-prof-default

Udld Oper State: Unknown

Current Task:

Port Name: Ethernet1/2

Membership: Up

Oper State: Up

State Reason: Up

Ethernet Link Profile name: default

Oper Ethernet Link Profile name: fabric/lan/eth-link-prof-default

Udld Oper State: Unknown

Current Task:

LACP の確認

FP2110-2(local-mgmt)# show lacp neighbor

Flags:  S - Device is requesting Slow LACPDUs

F - Device is requesting Fast LACPDUs

A - Device is in Active mode       P - Device is in Passive mode

Channel group: 11

Partner (internal) information:

Partner                 Partner                       Partner

Port      System ID             Port Number     Age         Flags

Eth1/1    32768,286f.7fec.5980  0x10e           13 s        FA <-- the peer is requesting Fast Rate

LACP Partner           Partner           Partner

Port Priority        Oper Key        Port State

32768                0x16            0x3f

Port State Flags Decode:

Activity:   Timeout:   Aggregation:   Synchronization:

Active      Long       Yes            Yes

Collected:   Distributing:   Defaulted:   Expired:

Yes           Yes             No           No

Partner                 Partner                       Partner

Port      System ID             Port Number     Age         Flags

Eth1/2    32768,286f.7fec.5980  0x10f           5  s        FA <-- the peer is requesting Fast Rate

LACP Partner           Partner           Partner

Port Priority        Oper Key        Port State

32768                0x16            0x3f

Port State Flags Decode:

Activity:   Timeout:   Aggregation:   Synchronization:

Active      Long       Yes            Yes

Collected:   Distributing:   Defaulted:   Expired:

Yes           Yes             No           No

注：FPR21xx/FPR1xxxでは、デフォルトのLACPレートは低速であり、変更できません

LACP カウンタ

FP2110-2(local-mgmt)# show lacp counters

LACPDUs         Marker      Marker Response    LACPDUs

Port       Sent   Recv     Sent   Recv    Sent    Recv      Pkts Err

---------------------------------------------------------------------

Channel group: 11

Eth1/1     4435   3532     0      0        0      0         0

Eth1/2     4566   3532     0      0        0      0         0

FP2110-2(local-mgmt)# show lacp counters

LACPDUs         Marker      Marker Response    LACPDUs

Port       Sent   Recv     Sent   Recv    Sent    Recv      Pkts Err

---------------------------------------------------------------------

Channel group: 11

Eth1/1     4436   3532     0      0        0      0         0

Eth1/2     4567   3532     0      0        0      0         0

FPR2100 インターフェイスの確認

物理インターフェイスから FPR2100 内部スイッチへのマッピング

インターフェイス

FPR2110/FPR2120 の内部スイッチ

FPR2130/FPR2140 の内部スイッチ

E1/1

1

1

E1/2

0

0

E1/3

3

3

E1/4

2

2

E1/5

5

5

E1/6

4

4

E1/7

7

7

E1/8

6

6

E1/9

9

49

E1/10

8

48

E1/11

11

51

E1/12

10

50

E1/13

12

59

E1/14

13

58

E1/15

14

57

E1/16

15

56

E2/1

-

70

E2/2

-

71

E2/3

-

69

E2/4

-

68

E2/5

-

66

E2/6

-

67

E2/7

-

65

E2/8

-

64

物理インターフェイスのステータスを確認します。

FP2110-2(local-mgmt)# show portmanager port-info ethernet 1 1

port_info:

if_index:    0x1081000

type:        PORTMGR_IPC_MSG_PORT_TYPE_PHYSICAL

mac_address: 70:df:2f:18:d8:04

flowctl:     PORTMGR_IPC_MSG_FLOWCTL_NONE

role:        PORTMGR_IPC_MSG_PORT_ROLE_NPU

admin_state: PORTMGR_IPC_MSG_PORT_STATE_ENABLED

oper_state:  PORTMGR_IPC_MSG_PORT_STATE_UP

admin_speed: PORTMGR_IPC_MSG_SPEED_AUTO

oper_speed:  PORTMGR_IPC_MSG_SPEED_1GB

admin_mtu:   9216

admin_duplex: PORTMGR_IPC_MSG_PORT_DUPLEX_FULL

oper_duplex: PORTMGR_IPC_MSG_PORT_DUPLEX_FULL

pc_if_index: 0x200000b

pc_membership_status: PORTMGR_IPC_MSG_MMBR_UP

pc_protocol: PORTMGR_IPC_MSG_PORT_CHANNEL_PRTCL_LACP_ACTIVE

native_vlan: 1011

num_allowed_vlan: 1

allowed_vlan[0]: 1011

物理インターフェイスカウンタ

FP2110-2(local-mgmt)# show portmanager counters ethernet 1 1

Good Octets Received                              : 2692986

Bad Octets Received                               : 0

MAC Transmit Error                                : 0

Good Packets Received                             : 37038

Bad Packets Received                              : 0

BRDC Packets Received                             : 22290

MC Packets Received                               : 12538

Size 64                                           : 34193

Size 65 to 127                                    : 1531

Size 128 to 255                                   : 1515

Size 256 to 511                                   : 374

Size 512 to 1023                                  : 95

Size 1024 to Max                                  : 0

Good Octets Sent                                  : 87296

Good Packets Sent                                 : 682

Excessive Collision                               : 0

MC Packets Sent                                   : 682

BRDC Packets Sent                                 : 0

Unrecognized MAC Received                         : 0

FC Sent                                           : 0

Good FC Received                                  : 0

Drop Events                                       : 0

Undersize Packets                                 : 0

Fragments Packets                                 : 0

Oversize Packets                                  : 0

Jabber Packets                                    : 0

MAC RX Error Packets Received                     : 0

Bad CRC                                           : 0

Collisions                                        : 0

FPR2100 内部スイッチ MAC テーブル。01:80:C2:00:00:02 = LACP であることに注意してください。

FP2110-2(local-mgmt)# show portmanager switch mac-filters

port ix          MAC                mask        action      packets       bytes

00   03e  70:DF:2F:18:D8:05  FF:FF:FF:FF:FF:FF  FORWARD

043  01:80:C2:00:00:02  FF:FF:FF:FF:FF:FF  FORWARD         687       87936

044  70:DF:2F:18:D8:2D  FF:FF:FF:FF:FF:FF  FORWARD

045  FF:FF:FF:FF:FF:FF  FF:FF:FF:FF:FF:FF  FORWARD        5501      385360

3d0  00:00:00:00:00:00  01:00:00:00:00:00  DROP           2101      141426

3e8  01:00:00:00:00:00  01:00:00:00:00:00  DROP           7946     1524820

01   03f  70:DF:2F:18:D8:04  FF:FF:FF:FF:FF:FF  FORWARD

040  01:80:C2:00:00:02  FF:FF:FF:FF:FF:FF  FORWARD         687       87936

041  70:DF:2F:18:D8:2D  FF:FF:FF:FF:FF:FF  FORWARD

042  FF:FF:FF:FF:FF:FF  FF:FF:FF:FF:FF:FF  FORWARD       22351     1451504

3d1  00:00:00:00:00:00  01:00:00:00:00:00  DROP           2215      154542

3e9  01:00:00:00:00:00  01:00:00:00:00:00  DROP          11886     1006067

02   03c  70:DF:2F:18:D8:07  FF:FF:FF:FF:FF:FF  FORWARD

049  01:80:C2:00:00:02  FF:FF:FF:FF:FF:FF  FORWARD

04a  70:DF:2F:18:D8:6D  FF:FF:FF:FF:FF:FF  FORWARD

04b  FF:FF:FF:FF:FF:FF  FF:FF:FF:FF:FF:FF  FORWARD

3d2  00:00:00:00:00:00  01:00:00:00:00:00  DROP

3ea  01:00:00:00:00:00  01:00:00:00:00:00  DROP

ポート e1/1 および e1/2 は、内部スイッチの 0/0 および 0/1 に対応します。

FP2110-2(local-mgmt)# show portmanager switch status

Dev/Port         Mode        Link   Speed  Duplex  Loopback Mode

---------  ----------------  -----  -----  ------  -------------

0/0             QSGMII        Up     1G     Full    None

0/1             QSGMII        Up     1G     Full    None

0/2             QSGMII       Down    1G     Half    None

0/3             QSGMII       Down    1G     Half    None

0/4             QSGMII       Down    1G     Half    None

0/5             QSGMII       Down    1G     Half    None

0/6             QSGMII       Down    1G     Half    None

0/7             QSGMII       Down    1G     Half    None

0/8             QSGMII       Down    1G     Half    None

0/9             QSGMII       Down    1G     Half    None

0/10            QSGMII       Down    1G     Half    None

0/11            QSGMII       Down    1G     Half    None

0/12            QSGMII       Down    10     Half    None

0/13            QSGMII       Down    10     Half    None

0/14            QSGMII       Down    10     Half    None

0/15            QSGMII       Down    10     Half    None

0/16             n/a         Down    n/a    Full    N/A

0/17             n/a         Down    n/a    Full    N/A

0/18             n/a         Down    n/a    Full    N/A

0/19             n/a         Down    n/a    Full    N/A

0/20             n/a         Down    n/a    Full    N/A

0/21             n/a         Down    n/a    Full    N/A

0/22             n/a         Down    n/a    Full    N/A

0/23             n/a         Down    n/a    Full    N/A

0/24              KR          Up     10G    Full    None

0/25              KR          Up     10G    Full    None

0/26              KR         Down    10G    Full    None

0/27              KR          Up     10G    Full    None

トラブルシュート

LACP の概要

LACPの概要：

- IEEE 標準規格（802.3ad）Link Aggregation Control Protocol（LACP）は、ポートチャネル ネゴシエーションに使用される L2 プロトコルです。

- LACP は、宛先 MAC 0180.c200.0002 およびイーサネットタイプ 0x8809 を使用します。

- LACP および On モード（LACP なし）は、Firepower アプライアンスでサポートされる唯一のモードです（On モードは 2.4.x FXOS リリースの FP4100/FP9300 に追加されました）。

- LACP は、2 つのモード（Active または Passive）のいずれかで設定できます。FXOS は常に Active モードを使用します。

- LACP の主な目的は、ポートチャネルの設定ミスから保護することです。

- LACP PC をアップ状態にするには、ポートチャネル インターフェイス メンバーで同じ速度/デュプレックス設定にする必要があります。FXOS でポートチャネルレベルの速度を設定します。

- LACP Actor = ローカルデバイス

- LACP Partner = リモートデバイス

- 各デバイスには、通常はシャーシの MAC である LACP システム ID があります。LACP システム ID は、各 LACP パケット内で送信されます。

- 各 LACP パケットのサイズは約 110 バイトです。

- LACP は、高速レート（Fast Rate）または低速レート（通常）（Slow (Normal) Rate）で動作します。FXOS の場合、デフォルトは高速レートですが（常に低速である 1xxx/21xx を除く）、低速に設定することもできます。スイッチ側の LACP モードは、使用するスイッチのモデルと SW によって異なります。たとえば、Cat3750 は、15.2(4)E 以降、高速と低速の両方をサポートしています。詳細については、スイッチの確認ガイドを参照してください。

- LACP検出期間では、LACPレートに関係なく、LACPは1秒ごとに送信されます。インターフェイスがアップ状態になると、LACP レートは LACP キープアライブインターバルにのみ影響します。

LACPキープアライブの利点

LACP キープアライブは、リモートインターフェイスは機能していないが、まだアップ状態である（直接的な障害は検出されなかった）シナリオで役立ちます。これは、ドライバ/L2の問題の場合や、パス内にリモートリンク障害の検出を許可しないデバイス（IPSなど）が存在する場合に発生する可能性があります。LACPキープアライブのタイムアウトは、ピアレートx 3です。たとえば、リモートピアが1秒ごとに送信する場合、3秒以内にLACPパケットを受信しないと、ローカルデバイスはリモートピアをダウンしたと宣言します。低速レートの場合、タイムアウトは 90 秒後になります。

Wireshark に表示される LACP パケットのすべてのフィールド:

注：ポートチャネルがFTDで終端されると、FXOSキャプチャはLACPパケット（入力または出力）を表示しません

LACP の高速レートと低速レート

通常は両側で高速レートを使用することをお勧めします（4100/9300 の FXOS はデフォルトで高速レートを使用し、FPR2100 ではデフォルトの LACP 送信レートは低速です）。LACP の高速レートを使用すると、ポートチャネルのバンドリング速度が向上します。

FXOS 設定（低速）

FXOS 設定（高速）

スイッチ設定（低速）

スイッチのリクエストが低速

FXOS のリクエストが低速

スイッチは LACP を 30 秒に 1 回送信

FXOS は LACP を 30 秒に 1 回送信

スイッチのリクエストが低速

FXOS のリクエストが高速

スイッチは LACP を 1 秒に 1 回送信

FXOS は LACP を 30 秒に 1 回送信

スイッチ設定（高速）

スイッチのリクエストが高速

FXOS のリクエストが低速

スイッチは LACP を 30 秒に 1 回送信

FXOS は LACP を 1 秒に 1 回送信

スイッチのリクエストが高速

FXOS のリクエストが高速

スイッチは LACP を 1 秒に 1 回送信

FXOS は LACP を 1 秒に 1 回送信

FXOS（41xx/93xx）で LACP モードを設定します。

KSEC-FPR4100-1# scope org

KSEC-FPR4100-1 /org # show lacppolicy

LACP policy:

Name       LACP rate

---------- ---------

default    Fast

KSEC-FPR4100-1 /org # scope lacppolicy default

KSEC-FPR4100-1 /org/lacppolicy # set lacp-rate

fast    lacp rate fast

normal  lacp rate normal

FPR4100/FPR9300 でのポートチャネルのトラブルシューティング

ネットワーク図

FPR4100 および FPR9300 シャーシには、ポートチャネルを終端する内部スイッチが含まれています。内部スイッチは Nexus 5K に類似していて、FXOS は LACP のみをサポートしているため、トラブルシューティングの方法は Nexus 5K に類似しています。

チェック 1 - ポートチャネルのステータスを確認します。

FP4110-7-A(fxos)# show port-channel summary

Flags:  D - Down        P - Up in port-channel (members)

I - Individual  H - Hot-standby (LACP only)

s - Suspended   r - Module-removed

S - Switched    R - Routed

U - Up (port-channel)

M - Not in use. Min-links not met

--------------------------------------------------------------------------------

Group Port-       Type     Protocol  Member Ports

Channel

--------------------------------------------------------------------------------

15    Po15(SU)    Eth      LACP      Eth1/2(P)    Eth1/3(P)

FXOS インターフェイスのステータスを確認します。

FP4110-7-A(fxos)# show interface brief

--------------------------------------------------------------------------------

Ethernet      VLAN   Type Mode   Status  Reason                   Speed     Port

Interface                                                                   Ch #

--------------------------------------------------------------------------------

Eth1/1        1       eth  1qtunl up      none                       1000(D) --

Eth1/2        1       eth  1qtunl up      none                       1000(D) 15

Eth1/3        1       eth  1qtunl up      none                       1000(D) 15

Eth1/4        1       eth  1qtunl down    SFP not inserted            10G(D) --

Eth1/5        1       eth  1qtunl down    Administratively down      1000(D) --

Eth1/6        1       eth  1qtunl down    Administratively down      1000(D) --

Eth1/7        1       eth  1qtunl down    Administratively down       10G(D) --

Eth1/8        1       eth  1qtunl down    SFP not inserted            10G(D) --

Eth1/9        1       eth  vntag  up      none                        40G(D) --

Eth1/10       1       eth  access down    Administratively down       40G(D) --

Eth1/11       1       eth  access down    Administratively down      1000(D) --

Eth1/12       1       eth  access down    Administratively down      1000(D) --

チェック 2 - FXOS が LACP を送受信することを確認します（コマンドを数回実行します）。

FP4110-7-A(fxos)# show lacp counters interface port-channel 15

LACPDUs         Marker      Marker Response    LACPDUs

Port              Sent   Recv     Sent   Recv     Sent   Recv      Pkts Err

---------------------------------------------------------------------

port-channel15

Ethernet1/2        223019 207280   0      0        0      0        0

Ethernet1/3        296532 207744   0      0        0      0        0

スイッチで同じことを確認します。

Switch# show lacp 5 counters

LACPDUs         Marker      Marker Response    LACPDUs

Port       Sent   Recv     Sent   Recv     Sent   Recv      Pkts Err

---------------------------------------------------------------------

Channel group: 5

Gi1/0/2     627    596      0      0        0      0         0

Gi1/0/3     623    593      0      0        0      0         0

個々の FXOS インターフェイスの LACP 詳細を確認します。

FP4110-7-A(fxos)# show lacp interface ethernet 1/2

Interface Ethernet1/2 is up

Channel group is 15 port channel is Po15

PDUs sent: 222828

PDUs rcvd: 207074

Markers sent: 0

Markers rcvd: 0

Marker response sent: 0

Marker response rcvd: 0

Unknown packets rcvd: 0

Illegal packets rcvd: 0

Lag Id: [ [(8000, 28-6f-7f-ec-59-80, 5, 8000, 103), (8000, 2c-33-11-8e-7-b3, e,

8000, 42)] ]

Operational as aggregated link since Tue Oct 31 19:14:57 2017

Local Port: Eth1/2   MAC Address= 2c-33-11-8e-7-b3

System Identifier=0x8000,2c-33-11-8e-7-b3

Port Identifier=0x8000,0x42

Operational key=14

LACP_Activity=active

LACP_Timeout=Short Timeout (1s)

Synchronization=IN_SYNC

Collected=true

Distributing=true

チェック 3 - ローカルおよびリモートデバイスの LACP ID を確認します。

FP4110-7-A(fxos)# show lacp port-channel interface port-channel 15

port-channel15

System Mac=2c-33-11-8e-7-b3

Local System Identifier=0x8000,2c-33-11-8e-7-b3

Admin key=0xe

Operational key=0xe

Partner System Identifier=0x8000,28-6f-7f-ec-59-80

Operational key=0x5

Max delay=0

Aggregate or individual=1

Member Port List=

チェック 4（オプション）- 出力を収集します（Cisco TAC で使用できます）。

FP4110-7-A(fxos)# show lacp internal event-history errors

1) Event:E_DEBUG, length:74, at 574387 usecs after Tue Oct 31 19:14:57 2017

[102] lacp_proto_set_ntt(1780): Restarting periodic tx timer in 0x210 msecs

2) Event:E_DEBUG, length:467, at 544757 usecs after Tue Oct 31 19:14:57 2017

[102] lacp_ac_init_port_channel_member(1660): TYPE1 UPDATE lacp_ac_init_port

_channel_member port-channel port-channel15(0x1600000e) lacp_mcec_type1_upd_sent

...

チェック 5 - 問題のある特定のポートの LACP FSM 遷移を確認します。 出力の先頭に最も古いメッセージが表示されます。

FP4110-7-A(fxos)# show lacp internal event-history interface ethernet 1/2

>>>>FSM: <Ethernet1/2> has 975 logged transitions<<<<<

1) FSM:<Ethernet1/2> Transition at 257150 usecs after Sun Oct 29 12:35:16 2017

Previous state: [LACP_ST_WAIT_FOR_HW_TO_PROGRAM_RECEIVE_PATH]

Triggered event: [LACP_EV_PORT_RECEIVE_PATH_ENABLED_AS_CHANNEL_MEMBER_MESSAGE]

Next state: [LACP_ST_PORT_MEMBER_RECEIVE_ENABLED]

...

4) FSM:<Ethernet1/2> Transition at 966987 usecs after Sun Oct 29 12:35:19 2017

Previous state: [LACP_ST_PORT_MEMBER_COLLECTING_AND_DISTRIBUTING_ENABLED]

Triggered event: [LACP_EV_PARTNER_PDU_IN_SYNC] <--- Good (Received LACP with ‘Synchronization = 1’

Next state: [LACP_ST_PORT_IS_DOWN_OR_LACP_IS_DISABLED]

...

207) FSM:<Ethernet1/4> Transition at 482767 usecs after Sun Oct 29 13:18:40 2017

Previous state: [LACP_ST_ATTACHED_TO_AGGREGATOR]

Triggered event: [LACP_EV_PARTNER_PDU_OUT_OF_SYNC]

Next state: [FSM_ST_NO_CHANGE]

208) FSM:<Ethernet1/4> Transition at 363720 usecs after Sun Oct 29 13:18:41 2017

Previous state: [LACP_ST_ATTACHED_TO_AGGREGATOR]

Triggered event: [LACP_EV_PARTNER_PDU_OUT_OF_SYNC] <--- Bad (Received LACP with ‘Synchronization = 0’

Next state: [FSM_ST_NO_CHANGE]

チェック 6 - ポートチャネルのイベント履歴を収集します（Cisco TAC で使用できます）。

FP4110-7-A(fxos)# show port-channel internal event-history all

Low Priority Pending  queue: len(0), max len(1) [Tue Oct 31 19:37:03 2017] High Priority Pending queue: len(0), max len(12) [Tue Oct 31 19:37:03 2017] PCM Control Block info: pcm_max_channels : 4096 pcm_max_channel_in_use : 48 pc count : 2 hif-pc count : 0 Max PC Cnt : 104 Load-defer timeout : 120 ==================================================== PORT CHANNELS: 2LvPC PO in system : 0 port-channel15 channel : 15 bundle : 65535 ... >>>>FSM: <eth-port-channel 15> has 66 logged transitions<<<<< 1) FSM:<eth-port-channel 15> Transition at 174796 usecs after Tue Oct 31 18:05:0 8 2017 Previous state: [PCM_PC_ST_INIT] Triggered event: [PCM_PC_EV_CREATE_INIT] Next state: [FSM_ST_NO_CHANGE] 2) Event:ESQ_START length:38, at 174810 usecs after Tue Oct 31 18:05:08 2017 Instance:369098766, Seq Id:0x1, Ret:SUCCESS Seq Type:SERIAL ...

FPR21xx/FPR1xxx でのポートチャネルのトラブルシューティング

ネットワーク図

1をチェックします。LACPが使用されている場合は、LACPカウンタを確認します

両側（スイッチと FXOS）の送受信が確認できます。

FP2110-2(local-mgmt)# show lacp counters

LACPDUs         Marker      Marker Response    LACPDUs

Port       Sent   Recv     Sent   Recv    Sent    Recv      Pkts Err

---------------------------------------------------------------------

Channel group: 11

Eth1/1     4435   3532     0      0        0      0         0

Eth1/2     4566   3532     0      0        0      0         0

別の方法でも確認できます。

FP2110-2(local-mgmt)# show pktmgr counters

Ports           Tx        Tx        Tx        Rx      Rx        Rx        Rx

Packets     Drops     Bytes   Packets   Drops     Bytes  Forwards

----------------------------------------------------------------------------

Eth1/1       4575         0    567300      3537       0    452736      3537 < LACP PDUs forwarded internally to LACP process

Eth1/2       4706         0    583544      3537       0    452736      3537 < LACP PDUs forwarded internally to LACP process

Eth1/3          0         0         0         0       0         0         0

Eth1/4          0         0         0         0       0         0         0

Eth1/5          0         0         0         0       0         0         0

Eth1/6          0         0         0         0       0         0         0

Eth1/7          0         0         0         0       0         0         0

Eth1/8          0         0         0         0       0         0         0

Eth1/9          0         0         0         0       0         0         0

Eth1/10         0         0         0         0       0         0         0

Eth1/11         0         0         0         0       0         0         0

Eth1/12         0         0         0         0       0         0         0

Eth1/13         0         0         0         0       0         0         0

Eth1/14         0         0         0         0       0         0         0

Eth1/15         0         0         0         0       0         0         0

Eth1/16         0         0         0         0       0         0         0

Misc.           0         0         0         0       0         0       n/a

2をチェックします。アップストリームスイッチステータスの確認

FP2110-2(local-mgmt)# show lacp neighbor

Flags:  S - Device is requesting Slow LACPDUs

F - Device is requesting Fast LACPDUs

A - Device is in Active mode       P - Device is in Passive mode

Channel group: 11

Partner (internal) information:

Partner                 Partner                       Partner

Port      System ID             Port Number     Age         Flags

Eth1/1    32768,286f.7fec.5980  0x10e           9  s        FA

LACP Partner           Partner           Partner

Port Priority        Oper Key        Port State

32768                0x16            0x3f

Port State Flags Decode:

Activity:   Timeout:   Aggregation:   Synchronization:

Active      Long       Yes            Yes

Collected:   Distributing:   Defaulted:   Expired:

Yes           Yes             No           No

Partner                 Partner                       Partner

Port      System ID             Port Number     Age         Flags

Eth1/2    32768,286f.7fec.5980  0x10f           24 s        FA

LACP Partner           Partner           Partner

Port Priority        Oper Key        Port State

32768                0x16            0x3f

Port State Flags Decode:

Activity:   Timeout:   Aggregation:   Synchronization:

Active      Long       Yes            Yes

Collected:   Distributed:   Defaulted:   Expired:

Yes           Yes             No           No

注：CollectedとDistributedが「Yes」ではなく、Defaultedが「No」の場合、LACPは収束されません。

チェック3.ローカルLACPシステムIDが0でないことを確認します

FP2110-2(local-mgmt)# show lacp sys-id

32768, 70df.2f18.d813

その他のトラブルシューティング（すべてのプラットフォームで共通）

チェック 1

両側（ファイアウォールとスイッチ）の設定が一致していることを確認します（たとえば、速度が同じ、ポートチャネルモードが同じ）。

チェック 2

FXOS 障害を確認します。このチェックは、シャーシユーザインターフェイス(UI)から、または次のコマンドを使用するCLIから実行できます。

FPR4100# show fault

Severity  Code     Last Transition Time     ID       Description

--------- -------- ------------------------ -------- -----------

Major     F0479    2020-03-19T11:50:44.322    543322 Virtual interface 781 link state is down

Major     F0373    2020-03-19T10:55:13.778     34178 Fan 1 in Fan Module 1-5 under chassis 1 operability: inoperable

Minor     F0480    2020-03-19T10:55:13.777     34177 Fan module 1-5 in chassis 1 operability: degraded

Major     F1767    2020-03-19T10:54:04.162    531228 The password encryption key has not been set.

Major     F0727    2020-03-19T09:50:02.891    522921 lan Member 1/5 of Port-Channel 10 on fabric interconnect A is down, membership: suspended

Major     F0282    2020-03-19T09:49:31.462    522922 lan port-channel 10 on fabric interconnect A oper state: failed, reason: No operational members

Major     F0277    2020-03-19T09:49:31.437    522929 ether port 1/5 on fabric interconnect A oper state: failed, reason: Other

Info      F0279    2020-01-17T11:06:45.472    300958 ether port 1/7 on fabric interconnect A oper state: sfp-not-present

Info      F0279    2020-01-17T11:06:37.941    300903 ether port 1/6 on fabric interconnect A oper state: sfp-not-present

Minor     F1437    2020-01-16T10:11:39.675    291723 Config backup may be outdated

障害は時系列で表示されます。重大度は障害の重大性を表し、説明は簡単な概要を示します。確認するのは主に重大度、タイムスタンプ、および説明です。障害の重大度は最も重大なものから表示され、以下の順序になります。

- Critical

- メジャー

- マイナー

- warning

- 情報/状態

- クリア済み

各障害の詳細については、『FXOS Faults and Error Messages guide: FXOS Error and System Messages』を参照してください。

チェック 3

FMC のポートチャネル設定に関して最近変更を行った場合は、ポリシーが FMC から FTD に展開されていることを確認します。

チェック 4

ポートチャネルが機能不全状態で、デバイスがクラスタに属している場合は、デバイスでクラスタが有効になっていることを確認します。クラスタから開始されたデバイスは、ポートチャネルが機能不全状態になっているのが正常です。

チェック 5

構成は正しいが、インターフェイスがアップ状態にならない場合は、ケーブルや Small Form-factor Pluggable（SFP）をチェックして交換します。

チェック 6

ポートチャネルに関連する既知の問題については、Firepower リリースノートを確認してください。たとえば、FXOS バージョン 2.6.1.169 および FTD 6.4.0.6 を実行している場合は、次のセクションを確認します。

また、関連する FMC/FTD リリースノートを確認してください。この例では、FTD で 6.4.0.5 が実行されているため、6.4.x リリースノートを確認する必要があります。

一般的な問題

Case 1.EtherChannelモードのミスマッチ

このトポロジを参照してください。

問題の兆候

Firepower では、ポートチャネルはダウンしていて、ネゴシエーションプロトコルは LACP です。

FP2110-2(local-mgmt)# show portchannel summary

Flags:  D - Down        P - Up in port-channel (members)

I - Individual  H - Hot-standby (LACP only)

s - Suspended   r - Module-removed

S - Switched    R - Routed

U - Up (port-channel)

M - Not in use. Min-links not met

--------------------------------------------------------------------------------

Group Port-       Type     Protocol  Member Ports

Channel

--------------------------------------------------------------------------------

11    Po11(D)     Eth      LACP      Eth1/1(D)    Eth1/2(D)

FXOSでは、LACP Sentカウンタは30秒ごとに増加しますが、Receiveカウンタは増加しません。

FP2110-2(local-mgmt)# show lacp counters

LACPDUs         Marker      Marker Response    LACPDUs

Port       Sent   Recv     Sent   Recv    Sent    Recv      Pkts Err

---------------------------------------------------------------------

Channel group: 11

Eth1/1     11356  3762     0      0        0      0         0

Eth1/2     11393  3761     0      0        0      0         0

FP2110-2(local-mgmt)# show lacp counters

LACPDUs         Marker      Marker Response    LACPDUs

Port       Sent   Recv     Sent   Recv    Sent    Recv      Pkts Err

---------------------------------------------------------------------

Channel group: 11

Eth1/1     11357  3762     0      0        0      0         0

Eth1/2     11394  3761     0      0        0      0         0

根本原因

スイッチのポートチャネルはアップ状態ですが、ネゴシエーションプロトコルがないことに注意してください。

Switch# show etherchannel 22 summary

…

Number of channel-groups in use: 15

Number of aggregators:           15

Group  Port-channel  Protocol    Ports

------+-------------+-----------+-----------------------------------------------

22     Po22(SU)         -        Gi1/0/13(P) Gi1/0/14(P)

スイッチポート構成で以下を確認できます。

Switch# show run int g1/0/13

interface GigabitEthernet1/0/13

lacp rate fast

channel-group 22 mode on

end

Switch# show run int g1/0/14

interface GigabitEthernet1/0/14

lacp rate fast

channel-group 22 mode on

end

解決方法

これは FPR21xx アプライアンスであるため、実行可能な解決策は 2 つあります。

1. スイッチ側のポートチャネルモードを ON から LACP（Active または Passive）に変更します。

2. FTD 側のポートチャネルモードを LACP から ON に変更します。

このシナリオでは、2 番目の解決策が選択されました（FTD ポートチャネルを ON モードに設定）。

FP2110-2(local-mgmt)# show portchannel summary

Flags:  D - Down        P - Up in port-channel (members)

I - Individual  H - Hot-standby (LACP only)

s - Suspended   r - Module-removed

S - Switched    R - Routed

U - Up (port-channel)

M - Not in use. Min-links not met

--------------------------------------------------------------------------------

Group Port-       Type     Protocol  Member Ports

Channel

--------------------------------------------------------------------------------

11    Po11(U)     Eth      ON        Eth1/1(P)    Eth1/2(P)

LACP カウンタは表示されなくなります。

FP2110-2(local-mgmt)# show lacp counters

FP2110-2(local-mgmt)#

Case 2.誤ったポートチャネル設計

問題の兆候

FP4110-7-A(fxos)# show port-channel summary

Flags:  D - Down        P - Up in port-channel (members)

I - Individual  H - Hot-standby (LACP only)

s - Suspended   r - Module-removed

S - Switched    R - Routed

U - Up (port-channel)

M - Not in use. Min-links not met

--------------------------------------------------------------------------------

Group Port-       Type     Protocol  Member Ports

Channel

--------------------------------------------------------------------------------

15    Po15(SD)    Eth      LACP      Eth1/2(P)    Eth1/3(s)

48    Po48(SD)    Eth      NONE      --

FXOS LACP カウンタは両方向で増加します。

FP4110-7-A(fxos)# show lacp counters

LACPDUs         Marker      Marker Response    LACPDUs

Port              Sent   Recv     Sent   Recv     Sent   Recv      Pkts Err

---------------------------------------------------------------------

port-channel15

Ethernet1/2        419219 451268   0      0        0      0        0

Ethernet1/3        419215 446806   0      0        0      0        0

FP4110-7-A(fxos)# show lacp counters

LACPDUs         Marker      Marker Response    LACPDUs

Port              Sent   Recv     Sent   Recv     Sent   Recv      Pkts Err

---------------------------------------------------------------------

port-channel15

Ethernet1/2        419219 451269   0      0        0      0        0

Ethernet1/3        419216 446807   0      0        0      0        0

根本原因

show lacp neighbor の出力は、各ポートで異なる Partner System ID を示しています。

FP4110-7-A(fxos)# show lacp neighbor

Flags:  S - Device is sending Slow LACPDUs F - Device is sending Fast LACPDUs

A - Device is in Active mode       P - Device is in Passive mode

port-channel15 neighbors

Partner's information

Partner                Partner                     Partner

Port        System ID              Port Number     Age         Flags

Eth1/2      32768,28-6f-7f-ec-59-800x103           419611      FA

LACP Partner           Partner                     Partner

Port Priority          Oper Key                    Port State

32768                  0x5                         0x3d

Partner's information

Partner                Partner                     Partner

Port        System ID              Port Number     Age         Flags

Eth1/3      32768,4-62-73-d2-65-0  0x12f           419610      SA

LACP Partner           Partner                     Partner

Port Priority          Oper Key                    Port State

32768                  0x16                        0xd

それを図で示します。

解決方法

- 2960 の場合、スタッキング（FlexStack）の設定が必要です。

- 3750-X/3850 等の場合、スタッキング（StackWise Plus）の設定が必要です。

- 4500、6500、6800 の場合、仮想スイッチングシステム（VSS）を使用する必要があります。

- Nexus 5000、7000、9000の場合は、Virtual Port-Channel(vPC)を使用する必要があります。

- その他のケースでは、FXOS を同じ物理スイッチに接続する必要があります。

Case 3.FXOSポートチャネル未割り当て

ネットワーク図

問題の兆候

FXOS 側では、ポートチャネルメンバーは一時停止されています。

FP4110-7-A(fxos)# show port-channel summary

Flags:  D - Down        P - Up in port-channel (members)

I - Individual  H - Hot-standby (LACP only)

s - Suspended   r - Module-removed

S - Switched    R - Routed

U - Up (port-channel)

M - Not in use. Min-links not met

--------------------------------------------------------------------------------

Group Port-       Type     Protocol  Member Ports

Channel

--------------------------------------------------------------------------------

15    Po15(SD)    Eth      LACP      Eth1/2(s)    Eth1/3(s)

48    Po48(SD)    Eth      NONE      --

スイッチ側も同様です。

Switch# show etherchannel 5 summary

…

Group  Port-channel  Protocol    Ports

------+-------------+-----------+-----------------------------------------------

5      Po5(SD)         LACP      Gi1/0/2(s)  Gi1/0/3(s)

FXOS LACPカウンタは、送受信されたパケットを示します。

FP4110-7-A(fxos)# show lacp counters

LACPDUs         Marker      Marker Response    LACPDUs

Port              Sent   Recv     Sent   Recv     Sent   Recv      Pkts Err

---------------------------------------------------------------------

port-channel15

Ethernet1/2        420839 452531   0      0        0      0        0

Ethernet1/3        420793 447409   0      0        0      0        0

FP4110-7-A(fxos)# show lacp counters

LACPDUs         Marker      Marker Response    LACPDUs

Port              Sent   Recv     Sent   Recv     Sent   Recv      Pkts Err

---------------------------------------------------------------------

port-channel15

Ethernet1/2        421026 452537   0      0        0      0        0

Ethernet1/3        420981 447416   0      0        0      0        0

スイッチ側のLACPカウンタには、送信されたが受信されなかったパケットも表示されます。

Switch# show lacp 5 counters

LACPDUs         Marker      Marker Response    LACPDUs

Port       Sent   Recv     Sent   Recv     Sent   Recv      Pkts Err

---------------------------------------------------------------------

Channel group: 5

Gi1/0/2     452539 420223   0      0        0      0         0

Gi1/0/3     447232 415274   0      0        0      0         0

Switch# show lacp 5 counters

LACPDUs         Marker      Marker Response    LACPDUs

Port       Sent   Recv     Sent   Recv     Sent   Recv      Pkts Err

---------------------------------------------------------------------

Channel group: 5

Gi1/0/2     452540 420223   0      0        0      0         0

Gi1/0/3     447233 415274   0      0        0      0         0

根本原因

この場合の問題は、FXOS ポートチャネルが論理デバイス（FTD アプリケーション）に割り当てられていないことです。

解決方法

ポートチャネルを論理デバイスに割り当てます。

ケース 4.ポートチャネルに関するヘルスアラートがパケットを受信しない

デバイス（FTD）は、名前が設定されアップ状態の各インターフェイスで受信したインターフェイス トラフィックに関する情報を 5 分ごとに送信します。最後のインターバルでパケットが受信されない場合、次のようなメッセージが FMC UI に表示されます。

推奨処置

FTD CLIからshow trafficの出力を確認し、5分間の入力レートに注目します。たとえば、次のようにします。

Interface Port-channel10.14

INSIDE:

received (in 237938.740 secs):

2 packets       84 bytes

0 pkts/sec      0 bytes/sec

transmitted (in 237938.740 secs):

5 packets       140 bytes

0 pkts/sec      0 bytes/sec

1 minute input rate 0 pkts/sec,  0 bytes/sec

1 minute output rate 0 pkts/sec,  0 bytes/sec

1 minute drop rate, 0 pkts/sec

5 minute input rate 0 pkts/sec,  0 bytes/sec

5 minute output rate 0 pkts/sec,  0 bytes/sec

5 minute drop rate, 0 pkts/sec

ケース 5.FMCのヘルスアラート：ポートチャネルの関連付けが解除されたか、インターフェイスが追加されました

Healthアラートには、「Interface with physical-name: "Port-Channel" disassociated.」または「Interface with physical-name: \"name_if\"added.」と表示されます。

推奨処置

これは、Cisco Bug ID CSCvb15074で追跡されている既知の表面的な問題です

ポートチャネルの考慮事項

設計上の考慮事項

Case 1.HA内のFTD/ASAブレード

次の設定はサポートされていません。これは、スイッチ側のポートチャネル設定が正しくなく、スタンバイデバイスでトラフィックブロックが発生するためです。このような設計は、クラスタスパンモードで ASA または FTD を設定する場合にのみサポートされます。

警告：このシナリオは、フェールオーバー（ハイアベイラビリティ）では正しくありません

次は高可用性に適したポートチャネル設計です。

参考資料

- 別のデバイス上の EtherChannel への接続

- シャーシ間クラスタリングの EtherChannel

Case 2.クラスタ内のFTD/ASA

各ファイアウォールのデータ インターフェイス ポートチャネルではスパンモードを使用します（これは Firepower プラットフォームでサポートされる唯一のモードです）。設計の観点からは、スイッチ側では、1 つのデータインターフェイスのスイッチポートは 1 つのポートチャネルに属します。

たとえば、FP9300（2 シャーシ、6 ブレード）の場合、データポートは次のように設定できます。

一方、Cluster Control Link(CCL)は個別のポートチャネルモードを使用し、ベストプラクティスに従って、帯域幅は各メンバの最大容量と一致する必要があります。また、Nexus の場合、各ポートチャネルは異なる vPC に属します。

FP41xx の場合も同様です。

CCL も同様です。

Case 3.ポートチャネルFXOSで終了

FXOS シャーシでポートチャネルは終端されます。この設計の例を次に示します。

ケース 4.FXOSを介したポートチャネル

ポートチャネルはFXOSシャーシを通過します。この設計の例を次に示します。

注：2番目のシナリオでは、FirepowerアプライアンスにPort-Channelが設定されていません。

FXOS で終端されるポートチャネルと FXOS を通過するポートチャネル

機能

注釈

FXOS シャーシ（MIO）で終端されるポートチャネル

FXOS 2.1.1 以降で動作

ポートチャネルはFXOSシャーシ(MIO)を通過

- FXOS 2.1.1.58 より前のバージョンで動作

- FXOS >= 2.1.1.58および< 2.3.1.3では動作しません(Cisco Bug ID CSCva00405が原因)。

- FXOS 2.3.1.3 以降で動作

その他の考慮事項

LACP グレースフル コンバージェンス

クラスタ設定（ASA または FTD）の場合、Nexus で LACP グレースフル コンバージェンスを有効にすることをお勧めします。

よく寄せられる質問（FAQ）

Q. SSPのポートチャネルハッシュ分散は固定ですか、それとも適応型ですか。

FXOS では、復元力が高いハッシュ分散を使用します。オンラインの Nexus 7000/9k ドキュメントで説明されている固定ハッシュ分散モードに相当します。復元力のあるハッシングでは、リンクに障害が発生すると、障害が発生したリンクに割り当てられたフローがアクティブリンク間で均等に再配布されます。アクティブリンクを通過する現在のフローは再ハッシュされず、パケットは順不同で配信されません。ポートチャネルまたはECMPグループにリンクが追加されると、現在のリンクにハッシュされたフローの一部が新しいリンクに再ハッシュされますが、現在のすべてのリンクに再ハッシュされるわけではありません。

Q.ポートチャネルに接続されているスイッチポートがダウンするとどうなりますか。FTDは物理リンクまたはポートチャネルを監視しますか。

すべてのポートチャネル インターフェイス メンバーがダウンすると、ポートチャネルもダウンします。ポートチャネルの動作状態が機能不全と表示されます。FTD 側では、ポートチャネルはダウンと表示されます。一方、このルールには例外があります。スイッチがスタッキングを使用する場合。LACP では、システム ID にアクティブ スイッチのスタック MAC アドレスが使用されます。アクティブ スイッチが変更された場合は、LACP のシステム ID が変更される可能性があります。LACP システム ID が変更された場合は、EtherChannel 全体がフラップし、STP の再コンバージェンスが発生します。stack-mac persistent timerコマンドを使用して、アクティブスイッチのフェールオーバー後にスタックMACアドレスが変更されるかどうかを制御します。

Q. 「port-channel min-bundle 2」コマンドを使用して、ポートチャネルの1つのリンクがダウンした場合にポートチャネルがダウンし、ファイアウォールでフェールオーバーが行われるようにしたいのですが。

このオプションは、FXOS シャーシでは使用できません。回避策として、可能な場合はピアスイッチで lacp min-links コマンドを設定します。

Q. LACPパケットのキャプチャ方法を教えてください。

Case 1.論理アプライアンス(FTD/ASA)で終了するポートチャネル

- ポートチャネルは、実際にはシャーシレベル（FXOS）で終端されます。

- シャーシレベル（FXOS）でもアプリケーションレベル（FTD/ASA）でも、LACP パケット（入力または出力）をキャプチャすることはできません。

Case 2.FTD経由のポートチャネル：インラインセットとして導入されたFTDインターフェイス

inline-set set1

snort fail-open down

interface-pair INSIDE OUTSIDE

!

interface Ethernet1/2

nameif INSIDE

cts manual

propagate sgt preserve-untag

policy static sgt disabled trusted

!

interface Ethernet1/3

nameif OUTSIDE

cts manual

propagate sgt preserve-untag

policy static sgt disabled trusted

LACP Ethertype is 0x8809 (dec 34825):

firepower# capture CAP interface INSIDE ethernet-type 34825

firepower# show capture CAP

1: 21:15:00.403131       2894.0f57.271d 0180.c200.0002 0x8809 Length: 124 <-- LACP packet

0101 0114 8000 0017 dfd6 ec00 0016 8000

0223 3d00 0000 0214 8000 0017 dfd6 ec00

0015 8000 0222 3d00 0000 0310 8000 0000

0000 0000 0000 0000 0000 0000 0000 0000

0000 0000 0000 0000 0000 0000 0000 0000

0000 0000 0000 0000 0000 0000 0000 0000

0000 0000 0000 0000 0000 0000 0000

Case 3.ブリッジグループモードとして導入されたFTD - FTDインターフェイスを介したポートチャネル：

interface Ethernet1/2

bridge-group 1

nameif INSIDE

cts manual

propagate sgt preserve-untag

policy static sgt disabled trusted

security-level 0

!

interface Ethernet1/3

bridge-group 1

nameif OUTSIDE

cts manual

propagate sgt preserve-untag

policy static sgt disabled trusted

security-level 0

!

interface BVI1

ip address 192.168.201.134 255.255.255.0

firepower# capture CAP interface INSIDE ethernet-type 34825

firepower# show capture CAP

1 packet captured

1: 21:21:29.731987       2894.0f57.271c 0180.c200.0002 0x8809 Length: 124 <-- LACP packet

0101 0114 8000 0017 dfd6 ec00 0015 8000

0222 7d00 0000 0214 0000 0000 0000 0000

0000 0000 0000 0000 0000 0310 8000 0000

0000 0000 0000 0000 0000 0000 0000 0000

0000 0000 0000 0000 0000 0000 0000 0000

0000 0000 0000 0000 0000 0000 0000 0000

0000 0000 0000 0000 0000 0000 0000

1 packet shown

Q. 1つのポートからPort-Channelに移行するにはどうすればよいのですか。

この変更にはメンテナンスウィンドウ（MW）が必要であり、手間がかかります。単一インターフェイスからポートチャネルに移行すると、単一インターフェイスに関連するすべての構成の関連付けが解除されます。ポートチャネルを作成したら、同じ設定を新しく設定したポートチャネル（NAT、ルーティング、VPNなど）に再度関連付ける必要があります。FTD については、次のドキュメントに記述があります。

EtherChannel の設定

ASA デバイスの場合、手順は次のドキュメントで説明されています。

Converting In-Use Interfaces to a Redundant or EtherChannel Interface

Q. FTDハイアベイラビリティ(HA)リンクをポートチャネルに変更する方法を教えてください。

この変更にはメンテナンスウィンドウ（MW）が必要であり、手間がかかります。HA を解除して再構成する必要があります。新しい HA ペアで、ポートチャネルを HA リンクとして指定します。関連資料:

Firepower アプライアンスでの FTD 高可用性の設定

Q. ASAとのFirepowerでport-channel Up、物理インターフェイスのステータスdownが表示される

これは、Cisco Bug ID CSCvp03354

Q. FMCのポートチャネルIDに何を選択するかは重要ですか。  スイッチ側の何かと一致する必要がありますか？

いいえ、関係ありません。任意のポートチャネル ID を使用できます。

Q. Port-Channel Advancedタブで、アクティブ/スタンバイMACに対して何か操作を行う必要がありますか。

ポートチャネルをアクセスモード（トランクなし）で使用する予定で、高可用性（HA）セットアップを使用する場合は、アクティブ/スタンバイ MAC を設定することを強くお勧めします。この推奨事項は、ポートチャネルだけでなく、すべての HA セットアップに適用できます。

Q. Port-Channelのインターフェイスメンバーの説明を設定できますか。

現在(FXOS 2.13.x)はサポートされていません。詳細については、最新の FXOS コンフィギュレーション ガイドを確認してください。

Q. FXOSポートチャネルのロードバランシングアルゴリズムを変更することは可能ですか。

現在(FXOS 2.13.x)はサポートされていません。詳細については、最新の FXOS コンフィギュレーション ガイドを確認してください。

Q.ポートチャネルをバンドル状態に遷移させるために、ポートチャネル内のメンバーインターフェイスの最小数(min-links)を設定することは可能ですか。

現在(FXOS 2.13.x)はサポートされていません。詳細については、最新の FXOS コンフィギュレーション ガイドを確認してください。

関連情報

- FXOS コンフィギュレーション ガイド

- FMC/FTD コンフィギュレーション ガイド