BVI nameifを使用しないブリッジグループメンバー経由のマルチキャストパケットドロップのトラブルシューティング

お問い合わせ内容

ブリッジグループメンバーインターフェイスを通過するマルチキャストパケットは、次の症状でファイアウォールで廃棄されます。

1. マルチキャストパケットが目的の出力インターフェイスから送信されない：

firewall# show bridge-group
Static mac-address entries:  0 (in use), 16384 (max)
Dynamic mac-address entries: 2 (in use), 16384 (max)
 
 Bridge Group: 100
 Interfaces:
 GigabitEthernet0/2
 GigabitEthernet0/3
 
firewall# show nameif                           
Interface                Name                     Security
..
GigabitEthernet0/2       inside                   100
GigabitEthernet0/3       outside                  0
 
firewall# show capture
capture capi type raw-data trace interface inside[Capturing - 15642 bytes]
  match udp any host 239.1.1.1
capture capo type raw-data interface outside [Capturing - 0 bytes]
  match udp any host 239.1.1.1

2. 関連するshow connコマンドの出力のバイト数は0です。

firewall# show conn address 239.1.1.1
16 in use, 17 most used
 
UDP inside  192.0.2.1:50609 outside  239.1.1.1:5555, idle 0:01:03, bytes 0, flags –

3. S,G mroute着信インターフェイスがヌルの場合：

firewall# show mroute
 
Multicast Routing Table
Flags: D - Dense, S - Sparse, B - Bidir Group, s - SSM Group,
       C - Connected, L - Local, I - Received Source Specific Host Report,
       P - Pruned, R - RP-bit set, F - Register flag, T - SPT-bit set,
       J - Join SPT
Timers: Uptime/Expires
Interface state: Interface, State
 
(*, 239.1.1.1), 3d01h/never, RP 198.51.100.100, flags: SCJ
  Incoming interface: rp
  RPF nbr: 198.51.100.100
  Immediate Outgoing interface list:
    outside, Forward, 3d01h/never
 
(192.0.2.1, 239.1.1.1), 00:02:48/00:00:41, flags: SJ
  Incoming interface: Null
  RPF nbr: 0.0.0.0
  Inherited Outgoing interface list:
    outside, Forward, 3d01h/never

環境

トポロジ

• セキュアファイアウォール脅威対策を実行するFirepower 4115。他のハードウェアプラットフォームおよびセキュリティASAも影響を受ける可能性があります。

• FTDバージョン7.6.4他のソフトウェアバージョンも影響を受ける可能性があります。

• Protocol Independent Multicast(PIM)Sparse Mode(SM)を使用したマルチキャストルーティングがイネーブルになります。

• マルチキャストトラフィックパスはブリッジグループメンバーを経由します。

• ブリッジ仮想インターフェイス(BVI)にnameif:

firewall# show bridge-group
Static mac-address entries:  0 (in use), 16384 (max)
Dynamic mac-address entries: 2 (in use), 16384 (max)
 
 Bridge Group: 100
 Interfaces:
 GigabitEthernet0/2
 GigabitEthernet0/3
 
firewall# show nameif                           
Interface                Name                     Security
..
GigabitEthernet0/2       inside                     100
GigabitEthernet0/3       outside                   0
 
firewall# show run int bvi100
interface BVI100
no nameif
security-level 0
ip address 192.0.2.100 255.255.255.0

解決策

分析

1. マルチキャスト転送情報ベース(MFIB)のその他のドロップカウンタの増加：

firewall# show mfib 239.1.1.1
Entry Flags: C - Directly Connected, S - Signal, IA - Inherit A flag,
             AR - Activity Required, K - Keepalive
Forwarding Counts: Pkt Count/Pkts per second/Avg Pkt Size/Kbits per second
Other counts: Total/RPF failed/Other drops
Interface Flags: A - Accept, F - Forward, NS - Negate Signalling
             IC - Internal Copy, NP - Not platform switched
             SP - Signal Present
Interface Counts: FS Pkt Count/PS Pkt Count
 
(*,239.1.1.1) Flags: C K
   Forwarding: 0/0/0/0, Other: 0/0/0
   rp Flags: A NS
   outside Flags: F NS
     Pkts: 0/0
(192.0.2.1,239.1.1.1) Flags: K
   Forwarding: 0/0/0/0, Other: 2620/0/2620
   OBNS-FWinside Flags: A
   outside Flags: F NS
     Pkts: 0/0
 
firewall# show mfib 239.1.1.1
…
(192.0.2.1,239.1.1.1) Flags: K
   Forwarding: 0/0/0/0, Other: 2629/0/2629
   rp Flags: A
   outside Flags: F NS
     Pkts: 0/0

2. MFIBパケットのデバッグは、マルチキャストパケットのドロップを示します。

firewall# debug mfib pak 239.1.1.1
MFIB IPv4 pak debugging enabled
  all MFIB debugging is for 239.1.1.1
MFIB: Pkt (192.0.2.1,239.1.1.1) from inside (PS) dropping
MFIB: Pkt (192.0.2.1,239.1.1.1) from inside (PS) dropping

3. 次のdebug pimコマンドの出力は、ルート192.0.2.1のメッセージに対するRPF lookup failedを示しています。

firewall# debug pim 
 
IPv4 PIM:    RPF lookup failed for root 192.0.2.1
IPv4 PIM:    RPF lookup failed for root 192.0.2.1

4. ブリッジグループメンバーでPIMが有効になっている。

firewall# show pim interface
 
Address          Interface          PIM  Nbr   Hello  DR         DR
                                         Count Intvl  Prior
 
239.1.1.1      inside             on   0     30     1          this system
239.1.1.1      outside            on   0     30     1          this system

ブリッジグループメンバは、マルチキャストルーティングプロトコルに参加できません。この問題は、Cisco Bug ID CSCwv23349で追跡されています。

この問題を回避するには、BVIにnameifを追加してから、ブリッジメンバインターフェイスnameifを削除または再追加します。nameifsの削除は影響を与えます。ユーザの裁量が推奨され、この変更は制御メンテナンスの時間帯にのみ行うことをお勧めします。

原因

Cisco Bug ID CSCwv23349が原因で、BVIにnameifがない場合、ブリッジグループのメンバーはマルチキャストルーティングプロトコルに参加します。つまり、PIMとInternet Group Messaging Protocol(IGMP)はこれらのインターフェイスで有効になっています。マルチキャストルーティングプロトコルをアクティブにすると、すべてのプロトコルレベルのチェックが実行され、その1つがリバースパス転送(RPF)チェックです。

RPFチェックでは、ユニキャストテーブル(B)に従って、マルチキャストの入力インターフェイス(A)とマルチキャストの送信側に向けたインターフェイスが比較されます。 インターフェイスが一致しない場合、RPF障害が原因でマルチキャストパケットがドロップされます。

この場合、insideは入力インターフェイスです。ルーティングテーブルには、IPアドレス192.0.2.1のマルチキャスト送信者へのユニキャストルートがありません。

firewall# show route 192.0.2.1                   
 
% Network not in table
 
firewall# show asp table routing address 192.0.2.1
route table timestamp: 46

ブリッジグループメンバがルーティングに参加しないことを考慮すると、ルーティングテーブルにはブリッジグループメンバ経由のルートはありません。その結果、ブリッジグループメンバーがルーティングプロトコルに参加している場合は、RPFチェック障害が発生します。Cisco Bug ID CSCwv23349の修正が適用されたバージョンでは、これらのインターフェイスはマルチキャストルーティングプロトコルの対象外になっています。

関連コンテンツ

• Cisco Bug ID CSCwv23349

更新履歴

改定	発行日	コメント
1.0	06-Jul-2026	初版