BVI nameifを使用しないブリッジメンバー経由のマルチキャストパケットドロップのトラブルシューティング

問題

ブリッジグループメンバーインターフェイスを通過するマルチキャストパケットは、次の症状でファイアウォールで廃棄されます。

1. マルチキャストパケットが目的の出力インターフェイスから送信されない：

firewall# show bridge-group
Static mac-address entries:  0 (in use), 16384 (max)
Dynamic mac-address entries: 2 (in use), 16384 (max)
 
 Bridge Group: 100
 Interfaces:
 GigabitEthernet0/2
 GigabitEthernet0/3
 
firewall# show nameif                           
Interface                Name                     Security
..
GigabitEthernet0/2       inside                   100
GigabitEthernet0/3       outside                  0
 
firewall# show capture
capture capi type raw-data trace interface inside[Capturing - 15642 bytes]
  match udp any host 239.1.1.1
capture capo type raw-data interface outside [Capturing - 0 bytes]
  match udp any host 239.1.1.1

2. 関連するshow connコマンドの出力のバイト数は0です。

firewall# show conn address 239.1.1.1
16 in use, 17 most used
 
UDP inside  192.0.2.1:50609 outside  239.1.1.1:5555, idle 0:01:03, bytes 0, flags –

3. S,G mrouteの着信インターフェイスがヌルである。

firewall# show mroute
 
Multicast Routing Table
Flags: D - Dense, S - Sparse, B - Bidir Group, s - SSM Group,
       C - Connected, L - Local, I - Received Source Specific Host Report,
       P - Pruned, R - RP-bit set, F - Register flag, T - SPT-bit set,
       J - Join SPT
Timers: Uptime/Expires
Interface state: Interface, State
 
(*, 239.1.1.1), 3d01h/never, RP 198.51.100.100, flags: SCJ
  Incoming interface: rp
  RPF nbr: 198.51.100.100
  Immediate Outgoing interface list:
    outside, Forward, 3d01h/never
 
(192.0.2.1, 239.1.1.1), 00:02:48/00:00:41, flags: SJ
  Incoming interface: Null
  RPF nbr: 0.0.0.0
  Inherited Outgoing interface list:
    outside, Forward, 3d01h/never

環境

トポロジ

• Secure Firewall Threat Defense(SFTD)を実行しているFirepower 4115、その他のハードウェアプラットフォーム、およびセキュリティASAが影響を受ける可能性があります。

• FTDバージョン7.6.4およびその他のソフトウェアバージョンが影響を受ける可能性があります。

• Protocol Independent Multicast(PIM)Sparse Mode(SM)を使用したマルチキャストルーティングがイネーブルになります。

• マルチキャストトラフィックパスはブリッジグループメンバーを経由します。

• ブリッジ仮想インターフェイス(BVI)にnameifがありません。

firewall# show bridge-group
Static mac-address entries:  0 (in use), 16384 (max)
Dynamic mac-address entries: 2 (in use), 16384 (max)
 
 Bridge Group: 100
 Interfaces:
 GigabitEthernet0/2
 GigabitEthernet0/3
 
firewall# show nameif                           
Interface                Name                     Security
..
GigabitEthernet0/2       inside                     100
GigabitEthernet0/3       outside                   0
 
firewall# show run int bvi100
interface BVI100
no nameif
security-level 0
ip address 192.0.2.100 255.255.255.0

解決方法

分析

1. マルチキャスト転送情報ベース(MFIB)のその他のドロップカウンタの増加：

firewall# show mfib 239.1.1.1
Entry Flags: C - Directly Connected, S - Signal, IA - Inherit A flag,
             AR - Activity Required, K - Keepalive
Forwarding Counts: Pkt Count/Pkts per second/Avg Pkt Size/Kbits per second
Other counts: Total/RPF failed/Other drops
Interface Flags: A - Accept, F - Forward, NS - Negate Signalling
             IC - Internal Copy, NP - Not platform switched
             SP - Signal Present
Interface Counts: FS Pkt Count/PS Pkt Count
 
(*,239.1.1.1) Flags: C K
   Forwarding: 0/0/0/0, Other: 0/0/0
   rp Flags: A NS
   outside Flags: F NS
     Pkts: 0/0
(192.0.2.1,239.1.1.1) Flags: K
   Forwarding: 0/0/0/0, Other: 2620/0/2620
   OBNS-FWinside Flags: A
   outside Flags: F NS
     Pkts: 0/0
 
firewall# show mfib 239.1.1.1
…
(192.0.2.1,239.1.1.1) Flags: K
   Forwarding: 0/0/0/0, Other: 2629/0/2629
   rp Flags: A
   outside Flags: F NS
     Pkts: 0/0

2. MFIBパケットのデバッグは、マルチキャストパケットのドロップを示します。

firewall# debug mfib pak 239.1.1.1
MFIB IPv4 pak debugging enabled
  all MFIB debugging is for 239.1.1.1
MFIB: Pkt (192.0.2.1,239.1.1.1) from inside (PS) dropping
MFIB: Pkt (192.0.2.1,239.1.1.1) from inside (PS) dropping

3. 次のdebug pimコマンドの出力は、ルート192.0.2.1のメッセージに対するRPF lookup failedを示しています。

firewall# debug pim 
 
IPv4 PIM:    RPF lookup failed for root 192.0.2.1
IPv4 PIM:    RPF lookup failed for root 192.0.2.1

4. ブリッジグループメンバーでPIMが有効になっている。

firewall# show pim interface
 
Address          Interface          PIM  Nbr   Hello  DR         DR
                                         Count Intvl  Prior
 
239.1.1.1      inside             on   0     30     1          this system
239.1.1.1      outside            on   0     30     1          this system

ブリッジグループメンバは、マルチキャストルーティングプロトコルに参加できません。この問題は、Cisco Bug ID CSCwv23349で追跡されています。この問題を回避するには、BVIにnameifを追加してから、ブリッジメンバーのinterface nameifを削除または再度追加します。nameifsの削除は影響が大きく、ユーザの判断が必要です。この変更は、管理されたメンテナンスの時間帯にのみ推奨されます。

原因

Cisco Bug ID CSCwv23349が原因で、BVIにnameifがない場合、マルチキャストルーティングプロトコル(つまり、PIMとInternet Group Messaging Protocol(IGMP))に参加しているブリッジグループのメンバーがこれらのインターフェイスで有効になっています。マルチキャストルーティングプロトコルをアクティブにすると、すべてのプロトコルレベルのチェックが実行され、その1つがリバースパス転送(RPF)チェックです。

RPFチェックでは、ユニキャストテーブル(B)に従って、マルチキャストの入力インターフェイス(A)とマルチキャストの送信側に向けたインターフェイスが比較されます。 インターフェイスが一致しない場合、RPF障害が原因でマルチキャストパケットがドロップされます。この場合、insideは入力インターフェイスです。ルーティングテーブルには、IPアドレス192.0.2.1のマルチキャスト送信者へのユニキャストルートがありません。

firewall# show route 192.0.2.1                   
 
% Network not in table
 
firewall# show asp table routing address 192.0.2.1
route table timestamp: 46

ブリッジグループメンバがルーティングに参加しないことを考慮すると、ルーティングテーブルにはブリッジグループメンバ経由のルートはありません。その結果、ブリッジグループメンバーがルーティングプロトコルに参加している場合は、RPFチェック障害が発生します。Cisco Bug ID CSCwv23349の修正で修正されたバージョンでは、これらのインターフェイスはマルチキャストルーティングプロトコルから除外されます。

関連コンテンツ

• Cisco Bug ID CSCwv23349

更新履歴

改定	発行日	コメント
2.0	29-Oct-2026	KCSのタイトル、スペル、文法、CCWアラートの確認/修正を更新。
1.0	06-Jul-2026	初版