内容

お問い合わせ内容

ブリッジグループメンバーインターフェイスを通過するマルチキャストパケットは、次の症状でファイアウォールで廃棄されます。

1. マルチキャストパケットが目的の出力インターフェイスから送信されない：

firewall# show bridge-group

Static mac-address entries:  0 (in use), 16384 (max)

Dynamic mac-address entries: 2 (in use), 16384 (max)

Bridge Group: 100

Interfaces:

GigabitEthernet0/2

GigabitEthernet0/3

firewall# show nameif

Interface                Name                     Security

..

GigabitEthernet0/2       inside                   100

GigabitEthernet0/3       outside                  0

firewall# show capture

capture capi type raw-data trace interface inside[Capturing - 15642 bytes]

match udp any host 239.1.1.1

capture capo type raw-data interface outside [Capturing - 0 bytes]

match udp any host 239.1.1.1

2. 関連するshow connコマンドの出力のバイト数は0です。

firewall# show conn address 239.1.1.1

16 in use, 17 most used

UDP inside  192.0.2.1:50609 outside  239.1.1.1:5555, idle 0:01:03, bytes 0, flags –

3. S,G mroute着信インターフェイスがヌルの場合：

firewall# show mroute

Multicast Routing Table

Flags: D - Dense, S - Sparse, B - Bidir Group, s - SSM Group,

C - Connected, L - Local, I - Received Source Specific Host Report,

P - Pruned, R - RP-bit set, F - Register flag, T - SPT-bit set,

J - Join SPT

Timers: Uptime/Expires

Interface state: Interface, State

(*, 239.1.1.1), 3d01h/never, RP 198.51.100.100, flags: SCJ

Incoming interface: rp

RPF nbr: 198.51.100.100

Immediate Outgoing interface list:

outside, Forward, 3d01h/never

(192.0.2.1, 239.1.1.1), 00:02:48/00:00:41, flags: SJ

Incoming interface: Null

RPF nbr: 0.0.0.0

Inherited Outgoing interface list:

outside, Forward, 3d01h/never

環境

トポロジ

- セキュアファイアウォール脅威対策を実行するFirepower 4115。他のハードウェアプラットフォームおよびセキュリティASAも影響を受ける可能性があります。

- FTDバージョン7.6.4他のソフトウェアバージョンも影響を受ける可能性があります。

- Protocol Independent Multicast(PIM)Sparse Mode(SM)を使用したマルチキャストルーティングがイネーブルになります。

- マルチキャストトラフィックパスはブリッジグループメンバーを経由します。

- ブリッジ仮想インターフェイス(BVI)にnameif:

firewall# show bridge-group

Static mac-address entries:  0 (in use), 16384 (max)

Dynamic mac-address entries: 2 (in use), 16384 (max)

Bridge Group: 100

Interfaces:

GigabitEthernet0/2

GigabitEthernet0/3

firewall# show nameif

Interface                Name                     Security

..

GigabitEthernet0/2       inside                     100

GigabitEthernet0/3       outside                   0

firewall# show run int bvi100

interface BVI100

no nameif

security-level 0

ip address 192.0.2.100 255.255.255.0

解決策

分析

1. マルチキャスト転送情報ベース(MFIB)のその他のドロップカウンタの増加：

firewall# show mfib 239.1.1.1

Entry Flags: C - Directly Connected, S - Signal, IA - Inherit A flag,

AR - Activity Required, K - Keepalive

Forwarding Counts: Pkt Count/Pkts per second/Avg Pkt Size/Kbits per second

Other counts: Total/RPF failed/Other drops

Interface Flags: A - Accept, F - Forward, NS - Negate Signalling

IC - Internal Copy, NP - Not platform switched

SP - Signal Present

Interface Counts: FS Pkt Count/PS Pkt Count

(*,239.1.1.1) Flags: C K

Forwarding: 0/0/0/0, Other: 0/0/0

rp Flags: A NS

outside Flags: F NS

Pkts: 0/0

(192.0.2.1,239.1.1.1) Flags: K

Forwarding: 0/0/0/0, Other: 2620/0/2620

OBNS-FWinside Flags: A

outside Flags: F NS

Pkts: 0/0

firewall# show mfib 239.1.1.1

…

(192.0.2.1,239.1.1.1) Flags: K

Forwarding: 0/0/0/0, Other: 2629/0/2629

rp Flags: A

outside Flags: F NS

Pkts: 0/0

2. MFIBパケットのデバッグは、マルチキャストパケットのドロップを示します。

firewall# debug mfib pak 239.1.1.1

MFIB IPv4 pak debugging enabled

all MFIB debugging is for 239.1.1.1

MFIB: Pkt (192.0.2.1,239.1.1.1) from inside (PS) dropping

MFIB: Pkt (192.0.2.1,239.1.1.1) from inside (PS) dropping

3. 次のdebug pimコマンドの出力は、ルート192.0.2.1のメッセージに対するRPF lookup failedを示しています。

firewall# debug pim

IPv4 PIM:    RPF lookup failed for root 192.0.2.1

IPv4 PIM:    RPF lookup failed for root 192.0.2.1

4. ブリッジグループメンバーでPIMが有効になっている。

firewall# show pim interface

Address          Interface          PIM  Nbr   Hello  DR         DR

Count Intvl  Prior

239.1.1.1      inside             on   0     30     1          this system

239.1.1.1      outside            on   0     30     1          this system

ブリッジグループメンバは、マルチキャストルーティングプロトコルに参加できません。この問題は、Cisco Bug ID CSCwv23349で追跡されています。

この問題を回避するには、BVIにnameifを追加してから、ブリッジメンバインターフェイスnameifを削除または再追加します。nameifsの削除は影響を与えます。ユーザの裁量が推奨され、この変更は制御メンテナンスの時間帯にのみ行うことをお勧めします。

原因

Cisco Bug ID CSCwv23349が原因で、BVIにnameifがない場合、ブリッジグループのメンバーはマルチキャストルーティングプロトコルに参加します。つまり、PIMとInternet Group Messaging Protocol(IGMP)はこれらのインターフェイスで有効になっています。マルチキャストルーティングプロトコルをアクティブにすると、すべてのプロトコルレベルのチェックが実行され、その1つがリバースパス転送(RPF)チェックです。

RPFチェックでは、ユニキャストテーブル(B)に従って、マルチキャストの入力インターフェイス(A)とマルチキャストの送信側に向けたインターフェイスが比較されます。 インターフェイスが一致しない場合、RPF障害が原因でマルチキャストパケットがドロップされます。

この場合、insideは入力インターフェイスです。ルーティングテーブルには、IPアドレス192.0.2.1のマルチキャスト送信者へのユニキャストルートがありません。

firewall# show route 192.0.2.1

% Network not in table

firewall# show asp table routing address 192.0.2.1

route table timestamp: 46

ブリッジグループメンバがルーティングに参加しないことを考慮すると、ルーティングテーブルにはブリッジグループメンバ経由のルートはありません。その結果、ブリッジグループメンバーがルーティングプロトコルに参加している場合は、RPFチェック障害が発生します。Cisco Bug ID CSCwv23349の修正が適用されたバージョンでは、これらのインターフェイスはマルチキャストルーティングプロトコルの対象外になっています。

警告：この不具合は、特にブリッジグループメンバのマルチキャストルーティングプロトコルへの参加に関するものです。ブリッジグループメンバーを介したthrough-the-boxマルチキャスト、つまり、アップストリーム/ダウンストリームデバイス間のマルチキャスト接続には適用されません。

関連コンテンツ

- Cisco Bug ID CSCwv23349