Hypershield コントローラから Hypershield Agent への接続の問題

Hypershield コントローラから Hypershield Agent への接続の問題

スイッチ上の Hypershield Agent（HSA）が Hypershield Controller（HSC）との接続を確立できない問題を診断し、解決します。HSC から HSA への接続をトラブルシューティングするための主要なツールは、一連のチェックを実行する service system hypershield test controller connection コマンドです。

手順

ステップ 1

コントローラ接続テスト電力事業を実行します。

例:

switch# service system hypershield test controller connection
==============================
 Running config checks
==============================
Using source-interface loopback100 for controller connection
Controller connection token is configured
Controller connection status: [success]
Controller reason: [connected ok with Hypershield controller]
Controller endpoint: 172.31.147.51:6443
=================================================
Starting network connectivity checks on the switch
=================================================
Not using proxy for controller connection
Using curl to check connection to 172.31.147.51 port 6443
Curl successfully connected to 172.31.147.51:6443.
Collect 'show tech service-acceleration' to debug any agent connectivity failure

このコマンドは、いくつかのチェックを実行して、接続失敗のステータスと考えられる理由を表示します。

正常に接続されたら、次のことを確認します。

  • エージェント ステータスは、firewall-ready、redirect-installed（完全なオンボーディング後）や同様の正常な状態など、準備ができていることを示します。

  • コントローラ接続のステータスは「成功」です。

  • ネットワーク接続チェック（DNS 解決、ping、curl）が成功しました。

例:

switch# service system Hypershield test controller connection
==============================
Running config checks
==============================
HypershieldAgent not running Configure 'service system hypershield'

エージェントが実行されていない場合、そのことが出力に明示的に表示されます。

これを解決するには、service system hypershield コマンドが構成されていることを確認します。

また、source-interface loopback <idx> が service system hypershield の下で構成されており、構成されたループバック インターフェイスにデフォルトの VRF で有効な /32 IP アドレスがあることを確認します。

show system internal service-acceleration agent status コマンドを使用してエージェント状態を確認できます。[開始済み（started）] と表示されます。

ステップ 2

ファイアウォール サブシステムが [サービス中（in-service）] でない場合は、出力を解釈します。

例:

switch(config-svc-sys)# service system hypershield test controller connection
==============================
Running config checks
==============================
Enable firewall service by configuring 'in-service'

ファイアウォール サービスが有効になっていない場合、[サービス中（in-service）] を構成するように出力に求められます。

これを解決するには、 サービス システム ハイパーシールド サービス ファイアウォール コンフィギュレーション モードで in-service を構成します。

ステップ 3

トークンが構成されていないか、無効なトークンが構成されている場合、出力を解釈します。

例:

switch(config-svc-sys-fw)# service system hypershield test controller connection

==============================
 Running config checks
==============================
Controller connection token Invalid! Configure using 'service system hypershield register <token>'

OTP が構成されていない場合、 出力にはトークンが欠落していることが示されます。

これを解決するには、Hypershield 管理ポータル（HS MP）から OTP を取得し、service system hypershield register <token> EXEC コマンドを使用してスイッチ上で構成します。

トークンが構成されているかどうか（トークン自体ではない）は、 show system internal dme running-config all dn sys/sas/volatiledata/agent-hypershield | grep connToken を使用して確認できます。

ステップ 4

これは、HSA がハンドシェイクを完了し、すべての DPU と同期した場合の出力です。

例:

switch# service system hypershield test controller connection

==============================
 Running config checks
==============================
Hypershield Agent <-> DPU handshake pending. Collect 'show tech-support service-acceleration'

HSA が 1 つ以上の DPU と通信または同期できない場合、[正常性ステータス（Health Status）] は [機能不全（failed）] と表示され、出力は保留中のハンドシェイクを示すか、DPU 診断を提供します。

DPU 診断内：

  • InSync false は、ファイアウォール ポリシーが DPU と HSA の間で同期していないことを示します。

  • Healthy false は、DPU と HSA 間の定期的なハンドシェイクが失敗していることを示します。

このシナリオでさらにデバッグするには、 show tech-support service-acceleration コマンドの出力を収集することを推奨します。

ステップ 5

コントローラへのルートがない場合、 出力には詳細なネットワーク接続チェックとルーティング検証が表示されます。

例:

switch(config-if)# service system hypershield test controller connection

==============================
 Running config checks
==============================
Using source-interface loopback100 for controller connection
Controller connection token is configured
Controller connection status: [success]
Controller reason: [connected ok with Hypershield controller]
Controller endpoint: 172.31.147.51:6443

=================================================
 Starting network connectivity checks on the switch
=================================================
Not using proxy for controller connection
Using curl to check connection to 172.31.147.51 port 6443
Failed to connect to host.

Running ping tests to check connectivity.
Pinging 172.31.147.51 to check network connectivity.
PING 172.31.147.51 (172.31.147.51) 56(84) bytes of data.
From 127.253.254.1 icmp_seq=1 Destination Net Unreachable

--- 172.31.147.51 ping statistics ---
4 packets transmitted, 0 received, +1 errors, 100% packet loss, time 3037ms

Could not ping 172.31.147.51.

Checking for a valid route for 172.31.147.51
RTNETLINK answers: Network is unreachable

Could not reach 172.31.147.51 from host.
Check 'show ip route 172.31.147.51' for a valid route

switch(config-if)# show ip route 172.31.147.51
IP Route Table for VRF "default"
'*' denotes best ucast next-hop
'**' denotes best mcast next-hop
'[x/y]' denotes [preference/metric]
'%<string>' in via output denotes VRF <string>
Route not found

ステップ 6

（オプション）ping を使用して HSA コンテナからの到達可能性をテストします。

例:

switch# service system hypershield test ping 171.70.33.31 PING 171.70.33.31 (171.70.33.31) 56(84) bytes of data.
64 bytes from 171.70.33.31: icmp_seq=1 ttl=53 time=2.93 ms
...
--- 171.70.33.31 ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3004ms rtt min/avg/max/mdev = 1.540/2.357/2.931/0.525 ms

このコマンドは、ping がコンテナ内から実行されるため、HSA の観点から基本的な IP 接続を確認します。ping を送信するコントローラの IP アドレスまたはホスト名を指定します。

service system hypershield test controller connection コマンドの出力を分析し、HSA コンテナから追加の ping テストを実行することで、HSA から HSC への接続を妨げている一般的な構成またはネットワークの問題を特定できます。