단일 ESP를 사용하는 Cisco ASR 1006 또는 ASR 1013 라우터의 암호화 엔진 오류

소개

이 문서에서는 Cisco ASR(Aggregation Services Router) 1006 또는 ASR 1013 플랫폼에서 관찰될 수 있는 IPSec 작업 문제를 식별하고 해결하는 방법에 대해 설명합니다.이는 ESP(Embedded Services Processor)가 하나만 설치되어 있고 슬롯 F1에 장착될 때 발생할 수 있습니다.

사전 요구 사항

요구 사항

이 문서에 대한 특정 요건이 없습니다.

사용되는 구성 요소

이 문서의 정보는 Cisco 1000 Series ASR 1006 또는 Cisco ASR 1013을 기반으로 합니다.

이 문서의 정보는 특정 랩 환경의 디바이스를 토대로 작성되었습니다.이 문서에 사용된 모든 디바이스는 초기화된(기본) 컨피그레이션으로 시작되었습니다.현재 네트워크가 작동 중인 경우, 모든 명령어의 잠재적인 영향을 미리 숙지하시기 바랍니다.

배경 정보

Cisco 1000 Series ASR 포트폴리오에는 두 가지 모델(ASR 1006 및 ASR 1013)이 포함되어 있습니다. 각 모델은 RP(Redundant Route Processor) 및 ESP를 제공합니다. 일반적으로 단일 ESP는 Cisco ASR 1006 및 Cisco ASR 1013에 슬롯 F0 또는 F1에 설치되며 제한 없이 설치됩니다.동일한 전제가 RP 슬롯에 적용됩니다.

슬롯 번호 지정은 Cisco ASR 1006 및 Cisco ASR 1013 설치 가이드에 설명되어 있습니다.

문제

장치 전원 순환 후 암호화 엔진을 초기화하지 못했습니다. ESP가 슬롯 F1에 장착되고 슬롯 F0에 실행 중인 ESP가 없는 경우 다음 제품에서 문제가 발견되었습니다.

하드웨어:

• 듀얼 ESP Cisco ASR 1000 모델: ASR1006 또는 ASR1013.

소프트웨어:

• Cisco IOS^® XE Release 3.7.xS 열차: 버전 3.7.3S 이하;3.7.4S 이상에는 영향이 없습니다.
• 이후 Cisco IOS XE 교육에서는 다음을 수행합니다. 버전 3.9.1S 이하;3.9.2S 이상에는 영향이 없습니다.

문제의 증상은 다음과 같습니다.

• 로그는 다음 오류 메시지를 표시합니다.

  ISAKMP: Unable to find a crypto engine to allocate IKE SA

• show crypto eli 및 show crypto ace slot <number> status 명령의 출력은 암호화 엔진이 비활성 상태임을 나타냅니다.

  ASR1006#show crypto eli 
  Hardware Encryption: INACTIVE 
   Number of hardware crypto engines = 1 
  
   CryptoEngine IOSXE-ESP(14) details: state = Initializing
   Capability    : DES, 3DES, AES, GCM, GMAC, RSA, IPv6, GDOI, FAILCLOSE
   IKE-Session   :     0 active, 12287 max, 0 failed 
   DH            :     0 active, 12287 max, 0 failed 
   IPSec-Session :     0 active, 32766 max, 0 failed
  
  
  ASR1006#show crypto ace slot 14 stat | inc status
  
  ACE status: OFFLINE

이 문제는 다음 시나리오에서 발생할 수 있습니다.

• 단일 ESP가 슬롯 F1에 삽입되고 슬롯 F0에 ESP가 없습니다. 라우터가 전원 순환되었습니다.
• 두 개의 ESP가 있지만, 문제가 발생하여 F0의 ESP가 실패하고 F1에 단일 ESP를 남겨둡니다. 라우터는 전원 순환되었습니다.

ESP의 가용성을 확인하려면 show platform 명령을 입력합니다. 

예:

    ASR1006#show platform
    Chassis type: ASR1006 

    Slot  Type                State       Insert time (ago) 
    0     ASR1000-SIP10       ok          00:32:04       
    0/0   SPA-8X1GE-V2        ok          00:29:46      
    1     ASR1000-SIP10       ok          00:32:04      
    1/0   SPA-8X1GE-V2        ok          00:29:46
    R1    ASR1000-RP1         ok, active  00:32:04      
    F1    ASR1000-ESP10       ok, active  00:32:04      
    P0    ASR1006-PWR-AC      ok          00:31:12     
    P1    ASR1006-PWR-AC      ok          00:31:11

솔루션

문제는 Cisco 버그 ID CSCue45131, "sVTI 터널 I/F는 라우터 재부팅 후 나타나지 않습니다." 때문입니다.
버그는 Cisco IOS XE 릴리스 3.7.4S 및 3.9.2S에서 고정됩니다.

Cisco IOS XE Release 3.10.0S 교육에 문제가 없습니다.

가장 좋은 방법은 현재 작동하는 ESP가 슬롯 F0에 설치되어 있는지 확인하는 것입니다. 이 솔루션이 가능하지 않을 경우 원격으로 적용할 수 있는 다른 해결 방법은 다음과 같습니다.

• ESP를 다시 로드합니다. # hw 모듈 슬롯 F1 다시 로드

또는

• 라우터 다시 로드