Errdisable-poortstatus herstellen op Cisco IOS-platformen
Inhoud
Inleiding
In dit document wordt de status errdisabled besproken, hoe hieruit te komen en biedt voorbeelden van errdisable-herstel.
Voorwaarden
Vereisten
Er zijn geen specifieke vereisten van toepassing op dit document.
Gebruikte componenten
De resultaten in dit document zijn afkomstig van Switches uit de Cisco Catalyst 4500/6500-reeks. De switches draaiden met Cisco IOS® Software en hadden Ethernet-poorten die geschikt zijn voor EtherChannel en PortFast.
De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.
Achtergrondinformatie
In dit document wordt de functie opnieuw uitschakelen en fout uitgeschakeld voor de interfacestatus. Het is gebruikelijk om technische ondersteuning te zoeken wanneer u merkt dat een of meer havenpoorten uitschakelbaar zijn geworden, wat betekent dat de switches een status hebben van fout-uitgeschakeld. Het doel van dit document is om te helpen begrijpen waarom het opnieuw uitschakelen is opgetreden en hoe u de poorten kunt herstellen naar normale werking.
Opmerking: de poortstatus van de foutuitgeschakelde weergave wordt weergegeven in de uitvoer van de opdracht show interfaces status.
De functie voor het opnieuw uitschakelen wordt ondersteund op Catalyst-switches waarop Cisco IOS® en Cisco IOS XE worden uitgevoerd; de opdrachten en voorbeelden in dit document zijn gericht op de Cisco IOS®-softwareplatforms die in Gebruikte onderdelen zijn geïdentificeerd.
De commando's die worden gebruikt om erdisable te implementeren en te verifiëren, kunnen variëren tussen softwareplatforms. Dit document is specifiek gericht op errdisable voor switches waarop Cisco IOS-software wordt uitgevoerd.
Errdisable
Functie van Errdisable
Als de configuratie aangeeft dat een poort moet worden ingeschakeld, maar software op de switch een foutsituatie op de poort detecteert, schakelt de software die poort uit. Met andere woorden: de poort wordt automatisch uitgeschakeld door de besturingssysteemsoftware van de switch vanwege een foutconditie die wordt gedetecteerd op de poort.
Wanneer een poort fout is uitgeschakeld, wordt deze effectief uitgeschakeld en wordt er geen verkeer verzonden of ontvangen op die poort. Het poortlampje is ingesteld op de kleur oranje en wanneer u de opdracht Show Interfaces uitvoert, wordt de poortstatus foutloos weergegeven. Dit is een voorbeeld van hoe een foutuitgeschakelde poort eruit ziet vanuit de Command Line Interface (CLI) van de switch:
cat6k#show interfaces gigabitethernet 4/1 status Port Name Status Vlan Duplex Speed Type Gi4/1 err-disabled 100 full 1000 1000BaseSX
Of, als de interface is uitgeschakeld vanwege een foutconditie, ziet u berichten die vergelijkbaar zijn met deze in zowel de console als de syslog:
%SPANTREE-SP-2-BLOCK_BPDUGUARD: Received BPDU on port GigabitEthernet4/1 with BPDU Guard enabled. Disabling port.
%PM-SP-4-ERR_DISABLE: bpduguard error detected on Gi4/1, putting Gi4/1 in err-disable state
Dit voorbeeldbericht toont wanneer een hostpoort de bridge protocol data unit (BPDU) ontvangt. De daadwerkelijke bericht is afhankelijk van de reden voor de foutconditie.
De heruitschakelbare functie dient twee doelen:
-
Deze laat de beheerder weten wanneer en waar er een poortprobleem is.
-
Het elimineert de mogelijkheid dat deze poort ervoor kan zorgen dat andere poorten op de module (of de hele module) uitvallen.
-
Een dergelijke storing kan optreden wanneer een slechte poort buffers monopoliseert of poortfoutberichten interprocescommunicatie op de kaart monopoliseren, wat ernstige netwerkproblemen kan veroorzaken. De herbruikbare functie helpt deze situaties te voorkomen.
-
Oorzaken van Errdisable
Deze functie werd voor het eerst geïmplementeerd om speciale botsingssituaties aan te pakken als de switch overmatige of late botsingen op een poort detecteerde. Overmatige botsingen treden op wanneer een frame wordt verwijderd omdat de switch 16 botsingen op rij tegenkomt. Late botsingen ontstaan omdat elk apparaat op de draad niet herkende dat de draad in gebruik was. Mogelijke oorzaken van deze typen fouten zijn onder andere:
-
Een kabel die niet is gespecificeerd (te lang, het verkeerde type of defect).
-
Een slechte netwerkinterfacekaart (NIC-kaart) (met fysieke problemen of problemen met stuurprogramma's).
-
Een poortduplex-misconfiguratie.
-
Een poortduplexconfiguratie is een veel voorkomende oorzaak van fouten als gevolg van het niet goed onderhandelen over de snelheid en duplexmodus tussen twee direct verbonden apparaten (zoals een NIC die verbinding maakt met een switch).
-
Alleen half-duplex verbindingen kunnen botsingen in een LAN hebben. Vanwege de CSMA-aard (carrier sense multiple access) van Ethernet zijn botsingen normaal voor half-duplex, zolang als de botsingen een klein percentage verkeer niet overschrijden.
-
Er zijn verschillende redenen waarom de interface naar errdisable schakelt. Deze redenen kunnen zijn:
-
Duplex-mismatch
-
Misconfiguratie(s) van poortkanaal
-
Overtreding(en) BPDU-beveiliging
-
UniDirectional Link Detection (UDLD)-voorwaarde(n)
-
Detectie(s) van late botsing
-
Link-flap detectie(s)
-
Beveiligingsovertreding(en)
-
Port Aggregation Protocol (PAgP) flap
-
Layer 2 Tunneling Protocol (L2TP) guard
-
Snelheidslimiet voor DHCP-snooping
-
Onjuiste module of kabel voor GBIC / Small Form-Factor Pluggable (SFP)
-
Inspectie van Address Resolution Protocol (ARP)
-
Inline voeding
Bepalen of poorten zich in de status Errdisabled bevinden
U kunt bepalen of de poort is uitgeschakeld door de opdracht show interfaces <interface> status uit te voeren.
Dit is een voorbeeld van een actieve poort:
cat6k#show interfaces gigabitethernet 4/1 status Port Name Status Vlan Duplex Speed Type Gi4/1 connected 100 full 1000 1000BaseSX
In dit volgende voorbeeld bevindt dezelfde poort zich in de foutuitgeschakelde staat:
cat6k#show interfaces gigabitethernet 4/1 status Port Name Status Vlan Duplex Speed Type Gi4/1 err-disabled 100 full 1000 1000BaseSX
De reden voor de status Errdisabled vaststellen (consoleberichten, Syslog en de opdracht Errdisable-herstel weergeven)
Wanneer de switch een poort in de status vanwege fout uitgeschakeld zet, stuurt de switch een bericht naar de console die beschrijft waarom de poort is uitgeschakeld. Het voorbeeld in dit gedeelte biedt twee voorbeeldberichten die de reden voor poortuitschakeling tonen.
-
De ene uitschakeling wordt uitgevoerd vanwege de functie PortFast BPDU Guard.
-
De andere uitschakeling wordt uitgevoerd vanwege een EtherChannel-configuratieprobleem.
Dit zijn enkele voorbeeldberichten:
%SPANTREE-SP-2-BLOCK_BPDUGUARD: Received BPDU on port GigabitEthernet4/1 with BPDU Guard enabled. Disabling port. %PM-SP-4-ERR_DISABLE: bpduguard error detected on Gi4/1, putting Gi4/1 in err-disable state %SPANTREE-2-CHNMISCFG: STP loop - channel 11/1-2 is disabled in vlan 1
Als u Herstel opnieuw uitschakelen hebt ingeschakeld, kunt u de opdracht Herstel opnieuw uitschakelen weergeven uitvoeren om de oorzaak te bekijken die is gemeld voor interfaces die worden vermeld voor automatisch herstel:
cat6k#show errdisable recovery ErrDisable Reason Timer Status ----------------- -------------- udld Enabled bpduguard Enabled security-violatio Enabled channel-misconfig Enabled pagp-flap Enabled dtp-flap Enabled link-flap Enabled l2ptguard Enabled psecure-violation Enabled gbic-invalid Enabled dhcp-rate-limit Enabled mac-limit Enabled unicast-flood Enabled arp-inspection Enabled Timer interval: 300 seconds Interfaces that can be enabled at the next timeout: Interface Errdisable reason Time left(sec) --------- --------------------- -------------- Fa2/4 bpduguard 273
Een poort herstellen van de status Err-uitgeschakeld
In dit gedeelte vindt u voorbeelden van hoe u een poort met een foutmelding kunt tegenkomen en hoe u deze kunt repareren, en een paar extra redenen waarom een poort foutloos kan worden. Als u een poort wilt herstellen van de foutuitgeschakelde status, moet u eerst het hoofdprobleem identificeren en corrigeren en vervolgens de poort opnieuw inschakelen. Als u de poort opnieuw inschakelt voordat u het hoofdprobleem oplost, worden de poorten opnieuw foutloos uitgeschakeld.
Het hoofdprobleem oplossen
Nadat u ontdekt waarom de poorten zijn uitgeschakeld, lost u het hoofdprobleem op. De oplossing is afhankelijk van wat het probleem heeft geactiveerd. Er zijn verschillende dingen die de uitschakeling kunnen activeren. In dit gedeelte worden enkele van de meest zichtbare en voorkomende oorzaken besproken:
-
EtherChannel-misconfiguratie:
-
Om EtherChannel te laten werken, moeten de betrokken poorten consistente configuraties hebben. De poorten moeten hetzelfde VLAN, trunk-modus, snelheid, duplex, enzovoort hebben. De meeste configuratieverschillen binnen een switch worden opgemerkt en gemeld wanneer u het kanaal maakt. Als een switch is geconfigureerd voor EtherChannel en de andere switch niet is geconfigureerd voor EtherChannel, kan het proces van de overspanningsstructuur de gekanaliseerde poorten uitschakelen aan de kant die voor EtherChannel is geconfigureerd.
-
De on-modus van EtherChannel stuurt geen PAgP-pakketten om met de andere kant te onderhandelen voordat het wordt gekanaliseerd; het gaat ervan uit dat de andere kant kanaliseert. Bovendien schakelt dit voorbeeld EtherChannel niet in voor de andere switch, maar laat deze poorten als afzonderlijke, ongekanaliseerde poorten. Als u de andere switch een minuut of wat in deze staat laat staan, denkt Spanning Tree Protocol (STP) op de switch waar het EtherChannel is ingeschakeld dat er een lus is. Hiermee komen de kanaalpoorten in de errdisabled-status.
-
In dit voorbeeld werd een lus gedetecteerd en werden de poorten uitgeschakeld. De uitvoer van de opdracht show etherchannel summary geeft aan dat het aantal gebruikte kanaalgroepen 0 is. Wanneer u naar een van de betrokken poorten kijkt, ziet u dat de status fout is uitgeschakeld:
%SPANTREE-2-CHNL_MISCFG: Detected loop due to etherchannel misconfiguration of Gi4/1
cat6k#show etherchannel summary
Flags: D - down P - in port-channel
I - stand-alone s - suspended
H - Hot-standby (LACP only)
R - Layer3 S - Layer2
U - in use f - failed to allocate aggregator
u - unsuitable for bundling
Number of channel-groups in use: 0
Number of aggregators: 0
Group Port-channel Protocol Ports
------+-------------+-----------+-----------------------------------------------
Het EtherChannel is uitgeschakeld omdat de poorten op deze switch in errdisable zijn gezet.
cat6k#show interfaces gigabitethernet 4/1 status Port Name Status Vlan Duplex Speed Type Gi4/1 err-disabled 100 full 1000 1000BaseSX
Om te bepalen wat het probleem was, kijk naar de foutmelding. Het bericht geeft aan dat het EtherChannel een omspannende boomlus heeft aangetroffen. Zoals in dit gedeelte wordt uitgelegd, kan dit probleem optreden wanneer een apparaat (in dit geval de switch) EtherChannel handmatig heeft ingeschakeld met behulp van de aan-modus (in tegenstelling tot wenselijk). Op het andere aangesloten apparaat (in dit geval de andere switch) is EtherChannel helemaal niet ingeschakeld. Als u dit wilt oplossen, moet u, wanneer beide switches PAgP ondersteunen, de kanaalmodus instellen op wenselijk aan beide zijden van de verbinding en vervolgens de poorten opnieuw inschakelen. Dan vormt elke kant alleen een kanaal als beide partijen akkoord gaan met het kanaal. Als ze geen kanaal vormen, controleert u de resulterende status van elke lidpoort voordat u verkeer door de verbinding toestaat.
cat6k(config)#interface gigabitethernet 4/1 cat6k(config-if)#channel-group 3 mode desirable non-silent
- Duplex-mismatch:
- Duplex mismatches komen vaak voor als gevolg van mislukkingen om automatisch te onderhandelen over snelheid en duplex goed. In tegenstelling tot een half-duplex-apparaat, wat moet wachten totdat er geen andere apparaten meer zijn die overdrachten uitvoeren op hetzelfde LAN-segment, voert een volledig duplex-apparaat overdrachten uit wanneer het apparaat iets moet verzenden, zonder rekening te hoeven houden met andere apparaten. Als deze transmissie plaatsvindt terwijl het halfduplexapparaat ook verzendt, beschouwt het halfduplexapparaat dit als een botsing (tijdens de sleuftijd) of een late botsing (na de sleuftijd). Omdat de full-duplex kant nooit botsingen verwacht, realiseert deze kant zich nooit dat het het gedropte pakket opnieuw moet verzenden. Een laag percentage botsingen is normaal met een half duplex, maar is niet normaal met een full duplex.
- Een switchpoort die veel late botsingen ontvangt, geeft normaal gesproken aan dat er een probleem met duplex-mismatch is. Zorg ervoor dat beide uiteinden compatibele snelheids- en duplexinstellingen gebruiken, inclusief compatibele instellingen voor automatisch onderhandelen. De opdracht show interfaces <interface> geeft de snelheid en duplex weer voor Catalyst switch-poorten. Latere versies van Cisco Discovery Protocol (CDP) kunnen u waarschuwen voor duplexmismatches voordat de poort in de foutuitgeschakelde staat wordt geplaatst.
Daarnaast zijn er instellingen op een NIC, zoals auto-polariteitsfuncties die het probleem kunnen veroorzaken. Controleer de NIC-documentatie en schakel een instelling alleen uit als u deze identificeert als de oorzaak van het koppelingsprobleem. Als u meerdere NIC's van een leverancier hebt en de NIC's lijken allemaal hetzelfde probleem te hebben, raadpleegt u de website van de fabrikant voor de release-opmerkingen en zorgt u ervoor dat u de nieuwste stuurprogramma's hebt.
Andere oorzaken van late botsingen zijn onder andere:
- Een slechte NIC (met fysieke problemen, niet alleen configuratieproblemen)
- Een slechte kabel
- Een kabelsegment dat te lang is
- BPDU-poortguard
Een poort die PortFast gebruikt, mag alleen verbinding maken met een eindstation (zoals een werkstation of server) en niet met apparaten die spanning tree-BPDU's genereren, zoals switches of bridges en routers die bridging uitvoeren. Als de switch een Spanning Tree BPDU ontvangt op een poort met Spanning Tree PortFast en Spanning Tree BPDU-beveiliging ingeschakeld, plaatst de switch de poort in de uitgeschakelde modus om potentiële lussen te voorkomen. PortFast neemt aan dat een poort op een switch geen fysieke lus kan genereren. Daarom slaat PortFast de initiële spanning tree-controles voor die poort over, waarmee de time-out van eindstations bij opstarten wordt vermeden. De netwerkbeheerder moet PortFast zorgvuldig implementeren. Op poorten waarop PortFast is ingeschakeld, zorgt de BPDU-beveiliging ervoor dat het LAN lusvrij blijft.
Dit voorbeeld toont hoe u deze functie kunt inschakelen. Dit voorbeeld is gekozen omdat het creëren van een verwijderbare situatie in dit geval eenvoudig is:
cat6k(config-if)#spanning-tree bpduguard enable
In dit voorbeeld is een Catalyst 6509-switch verbonden met een andere switch (een 6509). De 6500 stuurt elke 2 seconden BPDU's (met gebruik van de standaardinstellingen voor spanning tree). Wanneer u PortFast inschakelt op de 6509-switchpoort, let de functie BPDU-guard op BPDU's die binnenkomen op deze poort. Wanneer een BPDU in de poort komt (een apparaat dat geen eindapparaat is, wordt op die poort gedetecteerd), schakelt de BPDU-bewakingsfunctie de poort opnieuw uit om de mogelijkheid van een overspannende boomlus te voorkomen.
cat6k(config-if)#spanning-tree portfast enable Warning: Spantree port fast start can only be enabled on ports connected to a single host. Connecting hubs, concentrators, switches, bridges, etc. to a fast start port can cause temporary spanning tree loops. %PM-SP-4-ERR_DISABLE: bpduguard error detected on Gi4/1, putting Gi4/1 in err-disable state.
In dit bericht geeft de switch aan dat hij een BPDU heeft ontvangen op een poort die geschikt is voor PortFast, en de switch sluit poort Gi4/1 af.
cat6k#show interfaces gigabitethernet 4/1 status Port Name Status Vlan Duplex Speed Type Gi4/1 err-disabled 100 full 1000 1000BaseSX
Omdat deze poort verbinding maakt met een andere switch, schakelt u PortFast en de BPDU Guard-configuratie op interfaceniveau uit en schakelt u de poort opnieuw in nadat u de beoogde overspanningsboomtopologie hebt geverifieerd. De verbinding is onjuist omdat PortFast en BPDU Guard zijn ingeschakeld en de switch verbinding maakt met een andere switch. Vergeet niet dat PortFast alleen is bedoeld voor poorten die verbinding maken met eindstations.
cat6k(config-if)#spanning-tree portfast disablecat6k(config-if)#no spanning-tree bpduguard enable
-
UDLD:
-
Met het UDLD-protocol kunnen apparaten die zijn aangesloten via glasvezel- of koperen Ethernet-kabels (zoals categorie 5-kabels) de fysieke configuratie van de kabels bewaken en detecteren wanneer een unidirectionele koppeling bestaat. Wanneer een unidirectionele link wordt gedetecteerd, schakelt UDLD de betreffende poort uit en waarschuwt de gebruiker. Unidirectionele links kunnen verschillende problemen veroorzaken, waaronder Spanning Tree-topologielussen.
-
Elke switch-poort die is geconfigureerd voor UDLD, verzendt UDLD-protocolpakketten die het poortapparaat (of poort-ID) en het naburige apparaat (of poort-ID's) bevatten die door UDLD op die poort worden gezien. De aangrenzende poorten moeten hun eigen apparaat of poort-ID (echo) zien in de pakketten die van de andere kant zijn ontvangen. Als de poort zijn eigen apparaat of poort-ID niet ziet in de binnenkomende UDLD-pakketten gedurende een specifieke tijdsduur, wordt de link beschouwd als unidirectioneel. Daarom is de betreffende poort uitgeschakeld en wordt een bericht dat hierop lijkt afgedrukt op de console:
PM-SP-4-ERR_DISABLE: udld error detected on Gi4/1, putting Gi4/1 in err-disable state.
-
Link-flap-fout:
-
Link flap betekent dat de interface voortdurend op en neer beweegt. In dit voorbeeld is de link-flap-drempelwaarde 5 flappen in 10 seconden; voer de opdracht show erdisable flap-values voor de drempelwaarde op de betreffende switch uit. De meest voorkomende oorzaak van een link-flap is een probleem van Layer 1, zoals een slechte kabel, duplex-mismatch of slechte GBIC-kaart (Gigabit Interface Converter). Bekijk de consoleberichten of de berichten die zijn verzonden naar de syslog-server waarin de reden voor de poortuitschakeling vermeld staat.
-
%PM-4-ERR_DISABLE: link-flap error detected on Gi4/1, putting Gi4/1 in err-disable state
Voer deze opdracht uit om de flapwaarden te bekijken:
cat6k#show errdisable flap-values ErrDisable Reason Flaps Time (sec) ----------------- ------ ---------- pagp-flap 3 30 dtp-flap 3 30 link-flap 5 10
-
Loopback-fout:
-
Een loopback-fout treedt op wanneer het keepalive-pakket terug wordt gelust naar de poort die de keepalive heeft verzonden. De switch stuurt standaard keepalives naar alle interfaces. Een apparaat kan de pakketten teruglussen naar de broninterface, wat normaal gesproken optreedt omdat er een logische lus in het netwerk is die niet is geblokkeerd door de spanning tree. De broninterface ontvangt het keepalive-pakket dat deze heeft verzonden, en de switch schakelt de interface uit (errdisable). Dit bericht verschijnt omdat het keepalive-pakket wordt teruggelust naar de poort die de keepalive heeft verzonden:
-
%PM-4-ERR_DISABLE: loopback error detected on Gi4/1, putting Gi4/1 in err-disable state
Keepalives worden standaard op alle interfaces verzonden in Cisco IOS® Software Release 12.1EA-gebaseerde software. In Cisco IOS® Software Release 12.2SE-gebaseerde software en later worden keepalives niet standaard verzonden op fiber- en uplink-interfaces.
Onderzoek eerst de loopback-conditie. Voor een aangetaste release en interface, overweeg een software-upgrade; schakel Keepalives alleen uit nadat u het verlies van loopback-detectie hebt beoordeeld.
-
Poortbeveiligingsovertreding:
-
U kunt poortbeveiliging met dynamisch geleerde en statische MAC-adressen gebruiken om het ingangsverkeer van een poort te beperken. Om het verkeer te beperken, kunt u de MAC-adressen beperken die verkeer naar de poort mogen verzenden. Voer de volgende opdracht uit om de switch-poort te configureren zodat deze de foutuitgeschakelde status kan invoeren als er een beveiligingsovertreding optreedt:
-
cat6k(config-if)#switchport port-security violation shutdown
Een beveiligingsovertreding treedt in een van deze twee situaties op:
-
-
Wanneer het maximale aantal beveiligde MAC-adressen wordt bereikt op een beveiligde poort en het bron-MAC-adres van het binnenkomende verkeer verschilt van alle geïdentificeerde beveiligde MAC-adressen. In dit geval past poortbeveiliging de geconfigureerde overtredingsmodus toe.
-
Als verkeer met een beveiligd MAC-adres is geconfigureerd of geleerd op een beveiligde poort, probeert u toegang te krijgen tot een andere beveiligde poort in hetzelfde VLAN. In dit geval past poortbeveiliging de overtredingsmodus voor uitschakelen toe.
-
-
L2pt Guard:
-
Wanneer de Layer 2-PDU's de tunnelpoort of toegangspoort op de inkomende edge-switch binnenkomen, overschrijft de switch het oorspronkelijke MAC-adres van de PDU-bestemming met een eigen multicast-adres van Cisco (01-00-0c-cd-cd-d0). Als 802.1Q-tunneling is ingeschakeld, worden pakketten dubbel getagd. De buitenste tag is de metrotag en de binnenste tag is de VLAN-tag. De core switches negeren de binnenste tags en sturen het pakketje naar alle trunk poorten in dezelfde metro VLAN. De edge-switches aan de uitgaande zijde herstellen de juiste Layer 2-protocolgegevens en MAC-adresgegevens en sturen de pakketten naar alle tunnelpoorten of toegangspoorten in hetzelfde VLAN voor de metro. Daarom worden de Layer 2-PDU's intact gehouden en via de infrastructuur van de serviceprovider aan de andere kant van het netwerk geleverd.
-
Switch(config)#interface gigabitethernet 0/7
Switch(config-if)#l2protocol-tunnel {cdp | vtp | stp}
De interface wordt verplaatst naar de uitgeschakelde status. Als een ingesloten PDU (met het bedrijfseigen bestemmings-MAC-adres) wordt ontvangen van een tunnelpoort of toegangspoort met Layer 2-tunneling ingeschakeld, wordt de tunnelpoort uitgeschakeld om lussen te voorkomen. De poort wordt ook uitgeschakeld wanneer een geconfigureerde uitschakeldrempel voor het protocol wordt bereikt. U kunt de poort handmatig opnieuw inschakelen (afsluiten uitvoeren, geen opdrachtreeks afsluiten) of als herstel opnieuw uitschakelen is ingeschakeld, wordt de bewerking opnieuw geprobeerd na een opgegeven tijdsinterval.
Als u een getimed automatisch herstel wilt inschakelen voor poorten die zijn uitgeschakeld door L2pt Guard, configureert u herschakelbare hersteloorzaak l2ptguard. Nadat u het onderliggende probleem hebt verholpen, voert u de afsluitopdrachten voor de interface en geen afsluitopdrachten voor handmatig herstel uit. Deze opdracht wordt gebruikt om het herstelmechanisme te configureren van een fout met de maximale snelheid van Layer 2, zodat de interface uit de uitgeschakelde status kan worden verplaatst en opnieuw kan worden geprobeerd. U kunt ook het tijdsinterval instellen. Errdisable-herstel is standaard uitgeschakeld; wanneer ingeschakeld is de standaard tijdsinterval 300 seconden.
-
Onjuiste SFP-kabel:
-
Poorten veranderen in uitschakelbare toestand met de foutmelding "%PHY-4-SFP_NOT_SUPPORTED" wanneer u Catalyst 3560- en Catalyst 3750-Switches aansluit en een SFP-verbindingskabel gebruikt.
-
De Cisco Catalyst 3560 SFP Interconnect Cable (CAB-SFP-50CM=) biedt een voordelige, point-to-point Gigabit Ethernet-verbinding tussen Switches uit de Catalyst 3560-reeks. De kabel van 50 centimeter (cm) is een alternatief voor de SFP-transceivers om switches van de Catalyst 3560-series onderling aan te sluiten via hun SFP-poorten over een korte afstand. Controleer de hardwarecompatibiliteitsinformatie voor het specifieke Catalyst 3560-model voordat u de SFP-verbindingskabel gebruikt.
-
Wanneer een Catalyst 3560-switch wordt aangesloten op een Catalyst 3750 of enig ander type Catalyst-switchmodel, kunt u de kabel CAB-SFP-50CM= niet gebruiken. U kunt beide switches aansluiten met een koperen kabel en een compatibele koperen SFP, zoals GLC-T wanneer ondersteund, aan elk uiteinde in plaats van een CAB-SFP-50CM= kabel.
-
-
802.1X-beveiligingsovertreding:
DOT1X-SP-5-SECURITY_VIOLATION: Security violation on interface GigabitEthernet4/8, New MAC address 0080.ad00.c2e4 is seen on the interface in Single host mode %PM-SP-4-ERR_DISABLE: security-violation error detected on Gi4/8, putting Gi4/8 in err-disable state
Dit bericht geeft aan dat de poort op de opgegeven interface is geconfigureerd in de modus voor één host. Elke nieuwe host die op de interface wordt gedetecteerd, wordt behandeld als een beveiligingsovertreding. De poort is foutloos uitgeschakeld.
-
Zorg ervoor dat slechts één host is aangesloten op de poort. Als u een IP-telefoon en een host erachter op de poort moet aansluiten, configureert u de multidomeinverificatiemodus op die switchpoort.
-
Met de modus Multidomain authentication (MDA) kunnen een IP-telefoon en een enkele host achter de IP-telefoon onafhankelijk authenticeren, met 802.1X, MAC Authentication Bypass (MAB), of (alleen voor de host) webgebaseerde authenticatie. In deze toepassing verwijst Multidomain naar twee domeinen (data en spraak) en zijn er slechts twee MAC-adressen toegestaan per poort. De switch kan de host in de data-VLAN plaatsen en de IP-telefoon in de spraak-VLAN, hoewel ze op dezelfde switchpoort lijken te staan. De data-VLAN-toewijzing kan worden verkregen van de leveranciersspecifieke attributen (VSA's) die worden ontvangen van de AAA-server binnen authenticatie.
-
Raadpleeg het IEEE 802.1X Multidomain Authentication-document voor meer informatie.
- De errdisabled-poorten opnieuw inschakelen.
Nadat u het hoofdprobleem hebt opgelost, zijn de poorten nog steeds uitgeschakeld als u Herstel op de switch niet hebt geconfigureerd. In dit geval moet u de poorten handmatig opnieuw inschakelen. Als u een getroffen poort handmatig opnieuw wilt inschakelen nadat u de oorzaak hebt gecorrigeerd, voert u de interfaceconfiguratiemodus in en voert u afsluiten uit, en vervolgens geen afsluitopdrachten.
Met de opdracht errdisable recovery kunt u het type fouten kiezen waarmee de poorten automatisch opnieuw worden ingeschakeld na een opgegeven tijdsduur. De opdracht show errdisable recovery toont de standaard error-disable-herstelstatus voor alle mogelijke voorwaarden.
cat6k#show errdisable recovery
Recovery Status Timer Status
--------------- ------------
udld Disabled
bpduguard Disabled
security-violation Disabled
channel-misconfig Disabled
vmps Disabled
pagp-flap Disabled
dtp-flap Disabled
link-flap Disabled
l2ptguard Disabled
psecure-violation Disabled
gbic-invalid Disabled
dhcp-rate-limit Disabled
mac-limit Disabled
unicast-flood Disabled
storm-control Disabled
arp-inspection Disabled
loopback Disabled
link-monitor-failure Disabled
oam-remote-failure critical-event Disabled
oam-remote-failure dying-gasp Disabled
oam-remote-failure link-fault Disabled
dot1ad-incomp-etype Not supported
dot1ad-incomp-tunnel Not supported
mvrp Not supported
transceiver-incomp Not supported
VSL transceiver-incomp Not supported
packet-buffer Not supported
FEX Licensing module removed Not supported
inline-power Not supported
Timer interval: 300 seconds
Interfaces that will be enabled at the next timeout:
cat6k# Opmerking: de standaard time-outinterval is 300 seconden en de time-outfunctie is standaard uitgeschakeld.
Voer deze opdracht uit om herbruikbaar herstel in te schakelen en de voorwaarden voor herbruikbaar maken te kiezen:
cat6k#configure terminal
cat6k(config)#errdisable recovery cause ?
all Enable timer to recover from all causes
arp-inspection Enable timer to recover from arp inspection error
disable state
bpduguard Enable timer to recover from BPDU Guard error disable
state
channel-misconfig Enable timer to recover from channel misconfig disable
state
dhcp-rate-limit Enable timer to recover from dhcp-rate-limit error
disable state
dtp-flap Enable timer to recover from dtp-flap error disable
state
gbic-invalid Enable timer to recover from invalid GBIC error disable
state
l2ptguard Enable timer to recover from l2protocol-tunnel error
disable state
link-flap Enable timer to recover from link-flap error disable
state
link-monitor-failure Enable timer to recover from link monitoring failure
loopback Enable timer to recover from loopback disable state
mac-limit Enable timer to recover from mac limit disable state
oam-remote-failure Enable timer to recover from remote failure detected by
OAM
pagp-flap Enable timer to recover from pagp-flap error disable
state
psecure-violation Enable timer to recover from psecure violation disable
state
security-violation Enable timer to recover from 802.1x violation disable
state
storm-control Enable timer to recover from storm-control error
disable state
udld Enable timer to recover from udld error disable state
unicast-flood Enable timer to recover from unicast flood disable
state
vmps Enable timer to recover from vmps shutdown error
disable state
Dit voorbeeld laat zien hoe de errdisable-herstelvoorwaarde voor BPDU Guard kan worden ingeschakeld:
cat6k(config)#errdisable recovery cause bpduguard
cat6k(config)#end Een leuke functie van deze opdracht is dat als u het herstel opnieuw uitschakelt, het algemene redenen opsomt waarom de poorten in de fout-uitgeschakelde staat zijn gezet. Let in dit voorbeeld op dat de BPDU-bewakingsfunctie de reden was voor het uitschakelen van poort 2/4:
cat6k#show errdisable recovery
Recovery Status Timer Status
--------------- ------------
udld Disabled
bpduguard Enabled
security-violation Disabled
channel-misconfig Disabled
vmps Disabled
pagp-flap Disabled
dtp-flap Disabled
link-flap Disabled
l2ptguard Disabled
psecure-violation Disabled
gbic-invalid Disabled
dhcp-rate-limit Disabled
mac-limit Disabled
unicast-flood Disabled
storm-control Disabled
arp-inspection Disabled
loopback Disabled
link-monitor-failure Disabled
oam-remote-failure critical-event Disabled
oam-remote-failure dying-gasp Disabled
oam-remote-failure link-fault Disabled
dot1ad-incomp-etype Not supported
dot1ad-incomp-tunnel Not supported
mvrp Not supported
transceiver-incomp Not supported
VSL transceiver-incomp Not supported
packet-buffer Not supported
FEX Licensing module removed Not supported
inline-power Not supported
Timer interval: 300 seconds
Interfaces that will be enabled at the next timeout:
Interface Errdisable reason Time left(sec)
--------- --------------------- --------------
Fa2/4 bpduguard 290 Als een herstelconditie opnieuw is uitgeschakeld, worden poorten die om die reden zijn uitgeschakeld, opnieuw geprobeerd na het geconfigureerde interval. Als de conditie aanhoudt, kunnen de poorten opnieuw foutloos worden uitgeschakeld. U kunt deze standaardwaarde van 300 seconden wijzigen door de opdracht Herstelinterval <timer_interval_in_seconds> uit te schakelen onder de globale configuratie. In dit volgende voorbeeld wordt het herstelinterval voor het opnieuw uitschakelen gewijzigd van 300 naar 400 seconden:
cat6k#configure terminal
Enter configuration commands, one per line. End with CNTL/Z.
cat6k(config)#errdisable recovery interval 400
cat6k(config)#end
cat6k#show errdisable recovery
Recovery Status Timer Status
--------------- ------------
udld Disabled
bpduguard Disabled
security-violation Disabled
channel-misconfig Disabled
vmps Disabled
pagp-flap Disabled
dtp-flap Disabled
link-flap Disabled
l2ptguard Disabled
psecure-violation Disabled
gbic-invalid Disabled
dhcp-rate-limit Disabled
mac-limit Disabled
unicast-flood Disabled
storm-control Disabled
arp-inspection Disabled
loopback Disabled
link-monitor-failure Disabled
oam-remote-failure critical-event Disabled
oam-remote-failure dying-gasp Disabled
oam-remote-failure link-fault Disabled
dot1ad-incomp-etype Not supported
dot1ad-incomp-tunnel Not supported
mvrp Not supported
transceiver-incomp Not supported
VSL transceiver-incomp Not supported
packet-buffer Not supported
FEX Licensing module removed Not supported
inline-power Not supported
Timer interval: 400 seconds
Interfaces that will be enabled at the next timeout:
cat6k# Verifiëren
-
showversie: Hier wordt de versie van de software weergegeven die op de switch wordt gebruikt.
-
interfaces <interface> status weergeven: hiermee wordt de huidige status van de switch-poort weergegeven. Helpt te bevestigen dat de poort niet langer foutloos is.
-
show erredisable detect: Geeft herdisable detection settings weer. Voer show rereredisable recovery uit om herstelinstellingen en vermelde herstelkandidaten te inspecteren.
Problemen oplossen
-
statusfout uitgeschakeld interfaces weergeven: Geeft aan welke lokale poorten betrokken zijn bij de uitgeschakelde status.
-
etherkanaaloverzicht weergeven: hiermee wordt de huidige status van het EtherChannel weergegeven.
-
opnieuw uitschakelen van herstelbewerking tonen: Geeft ingeschakelde hersteloorzaken, het geconfigureerde interval en de interfaces weer die worden vermeld voor de volgende poging.
-
show erredisable detect: Toont de reden voor de erredisable status.
Gerelateerde informatie
- Problemen met hardware en Catalyst 6500/6000-Switches oplossen
- De uitbreiding van de Spanning Tree PortFast BPDU Guard begrijpen
- Inzicht in detectie van EtherChannel-inconsistenties
- Problemen met switchpoorten en interfaces oplossen
Revisiegeschiedenis
| Revisie | Publicatiedatum | Opmerkingen |
|---|---|---|
5.0 |
07-Oct-2026
|
Bijgewerkte spelling, grammatica, ingevoegde horizontale lijnen naar afzonderlijke secties voor leesbaarheid. |
4.0 |
19-Aug-2024
|
Bijgewerkte technische inhoud en opmaak. |
3.0 |
17-Jul-2023
|
Bijgewerkte introductie, SEO, machinevertaling, stijlvereisten en opmaak. |
2.0 |
16-Jun-2022
|
Toegevoegd Catalyst switch modellen.
Verwijderde CatOS-switches en referenties (verouderd).
Gereformeerde foutmeldingen. |
1.0 |
24-Apr-2006
|
Eerste vrijgave |
Feedback