Problemen oplossen met AppQoE TCP-optimalisatie en DRE in Cisco Catalyst SD-WAN
Inhoud
Inleiding
In dit document wordt beschreven hoe u problemen kunt oplossen met AppQoE TCP Optimization en DRE in Cisco Catalyst SD-WAN.
Achtergrondinformatie
Gebruik deze handleiding wanneer een TCP-stroom die geschikt is voor AppQoE niet is geoptimaliseerd, wordt overgeslagen, opnieuw wordt ingesteld na omleiding, een ongezonde serviceknooppunt wordt gemeld of minder DRE-reductie (Data Redundancy Elimination) wordt weergegeven dan verwacht.
Begin met de 10 minuten durende triage. Het scheidt beleid en pad problemen van service-node gezondheid, flow-state, capaciteit, TCP transport, en DRE-effectiviteit problemen. Ga alleen door naar een symptoomsectie nadat u weet waar de stroom stopt met zich te gedragen zoals verwacht.
Doel, reikwijdte en veiligheid
Deze handleiding heeft betrekking op Cisco IOS® XE Catalyst SD-WAN-apparaten met TCP-optimalisatie of DRE met geïntegreerde of externe AppQoE-serviceknooppunten.
| Validatie-item | Status |
|---|---|
| Publiek gedrag en operationele CLI |
Uitgelijnd met de huidige Cisco Catalyst SD-WAN AppQoE 26.x documentatie |
| Interne tellersemantiek |
Opnieuw gecontroleerd op huidige Cisco IOS XE-bron op 2026-07-15 |
| Exacte release, platform en topologie gebruikt voor publicatie |
Lab-opname: Cisco IOS XE Catalyst SD-WAN 17.18.2 op C8000v, externe serviceknooppunt AppQoE. AppNav-controller c8000v-appqoe-3, serviceknooppunt c8000v-appqoe-4, externe SN-appqoe-service-node (SN IP 15.15.15.2). SNG-APPQOE, gegevensbeleid _vpn-10_appqoe-beleid (TCP + DRE) op VPN 10. Bijgewerkt 2026-07-15. |
De beschikbaarheid en uitvoer van opdrachten verschillen per softwarerelease, platform en rol. Bevestig de syntaxis met opdrachthulp op het doelapparaat. De QFP-opdrachten op laag niveau in deze handleiding zijn alleen-lezen, maar ze zijn platform- en releasespecifiek; gebruik ze alleen wanneer de opdracht aanwezig is.
De belangrijkste controlepunten voor release worden hieronder weergegeven; ze vervangen niet de platformspecifieke ondersteuning en schaaldocumentatie.
| bekwaamheid | Minimumcontrolepunt voor vrijgave |
|---|---|
| DRE en geautomatiseerde service-controller/service-node MTU-verwerking |
Cisco IOS XE Catalyst SD-WAN 17.5.1a |
| Verbeterde AppQoE-probleemoplossing en subservicestatus |
17.6.1a |
| Uitgebreide probleemoplossing voor flowdetails |
17.9.1a |
| SSL-proxy met TLS 1.3 |
17.13.1a/Manager 20.13.1 |
| DRE via configuratiegroepen |
17.14.1a/Manager 20.14.1 |
DRE vereist ondersteunde serviceknooppunten aan beide uiteinden en symmetrische stroomafhandeling. Het werkt niet op een apparaat in de rol van alleen servicecontroller en AppQoE kan niet worden gecombineerd met pakketduplicatie op dezelfde verbinding. Versleuteld verkeer vereist de ondersteunde SSL / TLS-verwerking als de payload moet worden geoptimaliseerd.
Voordat u het beleid wijzigt, statistieken opruimt, een service opnieuw opstart of foutopsporing inschakelt, legt u vast:
- Software release, platform en AppQoE rol aan beide uiteinden
- IP-adressen, poorten, protocol, VPN en UTC-testtijd van bron en bestemming
- Verwachte beleidsvolgorde en toewijzing van serviceknooppunten
- Of het symptoom één stroom, één sitepaar of al het AppQoE-verkeer beïnvloedt
- Twee telsnapshots over hetzelfde testinterval
Opmerking: wis de DRE-cache niet tijdens de eerste probleemoplossing. Het opruimen ervan herstart DRE en vernietigt de warme cache, waardoor de gemeten toestand verandert.
Start hier: 10 minuten triage
1. Controleer AppQoE-status en recente fouten
Uitvoeren op de deelnemende Edge-apparaten of servicecontrollers:
show sdwan appqoe status show sdwan appqoe error recent
Laboratoriummonster:
c8000v-appqoe-4 (serviceknooppunt, C8000v, IOS XE 17.18.2).
c8000v-appqoe-4#show sdwan appqoe status APPQOE Status : YELLOW Service Status: SSLPROXY : YELLOW TCPPROXY : GREEN SERVICE CHAIN : GREEN RESOURCE MANAGER : GREEN c8000v-appqoe-4#show sdwan appqoe error recent Appqoe Statistics Recent ------------------------ Label Current value Value(30 sec bfr) Value(60 sec bfr) RM TCP used sessions 0 0 0 RM TCP session allocated 21516 21516 21516 TCP number of connections 21215 21215 21215 TCP failed connections 298 298 298 vPath drop due to pps 0 0 0 vPath new connection failed 0 0 0 BBR Active connections 1 1 1 Syn Drop Max PPS Reached 0 0 0 ... (output truncated)
Hier is de algemene status alleen GEEL omdat de SSL AO niet in gebruik is (SSL-proxy is in duidelijke modus); TCP, service-chain en resource-manager subservices zijn GROEN. Geen PP's vallen of nieuwe-verbinding storingen.
Zoek naar de ingeschakelde services, de huidige status van de serviceknooppunten, recente flowfouten en elke reden die het bypass- of dropgedrag direct verklaart.
2. Het beleid en de toewijzing van serviceknooppunten in beide richtingen verifiëren
show sdwan policy from-vsmart show service-insertion type appqoe service-node-group
Laboratoriummonster:
c8000v-appqoe-3 (AppNav-controller), 2026-07-15.
c8000v-appqoe-3#show sdwan policy from-vsmart
from-vsmart data-policy _vpn-10_appqoe-policy
direction all
vpn-list vpn-10
sequence 1
match
source-ip 31.31.31.0/24 41.41.41.0/24
action accept
tcp-optimization
dre-optimization
service-node-group SNG-APPQOE
default-action accept
from-vsmart lists vpn-list vpn-10
vpn 10
c8000v-appqoe-3#show service-insertion type appqoe service-node-group
Service Node Group name : SNG-APPQOE
Service Context : appqoe/1
Member Service Node count : 1
Service Node (SN) : 15.15.15.2
Auto discovered : No
SN belongs to SNG : SNG-APPQOE
Current status of SN : Alive
System IP : 10.20.0.1
Site ID : 30
Time current status was reached : Fri Jun 12 07:45:14 2026
Cluster protocol VPATH version : 2 (Bitmap recvd: 3)
Cluster protocol incarnation number : 3
Health Markers:
AO Load State
tcp GREEN 0%
ssl RED/NOT AVAILABLE
dre GREEN 0%
http RED/NOT AVAILABLE
utd chnl RED/NOT AVAILABLE
De actie accept bevat zowel tcp-optimalisatie als dre-optimalisatie die op SNG-APPQOE wijst, en de SN is levend met tcp/dre GREEN. ssl/http/utd tonen RED/NOT AVAILABLE omdat die AO's niet zijn geconfigureerd — verwacht voor een TCP+DRE-only test.
Bevestig dat de beoogde reeks overeenkomt met beide richtingen van de teststroom, de verwachte TCP/DRE-acties omvat en verwijst naar de beoogde serviceknooppuntgroep. DRE vereist zowel uiteinden als symmetrische stroomafhandeling.
3. Inspecteer één bekende stroom en traceer deze end-to-end
show sdwan appqoe flow vpn-id <vpn-id> server-port <port> show sdwan appqoe flow flow-id <flow-id> show sdwan appqoe flow closed all
Een enkele stroom traceren
Voer eerst de sdwan app flow vpn-id <vpn-id> server-ip <server-ip> server-poort <poort> op zowel de edge- als de DC-router uit. Deze opdracht geeft de flow ID terug. Zodra u de flow-id hebt, voert u sdwan appqoe flow-id <flow-id> op beide routers uit.
show sdwan appqoe flow vpn-id <vpn-id> server-ip <server-ip> server-port <port> show sdwan appqoe flow flow-id <flow-id>
Laboratoriummonster:
C8000v-appqoe-4 (serviceknooppunt), 2026-07-15. Er waren geen stromen actief op het moment van vastleggen, dus de historische (gesloten) tabel wordt weergegeven.
c8000v-appqoe-4#show sdwan appqoe flow all Active Flows: 0 T:TCP, S:SSL, U:UTD, D:DRE, H:HTTP Flow ID VPN Source IP:Port Destination IP:Port Service No Matching Flows c8000v-appqoe-4#show sdwan appqoe flow closed all Current Historical Optimized Flows: 100 Optimized Flows --------------- T:TCP, S:SSL, U:UTD, D:DRE, H:HTTP RR: DRE Reduction Ratio Flow ID VPN Source IP:Port Destination IP:Port Service RR% 91989394759551 10 41.41.41.2:50748 185.125.190.99:80 T - 91990285862945 10 41.41.41.2:36804 185.125.190.100:80 T - 91996708679695 10 41.41.41.2:54614 91.189.91.97:80 T - 92002614507991 10 41.41.41.2:57534 91.189.91.97:80 T - 92101839402141 10 41.41.41.2:36856 185.125.188.54:443 T - ... (95 more rows truncated) ++++ Tracing single flow end to end, run below command on both edge and DC routers +++++++ ========================================================================================== c8000v-appqoe-4#show sdwan appqoe flow vpn-id 10 server-ip 41.41.41.2 server-port 21 T:TCP, S:SSL, U:UTD, D:DRE, H:HTTP Flow ID VPN Source IP:Port Destination IP:Port Service 93741048628578 10 31.31.31.2:37632 41.41.41.2:21 TD c8000v-appqoe-4#show sdwan appqoe flow flow-id 93741048628578 Flow ID: 93741048628578 VPN: 10 APP: 0 [Client 31.31.31.2:37632 - Server 41.41.41.2:21] HTTP Connect: 0 TCP stats --------- Client Bytes Received : 213 Client Bytes Sent : 363 Server Bytes Received : 176 Server Bytes Sent : 36 Client Bytes sent to SSL: 165 Server Bytes sent to SSL: 176 ... (195 more rows truncated) TCP Flow Events 1. time:303.932637 :: Event:TCPPROXY_EVT_FLOW_CREATED 2. time:303.932696 :: Event:TCPPROXY_EVT_AD_RX_SYN_WITH_OPTIONS 3. time:303.932741 :: Event:TCPPROXY_EVT_SYNCACHE_ADDED 4. time:303.932759 :: Event:TCPPROXY_EVT_AD_TX_CORE_SYNACK 5. time:303.933496 :: Event:TCPPROXY_EVT_AD_RX_CORE_ACK_WITH_OPTIONS 6. time:303.933594 :: Event:TCPPROXY_EVT_ACCEPT_DONE 7. time:303.933650 :: Event:TCPPROXY_EVT_AD_TX_CORE_SYN_NO_OPTIONS 8. time:303.933657 :: Event:TCPPROXY_EVT_CONNECT_START 9. time:303.933993 :: Event:TCPPROXY_EVT_AD_RX_CORE_SYNACK 10. time:303.934022 :: Event:TCPPROXY_EVT_AD_TX_CORE_ACK_NO_OPTIONS 11. time:303.934024 :: Event:TCPPROXY_EVT_CONNECT_DONE 12. time:303.934049 :: Event:TCPPROXY_EVT_FLOW_CREATE_DRE_SENT 13. time:303.934198 :: Event:TCPPROXY_EVT_FLOW_CREATE_DRE_RSP_SUCCESS 14. time:303.934222 :: Event:TCPPROXY_EVT_FLOW_CREATE_SSL_DONE 15. time:303.934232 :: Event:TCPPROXY_EVT_DATA_ENABLED_SUCCESS ... (95 more rows truncated)
Service = T betekent dat deze stromen TCP-geoptimaliseerd waren; RR% is leeg omdat de DRE-reductieverhouding wordt gerapporteerd per DRE-geoptimaliseerde stroom (zie de DRE-secties). Gebruik flow-id <id> op een live flow om de opgenomen/geoptimaliseerde bypass-status direct te lezen. De getraceerde stroom hierboven toont Service = TD (TCP + DRE) en een volledige proxy-gebeurtenisreeks - SYN-opties uitwisselen, accepteren / verbinden, DRE-flow creëren succes en gegevens ingeschakeld - bevestiging van volledige end-to-end optimalisatie.
De stroom classificeren als geoptimaliseerd, omzeild/doorgegeven of mislukt. Geef de voorkeur aan de geregistreerde status van de flow- of passthrough-reden boven een gevolgtrekking uit één geaggregeerde teller.
4. Controleer de bronnen van de serviceknooppunten en de DRE
Voer de opdrachten uit die van toepassing zijn op de apparaatrol:
show sdwan appqoe rm-resources show sdwan appqoe dreopt status detail show sdwan appqoe dreopt statistics detail show sdwan appqoe dreopt statistics peer
Laboratoriummonster:
C8000v-appqoe-4 (serviceknooppunt), 2026-07-15. Lange DRE-uitvoer bijgesneden naar de gezondheids-/capaciteitsvelden.
c8000v-appqoe-4#show sdwan appqoe rm-resources
==========================================================
RM Resources
==========================================================
RM Global Resources :
System Memory Status : GREEN
Num sessions Status : GREEN
Overall HTX health Status : GREEN
Registered Service Resources :
TCP Resources: Max Sessions : 40000 Used Sessions : 0
SSL Resources: Max Sessions : 40000 Used Sessions : 0
DRE Resources: Max Sessions : 750 Used Sessions : 0
c8000v-appqoe-4#show sdwan appqoe dreopt status detail
DRE ID : 52:54:dd:77:4a:a7-019cdaae7bca-9a025f66
DRE uptime : 126:13:46:58
Health status : GREEN
DRE cache status : Active
Disk cache usage : 29%
Disk latency : 2 ms
Active alarms: None
Configuration:
Profile type : S
Maximum connections : 750
Disk size : 60 GB
Compression type : DRE-LZ
c8000v-appqoe-4#show sdwan appqoe dreopt statistics detail
Total connections : 48
Max concurrent connections : 2
Current active connections : 0
Total original bytes : 63254 MB
Total optimized bytes : 32691 MB
Overall reduction ratio : 48%
Disk size used : 29%
Cache details:
Cache status : Active Cache Size : 59132 MB Cache used : 29%
... (per-connection reset/EBP/encode/decode detail truncated)
c8000v-appqoe-4#show sdwan appqoe dreopt statistics peer
Peer No. System IP Hostname Active connections Cummulative connections
----------------------------------------------------------------------------------------
0 10.30.0.1 c8000v-app 0 22
1 10.20.0.1 appqoe-ser 0 26
Groene gezondheid, geen alarmen, schijflatentie 2 ms en een gezonde algehele reductieverhouding van 48%. De peer-tabel bevestigt dat zowel DRE-peers bereikbaar als versie-compatibel zijn (zie aoim-statistieken).
Controleer de status, maximale en actieve verbindingen, peer-compatibiliteit, cachestatus, schijflatentie of alarmen en originele-versus-geoptimaliseerde byte-delta's.
5. Vastleggen van verkeer tussen de servicecontroller (SC) en de serviceknooppunt (SN)
Maak een monitoropname op de tunnelinterface tussen de SC en SN. Het biedt duidelijke, niet-ingekapselde gegevens.
Methode 1: CLI (Embedded Packet Capture — EPC)
U kunt de Cisco IOS XE Embedded Packet Capture (EPC)-functie rechtstreeks op de CLI van het apparaat gebruiken. Hier is de stapsgewijze configuratie met Tunnel2000000001 als voorbeeld:
monitor capture APPQOE_CAP interface Tunnel2000000001 both monitor capture APPQOE_CAP match <ipv4 or any or access-list> monitor capture APPQOE_CAP start show monitor capture APPQOE_CAP monitor capture APPQOE_CAP stop monitor capture APPQOE_CAP export bootflash:appqoe_clear_data.pcap
Methode 2: GUI (Cisco SD-WAN Manager)
U kunt deze opname ook rechtstreeks uitvoeren vanuit de Cisco SD-WAN Manager (voorheen vManage) GUI, die automatisch een .pcap-bestand uitvoert dat u kunt downloaden:
- Navigeer naar Monitor > Apparaten.
- Kies uw apparaat (c8000v-appqoe-4).
- Klik in het linkerdeelvenster op Problemen oplossen.
- Onder het gedeelte Verkeer kiest u Packet Capture.
- Kies in de keuzelijst Interfaceselectie de AppQoE-tunnelinterface (bijvoorbeeld Tunnel200000001).
- (Optioneel) Alle IP- of poortfilters van de bron/bestemming toepassen.
- Klik op Start om de opname te starten en stop wanneer u klaar bent. Het systeem bereidt een .pcap-bestand voor om te downloaden.
6. Kies de volgende sectie
| Eerste abnormale uitslag |
Doorgaan met |
|---|---|
| Beleid komt niet in beide richtingen overeen |
Geen optimalisatie of omleiding |
| Er wordt geen gezonde of in aanmerking komende serviceknooppunt toegewezen |
Gezondheid en toewijzing van serviceknooppunten |
| Flow wordt omzeild of heeft een doorvoerreden |
Mislukte omleiding en bypass |
| Bestaande flowresets of pakketten vallen |
Druppels na omleiding |
| Alleen nieuwe verbindingen mislukken tijdens een uitbarsting |
SYN-politieagent en verbindingspercentage |
| CFT/FID-storingen toenemen |
CFT en capaciteit |
| TCP-kraampjes en PMTU/MSS-bewijs aanwezig |
MTU en MSS |
| Stroom is geoptimaliseerd, maar reductie is zwak |
DRE-effectiviteit |
Hoe TCP-optimalisatie en DRE een stroom verwerken
Met dual-ended TCP optimalisatie en DRE wordt de originele verbinding vertegenwoordigd door drie TCP verbindingen:
Client <-- LAN leg --> Edge A proxy/SN <== overlay leg + DRE ==> Edge B proxy/SN <-- LAN leg --> Server
DRE comprimeert herhaalde gegevens op de overlay been. Het verre apparaat reconstrueert de oorspronkelijke stroom voordat het naar de bestemming wordt doorgestuurd. Een topologie voor externe serviceknooppunten voegt omleiding van servicecontroller naar serviceknooppunt toe, maar dezelfde controlepunten blijven bestaan: beleid, padsymmetrie, geschiktheid voor serviceknooppunten, stroomomleiding, peer-compatibiliteit en DRE-status.
| Begrip | Betekenis in deze gids |
|---|---|
| geoptimaliseerd |
De geselecteerde AppQoE-service is actief voor de stroom. |
| Bypass of passthrough |
Het verkeer gaat door zonder de gekozen AppQoE-service; inspecteer de doorvoerreden. |
| Afwijzing |
Het pakket gaat niet verder; dit heeft gevolgen voor de gebruiker en vereist een drop/error-correlatie. |
| Falen-sluiten stroomstatus |
Nadat een stroom is geïnspecteerd / omgeleid, kunnen sommige latere omleidingsfouten niet veilig terugvallen op de gewone bypass. |
| SC |
Servicecontroller |
| SN/ISN/ESN |
Serviceknooppunt/geïntegreerde serviceknooppunt/externe serviceknooppunt |
| CFT |
Verbindingsstroomtabel die wordt gebruikt om stromen en hun functietoestand bij te houden |
Geen optimalisatie of omleiding
bevestigen
- Bevestig de beleidsovereenkomst en acties in beide richtingen.
- Bevestig symmetrische routering via het verwachte paar AppQoE-apparaten.
- Bevestig dat de service-nodegroep en site-ID's correct zijn.
- Bevestig dat DRE aan beide uiteinden wordt ingezet en gezond is.
- Controleer de status van de doelstroom of doorvoerreden.
interpreteren
- Geen beleidsovereenkomst betekent meestal dat classificatie, richting, VPN of bijlage verkeerd is.
- Een eenzijdige overeenkomst kan de verwerking van TCP/DRE aan één kant inschakelen, maar kan geen geldig DRE-pad met twee uiteinden bieden.
- Een stroom kan correct omzeilen wanneer het verkeer al is geoptimaliseerd, een niet-ondersteund stroomtype is, asymmetrisch is of overeenkomt met een auto-bypass-voorwaarde.
Corrigeren en verifiëren
Corrigeer beleid, richting, knooppuntgroep, site-ID of routeringsproblemen. Maak vervolgens een nieuwe TCP-verbinding en controleer de stroom aan beide uiteinden. Gebruik geen bestaande verbinding om een beleidswijziging te valideren.
Mislukte omleiding en bypass
Gebruik interne QFP-statistieken alleen nadat de ondersteunde AppQoE-stroom en foutopdrachten het probleem hebben verkleind:
show platform hardware qfp active feature appqoe stats global show platform hardware qfp active feature appqoe stats all show platform hardware qfp active feature appqoe internal all
Vergelijk twee snapshots; deze tellers zijn cumulatief.
Laboratoriummonster:
c8000v-appqoe-3 (AppNav-controller), 2026-07-15. Gezonde omleiding: de SN-index is groen en geen drop-cause-tellers klimmen verder dan de verwachte SN Ongezonde transiënten die eerder zijn geregistreerd.
c8000v-appqoe-3#show platform hardware qfp active feature appqoe stats all
APPQOE Feature Statistics:
Global:
ip-non-tcp-pkts: 1354682
cft_handle_pkt: 0
sdvt_divert_req_fail: 1374
appqoe_svc_on_appqoe_vpn_drop: 0
appqoe_sng_not_configured: 0
SDVT Global stats:
within SDVT syn policer limit: 71660
SNG: 0 SN Index [0 (Green)], IP: 15.15.15.2, oce_id: 221252816
APPNAV STATS: toSN 85540403 / 75619122643 fromSN 105667460 / 109985814214
NoFoDrop 0 / 0
SDVT Count stats:
Active Connections: 4
decaps: 58388600 encaps: 47119306
SDVT Packet stats:
Divert packets / bytes 47119306 / 34139250226
Reinject packets / bytes 58388600 / 52530512355
Pkts dropped packets / bytes 10 / 690
SDVT Drop Cause stats:
Packets Dropped as SN Unhealthy: 10
c8000v-appqoe-3#show platform hardware qfp active feature appqoe internal all
APPQOE Feature Internal:
syn_policer_rate: 2700
Cluster Type: External
Service chnl health : Green
TCP sub-chnl health : Green
SSL sub-chnl health : Red
DREOPT sub-chnl health : Green
Service-Node-Group: 0
Active SN Bitmask: 0x0000000000000001
SN Table:
Idx | Id | Ver | Status | DP Status | msecs ago | IP
0 | 1 | 2 | Green | Green | 27707 | 15.15.15.2
cft_handle_pkt: 0 en appqoe_svc_on_appqoe_vpn_drop: 0 sluiten CFT/FID-storing en een recursieve VPN-drop uit. De pakketten die zijn gedropt als SN Unhealthy: 10 is een kleine historische telling - correleren met de SN-gezondheidsovergangen voordat ze worden behandeld als actieve impact.
Druppels na omleiding
bevestigen
show sdwan appqoe error recent show sdwan appqoe flow closed all show sdwan appqoe status show service-insertion type appqoe service-node-group
Indien aanwezig op de release en het platform, vergelijk statistieken wereldwijd of statistieken allemaal voor en na één gecontroleerde reproductie.
Laboratoriummonster:
Gezonde uitgangswaarde, c8000v-appqoe-3 (controller), 2026-07-15. Er ontstaan geen fail-close-drops; de SN is Alive/Green en recente foutmeldingen tonen vPath-drop als gevolg van PP's: 0 en de nieuwe vPath-verbinding is mislukt: 0. De datapath drop-cause snapshot is het beslissende bewijs:
c8000v-appqoe-3#show platform hardware qfp active feature appqoe stats all | include Drop|Unhealthy|NoFoDrop
SDVT Drop Cause stats:
Packets Dropped as SN Unhealthy: 10
NoFoDrop 0 / 0
Correleer de exacte reproductietijd met deze delta's voordat u een reset als fail-close labelt.
interpreteren
Een eerder geïnspecteerde / omgeleide stroom kan dalen wanneer de serviceknooppunt onbruikbaar wordt of een latere AppNav-omleiding mislukt. Hiermee wordt de gevestigde proxystatus beschermd. De oorspronkelijke client-naar-serververbinding kan niet altijd transparant worden gereconstrueerd nadat een proxypad is verdwenen. Service-chain flows kunnen ook dalen wanneer gewone bypass in strijd is met ketenverwerking.
Label niet elke reset als fail-close. Correleer de exacte testtijd met de flowfout, de gezondheidstransitie van de serviceknooppunten en de tellerdelta.
Corrigeren en verifiëren
Herstel een stabiel in aanmerking komend serviceknooppunt en corrigeer het pad of de storing in de serviceketen. Valideren met een nieuwe TCP-verbinding en vervolgens bevestigen dat de betreffende valteller niet meer toeneemt.
Gezondheid en toewijzing van serviceknooppunten
Gezondheid is rol- en servicespecifiek. Levensduur, resourcecapaciteit en de gezondheid van een bepaalde Application Optimizer (AO) zijn gerelateerd, maar niet uitwisselbaar.
| Toestand |
Datapath gedrag om te verwachten |
|---|---|
| Groen |
Komt in aanmerking voor nieuwe en bestaande stromen |
| geel |
Bestaand geïnspecteerd niet-SYN-verkeer kan doorgaan; nieuwe SYN's worden niet naar dat knooppunt omgeleid. Een FULL node is een mogelijke gele aandoening |
| Rood of omlaag |
Nieuwe/niet-vastgelegde stromen omzeilen normaal gesproken wanneer dit is toegestaan; reeds geïnspecteerde/failclose-stromen kunnen dalen; stromen in de serviceketens kunnen dalen |
Voer uit:
show service-insertion type appqoe service-node-group show sdwan appqoe status show sdwan appqoe rm-resources show sdwan appqoe dreopt status detail
Controleer knooppuntlidmaatschap, site-ID, levendigheid, AO-gezondheid, belasting / capaciteit, DRE-alarmen en bereikbaarheid van peer. Voordat Cisco IOS XE Catalyst SD-WAN Release 17.6.1a uitkomt, kunnen de details van de subservicestatus worden beperkt; interpreteer oudere uitvoer dienovereenkomstig.
Laboratoriummonster:
Gezonde knoop, 2026-07-15. Op de controller is de SN Alive met per-AO gezondheidsmarkeringen; op de node rapporteert de resource manager Green met headroom:
c8000v-appqoe-3#show service-insertion type appqoe service-node-group | begin Health
Health Markers:
AO Load State
tcp GREEN 0%
ssl RED/NOT AVAILABLE
dre GREEN 0%
c8000v-appqoe-4#show sdwan appqoe rm-resources | include Status|Max Sessions|Used Sessions
System Memory Status : GREEN
Num sessions Status : GREEN
Overall HTX health Status : GREEN
TCP Resources: Max Sessions : 40000 Used Sessions : 0
DRE Resources: Max Sessions : 750 Used Sessions : 0
Lading is 0% en gebruikte sessies liggen ruim onder de 40000/750-limieten, dus deze node is om capaciteitsredenen niet vol of geel. De Gele algemene status die in de sdwan wordt gezien, geeft alleen de status van de sdwan-app weer die wordt herleid tot de ongebruikte SSL AO.
Wanneer een knooppunt vol of geel is omdat deze zich in de buurt van de geconfigureerde sessiecapaciteit bevindt, distribueert u nieuwe verbindingen, verhoogt u het ondersteunde AppQoE-bronnenprofiel waar het platform dit toestaat of voegt u capaciteit toe. Ga er niet van uit dat het toevoegen van DRAM-routers de ondersteunde hardwarestroom verandert.
CFT en capaciteit
appqoe_cft_handle_pkt is een foutteller. Het neemt toe wanneer AppQoE geen geldige stroom-ID kan verkrijgen van CFT-verwerking. Een stijgende waarde is het bewijs van een CFT / FID-verwerkingsfout; een lage waarde ten opzichte van het totale verkeer is geen bewijs van verzadiging.
show platform hardware qfp active infrastructure cft status show platform hardware qfp active feature appqoe stats global show sdwan appqoe rm-resources
De CFT-status afzonderlijk van de capaciteit van de serviceknooppunten interpreteren:
Laboratoriummonster:
C8000v-appqoe-3 (controller), 2026-07-15. Lang geheugen-element tafel bijgesneden.
c8000v-appqoe-3#show platform hardware qfp active infrastructure cft status
===================================== CFT 1/1 =====================================
CFT id: 0 CFT name: GLOBAL_CFT
General Parameters:
Max flows: 1000000
Number of buckets in CFT hash table: 7227108
Statistics:
Total number of flows added : 1424672
Total number of flows removed : 1424664
Total number of currently allocated flows : 8
... (per-feature memory element table truncated)
Totaal aantal momenteel toegewezen stromen: 8 tegenover een max van 1.000.000 betekent geen tabeldruk en cft_handle_pkt: 0 in de AppQoE-statistieken bevestigt geen FID-acquisitiefout. Een stijgende cft_handle_pkt - niet alleen de tabelbezetting - wijst op een CFT / FID-probleem.
- CFT-status identificeert edge flow-table of flow-ID druk / fouten.
- rm-resources identificeert AppQoE service-node sessiecapaciteit.
- Volledige tabellen of geheugendruk zijn mogelijke oorzaken van FID-acquisitiefalen, maar niet de enige oorzaken.
Als de fout tijdens het testinterval toeneemt, legt u de CFT-fout/status, platformschaal, actieve verbindingen en knooppuntbronnen vast. Verminder de verbindingsdruk, breng serviceknooppunten opnieuw in evenwicht, wijzig het ondersteunde bronprofiel of ga naar een platform met de vereiste schaal. Schakel Cisco TAC in voordat u een generieke CFT-fout behandelt als een conclusie over de hardware-capaciteit.
SYN Policer en verbindingssnelheid
Gebruik de volledige status en gedocumenteerde tellers. "SDVT_DROP_ERROR" is een foutklasse; op zichzelf is het geen bewijs dat de SYN-politieagent heeft ontslagen.
show sdwan appqoe libuinet-statistics show sdwan appqoe error recent show sdwan appqoe rm-resources
Nieuwe verbindingsstoringen correleren met Syn Drop Max PP's bereikt, vPath-val als gevolg van PP's en hetzelfde testinterval. Langlevende stromen blijven gezond terwijl alleen nieuwe SYN's falen versterkt de politie hypothese.
Laboratoriummonster:
c8000v-appqoe-4 (serviceknooppunt), 2026-07-15. libuinet-statistics is long; het voor de politie relevante Vpath statistics block wordt getoond.
c8000v-appqoe-4#show sdwan appqoe libuinet-statistics | begin Vpath Statistics Vpath Statistics: Packets In : 112733521 Syn Packets : 21516 Syn Drop Max PPS Reached : 0 Flow Info Allocs : 21516 Flow Info Allocs Failed : 0 Vpath drops due to min threshhold: 0 Failed to create new connection: 0
Syn Drop Max PP's bereikt: 0 (en vPath valt vanwege PP's: 0 in recente fout) regelt de SYN-politieagent hier. De geconfigureerde snelheid op de controller is syn_policer_rate: 2700 (van alle interne); vergelijk het met uw aangeboden SYN-tarief voordat u handelt.
Verminder de burst rate indien mogelijk, distribueer nieuwe verbindingen over gezonde capaciteit, en bevestig dat de gedocumenteerde politie tellers stoppen met het verhogen. Stem de beschermende limieten niet af of omzeilen deze niet van een generieke gids; gebruik de schaalgeleiding van het platform en de TAC wanneer de ondersteunde limieten door aanhoudende tarieven worden benaderd.
MTU en MSS
MSS-aanpassing is op zichzelf geen direct AppQoE SYN-drop-pad. Het datapath berekent een MSS van de service-node adjacency MTU en de overhead van de inkapseling. Wanneer dit mogelijk is, past het de client-MSS aan en slaat het een MSS op de server op; wanneer MTU-informatie niet beschikbaar is, kan het doorgaan zonder die aanpassing.
Gebruik sdvt_drop_appnav_divert daarom niet alleen als bewijs van een fout in de MSS-berekening.
bevestigen
- Noteer de softwarerelease; geautomatiseerde SC-to-SN MTU-verwerking werd geïntroduceerd in 17.5.1a.
- Verifieer een uniforme ondersteunde MTU over het service-controller/service-nodepad en de SD-WAN-onderlaag.
- Gebruik DF-bit path-MTU-testen en gesynchroniseerde SYN/SYN-ACK-opnames aan de relevante randen.
- Vergelijk aangeboden en aangepaste MSS-waarden en controleer op fragmentatie of black-holding.
Handige platformopdracht waar ondersteund:
show platform hardware qfp active feature sdwan datapath session summary
Laboratoriummonster:
C8000v-appqoe-3 (controller), 2026-07-15.
c8000v-appqoe-3#show platform hardware qfp active feature sdwan datapath session summary Src IP Dst IP Src Port Dst Port Encap Uidb Bfd Discrim PMTU Flags ------ ------ -------- ------- ------ ------- ----------- ----- ----- 192.168.172.19 192.168.172.6 12346 12346 IPSEC 65528 20005 1442 0x0 192.168.172.19 192.168.172.5 12346 12366 IPSEC 65528 20009 1442 0x0 192.168.172.19 192.168.172.20 12346 12346 IPSEC 65528 20006 1442 0x0
De IPsec overlay sessies rapporteren een uniforme PMTU 1442. Een consistente PMTU over de SC / SN-tunnels (en geen zwart-holing in DF-bit-tests) betekent dat MSS wordt afgeleid van een stabiele aangrenzende MTU - sluit dit uit voordat u de MTU-tunnel aanraakt.
Corrigeer het MTU- of MSS-beleid pas nadat de falende hop is bevestigd. Verhoog een MTU-tunnel niet, tenzij het volledige ondergrondse pad deze kan dragen.
DRE is actief, maar reductie is zwak
Lage reductie betekent niet automatisch dat DRE kapot is. Unieke first-pass gegevens, een koude cache, reeds gecomprimeerde payloads, gecodeerd verkeer zonder de vereiste SSL / TLS-afhandeling, asymmetrische stromen, peer-incompatibiliteit of auto-bypass kunnen allemaal weinig of geen reductie opleveren.
DRE-status en peers bevestigen
show sdwan appqoe dreopt status detail show sdwan appqoe dreopt statistics detail show sdwan appqoe dreopt statistics peer show sdwan appqoe dreopt auto-bypass show sdwan appqoe ad-statistics show sdwan appqoe aoim-statistics show sslproxy status
Laboratoriummonster:
C8000v-appqoe-4 (serviceknooppunt), 2026-07-15. DRE-status/statistieken/peer worden weergegeven in de triage Stap 4. monster hierboven; de resterende opdrachten:
c8000v-appqoe-4#show sdwan appqoe dreopt auto-bypass
c8000v-appqoe-4#
(empty — no flows in DRE auto-bypass)
c8000v-appqoe-4#show sdwan appqoe ad-statistics
[Edge] AD Negotiation Start : 21513
[Edge] AD Negotiation Done : 21215
[Edge] Rcvd SYN-ACK w/o AD options : 21167
[Core] AD Negotiation Start : 55
[Core] AD Negotiation Done : 55
c8000v-appqoe-4#show sdwan appqoe aoim-statistics
Total Number Of Peer Syncs : 2
Total Passthrough Connections Due to Peer Version Mismatch : 0
LOCAL AO Statistics: SSL 1.3 (Y), DRE 0.23 (Y)
PEER 10.20.0.1: SSL 1.3 InCompatible=N, DRE 0.23 InCompatible=N
PEER 10.30.0.1: SSL 1.3 InCompatible=N, DRE 0.23 InCompatible=N
c8000v-appqoe-4#show sslproxy status
CA TP Label : PROXY-SIGNING-CA
Dual-Side Optimization : TRUE
Min TLS Ver : TLS Version 1
Clear Mode : TRUE
Niets is in auto-bypass, AD-onderhandelingen zijn aan het afronden, en aoim-statistieken tonen 0 passthroughs van versie mismatch met beide DRE peers gemarkeerd incompatibel = N. sslproxy status toont Clear Mode: TRUE, dus HTTPS payloads doorlopen zonder decryptie - verwachte zwakke DRE reductie op al - versleuteld verkeer tenzij SSL proxy is ingeschakeld. De gemeten reductie van 48% (triage Stap 4.) is een reëel DRE-voordeel op de heldere tekststromen.
Verifiëren:
- Het DRE-beleid komt aan beide kanten overeen.
- De flow is symmetrisch en maakt gebruik van de verwachte peers.
- DRE-status en cachestatus zijn actief zonder relevant alarm.
- Peer-versies en AO-mogelijkheden zijn compatibel.
- Schijflatentie en bronnengebruik vallen binnen het ondersteunde bereik.
- De stroom is niet in auto-bypass.
- Versleuteld verkeer heeft de vereiste SSL / TLS-decodering en dual-ended optimalisatieconfiguratie.
correct meten
Gebruik één representatieve gegevensset en hetzelfde tijdsinterval aan beide uiteinden. Leg originele en geoptimaliseerde bytetellers vast voor en na de test. Geef de voorkeur aan intervaldelta's boven een levenslange reductieverhouding. Als u het voordeel van het testen van de cache hebt, documenteert u of de uitvoering cold-cache of warm-cache is en herhaalt u dezelfde inhoud.
Bewijsverzameling en escalatie
Gebruik eerst ondersteunde operationele opdrachten. Als de oorzaak onduidelijk blijft, verzamel:
- UTC-reproductievenster en getroffen tuple/VPN
- Eén falende en één bekende goede stroom van hetzelfde sitepaar
- AppQoE-status, recente fouten, beleid, serviceknooppuntgroep en stroomuitvoer van beide uiteinden
- DRE-status, peer-statistieken, bronstatus en interval-bytedelta's
- CFT-status en QFP AppQoE-statistieken wanneer die opdrachten bestaan
- Admin-tech vastgelegd voordat tellers worden gewist of services opnieuw worden gestart
Toon SDWAN AppQoe Flow Alle debug is uitgebreid Show Output, niet een licentie om brede platform debugging mogelijk te maken. Het kan duur zijn en kan flow tuples blootleggen; gebruik het alleen voor een korte, scoped collectie wanneer gerichte flow commando's onvoldoende zijn.
Publiceer geen generieke platform-debug-opdracht zonder een gevalideerde release/platform, een opnameduur, een uitvoerbestemming en een geteste stopprocedure. Gebruik Cisco TAC-richtlijnen voor actieve debug- of pakkettraceringsverzameling op een druk productieapparaat.
Gerelateerde Cisco-documentatie
- AppQoE-verificatie en probleemoplossing
- TCP-optimalisatie
- Verkeersoptimalisatie met DRE
- Externe serviceknooppunten voor AppQoE-services
- Catalyst SD-WAN AppQoE DRE: topologie, configuratie, verificatie
- Cisco Technical Support en downloads
Revisiegeschiedenis
| Revisie | Publicatiedatum | Opmerkingen |
|---|---|---|
1.0 |
21-Aug-2026
|
Eerste vrijgave |
FeedbackContact Cisco
- Een ondersteuningscase openen
- (Vereist een Cisco-servicecontract)