Inhoud

Inleiding

Voorwaarden

Vereisten

Gebruikte componenten

Achtergrondinformatie

Configureren

Poortkanaal op FPR4100/FPR9300

Poortkanaal configureren vanuit FXOS-gebruikersinterface (FPR4100/FPR9300)

Switchconfiguratie

Een poortkanaal configureren vanuit FXOS CLI (FPR4100/FPR9300)

Poortkanaal op FPR21x/FPR1xxx

FDM-configuratie

Verifiëren

Controleer poortkanaal op FPR4100/FPR9300

Controleer poortkanaal op FPR21xx/FPR1xxx

Problemen oplossen

LACP Overzicht

Probleemoplossing voor poortkanaal op FPR4100/FPR9300

Probleemoplossing voor poortkanaal op FPR21x/FPR1xxx

Aanvullende probleemoplossing (gebruikelijk in alle platforms)

Veelvoorkomende problemen

Situatie 1. Onjuiste EtherChannel-modus

Situatie 2. Onjuist poortkanaalontwerp

Situatie 3. FXOS poortkanaal niet toegewezen

Situatie 4. Waarschuwingen voor de status van poortkanaal ontvangen geen pakketten

Situatie 5. Waarschuwing met betrekking tot gezondheid op VCC: poortkanaal verwijderd of interface toegevoegd

Poortkanaaloverwegingen

Ontwerpoverwegingen

Situatie 1. FTD/ASA-blade in HA

Situatie 2. FTD/ASA in cluster

Situatie 3. Poortkanaal begrensd op FXOS

Situatie 4. Poortkanaal via FXOS

Aanvullende overwegingen

Veelgestelde vragen (FAQ)

Gerelateerde informatie

Inleiding

In dit document wordt beschreven hoe u poortkanaal op FirePOWER-applicaties kunt configureren, verifiëren en problemen kunt oplossen.

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

- Firepower Management Center (FMC)

- Firepower Chassis Manager (FCM)

- Firepower eXtensible Operating System (FXOS)

- Firepower Threat Defence (FTD)

- EtherChannel (EC)

N.B.: In dit document worden de termen EtherChannel en Port-Channel (PC) door elkaar gebruikt.

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

- 2 x FPR4120 op FXOS 2.2(2.17), FTD 6.2.0.2.51

- 1 x FPR4110 op FXOS 2.1(0.159), FTD 6.1.0.330

- 1 x FPR2110 op FTD 6.2.1 (build 341)

- 1 x FPR150 op FTD 6.5.0

- WS-C3750X-24 on15.2(4)E5

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Achtergrondinformatie

In dit document worden de configuratie, verificatie en probleemoplossing van een Port-Channel op FirePOWER-applicaties (FPR1xxx, FPR21xx, FPR41xx, FPR93xx) beschreven. De voorbeelden van documentconfiguratie zijn gebaseerd op Firepower Threat Defence (FTD), maar veel concepten (bijvoorbeeld de verificatie en probleemoplossing) zijn ook volledig van toepassing op adaptieve security applicatie (ASA).

Configureren

Poortkanaal op FPR4100/FPR9300

Netwerkdiagram

Poortkanaal configureren vanuit FXOS-gebruikersinterface (FPR4100/FPR9300)

FTD Port-Channel op FirePOWER-applicaties wordt beheerd door de FXOS-code. Op FPR4100/FPR9300 wordt de configuratie uitgevoerd vanuit de Firepower Chassis Manager:

Het poortkanaal is omlaag (mislukte status) totdat het aan een logisch apparaat is toegewezen:

U kunt als volgt het poortkanaal toewijzen aan het logische apparaat:

Het resultaat:

Hoofdpunten

- Vóór FXOS 2.4.x release ondersteunt de FPR4100/FPR9300 alleen LACP (geen modus ON of PAGP). Sinds FXOS 2.4.1.101 wordt modus ON ondersteund voor Etherkanalen voor het delen van gegevens en gegevens.

- Zorg ervoor dat de interface(s) die in het Port-Channel moeten worden toegevoegd, nog niet aan het logische apparaat worden toegevoegd. Als dit het geval is, worden ze niet weergegeven in de interface wanneer het Port-Channel wordt toegevoegd.

- U kunt geen afzonderlijke poortkanaalleden in- of uitschakelen, maar alleen het poortkanaal zelf.

- U kunt geen poortkanaal verwijderen dat wordt gebruikt door een logisch apparaat (bijvoorbeeld ASA of FTD). Je moet het eerst scheiden.

- Het Port-Channel verschijnt pas als u het aan een logisch apparaat toewijst. Als EtherChannel wordt verwijderd uit het logische apparaat of het logische apparaat wordt verwijderd, keert het Port-Channel terug naar de opgeschorte toestand.

- Stel de switch poorten in die worden aangesloten op de Active Mode voor de beste compatibiliteit.

Switchconfiguratie

Wanneer u de switch configureert, wordt het aanbevolen om, om instabiliteit van poortkanalen te voorkomen:

- Gebruik de opdracht interfacebereik.

- Sluit de poortkanaalinterfaceleden voordat u wijzigingen aanbrengt die van invloed zijn op de poortkanaalhandeling (bijvoorbeeld als de poortkanaalmodus wordt gewijzigd).

Voorbeeld

Switch(config)# interface range g1/0/2 - 3

Switch(config-if-range)# shutdown

Switch(config-if-range)# switchport trunk encapsulation dot1q

Switch(config-if-range)# switchport mode trunk

Switch(config-if-range)# channel-group 5 mode active

Switch(config-if-range)# no shutdown

N.B.: Raadpleeg altijd de sectie switch model Configuration Guide voor meer informatie.

Een poortkanaal configureren vanuit FXOS CLI (FPR4100/FPR9300)

Stap 1. Controleer de interfaces die al aan het FTD logische apparaat zijn toegewezen

FP4110-7-A# scope ssa

FP4110-7-A /ssa # show logical-device

Logical Device:

Name       Description Slot ID    Mode       Oper State               Template Name

---------- ----------- ---------- ---------- ------------------------ -------------

mzafeiro_FTD                           1          Standalone Ok                       ftd

FP4110-7-A /ssa # scope logical-device mzafeiro_FTD

FP4110-7-A /ssa/logical-device # show external-port-link

External-Port Link:

Name            Port or Port Channel Name App Name   Description

--------------- ------------------------- ---------- -----------

Ethernet11_ftd  Ethernet1/1               ftd

Ethernet16_ftd  Ethernet1/6               ftd

Stap 2. Controleer de chassisinterfaces

FP4110-7-A# scope eth-uplink

FP4110-7-A /eth-uplink # scope fabric a

FP4110-7-A /eth-uplink/fabric # show interface

Interface:

Port Name       Port Type          Admin State Oper State       State Reason

--------------- ------------------ ----------- ---------------- ------------

Ethernet1/1     Mgmt               Enabled     Up

Ethernet1/2     Data               Disabled    Admin Down       Administratively down

Ethernet1/3     Data               Disabled    Admin Down       Administratively down

Ethernet1/4     Data               Disabled    Failed           SFP checksum error

Ethernet1/5     Data               Disabled    Sfp Not Present  Unknown

Ethernet1/6     Data               Disabled    Sfp Not Present  Unknown

Ethernet1/7     Data               Disabled    Sfp Not Present  Unknown

Ethernet1/8     Data               Disabled    Sfp Not Present  Unknown

Ethernet3/1     Data               Disabled    Admin Down       Administratively down

Ethernet3/2     Data               Disabled    Admin Down       Administratively down

Ethernet3/3     Data               Disabled    Admin Down       Administratively down

Ethernet3/4     Data               Disabled    Admin Down       Administratively down

Ethernet3/5     Data               Disabled    Admin Down       Administratively down

Ethernet3/6     Data               Disabled    Admin Down       Administratively down

FP4110-7-A /eth-uplink/fabric # show port-channel

Port Channel:

Port Channel Id Name             Port Type          Admin State Oper State     State Reason

--------------- ---------------- ------------------ ----------- ---------------- ------------

48              Port-channel48   Cluster            Disabled    Admin Down     Administratively down

Stap 3. Het poortkanaal maken

bsns-4110-2-A# scope eth-uplink

bsns-4110-2-A /eth-uplink # scope fabric a

bsns-4110-2-A /eth-uplink/fabric # create port-channel 15

bsns-4110-2-A /eth-uplink/fabric/port-channel* # create member-port Ethernet1/5

bsns-4110-2-A /eth-uplink/fabric/port-channel/member-port* # exit

bsns-4110-2-A /eth-uplink/fabric/port-channel* # create member-port Ethernet1/6

bsns-4110-2-A /eth-uplink/fabric/port-channel/member-port* # exit

bsns-4110-2-A /eth-uplink/fabric/port-channel* # set port-type data

bsns-4110-2-A /eth-uplink/fabric/port-channel* # set speed 1gbps

bsns-4110-2-A /eth-uplink/fabric/port-channel* # enable

bsns-4110-2-A /eth-uplink/fabric/port-channel* # commit-buffer

Stap 4. Wijs de interface toe aan het FTD logische apparaat:

FP4110-7-A# scope ssa

FP4110-7-A /ssa # scope logical-device mzafeiro_FTD

FP4110-7-A /ssa/logical-device # create external-port-link PC15_ftd Port-channel15 ftd

FP4110-7-A /ssa/logical-device/external-port-link* # commit-buffer

FP4110-7-A /ssa/logical-device/external-port-link #

Verificatie

FP4110-7-A# scope ssa

FP4110-7-A /ssa # scope logical-device mzafeiro_FTD

FP4110-7-A /ssa/logical-device # show external-port-link

External-Port Link:

Name            Port or Port Channel Name App Name   Description

--------------- ------------------------- ---------- -----------

Ethernet11_ftd  Ethernet1/1               ftd

Ethernet16_ftd  Ethernet1/6               ftd

PC15_ftd        Port-channel15            ftd

FP4110-7-A# scope eth-uplink

FP4110-7-A /eth-uplink # scope fabric a

FP4110-7-A /eth-uplink/fabric # show port-channel

Port Channel:

Port Channel Id Name             Port Type          Admin State Oper State     State Reason

--------------- ---------------- ------------------ ----------- ---------------- ------------

15              Port-channel15   Data               Enabled     Up

48              Port-channel48   Cluster            Disabled    Admin Down     Administratively down

FP4110-7-A /eth-uplink/fabric # enter port-channel 15

FP4110-7-A /eth-uplink/fabric/port-channel # show member-port

Member Port:

Port Name       Membership         Oper State       State Reason

--------------- ------------------ ---------------- ------------

Ethernet1/2     Up                 Up

Ethernet1/3     Up                 Up

Verwijder het poortkanaal van FXOS CLI (FPR4100/FPR9300)

FP4110-7-A# scope eth-uplink

FP4110-7-A /eth-uplink # scope fabric a

FP4110-7-A  /eth-uplink/fabric # delete port-channel 15

FP4110-7-A /eth-uplink/fabric* # commit-buffer

Poortkanaal op FPR21x/FPR1xxx

Netwerkdiagram

Het FTD Port-Channel op FPR21xx/FPR1xxx-apparaten wordt beheerd door de FXOS-code, maar de configuratie gebeurt vanuit het FMC, aangezien de FTD- en FXOS-code in één softwarebundel zijn geïntegreerd:

De modus (LACP Active of ON) wordt ingesteld in het tabblad Geavanceerd:

De instellingen voor duplexsnelheid en snelheid worden ingesteld op het tabblad Hardware Configuration:

Opmerking: op FPR2100 kunt u geen Port-Channel van FXOS CLI maken tenzij u een ASA als logisch apparaat gebruikt. Na ASA 9.13.x is dit alleen het geval in de Platform Mode. In de Toepassingsmodus (11xx/21xx) is er geen FCM en wordt alle interfaceconfiguratie rechtstreeks in de ASA CLI uitgevoerd.

Fp2110 /eth-uplink/fabric* # create port-channel 16

Fp2110 /eth-uplink/fabric/port-channel* # create member-port Ethernet1/10

Fp2110 /eth-uplink/fabric/port-channel/member-port* # exit

Fp2110 /eth-uplink/fabric/port-channel* # create member-port Ethernet1/11

Fp2110 /eth-uplink/fabric/port-channel/member-port* # exit

Fp2110 /eth-uplink/fabric/port-channel* # commit-buffer

Error: Changes not allowed. use: 'connect ftd' to make changes.

In het geval dat een fysieke interface is uitgeschakeld en u wilt dat deze dit doet:

firepower-2110# scope eth-uplink

firepower-2110 /eth-uplink # scope fabric a

firepower-2110 /eth-uplink/fabric # show interface

Interface:

Port Name      Port Type          Admin State Oper State       State Reason

-------------- ------------------ ----------- ---------------- ------------

Ethernet1/3    Data               Enabled     Up               Up

Ethernet1/4    Data               Disabled    Link Down        Down

Ethernet1/5    Data               Disabled    Link Down        Down

Ethernet1/6    Data               Disabled    Link Down        Down

Ethernet1/7    Data               Disabled    Link Down        Down

Ethernet1/8    Data               Disabled    Link Down        Down

Ethernet1/9    Data               Disabled    Link Down        Down

Ethernet1/10   Data               Disabled    Link Down        Down

Ethernet1/11   Data               Disabled    Link Down        Down

Ethernet1/12   Data               Disabled    Link Down        Down

Ethernet1/13   Data               Disabled    Link Down        Down

Ethernet1/14   Data               Disabled    Link Down        Down

Ethernet1/15   Data               Disabled    Link Down        Down

Ethernet1/16   Data               Disabled    Link Down        Down

firepower-2110 /eth-uplink/fabric # enter interface Ethernet1/4

firepower-2110 /eth-uplink/fabric/interface # show

Interface:

Port Name      Port Type          Admin State Oper State       State Reason

-------------- ------------------ ----------- ---------------- ------------

Ethernet1/4    Data               Disabled    Link Down        Down

firepower-2110 /eth-uplink/fabric/interface # enable

firepower-2110 /eth-uplink/fabric/interface* # commit-buffer

firepower-2110 /eth-uplink/fabric/interface # show

Interface:

Port Name      Port Type          Admin State Oper State       State Reason

-------------- ------------------ ----------- ---------------- ------------

Ethernet1/4    Data               Enabled     Link Down        Down

firepower-2110 /eth-uplink/fabric/interface #

FDM-configuratie

Overweeg deze topologie:

U kunt EtherChannel-interfaces configureren die FDM gebruiken vanaf softwarerelease 6.5. Navigeer naar Apparaat > Interfaces > EtherChannel en voeg een EtherChannel toe. Aangezien in dit geval EtherChannel een trunk is die de EtherChannel-id specificeert, schakelt u deze in (Status) en voegt u de leden toe. EtherChannel ondersteunt LACP Active en mode On (geen LACP). In dit geval wordt de LACP Active-modus geconfigureerd.

Voeg de subinterfaces toe:

Het resultaat:

De verwachte wijzigingen implementeren

Verifiëren

Controleer poortkanaal op FPR4100/FPR9300

Netwerkdiagram

De FTD (of ASA) is niet bekend met de individuele leden van Port-Channel. Logische interfaces (subinterfaces) zijn geconfigureerd op FMC:

> system support diagnostic-cli

firepower# show interface ip brief

Interface                  IP-Address      OK? Method Status                Protocol

Internal-Data0/0           unassigned      YES unset  up                    up

Internal-Data0/1           unassigned      YES unset  up                    up

Internal-Data0/2           169.254.1.1     YES unset  up                    up

Port-channel15             unassigned      YES unset  up                    up

firepower# show nameif

Interface                Name                     Security

Port-channel15           INSIDE                     0

Ethernet1/1              diagnostic                 0

firepower# show interface Port-channel15 detail

Interface Port-channel15 "INSIDE", is up, line protocol is up

Hardware is EtherSVI, BW 20000 Mbps, DLY 1000 usec

MAC address 2c33.118e.07de, MTU 1500

IP address unassigned

Traffic Statistics for "INSIDE":

6767 packets input, 566328 bytes

0 packets output, 0 bytes

6736 packets dropped

1 minute input rate 4 pkts/sec,  375 bytes/sec

1 minute output rate 0 pkts/sec,  0 bytes/sec

1 minute drop rate, 4 pkts/sec

5 minute input rate 4 pkts/sec,  401 bytes/sec

5 minute output rate 0 pkts/sec,  0 bytes/sec

5 minute drop rate, 4 pkts/sec

Control Point Interface States:

Interface number is 6

Interface config status is active

Interface state is active

U kunt als volgt de status van het Port-Channel en de deelnemers aan het Port-Channel-netwerk controleren door naar de FXOS-modus te navigeren:

FP4110-7-A# connect fxos

FP4110-7-A(fxos)# show port-channel summary

Flags:  D - Down        P - Up in port-channel (members)

I - Individual  H - Hot-standby (LACP only)

s - Suspended   r - Module-removed

S - Switched    R - Routed

U - Up (port-channel)

M - Not in use. Min-links not met

--------------------------------------------------------------------------------

Group Port-       Type     Protocol  Member Ports

Channel

--------------------------------------------------------------------------------

15    Po15(SU)    Eth      LACP      Eth1/2(P)    Eth1/3(P)

48    Po48(SD)    Eth      NONE      --

Zo ziet u de status van de poortkanalen samen met de historie van de laatste staat:

FP4110-7-A(fxos)# show port-channel database

port-channel15

Last membership update is successful

2 ports in total, 2 ports up

First operational port is Ethernet1/3

Age of the port-channel is 0d:00h:35m:00s

Time since last bundle is 0d:00h:34m:56s

Last bundled member is Ethernet1/3

Ports:   Ethernet1/2     [active ] [up]

Ethernet1/3     [active ] [up] *

port-channel48

Last membership update is successful

0 ports in total, 0 ports up

Age of the port-channel is 5d:06h:35m:27s

U kunt als volgt de verkeersdistributie onder Port-Channel-interfaceleden controleren:

FP4110-7-A(fxos)# show port-channel traffic

ChanId      Port Rx-Ucst Tx-Ucst Rx-Mcst Tx-Mcst Rx-Bcst Tx-Bcst

------ --------- ------- ------- ------- ------- ------- -------

15    Eth1/2  20.83%  49.71%  17.75%  43.67%  20.11%  49.94%

15    Eth1/3  79.16%  50.28%  82.24%  56.32%  79.88%  50.05%

Verificatie van LACP-buur

FP4110-7-A(fxos)# show lacp neighbor

Flags:  S - Device is sending Slow LACPDUs F - Device is sending Fast LACPDUs

A - Device is in Active mode       P - Device is in Passive mode

port-channel15 neighbors

Partner's information

Partner                Partner                     Partner

Port        System ID              Port Number     Age         Flags

Eth1/2      32768,28-6f-7f-ec-59-800x103           1984        FA

LACP Partner           Partner                     Partner

Port Priority          Oper Key                    Port State

32768                  0x5                         0x3f

Partner's information

Partner                Partner                     Partner

Port        System ID              Port Number     Age         Flags

Eth1/3      32768,28-6f-7f-ec-59-800x104           2221        FA

LACP Partner           Partner                     Partner

Port Priority          Oper Key                    Port State

32768                  0x5                         0x3f

Partner Oper Key 0x5 = De switch is geconfigureerd met Port-Channel ID 5

Aan de switch:

Switch# show lacp neighbor

Flags:  S - Device is requesting Slow LACPDUs

F - Device is requesting Fast LACPDUs

A - Device is in Active mode       P - Device is in Passive mode

Channel group 5 neighbors

Partner's information:

LACP port                        Admin  Oper   Port    Port

Port      Flags   Priority  Dev ID          Age    key    Key    Number  State

Gi1/0/2   FA      32768     2c33.118e.07b3   0s    0x0    0xE    0x42    0x3F

Gi1/0/3   FA      32768     2c33.118e.07b3   0s    0x0    0xE    0x43    0x3F

Merk op dat op de aangrenzende Switch de Partner Oper Key wordt weergegeven als 0xE (14) hoewel FXOS is geconfigureerd met Port-Channel ID 15

LACP-pakketopname in Wireshark:

Partnerstaat

Toestand

Verlopen

Standaard

Gedistribueerd

Verzameld

Synchronisatie

Aggregatie

LACP-time-out

LACP-activiteit

Waarde

0

0

1

1

1

1

1

1

Hex

3

f

Controleer poortkanaal op FPR21xx/FPR1xxx

Netwerkdiagram

Basis-verificatie Port Channel

> connect fxos

FP2110-2# connect local-mgmt

FP2110-2(local-mgmt)# show portchannel summary

Flags:  D - Down        P - Up in port-channel (members)

I - Individual  H - Hot-standby (LACP only)

s - Suspended   r - Module-removed

S - Switched    R - Routed

U - Up (port-channel)

M - Not in use. Min-links not met

--------------------------------------------------------------------------------

Group Port-       Type     Protocol  Member Ports

Channel

--------------------------------------------------------------------------------

11    Po11(U)     Eth      LACP      Eth1/1(P)    Eth1/2(P)

Aanvullende verificatie:

FP2110-2# scope eth-uplink

FP2110-2 /eth-uplink # scope fabric a

FP2110-2 /eth-uplink/fabric # show port-channel

Port Channel:

Port Channel Id Name             Port Type          Admin State Oper State       State Reason

--------------- ---------------- ------------------ ----------- ---------------- ------------

11              Port-channel11   Data               Enabled     Up               Up

Controleer de details van het poortkanaal:

FP2110-2 /eth-uplink/fabric # show port-channel detail

Port Channel:

Port Channel Id: 11

Name: Port-channel11

Port Type: Data

Description:

Admin State: Enabled

Oper State: Up

Auto negotiation: Yes

Speed: 1 Gbps

Duplex: Full Duplex

Oper Speed: 1 Gbps

Band Width (Gbps): 2

State Reason: Up

flow control policy: default

LACP policy name: default

oper LACP policy name: org-root/lacp-default

Lacp Mode: Active

Inline Pair Admin State: Enabled

Inline Pair Peer Port Name:

Controleer de gegevens van de Port-Channel-leden:

FP2110-2# scope eth-uplink

FP2110-2 /eth-uplink # scope fabric a

FP2110-2 /eth-uplink/fabric # scope port-channel 11

FP2110-2 /eth-uplink/fabric/port-channel # show member-port

Member Port:

Port Name       Membership         Oper State       State Reason

--------------- ------------------ ---------------- ------------

Ethernet1/1     Up                 Up               Up

Ethernet1/2     Up                 Up               Up

Gegevens over de haven van het lid:

FP2110-2 /eth-uplink/fabric/port-channel # show member-port detail

Member Port:

Port Name: Ethernet1/1

Membership: Up

Oper State: Up

State Reason: Up

Ethernet Link Profile name: default

Oper Ethernet Link Profile name: fabric/lan/eth-link-prof-default

Udld Oper State: Unknown

Current Task:

Port Name: Ethernet1/2

Membership: Up

Oper State: Up

State Reason: Up

Ethernet Link Profile name: default

Oper Ethernet Link Profile name: fabric/lan/eth-link-prof-default

Udld Oper State: Unknown

Current Task:

LACP-verificatie

FP2110-2(local-mgmt)# show lacp neighbor

Flags:  S - Device is requesting Slow LACPDUs

F - Device is requesting Fast LACPDUs

A - Device is in Active mode       P - Device is in Passive mode

Channel group: 11

Partner (internal) information:

Partner                 Partner                       Partner

Port      System ID             Port Number     Age         Flags

Eth1/1    32768,286f.7fec.5980  0x10e           13 s        FA <-- the peer is requesting Fast Rate

LACP Partner           Partner           Partner

Port Priority        Oper Key        Port State

32768                0x16            0x3f

Port State Flags Decode:

Activity:   Timeout:   Aggregation:   Synchronization:

Active      Long       Yes            Yes

Collected:   Distributing:   Defaulted:   Expired:

Yes           Yes             No           No

Partner                 Partner                       Partner

Port      System ID             Port Number     Age         Flags

Eth1/2    32768,286f.7fec.5980  0x10f           5  s        FA <-- the peer is requesting Fast Rate

LACP Partner           Partner           Partner

Port Priority        Oper Key        Port State

32768                0x16            0x3f

Port State Flags Decode:

Activity:   Timeout:   Aggregation:   Synchronization:

Active      Long       Yes            Yes

Collected:   Distributing:   Defaulted:   Expired:

Yes           Yes             No           No

Opmerking: op FPR21xx/FPR1xxx is het standaard LACP-tarief traag en kan niet worden gewijzigd

LACP-tellers

FP2110-2(local-mgmt)# show lacp counters

LACPDUs         Marker      Marker Response    LACPDUs

Port       Sent   Recv     Sent   Recv    Sent    Recv      Pkts Err

---------------------------------------------------------------------

Channel group: 11

Eth1/1     4435   3532     0      0        0      0         0

Eth1/2     4566   3532     0      0        0      0         0

FP2110-2(local-mgmt)# show lacp counters

LACPDUs         Marker      Marker Response    LACPDUs

Port       Sent   Recv     Sent   Recv    Sent    Recv      Pkts Err

---------------------------------------------------------------------

Channel group: 11

Eth1/1     4436   3532     0      0        0      0         0

Eth1/2     4567   3532     0      0        0      0         0

FPR2100 interfaceverificatie

Hoe de fysieke interfaces in kaart brengen aan de interne Switch FPR2100:

Interface

Interne Switch op FPR2110/FPR2120

Interne Switch op FPR2130/FPR2140

E1/1

1

1

E1/2

0

0

E1/3

3

3

E1/4

2

2

E1/E1

5

5

E1/6

4

4

E1/7

7

7

E1/8

6

6

E1/9

9

49

E1/10

8

48

E1/11

11

51

E1/12

10

50

E1/13

12

59

E1/14 NL

13

58

E1/15

14

57

E1/16

15

56

E2/1

-

70

E2/2

-

71

E2/3

-

69

E2/4

-

68

E2/5

-

66

E2/6

-

67

E2/7

-

65

E2/8

-

64

Controleer de fysieke interfacestatus:

FP2110-2(local-mgmt)# show portmanager port-info ethernet 1 1

port_info:

if_index:    0x1081000

type:        PORTMGR_IPC_MSG_PORT_TYPE_PHYSICAL

mac_address: 70:df:2f:18:d8:04

flowctl:     PORTMGR_IPC_MSG_FLOWCTL_NONE

role:        PORTMGR_IPC_MSG_PORT_ROLE_NPU

admin_state: PORTMGR_IPC_MSG_PORT_STATE_ENABLED

oper_state:  PORTMGR_IPC_MSG_PORT_STATE_UP

admin_speed: PORTMGR_IPC_MSG_SPEED_AUTO

oper_speed:  PORTMGR_IPC_MSG_SPEED_1GB

admin_mtu:   9216

admin_duplex: PORTMGR_IPC_MSG_PORT_DUPLEX_FULL

oper_duplex: PORTMGR_IPC_MSG_PORT_DUPLEX_FULL

pc_if_index: 0x200000b

pc_membership_status: PORTMGR_IPC_MSG_MMBR_UP

pc_protocol: PORTMGR_IPC_MSG_PORT_CHANNEL_PRTCL_LACP_ACTIVE

native_vlan: 1011

num_allowed_vlan: 1

allowed_vlan[0]: 1011

Fysieke interfacetellers:

FP2110-2(local-mgmt)# show portmanager counters ethernet 1 1

Good Octets Received                              : 2692986

Bad Octets Received                               : 0

MAC Transmit Error                                : 0

Good Packets Received                             : 37038

Bad Packets Received                              : 0

BRDC Packets Received                             : 22290

MC Packets Received                               : 12538

Size 64                                           : 34193

Size 65 to 127                                    : 1531

Size 128 to 255                                   : 1515

Size 256 to 511                                   : 374

Size 512 to 1023                                  : 95

Size 1024 to Max                                  : 0

Good Octets Sent                                  : 87296

Good Packets Sent                                 : 682

Excessive Collision                               : 0

MC Packets Sent                                   : 682

BRDC Packets Sent                                 : 0

Unrecognized MAC Received                         : 0

FC Sent                                           : 0

Good FC Received                                  : 0

Drop Events                                       : 0

Undersize Packets                                 : 0

Fragments Packets                                 : 0

Oversize Packets                                  : 0

Jabber Packets                                    : 0

MAC RX Error Packets Received                     : 0

Bad CRC                                           : 0

Collisions                                        : 0

FPR2100 MAC-tabel met interne switch. Let op: 01:80:C2:00:00:02 = LACP

FP2110-2(local-mgmt)# show portmanager switch mac-filters

port ix          MAC                mask        action      packets       bytes

00   03e  70:DF:2F:18:D8:05  FF:FF:FF:FF:FF:FF  FORWARD

043  01:80:C2:00:00:02  FF:FF:FF:FF:FF:FF  FORWARD         687       87936

044  70:DF:2F:18:D8:2D  FF:FF:FF:FF:FF:FF  FORWARD

045  FF:FF:FF:FF:FF:FF  FF:FF:FF:FF:FF:FF  FORWARD        5501      385360

3d0  00:00:00:00:00:00  01:00:00:00:00:00  DROP           2101      141426

3e8  01:00:00:00:00:00  01:00:00:00:00:00  DROP           7946     1524820

01   03f  70:DF:2F:18:D8:04  FF:FF:FF:FF:FF:FF  FORWARD

040  01:80:C2:00:00:02  FF:FF:FF:FF:FF:FF  FORWARD         687       87936

041  70:DF:2F:18:D8:2D  FF:FF:FF:FF:FF:FF  FORWARD

042  FF:FF:FF:FF:FF:FF  FF:FF:FF:FF:FF:FF  FORWARD       22351     1451504

3d1  00:00:00:00:00:00  01:00:00:00:00:00  DROP           2215      154542

3e9  01:00:00:00:00:00  01:00:00:00:00:00  DROP          11886     1006067

02   03c  70:DF:2F:18:D8:07  FF:FF:FF:FF:FF:FF  FORWARD

049  01:80:C2:00:00:02  FF:FF:FF:FF:FF:FF  FORWARD

04a  70:DF:2F:18:D8:6D  FF:FF:FF:FF:FF:FF  FORWARD

04b  FF:FF:FF:FF:FF:FF  FF:FF:FF:FF:FF:FF  FORWARD

3d2  00:00:00:00:00:00  01:00:00:00:00:00  DROP

3ea  01:00:00:00:00:00  01:00:00:00:00:00  DROP

De poorten e1/1 en e1/2 komen overeen met 0/0 en 0/1 op de inwendige switch:

FP2110-2(local-mgmt)# show portmanager switch status

Dev/Port         Mode        Link   Speed  Duplex  Loopback Mode

---------  ----------------  -----  -----  ------  -------------

0/0             QSGMII        Up     1G     Full    None

0/1             QSGMII        Up     1G     Full    None

0/2             QSGMII       Down    1G     Half    None

0/3             QSGMII       Down    1G     Half    None

0/4             QSGMII       Down    1G     Half    None

0/5             QSGMII       Down    1G     Half    None

0/6             QSGMII       Down    1G     Half    None

0/7             QSGMII       Down    1G     Half    None

0/8             QSGMII       Down    1G     Half    None

0/9             QSGMII       Down    1G     Half    None

0/10            QSGMII       Down    1G     Half    None

0/11            QSGMII       Down    1G     Half    None

0/12            QSGMII       Down    10     Half    None

0/13            QSGMII       Down    10     Half    None

0/14            QSGMII       Down    10     Half    None

0/15            QSGMII       Down    10     Half    None

0/16             n/a         Down    n/a    Full    N/A

0/17             n/a         Down    n/a    Full    N/A

0/18             n/a         Down    n/a    Full    N/A

0/19             n/a         Down    n/a    Full    N/A

0/20             n/a         Down    n/a    Full    N/A

0/21             n/a         Down    n/a    Full    N/A

0/22             n/a         Down    n/a    Full    N/A

0/23             n/a         Down    n/a    Full    N/A

0/24              KR          Up     10G    Full    None

0/25              KR          Up     10G    Full    None

0/26              KR         Down    10G    Full    None

0/27              KR          Up     10G    Full    None

Problemen oplossen

LACP Overzicht

LACP Feiten:

- IEEE Standard (802.3ad) Link Aggregation Control Protocol (LACP) is een L2-protocol dat wordt gebruikt voor poortkanaalonderhandeling.

- LACP gebruikt bestemming MAC 0180.c200.0002 en Ethernet Type 0x809.

- LACP en Mode On (geen LACP) zijn de enige modi die ondersteund worden op FirePOWER-apparaten (Mode On werd toegevoegd op FP4100/FP9300 in 2.4.x FXOS release).

- LACP kan in een van de 2 modi (actief of passief) worden geconfigureerd. FXOS gebruikt altijd een actieve modus.

- Het belangrijkste doel van LACP is te beschermen tegen verkeerde configuraties in Port-Channel.

- Om een LACP-pc op de markt te kunnen brengen, is het nodig dat de instellingen voor Speed/Duplex dezelfde zijn in de poortkanaals interfaceleden. Op FXOS stelt u de snelheid in op het poortkanaalniveau.

- LACP Actor = het lokale apparaat

- LACP Partner = het apparaat op afstand

- Elk apparaat heeft een LACP-systeem-ID, meestal de MAC van het chassis. De LACP System ID wordt verzonden binnen elk LACP-pakket.

- Elk LACP-pakket heeft ~110 bytes van grootte.

- LACP kan werken in Fast Rate of Slow (Normal) Rate. Voor FXOS is de standaardinstelling Fast Rate (behalve 1xxx/21xx waar het altijd Slow is), maar het kan ook worden geconfigureerd als Slow. De LACP-modus aan de switch kant is afhankelijk van het gebruikte switch model en SW. Een Cat3750 ondersteunt bijvoorbeeld zowel Slow als Fast vanaf 15.2(4)E. Raadpleeg de switch-bevestigingshandleiding voor meer informatie.

- In de LACP-detectieperiode worden LACP’s elke 1 seconden verzonden, ongeacht het LACP-percentage. Het LACP-tarief beïnvloedt alleen het LACP Keepalive-interval zodra de interface UP is.

Voordelen van LACP Keepalive

De LACP keepalive is nuttig in scenario's wanneer de interface op afstand niet meer functioneel is, maar nog UP (geen directe mislukking werd ontdekt). Dit kan het geval zijn bij een driver/L2-probleem of als er een apparaat in het pad is (bijvoorbeeld IPS) dat de detectie van storingen in de externe link niet mogelijk maakt. LACP Keepalive heeft een time-out van peer rate x 3. Als de remote peer bijvoorbeeld elke 1 seconden verstuurt, dan verklaart het lokale apparaat de remote peer down als er binnen 3 seconden geen LACP-pakket wordt ontvangen. In het geval van Slow Rate is dit na 90 seconden.

Alle velden van een LACP-pakket zoals ze in Wireshark worden getoond:

Opmerking: Wanneer een poortkanaal op de FTD wordt afgesloten, wordt de LACP-pakketten (in- of uitgangen) niet weergegeven door de FXOS-opname

LACP Fast Rate vs Slow Rate

Over het algemeen is de aanbeveling om Fast Rate aan beide kanten te gebruiken (FXOS op 4100/9300 gebruikt Fast Rate standaard, op FPR2100 is de standaard LACP Send Rate langzaam). De LACP-snelheid kan de bundelsnelheid van Port-Channel verhogen.

FXOS geconfigureerd langzaam

Snel geconfigureerd voor FXOS

Switch geconfigureerd langzaam

Switch aanvragen Langzaam

FXOS-aanvragen verlopen traag

Switch verzendt 1 LACP/30sec

FXOS verzendt 1 LACP/30sec

Switch aanvragen Langzaam

FXOS-aanvragen snel

Switch verzendt 1 LACP/sec

FXOS verzendt 1 LACP/30sec

Snelle configuratie switch

Switch vraagt snel

FXOS-aanvragen verlopen traag

Switch verzendt 1 LACP/30sec

FXOS verzendt 1 LACP/sec

Switch vraagt snel

FXOS-aanvragen snel

Switch verzendt 1 LACP/sec

FXOS verzendt 1 LACP/sec

U kunt de LACP-modus als volgt configureren op FXOS (41xx/93xx):

KSEC-FPR4100-1# scope org

KSEC-FPR4100-1 /org # show lacppolicy

LACP policy:

Name       LACP rate

---------- ---------

default    Fast

KSEC-FPR4100-1 /org # scope lacppolicy default

KSEC-FPR4100-1 /org/lacppolicy # set lacp-rate

fast    lacp rate fast

normal  lacp rate normal

Probleemoplossing voor poortkanaal op FPR4100/FPR9300

Netwerkdiagram

Het FPR4100- en FPR9300-chassis bevatten een inwendige switch waar het poortkanaal is afgesloten. Aangezien de interne switch vergelijkbaar is met een Nexus 5K en FXOS alleen LACP ondersteunt, is de probleemoplossing vergelijkbaar met een Nexus 5K.

Controleer 1 - Controleer de status van het poortkanaal

FP4110-7-A(fxos)# show port-channel summary

Flags:  D - Down        P - Up in port-channel (members)

I - Individual  H - Hot-standby (LACP only)

s - Suspended   r - Module-removed

S - Switched    R - Routed

U - Up (port-channel)

M - Not in use. Min-links not met

--------------------------------------------------------------------------------

Group Port-       Type     Protocol  Member Ports

Channel

--------------------------------------------------------------------------------

15    Po15(SU)    Eth      LACP      Eth1/2(P)    Eth1/3(P)

Controleer de FXOS-interfacestatus:

FP4110-7-A(fxos)# show interface brief

--------------------------------------------------------------------------------

Ethernet      VLAN   Type Mode   Status  Reason                   Speed     Port

Interface                                                                   Ch #

--------------------------------------------------------------------------------

Eth1/1        1       eth  1qtunl up      none                       1000(D) --

Eth1/2        1       eth  1qtunl up      none                       1000(D) 15

Eth1/3        1       eth  1qtunl up      none                       1000(D) 15

Eth1/4        1       eth  1qtunl down    SFP not inserted            10G(D) --

Eth1/5        1       eth  1qtunl down    Administratively down      1000(D) --

Eth1/6        1       eth  1qtunl down    Administratively down      1000(D) --

Eth1/7        1       eth  1qtunl down    Administratively down       10G(D) --

Eth1/8        1       eth  1qtunl down    SFP not inserted            10G(D) --

Eth1/9        1       eth  vntag  up      none                        40G(D) --

Eth1/10       1       eth  access down    Administratively down       40G(D) --

Eth1/11       1       eth  access down    Administratively down      1000(D) --

Eth1/12       1       eth  access down    Administratively down      1000(D) --

Controle 2 - Controleer dat FXOS LACPs verstuurt en ontvangt (voer de opdracht een paar keer uit)

FP4110-7-A(fxos)# show lacp counters interface port-channel 15

LACPDUs         Marker      Marker Response    LACPDUs

Port              Sent   Recv     Sent   Recv     Sent   Recv      Pkts Err

---------------------------------------------------------------------

port-channel15

Ethernet1/2        223019 207280   0      0        0      0        0

Ethernet1/3        296532 207744   0      0        0      0        0

Controleer hetzelfde op de switch:

Switch# show lacp 5 counters

LACPDUs         Marker      Marker Response    LACPDUs

Port       Sent   Recv     Sent   Recv     Sent   Recv      Pkts Err

---------------------------------------------------------------------

Channel group: 5

Gi1/0/2     627    596      0      0        0      0         0

Gi1/0/3     623    593      0      0        0      0         0

Controleer de LACP-gegevens van een afzonderlijke FXOS-interface:

FP4110-7-A(fxos)# show lacp interface ethernet 1/2

Interface Ethernet1/2 is up

Channel group is 15 port channel is Po15

PDUs sent: 222828

PDUs rcvd: 207074

Markers sent: 0

Markers rcvd: 0

Marker response sent: 0

Marker response rcvd: 0

Unknown packets rcvd: 0

Illegal packets rcvd: 0

Lag Id: [ [(8000, 28-6f-7f-ec-59-80, 5, 8000, 103), (8000, 2c-33-11-8e-7-b3, e,

8000, 42)] ]

Operational as aggregated link since Tue Oct 31 19:14:57 2017

Local Port: Eth1/2   MAC Address= 2c-33-11-8e-7-b3

System Identifier=0x8000,2c-33-11-8e-7-b3

Port Identifier=0x8000,0x42

Operational key=14

LACP_Activity=active

LACP_Timeout=Short Timeout (1s)

Synchronization=IN_SYNC

Collected=true

Distributing=true

Controle 3 - Controleer de LACP-ID's van het lokale en externe apparaat

FP4110-7-A(fxos)# show lacp port-channel interface port-channel 15

port-channel15

System Mac=2c-33-11-8e-7-b3

Local System Identifier=0x8000,2c-33-11-8e-7-b3

Admin key=0xe

Operational key=0xe

Partner System Identifier=0x8000,28-6f-7f-ec-59-80

Operational key=0x5

Max delay=0

Aggregate or individual=1

Member Port List=

Controleer 4 (optioneel) - Verzamel deze uitvoer (kan worden gebruikt door Cisco TAC)

FP4110-7-A(fxos)# show lacp internal event-history errors

1) Event:E_DEBUG, length:74, at 574387 usecs after Tue Oct 31 19:14:57 2017

[102] lacp_proto_set_ntt(1780): Restarting periodic tx timer in 0x210 msecs

2) Event:E_DEBUG, length:467, at 544757 usecs after Tue Oct 31 19:14:57 2017

[102] lacp_ac_init_port_channel_member(1660): TYPE1 UPDATE lacp_ac_init_port

_channel_member port-channel port-channel15(0x1600000e) lacp_mcec_type1_upd_sent

...

Controle 5 - Controleer de LACP FSM overgang voor de specifieke haven die het probleem heeft. De berichten worden weergegeven met de oudste bovenaan de uitvoer

FP4110-7-A(fxos)# show lacp internal event-history interface ethernet 1/2

>>>>FSM: <Ethernet1/2> has 975 logged transitions<<<<<

1) FSM:<Ethernet1/2> Transition at 257150 usecs after Sun Oct 29 12:35:16 2017

Previous state: [LACP_ST_WAIT_FOR_HW_TO_PROGRAM_RECEIVE_PATH]

Triggered event: [LACP_EV_PORT_RECEIVE_PATH_ENABLED_AS_CHANNEL_MEMBER_MESSAGE]

Next state: [LACP_ST_PORT_MEMBER_RECEIVE_ENABLED]

...

4) FSM:<Ethernet1/2> Transition at 966987 usecs after Sun Oct 29 12:35:19 2017

Previous state: [LACP_ST_PORT_MEMBER_COLLECTING_AND_DISTRIBUTING_ENABLED]

Triggered event: [LACP_EV_PARTNER_PDU_IN_SYNC] <--- Good (Received LACP with ‘Synchronization = 1’

Next state: [LACP_ST_PORT_IS_DOWN_OR_LACP_IS_DISABLED]

...

207) FSM:<Ethernet1/4> Transition at 482767 usecs after Sun Oct 29 13:18:40 2017

Previous state: [LACP_ST_ATTACHED_TO_AGGREGATOR]

Triggered event: [LACP_EV_PARTNER_PDU_OUT_OF_SYNC]

Next state: [FSM_ST_NO_CHANGE]

208) FSM:<Ethernet1/4> Transition at 363720 usecs after Sun Oct 29 13:18:41 2017

Previous state: [LACP_ST_ATTACHED_TO_AGGREGATOR]

Triggered event: [LACP_EV_PARTNER_PDU_OUT_OF_SYNC] <--- Bad (Received LACP with ‘Synchronization = 0’

Next state: [FSM_ST_NO_CHANGE]

Controle 6 - Verzamel de historie van poortkanaals gebeurtenissen (kan worden gebruikt door Cisco TAC)

FP4110-7-A(fxos)# show port-channel internal event-history all

Low Priority Pending  queue: len(0), max len(1) [Tue Oct 31 19:37:03 2017] High Priority Pending queue: len(0), max len(12) [Tue Oct 31 19:37:03 2017] PCM Control Block info: pcm_max_channels : 4096 pcm_max_channel_in_use : 48 pc count : 2 hif-pc count : 0 Max PC Cnt : 104 Load-defer timeout : 120 ==================================================== PORT CHANNELS: 2LvPC PO in system : 0 port-channel15 channel : 15 bundle : 65535 ... >>>>FSM: <eth-port-channel 15> has 66 logged transitions<<<<< 1) FSM:<eth-port-channel 15> Transition at 174796 usecs after Tue Oct 31 18:05:0 8 2017 Previous state: [PCM_PC_ST_INIT] Triggered event: [PCM_PC_EV_CREATE_INIT] Next state: [FSM_ST_NO_CHANGE] 2) Event:ESQ_START length:38, at 174810 usecs after Tue Oct 31 18:05:08 2017 Instance:369098766, Seq Id:0x1, Ret:SUCCESS Seq Type:SERIAL ...

Probleemoplossing voor poortkanaal op FPR21x/FPR1xxx

Netwerkdiagram

Controle 1. Controleer bij gebruik van LACP de LACP-tellers

U ziet beide kanten (switch en FXOS) verzenden en ontvangen:

FP2110-2(local-mgmt)# show lacp counters

LACPDUs         Marker      Marker Response    LACPDUs

Port       Sent   Recv     Sent   Recv    Sent    Recv      Pkts Err

---------------------------------------------------------------------

Channel group: 11

Eth1/1     4435   3532     0      0        0      0         0

Eth1/2     4566   3532     0      0        0      0         0

Een andere manier om het zelfde te verifiëren:

FP2110-2(local-mgmt)# show pktmgr counters

Ports           Tx        Tx        Tx        Rx      Rx        Rx        Rx

Packets     Drops     Bytes   Packets   Drops     Bytes  Forwards

----------------------------------------------------------------------------

Eth1/1       4575         0    567300      3537       0    452736      3537 < LACP PDUs forwarded internally to LACP process

Eth1/2       4706         0    583544      3537       0    452736      3537 < LACP PDUs forwarded internally to LACP process

Eth1/3          0         0         0         0       0         0         0

Eth1/4          0         0         0         0       0         0         0

Eth1/5          0         0         0         0       0         0         0

Eth1/6          0         0         0         0       0         0         0

Eth1/7          0         0         0         0       0         0         0

Eth1/8          0         0         0         0       0         0         0

Eth1/9          0         0         0         0       0         0         0

Eth1/10         0         0         0         0       0         0         0

Eth1/11         0         0         0         0       0         0         0

Eth1/12         0         0         0         0       0         0         0

Eth1/13         0         0         0         0       0         0         0

Eth1/14         0         0         0         0       0         0         0

Eth1/15         0         0         0         0       0         0         0

Eth1/16         0         0         0         0       0         0         0

Misc.           0         0         0         0       0         0       n/a

Controle 2. Controleer de status van de upstream switch

FP2110-2(local-mgmt)# show lacp neighbor

Flags:  S - Device is requesting Slow LACPDUs

F - Device is requesting Fast LACPDUs

A - Device is in Active mode       P - Device is in Passive mode

Channel group: 11

Partner (internal) information:

Partner                 Partner                       Partner

Port      System ID             Port Number     Age         Flags

Eth1/1    32768,286f.7fec.5980  0x10e           9  s        FA

LACP Partner           Partner           Partner

Port Priority        Oper Key        Port State

32768                0x16            0x3f

Port State Flags Decode:

Activity:   Timeout:   Aggregation:   Synchronization:

Active      Long       Yes            Yes

Collected:   Distributing:   Defaulted:   Expired:

Yes           Yes             No           No

Partner                 Partner                       Partner

Port      System ID             Port Number     Age         Flags

Eth1/2    32768,286f.7fec.5980  0x10f           24 s        FA

LACP Partner           Partner           Partner

Port Priority        Oper Key        Port State

32768                0x16            0x3f

Port State Flags Decode:

Activity:   Timeout:   Aggregation:   Synchronization:

Active      Long       Yes            Yes

Collected:   Distributed:   Defaulted:   Expired:

Yes           Yes             No           No

Opmerking: Als Verzameld en Gedistribueerd niet 'Ja' zijn en Gebrekkig is 'Nee', dan is LACP niet geconvergeerd.

Controle 3. Controleer of de lokale LACP-systeem-ID niet 0 is

FP2110-2(local-mgmt)# show lacp sys-id

32768, 70df.2f18.d813

Aanvullende probleemoplossing (gebruikelijk in alle platforms)

Controle 1

Zorg ervoor dat de instellingen aan beide zijden (firewall en switch) zijn aangepast (de snelheid is bijvoorbeeld hetzelfde, de poortkanaalmodus is hetzelfde).

Controle 2

Controleer op FXOS-fouten. U kunt deze controle uitvoeren via de gebruikersinterface van het chassis (UI) of via de CLI die deze opdracht gebruikt:

FPR4100# show fault

Severity  Code     Last Transition Time     ID       Description

--------- -------- ------------------------ -------- -----------

Major     F0479    2020-03-19T11:50:44.322    543322 Virtual interface 781 link state is down

Major     F0373    2020-03-19T10:55:13.778     34178 Fan 1 in Fan Module 1-5 under chassis 1 operability: inoperable

Minor     F0480    2020-03-19T10:55:13.777     34177 Fan module 1-5 in chassis 1 operability: degraded

Major     F1767    2020-03-19T10:54:04.162    531228 The password encryption key has not been set.

Major     F0727    2020-03-19T09:50:02.891    522921 lan Member 1/5 of Port-Channel 10 on fabric interconnect A is down, membership: suspended

Major     F0282    2020-03-19T09:49:31.462    522922 lan port-channel 10 on fabric interconnect A oper state: failed, reason: No operational members

Major     F0277    2020-03-19T09:49:31.437    522929 ether port 1/5 on fabric interconnect A oper state: failed, reason: Other

Info      F0279    2020-01-17T11:06:45.472    300958 ether port 1/7 on fabric interconnect A oper state: sfp-not-present

Info      F0279    2020-01-17T11:06:37.941    300903 ether port 1/6 on fabric interconnect A oper state: sfp-not-present

Minor     F1437    2020-01-16T10:11:39.675    291723 Config backup may be outdated

De fouten worden in chronologische volgorde weergegeven. De Ernst weerspiegelt het belang van de fout, terwijl de beschrijving een kort overzicht geeft. De nadruk ligt vooral op de ernst, het tijdstempel en de beschrijving. De ernstigheidsvolgorde van de ernstigste tot de minst ernstige is:

- kritiek

- Groot

- Beperkt

- WAARSCHUWING

- Info/voorwaarde

- Opgeruimd

Voor meer informatie over elke fout check de FXOS Fouten en Foutenmeldingen gids: FXOS Fout en Systeem Berichten

Controle 3

Als u enkele recente wijzigingen met betrekking tot de Port-Channel-configuratie op FMC hebt doorgevoerd, zorgt u ervoor dat het beleid van FMC naar FTD is geïmplementeerd

Controle 4

Als het Port-Channel zich in de mislukte staat bevindt en het apparaat tot een Cluster behoort, moet u ervoor zorgen dat het Cluster op het apparaat is ingeschakeld. Een apparaat dat uit het cluster wordt gegooid, is normaal om het poortkanaal in een mislukte staat te hebben

Controle 5

Als de configuratie correct is, maar de interface komt niet omhoog controle en vervangt de kabel en/of de Kleine ontvanger van de Vormfactor Pluggable (SFP)

Controle 6

Controleer de opmerkingen bij de FirePOWER Release op bekende problemen met betrekking tot Port-Channel. Als u bijvoorbeeld FXOS versie 2.6.1.169 en FTD 6.4.0.6 gebruikt, moet u deze secties controleren:

Controleer daarnaast de desbetreffende FMC/FTD release Notes. Omdat in dit voorbeeld de FTD 6.4.0.5 draait, is het nodig om de 6.4.x release Notes te controleren:

Veelvoorkomende problemen

Situatie 1. Onjuiste EtherChannel-modus

Overweeg deze topologie:

De symptomen van het probleem

Op FirePOWER is Port-Channel uitgeschakeld en is het onderhandelingsprotocol LACP:

FP2110-2(local-mgmt)# show portchannel summary

Flags:  D - Down        P - Up in port-channel (members)

I - Individual  H - Hot-standby (LACP only)

s - Suspended   r - Module-removed

S - Switched    R - Routed

U - Up (port-channel)

M - Not in use. Min-links not met

--------------------------------------------------------------------------------

Group Port-       Type     Protocol  Member Ports

Channel

--------------------------------------------------------------------------------

11    Po11(D)     Eth      LACP      Eth1/1(D)    Eth1/2(D)

Op FXOS de LACP Verzonden tellers toename om de 30 seconden, maar de Ontvang tellers zijn niet:

FP2110-2(local-mgmt)# show lacp counters

LACPDUs         Marker      Marker Response    LACPDUs

Port       Sent   Recv     Sent   Recv    Sent    Recv      Pkts Err

---------------------------------------------------------------------

Channel group: 11

Eth1/1     11356  3762     0      0        0      0         0

Eth1/2     11393  3761     0      0        0      0         0

FP2110-2(local-mgmt)# show lacp counters

LACPDUs         Marker      Marker Response    LACPDUs

Port       Sent   Recv     Sent   Recv    Sent    Recv      Pkts Err

---------------------------------------------------------------------

Channel group: 11

Eth1/1     11357  3762     0      0        0      0         0

Eth1/2     11394  3761     0      0        0      0         0

De diepere oorzaak

Het Port-Channel op de switch is op, maar merk op dat er geen onderhandelingsprotocol is:

Switch# show etherchannel 22 summary

…

Number of channel-groups in use: 15

Number of aggregators:           15

Group  Port-channel  Protocol    Ports

------+-------------+-----------+-----------------------------------------------

22     Po22(SU)         -        Gi1/0/13(P) Gi1/0/14(P)

De poortconfiguratie van de switch bevestigt dit:

Switch# show run int g1/0/13

interface GigabitEthernet1/0/13

lacp rate fast

channel-group 22 mode on

end

Switch# show run int g1/0/14

interface GigabitEthernet1/0/14

lacp rate fast

channel-group 22 mode on

end

Oplossing

Aangezien dit een FPR21xx-apparaat is, zijn er 2 mogelijke oplossingen:

1. Verander de Port-Channel-modus aan de switch van ON naar LACP (actief of passief).

2. Wijzig de Port-Channel-modus aan de FTD-kant van LACP in ON.

In dit scenario is voor de tweede oplossing gekozen (FTD Port-Channel in modus ON instellen):

FP2110-2(local-mgmt)# show portchannel summary

Flags:  D - Down        P - Up in port-channel (members)

I - Individual  H - Hot-standby (LACP only)

s - Suspended   r - Module-removed

S - Switched    R - Routed

U - Up (port-channel)

M - Not in use. Min-links not met

--------------------------------------------------------------------------------

Group Port-       Type     Protocol  Member Ports

Channel

--------------------------------------------------------------------------------

11    Po11(U)     Eth      ON        Eth1/1(P)    Eth1/2(P)

De LACP-tellers worden niet meer getoond:

FP2110-2(local-mgmt)# show lacp counters

FP2110-2(local-mgmt)#

Situatie 2. Onjuist poortkanaalontwerp

De symptomen van het probleem

FP4110-7-A(fxos)# show port-channel summary

Flags:  D - Down        P - Up in port-channel (members)

I - Individual  H - Hot-standby (LACP only)

s - Suspended   r - Module-removed

S - Switched    R - Routed

U - Up (port-channel)

M - Not in use. Min-links not met

--------------------------------------------------------------------------------

Group Port-       Type     Protocol  Member Ports

Channel

--------------------------------------------------------------------------------

15    Po15(SD)    Eth      LACP      Eth1/2(P)    Eth1/3(s)

48    Po48(SD)    Eth      NONE      --

FXOS LACP-tellers stijgen in beide richtingen:

FP4110-7-A(fxos)# show lacp counters

LACPDUs         Marker      Marker Response    LACPDUs

Port              Sent   Recv     Sent   Recv     Sent   Recv      Pkts Err

---------------------------------------------------------------------

port-channel15

Ethernet1/2        419219 451268   0      0        0      0        0

Ethernet1/3        419215 446806   0      0        0      0        0

FP4110-7-A(fxos)# show lacp counters

LACPDUs         Marker      Marker Response    LACPDUs

Port              Sent   Recv     Sent   Recv     Sent   Recv      Pkts Err

---------------------------------------------------------------------

port-channel15

Ethernet1/2        419219 451269   0      0        0      0        0

Ethernet1/3        419216 446807   0      0        0      0        0

De diepere oorzaak

De output van show lacp buurman toont verschillende Partner System ID op elke poort:

FP4110-7-A(fxos)# show lacp neighbor

Flags:  S - Device is sending Slow LACPDUs F - Device is sending Fast LACPDUs

A - Device is in Active mode       P - Device is in Passive mode

port-channel15 neighbors

Partner's information

Partner                Partner                     Partner

Port        System ID              Port Number     Age         Flags

Eth1/2      32768,28-6f-7f-ec-59-800x103           419611      FA

LACP Partner           Partner                     Partner

Port Priority          Oper Key                    Port State

32768                  0x5                         0x3d

Partner's information

Partner                Partner                     Partner

Port        System ID              Port Number     Age         Flags

Eth1/3      32768,4-62-73-d2-65-0  0x12f           419610      SA

LACP Partner           Partner                     Partner

Port Priority          Oper Key                    Port State

32768                  0x16                        0xd

Dit kan worden gevisualiseerd als:

Oplossing

- In het geval van de 2960 moet u stapelmogelijkheden configureren (FlexStack).

- In het geval van de 3750-X/3850 etc, moet u stapelbare (StackWise Plus) configureren.

- In het geval van 4500, 6500, 6800 moet u Virtual Switching System (VSS) gebruiken.

- In het geval van Nexus 5K, 7K of 9K moet u Virtual Port-Channel (vPC) gebruiken.

- In een ander geval moet u de FXOS op dezelfde fysieke switch aansluiten.

Situatie 3. FXOS poortkanaal niet toegewezen

Netwerkdiagram

De symptomen van het probleem

Aan de FXOS-kant zijn de Port-Channel-leden geschorst:

FP4110-7-A(fxos)# show port-channel summary

Flags:  D - Down        P - Up in port-channel (members)

I - Individual  H - Hot-standby (LACP only)

s - Suspended   r - Module-removed

S - Switched    R - Routed

U - Up (port-channel)

M - Not in use. Min-links not met

--------------------------------------------------------------------------------

Group Port-       Type     Protocol  Member Ports

Channel

--------------------------------------------------------------------------------

15    Po15(SD)    Eth      LACP      Eth1/2(s)    Eth1/3(s)

48    Po48(SD)    Eth      NONE      --

Hetzelfde geldt voor de switch:

Switch# show etherchannel 5 summary

…

Group  Port-channel  Protocol    Ports

------+-------------+-----------+-----------------------------------------------

5      Po5(SD)         LACP      Gi1/0/2(s)  Gi1/0/3(s)

De tellers van FXOS LACP toont pakketten die worden verzonden en ontvangen:

FP4110-7-A(fxos)# show lacp counters

LACPDUs         Marker      Marker Response    LACPDUs

Port              Sent   Recv     Sent   Recv     Sent   Recv      Pkts Err

---------------------------------------------------------------------

port-channel15

Ethernet1/2        420839 452531   0      0        0      0        0

Ethernet1/3        420793 447409   0      0        0      0        0

FP4110-7-A(fxos)# show lacp counters

LACPDUs         Marker      Marker Response    LACPDUs

Port              Sent   Recv     Sent   Recv     Sent   Recv      Pkts Err

---------------------------------------------------------------------

port-channel15

Ethernet1/2        421026 452537   0      0        0      0        0

Ethernet1/3        420981 447416   0      0        0      0        0

Aan de switch tonen de LACP-tellers ook pakjes die worden verzonden, maar niet ontvangen:

Switch# show lacp 5 counters

LACPDUs         Marker      Marker Response    LACPDUs

Port       Sent   Recv     Sent   Recv     Sent   Recv      Pkts Err

---------------------------------------------------------------------

Channel group: 5

Gi1/0/2     452539 420223   0      0        0      0         0

Gi1/0/3     447232 415274   0      0        0      0         0

Switch# show lacp 5 counters

LACPDUs         Marker      Marker Response    LACPDUs

Port       Sent   Recv     Sent   Recv     Sent   Recv      Pkts Err

---------------------------------------------------------------------

Channel group: 5

Gi1/0/2     452540 420223   0      0        0      0         0

Gi1/0/3     447233 415274   0      0        0      0         0

De diepere oorzaak

Het probleem is in dit geval dat het FXOS Port-Channel niet is toegewezen aan het logische apparaat (FTD-toepassing):

Oplossing

Wijs het poortkanaal toe aan het logische apparaat

Situatie 4. Waarschuwingen voor de status van poortkanaal ontvangen geen pakketten

Het apparaat (FTD) verstuurt elke 5 minuten informatie over het interfaceverkeer ontvangen op elke interface die een naam heeft geconfigureerd en UP is. Als er geen pakketten worden ontvangen in de laatste intervalberichten zoals deze verschijnen op FMC UI:

Aanbevolen actie

Vanuit de FTD CLI controleer je de output van het showverkeer en focus je op de 5-minuten invoersnelheid, bijvoorbeeld,

Interface Port-channel10.14

INSIDE:

received (in 237938.740 secs):

2 packets       84 bytes

0 pkts/sec      0 bytes/sec

transmitted (in 237938.740 secs):

5 packets       140 bytes

0 pkts/sec      0 bytes/sec

1 minute input rate 0 pkts/sec,  0 bytes/sec

1 minute output rate 0 pkts/sec,  0 bytes/sec

1 minute drop rate, 0 pkts/sec

5 minute input rate 0 pkts/sec,  0 bytes/sec

5 minute output rate 0 pkts/sec,  0 bytes/sec

5 minute drop rate, 0 pkts/sec

Situatie 5. Waarschuwing met betrekking tot gezondheid op VCC: poortkanaal verwijderd of interface toegevoegd

De waarschuwing voor gezondheid vermeldt: "Interface met fysieke naam: "Port-Channel" is niet gekoppeld." of ""Interface met fysieke naam: \"name_if\" toegevoegd."

Aanbevolen actie

Dit is een bekend, cosmetisch probleem dat wordt bijgehouden door Cisco bug ID CSCvb15074

Poortkanaaloverwegingen

Ontwerpoverwegingen

Situatie 1. FTD/ASA-blade in HA

Deze instelling wordt niet ondersteund. De reden hiervoor is dat de Port-Channel-configuratie aan de kant van de switch niet correct is en leidt tot verkeersblokkering op het standby-apparaat. Een dergelijk ontwerp wordt alleen ondersteund wanneer u ASA of FTD in Cluster Spanned mode configureert.

Waarschuwing: dit scenario is niet correct bij failover (hoge beschikbaarheid)

Dit is het juiste poortkanaalontwerp voor hoge beschikbaarheid:

Referenties

- Aansluiten op een EtherChannel op een ander apparaat

- EtherChannel voor Inter-Chassis Clustering

Situatie 2. FTD/ASA in cluster

Elke firewall data-interface Port-Channel gebruikt Spanned mode (dit is de enige modus die ondersteund wordt op Firepower platforms). Vanuit een ontwerpstandpunt, aan de switch kant, behoren de switchports voor één enkele data-interface tot één poortkanaal.

Bijvoorbeeld, in het geval van FP9300 (2 chassis, 6 blades) kunnen de datapoorten als dit worden geconfigureerd:

Aan de andere kant gebruikt de Cluster Control Link (CCL) de individuele poortkanaalmodus en volgens de beste praktijken moet de bandbreedte overeenkomen met de maximale capaciteit van elk lid. Bovendien, in het geval van Nexus, behoort elk poortkanaal tot een andere vPC.

Evenzo geldt in het geval van KP41xx:

En de CCL:

Situatie 3. Poortkanaal begrensd op FXOS

Port-Channel begrensd op FXOS-chassis. Hier is een voorbeeld van dit ontwerp:

Situatie 4. Poortkanaal via FXOS

Het poortkanaal loopt door het FXOS-chassis. Hier is een voorbeeld van dit ontwerp:

Opmerking: in het tweede scenario is er geen Port-Channel geconfigureerd op het FirePOWER-apparaat.

Port-Channel begrensd op FXOS vs Port-Channel via FXOS

Feature

Opmerkingen

Port-Channel begrensd op FXOS-chassis (MIO)

Werkt vanaf FXOS 2.1.1

Port-Channel gaat door FXOS-chassis (MIO)

- Werkt voor FXOS 2.1.1.58

- Werkt niet op FXOS >= 2.1.1.58 en < 2.3.1.3 (vanwege Cisco bug-id CSC00405)

- Werkt na FXOS 2.3.1.3

Aanvullende overwegingen

LACP elegante convergentie

In het geval van een Cluster Setup (ASA of FTD) wordt aanbevolen om LACP Graceful Convergence in te schakelen op Nexus.

Veelgestelde vragen (FAQ)

Q. Is SSP haven-kanaal hashdistributie vast of adaptief?

FXOS maakt gebruik van veerkrachtige hashdistributie. Dit lijkt gelijkwaardig te zijn aan de vaste hash-distributie modus beschreven in Nexus 7000/9k documentatie online. Als een link mislukt, worden de stromen die aan de mislukte link zijn toegewezen bij een robuuste hashing op uniforme wijze herverdeeld over de actieve koppelingen. De huidige stromen door de actieve verbindingen worden niet opnieuw gehakt en hun pakketten worden niet afgeleverd buiten orde. Wanneer een link wordt toegevoegd aan de poortkanaal- of ECMP-groep, worden bepaalde stromen die zijn gekoppeld aan de huidige koppelingen opnieuw gekoppeld aan de nieuwe link, maar niet aan alle huidige koppelingen.

V. Wat gebeurt er als de switchpoorten die zijn aangesloten op het Port-Channel omlaag gaan? Controleert FTD de fysieke link of het poortkanaal?

Als alle poortkanaalinterfaceleden naar beneden gaan, daalt het poortkanaal ook. De uitvoerstatus van het poortkanaal wordt weergegeven als mislukt. Vanuit het FTD-oogpunt wordt het poortkanaal weergegeven als omlaag. Aan de andere kant is er in deze regel een uitzondering: Wanneer de switches stapelen gebruiken. Met LACP gebruikt de systeem-ID het stack-MAC-adres van de actieve switch, en als de actieve switch verandert, kan de LACP-systeem-ID veranderen. Als de LACP-systeem-ID verandert, knippert de gehele EtherChannel en is er STP-herconvergentie. Gebruik de stapel-mac persistente timer opdracht om te controleren of het stapel MAC-adres verandert na een actieve switch failover.

Q. zou het bevel "haven-kanaal min-bundel 2"willen gebruiken zodat als één verbinding in het haven-kanaal daalt dan het haven-kanaal daalt en de firewall doet een failover.

Deze optie is niet mogelijk op FXOS-chassis. Als een tijdelijke oplossing en waar mogelijk, vorm de lacp min-links commando op de peer switches.

V. Hoe LACP-pakketten op te nemen?

Situatie 1. Port-Channel begrensd op het logische apparaat (FTD/ASA)

- Het Port-Channel wordt daadwerkelijk afgesloten op chassisniveau (FXOS).

- U kunt geen LACP-pakketten (toegang of uitgang) opnemen op chassisniveau (FXOS) of toepassingsniveau (FTD/ASA).

Situatie 2. Poortkanaal via de FTD - FTD-interface als inline-set geïmplementeerd

inline-set set1

snort fail-open down

interface-pair INSIDE OUTSIDE

!

interface Ethernet1/2

nameif INSIDE

cts manual

propagate sgt preserve-untag

policy static sgt disabled trusted

!

interface Ethernet1/3

nameif OUTSIDE

cts manual

propagate sgt preserve-untag

policy static sgt disabled trusted

LACP Ethertype is 0x8809 (dec 34825):

firepower# capture CAP interface INSIDE ethernet-type 34825

firepower# show capture CAP

1: 21:15:00.403131       2894.0f57.271d 0180.c200.0002 0x8809 Length: 124 <-- LACP packet

0101 0114 8000 0017 dfd6 ec00 0016 8000

0223 3d00 0000 0214 8000 0017 dfd6 ec00

0015 8000 0222 3d00 0000 0310 8000 0000

0000 0000 0000 0000 0000 0000 0000 0000

0000 0000 0000 0000 0000 0000 0000 0000

0000 0000 0000 0000 0000 0000 0000 0000

0000 0000 0000 0000 0000 0000 0000

Situatie 3. Poortkanaal via de FTD - FTD-interface, geïmplementeerd als bridge-groepsmodus:

interface Ethernet1/2

bridge-group 1

nameif INSIDE

cts manual

propagate sgt preserve-untag

policy static sgt disabled trusted

security-level 0

!

interface Ethernet1/3

bridge-group 1

nameif OUTSIDE

cts manual

propagate sgt preserve-untag

policy static sgt disabled trusted

security-level 0

!

interface BVI1

ip address 192.168.201.134 255.255.255.0

firepower# capture CAP interface INSIDE ethernet-type 34825

firepower# show capture CAP

1 packet captured

1: 21:21:29.731987       2894.0f57.271c 0180.c200.0002 0x8809 Length: 124 <-- LACP packet

0101 0114 8000 0017 dfd6 ec00 0015 8000

0222 7d00 0000 0214 0000 0000 0000 0000

0000 0000 0000 0000 0000 0310 8000 0000

0000 0000 0000 0000 0000 0000 0000 0000

0000 0000 0000 0000 0000 0000 0000 0000

0000 0000 0000 0000 0000 0000 0000 0000

0000 0000 0000 0000 0000 0000 0000

1 packet shown

V. Hoe te migreren van één poort naar een Port-Channel?

Deze verandering vereist een onderhoudsvenster (MW) en is opdringerig. Zodra u van één enkele interface naar Port-Channel migreert, wordt alle configuratie met betrekking tot de enkele interface ervan losgekoppeld. Zodra u het poortkanaal maakt, moet u dezelfde configuratie opnieuw koppelen aan het nieuwe poortkanaal, bijvoorbeeld NAT, Routing, VPN, enzovoort. Voor FTD bevat dit document een opmerking:

Een EtherChannel configureren

Voor een ASA-apparaat wordt de procedure in dit document beschreven:

Inuse-interfaces converteren naar een redundante of EtherChannel-interface

V. Hoe wijzig je de FTD-link naar Port-Channel met hoge beschikbaarheid?

Deze verandering vereist een onderhoudsvenster (MW) en is opdringerig. Je moet de HA breken en opnieuw configureren. In het nieuwe HA-paar moet het Port-Channel als HA-link worden opgegeven. Verwante documenten:

Hoge beschikbaarheid van FTD op Firepower-applicaties configureren

Q. Firepower met ASA toont poortkanaal omhoog, fysieke interfacestatus omlaag

Dit is gerelateerd aan Cisco bug-id CSCvp03354

V. Maakt het uit wat te kiezen voor de Port-Channel ID op het VCC?  Moet het aan de switch kant overeenkomen?

Nee, dat maakt niet uit. Je kunt elk Port-Channel-id gebruiken dat je maar wilt.

Q. Is er onder het tabblad Port-Channel Advanced iets nodig voor de active/stand-by MAC?

Als u van plan bent het Port-Channel in Access Mode (geen trunk) te gebruiken en u High Availability (HA)-instelling gebruikt, wordt Active/Standby MAC ten zeerste aanbevolen om te worden geconfigureerd. Deze aanbeveling is niet poortkanaalspecifiek maar is van toepassing op alle installatie van hoge beschikbaarheid.

V. Is het mogelijk om beschrijvingen voor interfaceleden van een Port-Channel te configureren?

Op dit moment (FXOS 2.13.x) wordt dit niet ondersteund. Raadpleeg de nieuwste FXOS-configuratiehandleiding voor meer informatie.

V. Is het mogelijk om het FXOS poort-kanaal load-balancing algoritme te wijzigen?

Op dit moment (FXOS 2.13.x) wordt dit niet ondersteund. Raadpleeg de nieuwste FXOS-configuratiehandleiding voor meer informatie.

V. Is het mogelijk om het minimumaantal (min-links) van de lidinterfaces in een poortkanaal te configureren om het poortkanaal naar de gebundelde toestand over te brengen?

Op dit moment (FXOS 2.13.x) wordt dit niet ondersteund. Raadpleeg de nieuwste FXOS-configuratiehandleiding voor meer informatie.

Gerelateerde informatie

- FXOS-configuratiehandleidingen

- Configuratiehandleidingen voor FMC/FTD