Problemen oplossen met LACP-poortkanaalstoring in firewallclusteromgeving
Inhoud
uitgifte
Poortkanaal1 op een FTD-toestel vertoonde de operationele status Failed (Mislukt), waarbij geen LACP-PDU's werden verzonden of ontvangen. Het apparaat maakte deel uit van een FTD-cluster en Port-channel1 werd gebruikt als een data-interface, wat resulteerde in verkeersimpact toen het poortkanaal uitviel.
De specifieke symptomen die werden waargenomen waren onder meer:
LACP-buurinformatie met partnersysteem-ID als 0,0-0-0-0-0-0 met poortnummer 0x0.
Partner Oper Key en Port State worden weergegeven als 0x0.
LACP-tellers die niet op het firewallchassis worden verhoogd.
Interfaces met de status "geschorst (geen LACP-PDU)".
Op de aangrenzende switch nemen alleen de LACP Sent-tellers toe. De LACP Recv-tellers nemen niet toe.
De LACP-aangrenzende uitvoer van het getroffen apparaat toonde:
device(fxos)# show lacp neighbor
Flags: S - Device is sending Slow LACPDUs F - Device is sending Fast LACPDUs
A - Device is in Active mode P - Device is in Passive mode
port-channel1 neighbors
Partner's information
Partner Partner Partner
Port System ID Port Number Age Flags
Eth1/2 0,0-0-0-0-0-0 0x0 5022089 SP
LACP Partner Partner Partner
Port Priority Oper Key Port State
0 0x0 0x0
Partner's information
Partner Partner Partner
Port System ID Port Number Age Flags
Eth1/3 0,0-0-0-0-0-0 0x0 4895677 SP
LACP Partner Partner Partner
Port Priority Oper Key Port State
0 0x0 0x0
Op de firewall nemen de LACP Sent/Recv-tellers niet toe voor de port-channel-leden:
device# connect fxos
device(fxos)# show lacp counters
LACPDUs Marker Marker Response LACPDUs
Port Sent Recv Sent Recv Sent Recv Pkts Err
---------------------------------------------------------------------
port-channel1
Ethernet1/4 11413 13114 0 0 0 0 0 <-- the LACP counters do not increase
De poort-kanaalinterface en de subinterfaces bevinden zich in de staat down/down:
# show interface ip brief
Interface IP-Address OK? Method Status Protocol
Internal-Control0/0 unassigned YES unset up up
Internal-Data0/0 unassigned YES unset up up
Internal-Data0/1 unassigned YES unset up up
Internal-Data0/2 169.254.1.1 YES unset up up
Internal-Data0/3 unassigned YES unset up up
Internal-Data0/4 unassigned YES unset down up
Port-channel1 unassigned YES unset down down
Port-channel1.90 192.0.2.15 YES CONFIG down down
Port-channel1.102 192.0.2.130 YES CONFIG down down
...
Logbestanden aan de switch gaven aan dat de switch LACP-PDU's verstuurde, maar geen partner LACP-PDU's ontving, waarbij de poorten werden opgeschort:
Apr 2 18:44:20.614: %LINEPROTO-5-UPDOWN: Line protocol on Interface TwentyFiveGigE2/0/25, changed state to down
Apr 2 18:44:25.452: %ETC-5-L3DONTBNDL2: Twe2/0/25 suspended: LACP currently not enabled on the remote port.
Apr 2 18:44:36.318: %ETC-5-L3DONTBNDL2: Twe2/0/25 suspended: LACP currently not enabled on the remote port.
Apr 3 02:17:06.798: %LINK-5-UPDOWN: Interface TwentyFiveGigE2/0/25, changed state to down
Apr 3 02:17:26.722: %LINK-5-UPDOWN: Interface TwentyFiveGigE2/0/25, changed state to up
Apr 3 02:17:35.915: %ETC-5-L3DONTBNDL2: Twe2/0/25 suspended: LACP currently not enabled on the remote port.
Apr 3 02:23:22.255: %LINK-5-UPDOWN: Interface TwentyFiveGigE2/0/25, changed state to down
Apr 3 02:23:43.886: %LINK-5-UPDOWN: Interface TwentyFiveGigE2/0/25, changed state to up
Apr 3 02:23:53.808: %ETC-5-L3DONTBNDL2: Twe2/0/25 suspended: LACP currently not enabled on the remote port.
milieu
Softwareversie: FTD 7.6.2. Andere softwareversies, waaronder ASA, kunnen ook worden beïnvloed.
FTD-clusterconfiguratie met gegevensinterfaces met behulp van een poortkanaal.
LACP-compatibele poortkanaalverbinding met upstream-switch-infrastructuur.
resolutie
De resolutie betrof het identificeren dat de getroffen FTD-eenheid het cluster had verlaten vanwege een fout in de health check van de poort-kanaalinterface. Toen clustering op het apparaat werd uitgeschakeld, werden alle gegevensinterfaces per ontwerp uitgeschakeld, waardoor LACP-PDU's werden gestopt en ophanging aan de switch en verkeersinvloed werden veroorzaakt.
Diagnostische stappen uitgevoerd
Stap 1: Verzamel debug- en supportbundels van zowel Cisco Firepower-apparatuur als upstream switch.
Meerdere archieven voor probleemoplossing, LACP-foutopsporingsbestanden, kernbestanden en TS-bestanden (probleemoplossing) werden verzameld uit het FXOS-chassis voor analyse.
Stap 2: Valideer het gedrag van de switch en de LACP-status.
De switch-engineer bevestigde dat de switch LACP-PDU's verstuurde, maar geen partner-PDU's ontving van het Firepower-apparaat.
Stap 3: Analyseer LACP interne statusovergangen.
Analyse toonde aan dat interfaces in een opgeschorte toestand werden gebracht als gevolg van ontbrekende partner-PDU's, waarbij LACP-tellers niet toenamen.
Tip: Controleer de uitvoer van de opdracht 'clustergeschiedenis weergeven' en de LINA-syslogs van de firewall om de reden van de clusterstoring te bepalen.
In dit voorbeeld heeft het apparaat het cluster verlaten vanwege een storing in de gegevensinterface:
# show cluster history
CONTROL_NODE CONTROL_NODE Event: Control node unit-1-1 is quitting
due to interface health check
failure on Port-channel1,
1 times. Rejoin will be attempted
after 5 min.
20:44:31 CEST Apr 2 2026
CONTROL_NODE DISABLED Client progression done
terugvorderingsprocedure
Stap 1: clustering op de betreffende FTD-eenheid opnieuw inschakelen:
# cluster enable
Deze opdracht zorgde ervoor dat de eenheid zich weer bij het cluster aansloot, de gegevensinterfaces weer aansloot, de LACP-PDU's hervatte en de Port-channel1-functionaliteit terugzette.
Stap 2: LACP-herstel verifiëren:
Nadat de clustering opnieuw was ingeschakeld, werden de LACP-PDU's hervat en keerde Port-channel1 terug naar de normale werking aan zowel de firewall- als de switch-zijde.
Oorzaak
De hoofdoorzaak was een fout in de health-check van de Port-channel-interface waardoor de FTD-eenheid het cluster verliet. Wanneer clustering op een FTD-unit is uitgeschakeld, worden alle gegevensinterfaces door het ontwerp administratief uitgeschakeld, waardoor de LACP-PDU-transmissie wordt gestopt en de upstream-switch de poort-kanaalinterfaces opschort.
Dit gedrag wordt verwacht.
Cisco bug ID CSCwo09449 is ingediend om de serviceability van het product te verbeteren.
Gerelateerde inhoud
Cisco bug ID CSCwo09449 - FXOS: verouderde TX- en RX LACP-tellers en opgeschorte gegevenspoortkanalen wanneer clustering is uitgeschakeld
Revisiegeschiedenis
| Revisie | Publicatiedatum | Opmerkingen |
|---|---|---|
2.0 |
12-Aug-2026
|
hercertificering |
1.0 |
22-Apr-2026
|
Eerste vrijgave |
FeedbackContact Cisco
- Een ondersteuningscase openen
- (Vereist een Cisco-servicecontract)