Problemen met connectiviteit oplossen Uitval van clusterbeheer van gegevensknooppunten IP-adres na software-upgrade

Downloadopties

PDF (257.9 KB)
Met Adobe Reader op diverse apparaten bekijken
ePub (90.8 KB)
Bekijken in diverse apps op iPhone, iPad, Android, Sony Reader of Windows Phone
Mobi (Kindle) (78.8 KB)
Op Kindle-apparaat of via Kindle-app op meerdere apparaten bekijken

Bijgewerkt:29 oktober 2026

Document-id:226094

Inclusief taalgebruik

De documentatie van dit product is waar mogelijk geschreven met inclusief taalgebruik. Inclusief taalgebruik wordt in deze documentatie gedefinieerd als taal die geen discriminatie op basis van leeftijd, handicap, gender, etniciteit, seksuele oriëntatie, sociaaleconomische status of combinaties hiervan weerspiegelt. In deze documentatie kunnen uitzonderingen voorkomen vanwege bewoordingen die in de gebruikersinterfaces van de productsoftware zijn gecodeerd, die op het taalgebruik in de RFP-documentatie zijn gebaseerd of die worden gebruikt in een product van een externe partij waarnaar wordt verwezen. Lees meer over hoe Cisco gebruikmaakt van inclusief taalgebruik.

Over deze vertaling

Cisco heeft dit document vertaald via een combinatie van machine- en menselijke technologie om onze gebruikers wereldwijd ondersteuningscontent te bieden in hun eigen taal. Houd er rekening mee dat zelfs de beste machinevertaling niet net zo nauwkeurig is als die van een professionele vertaler. Cisco Systems, Inc. is niet aansprakelijk voor de nauwkeurigheid van deze vertalingen en raadt aan altijd het oorspronkelijke Engelstalige document (link) te raadplegen.

Inhoud

uitgifte

Na een software-upgrade mislukt de verbinding met het IP-adres van het beheer van de clustergegevens via de ICMP-node (Internet Control Message Protocol). In dit artikel wordt "node" of "unit" door elkaar gebruikt.

Specifieke symptomen:

1. Er worden geen Internet Control Message Protocol (ICMP)-antwoordpakketten gegenereerd voor inkomende echo-pakketten op het IP-adres voor het beheer van gegevensknooppunten.

2. Uit pakketopnamen op de beheerinterface blijkt dat de gegevenseenheid pakketten omleidt naar de besturingseenheid als de unlate-eigenaar in plaats van ze lokaal te consumeren en te verwerken.

3. Packet captures op de clusterbesturingsinterface geven aan dat deze omgeleide ICMP-echopakketten op de besturingsknooppunt worden gedropt met drop reason (acl-drop) Flow wordt geweigerd door de geconfigureerde regel.

Beheerinterface in de context van dit artikel verwijst naar de naam indien van de interface die is geconfigureerd met de individuele opdracht voor alleen beheer:

unit1/control-node# show run interface m1/1
!
interface Management1/1
 management-only individual
 nameif management
 security-level 100
 ip address 192.0.2.1 255.255.255.0 cluster-pool cpool

milieu

Secure Adaptive Security Appliance Software (ASA) versie 9.22.2.32 in een clusteropstelling met spanned interfaces. Ook andere softwareversies kunnen worden beïnvloed.
ASA in meerdere of enkele contextmodi.
Elke softwareversie later dan 9.22.3 wordt beïnvloed.
Aan één of beide voorwaarden is voldaan:

1. De CiscoSSH-stack is ingeschakeld en de opdracht ssh x.x.x.x.y.y.y.y <management_nameIf> is geconfigureerd. In dit geval mislukken de verbindingen met ICMP/Telnet/Hypertext Transfer Protocol Secure (HTTPS) naar de gegevensknooppunt:

unit1/control-node# show ssh
ssh secure copy : DISABLED
ciscoSSH stack  : ENABLED
…
unit1/control-node# show run ssh
ssh stricthostkeycheck
ssh timeout 10
ssh key-exchange group dh-group14-sha256
ssh key-exchange hostkey ecdsa
ssh 0.0.0.0 0.0.0.0 management

De CiscoSSH-stack is standaard ingeschakeld en kan worden uitgeschakeld in versie 9.19.1 en hoger. Bovendien kan deze stapel in versie 9.23.1 en hoger niet worden uitgeschakeld.

2. De opdracht snmp-server host <management_nameIf> is geconfigureerd.

unit1/control-node(config)# show run snmp-server
snmp-server host management 192.0.2.101 community ***** version 2c

In dit geval mislukken de ICMP/Telnet/HTTPS-verbindingen met de gegevensknooppunt. SSH-verbindingen mislukken ook als de CiscoSSH-stack is uitgeschakeld.

resolutie

analyse

Packet capture op de data node management interface:

unit2/data-node# capture capi interface management trace match icmp any any
unit2/data-node# show capture capi trace packet-number 1
2 packets captured
 
   1: 12:20:47.339566       192.0.2.1 > 198.51.100.100 icmp: echo request
Phase: 1
Type: CAPTURE
Subtype:
Result: ALLOW
Elapsed time: 7582 ns
Config:
Additional Information:
MAC Access list
 
Phase: 2
Type: ACCESS-LIST
Subtype:
Result: ALLOW
Elapsed time: 7582 ns
Config:
Implicit Rule
Additional Information:
MAC Access list
 
Phase: 3
Type: NO-NAT
Subtype: self-addressed
Result: ALLOW
Elapsed time: 8028 ns
Config:
Additional Information:
NAT divert to egress interface identity
 
Phase: 4
Type: CLUSTER-EVENT
Subtype:
Result: ALLOW
Elapsed time: 1784 ns
Config:
Additional Information:
Input interface: 'management'
Flow type: NO FLOW
NAT: I (1) am redirecting packet to unxlate owner (0). <- ICMP ECHO packet is not consumed, but redirected to the unxlate owner, in this case, the control unit.
 
Result:
input-interface: management
input-status: up
input-line-status: up
Action: allow
Time Taken: 24976 ns

Packet capture op de besturingsinterface van het regelknooppunt:

unit1/control-node# capture ccl interface cluster trace match icmp any any
unit1/control-node# show capture ccl trace packet-number 1
 
2 packets captured
 
   1: 12:20:47.336469       192.0.2.1 > 198.51.100.100 icmp: echo request
Phase: 1
Type: ACCESS-LIST
Subtype:
Result: ALLOW
Elapsed time: 16948 ns
Config:
Implicit Rule
Additional Information:
MAC Access list
 
Phase: 2
Type: ROUTE-LOOKUP
Subtype: No ECMP load balancing
Result: ALLOW
Elapsed time: 8474 ns
Config:
Additional Information:
Destination is locally connected. No ECMP load balancing.
Found next-hop 198.51.100.100 using egress ifc  management
 
Phase: 3
Type: CLUSTER-EVENT
Subtype:
Result: ALLOW
Elapsed time: 4014 ns
Config:
Additional Information:
Input interface: 'management'
Flow type: NO FLOW
I (0) have been elected owner by (0).
 
Phase: 4
Type: ACCESS-LIST
Subtype: mgmt-deny-all <- ICMP ECHO packets are dropped.
Result: DROP
Elapsed time: 2899 ns
Config:
Additional Information:
 
Result:
input-interface: cluster
input-status: up
input-line-status: up
output-interface: management
output-status: up
output-line-status: up
Action: drop
Time Taken: 32335 ns
Drop-reason: (acl-drop) Flow is denied by configured rule, Drop-location: frame snp_classify_table_lookup:6016 flow (NA)/NA <- Drop reason

Permanente resolutie vereist software-upgrade naar de versie met de oplossing van Cisco bug ID CSCwv19381.

Opties voor tijdelijke oplossing

1.- Verwijder de snmp-server host commando's over de beheerinterface.

Als de CiscoSSH-stack is uitgeschakeld, herstelt het verwijderen van de snmp-server host-opdrachten via de beheerinterface de beheerconnectiviteit voor protocollen zoals ICMP, HTTPS, SSH, Telnet. Als de CiscoSSH-stack is ingeschakeld, mislukt de connectiviteit voor protocollen zoals ICMP, HTTPS en Telnet. De opdracht snmp-server host via de beheerinterface heeft geen invloed op SSH-verbindingen via de beheerinterface als de CiscoSSH-stack is ingeschakeld.

2.- Schakel de CiscoSSH-stack uit met de opdracht cisco no ssh stack. Als u deze stack uitschakelt, wordt de ASA SSH-stack geactiveerd. Bovendien wordt de beheerconnectiviteit hersteld voor protocollen zoals ICMP, HTTPS, Telnet. Voordat u de CiscoSSH-stack uitschakelt, moet u ervoor zorgen dat u de impact ervan begrijpt. Raadpleeg CLI Book 1: Cisco Secure Firewall ASA Series General Operations CLI Configuration Guide voor meer informatie.