Problemen oplossen bij het droppen van multicastpakketten door leden van de Bridge-groep zonder BVI-naam

Downloadopties

PDF (278.3 KB)
Met Adobe Reader op diverse apparaten bekijken
ePub (108.5 KB)
Bekijken in diverse apps op iPhone, iPad, Android, Sony Reader of Windows Phone
Mobi (Kindle) (91.7 KB)
Op Kindle-apparaat of via Kindle-app op meerdere apparaten bekijken

Bijgewerkt:6 juli 2026

Document-id:226108

Inclusief taalgebruik

De documentatie van dit product is waar mogelijk geschreven met inclusief taalgebruik. Inclusief taalgebruik wordt in deze documentatie gedefinieerd als taal die geen discriminatie op basis van leeftijd, handicap, gender, etniciteit, seksuele oriëntatie, sociaaleconomische status of combinaties hiervan weerspiegelt. In deze documentatie kunnen uitzonderingen voorkomen vanwege bewoordingen die in de gebruikersinterfaces van de productsoftware zijn gecodeerd, die op het taalgebruik in de RFP-documentatie zijn gebaseerd of die worden gebruikt in een product van een externe partij waarnaar wordt verwezen. Lees meer over hoe Cisco gebruikmaakt van inclusief taalgebruik.

Over deze vertaling

Cisco heeft dit document vertaald via een combinatie van machine- en menselijke technologie om onze gebruikers wereldwijd ondersteuningscontent te bieden in hun eigen taal. Houd er rekening mee dat zelfs de beste machinevertaling niet net zo nauwkeurig is als die van een professionele vertaler. Cisco Systems, Inc. is niet aansprakelijk voor de nauwkeurigheid van deze vertalingen en raadt aan altijd het oorspronkelijke Engelstalige document (link) te raadplegen.

Inhoud

uitgeven

Multicast-pakketten via de interfaces van de bruggroepleden worden op de firewall gedropt met de volgende symptomen:

1. De multicast-pakketten verlaten niet de beoogde uitgang-interface:

firewall# show bridge-group
Static mac-address entries:  0 (in use), 16384 (max)
Dynamic mac-address entries: 2 (in use), 16384 (max)
 
 Bridge Group: 100
 Interfaces:
 GigabitEthernet0/2
 GigabitEthernet0/3
 
firewall# show nameif                           
Interface                Name                     Security
..
GigabitEthernet0/2       inside                   100
GigabitEthernet0/3       outside                  0
 
firewall# show capture
capture capi type raw-data trace interface inside[Capturing - 15642 bytes]
  match udp any host 239.1.1.1
capture capo type raw-data interface outside [Capturing - 0 bytes]
  match udp any host 239.1.1.1

2. De bytes in de uitvoer van de betreffende show conn commando output is 0:

firewall# show conn address 239.1.1.1
16 in use, 17 most used
 
UDP inside  192.0.2.1:50609 outside  239.1.1.1:5555, idle 0:01:03, bytes 0, flags –

3. De S-, G-route-inkomende interface is Null:

firewall# show mroute
 
Multicast Routing Table
Flags: D - Dense, S - Sparse, B - Bidir Group, s - SSM Group,
       C - Connected, L - Local, I - Received Source Specific Host Report,
       P - Pruned, R - RP-bit set, F - Register flag, T - SPT-bit set,
       J - Join SPT
Timers: Uptime/Expires
Interface state: Interface, State
 
(*, 239.1.1.1), 3d01h/never, RP 198.51.100.100, flags: SCJ
  Incoming interface: rp
  RPF nbr: 198.51.100.100
  Immediate Outgoing interface list:
    outside, Forward, 3d01h/never
 
(192.0.2.1, 239.1.1.1), 00:02:48/00:00:41, flags: SJ
  Incoming interface: Null
  RPF nbr: 0.0.0.0
  Inherited Outgoing interface list:
    outside, Forward, 3d01h/never

milieu

Topologie

Topology

Firepower 4115 met Secure Firewall Threat Defense. Andere hardwareplatforms en Security ASA kunnen ook worden beïnvloed.
FTD versie 7.6.4. Ook andere softwareversies kunnen worden beïnvloed.
Multicast routering met de Protocol Independent Multicast (PIM) Sparse Mode (SM) is ingeschakeld.
Het multicast-verkeerspad loopt via leden van de bruggroep.
De virtuele bruginterface (BVI) heeft geen naam als:

firewall# show bridge-group
Static mac-address entries:  0 (in use), 16384 (max)
Dynamic mac-address entries: 2 (in use), 16384 (max)
 
 Bridge Group: 100
 Interfaces:
 GigabitEthernet0/2
 GigabitEthernet0/3
 
firewall# show nameif                           
Interface                Name                     Security
..
GigabitEthernet0/2       inside                     100
GigabitEthernet0/3       outside                   0
 
firewall# show run int bvi100
interface BVI100
no nameif
security-level 0
ip address 192.0.2.100 255.255.255.0

resolutie

analyse

1. De multicast forwarding information base (MFIB) Andere druppeltellerverhoging:

firewall# show mfib 239.1.1.1
Entry Flags: C - Directly Connected, S - Signal, IA - Inherit A flag,
             AR - Activity Required, K - Keepalive
Forwarding Counts: Pkt Count/Pkts per second/Avg Pkt Size/Kbits per second
Other counts: Total/RPF failed/Other drops
Interface Flags: A - Accept, F - Forward, NS - Negate Signalling
             IC - Internal Copy, NP - Not platform switched
             SP - Signal Present
Interface Counts: FS Pkt Count/PS Pkt Count
 
(*,239.1.1.1) Flags: C K
   Forwarding: 0/0/0/0, Other: 0/0/0
   rp Flags: A NS
   outside Flags: F NS
     Pkts: 0/0
(192.0.2.1,239.1.1.1) Flags: K
   Forwarding: 0/0/0/0, Other: 2620/0/2620
   OBNS-FWinside Flags: A
   outside Flags: F NS
     Pkts: 0/0
 
firewall# show mfib 239.1.1.1
…
(192.0.2.1,239.1.1.1) Flags: K
   Forwarding: 0/0/0/0, Other: 2629/0/2629
   rp Flags: A
   outside Flags: F NS
     Pkts: 0/0

2. De MFIB-pakketfouten wijzen op multicast-pakketdruppels:

firewall# debug mfib pak 239.1.1.1
MFIB IPv4 pak debugging enabled
  all MFIB debugging is for 239.1.1.1
MFIB: Pkt (192.0.2.1,239.1.1.1) from inside (PS) dropping
MFIB: Pkt (192.0.2.1,239.1.1.1) from inside (PS) dropping

3. De foutopsporingsopdracht pim geeft aan dat het opzoeken van RPF mislukt is voor root 192.0.2.1-berichten:

firewall# debug pim 
 
IPv4 PIM:    RPF lookup failed for root 192.0.2.1
IPv4 PIM:    RPF lookup failed for root 192.0.2.1

4. PIM is ingeschakeld voor leden van de bruggroep:

firewall# show pim interface
 
Address          Interface          PIM  Nbr   Hello  DR         DR
                                         Count Intvl  Prior
 
239.1.1.1      inside             on   0     30     1          this system
239.1.1.1      outside            on   0     30     1          this system

Leden van de Bridge-groep mogen niet deelnemen aan multicast-routeringsprotocollen. Dit probleem wordt gevolgd in Cisco bug ID CSCwv23349.

De oplossing is om de naam toe te voegen aan de BVI en vervolgens de naam van de bridge member interface te verwijderen/opnieuw toe te voegen. Het verwijderen van namen heeft impact. De gebruiker wordt geadviseerd een andere keuze te maken en deze wijziging wordt alleen aanbevolen tijdens een gecontroleerd onderhoudsvenster.

Oorzaak

Vanwege Cisco bug ID CSCwv23349 als de BVI geen naam heeft, nemen de leden van de bruggroep deel aan multicast-routeringsprotocollen, dat wil zeggen PIM en het Internet Group Messaging Protocol (IGMP) zijn ingeschakeld op deze interfaces. Activering van het multicast-routeringsprotocol resulteert in handhaving van alle controles op protocolniveau, waarvan één de controle van het reverse path forwarding (RPF) is.

RPF-controle vergelijkt de multicast-ingangsinterface (A) met de interface naar de multicast-afzender volgens de unicast-tabel (B). Als de interfaces niet overeenkomen, worden multicast-pakketten verwijderd als gevolg van RPF-fout.

In dit geval is binnenin de ingangsinterface. In de routeringstabel is er geen unicastroute naar de multicastafzender met het IP-adres 192.0.2.1.

firewall# show route 192.0.2.1                   
 
% Network not in table
 
firewall# show asp table routing address 192.0.2.1
route table timestamp: 46

Aangezien leden van de bruggroep niet deelnemen aan routering, heeft de routeringstabel geen routes over leden van de bruggroep. Dit resulteert in RPF-controlefouten als leden van de bruggroep deelnemen aan routeringsprotocollen. De versies met de oplossing van Cisco bug ID CSCwv23349 vrijstellen deze interfaces van multicast routing protocollen.

Waarschuwing: dit defect heeft specifiek betrekking op de deelname van de leden van de bruggroep aan multicast-routeringsprotocollen. Het is niet van toepassing op de multicast die door de bridgegroepsleden heen gaat, dat wil zeggen de multicastconnectiviteit tussen upstream-/downstreamapparaten.