Inhoud

uitgeven

Multicast-pakketten via de interfaces van de bruggroepleden worden op de firewall gedropt met de volgende symptomen:

1. De multicast-pakketten verlaten niet de beoogde uitgang-interface:

firewall# show bridge-group

Static mac-address entries:  0 (in use), 16384 (max)

Dynamic mac-address entries: 2 (in use), 16384 (max)

Bridge Group: 100

Interfaces:

GigabitEthernet0/2

GigabitEthernet0/3

firewall# show nameif

Interface                Name                     Security

..

GigabitEthernet0/2       inside                   100

GigabitEthernet0/3       outside                  0

firewall# show capture

capture capi type raw-data trace interface inside[Capturing - 15642 bytes]

match udp any host 239.1.1.1

capture capo type raw-data interface outside [Capturing - 0 bytes]

match udp any host 239.1.1.1

2. De bytes in de uitvoer van de betreffende show conn commando output is 0:

firewall# show conn address 239.1.1.1

16 in use, 17 most used

UDP inside  192.0.2.1:50609 outside  239.1.1.1:5555, idle 0:01:03, bytes 0, flags –

3. De S-, G-route-inkomende interface is Null:

firewall# show mroute

Multicast Routing Table

Flags: D - Dense, S - Sparse, B - Bidir Group, s - SSM Group,

C - Connected, L - Local, I - Received Source Specific Host Report,

P - Pruned, R - RP-bit set, F - Register flag, T - SPT-bit set,

J - Join SPT

Timers: Uptime/Expires

Interface state: Interface, State

(*, 239.1.1.1), 3d01h/never, RP 198.51.100.100, flags: SCJ

Incoming interface: rp

RPF nbr: 198.51.100.100

Immediate Outgoing interface list:

outside, Forward, 3d01h/never

(192.0.2.1, 239.1.1.1), 00:02:48/00:00:41, flags: SJ

Incoming interface: Null

RPF nbr: 0.0.0.0

Inherited Outgoing interface list:

outside, Forward, 3d01h/never

milieu

Topologie

- Firepower 4115 met Secure Firewall Threat Defense. Andere hardwareplatforms en Security ASA kunnen ook worden beïnvloed.

- FTD versie 7.6.4. Ook andere softwareversies kunnen worden beïnvloed.

- Multicast routering met de Protocol Independent Multicast (PIM) Sparse Mode (SM) is ingeschakeld.

- Het multicast-verkeerspad loopt via leden van de bruggroep.

- De virtuele bruginterface (BVI) heeft geen naam als:

firewall# show bridge-group

Static mac-address entries:  0 (in use), 16384 (max)

Dynamic mac-address entries: 2 (in use), 16384 (max)

Bridge Group: 100

Interfaces:

GigabitEthernet0/2

GigabitEthernet0/3

firewall# show nameif

Interface                Name                     Security

..

GigabitEthernet0/2       inside                     100

GigabitEthernet0/3       outside                   0

firewall# show run int bvi100

interface BVI100

no nameif

security-level 0

ip address 192.0.2.100 255.255.255.0

resolutie

analyse

1. De multicast forwarding information base (MFIB) Andere druppeltellerverhoging:

firewall# show mfib 239.1.1.1

Entry Flags: C - Directly Connected, S - Signal, IA - Inherit A flag,

AR - Activity Required, K - Keepalive

Forwarding Counts: Pkt Count/Pkts per second/Avg Pkt Size/Kbits per second

Other counts: Total/RPF failed/Other drops

Interface Flags: A - Accept, F - Forward, NS - Negate Signalling

IC - Internal Copy, NP - Not platform switched

SP - Signal Present

Interface Counts: FS Pkt Count/PS Pkt Count

(*,239.1.1.1) Flags: C K

Forwarding: 0/0/0/0, Other: 0/0/0

rp Flags: A NS

outside Flags: F NS

Pkts: 0/0

(192.0.2.1,239.1.1.1) Flags: K

Forwarding: 0/0/0/0, Other: 2620/0/2620

OBNS-FWinside Flags: A

outside Flags: F NS

Pkts: 0/0

firewall# show mfib 239.1.1.1

…

(192.0.2.1,239.1.1.1) Flags: K

Forwarding: 0/0/0/0, Other: 2629/0/2629

rp Flags: A

outside Flags: F NS

Pkts: 0/0

2. De MFIB-pakketfouten wijzen op multicast-pakketdruppels:

firewall# debug mfib pak 239.1.1.1

MFIB IPv4 pak debugging enabled

all MFIB debugging is for 239.1.1.1

MFIB: Pkt (192.0.2.1,239.1.1.1) from inside (PS) dropping

MFIB: Pkt (192.0.2.1,239.1.1.1) from inside (PS) dropping

3. De foutopsporingsopdracht pim geeft aan dat het opzoeken van RPF mislukt is voor root 192.0.2.1-berichten:

firewall# debug pim

IPv4 PIM:    RPF lookup failed for root 192.0.2.1

IPv4 PIM:    RPF lookup failed for root 192.0.2.1

4. PIM is ingeschakeld voor leden van de bruggroep:

firewall# show pim interface

Address          Interface          PIM  Nbr   Hello  DR         DR

Count Intvl  Prior

239.1.1.1      inside             on   0     30     1          this system

239.1.1.1      outside            on   0     30     1          this system

Leden van de Bridge-groep mogen niet deelnemen aan multicast-routeringsprotocollen. Dit probleem wordt gevolgd in Cisco bug ID CSCwv23349.

De oplossing is om de naam toe te voegen aan de BVI en vervolgens de naam van de bridge member interface te verwijderen/opnieuw toe te voegen. Het verwijderen van namen heeft impact. De gebruiker wordt geadviseerd een andere keuze te maken en deze wijziging wordt alleen aanbevolen tijdens een gecontroleerd onderhoudsvenster.

Oorzaak

Vanwege Cisco bug ID CSCwv23349 als de BVI geen naam heeft, nemen de leden van de bruggroep deel aan multicast-routeringsprotocollen, dat wil zeggen PIM en het Internet Group Messaging Protocol (IGMP) zijn ingeschakeld op deze interfaces. Activering van het multicast-routeringsprotocol resulteert in handhaving van alle controles op protocolniveau, waarvan één de controle van het reverse path forwarding (RPF) is.

RPF-controle vergelijkt de multicast-ingangsinterface (A) met de interface naar de multicast-afzender volgens de unicast-tabel (B). Als de interfaces niet overeenkomen, worden multicast-pakketten verwijderd als gevolg van RPF-fout.

In dit geval is binnenin de ingangsinterface. In de routeringstabel is er geen unicastroute naar de multicastafzender met het IP-adres 192.0.2.1.

firewall# show route 192.0.2.1

% Network not in table

firewall# show asp table routing address 192.0.2.1

route table timestamp: 46

Aangezien leden van de bruggroep niet deelnemen aan routering, heeft de routeringstabel geen routes over leden van de bruggroep. Dit resulteert in RPF-controlefouten als leden van de bruggroep deelnemen aan routeringsprotocollen. De versies met de oplossing van Cisco bug ID CSCwv23349 vrijstellen deze interfaces van multicast routing protocollen.

Waarschuwing: dit defect heeft specifiek betrekking op de deelname van de leden van de bruggroep aan multicast-routeringsprotocollen. Het is niet van toepassing op de multicast die door de bridgegroepsleden heen gaat, dat wil zeggen de multicastconnectiviteit tussen upstream-/downstreamapparaten.

Verwante inhoud

- Cisco bug ID CSCwv23349