Problemen met DHCP oplossen op Catalyst 9000 DHCP Relay Agents
Inleiding
In dit document wordt beschreven hoe problemen met trage of intermitterende DHCP-adrestoewijzingsfouten op Catalyst 9000-switches als DHCP-relaisagents kunnen worden opgelost.
Voorwaarden
Vereisten
Cisco raadt kennis van de volgende onderwerpen aan:
- Dynamic Host Configuration Protocol (DHCP) en DHCP Relay Agents
- Internet Control Message Protocol (ICMP)
- Control Plane Policing (CoPP)
Gebruikte componenten
De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:
- Catalyst 9000 Series switches
- Cisco IOS® XE Versies 16.x en 17.x
De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.
Verwante producten
Dit document kan ook worden gebruikt voor de volgende hardware- en softwareversies:
- Catalyst 3650/3850-serie switches met Cisco IOS XE 16.x
Achtergrondinformatie
In dit document wordt beschreven hoe u problemen met trage DHCP-adrestoewijzing (Dynamic Host Configuration Protocol) of onderbrekende DHCP-adrestoewijzingsfouten op switches uit de Catalyst 9000-reeks kunt oplossen als DHCP-relay-agents.
De functie Control Plane Policing (CoPP) verbetert de beveiliging van uw apparaat door de CPU te beschermen tegen onnodig verkeer en DoS-aanvallen (Denial of Service). Het kan ook het verkeer en het beheer van het verkeer beschermen tegen verkeersdalingen veroorzaakt door hoge volumes van ander verkeer met lagere prioriteit.
Uw apparaat is meestal verdeeld in drie bedieningsvlakken, elk met zijn eigen doel:
- Het gegevensvlak, om gegevenspakketten door te sturen.
- Het controlevliegtuig, om gegevens correct te routeren.
- Het beheervlak, om netwerkelementen te beheren.
U kunt CoPP gebruiken om het grootste deel van het CPU-gebonden verkeer te beschermen en routeringsstabiliteit, bereikbaarheid en pakketbezorging te garanderen. Het belangrijkste is dat u CoPP kunt gebruiken om de CPU te beschermen tegen een DoS-aanval.
CoPP gebruikt de modulaire QoS command-line interface (MQC) en CPU-wachtrijen om deze doelstellingen te bereiken. Verschillende soorten controlevliegtuigverkeer worden op basis van bepaalde criteria gegroepeerd en toegewezen aan een CPU-wachtrij. U kunt deze CPU-wachtrijen beheren door specifieke policers in hardware te configureren. U kunt bijvoorbeeld de policersnelheid wijzigen voor bepaalde CPU-wachtrijen (verkeerstype), of u kunt de policersnelheid uitschakelen voor een bepaald type verkeer.
Hoewel de policers in hardware zijn geconfigureerd, heeft CoPP geen invloed op de CPU-prestaties of de prestaties van het gegevensvlak. Omdat het het aantal pakketten beperkt dat naar de CPU wordt geleid, wordt de CPU-belasting gecontroleerd. Dit betekent dat services die wachten op pakketten van de hardware een meer gecontroleerde snelheid van ingangspakketten kunnen zien (de snelheid is door de gebruiker configureerbaar).
Probleem
Een Catalyst 9000-switch wordt geconfigureerd als een DHCP-relay-agent wanneer de opdracht ip helper-adres is geconfigureerd op een gerouteerde interface of SVI. De interface waar het helperadres is geconfigureerd, is doorgaans de standaardgateway voor downstreamclients. Als de switch een geslaagde DHCP-relayservice aan zijn klanten wil leveren, moet hij inkomende DHCP Discover-berichten verwerken. Hiervoor moet de switch de DHCP Discover ontvangen en dit pakket tot aan de processor richten om te verwerken. Zodra de DHCP Discover is ontvangen en verwerkt, maakt de relay-agent een nieuw unicast-pakket aan dat afkomstig is van de interface waar de DHCP Discover is ontvangen en bestemd is voor het IP-adres zoals gedefinieerd in de configuratie van het IP-helperadres. Nadat het pakket is gemaakt, wordt het hardware doorgestuurd en verzonden naar de DHCP-server, waar het kan worden verwerkt en teruggestuurd naar de relay-agent, zodat het DHCP-proces voor de client kan worden voortgezet.
Een veelvoorkomend probleem dat wordt ervaren, is wanneer DHCP-transactiepakketten bij de relay-agent per ongeluk worden beïnvloed door verkeer dat naar de CPU wordt verzonden omdat het is onderworpen aan een specifiek ICMP-scenario, zoals een ICMP-omleiding of een ICMP-bestemmings-onbereikbaar bericht. Dit gedrag kan zich manifesteren omdat klanten niet tijdig een IP-adres van DHCP kunnen ontvangen, of zelfs een totale DHCP-toewijzingsfout. In sommige scenario's kan het gedrag alleen op bepaalde momenten van de dag worden waargenomen, zoals piekuren wanneer de belasting op het netwerk volledig is gemaximaliseerd.
Zoals vermeld in de sectie Achtergrond worden switches uit de Catalyst 9000-reeks geleverd met een standaard CoPP-beleid dat is geconfigureerd en ingeschakeld op het apparaat. Dit CoPP-beleid fungeert als een Quality of Service (QoS) -beleid dat zich bevindt in het pad van verkeer dat wordt ontvangen op poorten op het voorpaneel en is bestemd voor de CPU van het apparaat. Het tarief beperkt het verkeer op basis van het verkeerstype en de vooraf gedefinieerde drempels die in het beleid zijn geconfigureerd. Enkele voorbeelden van verkeer dat standaard is geclassificeerd en beperkt in snelheid zijn Routing Control-pakketten (meestal gemarkeerd met DSCP CS6), Topology Control-pakketten (STP BPDU's), Low Latency-pakketten (BFD). Deze pakketten moeten worden geprioriteerd omdat de mogelijkheid om ze betrouwbaar te verwerken resulteert in een stabiele netwerkomgeving.
Bekijk de CoPP-polisstatistieken met de opdracht voor het weergeven van de status van de actieve qos-wachtrij van de switch van de platformhardware met de opdracht internal cpu policer.
De ICMP Redirect-wachtrij (wachtrij 6) en de BROADCAST-wachtrij (wachtrij 12) delen beide dezelfde PlcIdx van 0 (Policer Index). Dit betekent dat elk uitzendverkeer dat moet worden verwerkt door de CPU van het apparaat, zoals een DHCP Discover, wordt gedeeld met verkeer dat ook is bestemd voor de CPU van het apparaat in de ICMP Redirect-wachtrij. Dit kan resulteren in het eerder genoemde probleem waarbij DHCP-transacties mislukken omdat de ICMP Redirect-wachtrij verkeer uitdroogt dat moet worden onderhouden door de BROADCAST-wachtrij, wat resulteert in het wegvallen van legitieme uitzendpakketten.
9300-Switch#show platform hardware fed switch active qos queue stats internal cpu policer
CPU Queue Statistics
============================================================================================
(default) (set) Queue Queue
QId PlcIdx Queue Name Enabled Rate Rate Drop(Bytes) Drop(Frames)
--------------------------------------------------------------------------------------------
0 11 DOT1X Auth Yes 1000 1000 0 0
1 1 L2 Control Yes 2000 2000 0 0
2 14 Forus traffic Yes 4000 4000 0 0
3 0 ICMP GEN Yes 600 600 0 0
4 2 Routing Control Yes 5400 5400 0 0
5 14 Forus Address resolution Yes 4000 4000 0 0
6 0 ICMP Redirect Yes 600 600 0 0 <-- Policer Index 0
7 16 Inter FED Traffic Yes 2000 2000 0 0
8 4 L2 LVX Cont Pack Yes 1000 1000 0 0
9 19 EWLC Control Yes 13000 13000 0 0
10 16 EWLC Data Yes 2000 2000 0 0
11 13 L2 LVX Data Pack Yes 1000 1000 0 0
12 0 BROADCAST Yes 600 600 0 0 <-- Policer Index 0
13 10 Openflow Yes 200 200 0 0
14 13 Sw forwarding Yes 1000 1000 0 0
15 8 Topology Control Yes 13000 16000 0 0
16 12 Proto Snooping Yes 2000 2000 0 0
17 6 DHCP Snooping Yes 500 500 0 0
18 13 Transit Traffic Yes 1000 1000 0 0
19 10 RPF Failed Yes 250 250 0 0
20 15 MCAST END STATION Yes 2000 2000 0 0
<snip>
Verkeer dat de standaardsnelheid van 600 pakketten per seconde in het CoPP-beleid overschrijdt, wordt weggelaten voordat het de CPU bereikt:
9300-Switch#show platform hardware fed switch active qos queue stats internal cpu policer
CPU Queue Statistics
============================================================================================
(default) (set) Queue Queue
QId PlcIdx Queue Name Enabled Rate Rate Drop(Bytes) Drop(Frames)
--------------------------------------------------------------------------------------------
0 11 DOT1X Auth Yes 1000 1000 0 0
1 1 L2 Control Yes 2000 2000 0 0
2 14 Forus traffic Yes 4000 4000 0 0
3 0 ICMP GEN Yes 600 600 0 0
4 2 Routing Control Yes 5400 5400 0 0
5 14 Forus Address resolution Yes 4000 4000 0 0
6 0 ICMP Redirect Yes 600 600 3063106173577 3925209161 <-- Dropped packets in queue
7 16 Inter FED Traffic Yes 2000 2000 0 0
8 4 L2 LVX Cont Pack Yes 1000 1000 0 0
9 19 EWLC Control Yes 13000 13000 0 0
10 16 EWLC Data Yes 2000 2000 0 0
11 13 L2 LVX Data Pack Yes 1000 1000 0 0
12 0 BROADCAST Yes 600 600 1082560387 3133323 <-- Dropped packets in queue
13 10 Openflow Yes 200 200 0 0
14 13 Sw forwarding Yes 1000 1000 0 0
15 8 Topology Control Yes 13000 16000 0 0
16 12 Proto Snooping Yes 2000 2000 0 0
17 6 DHCP Snooping Yes 500 500 0 0
18 13 Transit Traffic Yes 1000 1000 0 0
19 10 RPF Failed Yes 250 250 0 0
20 15 MCAST END STATION Yes 2000 2000 0 0
<snip>
Scenario 1: ICMP-omleidingen
Overweeg deze topologie voor het eerste scenario:
De volgorde van gebeurtenissen is:
1. Een gebruiker op 10.10.10.100 initieert een telnet-verbinding met apparaat 10.100.100.100, een extern netwerk.
2. Het IP-adres van de bestemming bevindt zich in een ander subnet, zodat het pakket wordt verzonden naar de standaardgateway van de gebruiker, 10.10.10.15.
3. Wanneer de Catalyst 9300 dit pakket naar route ontvangt, wordt het pakket naar de CPU gestuurd om een ICMP-omleiding te genereren.
De ICMP Redirect wordt gegenereerd omdat het vanuit het oogpunt van de 9300-switch efficiënter zou zijn voor de laptop om dit pakket eenvoudig rechtstreeks naar de router te sturen op 10.10.10.1, omdat dat de volgende hop van Catalyst 9300 is en het in hetzelfde VLAN is waarin de gebruiker zich bevindt.
Het probleem is dat de volledige stroom wordt verwerkt op de CPU, omdat deze voldoet aan de ICMP Redirect-criteria. Als andere apparaten verkeer worden verzonden dat voldoet aan het ICMP-omleidingsscenario, wordt er in deze wachtrij nog meer verkeer naar de CPU gestuurd, wat van invloed kan zijn op de BROADCAST-wachtrij omdat ze dezelfde CoPP-politieagent delen.
Foutopsporing ICMP om de ICMP Redirect-syslog te bekijken:
9300-Switch#debug ip icmp <-- enables ICMP debugs
ICMP packet debugging is on
9300-Switch#show logging | inc ICMP
*Sep 29 12:41:33.217: ICMP: echo reply sent, src 10.10.10.15, dst 10.10.10.100, topology BASE, dscp 0 topoid 0
*Sep 29 12:41:33.218: ICMP: echo reply sent, src 10.10.10.15, dst 10.10.10.100, topology BASE, dscp 0 topoid 0
*Sep 29 12:41:33.219: ICMP: echo reply sent, src 10.10.10.15, dst 10.10.10.100, topology BASE, dscp 0 topoid 0
*Sep 29 12:41:33.219: ICMP: echo reply sent, src 10.10.10.15, dst 10.10.10.100, topology BASE, dscp 0 topoid 0
*Sep 29 12:43:08.127: ICMP: redirect sent to 10.10.10.100 for dest 10.100.100.100, use gw 10.10.10.1
*Sep 29 12:50:09.517: ICMP: redirect sent to 10.10.10.100 for dest 10.100.100.100, use gw 10.10.10.1
*Sep 29 12:50:10.017: ICMP: redirect sent to 10.10.10.100 for dest 10.100.100.100, use gw 10.10.10.1 <-- ICMP Redirect to use 10.10.10.1 as Gateway
*Sep 29 12:50:14.293: ICMP: redirect sent to 10.10.10.100 for dest 10.100.100.100, use gw 10.10.10.1
*Sep 29 12:50:19.053: ICMP: redirect sent to 10.10.10.100 for dest 10.100.100.100, use gw 10.10.10.1
*Sep 29 12:50:23.797: ICMP: redirect sent to 10.10.10.100 for dest 10.100.100.100, use gw 10.10.10.1
*Sep 29 12:50:28.537: ICMP: redirect sent to 10.10.10.100 for dest 10.100.100.100, use gw 10.10.10.1
*Sep 29 12:50:33.284: ICMP: redirect sent to 10.10.10.100 for dest 10.100.100.100, use gw 10.10.10.1
Waarschuwing: vanwege de breedsprakigheid op schaal wordt aanbevolen de consolelogboekregistratie en terminalbewaking uit te schakelen voordat u ICMP-debugs inschakelt.
Een Embedded Packet Capture bij de Catalyst 9300 CPU toont de initiële TCP SYN voor de Telnet-verbinding op de CPU en de ICMP Redirect die wordt gegenereerd.
Het ICMP Redirect-pakket is afkomstig van de Catalyst 9300 VLAN 10-interface die bestemd is voor de client en bevat de oorspronkelijke pakketheaders waarvoor het ICMP Redirect-pakket wordt verzonden.
Oplossing
In dit scenario kunnen de pakketten die tot aan de CPU worden gepunteerd, worden voorkomen, waardoor ook de generatie van het ICMP Redirect-pakket wordt gestopt. Moderne besturingssystemen maken geen gebruik van ICMP Redirect-berichten, dus de middelen die nodig zijn om deze pakketten te genereren, verzenden en verwerken, zijn geen efficiënt gebruik van CPU-bronnen op netwerkapparaten.
U kunt de gebruiker ook wijzen op het gebruik van de standaardgateway van 10.10.10.1, maar het gebruik van dergelijke configuraties kan met een reden worden uitgevoerd en valt buiten het toepassingsgebied van dit document.
Schakel eenvoudig ICMP-omleidingen uit met de CLI zonder ip-omleidingen:
9300-Switch#conf t
Enter configuration commands, one per line. End with CNTL/Z.
9300-Switch(config)#interface vlan 10
9300-Switch(config-if)#no ip redirects <-- disable IP redirects
9300-Switch(config-if)#end
Controleer of ICMP-omleidingen zijn uitgeschakeld op een interface:
9300-Switch#show ip interface vlan 10
Vlan10 is up, line protocol is up
Internet address is 10.10.10.15/24
Broadcast address is 255.255.255.255
Address determined by setup command
MTU is 1500 bytes
Helper address is not set
Directed broadcast forwarding is disabled
Multicast reserved groups joined: 224.0.0.102
Outgoing Common access list is not set
Outgoing access list is not set
Inbound Common access list is not set
Inbound access list is BLOCK-TELNET
Proxy ARP is disabled
Local Proxy ARP is disabled
Security level is default
Split horizon is enabled
ICMP redirects are never sent <-- redirects disabled
ICMP unreachables are never sent
ICMP mask replies are never sent
IP fast switching is enabled
IP Flow switching is disabled
IP CEF switching is enabled
IP CEF switching turbo vector
<snip>
Meer informatie over ICMP-omleidingen en wanneer ze worden verzonden, vindt u op deze link: Wanneer worden ICMP-omleidingen verzonden
Scenario 2: ICMP Unreachables
Neem dezelfde topologie waar de gebruiker op 10.10.10.100 een Telnet-verbinding initieert naar 10.100.100.100. Deze keer is een toegangslijst inbound geconfigureerd op de VLAN 10 SVI die telnet-verbindingen blokkeert.
9300-Switch#show running-config interface vlan 10
Building Configuration..
Current Configuration : 491 bytes
!
interface Vlan10
ip address 10.10.10.15 255.255.255.0
no ip proxy-arp
ip access-group BLOCK-TELNET in <-- inbound ACL
end
9300-Switch#
9300-Switch#show ip access-list BLOCK-TELNET
Extended IP access list BLOCK-TELNET
10 deny tcp any any eq telnet <-- block telnet
20 permit ip any any
9300-Switch#
De volgorde van gebeurtenissen is:
1. Gebruiker op 10.10.10.100 initieert een telnet-verbinding met apparaat 10.100.100.100.
2. Het IP-adres van de bestemming bevindt zich in een ander subnet, zodat het pakket naar de standaardgateway van de gebruiker wordt verzonden.
3. Wanneer de Catalyst 9300 dit pakket ontvangt, wordt het geëvalueerd tegen de inkomende ACL en wordt geblokkeerd.
4. Aangezien het pakket is geblokkeerd en de IP-onbereikbare bestanden zijn ingeschakeld op de interface, wordt het pakket naar de CPU gestuurd, zodat het apparaat een ICMP-bestemmingspakket kan genereren dat niet kan worden bereikt.
Foutopsporing ICMP om de ICMP-bestemming onbereikbare syslog te bekijken:
9300-Switch#debug ip icmp <-- enables ICMP debugs
ICMP packet debugging is on
9300-Switch#show logging | include ICMP
<snip>
*Sep 29 14:01:29.041: ICMP: dst (10.100.100.100) administratively prohibited unreachable sent to 10.10.10.100 <-- packet blocked and ICMP message sent to client
Waarschuwing: vanwege de breedsprakigheid op schaal wordt aanbevolen de consolelogboekregistratie en terminalbewaking uit te schakelen voordat u ICMP-debugs inschakelt.
Een Embedded Packet Capture bij de Catalyst 9300 CPU toont de initiële TCP SYN voor de Telnet-verbinding op de CPU en de ICMP Destination Unreach die wordt verzonden.
Het ICMP Destination Unreach-pakket is afkomstig van de Catalyst 9300 VLAN 10-interface die bestemd is voor de client en bevat de oorspronkelijke pakketheaders waarvoor het ICMP-pakket wordt verzonden.
Oplossing
Schakel in dit scenario het gedrag uit waarbij de gemarkeerde pakketten die worden geblokkeerd door een ACL worden geblokkeerd om het ICMP-bericht Bestemming onbereikbaar te genereren.
De functie IP Unreach (Onbereikbaar) is standaard ingeschakeld op gerouteerde interfaces op switches uit de Catalyst 9000-reeks.
9300-Switch#configure terminal
Enter configuration commands, one per line. End with CNTL/Z.
9300-Switch(config)#interface vlan 10
9300-Switch(config-if)#no ip unreachables <-- disable IP unreachables
Controleer of ze zijn uitgeschakeld voor de interface:
9300-Switch#show ip interface vlan 10
Vlan10 is up, line protocol is up
Internet address is 10.10.10.15/24
Broadcast address is 255.255.255.255
Address determined by setup command
MTU is 1500 bytes
Helper address is not set
Directed broadcast forwarding is disabled
Multicast reserved groups joined: 224.0.0.102
Outgoing Common access list is not set
Outgoing access list is not set
Inbound Common access list is not set
Inbound access list is BLOCK-TELNET
Proxy ARP is disabled
Local Proxy ARP is disabled
Security level is default
Split horizon is enabled
ICMP redirects are never sent
ICMP unreachables are never sent <-- IP unreachables disabled
ICMP mask replies are never sent
IP fast switching is enabled
IP Flow switching is disabled
IP CEF switching is enabled
IP CEF switching turbo vector
<snip>
Scenario 3: ICMP TTL-overschreden
Overweeg de eerdere topologie die voor de vorige twee scenario's is gebruikt. Deze keer probeert de gebruiker op 10.10.10.100 een resource te bereiken in een netwerk dat sindsdien is uitgeschakeld. Hierdoor bestaan de SVI en VLAN die dit netwerk hebben gehost niet langer op de Catalyst 9300. De router heeft echter nog steeds een statische route die verwijst naar de Catalyst 9300 VLAN 10-interface als de volgende stap voor dit netwerk.
Omdat de Catalyst 9300 niet langer dit netwerk heeft geconfigureerd, wordt het niet weergegeven als direct verbonden en de 9300 routeert pakketten waarvoor het geen specifieke route heeft naar zijn statische standaardroute die naar de Router wijst op 10.10.10.1.
Dit gedrag introduceert een routeringslus in het netwerk wanneer de gebruiker probeert verbinding te maken met een bron in de adresruimte 192.168.10.0/24. Het pakket wordt tussen de 9300 en de router geloosd totdat de TTL verloopt.
1. Gebruiker probeert verbinding te maken met een bron in het 192.168.10/24 netwerk
2. Pakket wordt ontvangen door Catalyst 9300 en wordt naar de standaardroute geleid met de volgende hop van 10.10.10.1 en verlaagt de TTL met 1.
3. Router ontvangt dit pakket en controleert de routeringstabel om te zien of er een route is voor dit netwerk met de volgende hop van 10.10.10.15. Het verlaagt de TTL met 1 en routeert het pakket terug naar de 9300.
4. Catalyst 9300 ontvangt het pakket en stuurt het opnieuw terug naar 10.10.1 en verlaagt de TTL met 1.
Dit proces wordt herhaald totdat de IP TTL nul bereikt.
Wanneer de Catalyst het pakket ontvangt met IP TTL = 1, wordt het pakket doorgestuurd naar de CPU en wordt een ICMP TTL-overschreden bericht gegenereerd.
Het ICMP-pakkettype is 11 met code 0 (TTL verlopen tijdens transport). Dit pakkettype kan niet worden uitgeschakeld via CLI-opdrachten
Het probleem met DHCP-verkeer speelt in dit scenario, omdat de pakketten die worden geloosd zijn onderworpen aan ICMP omleiding, omdat ze weglaten dezelfde interface die ze werden ontvangen op. De pakketten verzonden door de gebruiker zijn ook onderworpen aan ICMP omleiding. DHCP-verkeer kan in dit scenario gemakkelijk worden uitgehongerd uit de BROADCAST-wachtrij. Op schaal zou dit scenario nog erger zijn vanwege het aantal pakketten dat in de redirect-wachtrij wordt gepunteerd.
Hier worden CoPP-druppels aangetoond via 1000 pings naar het 192.168.10.0/24-netwerk met time-out van 0 seconden tussen elke ping. De CoPP-statistieken over de 9300 worden gewist en op nul bytes gedaald voordat de pings worden verzonden.
9300-Switch#clear platform hardware fed switch active qos statistics internal cpu policer <-- clear CoPP stats
9300-Switch#show platform hardware fed switch active qos queue stats internal cpu policer | i Redirect|Drop <-- verify 0 drops
QId PlcIdx Queue Name Enabled Rate Rate Drop(Bytes) Drop(Frames)
6 0 ICMP Redirect Yes 600 600 0 0 <-- bytes dropped 0
<snip>
Gebruiker stuurt verkeer naar een extern netwerk:
User#ping 192.168.10.10 timeout 0 rep 1000 <-- User sends 1000 pings
Type escape sequence to abort.
Sending 1000, 100-byte ICMP Echos to 192.168.10.10, timeout is 0 seconds:
......................................................................
......................................................................
......................................................................
......................................................................
......................................................................
......................................................................
......................................................................
......................................................................
......................................................................
......................................................................
......................................................................
......................................................................
......................................................................
......................................................................
....................
Success rate is 0 percent (0/1000)
ICMP Debugs tonen de Redirect en TTL-Overtroffen syslogs als gevolg van routing loop:
9300-Switch#debug ip icmp
ICMP packet deubgging is on
*Sep 29 16:33:22.676: ICMP: redirect sent to 10.10.10.100 for dest 192.168.10.10, use gw 10.10.10.1 <-- redirect sent
*Sep 29 16:33:22.678: ICMP: time exceeded (time to live) sent to 10.10.10.100 (dest was 192.168.10.10), topology BASE, dscp 0 topoid 0 <-- TTL exceeded observed
*Sep 29 16:33:22.678: ICMP: time exceeded (time to live) sent to 10.10.10.100 (dest was 192.168.10.10), topology BASE, dscp 0 topoid 0
*Sep 29 16:33:22.678: ICMP: time exceeded (time to live) sent to 10.10.10.100 (dest was 192.168.10.10), topology BASE, dscp 0 topoid 0
<snip>
Waarschuwing: vanwege de breedsprakigheid op schaal wordt aanbevolen de consolelogboekregistratie en terminalbewaking uit te schakelen voordat u ICMP-debugs inschakelt.
CoPP-dalingen worden gezien als gevolg van de hoeveelheid verkeer die naar de CPU wordt gepunteerd voor omleiding (dit is alleen voor een enkele client).
9300-Switch#show platform hardware fed switch active qos queue stats internal cpu policer
CPU Queue Statistics
============================================================================================
(default) (set) Queue Queue
QId PlcIdx Queue Name Enabled Rate Rate Drop(Bytes) Drop(Frames)
--------------------------------------------------------------------------------------------
0 11 DOT1X Auth Yes 1000 1000 0 0
1 1 L2 Control Yes 2000 2000 0 0
2 14 Forus traffic Yes 4000 4000 0 0
3 0 ICMP GEN Yes 600 600 0 0
4 2 Routing Control Yes 5400 5400 0 0
5 14 Forus Address resolution Yes 4000 4000 0 0
6 0 ICMP Redirect Yes 600 600 15407990 126295 <-- drops in redirect queue
7 16 Inter FED Traffic Yes 2000 2000 0 0
8 4 L2 LVX Cont Pack Yes 1000 1000 0 0
<snip>
Oplossing
De oplossing in dit scenario is om ICMP-omleidingen uit te schakelen, hetzelfde als in scenario 1. De routeringslus is ook een probleem, maar de intensiteit wordt verergerd omdat de pakketten ook worden gepunteerd voor omleiding.
ICMP TTL-overschreden pakketten worden ook gepunteerd wanneer TTL 1 is, maar deze pakketten gebruiken een andere CoPP Policer-index en delen geen wachtrij met BROADCAST, zodat het DHCP-verkeer niet wordt beïnvloed.
Schakel eenvoudig ICMP-omleidingen uit met de CLI zonder ip-omleidingen:
9300-Switch#configure terminal
Enter configuration commands, one per line. End with CNTL/Z.
9300-Switch(config)#interface vlan 10
9300-Switch(config-if)#no ip redirects <-- disable IP redirects
9300-Switch(config-if)#end
Gerelateerde informatie
- Embedded Packet Capture configureren
- ICMP-omleidingen begrijpen
- Technische ondersteuning en documentatie – Cisco Systems
Revisiegeschiedenis
| Revisie | Publicatiedatum | Opmerkingen |
|---|---|---|
3.0 |
17-Jun-2026
|
Spelling, grammatica, interpunctie, alt-tekst, spatiëring bijwerken. |
2.0 |
20-Oct-2023
|
hercertificering |
1.0 |
30-Sep-2021
|
Eerste vrijgave |
FeedbackContact Cisco
- Een ondersteuningscase openen
- (Vereist een Cisco-servicecontract)