Problemen met het APIPA-adres in het netwerk oplossen

• Gebruikersmachines ontvangen het APIPA IP-adres en de connectiviteit van de gebruiker wordt beïnvloed.

Probleemsymptomen

1. Gebruikers op een specifiek VLAN ervaren intermitterende problemen waarbij ze een APIPA IP-adres ontvangen en de verbinding met het netwerk verliezen.
2. Firewalls hebben meerdere ARP-vermeldingen voor een MAC-adres voor één eindgebruiker zoals dit:

Firewall/pri/act# show arp | include abcd.abcd.abcd
inside 10.1.1.12 abcd.abcd.abcd 30 
inside 10.1.1.13 abcd.abcd.abcd 40 
inside 10.1.1.14 abcd.abcd.abcd 51 
inside 10.1.1.15 abcd.abcd.abcd 53

Stappen voor probleemoplossing

1. Foutopsporing in Firewall wijst naar de firewall die het antwoord naar de ARP-sonde van eindgebruikers verzendt.

DHCPD/RA: creating ARP entry (10.1.1.12, abcd.abcd.abcd). 
DHCPRA: Adding rule to allow client to respond using offered address 10.1.1.12

Dit zorgt ervoor dat het eindapparaat denkt dat het een dubbel adres is. 

2. Opnamen op eindapparaat of firewall

Vastleggingen tonen dat eindapparaat DHCP-pakketten verzendt nadat het DORA-proces is voltooid.

isolement

• Firewall inside interface reageert op de ARP-sonde door op te treden als proxy, zodra het DORA-proces is voltooid. Dit maakt de pc om DHCP te verzenden afneemt. 

Actieplan

• Schakel de proxy arp op Firewall inside interface met behulp van de opdracht "sysopt noproxyarp inside"

Resolutie/verificatie

• Eindapparaten ontvangen IP-adres nadat proxy-arp is uitgeschakeld.

• 

  Opmerking: zorg ervoor dat geen enkel apparaat als proxy fungeert of antwoord verzendt voor ARP-probes van eindgebruikers.

Probleembeschrijving:

• Gebruikersmachines ontvangen het APIPA IP-adres en de connectiviteit van de gebruiker wordt beïnvloed.

Symptomen van gebruiker

1. Sommige gebruikers in een specifiek VLAN kunnen geen DHCP-adressen verkrijgen via het draadloze toegangspunt.
2. Firewall had meerdere arp-vermeldingen voor één MAC-adres voor eindgebruikers

Firewall# show arp | i abcd
Inside 10.1.1.22 abcd.abcd.abcd 48
Inside 10.1.1.23 abcd.abcd.abcd 49
Inside 10.1.1.24 abcd.abcd.abcd 50

Problemen oplossen uitgevoerd

• DHCP-aanbieding is door switch ingetrokken
• FTD bevolkt ARP op basis van DHCP-AANBIEDING die terugkomt van DHCP-server.

***DROP*** Broadcast to Access-Tunnel disallowed (accessTunnelBroadcastDrop)

isolement

• Als VLAN met alleen L2 is geconfigureerd voor draadloze SDA-installatie, bereikt het aanbiedingspakket met broadcast-vlag het toegangspunt niet. Omdat Access-tunnel standaard geen broadcast-pakketten toestaat.

Actieplan

• "Overstromingsvermogen" toestaan in LISP-omgeving.

router lisp 
instance-id 8456 
flood access-tunnel 

Resolutie/verificatie

• Na het configureren van `flood access-tunnel` in de C9300 aangesloten op de interne interface, ontvangen klanten DHCP-adressen.

Probleembeschrijving:

• Gebruikersmachines ontvangen het APIPA IP-adres en de connectiviteit van de gebruiker wordt beïnvloed.

Symptomen

1. In de Mac-adrestabel staan vermeldingen met "drop".

#show mac address-table interface gigabitethernet1/0/20           
Mac Address Table 
-------------------------------------------   
Vlan    Mac Address       Type        Ports 
----    -----------       --------    -----   
10    0000.0001.000a    DYNAMIC     Drop

2. De sessie Verificatie weergeven bevat veel items, mogelijk meer dan 2000 of zelfs meer dan 10000.

switch2#show authentication sessions
Gi1/0/1  0000.0001.1234 N/A   UNKNOWN Unauth  0AFF0B8D000000EC000000AF
Gi1/0/1  0000.0001.2345 N/A   UNKNOWN Unauth  0AFF0B8D000000F00016B7D7
Gi1/0/1  0000.0001.3456 N/A   UNKNOWN Unauth  0AFF0B8D0028DE3500000000

Stappen voor probleemoplossing

• Packet capture toont veel inkomende pakketten van het eindapparaat met verschillende Source MAC-adressen.
• De Auth-sessielimiet is 2000 en zodra de limiet wordt overschreden, ontstaan er onverwachte problemen in het netwerk
• https://www.cisco.com/c/en/us/td/docs/switches/lan/catalyst3650/software/release/16-12/configuration_guide/sec/b_1612_sec_3650_cg/configuring_ieee_802_1x_port_based_authentication.html

isolement

•  Dit is een indicatie van het Adaptor-probleem van de eindgebruiker.Dit stuurt misvormde pakketten die de switch begrijpt als willekeurige bron-MAC-adressen.

Actieplan

• Configureer "Authentication host-mode multi-domain" die slechts 2 MAC-adressen toestaat.
• Identificeer en isoleer de boosdoener.

Resolutie/verificatie

• Na het configureren van deze tijdelijke oplossing kan er geen probleem worden waargenomen.

• 

  Opmerking: zorg ervoor dat de poortbeveiliging of de Dot1x auth-sessiehost-modus voor meerdere domeinen is ingeschakeld.

Probleembeschrijving:

• Gebruikersmachines ontvangen het APIPA IP-adres en de connectiviteit van de gebruiker wordt beïnvloed.
  

Symptomen van gebruiker

1. Eindclient verzendt EAP-respons met pakketlengte hoger dan (Voorbeeld: 3736) de werkelijke verwachte pakketlengte 1492.

Extensible Authentication Protocol
Code: Response (2)
Id: 4
Length: 1492
Type: TLS EAP (EAP-TLS) (13)
• EAP-TLS Flags: 0xc0
..0. .... = Start: False
EAP-TLS Length: 3736

Problemen oplossen uitgevoerd

• MTU ingesteld op minder grootte op switch als een systeembrede ingang. (Voorbeeld: 1998 bytes)
• Ingang-interface geconfigureerd met een hogere grootte. (Voorbeeld: 9198 bytes)

isolement

• Mismatch in MTU gedurende het hele pad veroorzaakt het probleem.

Actieplan

• Het systeem MTU wijzigen in 1500 en de switch opnieuw laden

Resolutie/verificatie

• Nadat u deze instellingen hebt geconfigureerd, wordt de verificatie voltooid.

• 

  Opmerking: schakel dezelfde MTU in tijdens het hele pad van de pakketstroom.

Probleembeschrijving:

• Gebruikersmachines ontvangen het APIPA IP-adres en de connectiviteit van de gebruiker wordt beïnvloed.

Symptomen van gebruiker

• Als u VM's in HA hebt, als u dit beleid hebt toegepast in de interface:

apparaatvolgbeleid IPDT_POLICY

Geen UDP-protocol

volgen inschakelen

• Na een failover wordt het ARP-antwoord door de access switch verwijderd.
  

Problemen oplossen uitgevoerd

1. ARP-reacties op de sondes zouden met de switch worden weggelaten.
2. Switch is geconfigureerd met IPDT Guard.
3. IPDT - Guard dropping ARP probe & end device getting APIPA.