Contents

Introduction

Diagnosticar Alta Utilização da CPU

Bit - Troque os endereços MAC

Determine os endpoints SNA

Filtrar nos SAPs

Filtrar tráfego indesejado

Permitir somente endereços MAC usados para SNA

Introduction

Este documento descreve como solucionar problemas de alta utilização da CPU devido a DLSw (Data-Link Switching).

Diagnosticar Alta Utilização da CPU

Conclua estes passos para determinar se o DLSw é a causa da alta utilização da CPU.

1. Digite o comando show proc cpu sort.

CISCO-2821-P1#show proc cpu sort

CPU utilization for five seconds: 98%/16%; one minute: 98%; five minutes: 98%

PID Runtime(ms)     Invoked      uSecs   5Sec   1Min   5Min TTY Process

366    40569376    27522064       1474 72.31% 74.57% 74.62%   0 DLSw msg proc

371     2099016    27845490         75  3.83%  3.93%  3.94%   0 HyBridge Input P

13      134172        1263     106232  2.15%  0.27%  0.18%   0 Licensing Auto U

367      779500    27475147         28  1.27%  1.35%  1.35%   0 CLS Background
Na saída anterior, o processo de mensagem DLSw indica algum tipo de tráfego ligado a DLSw e DLSw tenta enviá-lo a todos os pares. Isso pode ser tráfego real de explorador de Arquitetura de Rede de Sistemas (SNA - Systems Network Architecture), quadros SNAP (Sub-Network Access Protocol) (SNA é o Service Access Point) (SAP - Service Access Point) encapsulado), DECnet ou, possivelmente, NetBIOS. Mesmo que não seja enviado aos correspondentes, é processado pelo DLSw e requer utilização da CPU, porque o tráfego DLSw é comutado por processo.

A entrada do Hybridge é uma pista, pois isso indica o tráfego com bridge Ethernet. O plano de fundo do Cisco Link Services (CLS) também está envolvido.

2. Insira o comando show proc cpu history para determinar por quanto tempo a utilização da CPU está alta.

3. Insira o comando show dlsw peer ssp-dlx para ver o tráfego no peer também.

CISCO-2821-P1#show dlsw peer ssp-dlx

Peer: 192.168.2.1                           received transmitted

CUR_ex Can U Reach Explorers                   0           3

DATA Data Frame                                0      205842

--> DSAP: SNAP (0xAA)                          0      205789

--> DSAP: Other                                0          53

CAPX Capabilities Exchange                   102         111

Total SSP Primatives                         102      205956

DLX Peer Test Request                          0         347

DLX Peer Test Response                       347           0

Last SSP Sent:  DATA

Total number of connected peers: 1

Total number of connections:     1

Bit - Troque os endereços MAC

O tráfego pode aumentar rapidamente nos endereços MAC aprendidos pela bridge na interface Ethernet.

Address          Action    Interface        Age   RX count   TX count

90fb.a616.4e77   forward   Gi0/0.1           0       1696       1968

54ee.7505.86b9   forward   Gi0/0.1           0    1448758          0

0200.ae00.0080   forward   DLSw Port0        0     306187     232570

54ee.7505.8705   forward   Gi0/0.1           0    1448766          0

0011.258d.a82d   forward   Gi0/0.1           0     119501     184767

a820.6604.f332   forward   Gi0/0.1           1       1294          0

Observe os endereços na saída anterior que têm uma contagem Rx e nenhuma contagem Tx. Esses são os endereços com problemas.

Você pode usar a Bitswap Tool para trocar em bits os endereços MAC em endereços Ethernet.

- O MAC 0088.a4b1.15b4 em DLSw é o endereço Ethernet 0011.258D.A82D.

- O MAC 09df.6568.72ee no DLSw é o endereço Ethernet 90FB.A616.4E77.

- O MAC 4000.7500.0001 em DLSw é o endereço Ethernet 0200.ae00.0080.

Determine os endpoints SNA

Você precisa saber quais endereços MAC e SAPs compõem os endpoints SNA. Se tudo estiver online e funcionar, você poderá determinar isso com o comando show dlsw circuit:

CISCO-2821-P1#show dlsw cir

Index           local addr(lsap)    remote addr(dsap)  state          uptime

369099416       0088.a4b1.15b4(04)  4000.7500.0001(04) CONNECTED         1d02h

3607102105      09df.6568.72ee(04)  4000.7500.0001(04) CONNECTED      00:57:43

Total number of circuits connected: 2

Na saída anterior, o endereço MAC local é a forma não canônica (token ring) do endereço MAC. Isso significa que ele precisaria ser trocado por bits para ver o endereço MAC como ele aparece na Ethernet. O número entre parênteses (04) é o SAP usado por essa conexão. Todas as estações finais na saída anterior usam 0x04. Os SAPs usados são 0 e 4. SAP 0x0 é usado para exploradores.

Filtrar nos SAPs

Agora, você pode filtrar os SAPs. Você deve permitir pelo menos 0 e 4. É uma boa prática sempre permitir 0, 4, 8 e C.

Para obter mais informações, consulte Técnicas de Filtragem SAP/MAC DLSw+.

Suponha que você tenha uma configuração como esta:

dlsw local-peer peer-id 192.168.1.1

dlsw remote-peer 0 tcp 192.168.2.1

dlsw bridge-group 15

!

interface GigabitEthernet0/0.1

description **Production LAN Segment**

encapsulation dot1Q 1 native

ip address 192.168.1.1 255.255.0.0

bridge-group 15

!

bridge 1 protocol vlan-bridge

Você precisaria filtrar primeiro o que é enviado entre os peers DLSw, porque isso tem o maior impacto. Você pode bloquear SAPs AA (SNAP), E0 (Novell NetWare) e F0 (NetBIOS). Essa configuração é segura de ser implementada.

conf t

dlsw icannotreach saps AA E0 F0

exit

wr

Você pode usar a versão permit do filtro, se souber quais SAPs SNA o cliente usa e se a lista é pequena. Aqui está um exemplo:

conf t

dlsw icanreach saps 0 4 8 C

exit

wr

Filtrar tráfego indesejado

Você pode filtrar o tráfego indesejado no grupo de pontes na interface Ethernet:

conf t

access-list 200 permit 0x0000 0x0D0D

access-list 201 deny 0x0000 0xFFFF

exit

wr

Note: Este exemplo usa access-list 200 para permitir 0, 4, 8 e C com um bit de alta ordem (comando/resposta).Este exemplo usa access-list 201 para bloquear o SNAP (Sub-Network Access Protocol) e outro tráfego indesejado.

Aplique os filtros na interface Ethernet:

conf t

interface GigabitEthernet0/0.1

bridge-group 15 input-lsap-list 200

bridge-group 15 input-type-list 201

exit

wr

Aqui está um exemplo de configuração na Ethernet:

interface GigabitEthernet0/0.1

description **Production LAN Segment**

encapsulation dot1Q 1 native

ip address 192.168.1.1 255.255.0.0

bridge-group 15

bridge-group 15 input-lsap-list 200

bridge-group 15 input-type-list 201

Isso deve ser tudo o que é necessário para interromper a alta utilização da CPU pelo DLSw.

Permitir somente endereços MAC usados para SNA

Há mais uma etapa que você pode executar para permitir que somente os endereços MAC usados para SNA sejam ligados em ponte. Certifique-se de que todos os dispositivos SNA estejam on-line e trabalhem para obter uma lista completa com este comando:

CISCO-2821-P1#show dlsw cir

Index           local addr(lsap)    remote addr(dsap)  state          uptime

369099416       0088.a4b1.15b4(04)  4000.7500.0001(04) CONNECTED         1d02h

3607102105      09df.6568.72ee(04)  4000.7500.0001(04) CONNECTED      00:57:43

Total number of circuits connected: 2

MAC 0088.a4b1.15b4  in DLSw is ethernet address 0011.258D.A82D.

MAC 09df.6568.72ee in DLSw is ethernet address 90FB.A616.4E77.

access-list 701 permit 0011.258D.A82D 0000.0000.0000

access-list 701 permit  0FB.A616.4E77 0000.0000.0000

access-list 701 deny 0000.0000.0000 ffff.ffff.ffff

conf t

interface GigabitEthernet0/0.1

bridge-group 1 input-address-list 701

exit

wr

Se você ainda tiver alta utilização da CPU após concluir este procedimento, entre em contato com o Cisco Technical Assistance Center (TAC) para escalar o caso.