数字网络架构(DNA)中心的LAN自动化提示和技巧故障排除

简介

本文档概述局域网(LAN)自动化，以帮助您诊断LAN自动化在数字网络架构(DNA)中心中不按预期运行的问题。

作者：Alexandro Carrasquedo，思科TAC工程师。

手套

即插即用(PnP)代理：您刚刚启动的新设备，没有配置，也没有由DNA Center自动配置的证书。

种子设备:DNA中心已调配并充当动态主机配置协议(DHCP)服务器的设备。 

先决条件

要求

思科强烈建议您具备LAN自动化和即插即用解决方案的一般知识。概述了LAN自动化，尽管它基于DNA Center 1.0，但同样的概念也适用于DNA Center 1.1及更高版本。

背景信息

LAN自动化是一种近零接触部署解决方案，使您能够使用ISIS作为底层路由协议来配置和调配网络设备。

开始使用前

在运行LAN Automation之前，请确保您的PnP代理没有在NVRAM中加载任何证书。

Edge1#dir nvram:*.cer 
Directory of nvram:/*.cer

Directory of nvram:/

    4  -rw-         820                    <no date>  IOS-Self-Sig#1.cer
    6  -rw-         763                    <no date>  kube-ca#468ACA.cer
    7  -rw-         882                    <no date>  sdn-network-#616F.cer
    8  -rw-         807                    <no date>  sdn-network-#4E13CA.cer
2097152 bytes total (2033494 bytes free)
Edge1#delete nvram:*.cer

确保在Provisioning > Devices > Device Inventory页面中没有任何未申领的设备：

因为CSCvh68847 ，某些堆栈可能不会离开未声明的状态，并且您可能会收到ERROR_STACK_UNSUPPORTED错误消息。当LAN自动化尝试将设备当作单个交换机进行调配时，会出现此消息。但是，由于设备是Catalyst 9300交换机堆叠，LAN自动化无法声明该设备，因此该设备显示为未声明的内容。同样，PnP不会声明该设备，因为它是一个堆栈，因此未调配该设备。

LAN自动化在运行时需要执行哪些步骤？

DNA Center使用DHCP配置调配种子设备。种子设备获取的IP地址范围是您在为站点保留IP地址池时定义的初始池的一个段。请注意，此池必须至少为/25。

注意：此池分为3个数据段：
1.在PnP代理上推送到VLAN 1的IP地址。
2.推送到PnP代理上的Loopbac0的IP地址。
3.在连接到种子或其他交换矩阵设备的链路上推送到您的PnP代理的/30 IP地址。

对于DNA Center，要调配PnP代理，种子设备收到的DHCP配置必须具有选项43，该选项定义为DNA Center面向企业的网络接口卡(NIC)的IP地址或虚拟IP(VIP)地址（如果您有n节点集群）。

当PnP代理启动时，它们没有配置。因此，它们的所有端口都是VLAN 1的一部分。因此，设备会向种子设备发送DHCP发现消息。种子设备会响应LAN自动化池中提供的IP地址。

现在您已经了解了LAN自动化的初始顺序，如果过程没有按预期运行，您可以排除故障。

故障排除图

DNA Center 1.1 LAN自动化相关日志

• 网络协调服务
• pnp-service

DNA Center 1.2 LAN自动化相关日志

在版本1.2中，不再提供pnp服务，因此在排除LAN自动化故障时，您需要查找以下服务：

• 网络协调
• 网络设计
• connection-manager-service
• 自注册服务（这是1.1版中的旧pnp服务等效项）

DNA Center 1.x公钥基础设施(PKI)相关日志

• apic-em-pki-broker-service
• apic-em-jboss-ejbca

如何运行流程图中显示的tcpdump?

sudo tcpdump -i <DNA Center fabric's interface> host <PnP Agent ip address> -w /data/tmp/pnp_capture.pcap

*要停止此操作，请使用CTRL+C 

这会将pnp_capture.pcap文件存储在/data/tmp/中。您需要使用安全复制(SCP)命令从DNA Center复制文件，或使用以下命令从DNA Center读取文件：

$ sudo tcpdump -ttttnnr /data/tmp/pnp_capture.pcap
[sudo] password for maglev: 
reading from file capture.pcap, link-type EN10MB (Ethernet)
2018-03-08 20:09:27.369544 IP 192.168.31.1 > 192.168.31.10: ICMP host 192.168.1.2 unreachable, length 36
2018-03-08 20:09:39.369175 IP 192.168.31.1 > 192.168.31.10: ICMP host 192.168.1.2 unreachable, length 36
2018-03-08 20:09:44.373056 ARP, Request who-has 192.168.31.1 tell 192.168.31.10, length 28
2018-03-08 20:09:44.374834 ARP, Reply 192.168.31.1 is-at 2c:31:24:cf:d0:62, length 46
2018-03-08 20:09:50.628539 IP 192.168.31.10.57234 > 192.168.31.1.22: Flags [S], seq 1113323684, win 29200, options [mss 1460,sackOK,TS val 274921400 ecr 0,nop,wscale 7], length 0
2018-03-08 20:09:50.630523 IP 192.168.31.1.22 > 192.168.31.10.57234: Flags [S.], seq 2270495802, ack 1113323685, win 4128, options [mss 1460], length 0
2018-03-08 20:09:50.630604 IP 192.168.31.10.57234 > 192.168.31.1.22: Flags [.], ack 1, win 29200, length 0
2018-03-08 20:09:50.631712 IP 192.168.31.10.57234 > 192.168.31.1.22: Flags [P.], seq 1:25, ack 1, win 29200, length 24

您要复制的bridge.png文件是什么？

这是一个位于DNA Center中的191字节的图像文件，您要使用HTTP（不使用证书）或HTTPS（使用证书）进行复制，以测试DNA Center与PnP代理之间的通信。 

当安全套接字层(SSL)通信未按预期运行时（本文附带的完整.pcap文件）的示例捕获

错误的证书 

可能的原因：

• DNA Center的证书在Subject Alternative Name(SAN)字段中没有正确的IP地址。

要检查证书中的SAN字段，可以执行以下操作：

使用浏览器验证证书

示例捕获

解决方案。

如果您拥有第三方CA（证书颁发机构），请确保他们向您提供包含DNA Center的IP地址及其中的VIP的证书。如果您没有第三方CA，DNA Center可以为您生成证书。请联系思科TAC指导您完成此流程。

DNA Center重置连接

可能的原因：

默认情况下，DNA Center仅支持TLS v1.2。

要解决此问题，请按照本指南启用DNA Center以使用TLS v1

示例捕获

PnP代理上用于解决证书相关问题的有用调试命令

• debug crypto pki transactions
• debug ssl openssl
• debug ssl openssl errores
• debug ssl openssl errors
• debug crypto pki API
• debug crypto pki transactions
• debug ssl openssl msg

响应缺少之前建立的经过身份验证的会话密钥

理论上，您不应在Provisioning > Devices > Device Inventory页面中有未申领的设备，但存在以下问题：在此页面删除未申领的设备后，设备仍会显示在https://<DNA Center ip>/mypnp中。如果您遇到这种情况，并且在PnP日志中看到类似于以下内容的日志，或者在GUI中看到类似情况的指示，请确保设备在PnP中不会显示为未声明状态： 

ERROR | qtp604107971-170 | | c.c.e.z.impl.ZtdHistoryServiceImpl | Device authentication status has changed to Error(PNP response com.cisco.enc.pnp.messages.PnpBackoffResponse is missing previously established authenticated session key) | address=192.168.31.10, sn=FCW212XXXXX

LAN自动化和堆叠的难点

• 在DNA Center 1.2中，堆叠需要全环（2成员堆叠的一根堆叠电缆可能无法工作）。
• LAN自动化需要立即申请堆栈设备许可，大约不到10分钟。
• 一旦连接到DNA中心，PnP中将显示Unclaimed。  PnP使用10分钟时间窗口来确定堆栈，一旦到期，它将保留在LAN自动化未声明部分中。

如果您有RCA或PnP日志，您可以查找未声明的设备消息：

more pnp.log | egrep "(Received unclaimed notification|ZtdDeviceUnclaimedMessage)"

如果没有消息，则未声明的设备通知无法到达DNA Center，PnP无法声明该消息。

如何在堆叠上实现LAN自动化

1. 关闭到种子设备的上行链路。
2. 在DNA Center上启动LAN自动化。
3. 从堆栈中删除启动配置。# write erase
4. 从NVRAM中删除所有证书。#删除nvram:*.cer
5. 删除vlan.dat文件。# delete flash:vlan.dat
6. 从主交换机删除备用交换机上的证书。# delete stby-nvram:*.cer

     a.断开堆叠电缆。

     b.登录到每台成员交换机的控制台。

     c.删除证书。 # delete nvram:*.cer

     d.删除flas vlan数据库。# delete flash:vlan.dat

     e.重新连接堆栈电缆。

  7.重新启动。

  8.等待交换机注册为堆叠，调出所有成员，然后尝试启动初始配置对话框。

%INIT: waited 0 seconds for NVRAM to be available


         --- System Configuration Dialog ---

Would you like to enter the initial configuration dialog? [yes/no]:  

  9.启用到种子设备的上行链路。# no shutdown

我可以导入到我的LAN自动化任务的主机名映射文件的格式？

DNA Center需要一个包含主机名和序列号（主机名、序列号）的CSV文件，如下例所示：

对于堆叠LAN自动化，CSV文件允许您每行输入一个主机名和多个序列号。序列号需要用逗号分隔。请参阅附加CSV文件以供参考。

/mypnp在1.2中去哪里了？

通过以下方式之一访问PnP:

• 从您的Web浏览器输入https://<DNA Center IP>/networkpnp
• 从DNA Center主页中，选择以下网络即插即用工具：

或者访问https://<DNA Center IP>/networkpnp

 库存错误

资产错误意味着设备在被LAN自动化申领并收到配置失败后，将添加到资产中。此错误通常是由配置、某些路由或CLI凭证问题导致的。

要验证您试图通过LAN自动化启动正确的设备，请使用首选连接协议（SSH或Telnet）远程访问设备上loopback 0接口的IP地址。

存在连接，但PKI证书未成功推送到PnP代理

有时，中间的设备可能会打开DNAC和PnP代理之间数据包的Do not Fragment(DF)位。这可能会导致大于1500字节的数据包（通常包含证书的数据包）被丢弃，因此LAN自动化可能无法完成。在DNA Center的入网日志中看到的一些常见日志包括：

errorMessage=Failed to format the url for trustpoint

在这种情况下，建议的操作是确保DNA Center和PnP代理之间的路径允许使用命令system mtu 9100通过巨型帧。

Switch(config)# system mtu 9100