目錄

簡介

必要條件

需求

採用元件

背景資訊

設定

FPR4100/FPR9300 的連接埠通道

從 FXOS 使用者介面設定連接埠通道 (FPR4100/FPR9300)

交換機配置

從 FXOS CLI 設定連接埠通道 (FPR4100/FPR9300)

FPR21xx/FPR1xxx 的連接埠通道

FDM 組態

驗證

驗證 FPR4100/FPR9300 的連接埠通道

驗證 FPR21xx/FPR1xxx 的連接埠通道

疑難排解

LACP 概觀

對 FPR4100/FPR9300 的連接埠通道進行疑難排解

對 FPR21xx/FPR1xxx 的連接埠通道進行疑難排解

其他疑難排解（常見於所有平台）

常見問題

案例 1.EtherChannel模式不匹配

案例 2.錯誤的埠通道設計

案例 3.FXOS埠通道未分配

案例 4.有關埠通道的運行狀況警報未收到任何資料包

案例 5.FMC健康警示：連線埠通道已取消關聯或已新增介面

埠通道注意事項

設計注意事項

案例 1.HA中的FTD/ASA刀片

相關資訊

案例 2.集群中的FTD/ASA

案例 3.Port-Channel在FXOS上終止

案例 4.透過FXOS的埠通道

其他考量事項

常見問題 (FAQ)

相關資訊

簡介

本文件說明如何設定、驗證及疑難排解 Firepower 設備的連接埠通道。

必要條件

需求

思科建議您瞭解以下主題：

- Firepower Management Center (FMC)

- Firepower Chassis Manager (FCM)

- Firepower eXtensible 作業系統 (FXOS)

- Firepower Threat Defense (FTD)

- EtherChannel (EC)

注意：在本文檔中，EtherChannel和Port-Channel (PC)這兩個術語互換使用。

採用元件

本文中的資訊係根據以下軟體和硬體版本：

- 2個FPR4120 (FXOS 2.2 (2.17)、FTD 6.2.0.2.51)

- 1個FPR4110 (FXOS 2.1 (0.159)、FTD 6.1.0.330)

- 1個FPR2110 (FTD 6.2.1) （建置341）

- 1個FPR1150 (FTD 6.5.0)

- WS-C3750X-24 on15.2(4)E5

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。

背景資訊

本文件說明如何對 Firepower 設備（FPR1xxx、FPR21xx、FPR41xx、FPR93xx）的連接埠通道進行組態設定、驗證及疑難排解。文檔配置示例基於Firepower威脅防禦(FTD)，但許多概念（例如驗證和故障排除）也完全適用於自適應安全裝置(ASA)。

設定

FPR4100/FPR9300 的連接埠通道

網路圖表

從 FXOS 使用者介面設定連接埠通道 (FPR4100/FPR9300)

Firepower 設備的 FTD 連接埠通道是採用 FXOS 代碼加以管理。在 FPR4100/FPR9300 上，組態設定是透過 Firepower Chassis Manager 完成：

連接埠通道已關閉（失敗狀態），直到將其指派給邏輯裝置：

將連接埠通道指派給邏輯裝置：

結果：

主要重點：

- 在 FXOS 2.4.x 版本之前，FPR4100/FPR9300 僅支援 LACP（無「開啟」或「PAGP」模式）。從 FXOS 2.4.1.101 開始，資料和資料共用 EtherChannel 支援「模式開啟」。

- 請確保要增加到Port-Channel的介面尚未增加到邏輯裝置。如果是，則在增加Port-Channel時，它們不會顯示在介面中。

- 您無法啟用/停用個別的連接埠通道成員，只能啟用/停用連接埠通道本身。

- 不能刪除邏輯裝置使用的埠通道（例如，ASA或FTD）。您必須先將其解除關聯。

- 在您將連接埠通道指派給邏輯裝置之前，該連接埠通道不會啟動。如果從邏輯裝置移除 EtherChannel 或刪除邏輯裝置，則連接埠通道會還原為暫停狀態。

- 將連線到活動模式的交換機埠設定為最佳相容性。

交換機配置

設定交換器時，為了避免連接埠通道不穩定，建議您：

- 使用介面範圍命令。

- 在進行影響埠通道操作的更改之前（例如，如果埠通道模式已更改），請關閉埠通道介面成員。

範例

Switch(config)# interface range g1/0/2 - 3

Switch(config-if-range)# shutdown

Switch(config-if-range)# switchport trunk encapsulation dot1q

Switch(config-if-range)# switchport mode trunk

Switch(config-if-range)# channel-group 5 mode active

Switch(config-if-range)# no shutdown

註：請始終參閱交換機型號配置指南部分以瞭解其他詳細資訊。

從 FXOS CLI 設定連接埠通道 (FPR4100/FPR9300)

步驟 1.驗證已分配給FTD邏輯裝置的介面。

FP4110-7-A# scope ssa

FP4110-7-A /ssa # show logical-device

Logical Device:

Name       Description Slot ID    Mode       Oper State               Template Name

---------- ----------- ---------- ---------- ------------------------ -------------

mzafeiro_FTD                           1          Standalone Ok                       ftd

FP4110-7-A /ssa # scope logical-device mzafeiro_FTD

FP4110-7-A /ssa/logical-device # show external-port-link

External-Port Link:

Name            Port or Port Channel Name App Name   Description

--------------- ------------------------- ---------- -----------

Ethernet11_ftd  Ethernet1/1               ftd

Ethernet16_ftd  Ethernet1/6               ftd

步驟 2.驗證機箱介面。

FP4110-7-A# scope eth-uplink

FP4110-7-A /eth-uplink # scope fabric a

FP4110-7-A /eth-uplink/fabric # show interface

Interface:

Port Name       Port Type          Admin State Oper State       State Reason

--------------- ------------------ ----------- ---------------- ------------

Ethernet1/1     Mgmt               Enabled     Up

Ethernet1/2     Data               Disabled    Admin Down       Administratively down

Ethernet1/3     Data               Disabled    Admin Down       Administratively down

Ethernet1/4     Data               Disabled    Failed           SFP checksum error

Ethernet1/5     Data               Disabled    Sfp Not Present  Unknown

Ethernet1/6     Data               Disabled    Sfp Not Present  Unknown

Ethernet1/7     Data               Disabled    Sfp Not Present  Unknown

Ethernet1/8     Data               Disabled    Sfp Not Present  Unknown

Ethernet3/1     Data               Disabled    Admin Down       Administratively down

Ethernet3/2     Data               Disabled    Admin Down       Administratively down

Ethernet3/3     Data               Disabled    Admin Down       Administratively down

Ethernet3/4     Data               Disabled    Admin Down       Administratively down

Ethernet3/5     Data               Disabled    Admin Down       Administratively down

Ethernet3/6     Data               Disabled    Admin Down       Administratively down

FP4110-7-A /eth-uplink/fabric # show port-channel

Port Channel:

Port Channel Id Name             Port Type          Admin State Oper State     State Reason

--------------- ---------------- ------------------ ----------- ---------------- ------------

48              Port-channel48   Cluster            Disabled    Admin Down     Administratively down

步驟 3.建立Port-Channel。

bsns-4110-2-A# scope eth-uplink

bsns-4110-2-A /eth-uplink # scope fabric a

bsns-4110-2-A /eth-uplink/fabric # create port-channel 15

bsns-4110-2-A /eth-uplink/fabric/port-channel* # create member-port Ethernet1/5

bsns-4110-2-A /eth-uplink/fabric/port-channel/member-port* # exit

bsns-4110-2-A /eth-uplink/fabric/port-channel* # create member-port Ethernet1/6

bsns-4110-2-A /eth-uplink/fabric/port-channel/member-port* # exit

bsns-4110-2-A /eth-uplink/fabric/port-channel* # set port-type data

bsns-4110-2-A /eth-uplink/fabric/port-channel* # set speed 1gbps

bsns-4110-2-A /eth-uplink/fabric/port-channel* # enable

bsns-4110-2-A /eth-uplink/fabric/port-channel* # commit-buffer

步驟 4.將介面指派給FTD邏輯裝置：

FP4110-7-A# scope ssa

FP4110-7-A /ssa # scope logical-device mzafeiro_FTD

FP4110-7-A /ssa/logical-device # create external-port-link PC15_ftd Port-channel15 ftd

FP4110-7-A /ssa/logical-device/external-port-link* # commit-buffer

FP4110-7-A /ssa/logical-device/external-port-link #

驗證

FP4110-7-A# scope ssa

FP4110-7-A /ssa # scope logical-device mzafeiro_FTD

FP4110-7-A /ssa/logical-device # show external-port-link

External-Port Link:

Name            Port or Port Channel Name App Name   Description

--------------- ------------------------- ---------- -----------

Ethernet11_ftd  Ethernet1/1               ftd

Ethernet16_ftd  Ethernet1/6               ftd

PC15_ftd        Port-channel15            ftd

FP4110-7-A# scope eth-uplink

FP4110-7-A /eth-uplink # scope fabric a

FP4110-7-A /eth-uplink/fabric # show port-channel

Port Channel:

Port Channel Id Name             Port Type          Admin State Oper State     State Reason

--------------- ---------------- ------------------ ----------- ---------------- ------------

15              Port-channel15   Data               Enabled     Up

48              Port-channel48   Cluster            Disabled    Admin Down     Administratively down

FP4110-7-A /eth-uplink/fabric # enter port-channel 15

FP4110-7-A /eth-uplink/fabric/port-channel # show member-port

Member Port:

Port Name       Membership         Oper State       State Reason

--------------- ------------------ ---------------- ------------

Ethernet1/2     Up                 Up

Ethernet1/3     Up                 Up

從FXOS CLI (FPR4100/FPR9300)刪除Port-Channel。

FP4110-7-A# scope eth-uplink

FP4110-7-A /eth-uplink # scope fabric a

FP4110-7-A  /eth-uplink/fabric # delete port-channel 15

FP4110-7-A /eth-uplink/fabric* # commit-buffer

FPR21xx/FPR1xxx 的連接埠通道

網路圖表

FPR21xx/FPR1xxx 設備的 FTD 連接埠通道是採用 FXOS 代碼加以管理，但組態設定是從 FMC 完成，因為 FTD 和 FXOS 代碼已內建於單一軟體套件中：

從「進階」標籤設定模式（LACP「主動」或「開啟」）：

從「硬體組態」標籤設定「雙工」和「速度」設定：

注意：在FPR2100上，除非將ASA用作邏輯裝置，否則不能從FXOS CLI建立埠通道。在ASA 9.13.x之後，僅在平台模式下會出現這種情況。在「設備模式」（11xx/21xx）下沒有 FCM，且所有介面組態設定都是直接在 ASA CLI 中執行。

Fp2110 /eth-uplink/fabric* # create port-channel 16

Fp2110 /eth-uplink/fabric/port-channel* # create member-port Ethernet1/10

Fp2110 /eth-uplink/fabric/port-channel/member-port* # exit

Fp2110 /eth-uplink/fabric/port-channel* # create member-port Ethernet1/11

Fp2110 /eth-uplink/fabric/port-channel/member-port* # exit

Fp2110 /eth-uplink/fabric/port-channel* # commit-buffer

Error: Changes not allowed. use: 'connect ftd' to make changes.

如果實體介面已關閉，而您想要將其啟用，請執行下列動作：

firepower-2110# scope eth-uplink

firepower-2110 /eth-uplink # scope fabric a

firepower-2110 /eth-uplink/fabric # show interface

Interface:

Port Name      Port Type          Admin State Oper State       State Reason

-------------- ------------------ ----------- ---------------- ------------

Ethernet1/3    Data               Enabled     Up               Up

Ethernet1/4    Data               Disabled    Link Down        Down

Ethernet1/5    Data               Disabled    Link Down        Down

Ethernet1/6    Data               Disabled    Link Down        Down

Ethernet1/7    Data               Disabled    Link Down        Down

Ethernet1/8    Data               Disabled    Link Down        Down

Ethernet1/9    Data               Disabled    Link Down        Down

Ethernet1/10   Data               Disabled    Link Down        Down

Ethernet1/11   Data               Disabled    Link Down        Down

Ethernet1/12   Data               Disabled    Link Down        Down

Ethernet1/13   Data               Disabled    Link Down        Down

Ethernet1/14   Data               Disabled    Link Down        Down

Ethernet1/15   Data               Disabled    Link Down        Down

Ethernet1/16   Data               Disabled    Link Down        Down

firepower-2110 /eth-uplink/fabric # enter interface Ethernet1/4

firepower-2110 /eth-uplink/fabric/interface # show

Interface:

Port Name      Port Type          Admin State Oper State       State Reason

-------------- ------------------ ----------- ---------------- ------------

Ethernet1/4    Data               Disabled    Link Down        Down

firepower-2110 /eth-uplink/fabric/interface # enable

firepower-2110 /eth-uplink/fabric/interface* # commit-buffer

firepower-2110 /eth-uplink/fabric/interface # show

Interface:

Port Name      Port Type          Admin State Oper State       State Reason

-------------- ------------------ ----------- ---------------- ------------

Ethernet1/4    Data               Enabled     Link Down        Down

firepower-2110 /eth-uplink/fabric/interface #

FDM 組態

請考慮使用此拓樸：

您可以從6.5軟體版本開始設定使用FDM的EtherChannel介面。導覽至「裝置」>「介面」>「EtherChannel」，然後新增 EtherChannel。由於 EtherChannel 在此案例中為主幹，因此請指定 EtherChannel ID，將其啟用 （狀態），然後新增成員。EtherChannel 支援 LACP「主動」和「模式開啟」（無 LACP）。在此案例中，已設定 LACP「主動」模式。

新增子介面：

結果：

部署預期的變更。

驗證

驗證 FPR4100/FPR9300 的連接埠通道

網路圖表

FTD（或 ASA）未察覺到連接埠通道個別成員。在 FMC 上設定邏輯介面（子介面）：

> system support diagnostic-cli

firepower# show interface ip brief

Interface                  IP-Address      OK? Method Status                Protocol

Internal-Data0/0           unassigned      YES unset  up                    up

Internal-Data0/1           unassigned      YES unset  up                    up

Internal-Data0/2           169.254.1.1     YES unset  up                    up

Port-channel15             unassigned      YES unset  up                    up

firepower# show nameif

Interface                Name                     Security

Port-channel15           INSIDE                     0

Ethernet1/1              diagnostic                 0

firepower# show interface Port-channel15 detail

Interface Port-channel15 "INSIDE", is up, line protocol is up

Hardware is EtherSVI, BW 20000 Mbps, DLY 1000 usec

MAC address 2c33.118e.07de, MTU 1500

IP address unassigned

Traffic Statistics for "INSIDE":

6767 packets input, 566328 bytes

0 packets output, 0 bytes

6736 packets dropped

1 minute input rate 4 pkts/sec,  375 bytes/sec

1 minute output rate 0 pkts/sec,  0 bytes/sec

1 minute drop rate, 4 pkts/sec

5 minute input rate 4 pkts/sec,  401 bytes/sec

5 minute output rate 0 pkts/sec,  0 bytes/sec

5 minute drop rate, 4 pkts/sec

Control Point Interface States:

Interface number is 6

Interface config status is active

Interface state is active

要檢查Port-Channel及其成員的狀態，請導航到FXOS模式：

FP4110-7-A# connect fxos

FP4110-7-A(fxos)# show port-channel summary

Flags:  D - Down        P - Up in port-channel (members)

I - Individual  H - Hot-standby (LACP only)

s - Suspended   r - Module-removed

S - Switched    R - Routed

U - Up (port-channel)

M - Not in use. Min-links not met

--------------------------------------------------------------------------------

Group Port-       Type     Protocol  Member Ports

Channel

--------------------------------------------------------------------------------

15    Po15(SU)    Eth      LACP      Eth1/2(P)    Eth1/3(P)

48    Po48(SD)    Eth      NONE      --

若要檢視連接埠通道的狀態以及最後的狀態記錄：

FP4110-7-A(fxos)# show port-channel database

port-channel15

Last membership update is successful

2 ports in total, 2 ports up

First operational port is Ethernet1/3

Age of the port-channel is 0d:00h:35m:00s

Time since last bundle is 0d:00h:34m:56s

Last bundled member is Ethernet1/3

Ports:   Ethernet1/2     [active ] [up]

Ethernet1/3     [active ] [up] *

port-channel48

Last membership update is successful

0 ports in total, 0 ports up

Age of the port-channel is 5d:06h:35m:27s

若要檢查連接埠通道介面成員之間的的流量分佈：

FP4110-7-A(fxos)# show port-channel traffic

ChanId      Port Rx-Ucst Tx-Ucst Rx-Mcst Tx-Mcst Rx-Bcst Tx-Bcst

------ --------- ------- ------- ------- ------- ------- -------

15    Eth1/2  20.83%  49.71%  17.75%  43.67%  20.11%  49.94%

15    Eth1/3  79.16%  50.28%  82.24%  56.32%  79.88%  50.05%

LACP 相鄰驗證

FP4110-7-A(fxos)# show lacp neighbor

Flags:  S - Device is sending Slow LACPDUs F - Device is sending Fast LACPDUs

A - Device is in Active mode       P - Device is in Passive mode

port-channel15 neighbors

Partner's information

Partner                Partner                     Partner

Port        System ID              Port Number     Age         Flags

Eth1/2      32768,28-6f-7f-ec-59-800x103           1984        FA

LACP Partner           Partner                     Partner

Port Priority          Oper Key                    Port State

32768                  0x5                         0x3f

Partner's information

Partner                Partner                     Partner

Port        System ID              Port Number     Age         Flags

Eth1/3      32768,28-6f-7f-ec-59-800x104           2221        FA

LACP Partner           Partner                     Partner

Port Priority          Oper Key                    Port State

32768                  0x5                         0x3f

Partner Oper Key 0x5 =交換機配置有埠通道ID 5。

在交換器上：

Switch# show lacp neighbor

Flags:  S - Device is requesting Slow LACPDUs

F - Device is requesting Fast LACPDUs

A - Device is in Active mode       P - Device is in Passive mode

Channel group 5 neighbors

Partner's information:

LACP port                        Admin  Oper   Port    Port

Port      Flags   Priority  Dev ID          Age    key    Key    Number  State

Gi1/0/2   FA      32768     2c33.118e.07b3   0s    0x0    0xE    0x42    0x3F

Gi1/0/3   FA      32768     2c33.118e.07b3   0s    0x0    0xE    0x43    0x3F

注意：在相鄰交換機上，儘管FXOS配置了Port-Channel ID 15，但Partner Oper Key顯示為0xE (14)。

Wireshark 中的 LACP 封包擷取：

合作夥伴狀態

狀態

已到期

已預設

已發佈

已收集

同步

彙總

LACP 逾時

LACP 活動

價值

0

0

1

1

1

1

1

1

十六進位

3

思

驗證 FPR21xx/FPR1xxx 的連接埠通道

網路圖表

連接埠通道基本驗證

> connect fxos

FP2110-2# connect local-mgmt

FP2110-2(local-mgmt)# show portchannel summary

Flags:  D - Down        P - Up in port-channel (members)

I - Individual  H - Hot-standby (LACP only)

s - Suspended   r - Module-removed

S - Switched    R - Routed

U - Up (port-channel)

M - Not in use. Min-links not met

--------------------------------------------------------------------------------

Group Port-       Type     Protocol  Member Ports

Channel

--------------------------------------------------------------------------------

11    Po11(U)     Eth      LACP      Eth1/1(P)    Eth1/2(P)

其他驗證：

FP2110-2# scope eth-uplink

FP2110-2 /eth-uplink # scope fabric a

FP2110-2 /eth-uplink/fabric # show port-channel

Port Channel:

Port Channel Id Name             Port Type          Admin State Oper State       State Reason

--------------- ---------------- ------------------ ----------- ---------------- ------------

11              Port-channel11   Data               Enabled     Up               Up

驗證連接埠通道詳細資料：

FP2110-2 /eth-uplink/fabric # show port-channel detail

Port Channel:

Port Channel Id: 11

Name: Port-channel11

Port Type: Data

Description:

Admin State: Enabled

Oper State: Up

Auto negotiation: Yes

Speed: 1 Gbps

Duplex: Full Duplex

Oper Speed: 1 Gbps

Band Width (Gbps): 2

State Reason: Up

flow control policy: default

LACP policy name: default

oper LACP policy name: org-root/lacp-default

Lacp Mode: Active

Inline Pair Admin State: Enabled

Inline Pair Peer Port Name:

驗證連接埠通道成員詳細資料：

FP2110-2# scope eth-uplink

FP2110-2 /eth-uplink # scope fabric a

FP2110-2 /eth-uplink/fabric # scope port-channel 11

FP2110-2 /eth-uplink/fabric/port-channel # show member-port

Member Port:

Port Name       Membership         Oper State       State Reason

--------------- ------------------ ---------------- ------------

Ethernet1/1     Up                 Up               Up

Ethernet1/2     Up                 Up               Up

成員連接埠詳細資料：

FP2110-2 /eth-uplink/fabric/port-channel # show member-port detail

Member Port:

Port Name: Ethernet1/1

Membership: Up

Oper State: Up

State Reason: Up

Ethernet Link Profile name: default

Oper Ethernet Link Profile name: fabric/lan/eth-link-prof-default

Udld Oper State: Unknown

Current Task:

Port Name: Ethernet1/2

Membership: Up

Oper State: Up

State Reason: Up

Ethernet Link Profile name: default

Oper Ethernet Link Profile name: fabric/lan/eth-link-prof-default

Udld Oper State: Unknown

Current Task:

LACP 驗證

FP2110-2(local-mgmt)# show lacp neighbor

Flags:  S - Device is requesting Slow LACPDUs

F - Device is requesting Fast LACPDUs

A - Device is in Active mode       P - Device is in Passive mode

Channel group: 11

Partner (internal) information:

Partner                 Partner                       Partner

Port      System ID             Port Number     Age         Flags

Eth1/1    32768,286f.7fec.5980  0x10e           13 s        FA <-- the peer is requesting Fast Rate

LACP Partner           Partner           Partner

Port Priority        Oper Key        Port State

32768                0x16            0x3f

Port State Flags Decode:

Activity:   Timeout:   Aggregation:   Synchronization:

Active      Long       Yes            Yes

Collected:   Distributing:   Defaulted:   Expired:

Yes           Yes             No           No

Partner                 Partner                       Partner

Port      System ID             Port Number     Age         Flags

Eth1/2    32768,286f.7fec.5980  0x10f           5  s        FA <-- the peer is requesting Fast Rate

LACP Partner           Partner           Partner

Port Priority        Oper Key        Port State

32768                0x16            0x3f

Port State Flags Decode:

Activity:   Timeout:   Aggregation:   Synchronization:

Active      Long       Yes            Yes

Collected:   Distributing:   Defaulted:   Expired:

Yes           Yes             No           No

註：在FPR21xx/FPR1xxx上，預設LACP速率是「慢」且無法更改。

LACP 計數器

FP2110-2(local-mgmt)# show lacp counters

LACPDUs         Marker      Marker Response    LACPDUs

Port       Sent   Recv     Sent   Recv    Sent    Recv      Pkts Err

---------------------------------------------------------------------

Channel group: 11

Eth1/1     4435   3532     0      0        0      0         0

Eth1/2     4566   3532     0      0        0      0         0

FP2110-2(local-mgmt)# show lacp counters

LACPDUs         Marker      Marker Response    LACPDUs

Port       Sent   Recv     Sent   Recv    Sent    Recv      Pkts Err

---------------------------------------------------------------------

Channel group: 11

Eth1/1     4436   3532     0      0        0      0         0

Eth1/2     4567   3532     0      0        0      0         0

FPR2100 介面驗證

如何將實體介面對應到 FPR2100 內部交換器：

介面

FPR2110/FPR2120 的內部交換器

FPR2130/FPR2140 的內部交換器

E1/1

1

1

E1/2

0

0

E1/3

3

3

E1/4

2

2

E1/5

5

5

E1/6

4

4

E1/7

7

7

E1/8

6

6

E1/9

9

49

E1/10

8

48

E1/11

11

51

E1/12

10

50

E1/13

12

59

E1/14

13

58

E1/15

14

57

E1/16

15

56

E2/1

-

70

E2/2

-

71

E2/3

-

69

E2/4

-

68

E2/5

-

66

E2/6

-

67

E2/7

-

65

E2/8

-

64

驗證實體介面狀態：

FP2110-2(local-mgmt)# show portmanager port-info ethernet 1 1

port_info:

if_index:    0x1081000

type:        PORTMGR_IPC_MSG_PORT_TYPE_PHYSICAL

mac_address: 70:df:2f:18:d8:04

flowctl:     PORTMGR_IPC_MSG_FLOWCTL_NONE

role:        PORTMGR_IPC_MSG_PORT_ROLE_NPU

admin_state: PORTMGR_IPC_MSG_PORT_STATE_ENABLED

oper_state:  PORTMGR_IPC_MSG_PORT_STATE_UP

admin_speed: PORTMGR_IPC_MSG_SPEED_AUTO

oper_speed:  PORTMGR_IPC_MSG_SPEED_1GB

admin_mtu:   9216

admin_duplex: PORTMGR_IPC_MSG_PORT_DUPLEX_FULL

oper_duplex: PORTMGR_IPC_MSG_PORT_DUPLEX_FULL

pc_if_index: 0x200000b

pc_membership_status: PORTMGR_IPC_MSG_MMBR_UP

pc_protocol: PORTMGR_IPC_MSG_PORT_CHANNEL_PRTCL_LACP_ACTIVE

native_vlan: 1011

num_allowed_vlan: 1

allowed_vlan[0]: 1011

實體介面計數器：

FP2110-2(local-mgmt)# show portmanager counters ethernet 1 1

Good Octets Received                              : 2692986

Bad Octets Received                               : 0

MAC Transmit Error                                : 0

Good Packets Received                             : 37038

Bad Packets Received                              : 0

BRDC Packets Received                             : 22290

MC Packets Received                               : 12538

Size 64                                           : 34193

Size 65 to 127                                    : 1531

Size 128 to 255                                   : 1515

Size 256 to 511                                   : 374

Size 512 to 1023                                  : 95

Size 1024 to Max                                  : 0

Good Octets Sent                                  : 87296

Good Packets Sent                                 : 682

Excessive Collision                               : 0

MC Packets Sent                                   : 682

BRDC Packets Sent                                 : 0

Unrecognized MAC Received                         : 0

FC Sent                                           : 0

Good FC Received                                  : 0

Drop Events                                       : 0

Undersize Packets                                 : 0

Fragments Packets                                 : 0

Oversize Packets                                  : 0

Jabber Packets                                    : 0

MAC RX Error Packets Received                     : 0

Bad CRC                                           : 0

Collisions                                        : 0

FPR2100 內部交換器 MAC 資料表。

註：01:80：C2:00:00:02 = LACP

FP2110-2(local-mgmt)# show portmanager switch mac-filters

port ix          MAC                mask        action      packets       bytes

00   03e  70:DF:2F:18:D8:05  FF:FF:FF:FF:FF:FF  FORWARD

043  01:80:C2:00:00:02  FF:FF:FF:FF:FF:FF  FORWARD         687       87936

044  70:DF:2F:18:D8:2D  FF:FF:FF:FF:FF:FF  FORWARD

045  FF:FF:FF:FF:FF:FF  FF:FF:FF:FF:FF:FF  FORWARD        5501      385360

3d0  00:00:00:00:00:00  01:00:00:00:00:00  DROP           2101      141426

3e8  01:00:00:00:00:00  01:00:00:00:00:00  DROP           7946     1524820

01   03f  70:DF:2F:18:D8:04  FF:FF:FF:FF:FF:FF  FORWARD

040  01:80:C2:00:00:02  FF:FF:FF:FF:FF:FF  FORWARD         687       87936

041  70:DF:2F:18:D8:2D  FF:FF:FF:FF:FF:FF  FORWARD

042  FF:FF:FF:FF:FF:FF  FF:FF:FF:FF:FF:FF  FORWARD       22351     1451504

3d1  00:00:00:00:00:00  01:00:00:00:00:00  DROP           2215      154542

3e9  01:00:00:00:00:00  01:00:00:00:00:00  DROP          11886     1006067

02   03c  70:DF:2F:18:D8:07  FF:FF:FF:FF:FF:FF  FORWARD

049  01:80:C2:00:00:02  FF:FF:FF:FF:FF:FF  FORWARD

04a  70:DF:2F:18:D8:6D  FF:FF:FF:FF:FF:FF  FORWARD

04b  FF:FF:FF:FF:FF:FF  FF:FF:FF:FF:FF:FF  FORWARD

3d2  00:00:00:00:00:00  01:00:00:00:00:00  DROP

3ea  01:00:00:00:00:00  01:00:00:00:00:00  DROP

連接埠 e1/1 和 e1/2 對應到內部交換器的 0/0 和 0/1：

FP2110-2(local-mgmt)# show portmanager switch status

Dev/Port         Mode        Link   Speed  Duplex  Loopback Mode

---------  ----------------  -----  -----  ------  -------------

0/0             QSGMII        Up     1G     Full    None

0/1             QSGMII        Up     1G     Full    None

0/2             QSGMII       Down    1G     Half    None

0/3             QSGMII       Down    1G     Half    None

0/4             QSGMII       Down    1G     Half    None

0/5             QSGMII       Down    1G     Half    None

0/6             QSGMII       Down    1G     Half    None

0/7             QSGMII       Down    1G     Half    None

0/8             QSGMII       Down    1G     Half    None

0/9             QSGMII       Down    1G     Half    None

0/10            QSGMII       Down    1G     Half    None

0/11            QSGMII       Down    1G     Half    None

0/12            QSGMII       Down    10     Half    None

0/13            QSGMII       Down    10     Half    None

0/14            QSGMII       Down    10     Half    None

0/15            QSGMII       Down    10     Half    None

0/16             n/a         Down    n/a    Full    N/A

0/17             n/a         Down    n/a    Full    N/A

0/18             n/a         Down    n/a    Full    N/A

0/19             n/a         Down    n/a    Full    N/A

0/20             n/a         Down    n/a    Full    N/A

0/21             n/a         Down    n/a    Full    N/A

0/22             n/a         Down    n/a    Full    N/A

0/23             n/a         Down    n/a    Full    N/A

0/24              KR          Up     10G    Full    None

0/25              KR          Up     10G    Full    None

0/26              KR         Down    10G    Full    None

0/27              KR          Up     10G    Full    None

疑難排解

LACP 概觀

LACP事實：

- IEEE 標準（802.3ad） 連結彙總控制通訊協定 (LACP) 是用於連接埠通道交涉的 L2 通訊協定。

- LACP 使用目的地 MAC 0180.c200.0002 和乙太網路類型 0x8809。

- Firepower 設備僅支援「LACP」和「模式開啟」（無 LACP）（在 2.4.x FXOS 版本中，已在 FP4100/FP9300 上新增「模式開啟」）。

- 您可以在其中一個模式（「主動」或「被動」）下設定 LACP。FXOS 一律使用「主動」模式。

- LACP 的主要目的是防止連接埠通道組態設定錯誤。

- 為了讓 LACP PC 啟動，連接埠介面成員中的「速度」/「雙工」設定必須相同。在 FXOS 上，您要將速度設定在連接埠通道層級。

- LACP 執行者 = 本機裝置

- LACP 合作夥伴 = 遠端裝置

- 每台裝置都有一個LACP系統ID，通常為機箱的MAC。系統會在每個 LACP 封包內傳送 LACP 系統 ID。

- 每個 LACP 封包的大小約為 110 位元組。

- LACP 可以在「快速」或「慢速」（正常）速率下運作。如果是 FXOS，預設值為「快速」（1xxx/21xx 除外，這些型號一律為「慢速」），但也可以設定為「慢速」。交換器端的 LACP 模式取決於使用的交換器型號和軟體。舉例來說，從 15.2(4)E 開始，Cat3750 支援「慢速」和「快速」。請查看交換器確認指南瞭解詳細資料。

- 在LACP檢測週期中，無論LACP速率如何，LACP都每1秒傳送一次。介面啟動後，LACP 速率只會影響 LACP 存留間隔。

LACP保持連線的優點

在遠端介面不再運作但仍處於啟動狀態（未偵測到任何直接失敗）的情況下，LACP 存留相當實用。這可能是驅動程式/L2問題，或者路徑中有些裝置（例如IPS）不允許偵測遠端連結失敗。LACP Keepalive的對等速率超時為x 3。例如，如果遠端對等體每隔1秒傳送一次，則當在3秒內未收到LACP資料包時，本地裝置會宣告遠端對等體關閉。在「慢速」情況下，則此時間為 90 秒之後。

Wireshark 中顯示的所有 LACP 封包欄位:

注意：當FTD上的連線埠通道終止時，FXOS擷取不會顯示LACP封包（輸入或輸出）。

LACP 快速與慢速

一般而言，建議在兩端使用「快速」（4100/9300 上的 FXOS 預設為使用「快速」，FPR2100 上的預設 LACP 傳送速率為「慢速」）。快速的 LACP 速率可以提高連接埠通道連結速度。

FXOS 設定為「慢速」

FXOS 設定為「快速」

交換器設定為「慢速」

交換器要求「慢速」

FXOS 要求「慢速」

交換器每 30 秒傳送 1 個 LACP

FXOS 每 30 秒傳送 1 個 LACP

交換器要求「慢速」

FXOS 要求「快速」

交換器每秒傳送 1 個 LACP

FXOS 每 30 秒傳送 1 個 LACP

交換器設定為「快速」

交換器要求「快速」

FXOS 要求「慢速」

交換器每 30 秒傳送 1 個 LACP

FXOS 每秒傳送 1 個 LACP

交換器要求「快速」

FXOS 要求「快速」

交換器每秒傳送 1 個 LACP

FXOS 每秒傳送 1 個 LACP

若要在 FXOS (41xx/93xx) 上設定 LACP 模式：

KSEC-FPR4100-1# scope org

KSEC-FPR4100-1 /org # show lacppolicy

LACP policy:

Name       LACP rate

---------- ---------

default    Fast

KSEC-FPR4100-1 /org # scope lacppolicy default

KSEC-FPR4100-1 /org/lacppolicy # set lacp-rate

fast    lacp rate fast

normal  lacp rate normal

對 FPR4100/FPR9300 的連接埠通道進行疑難排解

網路圖表

FPR4100 和 FPR9300 機箱包含連接埠通道已終止的內部交換器。由於內部交換器與 Nexus 5K 類似且 FXOS 僅支援 LACP，因此疑難排解方法與 Nexus 5K 類似。

檢查1 -驗證埠通道狀態。

FP4110-7-A(fxos)# show port-channel summary

Flags:  D - Down        P - Up in port-channel (members)

I - Individual  H - Hot-standby (LACP only)

s - Suspended   r - Module-removed

S - Switched    R - Routed

U - Up (port-channel)

M - Not in use. Min-links not met

--------------------------------------------------------------------------------

Group Port-       Type     Protocol  Member Ports

Channel

--------------------------------------------------------------------------------

15    Po15(SU)    Eth      LACP      Eth1/2(P)    Eth1/3(P)

確認 FXOS 介面狀態：

FP4110-7-A(fxos)# show interface brief

--------------------------------------------------------------------------------

Ethernet      VLAN   Type Mode   Status  Reason                   Speed     Port

Interface                                                                   Ch #

--------------------------------------------------------------------------------

Eth1/1        1       eth  1qtunl up      none                       1000(D) --

Eth1/2        1       eth  1qtunl up      none                       1000(D) 15

Eth1/3        1       eth  1qtunl up      none                       1000(D) 15

Eth1/4        1       eth  1qtunl down    SFP not inserted            10G(D) --

Eth1/5        1       eth  1qtunl down    Administratively down      1000(D) --

Eth1/6        1       eth  1qtunl down    Administratively down      1000(D) --

Eth1/7        1       eth  1qtunl down    Administratively down       10G(D) --

Eth1/8        1       eth  1qtunl down    SFP not inserted            10G(D) --

Eth1/9        1       eth  vntag  up      none                        40G(D) --

Eth1/10       1       eth  access down    Administratively down       40G(D) --

Eth1/11       1       eth  access down    Administratively down      1000(D) --

Eth1/12       1       eth  access down    Administratively down      1000(D) --

檢查2 -驗證FXOS是否傳送和接收LACP（運行該命令幾次）。

FP4110-7-A(fxos)# show lacp counters interface port-channel 15

LACPDUs         Marker      Marker Response    LACPDUs

Port              Sent   Recv     Sent   Recv     Sent   Recv      Pkts Err

---------------------------------------------------------------------

port-channel15

Ethernet1/2        223019 207280   0      0        0      0        0

Ethernet1/3        296532 207744   0      0        0      0        0

確認與交換器是否相同：

Switch# show lacp 5 counters

LACPDUs         Marker      Marker Response    LACPDUs

Port       Sent   Recv     Sent   Recv     Sent   Recv      Pkts Err

---------------------------------------------------------------------

Channel group: 5

Gi1/0/2     627    596      0      0        0      0         0

Gi1/0/3     623    593      0      0        0      0         0

確認個別 FXOS 介面的 LACP 詳細資料：

FP4110-7-A(fxos)# show lacp interface ethernet 1/2

Interface Ethernet1/2 is up

Channel group is 15 port channel is Po15

PDUs sent: 222828

PDUs rcvd: 207074

Markers sent: 0

Markers rcvd: 0

Marker response sent: 0

Marker response rcvd: 0

Unknown packets rcvd: 0

Illegal packets rcvd: 0

Lag Id: [ [(8000, 28-6f-7f-ec-59-80, 5, 8000, 103), (8000, 2c-33-11-8e-7-b3, e,

8000, 42)] ]

Operational as aggregated link since Tue Oct 31 19:14:57 2017

Local Port: Eth1/2   MAC Address= 2c-33-11-8e-7-b3

System Identifier=0x8000,2c-33-11-8e-7-b3

Port Identifier=0x8000,0x42

Operational key=14

LACP_Activity=active

LACP_Timeout=Short Timeout (1s)

Synchronization=IN_SYNC

Collected=true

Distributing=true

檢查3 -檢驗本地和遠端裝置的LACP ID。

FP4110-7-A(fxos)# show lacp port-channel interface port-channel 15

port-channel15

System Mac=2c-33-11-8e-7-b3

Local System Identifier=0x8000,2c-33-11-8e-7-b3

Admin key=0xe

Operational key=0xe

Partner System Identifier=0x8000,28-6f-7f-ec-59-80

Operational key=0x5

Max delay=0

Aggregate or individual=1

Member Port List=

檢查4 （可選） -收集此輸出（可供Cisco TAC使用）。

FP4110-7-A(fxos)# show lacp internal event-history errors

1) Event:E_DEBUG, length:74, at 574387 usecs after Tue Oct 31 19:14:57 2017

[102] lacp_proto_set_ntt(1780): Restarting periodic tx timer in 0x210 msecs

2) Event:E_DEBUG, length:467, at 544757 usecs after Tue Oct 31 19:14:57 2017

[102] lacp_ac_init_port_channel_member(1660): TYPE1 UPDATE lacp_ac_init_port

_channel_member port-channel port-channel15(0x1600000e) lacp_mcec_type1_upd_sent

...

檢查 5 – 檢查有問題之特定連接埠的 LACP FSM 轉換。顯示的消息中最早的顯示在輸出頂部。

FP4110-7-A(fxos)# show lacp internal event-history interface ethernet 1/2

>>>>FSM: <Ethernet1/2> has 975 logged transitions<<<<<

1) FSM:<Ethernet1/2> Transition at 257150 usecs after Sun Oct 29 12:35:16 2017

Previous state: [LACP_ST_WAIT_FOR_HW_TO_PROGRAM_RECEIVE_PATH]

Triggered event: [LACP_EV_PORT_RECEIVE_PATH_ENABLED_AS_CHANNEL_MEMBER_MESSAGE]

Next state: [LACP_ST_PORT_MEMBER_RECEIVE_ENABLED]

...

4) FSM:<Ethernet1/2> Transition at 966987 usecs after Sun Oct 29 12:35:19 2017

Previous state: [LACP_ST_PORT_MEMBER_COLLECTING_AND_DISTRIBUTING_ENABLED]

Triggered event: [LACP_EV_PARTNER_PDU_IN_SYNC] <--- Good (Received LACP with ‘Synchronization = 1’

Next state: [LACP_ST_PORT_IS_DOWN_OR_LACP_IS_DISABLED]

...

207) FSM:<Ethernet1/4> Transition at 482767 usecs after Sun Oct 29 13:18:40 2017

Previous state: [LACP_ST_ATTACHED_TO_AGGREGATOR]

Triggered event: [LACP_EV_PARTNER_PDU_OUT_OF_SYNC]

Next state: [FSM_ST_NO_CHANGE]

208) FSM:<Ethernet1/4> Transition at 363720 usecs after Sun Oct 29 13:18:41 2017

Previous state: [LACP_ST_ATTACHED_TO_AGGREGATOR]

Triggered event: [LACP_EV_PARTNER_PDU_OUT_OF_SYNC] <--- Bad (Received LACP with ‘Synchronization = 0’

Next state: [FSM_ST_NO_CHANGE]

檢查6 -收集埠通道事件歷史記錄（可供Cisco TAC使用）。

FP4110-7-A(fxos)# show port-channel internal event-history all

Low Priority Pending  queue: len(0), max len(1) [Tue Oct 31 19:37:03 2017] High Priority Pending queue: len(0), max len(12) [Tue Oct 31 19:37:03 2017] PCM Control Block info: pcm_max_channels : 4096 pcm_max_channel_in_use : 48 pc count : 2 hif-pc count : 0 Max PC Cnt : 104 Load-defer timeout : 120 ==================================================== PORT CHANNELS: 2LvPC PO in system : 0 port-channel15 channel : 15 bundle : 65535 ... >>>>FSM: <eth-port-channel 15> has 66 logged transitions<<<<< 1) FSM:<eth-port-channel 15> Transition at 174796 usecs after Tue Oct 31 18:05:0 8 2017 Previous state: [PCM_PC_ST_INIT] Triggered event: [PCM_PC_EV_CREATE_INIT] Next state: [FSM_ST_NO_CHANGE] 2) Event:ESQ_START length:38, at 174810 usecs after Tue Oct 31 18:05:08 2017 Instance:369098766, Seq Id:0x1, Ret:SUCCESS Seq Type:SERIAL ...

對 FPR21xx/FPR1xxx 的連接埠通道進行疑難排解

網路圖表

檢查1。在使用LACP的情況下，驗證LACP計數器。

您會看到兩端（交換器和 FXOS）傳送和接收：

FP2110-2(local-mgmt)# show lacp counters

LACPDUs         Marker      Marker Response    LACPDUs

Port       Sent   Recv     Sent   Recv    Sent    Recv      Pkts Err

---------------------------------------------------------------------

Channel group: 11

Eth1/1     4435   3532     0      0        0      0         0

Eth1/2     4566   3532     0      0        0      0         0

另一種確認相同的方法：

FP2110-2(local-mgmt)# show pktmgr counters

Ports           Tx        Tx        Tx        Rx      Rx        Rx        Rx

Packets     Drops     Bytes   Packets   Drops     Bytes  Forwards

----------------------------------------------------------------------------

Eth1/1       4575         0    567300      3537       0    452736      3537 < LACP PDUs forwarded internally to LACP process

Eth1/2       4706         0    583544      3537       0    452736      3537 < LACP PDUs forwarded internally to LACP process

Eth1/3          0         0         0         0       0         0         0

Eth1/4          0         0         0         0       0         0         0

Eth1/5          0         0         0         0       0         0         0

Eth1/6          0         0         0         0       0         0         0

Eth1/7          0         0         0         0       0         0         0

Eth1/8          0         0         0         0       0         0         0

Eth1/9          0         0         0         0       0         0         0

Eth1/10         0         0         0         0       0         0         0

Eth1/11         0         0         0         0       0         0         0

Eth1/12         0         0         0         0       0         0         0

Eth1/13         0         0         0         0       0         0         0

Eth1/14         0         0         0         0       0         0         0

Eth1/15         0         0         0         0       0         0         0

Eth1/16         0         0         0         0       0         0         0

Misc.           0         0         0         0       0         0       n/a

檢查2。檢驗上游交換機狀態。

FP2110-2(local-mgmt)# show lacp neighbor

Flags:  S - Device is requesting Slow LACPDUs

F - Device is requesting Fast LACPDUs

A - Device is in Active mode       P - Device is in Passive mode

Channel group: 11

Partner (internal) information:

Partner                 Partner                       Partner

Port      System ID             Port Number     Age         Flags

Eth1/1    32768,286f.7fec.5980  0x10e           9  s        FA

LACP Partner           Partner           Partner

Port Priority        Oper Key        Port State

32768                0x16            0x3f

Port State Flags Decode:

Activity:   Timeout:   Aggregation:   Synchronization:

Active      Long       Yes            Yes

Collected:   Distributing:   Defaulted:   Expired:

Yes           Yes             No           No

Partner                 Partner                       Partner

Port      System ID             Port Number     Age         Flags

Eth1/2    32768,286f.7fec.5980  0x10f           24 s        FA

LACP Partner           Partner           Partner

Port Priority        Oper Key        Port State

32768                0x16            0x3f

Port State Flags Decode:

Activity:   Timeout:   Aggregation:   Synchronization:

Active      Long       Yes            Yes

Collected:   Distributed:   Defaulted:   Expired:

Yes           Yes             No           No

註：如果「已收集」和「已分佈」不是「是」，而「預設」是「否」，則LACP未收斂。

檢查3。檢驗本地LACP系統ID是否為0。

FP2110-2(local-mgmt)# show lacp sys-id

32768, 70df.2f18.d813

其他疑難排解（常見於所有平台）

檢查 1

確保兩端（防火牆和交換機）具有匹配的設定（例如，速度相同，埠通道模式相同）。

檢查 2

檢查是否發生 FXOS 故障。您可以從機箱使用者介面(UI)或使用此指令的CLI執行此檢查：

FPR4100# show fault

Severity  Code     Last Transition Time     ID       Description

--------- -------- ------------------------ -------- -----------

Major     F0479    2020-03-19T11:50:44.322    543322 Virtual interface 781 link state is down

Major     F0373    2020-03-19T10:55:13.778     34178 Fan 1 in Fan Module 1-5 under chassis 1 operability: inoperable

Minor     F0480    2020-03-19T10:55:13.777     34177 Fan module 1-5 in chassis 1 operability: degraded

Major     F1767    2020-03-19T10:54:04.162    531228 The password encryption key has not been set.

Major     F0727    2020-03-19T09:50:02.891    522921 lan Member 1/5 of Port-Channel 10 on fabric interconnect A is down, membership: suspended

Major     F0282    2020-03-19T09:49:31.462    522922 lan port-channel 10 on fabric interconnect A oper state: failed, reason: No operational members

Major     F0277    2020-03-19T09:49:31.437    522929 ether port 1/5 on fabric interconnect A oper state: failed, reason: Other

Info      F0279    2020-01-17T11:06:45.472    300958 ether port 1/7 on fabric interconnect A oper state: sfp-not-present

Info      F0279    2020-01-17T11:06:37.941    300903 ether port 1/6 on fabric interconnect A oper state: sfp-not-present

Minor     F1437    2020-01-16T10:11:39.675    291723 Config backup may be outdated

故障會依時間順序顯示。嚴重性反映出故障的重要性，而說明則提供了簡要的概觀。重點主要在於嚴重性、時間戳記及說明。故障嚴重性從最嚴重到最不嚴重的順序為：

- 嚴重

- 主要

- 輕微

- 警告

- 資訊/狀況

- 已清除

有關每個故障的詳細資訊，請檢視「FXOS故障和錯誤消息」指南： FXOS錯誤和系統消息

檢查 3

如果您最近對FMC上的連線埠通道組態進行了一些變更，請確定原則已從FMC部署到FTD。

檢查 4

如果Port-Channel處於Failed狀態，並且裝置屬於集群，則確保裝置上已啟用集群。啟用叢集的裝置通常都有處於失敗狀態的連接埠通道.

檢查 5

如果組態正確，但介面無法啟動，請檢查並更換纜線和/或小型可插拔 (SFP) 收發器.

檢查 6

查看 Firepower 版本資訊，以瞭解與連接埠通道相關的已知問題。例如，若您執行 FXOS 版本 2.6.1.169 和 FTD 6.4.0.6，請查看以下章節：

此外，請查看相關的 FMC/FTD 版本資訊。在此範例中，由於 FTD 執行 6.4.0.5，因此必須查看 6.4.x 版本資訊：

常見問題

案例 1.EtherChannel模式不匹配

請考慮使用此拓樸：

問題症狀

在 Firepower 上，連接埠通道已關閉且交涉通訊協定為 LACP：

FP2110-2(local-mgmt)# show portchannel summary

Flags:  D - Down        P - Up in port-channel (members)

I - Individual  H - Hot-standby (LACP only)

s - Suspended   r - Module-removed

S - Switched    R - Routed

U - Up (port-channel)

M - Not in use. Min-links not met

--------------------------------------------------------------------------------

Group Port-       Type     Protocol  Member Ports

Channel

--------------------------------------------------------------------------------

11    Po11(D)     Eth      LACP      Eth1/1(D)    Eth1/2(D)

在FXOS上，LACP Sent計數器每30秒遞增，但Receive計數器不會：

FP2110-2(local-mgmt)# show lacp counters

LACPDUs         Marker      Marker Response    LACPDUs

Port       Sent   Recv     Sent   Recv    Sent    Recv      Pkts Err

---------------------------------------------------------------------

Channel group: 11

Eth1/1     11356  3762     0      0        0      0         0

Eth1/2     11393  3761     0      0        0      0         0

FP2110-2(local-mgmt)# show lacp counters

LACPDUs         Marker      Marker Response    LACPDUs

Port       Sent   Recv     Sent   Recv    Sent    Recv      Pkts Err

---------------------------------------------------------------------

Channel group: 11

Eth1/1     11357  3762     0      0        0      0         0

Eth1/2     11394  3761     0      0        0      0         0

根本原因

交換器的連接埠通道已啟動，但請注意缺少交涉通訊協定：

Switch# show etherchannel 22 summary

…

Number of channel-groups in use: 15

Number of aggregators:           15

Group  Port-channel  Protocol    Ports

------+-------------+-----------+-----------------------------------------------

22     Po22(SU)         -        Gi1/0/13(P) Gi1/0/14(P)

交換器連接埠組態會確認以下內容：

Switch# show run int g1/0/13

interface GigabitEthernet1/0/13

lacp rate fast

channel-group 22 mode on

end

Switch# show run int g1/0/14

interface GigabitEthernet1/0/14

lacp rate fast

channel-group 22 mode on

end

解決方案

由於這是FPR21xx裝置，因此有兩種可能的解決方案：

1. 將交換器端的連接埠通道模式從「開啟」變更為「LACP」（主動或被動）。

2. 將 FTD 端的連接埠通道模式從「LACP」變更為「開啟」（主動或被動）。

在此案例中，選擇第二個解決方案（將FTD連線埠通道設為開啟模式）：

FP2110-2(local-mgmt)# show portchannel summary

Flags:  D - Down        P - Up in port-channel (members)

I - Individual  H - Hot-standby (LACP only)

s - Suspended   r - Module-removed

S - Switched    R - Routed

U - Up (port-channel)

M - Not in use. Min-links not met

--------------------------------------------------------------------------------

Group Port-       Type     Protocol  Member Ports

Channel

--------------------------------------------------------------------------------

11    Po11(U)     Eth      ON        Eth1/1(P)    Eth1/2(P)

未顯示更多 LACP 計數器：

FP2110-2(local-mgmt)# show lacp counters

FP2110-2(local-mgmt)#

案例 2.錯誤的埠通道設計

問題症狀

FP4110-7-A(fxos)# show port-channel summary

Flags:  D - Down        P - Up in port-channel (members)

I - Individual  H - Hot-standby (LACP only)

s - Suspended   r - Module-removed

S - Switched    R - Routed

U - Up (port-channel)

M - Not in use. Min-links not met

--------------------------------------------------------------------------------

Group Port-       Type     Protocol  Member Ports

Channel

--------------------------------------------------------------------------------

15    Po15(SD)    Eth      LACP      Eth1/2(P)    Eth1/3(s)

48    Po48(SD)    Eth      NONE      --

FXOS LACP 計數器朝兩個方向增加：

FP4110-7-A(fxos)# show lacp counters

LACPDUs         Marker      Marker Response    LACPDUs

Port              Sent   Recv     Sent   Recv     Sent   Recv      Pkts Err

---------------------------------------------------------------------

port-channel15

Ethernet1/2        419219 451268   0      0        0      0        0

Ethernet1/3        419215 446806   0      0        0      0        0

FP4110-7-A(fxos)# show lacp counters

LACPDUs         Marker      Marker Response    LACPDUs

Port              Sent   Recv     Sent   Recv     Sent   Recv      Pkts Err

---------------------------------------------------------------------

port-channel15

Ethernet1/2        419219 451269   0      0        0      0        0

Ethernet1/3        419216 446807   0      0        0      0        0

根本原因

show lacp neighbor 的輸出顯示每個連接埠上的不同合作夥伴系統 ID：

FP4110-7-A(fxos)# show lacp neighbor

Flags:  S - Device is sending Slow LACPDUs F - Device is sending Fast LACPDUs

A - Device is in Active mode       P - Device is in Passive mode

port-channel15 neighbors

Partner's information

Partner                Partner                     Partner

Port        System ID              Port Number     Age         Flags

Eth1/2      32768,28-6f-7f-ec-59-800x103           419611      FA

LACP Partner           Partner                     Partner

Port Priority          Oper Key                    Port State

32768                  0x5                         0x3d

Partner's information

Partner                Partner                     Partner

Port        System ID              Port Number     Age         Flags

Eth1/3      32768,4-62-73-d2-65-0  0x12f           419610      SA

LACP Partner           Partner                     Partner

Port Priority          Oper Key                    Port State

32768                  0x16                        0xd

其視覺化結果為：

解決方案

- 如果是 2960，您必須設定堆疊 (FlexStack)。

- 若使用3750-X/3850等交換器，則需要設定堆疊(StackWise Plus)。

- 對於4500、6500、6800，您需要使用虛擬交換系統(VSS)。

- 對於Nexus 5K、7K或9K，您需要使用虛擬埠通道(vPC)。

- 在其他情況下，您必須將 FXOS 連線至相同的實體交換器。

案例 3.FXOS埠通道未分配

網路圖表

問題症狀

在 FXOS 端，連接埠通道成員已暫停：

FP4110-7-A(fxos)# show port-channel summary

Flags:  D - Down        P - Up in port-channel (members)

I - Individual  H - Hot-standby (LACP only)

s - Suspended   r - Module-removed

S - Switched    R - Routed

U - Up (port-channel)

M - Not in use. Min-links not met

--------------------------------------------------------------------------------

Group Port-       Type     Protocol  Member Ports

Channel

--------------------------------------------------------------------------------

15    Po15(SD)    Eth      LACP      Eth1/2(s)    Eth1/3(s)

48    Po48(SD)    Eth      NONE      --

在交換器端亦同：

Switch# show etherchannel 5 summary

…

Group  Port-channel  Protocol    Ports

------+-------------+-----------+-----------------------------------------------

5      Po5(SD)         LACP      Gi1/0/2(s)  Gi1/0/3(s)

FXOS LACP計數器顯示傳送和接收的資料包：

FP4110-7-A(fxos)# show lacp counters

LACPDUs         Marker      Marker Response    LACPDUs

Port              Sent   Recv     Sent   Recv     Sent   Recv      Pkts Err

---------------------------------------------------------------------

port-channel15

Ethernet1/2        420839 452531   0      0        0      0        0

Ethernet1/3        420793 447409   0      0        0      0        0

FP4110-7-A(fxos)# show lacp counters

LACPDUs         Marker      Marker Response    LACPDUs

Port              Sent   Recv     Sent   Recv     Sent   Recv      Pkts Err

---------------------------------------------------------------------

port-channel15

Ethernet1/2        421026 452537   0      0        0      0        0

Ethernet1/3        420981 447416   0      0        0      0        0

在交換機端，LACP計數器還會顯示已傳送但未接收的資料包：

Switch# show lacp 5 counters

LACPDUs         Marker      Marker Response    LACPDUs

Port       Sent   Recv     Sent   Recv     Sent   Recv      Pkts Err

---------------------------------------------------------------------

Channel group: 5

Gi1/0/2     452539 420223   0      0        0      0         0

Gi1/0/3     447232 415274   0      0        0      0         0

Switch# show lacp 5 counters

LACPDUs         Marker      Marker Response    LACPDUs

Port       Sent   Recv     Sent   Recv     Sent   Recv      Pkts Err

---------------------------------------------------------------------

Channel group: 5

Gi1/0/2     452540 420223   0      0        0      0         0

Gi1/0/3     447233 415274   0      0        0      0         0

根本原因

在此案例中，問題在於未將 FXOS 連接埠通道指派給邏輯裝置（FTD 應用程式）：

解決方案

將連接埠通道指派給邏輯裝置.

案例 4.有關埠通道的運行狀況警報未收到任何資料包

裝置 (FTD) 每 5 分鐘就會傳送有關在已設定名稱且已啟動的每個介面上所接收之介面流量的資訊。如果在上一個間隔中未接收到任何封包，則 FMC UI 上會出現此類訊息：

建議的動作

從FTD CLI，檢查show traffic輸出並專注於5分鐘的輸入速率。例如，

Interface Port-channel10.14

INSIDE:

received (in 237938.740 secs):

2 packets       84 bytes

0 pkts/sec      0 bytes/sec

transmitted (in 237938.740 secs):

5 packets       140 bytes

0 pkts/sec      0 bytes/sec

1 minute input rate 0 pkts/sec,  0 bytes/sec

1 minute output rate 0 pkts/sec,  0 bytes/sec

1 minute drop rate, 0 pkts/sec

5 minute input rate 0 pkts/sec,  0 bytes/sec

5 minute output rate 0 pkts/sec,  0 bytes/sec

5 minute drop rate, 0 pkts/sec

案例 5.FMC健康警示：連線埠通道已取消關聯或已新增介面

運行狀況警報表示：「Interface with physical-name： "Port-Channel" disassociated.」或「」Interface with physical-name： \"name_if\"已增加。」

建議的動作

這是思科漏洞ID CSCvb跟蹤的已知裝飾問題15074

埠通道注意事項

設計注意事項

案例 1.HA中的FTD/ASA刀片

不支援此設定。原因是交換機端的埠通道配置不正確，導致備用裝置上的流量阻塞。只有在「叢集合併」模式下設定 ASA 或 FTD 時，系統才支援此類設計。

警告：此案例在故障切換中不正確（高可用性）。

這是高可用性的正確連接埠通道設計：

相關資訊

- 連線至其他裝置上的 EtherChannel

- 適用於機箱間叢集化的 EtherChannel

案例 2.集群中的FTD/ASA

每個防火牆資料介面連接埠通道均使用「合併」模式（這是 Firepower 平台唯一支援的模式）。從設計的角度來看，在交換器端，單一資料介面的交換器連接埠屬於一個連接埠通道。

舉例來說，如果是 FP9300（2 個機箱、6 個刀鋒），則可以採用這類方式設定資料連接埠：

另一方面，集群控制鏈路(CCL)使用單個埠通道模式，並且根據最佳實踐，頻寬必須符合每個成員的最大容量。此外，如果是 Nexus，則每個連接埠通道屬於不同的 vPC。

同樣地，如果是 FP41xx：

CCL 則如下：

案例 3.Port-Channel在FXOS上終止

終止 FXOS 機箱上的連接埠通道。以下是此設計的範例：

案例 4.透過FXOS的埠通道

Port-Channel透過FXOS機箱。以下是此設計的範例：

注意：在第二個場景中，Firepower裝置上未配置埠通道。

終止 FXOS 上的連接埠通道和通過 FXOS 的連接埠通道

功能

意見

終止 FXOS 機箱 (MIO) 的連接埠通道

從 FXOS 2.1.1 開始可以使用

埠通道透過FXOS機箱(MIO)

- FXOS 2.1.1.58 之前的版本可以使用

- 在FXOS >= 2.1.1.58和< 2.3.1.3上不起作用(由於思科漏洞ID CSCva00405)

- FXOS 2.3.1.3 之後的版本可以使用

其他考量事項

LACP 正常融合

對於集群設定（ASA或FTD），建議在Nexus上啟用LACP平滑融合。

常見問題 (FAQ)

問：SSP埠通道雜湊分配是固定還是自適應？

FXOS 使用具復原能力的雜湊分佈。這似乎等同於 Nexus 7000/9k 線上文件說明中所述的固定型雜湊分佈。在彈性雜湊中，如果鏈路發生故障，則分配給該故障鏈路的流將在活動鏈路之間均勻地重新分配。流經活動鏈路的當前流不會重新雜湊，其資料包也不會順序混亂。將鏈路增加到port-channel或ECMP組時，雜湊到當前鏈路的某些流會重新雜湊到新鏈路，但不會跨所有當前鏈路。

問：如果連線到Port-Channel的交換機埠斷開，會發生什麼情況？FTD會監控實體連結或連線埠通道嗎？

如果所有連接埠通道介面成員均停止運作，則連接埠通道也會關閉。連接埠通道操作狀態會顯示為「失敗」。從 FTD 的角度來看，連接埠通道會顯示為「關閉」。另一方面，在此規則中，有一個例外：當交換機使用堆疊時。透過 LACP，系統 ID 會使用來自作用中交換器的 MAC 位址，如果作用中交換器變更，則 LACP 系統 ID 也會變更。如果 LACP 系統 ID 變更，則整個 EtherChannel 都會翻動，並會產生 STP 重新融合。使用stack-mac persistent timer命令控制堆疊MAC地址在活動交換機故障切換後是否更改。

問：希望使用命令「port-channel min-bundle 2」，這樣，如果port-channel中的一個鏈路斷開，則port-channel斷開，並且防火牆進行故障切換。

此選項不適用於 FXOS 機箱。做為因應措施，請盡可能在對等交換器上設定 lacp min-links 命令。

問：如何捕獲LACP資料包？

案例 1.在邏輯裝置(FTD/ASA)上終止的Port-Channel

- 連接埠通道實際上已於機箱層級 (FXOS) 終止。

- 您無法在機箱層級 (FXOS) 或應用程式層級 (FTD/ASA) 擷取 LACP 封包（輸入或輸出）。

案例 2.透過FTD的連線埠通道- FTD介面部署為內嵌集：

inline-set set1

snort fail-open down

interface-pair INSIDE OUTSIDE

!

interface Ethernet1/2

nameif INSIDE

cts manual

propagate sgt preserve-untag

policy static sgt disabled trusted

!

interface Ethernet1/3

nameif OUTSIDE

cts manual

propagate sgt preserve-untag

policy static sgt disabled trusted

LACP Ethertype is 0x8809 (dec 34825):

firepower# capture CAP interface INSIDE ethernet-type 34825

firepower# show capture CAP

1: 21:15:00.403131       2894.0f57.271d 0180.c200.0002 0x8809 Length: 124 <-- LACP packet

0101 0114 8000 0017 dfd6 ec00 0016 8000

0223 3d00 0000 0214 8000 0017 dfd6 ec00

0015 8000 0222 3d00 0000 0310 8000 0000

0000 0000 0000 0000 0000 0000 0000 0000

0000 0000 0000 0000 0000 0000 0000 0000

0000 0000 0000 0000 0000 0000 0000 0000

0000 0000 0000 0000 0000 0000 0000

案例 3.透過FTD的連線埠通道- FTD介面已部署為橋接群組模式：

interface Ethernet1/2

bridge-group 1

nameif INSIDE

cts manual

propagate sgt preserve-untag

policy static sgt disabled trusted

security-level 0

!

interface Ethernet1/3

bridge-group 1

nameif OUTSIDE

cts manual

propagate sgt preserve-untag

policy static sgt disabled trusted

security-level 0

!

interface BVI1

ip address 192.168.201.134 255.255.255.0

firepower# capture CAP interface INSIDE ethernet-type 34825

firepower# show capture CAP

1 packet captured

1: 21:21:29.731987       2894.0f57.271c 0180.c200.0002 0x8809 Length: 124 <-- LACP packet

0101 0114 8000 0017 dfd6 ec00 0015 8000

0222 7d00 0000 0214 0000 0000 0000 0000

0000 0000 0000 0000 0000 0310 8000 0000

0000 0000 0000 0000 0000 0000 0000 0000

0000 0000 0000 0000 0000 0000 0000 0000

0000 0000 0000 0000 0000 0000 0000 0000

0000 0000 0000 0000 0000 0000 0000

1 packet shown

問：如何從單個埠遷移到Port-Channel？

此變更需要使用維護時段 (MW) 且具有侵入性。從單一介面移轉至連接埠通道後，有關單一介面的所有組態均會與其解除關聯。建立埠通道後，需要將相同的配置重新關聯到新配置的埠通道，例如NAT、路由、VPN等。若為 FTD，此文件含有相關注意事項：

設定 EtherChannel

若為 ASA 裝置，此文件說明了相關程序：

將使用中介面轉換成備援或 EtherChannel 介面

問：如何將FTD高可用性(HA)連結變更為Port-Channel？

此變更需要使用維護時段 (MW) 且具有侵入性。您必須分割 HA 並重新設定。在新的 HA 配對中，將連接埠通道指定為 HA 連結。相關文件：

在 Firepower 設備上設定 FTD 高可用性

問：Firepower與ASA一起顯示埠通道打開，物理介面狀態關閉

這與思科漏洞ID CSCvp相關03354

問：為FMC上的埠通道ID選擇什麼重要嗎？  是否必須符合交換器端的任何項目？

否，不重要。您可以使用任何想要的連接埠通道 ID。

問：在Port-Channel Advanced頁籤下，是否需要為活動/備用MAC執行任何操作？

如果計畫在接入模式（無中繼）下使用埠通道，並且使用高可用性(HA)設定，則強烈建議配置活動/備用MAC。此建議並非限定於連接埠通道，而是適用於任何 HA 設定。

問：是否可以配置埠通道的介面成員的描述？

目前(FXOS 2.13.x)不支援。請查看最新的 FXOS 組態設定指南，以取得其他詳細資料。

問：是否可以更改FXOS埠通道負載均衡演算法？

目前(FXOS 2.13.x)不支援。請查看最新的 FXOS 組態設定指南，以取得其他詳細資料。

問：是否可以在埠通道中配置成員介面的最小數量（最小鏈路），以便將埠通道轉換為捆綁狀態？

目前(FXOS 2.13.x)不支援。請查看最新的 FXOS 組態設定指南，以取得其他詳細資料。

相關資訊

- FXOS 組態設定指南

- FMC/FTD 組態設定指南