在防火牆群集環境中排除LACP埠通道故障

問題

FTD裝置上的Port-channel1顯示操作狀態為Failed（失敗），未傳送或接收LACP PDU。此裝置是FTD叢集的一部分，而Port-channel1用作資料介面，因此當port-channel關閉時，會產生流量影響。

觀察到的具體症狀包括：

• LACP鄰居資訊，顯示合作夥伴系統ID為0,0-0-0-0-0-0，埠號為0x0。

• Partner Oper Key和Port State顯示為0x0。

• LACP計數器在防火牆機箱上未遞增。

• 介面顯示「掛起（無LACP PDU）」狀態。

• 在相鄰交換機上，只有LACP傳送計數器增加。LACP Recv計數器不增加。

受影響裝置的LACP鄰居輸出顯示：

device(fxos)# show lacp neighbor
Flags:  S - Device is sending Slow LACPDUs F - Device is sending Fast LACPDUs
        A - Device is in Active mode       P - Device is in Passive mode
port-channel1 neighbors
Partner's information
            Partner                Partner                     Partner
Port        System ID              Port Number     Age         Flags
Eth1/2      0,0-0-0-0-0-0          0x0             5022089     SP
            LACP Partner           Partner                     Partner
            Port Priority          Oper Key                    Port State
            0                      0x0                         0x0
Partner's information
            Partner                Partner                     Partner
Port        System ID              Port Number     Age         Flags
Eth1/3      0,0-0-0-0-0-0          0x0             4895677     SP
            LACP Partner           Partner                     Partner
            Port Priority          Oper Key                    Port State
            0                      0x0                         0x0

在防火牆上，埠通道成員的LACP傳送/接收計數器不會增加：

device# connect fxos 
device(fxos)# show lacp counters 
                    LACPDUs         Marker      Marker Response    LACPDUs
Port              Sent   Recv     Sent   Recv     Sent   Recv      Pkts Err
---------------------------------------------------------------------
port-channel1
Ethernet1/4      11413   13114       0       0       0       0       0    <-- the LACP counters do not increase

連線埠通道介面及其子介面處於關閉/關閉狀態：

# show interface ip brief
Interface                  IP-Address      OK?           Method Status      Protocol
Internal-Control0/0        unassigned      YES           unset  up          up
Internal-Data0/0           unassigned      YES           unset  up          up
Internal-Data0/1           unassigned      YES           unset  up          up
Internal-Data0/2           169.254.1.1     YES           unset  up          up
Internal-Data0/3           unassigned      YES           unset  up          up
Internal-Data0/4           unassigned      YES           unset  down        up
Port-channel1              unassigned      YES           unset  down        down
Port-channel1.90           192.0.2.15      YES           CONFIG down        down
Port-channel1.102          192.0.2.130     YES           CONFIG down        down
...

交換機側日誌表明交換機正在傳輸LACP但未接收合作夥伴LACP PDU，埠處於掛起狀態：

Apr  2 18:44:20.614: %LINEPROTO-5-UPDOWN: Line protocol on Interface TwentyFiveGigE2/0/25, changed state to down
Apr  2 18:44:25.452: %ETC-5-L3DONTBNDL2: Twe2/0/25 suspended: LACP currently not enabled on the remote port.
Apr  2 18:44:36.318: %ETC-5-L3DONTBNDL2: Twe2/0/25 suspended: LACP currently not enabled on the remote port.
Apr  3 02:17:06.798: %LINK-5-UPDOWN: Interface TwentyFiveGigE2/0/25, changed state to down
Apr  3 02:17:26.722: %LINK-5-UPDOWN: Interface TwentyFiveGigE2/0/25, changed state to up
Apr  3 02:17:35.915: %ETC-5-L3DONTBNDL2: Twe2/0/25 suspended: LACP currently not enabled on the remote port.
Apr  3 02:23:22.255: %LINK-5-UPDOWN: Interface TwentyFiveGigE2/0/25, changed state to down
Apr  3 02:23:43.886: %LINK-5-UPDOWN: Interface TwentyFiveGigE2/0/25, changed state to up
Apr  3 02:23:53.808: %ETC-5-L3DONTBNDL2: Twe2/0/25 suspended: LACP currently not enabled on the remote port.

環境

• 軟體版本:FTD 7.6.2。其他軟體版本（包括ASA）也可能會受到影響。

• 使用埠通道進行資料介面的FTD群集配置。

• 連線到上游交換機基礎設施的啟用LACP的埠通道。

解析

解決方法涉及確定受影響的FTD裝置因埠通道介面運行狀況檢查失敗而離開集群。在裝置上禁用集群時，所有資料介面都設計為關閉，從而使LACP PDU停止，並導致交換機側掛起和資料流影響。

已執行的診斷步驟

步驟 1:收集來自Cisco Firepower裝置和上游交換機的調試和支援捆綁包

從FXOS機箱收集多個故障排除存檔、LACP調試檔案、核心檔案和TS（故障排除）檔案進行分析。

步驟 2:驗證交換機行為和LACP狀態

交換機工程師確認交換機正在傳送LACP PDU，但沒有從Firepower裝置接收合作夥伴PDU。

步驟 3:分析LACP內部狀態轉換

分析表明，由於缺少夥伴PDU，介面進入暫停狀態，LACP計數器未增加。

提示：檢查「show cluster history」命令輸出和防火牆LINA系統日誌，確定群集失敗的原因。

在本示例中，裝置由於資料介面故障而退出集群：

# show cluster history
CONTROL_NODE          CONTROL_NODE          Event: Control node unit-1-1 is quitting
                                            due to interface health check
                                            failure on Port-channel1,
                                            1 times. Rejoin will be attempted
                                            after 5 min.
20:44:31 CEST Apr 2 2026
CONTROL_NODE          DISABLED              Client progression done

復原程式

步驟 1:在受影響的FTD裝置上重新啟用群集

# cluster enable

此命令使裝置重新加入群集、啟動資料介面、恢復LACP PDU並恢復Port-channel1功能。

步驟 2:檢驗LACP恢復

重新啟用集群後，LACP PDU恢復，Port-channel1在防火牆和交換機端均恢復正常運行。

原因

根本原因是導致FTD裝置離開集群的埠通道介面運行狀況檢查故障。在FTD裝置上禁用集群時，所有資料介面設計為管理性關閉，這將停止LACP PDU傳輸，並導致上游交換機掛起埠通道介面。

這種行為是意料之中的。

Cisco錯誤ID CSCwo09449已歸檔以增強產品的可維護性。

相關內容

• 思科錯誤ID CSCwo09449 - FXOS:禁用集群時，過時的TX和RX LACP計數器和掛起的資料埠通道