Sommario

Introduzione

Prerequisiti

Requisiti

Componenti usati

Premesse

Problema

Soluzione

Introduzione

In questo documento viene descritto come identificare e risolvere un problema relativo alle operazioni IPSec che potrebbe essere rilevato sulle piattaforme Cisco Aggregation Services Router (ASR) 1006 o ASR 1013. Ciò si può verificare quando è installato un solo processore di servizi incorporato (ESP) ed è inserito nello slot F1.

Prerequisiti

Requisiti

Nessun requisito specifico previsto per questo documento.

Componenti usati

Il riferimento delle informazioni contenute in questo documento è Cisco serie 1000 ASR 1006 o Cisco ASR 1013.

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Premesse

La linea di prodotti Cisco serie 1000 ASR comprende due modelli (ASR 1006 e ASR 1013). Ciascun modello è dotato di processori di routing ridondanti (RP, Redundant Route Processor) ed ESP.  In generale, un singolo ESP viene installato in Cisco ASR 1006 e Cisco ASR 1013 nello slot F0 o F1, senza restrizioni. La stessa premessa si applica agli slot RP.

La numerazione degli slot è descritta nelle guide all'installazione di Cisco ASR 1006 e Cisco ASR 1013.

Problema

L'inizializzazione del motore crittografico non riesce dopo un ciclo di alimentazione del dispositivo. Se ESP è inserito nello slot F1 e non è in esecuzione ESP nello slot F0, il problema si verifica nei seguenti prodotti:

Hardware:

- Modelli Cisco ASR 1000 Dual-ESP:  ASR1006 o ASR1013.

Software:

- Per il treno Cisco IOS® XE release 3.7.xS:  versione 3.7.3S o precedente; 3.7.4S e versioni successive non sono interessate.

- Per i treni Cisco IOS XE successivi:  versione 3.9.1S o precedente; 3.9.2S e versioni successive non sono interessate.

I sintomi del problema includono:

- Nei log viene visualizzato questo messaggio di errore:
ISAKMP: Unable to find a crypto engine to allocate IKE SA

- L'output del comando show crypto eli e show crypto ace slot <number>status indica che il motore di crittografia è inattivo:
ASR1006#show crypto eli

Hardware Encryption: INACTIVE

Number of hardware crypto engines = 1

CryptoEngine IOSXE-ESP(14) details: state = Initializing

Capability    : DES, 3DES, AES, GCM, GMAC, RSA, IPv6, GDOI, FAILCLOSE

IKE-Session   :     0 active, 12287 max, 0 failed

DH            :     0 active, 12287 max, 0 failed

IPSec-Session :     0 active, 32766 max, 0 failed

ASR1006#show crypto ace slot 14 stat | inc status

ACE status: OFFLINE

Questo problema può verificarsi nei seguenti scenari:

- Nello slot F1 è inserito un solo ESP e non è presente alcun ESP nello slot F0. Il router è stato riacceso.

- Sono disponibili due ESP, ma a causa di un problema, l'ESP in F0 non è riuscita e ha lasciato un singolo ESP in F1. Il router è stato spento e riacceso.

Immettere il comando show platform per verificare la disponibilità dell'ESP.

Esempio:

ASR1006#show platform

Chassis type: ASR1006

Slot  Type                State       Insert time (ago)

0     ASR1000-SIP10       ok          00:32:04

0/0   SPA-8X1GE-V2        ok          00:29:46

1     ASR1000-SIP10       ok          00:32:04

1/0   SPA-8X1GE-V2        ok          00:29:46

R1    ASR1000-RP1         ok, active  00:32:04

F1    ASR1000-ESP10       ok, active  00:32:04

P0    ASR1006-PWR-AC      ok          00:31:12

P1    ASR1006-PWR-AC      ok          00:31:11

Soluzione

Il problema è dovuto all'ID bug Cisco CSCue45131, "L'interfaccia I/F del tunnel SVTI non viene visualizzata dopo il riavvio del router."

Il bug è stato risolto in Cisco IOS XE release 3.7.4S e 3.9.2S.

Il problema non esiste nel treno Cisco IOS XE release 3.10.0S.

La soluzione migliore è assicurarsi che l'ESP attualmente funzionante sia installato nello slot F0. Se tale soluzione non è possibile, altre soluzioni che possono essere applicate in remoto sono:

- Ricaricare ESP:  # slot modulo hw F1 reload

o

- Ricaricare il router