Firepower Threat Defense(FTD)およびASAマルチキャストPIMのトラブルシューティング

ダウンロードオプション

PDF (3.6 MB)
Adobe Reader を使ってさまざまなデバイスで表示

Updated: 2023 年 4 月 27 日

Document ID:217900

偏向のない言語

この製品のドキュメントセットは、偏向のない言語を使用するように配慮されています。このドキュメントセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージの取り組みの詳細は、こちらをご覧ください。

翻訳について

シスコは世界中のユーザにそれぞれの言語でサポートコンテンツを提供するために、機械と人による翻訳を組み合わせて、本ドキュメントを翻訳しています。ただし、最高度の機械翻訳であっても、専門家による翻訳のような正確性は確保されません。シスコは、これら翻訳の正確性について法的責任を負いません。原典である英語版（リンクからアクセス可能）もあわせて参照することを推奨します。

内容

はじめに

前提条件

要件

使用するコンポーネント

背景説明

マルチキャストルーティングの基本

略語/略語

作業1:PIMスパースモード（スタティックRP）

タスク2:PIMブートストラップルータ(BSR)の設定

トラブルシューティング手法

PIMトラブルシューティングコマンド（チートシート）

既知の問題

PIMはvPC Nexusではサポートされない

宛先ゾーンがサポートされていない

HSRPが原因でファイアウォールがアップストリームルータへのPIMメッセージを送信しない

ファイアウォールがLANセグメントのDRでない場合はLHRと見なされない

Reverse Path Forwarding(RPF)チェックの失敗が原因でファイアウォールがマルチキャストパケットをドロップする

ソースツリーへのPIMスイッチオーバー時にファイアウォールでPIM参加が生成されない

パントレート制限によりファイアウォールが最初の数パケットをドロップする

ICMPマルチキャストトラフィックのフィルタリング

既知のPIMマルチキャスト不具合

はじめに

このドキュメントでは、Firepower Threat Defense(FTD)と適応型セキュリティアプライアンス(ASA)によるProtocol Independent Multicast(PIM)の実装方法について説明します。

前提条件

要件

IPルーティングの基礎知識

使用するコンポーネント

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。

Cisco Firepower 4125脅威対策バージョン7.1.0
Firepower Management Center（FMC）バージョン 7.1.0.
Cisco適応型セキュリティアプライアンスソフトウェアバージョン9.17(1)9。

背景説明

マルチキャストルーティングの基本

ユニキャストではパケットが宛先に向けて転送されるのに対し、マルチキャストではパケットが送信元から離れて転送されます。
マルチキャストネットワークデバイス（ファイアウォールやルータなど）は、Reverse Path Forwarding（RPF；リバースパス転送）を介してパケットを転送します。 RPFは、特定のタイプの攻撃を防止するためにユニキャストで使用されるuRPFとは異なることに注意してください。RPFは、マルチキャストパケットを、マルチキャスト受信側に向かうインターフェイスから送信元に向けて転送するメカニズムとして定義できます。その主な役割は、トラフィックループを防止し、正しいトラフィックパスを確保することです。
PIMのようなマルチキャストプロトコルには、主に3つの機能があります。

1. アップストリームインターフェイス（送信元に最も近いインターフェイス）を見つけます。

2. 特定のマルチキャストストリームに関連付けられているダウンストリームインターフェイスを見つけます（レシーバへのインターフェイス）。

3. マルチキャストツリーを維持します（ツリーの分岐を追加または削除します）。

マルチキャストツリーの構築と保守には、暗黙的ジョイン（フラッディングおよびプルーニング）と明示的ジョイン（プルモデル）の2つの方法があります。 PIMデンスモード(PIM-DM)では暗黙的なjoinが使用され、PIMスパースモード(PIM-SM)では明示的なjoinが使用されます。
マルチキャストツリーは、共有または送信元ベースにすることができます。
- 共有ツリーはランデブーポイント(RP)の概念を使用し、(*, G)（G =マルチキャストグループIP）として認識されます。
- 送信元ベースのツリーは送信元をルートとし、RPを使用しません。また、(S, G)として示されます。ここで、Sはマルチキャストの送信元/サーバのIPです。
マルチキャスト転送モデル：
- Any-Source Multicast(ASM)配信モードでは、任意の送信元がマルチキャストストリームを送信できる共有ツリー(*、G)が使用されます。
- Source-Specific Multicast(SSM)は、送信元ベースのツリー(S、G)とIP範囲232/8を使用します。
- 双方向(BiDir)は、コントロールプレーンとデータプレーンの両方のトラフィックがRPを通過する共有ツリー(*、G)のタイプです。
ランデブーポイント(RP)は、次のいずれかの方法で設定または選択できます。
- スタティック RP
- Auto-RP
- ブートストラップルータ(BSR)

PIMモードの概要

PIMモード	RP	共有ツリー	表記法	IGMP	ASA/FTDをサポート
PIM Sparse モード（PIM sparse mode）＃PIM Sparse もーど＃	Yes	Yes	(*, G)および(S, G)	v1/v2/v3	Yes
PIMデンスモード	いいえ	いいえ	(S、G)	v1/v2/v3	いいえ*
PIM双方向モード	Yes	Yes	(*, G)	v1/v2/v3	Yes
PIM Source-Specific-Multicast(SSM)モード	いいえ	いいえ	(S、G)	v3	× **

*Auto-RP =自動RPトラフィックはパススルー可能

** ASA/FTDをラストホップデバイスにすることはできません。

RP設定の概要

ランデブーポイント(RP)設定	ASA/FTD
スタティック RP	Yes
Auto-RP	いいえ。ただし、Auto-RPコントロールプレーントラフィックは通過できます
BSR	はい。ただし、C-RPのサポートは除く

注：マルチキャストの問題のトラブルシューティングを開始する前に、マルチキャストトポロジを明確に把握しておくことが非常に重要です。具体的には、少なくとも次の点を把握しておく必要があります。
– マルチキャストトポロジにおけるファイアウォールの役割は何ですか。
- RPは誰ですか。
– マルチキャストストリームの送信者は誰ですか（送信元IPおよびマルチキャストグループIP）。
– マルチキャストストリームの受信者はどこですか。
– コントロールプレーン(IGMP/PIM)またはデータプレーン（マルチキャストストリーム）自体に問題はありますか。

略語/略語

短縮形	説明
FHR	ファーストホップルータ：マルチキャストトラフィックの送信元に直接接続されているホップ。
LHR	ラストホップルータ：マルチキャストトラフィックの受信者に直接接続されているホップ。
RP	ランデブーポイント
DR	指定ルータ
SPT	最短パスツリー
RPT	ランデブーポイント(RP)ツリー、共有ツリー
RPF	リバースパス転送
石油	Outgoing interface list
MRIB	マルチキャストルーティング情報ベース
MFIB	マルチキャスト転送情報ベース
アーキテクチャセールスマネージャ（ASM）	Any-Sourceマルチキャスト
BSR	ブートストラップルータ
SSM	Source-Specific Multicast（SSM；送信元特定マルチキャスト）
FP	高速パス
SP	低速パス
CP	コントロールポイント
PPS	パケット/秒レート

作業1:PIMスパースモード（スタティックRP）

トポロジ

pim_topology

R1(198.51.100.1)をRPとしてトポロジのマルチキャストPIMスパースモードを設定します。

解決方法

FTD設定：

pim_config_rp

ASA/FTDは、IGMPスタブルーティングとPIMに対して同時に設定することはできません。

pim_config_rp_error

FTDで結果の設定を次に示します。

firepower# show running-config multicast-routing
multicast-routing                        <-- Multicast routing is enabled globally on the device
firepower# show running-config pim

pim rp-address 198.51.100.1              <-- Static RP is configured on the firewall

firepower# ping 198.51.100.1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 198.51.100.1, timeout is 2 seconds:
!!!!!                                    <-- The RP is reachable
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms

ASAファイアウォールには、次のような設定があります。

asa(config)# multicast-routing
asa(config)# pim rp-address 198.51.100.1

RP設定（Ciscoルータ）:

ip multicast-routing
ip pim rp-address 198.51.100.1           <-- The router is the RP
!
interface GigabitEthernet0/0.206
 encapsulation dot1Q 206
 ip address 192.168.103.61 255.255.255.0
 ip pim sparse-dense-mode                <-- The interface participates in multicast routing
 ip ospf 1 area 0
!
interface GigabitEthernet0/0.207
 encapsulation dot1Q 207
 ip address 192.168.104.61 255.255.255.0
 ip pim sparse-dense-mode                <-- The interface participates in multicast routing
 ip ospf 1 area 0
!
interface Loopback0
 ip address 198.51.100.1 255.255.255.255   <-- The router is the RP
 ip pim sparse-dense-mode                <-- The interface participates in multicast routing
 ip ospf 1 area 0

検証

マルチキャストトラフィック（送信側または受信側）がない場合は、FTDでマルチキャストコントロールプレーンを確認します。

firepower# show pim interface
Address            Interface        PIM  Nbr   Hello  DR         DR
                                         Count Intvl  Prior
192.168.105.60     NET207           on   1     30     1          this system        <-- PIM enabled on the interface. There is 1 PIM neighbor
192.168.1.50       INSIDE           on   0     30     1          this system        <-- PIM enabled on the interface. There are no PIM neighbors
0.0.0.0            diagnostic       off  0     30     1          not elected
192.168.103.50     OUTSIDE          on   1     30     1          192.168.103.61     <-- PIM enabled on the interface. There is 1 PIM neighbor

PIMネイバーを確認します。

firepower# show pim neighbor
Neighbor Address    Interface          Uptime    Expires DR pri Bidir
192.168.105.50      NET207             00:05:41  00:01:28 1      B
192.168.103.61      OUTSIDE            00:05:39  00:01:32 1 (DR)

RPはマルチキャストグループ範囲全体をアドバタイズします。

firepower# show pim group-map
Group Range         Proto   Client   Groups RP address      Info
224.0.1.39/32*      DM      static   0      0.0.0.0
224.0.1.40/32*      DM      static   0      0.0.0.0
224.0.0.0/24*       L-Local static   1      0.0.0.0
232.0.0.0/8*        SSM     config   0      0.0.0.0
224.0.0.0/4*        SM      config   2      198.51.100.1    RPF: OUTSIDE,192.168.103.61     <-- The multicast group used by the firewall for the given RP
224.0.0.0/4         SM      static   0      0.0.0.0         RPF: ,0.0.0.0

ファイアウォールのmrouteテーブルには、関連しないエントリがいくつかあります(239.255.255.250は、MAC OSやMicrosoft Windowsなどのベンダーによって使用されるSimple Service Discovery Protocol(SSDP)です)。

firepower# show mroute
Multicast Routing Table
Flags: D - Dense, S - Sparse, B - Bidir Group, s - SSM Group,
       C - Connected, L - Local, I - Received Source Specific Host Report,
       P - Pruned, R - RP-bit set, F - Register flag, T - SPT-bit set,
       J - Join SPT
Timers: Uptime/Expires
Interface state: Interface, State

(*, 239.255.255.250), 00:17:35/never, RP 198.51.100.1, flags: SCJ
  Incoming interface: OUTSIDE
  RPF nbr: 192.168.103.61
  Immediate Outgoing interface list:
    INSIDE, Forward, 00:17:35/never

ファイアウォールとRPの間にPIMトンネルが構築されています。

firepower# show pim tunnel
Interface          RP Address        Source Address
Tunnel0            198.51.100.1      192.168.103.50                  <-- PIM tunnel between the FTD and the RP

PIMトンネルは、ファイアウォール接続テーブルでも確認できます。

firepower# show conn all detail address 198.51.100.1
...
PIM OUTSIDE: 198.51.100.1/0 NP Identity Ifc: 192.168.103.50/0,       <-- PIM tunnel between the FTD and the RP
, flags , idle 16s, uptime 3m8s, timeout 2m0s, bytes 6350
Connection lookup keyid: 153426246

ASAファイアウォールの検証：

asa# show pim neighbor
Neighbor Address   Interface      Uptime      Expires DR pri Bidir
192.168.105.60     NET207         2d21h       00:01:29 1 (DR) B
192.168.104.61     OUTSIDE        00:00:18    00:01:37 1 (DR)

asa# show pim tunnel
Interface          RP Address        Source Address
Tunnel0            198.51.100.1      192.168.104.50                 <-- PIM tunnel between the ASA and the RP

RP（Ciscoルータ）RPの検証。SSDPとAuto-RPには、いくつかのマルチキャストグループがあります。

Router1# show ip pim rp
Group: 239.255.255.250, RP: 198.51.100.1, next RP-reachable in 00:01:04
Group: 224.0.1.40, RP: 198.51.100.1, next RP-reachable in 00:00:54

受信者がプレゼンスをアナウンスした後の検証

注：このセクションに示すfirewallコマンドは、ASAおよびFTDに完全に適用できます。

ASAはIGMPメンバシップレポートメッセージを取得し、IGMPとmroute (*, G)エントリを作成します。

asa# show igmp group 230.10.10.10
IGMP Connected Group Membership
Group Address    Interface            Uptime    Expires   Last Reporter
230.10.10.10     INSIDE               00:01:15  00:03:22  192.168.2.100     <-- Host 192.168.2.100 reported that wants to join group 230.10.10.10 and receive multicast traffic

ASAファイアウォールがマルチキャストグループのmrouteを作成します。

asa# show mroute 230.10.10.10

Multicast Routing Table
Flags: D - Dense, S - Sparse, B - Bidir Group, s - SSM Group,
       C - Connected, L - Local, I - Received Source Specific Host Report,
       P - Pruned, R - RP-bit set, F - Register flag, T - SPT-bit set,
       J - Join SPT
Timers: Uptime/Expires
Interface state: Interface, State

(*, 230.10.10.10), 00:00:17/never, RP 198.51.100.1, flags: SCJ       <-- The mroute for group 230.10.10.10
  Incoming interface: OUTSIDE                                        <-- Expected interface for a multicast packet from the source. If the packet is not received on this interface, it is discarded
  RPF nbr: 192.168.104.61
  Immediate Outgoing interface list:                                 <-- The OIL points towards the receivers. The packets are forwarded through this interface. 
    INSIDE, Forward, 00:01:17/never

ファイアウォールのもう1つの検証は、PIMトポロジ出力です。

asa# show pim topology 230.10.10.10
...
(*,230.10.10.10) SM Up: 00:07:15 RP: 198.51.100.1                    <-- An entry for multicast group 230.10.10.10
JP: Join(00:00:33) RPF: OUTSIDE,192.168.104.61 Flags: LH
  INSIDE             00:03:15  fwd LI LH

注：ファイアウォールにRPへのルートがない場合、debug pim の出力にはRPFルックアップ障害が示されます

debug pim 出力のRPFルックアップが失敗します。

asa# debug pim
IPv4 PIM: RPF lookup failed for root 198.51.100.1                    <-- The RPF look fails because there is no route to RP
IPv4 PIM: RPF lookup failed for root 198.51.100.1
IPv4 PIM: (*,230.10.10.10) Processing Periodic Join-Prune timer
IPv4 PIM: (*,230.10.10.10) J/P processing
IPv4 PIM: (*,230.10.10.10) Periodic J/P scheduled in 50 secs
IPv4 PIM: (*,230.10.10.10) No RPF neighbor to send J/P

問題がなければ、ファイアウォールはPIM Join-PruneメッセージをRPに送信します。

asa# debug pim group 230.10.10.10
IPv4 PIM group debugging is on
for group 230.10.10.10

IPv4 PIM: (*,230.10.10.10) J/P scheduled in 0.0 secs
IPv4 PIM: [0] (*,230.10.10.10/32) MRIB modify A NS
IPv4 PIM: [0] (*,230.10.10.10/32) NULLIF-skip MRIB modify !A !NS
IPv4 PIM: [0] (*,230.10.10.10/32) OUTSIDE MRIB modify A NS
IPv4 PIM: (*,230.10.10.10) Processing timers
IPv4 PIM: (*,230.10.10.10) J/P processing
IPv4 PIM: (*,230.10.10.10) Periodic J/P scheduled in 50 secs
IPv4 PIM: (*,230.10.10.10) J/P adding Join on OUTSIDE

キャプチャは、PIM Joinメッセージが1分ごとに送信され、PIM Helloが30秒ごとに送信されることを示しています。PIMはIP 224.0.0.13を使用します。

pim_join

ヒント：Wireshark表示フィルタ：(ip.src==192.168.104.50 && ip.dst==224.0.0.13) &&(pim.group == 230.10.10.10)
- 192.168.104.50は出力インターフェイスのファイアウォールIPです（アップストリームPIMネイバーに向かう）。
- 224.0.0.13はPIM Joinおよびプルーニングが送信されるPIMマルチキャストグループです。
- 230.10.10.10はPIM Join/Pruneを送信するマルチキャストグループです。

RPが(*, G)mrouteを作成します。サーバがまだないため、着信インターフェイスがヌルであることに注意してください。

Router1# show ip mroute 230.10.10.10 | b \(
(*, 230.10.10.10), 00:00:27/00:03:02, RP 198.51.100.1, flags: S          <-- The mroute for the multicast group
  Incoming interface: Null, RPF nbr 0.0.0.0        <-- No incoming multicast stream
  Outgoing interface list:
    GigabitEthernet0/0.207, Forward/Sparse-Dense, 00:00:27/00:03:02      <-- There was a PIM Join on this interface

それを図で示します。

pim_join_diagram2

ASAでIGMPレポートが受信されます。
(*, G) mrouteが追加されます。
ASAがPIM JoinメッセージをRP(198.51.100.1)に送信します。
RPはJoinメッセージを受信し、(*, G)mrouteを追加します。

同時に、FTDではIGMPレポートもPIM Joinも受信されなかったため、mroutesは存在しません。

firepower# show mroute 230.10.10.10
No mroute entries found.

サーバがマルチキャストストリームを送信する際の検証

FTDはH1からマルチキャストストリームを取得し、RPでPIM登録プロセスを開始します。FTDがRPにユニキャストPIM Registerメッセージを送信します。RPはPIM Joinメッセージをファーストホップルータ(FHR)（この場合はFTD）に送信して、マルチキャストツリーに参加します。次に、Register-Stopメッセージを送信します。

firepower# debug pim group 230.10.10.10
IPv4 PIM group debugging is on
for group 230.10.10.10
firepower# 
IPv4 PIM: [0] (192.168.1.100,230.10.10.10/32) INSIDE MRIB update (f=20,c=20)
IPv4 PIM: [0] (192.168.1.100,230.10.10.10) Signal presenta on INSIDE
IPv4 PIM: (192.168.1.100,230.10.10.10) Create entry                   
IPv4 PIM: (192.168.1.100,230.10.10.10) RPF changed from 0.0.0.0/- to 192.168.1.100/INSIDE    <-- The FTD receives a multicast stream on INSIDE interface for group 230.10.10.10
IPv4 PIM: (192.168.1.100,230.10.10.10) Connected status changed from off to on
IPv4 PIM: [0] (192.168.1.100,230.10.10.10/32) OUTSIDE MRIB modify NS
IPv4 PIM: [0] (192.168.1.100,230.10.10.10/32) MRIB modify DC
IPv4 PIM: [0] (192.168.1.100,230.10.10.10/32) OUTSIDE MRIB modify A NS
IPv4 PIM: (192.168.1.100,230.10.10.10) Set alive timer to 210 sec
IPv4 PIM: [0] (192.168.1.100,230.10.10.10/32) OUTSIDE MRIB modify !NS
IPv4 PIM: [0] (192.168.1.100,230.10.10.10/32) MRIB modify !DC
IPv4 PIM: (192.168.1.100,230.10.10.10) Start registering to 198.51.100.1                     <-- The FTD starts the registration process with the RP
IPv4 PIM: (192.168.1.100,230.10.10.10) Tunnel0 J/P state changed from Null to Join
IPv4 PIM: (192.168.1.100,230.10.10.10) Tunnel0 FWD state change from Prune to Forward
IPv4 PIM: (192.168.1.100,230.10.10.10) Updating J/P status from Null to Join
IPv4 PIM: (192.168.1.100,230.10.10.10) J/P scheduled in 0.0 secs
IPv4 PIM: [0] (192.168.1.100,230.10.10.10/32) INSIDE MRIB modify NS
IPv4 PIM: (192.168.1.100,230.10.10.10) Set SPT bit
IPv4 PIM: [0] (192.168.1.100,230.10.10.10/32) MRIB modify NS
IPv4 PIM: [0] (192.168.1.100,230.10.10.10/32) OUTSIDE MRIB modify !A
IPv4 PIM: [0] (192.168.1.100,230.10.10.10/32) INSIDE MRIB modify A !NS
IPv4 PIM: [0] (192.168.1.100,230.10.10.10/32) Tunnel0 MRIB modify F NS
IPv4 PIM: [0] (192.168.1.100,230.10.10.10/32) INSIDE MRIB modify !SP
IPv4 PIM: [0] (192.168.1.100,230.10.10.10/32) INSIDE MRIB update (f=2,c=20)
IPv4 PIM: J/P entry: Join root: 192.168.1.100 group: 230.10.10.10 flags: S                   <-- The FTD receives a PIM Join message from the RP for group 230.10.10.10
IPv4 PIM: (192.168.1.100,230.10.10.10) OUTSIDE J/P state changed from Null to Join
IPv4 PIM: (192.168.1.100,230.10.10.10) OUTSIDE FWD state change from Prune to Forward
IPv4 PIM: [0] (192.168.1.100,230.10.10.10/32) OUTSIDE MRIB modify F NS
IPv4 PIM: (192.168.1.100,230.10.10.10) OUTSIDE Raise J/P expiration timer to 210 seconds
IPv4 PIM: J/P entry: Join root: 192.168.1.100 group: 230.10.10.10 flags: S
IPv4 PIM: (192.168.1.100,230.10.10.10) OUTSIDE Raise J/P expiration timer to 210 seconds
IPv4 PIM: (192.168.1.100,230.10.10.10) Processing timers
IPv4 PIM: (192.168.1.100,230.10.10.10) J/P processing
IPv4 PIM: (192.168.1.100,230.10.10.10) Suppress J/P to connected source
IPv4 PIM: (192.168.1.100,230.10.10.10) Suppress J/P to connected source
IPv4 PIM: (192.168.1.100,230.10.10.10) Tunnel0 Processing timers
IPv4 PIM: J/P entry: Join root: 192.168.1.100 group: 230.10.10.10 flags: S
IPv4 PIM: (192.168.1.100,230.10.10.10) NET207 J/P state changed from Null to Join
IPv4 PIM: (192.168.1.100,230.10.10.10) NET207 FWD state change from Prune to Forward
IPv4 PIM: [0] (192.168.1.100,230.10.10.10/32) NET207 MRIB modify F NS
IPv4 PIM: (192.168.1.100,230.10.10.10) NET207 Raise J/P expiration timer to 210 seconds
IPv4 PIM: [0] (192.168.1.100,230.10.10.10/32) NET207 MRIB update (f=29,c=20)
IPv4 PIM: [0] (192.168.1.100,230.10.10.10) Signal presenta on NET207
IPv4 PIM: (192.168.1.100,230.10.10.10) Send [0/0] Assert on NET207
IPv4 PIM: [0] (192.168.1.100,230.10.10.10/32) NET207 MRIB modify !SP
IPv4 PIM: [0] (192.168.1.100,230.10.10.10/32) NET207 MRIB update (f=9,c=20)
IPv4 PIM: J/P entry: Prune root: 192.168.1.100 group: 230.10.10.10 flags: S
IPv4 PIM: (192.168.1.100,230.10.10.10) OUTSIDE J/P state changed from Join to Null
IPv4 PIM: (192.168.1.100,230.10.10.10) OUTSIDE FWD state change from Forward to Prune
IPv4 PIM: [0] (192.168.1.100,230.10.10.10/32) OUTSIDE MRIB modify !F !NS
IPv4 PIM: [0] (192.168.1.100,230.10.10.10/32) NET207 MRIB update (f=29,c=20)
IPv4 PIM: [0] (192.168.1.100,230.10.10.10) Signal presenta on NET207
IPv4 PIM: (192.168.1.100,230.10.10.10) Send [0/0] Assert on NET207
IPv4 PIM: [0] (192.168.1.100,230.10.10.10/32) NET207 MRIB modify !SP
IPv4 PIM: [0] (192.168.1.100,230.10.10.10/32) NET207 MRIB update (f=9,c=20)
IPv4 PIM: (192.168.1.100,230.10.10.10) OUTSIDE Processing timers
IPv4 PIM: (192.168.1.100,230.10.10.10) Received Register-Stop                               <-- The RP sends a Register-Stop message to FTD
IPv4 PIM: (192.168.1.100,230.10.10.10) Stop registering
IPv4 PIM: (192.168.1.100,230.10.10.10) Tunnel0 J/P state changed from Join to Null
IPv4 PIM: (192.168.1.100,230.10.10.10) Tunnel0 FWD state change from Forward to Prune
IPv4 PIM: [0] (192.168.1.100,230.10.10.10/32) Tunnel0 MRIB modify !F !NS
IPv4 PIM: (192.168.1.100,230.10.10.10) Received Register-Stop
IPv4 PIM: (192.168.1.100,230.10.10.10) Received Register-Stop
IPv4 PIM: (192.168.1.100,230.10.10.10) Received Register-Stop
IPv4 PIM: (192.168.1.100,230.10.10.10) Received Register-Stop
IPv4 PIM: (192.168.1.100,230.10.10.10) Received Register-Stop
IPv4 PIM: (192.168.1.100,230.10.10.10) Received Register-Stop
IPv4 PIM: (192.168.1.100,230.10.10.10) Received Register-Stop
IPv4 PIM: (192.168.1.100,230.10.10.10) Tunnel0 Processing timers
IPv4 PIM: [0] (192.168.1.100,230.10.10.10/32) INSIDE MRIB update (f=22,c=20)
IPv4 PIM: [0] (192.168.1.100,230.10.10.10) Signal presenta on INSIDE
IPv4 PIM: (192.168.1.100,230.10.10.10) Set alive timer to 210 sec
IPv4 PIM: [0] (192.168.1.100,230.10.10.10/32) INSIDE MRIB modify !SP
IPv4 PIM: [0] (192.168.1.100,230.10.10.10/32) INSIDE MRIB update (f=2,c=20)

PIM Registerメッセージは、PIMレジスタ情報とともにUDPデータを伝送するPIMメッセージです。

pim_register

PIM Register-Stopメッセージ：

pim_register-stop

ヒント: WiresharkでPIM登録メッセージとPIM登録停止メッセージのみを表示するには、表示フィルタpim.type in {1 2}を使用します。

ファイアウォール（ラストホップルータ）は、インターフェイスOUTSIDEでマルチキャストストリームを取得し、インターフェイスNET207への最短パスツリー(SPT)スイッチオーバーを開始します。

asa# debug pim group 230.10.10.10
IPv4 PIM group debugging is on
for group 230.10.10.10

IPv4 PIM: (*,230.10.10.10) Processing Periodic Join-Prune timer
IPv4 PIM: (*,230.10.10.10) J/P processing
IPv4 PIM: (*,230.10.10.10) Periodic J/P scheduled in 50 secs
IPv4 PIM: (*,230.10.10.10) J/P adding Join on OUTSIDE                                          <-- A PIM Join message is sent from the interface OUTSIDE
IPv4 PIM: [0] (192.168.1.100,230.10.10.10/32) OUTSIDE MRIB update (f=20,c=20)
IPv4 PIM: [0] (192.168.1.100,230.10.10.10) Signal presenta on OUTSIDE                          <-- The multicast packets arrive on the interface OUTSIDE
IPv4 PIM: (192.168.1.100,230.10.10.10) Create entry
IPv4 PIM: [0] (192.168.1.100,230.10.10.10/32) OUTSIDE MRIB modify NS
IPv4 PIM: (192.168.1.100,230.10.10.10) RPF changed from 0.0.0.0/- to 192.168.105.60/NET207     <-- The SPT switchover starts from the interface OUTSIDE to the interface NET207
IPv4 PIM: (192.168.1.100,230.10.10.10) Source metric changed from [0/0] to [110/20]
IPv4 PIM: [0] (192.168.1.100,230.10.10.10/32) MRIB modify DC
IPv4 PIM: [0] (192.168.1.100,230.10.10.10/32) OUTSIDE MRIB modify A NS
IPv4 PIM: [0] (192.168.1.100,230.10.10.10/32) INSIDE MRIB modify F NS
IPv4 PIM: (192.168.1.100,230.10.10.10) Set alive timer to 210 sec
IPv4 PIM: [0] (192.168.1.100,230.10.10.10/32) OUTSIDE MRIB modify !NS
IPv4 PIM: [0] (192.168.1.100,230.10.10.10/32) MRIB modify !DC
IPv4 PIM: (192.168.1.100,230.10.10.10) Updating J/P status from Null to Join
IPv4 PIM: (192.168.1.100,230.10.10.10) J/P scheduled in 0.0 secs
IPv4 PIM: [0] (192.168.1.100,230.10.10.10/32) NET207 MRIB modify NS
IPv4 PIM: [0] (192.168.1.100,230.10.10.10/32) OUTSIDE MRIB modify !SP
IPv4 PIM: [0] (192.168.1.100,230.10.10.10/32) OUTSIDE MRIB update (f=2,c=20)
IPv4 PIM: [0] (192.168.1.100,230.10.10.10/32) NET207 MRIB update (f=28,c=20)
IPv4 PIM: [0] (192.168.1.100,230.10.10.10) Signal presenta on NET207     
IPv4 PIM: (192.168.1.100,230.10.10.10) Set SPT bit                                             <-- The SPT bit is set
IPv4 PIM: [0] (192.168.1.100,230.10.10.10/32) MRIB modify !SP
IPv4 PIM: [0] (192.168.1.100,230.10.10.10/32) OUTSIDE MRIB modify !A
IPv4 PIM: [0] (192.168.1.100,230.10.10.10/32) NET207 MRIB modify A !NS
IPv4 PIM: (192.168.1.100,230.10.10.10)RPT Updating J/P status from Null to Prune
IPv4 PIM: (192.168.1.100,230.10.10.10)RPT Create entry
IPv4 PIM: (192.168.1.100,230.10.10.10)RPT J/P scheduled in 0.0 secs
IPv4 PIM: (192.168.1.100,230.10.10.10) Set alive timer to 210 sec
IPv4 PIM: [0] (192.168.1.100,230.10.10.10/32) NET207 MRIB modify !SP
IPv4 PIM: [0] (192.168.1.100,230.10.10.10/32) NET207 MRIB update (f=2,c=20)
IPv4 PIM: (192.168.1.100,230.10.10.10)RPT Processing timers
IPv4 PIM: (192.168.1.100,230.10.10.10)RPT J/P processing
IPv4 PIM: (192.168.1.100,230.10.10.10)RPT J/P adding Prune on OUTSIDE                         <-- A PIM Prune message is sent from the interface OUTSIDE
IPv4 PIM: (192.168.1.100,230.10.10.10)RPT Delete entry
IPv4 PIM: (192.168.1.100,230.10.10.10) Processing timers
IPv4 PIM: (192.168.1.100,230.10.10.10) J/P processing
IPv4 PIM: (192.168.1.100,230.10.10.10) Periodic J/P scheduled in 50 secs
IPv4 PIM: (192.168.1.100,230.10.10.10) J/P adding Join on NET207                              <-- A PIM Join message is sent from the interface NET207
IPv4 PIM: [0] (192.168.1.100,230.10.10.10/32) NET207 MRIB update (f=22,c=20)
IPv4 PIM: [0] (192.168.1.100,230.10.10.10) Signal presenta on NET207
IPv4 PIM: (192.168.1.100,230.10.10.10) Set alive timer to 210 sec
IPv4 PIM: [0] (192.168.1.100,230.10.10.10/32) NET207 MRIB modify !SP
IPv4 PIM: [0] (192.168.1.100,230.10.10.10/32) NET207 MRIB update (f=2,c=20)

スイッチオーバー発生時のFTDでのPIMデバッグ：

IPv4 PIM: J/P entry: Join root: 192.168.1.100 group: 230.10.10.10 flags: S
IPv4 PIM: (192.168.1.100,230.10.10.10) NET207 J/P state changed from Null to Join            <-- A PIM Join message is sent from the interface NET207
IPv4 PIM: (192.168.1.100,230.10.10.10) NET207 FWD state change from Prune to Forward         <-- The packets are sent from the interface NET207
IPv4 PIM: [0] (192.168.1.100,230.10.10.10/32) NET207 MRIB modify F NS
IPv4 PIM: (192.168.1.100,230.10.10.10) NET207 Raise J/P expiration timer to 210 seconds
IPv4 PIM: (192.168.1.100,230.10.10.10) Tunnel0 Processing timers
...
IPv4 PIM: [0] (192.168.1.100,230.10.10.10/32) NET207 MRIB update (f=9,c=20)
IPv4 PIM: J/P entry: Prune root: 192.168.1.100 group: 230.10.10.10 flags: S
IPv4 PIM: (192.168.1.100,230.10.10.10) OUTSIDE J/P state changed from Join to Null
IPv4 PIM: (192.168.1.100,230.10.10.10) OUTSIDE FWD state change from Forward to Prune        <-- A PIM Prune message is sent from the interface OUTSIDE

SPTスイッチオーバー開始後のFTD mroute:

firepower# show mroute 230.10.10.10

Multicast Routing Table
Flags: D - Dense, S - Sparse, B - Bidir Group, s - SSM Group,
       C - Connected, L - Local, I - Received Source Specific Host Report,
       P - Pruned, R - RP-bit set, F - Register flag, T - SPT-bit set,
       J - Join SPT
Timers: Uptime/Expires
Interface state: Interface, State

(192.168.1.100, 230.10.10.10), 00:00:06/00:03:23, flags: SFT                <-- SPT-bit is set when the switchover occurs
  Incoming interface: INSIDE
  RPF nbr: 192.168.1.100, Registering
  Immediate Outgoing interface list:
    NET207, Forward, 00:00:06/00:03:23                                      <-- Both interfaces are shown in OIL
    OUTSIDE, Forward, 00:00:06/00:03:23                                     <-- Both interfaces are shown in OIL
    Tunnel0, Forward, 00:00:06/never

SPTスイッチオーバーの終了時には、NET207インターフェイスだけがFTDのOILに示されます。

firepower# show mroute 230.10.10.10

Multicast Routing Table
Flags: D - Dense, S - Sparse, B - Bidir Group, s - SSM Group,
       C - Connected, L - Local, I - Received Source Specific Host Report,
       P - Pruned, R - RP-bit set, F - Register flag, T - SPT-bit set,
       J - Join SPT
Timers: Uptime/Expires
Interface state: Interface, State

(192.168.1.100, 230.10.10.10), 00:00:28/00:03:01, flags: SFT
  Incoming interface: INSIDE
  RPF nbr: 192.168.1.100
  Immediate Outgoing interface list:
    NET207, Forward, 00:00:28/00:03:01             <-- The interface NET207 forwards the multicast stream after the SPT switchover

ラストホップルータ(ASA)では、SPTビットも設定されます。

asa# show mroute 230.10.10.10
Multicast Routing Table
Flags: D - Dense, S - Sparse, B - Bidir Group, s - SSM Group,
       C - Connected, L - Local, I - Received Source Specific Host Report,
       P - Pruned, R - RP-bit set, F - Register flag, T - SPT-bit set,
       J - Join SPT
Timers: Uptime/Expires
Interface state: Interface, State

(*, 230.10.10.10), 01:43:09/never, RP 198.51.100.1, flags: SCJ
  Incoming interface: OUTSIDE
  RPF nbr: 192.168.104.61
  Immediate Outgoing interface list:
    INSIDE, Forward, 01:43:09/never

(192.168.1.100, 230.10.10.10), 00:00:03/00:03:27, flags: SJT        <-- SPT switchover for group 230.10.10.10
  Incoming interface: NET207                                        <-- The multicast packets arrive on interface NET207
  RPF nbr: 192.168.105.60
  Inherited Outgoing interface list:
    INSIDE, Forward, 01:43:09/never

ASA NET207インターフェイス（スイッチオーバーを実行したファーストホップルータ）からのスイッチオーバー PIM Joinメッセージがアップストリームデバイス(FTD)に送信されます。

spt_join

OUTSIDEインターフェイスでは、マルチキャストストリームを停止するために、PIM PruneメッセージがRPに送信されます。

spt_prune

PIMトラフィックの検証：

firepower# show pim traffic

PIM Traffic Counters
Elapsed time since counters cleared: 1w2d

                              Received     Sent
Valid PIM Packets             53934        63983
Hello                         36905        77023
Join-Prune                    6495         494          <-- PIM Join/Prune messages
Register                      0            2052         <-- PIM Register messages
Register Stop                 1501         0            <-- PIM Register Stop messages
Assert                        289          362
Bidir DF Election             0            0

Errors:
Malformed Packets                           0
Bad Checksums                               0
Send Errors                                 0
Packet Sent on Loopback Errors              0
Packets Received on PIM-disabled Interface  0
Packets Received with Unknown PIM Version   0
Packets Received with Incorrect Addressing  0

低速パスと高速パスとコントロールポイントで処理されたパケットの数を確認するには、次の手順を実行します。

firepower# show asp cluster counter

Global dp-counters:


Context specific dp-counters:
MCAST_FP_FROM_PUNT                      2712    Number of multicast packets punted from CP to FP
MCAST_FP_FORWARDED                      94901   Number of multicast packets forwarded in FP
MCAST_FP_TO_SP                          1105138 Number of multicast packets punted from FP to SP
MCAST_SP_TOTAL                          1107850 Number of total multicast packets processed in SP
MCAST_SP_FROM_PUNT                      2712    Number of multicast packets punted from CP to SP
MCAST_SP_FROM_PUNT_FORWARD              2712    Number of multicast packets coming from CP that are forwarded
MCAST_SP_PKTS                           537562  Number of multicast packets that require slow-path attention
MCAST_SP_PKTS_TO_FP_FWD                 109     Number of multicast packets that skip over punt rule and are forwarded
MCAST_SP_PKTS_TO_CP                     166981  Number of multicast packets punted to CP from SP
MCAST_FP_CHK_FAIL_NO_HANDLE             567576  Number of multicast packets failed with no flow mcast_handle
MCAST_FP_CHK_FAIL_NO_ACCEPT_IFC         223847  Number of multicast packets failed with no accept interface
MCAST_FP_CHK_FAIL_NO_SEQ_NO_MATCH       131     Number of multicast packets failed with no matched sequence number
MCAST_FP_CHK_FAIL_NO_FP_FWD             313584  Number of multicast packets that cannot be fast-path forwarded
MCAST_FP_UPD_FOR_UNMATCH_IFC            91      Number of times that multicast flow's ifc_out  cannot be found on mcast entry's interface list

ステップごとの動作を示す図：

multicast_all_transactions

エンドホスト(H2)は、マルチキャストストリーム230.10.10.10に参加するためにIGMPレポートを送信します。
PIM DRであるラストホップルータ(ASA)は(*, 230.10.10.10)エントリを作成します。
ASAがグループ230.10.10.10に対するPIM JoinメッセージをRPに送信します。
RPによって(*, 230.10.10.10)エントリが作成されます。
サーバはマルチキャストストリームデータを送信します。
FTDはマルチキャストパケットをPIMレジスタメッセージにカプセル化し（ユニキャスト）、RPに送信します。この時点で、RPはアクティブなレシーバがあることを認識し、マルチキャストパケットをカプセル化解除して、レシーバに送信します。
RPはPIM JoinメッセージをFTDに送信し、マルチキャストツリーに参加します。
RPからFTDにPIM Register-Stopメッセージが送信されます。
FTDはRPに対してネイティブマルチキャストストリーム（PIMカプセル化なし）を送信します。
ラストホップルータ(ASA)は、送信元(192.168.1.100)がNET207インターフェイスからの適切なパスを持っていることを認識し、スイッチオーバーを開始します。PIM Joinメッセージをアップストリームデバイス(FTD)に送信します。
ラストホップルータはPIM PruneメッセージをRPに送信します。
FTDはマルチキャストストリームをNET207インターフェイスに転送します。ASAは共有ツリー（RPツリー）から送信元ツリー(SPT)に移動します。

タスク2:PIMブートストラップルータ(BSR)の設定

BSRの基本

BSR(RFC 5059)は、PIMプロトコルを使用するコントロールプレーンマルチキャストメカニズムで、デバイスはRP情報を動的に学習できます。
BSR定義：
- 候補RP(C-RP):RPになろうとするデバイス。
- 候補BSR(C-BSR):BSRになることを望み、RPセットを他のデバイスにアドバタイズするデバイス。
- BSR：多数のC-BSRの中からBSRに選出されるデバイス。最も高いBSRプライオリティが選出されます。
- RP-set：すべてのC-RPとその優先順位のリスト。
- RP:RPプライオリティが最も低いデバイスが選出されます。
- BSR PIM message（空）:BSRの選択で使用されるPIMメッセージ。
- BSR PIMメッセージ（通常）:224.0.0.13 IPに送信されるPIMメッセージで、RPセットとBSR情報が含まれています。

BSRの仕組み

1. BSR選択メカニズム。

各C-BSRは、プライオリティを含むPIM BSRの空のメッセージを送信します。最も高いプライオリティ（フォールバックが最も高いIP）を持つデバイスが選出され、BSRになります。残りのデバイスは、空のBSRメッセージをまったく送信しません。

bsr2

選択プロセスで使用されるBSRメッセージには、C-BSRの優先順位情報だけが含まれます。

adv_bsr_empty

WiresharkでBSRメッセージを表示するには、次の表示フィルタを使用します。pim.type == 4

2. C-RPは、C-RPプライオリティを含むユニキャスト BSRメッセージをBSRに送信します。

bsr3

候補RPメッセージ：

candidate_RP

WiresharkでBSRメッセージを表示するには、次の表示フィルタを使用します。pim.type == 8

3. BSRはRPセットを作成し、すべてのPIMネイバーにアドバタイズします。

bsr4

adv_rps

4. ルータ/ファイアウォールはRPセットを取得し、最も低いプライオリティに基づいてRPを選択します。

bsr5

タスクの要件

次のトポロジに従ってC-BSRとC-RPを設定します。

bsr_topology

このタスクでは、FTDは自身をBSRプライオリティ0の外部インターフェイスでC-BSRとしてアナウンスする必要があります。

解決方法

FTDのFMC設定：

bsr_config_ftd

導入された設定は次のとおりです。

multicast-routing
!
pim bsr-candidate OUTSIDE 0 0

その他のデバイスの設定：

ip multicast-routing
ip pim bsr-candidate Loopback0 0
ip pim rp-candidate Loopback0
!
interface Loopback0
 ip address 192.0.2.1 255.255.255.255
 ip pim sparse-mode
!
! PIM is also enabled on the transit interfaces (e.g. G0/0.203, G0/0.207, G0/0.205)

R2でも同じですが、C-BSRとC-RPのプライオリティが異なります

ip pim bsr-candidate Loopback0 0 100
ip pim rp-candidate Loopback0 priority 100

ASAでは、グローバルに有効なマルチキャストのみがあります。これにより、すべてのインターフェイスでPIMが有効になります。

multicast-routing

検証

プライオリティが最も高いため、R2がBSRに選出されます。

firepower# show pim bsr-router

PIMv2 BSR information

BSR Election Information
     BSR Address: 192.0.2.2             <-- This is the IP of the BSR (R1 lo0)
     Uptime: 00:03:35, BSR Priority: 100, Hash mask length: 0
     RPF: 192.168.1.70,INSIDE           <-- The interface to the BSR
     BS Timer: 00:01:34
  This system is candidate BSR
      Candidate BSR address: 192.168.103.50, priority: 0, hash mask length: 0

R1は優先順位が最も低いためRPとして選択されます。

firepower# show pim group-map

Group Range        Proto    Client    Groups RP address    Info

224.0.1.39/32*     DM       static    0      0.0.0.0
224.0.1.40/32*     DM       static    0      0.0.0.0
224.0.0.0/24*      L-Local  static    1      0.0.0.0
232.0.0.0/8*       SSM      config    0      0.0.0.0
224.0.0.0/4*       SM       BSR       0      192.0.2.1     RPF: OUTSIDE,192.168.103.61     <-- The elected BSR
224.0.0.0/4        SM       BSR       0      192.0.2.2     RPF: INSIDE,192.168.1.70
224.0.0.0/4        SM       static    0      0.0.0.0       RPF: ,0.0.0.0

BSRメッセージはRPFチェックの対象となります。これを確認するには、debug pim bsrを有効にします。

IPv4 BSR: Received BSR message from 192.168.105.50 for 192.0.2.2, BSR priority 100 hash mask length 0
IPv4 BSR: BSR message from 192.168.105.50/NET207 for 192.0.2.2 RPF failed, dropped         <-- The RPF check for the received BSR message failed

RPFインターフェイスを変更する場合は、スタティックなmrouteを設定できます。この例では、ファイアウォールはIP 192.168.105.50からのBSRメッセージを受け入れます。

mroute_bsr

firepower# show run mroute
mroute 192.0.2.2 255.255.255.255 192.168.105.50

firepower# show pim bsr-router

PIMv2 BSR information

BSR Election Information
     BSR Address: 192.0.2.2
     Uptime: 01:21:38, BSR Priority: 100, Hash mask length: 0
     RPF: 192.168.105.50,NET207      <-- The RPF check points to the static mroute
     BS Timer: 00:01:37
This system is candidate BSR
      Candidate BSR address: 192.168.103.50, priority: 0, hash mask length: 0

ここで、NET207インターフェイスのBSRメッセージは受け入れられますが、INSIDEではドロップされます。

IPv4 BSR: Received BSR message from 192.168.1.70 for 192.0.2.2, BSR priority 100 hash mask length 0
IPv4 BSR: BSR message from 192.168.1.70/INSIDE for 192.0.2.2 RPF failed, dropped                          <-- RPF failure on INSIDE
...
IPv4 BSR: Received BSR message from 192.168.105.50 for 192.0.2.2, BSR priority 100 hash mask length 0     <-- RPF check is OK

ファイアウォールでトレースによるキャプチャを有効にし、BSRメッセージの処理方法を確認します。

firepower# show capture
capture CAPI type raw-data trace interface INSIDE [Capturing - 276 bytes]
  match pim any any
capture CAPO type raw-data trace interface OUTSIDE [Capturing - 176 bytes]
  match pim any any

PIM接続はファイアウォールで終端されるため、トレースで有用な情報を表示するには、ボックスへの接続をクリアする必要があります。

firepower# show conn all | i PIM
firepower# show conn all | include PIM
PIM OUTSIDE 192.168.103.61 NP Identity Ifc 224.0.0.13, idle 0:00:23, bytes 116802, flags
PIM NET207 192.168.104.50 NP Identity Ifc 224.0.0.13, idle 0:00:17, bytes 307296, flags
PIM NET207 192.168.104.61 NP Identity Ifc 224.0.0.13, idle 0:00:01, bytes 184544, flags
PIM NET207 192.168.105.50 NP Identity Ifc 224.0.0.13, idle 0:00:18, bytes 120248, flags
PIM INSIDE 192.168.1.70 NP Identity Ifc 224.0.0.13, idle 0:00:27, bytes 15334, flags
PIM OUTSIDE 224.0.0.13 NP Identity Ifc 192.168.103.50, idle 0:00:21, bytes 460834, flags
PIM INSIDE 224.0.0.13 NP Identity Ifc 192.168.1.50, idle 0:00:00, bytes 441106, flags
PIM NET207 224.0.0.13 NP Identity Ifc 192.168.105.60, idle 0:00:09, bytes 458462, flags

firepower# clear conn all addr 224.0.0.13
8 connection(s) deleted.
firepower# clear cap /all

firepower# show capture CAPI packet-number 2 trace

6 packets captured

2: 11:31:44.390421 802.1Q vlan#205 P6 192.168.1.70 > 224.0.0.13 ip-proto-103, length 38        <-- Ingress PIM packet
Phase: 1
Type: CAPTURE
Subtype:
Result: ALLOW
Elapsed time: 4880 ns
Config:
Additional Information:
MAC Access list

Phase: 2
Type: ACCESS-LIST
Subtype:
Result: ALLOW
Elapsed time: 4880 ns
Config:
Implicit Rule
Additional Information:
MAC Access list

Phase: 3
Type: ROUTE-LOOKUP
Subtype: No ECMP load balancing
Result: ALLOW
Elapsed time: 9760 ns
Config:
Additional Information:
Destination is locally connected. No ECMP load balancing.
Found next-hop 192.168.1.70 using egress ifc INSIDE(vrfid:0)

Phase: 4
Type: CLUSTER-DROP-ON-SLAVE
Subtype: cluster-drop-on-slave
Result: ALLOW
Elapsed time: 4392 ns
Config:
Additional Information:

Phase: 5
Type: ACCESS-LIST
Subtype:
Result: ALLOW
Elapsed time: 4392 ns
Config:
Implicit Rule
Additional Information:

Phase: 6
Type: NAT
Subtype: per-session
Result: ALLOW
Elapsed time: 4392 ns
Config:
Additional Information:

Phase: 7
Type: IP-OPTIONS
Subtype:
Result: ALLOW
Elapsed time: 4392 ns
Config:
Additional Information:

Phase: 8
Type: CLUSTER-REDIRECT
Subtype: cluster-redirect
Result: ALLOW
Elapsed time: 18056 ns
Config:
Additional Information:

Phase: 9
Type: MULTICAST             <-- The multicast process
Subtype: pim
Result: ALLOW
Elapsed time: 976 ns
Config:
Additional Information:

Phase: 10
Type: MULTICAST
Subtype:
Result: ALLOW
Elapsed time: 488 ns
Config:
Additional Information:

Phase: 11
Type: FLOW-CREATION
Subtype:
Result: ALLOW
Elapsed time: 20008 ns
Config:
Additional Information:
New flow created with id 25630, packet dispatched to next module

Result:
input-interface: INSIDE(vrfid:0)
input-status: up
input-line-status: up
output-interface: INSIDE(vrfid:0)
output-status: up
output-line-status: up
Action: allow
Time Taken: 76616 ns

RPF障害が原因でPIMパケットがドロップされた場合、トレースには次のように表示されます。

firepower# show capture NET207 packet-number 4 trace

85 packets captured

4: 11:31:42.385951 802.1Q vlan#207 P6 192.168.104.61 > 224.0.0.13 ip-proto-103, length 38        <-- Ingress PIM packet
Phase: 1
Type: CAPTURE
Subtype:
Result: ALLOW
Elapsed time: 5368 ns
Config:
Additional Information:
MAC Access list

Phase: 2
Type: ACCESS-LIST
Subtype:
Result: ALLOW
Elapsed time: 5368 ns
Config:
Implicit Rule
Additional Information:
MAC Access list

Phase: 3
Type: INPUT-ROUTE-LOOKUP
Subtype: Resolve Egress Interface
Result: ALLOW
Elapsed time: 11224 ns
Config:
Additional Information:
Found next-hop 192.168.103.61 using egress ifc OUTSIDE(vrfid:0)

Phase: 4
Type: INPUT-ROUTE-LOOKUP
Subtype: Resolve Egress Interface
Result: ALLOW
Elapsed time: 3416 ns
Config:
Additional Information:
Found next-hop 192.168.103.61 using egress ifc OUTSIDE(vrfid:0)

Result:
input-interface: NET207(vrfid:0)
input-status: up
input-line-status: up
output-interface: OUTSIDE(vrfid:0)
output-status: up
output-line-status: up
Action: drop
Time Taken: 25376 ns
Drop-reason: (rpf-violated) Reverse-path verify failed, Drop-location: frame 0x0000558f240d6e15 flow (NA)/NA    <-- the packet is dropped due to RPF check failure

ASPテーブルがドロップされ、キャプチャに「RPF-failed packets:

firepower# show asp drop

Frame drop:
  Reverse-path verify failed (rpf-violated)                                  122       <-- Multicast RPF drops
  Flow is denied by configured rule (acl-drop)                               256
  FP L2 rule drop (l2_acl)                                                   768

RPF障害が原因でドロップされたパケットをキャプチャするには、次のコマンドを実行します。

firepower# capture ASP type asp-drop rpf-violated

firepower# show capture ASP | include 224.0.0.13
2: 11:36:20.445960 802.1Q vlan#207 P6 192.168.104.50 > 224.0.0.13 ip-proto-103, length 38
10: 11:36:38.787846 802.1Q vlan#207 P6 192.168.104.61 > 224.0.0.13 ip-proto-103, length 38
15: 11:36:48.299743 802.1Q vlan#207 P6 192.168.104.50 > 224.0.0.13 ip-proto-103, length 46
16: 11:36:48.300063 802.1Q vlan#207 P6 192.168.104.61 > 224.0.0.13 ip-proto-103, length 46

トラブルシューティング手法

ファイアウォールのトラブルシューティング方法は、主にマルチキャストトポロジでのファイアウォールの役割によって異なります。次に、トラブルシューティングの推奨手順のリストを示します。

問題の説明と症状の詳細を明確にする。範囲をコントロールプレーン(IGMP/PIM)の問題か、データプレーン（マルチキャストストリーム）の問題に絞り込んでください。
ファイアウォールでマルチキャストの問題をトラブルシューティングするための必須の前提条件は、マルチキャストトポロジを明確にすることです。少なくとも、次のものを特定する必要があります。
- マルチキャストトポロジでのファイアウォールのロール（FHR、LHR、RP、または別の中間ロール）。
- ファイアウォールで想定されるマルチキャストの入力インターフェイスと出力インターフェイス
- RP.
- 送信者の送信元IPアドレス。
- マルチキャストグループIPアドレスと宛先ポート。
- マルチキャストストリームのレシーバ。

3. マルチキャストルーティングのタイプ(スタブまたはPIMマルチキャストルーティング)を特定します。

スタブマルチキャストルーティング：動的なホスト登録を提供し、マルチキャストルーティングを容易にします。スタブマルチキャストルーティングが設定されている場合、ASAはIGMPプロキシエージェントとして機能します。ASAは、マルチキャストルーティングに全面的に参加する代わりに、IGMPメッセージをアップストリームマルチキャストルータに転送します。これにより、マルチキャストデータの配信が設定されます。スタブモードルーティングを特定するには、show igmp interfaceコマンドを使用して、IGMP転送設定を確認します。

firepower# show igmp interface          
inside is up, line protocol is up
  Internet address is 192.168.2.2/24
  IGMP is disabled on interface
outside is up, line protocol is up
  Internet address is 192.168.3.1/24
  IGMP is enabled on interface
  Current IGMP version is 2
  IGMP query interval is 125 seconds
  IGMP querier timeout is 255 seconds
  IGMP max query response time is 10 seconds
  Last member query response interval is 1 seconds
  Inbound IGMP access group is:
  IGMP limit is 500, currently active joins: 0
  Cumulative IGMP activity: 0 joins, 0 leaves
  IGMP forwarding on interface inside
  IGMP querying router is 192.168.3.1 (this system)

インターフェイスでPIMが有効になっているが、ネイバーシップが確立されていない。

firepower# show pim interface 
Address          Interface          PIM  Nbr   Hello  DR         DR
                                         Count Intvl  Prior

192.168.2.2      inside             on   0     30     1          this system
192.168.3.1      outside            on   0     30     1          this system

firepower# show pim neighbor
No neighbors found.

PIM-SM/BidirとIGMPフォワーディングが同時にサポートされることはありません。

RPアドレスなどのオプションは設定できません。

%Error: PIM-SM/Bidir and IGMP forwarding are not supported concurrently

PIMマルチキャストルーティング:PIMマルチキャストルーティングは、最も一般的な展開です。ファイアウォールは、PIM-SMと双方向PIMの両方をサポートします。PIM-SMは、基盤となるユニキャストルーティング情報ベースまたは個別のマルチキャスト対応ルーティング情報ベースを使用するマルチキャストルーティングプロトコルです。マルチキャストグループごとに1つのランデブーポイント(RP)をルートとする単方向共有ツリー(UDT)を構築し、オプションでマルチキャストソースごとに最短パスツリーを作成します。この導入モードでは、スタブモードとは異なり、ユーザは通常、RPアドレスの設定を行い、ファイアウォールはピアとのPIM隣接関係を確立します。

firepower# show run pim 
pim rp-address 10.10.10.1    

firepower# show pim group-map
Group Range         Proto   Client   Groups RP address      Info
224.0.1.39/32*      DM      static   0      0.0.0.0        
224.0.1.40/32*      DM      static   0      0.0.0.0        
224.0.0.0/24*       L-Local static   1      0.0.0.0        
232.0.0.0/8*        SSM     config   0      0.0.0.0        
224.0.0.0/4*        SM      config   1      10.10.10.1     RPF: inside,192.168.2.1 <--- RP address is 10.10.1.1
224.0.0.0/4         SM      static   0      0.0.0.0         RPF: ,0.0.0.0

firepower# show pim neighbor
Neighbor Address  Interface          Uptime    Expires DR pri Bidir
192.168.2.1       inside             00:02:52  00:01:19 1    
192.168.3.100     outside            00:03:03  00:01:39 1 (DR)

4. RP IPアドレスが設定されていて、到達可能性があることを確認します。

firepower# show run pim   
pim rp-address 10.10.10.1

firepower# show pim group-map 

Group Range         Proto   Client   Groups RP address      Info
224.0.1.39/32*      DM      static   0      0.0.0.0        
224.0.1.40/32*      DM      static   0      0.0.0.0        
224.0.0.0/24*       L-Local static   1      0.0.0.0        
232.0.0.0/8*        SSM     config   0      0.0.0.0        
224.0.0.0/4*        SM      config   1      10.10.10.1     RPF: inside,192.168.2.1 <--- RP is 10.10.10.1
224.0.0.0/4         SM      static   0      0.0.0.0         RPF: ,0.0.0.0

firepower# show pim group-map 

Group Range         Proto   Client   Groups RP address      Info
224.0.1.39/32*      DM      static   0      0.0.0.0        
224.0.1.40/32*      DM      static   0      0.0.0.0        
224.0.0.0/24*       L-Local static   1      0.0.0.0        
232.0.0.0/8*        SSM     config   0      0.0.0.0        
224.0.0.0/4*        SM      config   1      192.168.2.2     RPF: Tunnel0,192.168.2.2 (us) <--- “us” means RP is the firewall. This means FTD is the RP
224.0.0.0/4         SM      static   0      0.0.0.0         RPF: ,0.0.0.0

警告：ファイアウォールをRPとFHRの両方を同時に使用することはできません。

5. マルチキャストトポロジでのファイアウォールの役割と問題の症状に応じて、追加の出力を確認します。

FHR

インターフェイスTunnel0のステータスをチェックします。このインターフェイスは、PIMペイロード内のrawマルチキャストトラフィックをカプセル化し、PIMレジスタビットが設定されたRPにユニキャストパケットを送信するために使用されます。

firepower# show interface detail  | b Interface Tunnel0
Interface Tunnel0 "", is up, line protocol is up
  Hardware is   Available but not configured via nameif
        MAC address 0000.0000.0000, MTU not set
        IP address unassigned
  Control Point Interface States:
        Interface number is un-assigned
        Interface config status is active
        Interface state is active

firepower# show pim tunnel
Interface          RP Address        Source Address
Tunnel0            10.10.10.1       192.168.2.2

mroutesをチェックします。

firepower# show mroute 
Multicast Routing Table
Flags: D - Dense, S - Sparse, B - Bidir Group, s - SSM Group,
       C - Connected, L - Local, I - Received Source Specific Host Report,
       P - Pruned, R - RP-bit set, F - Register flag, T - SPT-bit set,
       J - Join SPT
Timers: Uptime/Expires
Interface state: Interface, State

(192.168.2.1, 230.1.1.1), 00:00:07/00:03:22, flags: SFT
  Incoming interface: inside
  RPF nbr: 192.168.2.1, Registering <--- Registering state 
  Immediate Outgoing interface list:
    outside, Forward, 00:00:07/00:03:26
    Tunnel0, Forward, 00:00:07/never <--- Tunnel0 is in OIL, that indicates raw traffic is encapsulated.

ファイアウォールがRegister-Stopビットを含むPIMパケットを受信すると、OILからTunnel0が削除されます。その後、ファイアウォールはカプセル化を停止し、出力インターフェイス経由でrawマルチキャストトラフィックを送信します。

firepower# show mroute 
Multicast Routing Table
Flags: D - Dense, S - Sparse, B - Bidir Group, s - SSM Group,
       C - Connected, L - Local, I - Received Source Specific Host Report,
       P - Pruned, R - RP-bit set, F - Register flag, T - SPT-bit set,
       J - Join SPT
Timers: Uptime/Expires
Interface state: Interface, State

(192.168.2.1, 230.1.1.1), 00:07:26/00:02:59, flags: SFT
  Incoming interface: inside
  RPF nbr: 192.168.2.1
  Immediate Outgoing interface list:
    outside, Forward, 00:07:26/00:02:59

PIMレジスタカウンタを確認します。

firepower# show pim traffic

PIM Traffic Counters
Elapsed time since counters cleared: 00:13:13

                              Received     Sent
Valid PIM Packets             42           58       
Hello                         27           53       
Join-Prune                    9            0        
Register                      0            8  <--- Sent to the RP               
Register Stop                 6            0  <--- Received from the RP       
Assert                        0            0        
Bidir DF Election             0            0        

Errors:
Malformed Packets                           0         
Bad Checksums                               0        
Send Errors                                 0        
Packet Sent on Loopback Errors              0        
Packets Received on PIM-disabled Interface  0        
Packets Received with Unknown PIM Version   0        
Packets Received with Incorrect Addressing  0

ファイアウォールとRPの間のユニキャストPIMパケットキャプチャを確認します。

firepower# capture capo interface outside match pim any host 10.10.10.1 <--- RP IP
firepower# show capture  capi

4 packets captured

  1: 09:53:28.097559       192.168.3.1 > 10.10.10.1  ip-proto-103, length 50     <--- Unicast to RP
  2: 09:53:32.089167       192.168.3.1 > 10.10.10.1  ip-proto-103, length 50
  3: 09:53:37.092890       192.168.3.1 > 10.10.10.1  ip-proto-103, length 50
  4: 09:53:37.095850       10.10.10.1 > 192.168.3.1  ip-proto-103, length 18     <--- Unicast from RP

追加の出力を収集します（x.x.x.xはマルチキャストグループ、y.y.y.yはRP IP）。出力を数回収集することをお勧めします。

show conn all protocol udp address x.x.x.x
show local-host x.x.x.x
show asp event dp-cp
show asp drop
show asp cluster counter
show asp table routing y.y.y.y
show route y.y.y.y
show mroute
show pim interface 
show pim neighbor
show pim traffic
show igmp interface
show mfib count

生のマルチキャストインターフェイスパケットとASPドロップキャプチャを収集します。

capture capi interface 
    
    
      buffer 32000000 match udp host X host Z <--- (ingress capture for multicast UDP traffic from host X to group Z) 
    
capture capo interface 
    
    
      buffer 32000000 match udp host X host Z <--- (egress capture for multicast UDP traffic from host X to group Z) 
     
capture asp type asp-drop buffer 32000000 match udp host X host Z <--- (ASP drop capture for multicast UDP traffic from host X to group Z)

syslogメッセージ：一般的なIDは、302015、302016、および710005です。

インターフェイスTunnel0のステータスをチェックします。このインターフェイスは、PIMペイロード内のrawマルチキャストトラフィックをカプセル化し、PIM-stopビットが設定されたFHRにユニキャストパケットを送信するために使用されます。

firepower# show interface detail  | b Interface Tunnel0
Interface Tunnel0 "", is up, line protocol is up
  Hardware is   Available but not configured via nameif
        MAC address 0000.0000.0000, MTU not set
        IP address unassigned
  Control Point Interface States:
        Interface number is un-assigned
        Interface config status is active
        Interface state is active

firepower# show pim tunnel 
Interface          RP Address        Source Address

Tunnel0            192.168.2.2       192.168.2.2
Tunnel0            192.168.2.2        -

mroutesをチェックします。

firepower# show mroute 

Multicast Routing Table
Flags: D - Dense, S - Sparse, B - Bidir Group, s - SSM Group,
       C - Connected, L - Local, I - Received Source Specific Host Report,
       P - Pruned, R - RP-bit set, F - Register flag, T - SPT-bit set,
       J - Join SPT
Timers: Uptime/Expires
Interface state: Interface, State

(*, 230.1.1.1), 01:04:30/00:02:50, RP 192.168.2.2, flags: S <--- *,G entry
  Incoming interface: Tunnel0 
  RPF nbr: 192.168.2.2
  Immediate Outgoing interface list:
    outside, Forward, 01:04:30/00:02:50

(192.168.1.100, 230.1.1.1), 00:00:04/00:03:28, flags: ST S <--- S,G entry
  Incoming interface: inside
  RPF nbr: 192.168.2.1
  Immediate Outgoing interface list:
    outside, Forward, 00:00:03/00:03:25

PIMカウンタのチェック：

firepower # show pim traffic 
PIM Traffic Counters
Elapsed time since counters cleared: 02:24:37

                              Received     Sent
Valid PIM Packets             948          755       
Hello                         467          584       
Join-Prune                    125          32        
Register                      344          16        
Register Stop                 12           129       
Assert                        0            0        
Bidir DF Election             0            0        

Errors:
Malformed Packets                           0        
Bad Checksums                               0        
Send Errors                                 0        
Packet Sent on Loopback Errors              0        
Packets Received on PIM-disabled Interface  0         
Packets Received with Unknown PIM Version   0        
Packets Received with Incorrect Addressing  0

追加の出力を収集します（x.x.x.xはマルチキャストグループ、y.y.y.yはRP IP）。出力を数回収集することをお勧めします。

show conn all protocol udp address x.x.x.x
show conn all | i PIM
show local-host x.x.x.x
show asp event dp-cp
show asp drop
show asp cluster counter
show asp table routing y.y.y.y
show route y.y.y.y
show mroute
show pim interface 
show pim neighbor
show igmp interface
show mfib count

生のマルチキャストインターフェイスパケットとASPドロップキャプチャを収集します。

capture capi interface 
    
    
      buffer 32000000 match udp host X host Z <--- (ingress capture for multicast UDP traffic from host X to group Z) 
    
capture capo interface 
    
    
      buffer 32000000 match udp host X host Z <--- (egress capture for multicast UDP traffic from host X to group Z) 
    
capture asp type asp-drop buffer 32000000 match udp host X host Z <--- (ASP drop capture for multicast UDP traffic from host X to group Z)

Syslog：一般的なIDは、302015、302016、および710005です。

LHR

RPのセクションで説明した手順と、次の追加チェックを考慮してください。

Mroutes:

firepower# show mroute 

Multicast Routing Table
Flags: D - Dense, S - Sparse, B - Bidir Group, s - SSM Group,
       C - Connected, L - Local, I - Received Source Specific Host Report,
       P - Pruned, R - RP-bit set, F - Register flag, T - SPT-bit set,
       J - Join SPT
Timers: Uptime/Expires
Interface state: Interface, State

(*, 230.1.1.1), 00:23:30/never, RP 10.10.10.1, flags: SCJ <--- C flag means connected receiver
  Incoming interface: inside
  RPF nbr: 192.168.2.1
  Immediate Outgoing interface list:
    outside, Forward, 00:23:30/never

(192.168.1.100, 230.1.1.1), 00:00:36/00:03:04, flags: SJT <--- J flag indicates switchover to SPT, T flag indicates that packets have been received on the shortest path source tree.
  Incoming interface: inside
  RPF nbr: 192.168.2.1
  Inherited Outgoing interface list:
    outside, Forward, 00:23:30/never

(*, 230.1.1.2), 00:01:50/never, RP 10.10.10.1, flags: SCJ <--- C flag means connected receiver
  Incoming interface: inside
  RPF nbr: 192.168.2.1
  Immediate Outgoing interface list:
    outside, Forward, 00:01:50/never

(192.168.1.100, 230.1.1.2), 00:00:10/00:03:29, flags: SJT <--- <--- J flag indicates switchover to SPT, T flag indicates that packets have been received on the shortest path source tree.
  Incoming interface: inside
  RPF nbr: 192.168.2.1
  Inherited Outgoing interface list:
    outside, Forward, 00:01:50/never

IGMPグループ：

firepower# show igmp groups detail <--- The list of IGMP groups 
Interface:      outside
Group:          230.1.1.1
Uptime:         00:21:42
Router mode:    EXCLUDE (Expires: 00:03:17)
Host mode:      INCLUDE
Last reporter:  192.168.3.100 <--- Host joined group 230.1.1.1
Source list is empty
Interface:      outside

Group:          230.1.1.2
Uptime:         00:00:02
Router mode:    EXCLUDE (Expires: 00:04:17)
Host mode:      INCLUDE
Last reporter:  192.168.3.101 <--- Host joined group 230.1.1.2
Source list is empty

IGMPトラフィック統計情報：

firepower# show igmp traffic

IGMP Traffic Counters
Elapsed time since counters cleared: 1d04h

                              Received     Sent
Valid IGMP Packets            2468         856      
Queries                       2448         856    
Reports                       20           0        
Leaves                        0            0        
Mtrace packets                0            0        
DVMRP packets                 0            0        
PIM packets                   0            0        

Errors:
Malformed Packets             0        
Martian source                0        
Bad Checksums                 0

PIMトラブルシューティングコマンド（チートシート）

コマンド	説明
show running-config multicast-routing（隠しコマンド）	マルチキャストルーティングがファイアウォールで有効になっているかどうかを確認するには
show run mroute	ファイアウォールで設定されているスタティックなmrouteを表示するには
show running-config pim（PIMの実行）	ファイアウォール上のPIM設定を表示する
show pim interface（PIMインターフェイスの表示）	どのファイアウォールインターフェイスでPIMが有効になっており、PIMネイバーが存在するかを確認します。
show pim neighbor（PIMネイバーを表示）	PIMネイバーを表示するには
show pim group-map（PIMのグループマップを表示）	RPにマップされているマルチキャストグループを表示するには
show mroute	完全なマルチキャストルーティングテーブルを表示するには
show mroute 230.10.10.10	特定のマルチキャストグループのマルチキャストテーブルを表示するには
show pim tunnel（PIMトンネルの表示）	ファイアウォールとRPの間にPIMトンネルが構築されているかどうかを確認する
show conn all detail address RP_IP_ADDRESS（すべての詳細アドレスのshow conn RP_IP_ADDRESS）	ファイアウォールとRPの間で接続（PIMトンネル）が確立されているかどうかを確認する
PIMトポロジの表示	ファイアウォールPIMトポロジ出力を表示するには
PIMのデバッグ	このデバッグでは、ファイアウォールとの間で送受信されるすべてのPIMメッセージが表示されます
debug pim group 230.10.10.10	このデバッグでは、特定のマルチキャストグループに関するファイアウォールとの間のすべてのPIMメッセージが表示されます
PIMトラフィックの表示	PIMメッセージの送受信に関する統計情報を表示する
show asp clusterカウンタ	低速パスと高速パスとコントロールポイントで処理されたパケットの数を確認する
show asp drop	ファイアウォール上のすべてのソフトウェアレベルのドロップを表示する
capture CAP interface INSIDE trace match pim any any	ファイアウォール上の入力PIMマルチキャストパケットをキャプチャしてトレースする
cap interface INSIDEトレースのキャプチャ：udp host 224.1.2.3 any	入力マルチキャストストリームをキャプチャしてトレースする
show pim bsr-routerコマンド	選出されたBSRルータを確認する
show conn all address 224.1.2.3（すべてのアドレスを表示）	親マルチキャスト接続を表示するには
show local-host 224.1.2.3（ローカルホストを表示）	子/スタブマルチキャスト接続を表示するには

ファイアウォールキャプチャの詳細については、「Firepower Threat Defense(FTD)キャプチャおよびPacket Tracerを使用する」を参照してください。

既知の問題

Firepowerマルチキャストの制限事項：

IPv6をサポートしない
PIM/IGMPマルチキャストは、トラフィックゾーン(EMCP)内のインターフェイスではサポートされません。
ファイアウォールがRPとFHRを同時に使用することはできません。
show conn allコマンドでは、IDマルチキャスト接続だけが表示されます。スタブ/セカンダリマルチキャスト接続を表示するには、show local-host <group IP>コマンドを使用します。

PIMはvPC Nexusではサポートされない

Nexus vPCとファイアウォールの間にPIMアジャセンシー関係を導入しようとすると、次に示すNexusの制限があります。

Nexus プラットフォームにおける仮想ポートチャネルを介したルーティングでサポートされるトポロジ

NGFWの観点からは、次のドロップをトレースしてキャプチャを確認できます。

Result:
input-interface: NET102
input-status: up
input-line-status: up
output-interface: NET102
output-status: up
output-line-status: up
Action: drop
Drop-reason: (no-mcast-intrf) FP no mcast output intrf      <-- The ingress multicast packet is dropped

ファイアウォールがRP登録を完了できません：

firepower# show mroute 224.1.2.3

Multicast Routing Table
Flags: D - Dense, S - Sparse, B - Bidir Group, s - SSM Group,
       C - Connected, L - Local, I - Received Source Specific Host Report,
       P - Pruned, R - RP-bit set, F - Register flag, T - SPT-bit set,
       J - Join SPT
Timers: Uptime/Expires
Interface state: Interface, State

(*, 224.1.2.3), 01:05:21/never, RP 10.1.0.209, flags: SCJ
  Incoming interface: OUTSIDE
  RPF nbr: 10.1.104.10
  Immediate Outgoing interface list:
    Server_102, Forward, 01:05:21/never

(10.1.1.48, 224.1.2.3), 00:39:15/00:00:04, flags: SFJT
  Incoming interface: NET102
  RPF nbr: 10.1.1.48, Registering         <-- The RP Registration is stuck
  Immediate Outgoing interface list:
    Tunnel0, Forward, 00:39:15/never

宛先ゾーンがサポートされていない

マルチキャストトラフィックに一致するアクセスコントロールポリシールールには、宛先セキュリティゾーンを指定できません。

acp_misconfig

これは、FMCユーザガイドにも記載されています。

fmc_config_guide

HSRPが原因でファイアウォールがアップストリームルータへのPIMメッセージを送信しない

この場合、ファイアウォールには、ホットスタンバイ冗長プロトコル(HSRP)IP 192.168.1.1を経由するデフォルトルートと、ルータR1およびR2とのPIMネイバーシップがあります。

firepower# show run route
route outside 0.0.0.0 0.0.0.0 192.168.1.1 1

ファイアウォールには、R1とR2の外部インターフェイスIPと物理インターフェイスIPの間のPIM隣接関係があります。

firepower# show pim neighbor
Neighbor Address  Interface          Uptime    Expires DR pri Bidir
192.168.1.1       outside            01:18:27  00:01:25 1 
192.168.1.2       outside            01:18:03  00:01:29 1 (DR)

ファイアウォールはアップストリームネットワークにPIM Joinメッセージを送信しません。PIM debugコマンドdebug pimは次の出力を示します。

firepower# debug pim
...
IPv4 PIM: Sending J/P to an invalid neighbor: outside 192.168.1.1

RFC 2362 には「ルータは、(S,G)、(*,G)、および (*,*,RP) の各エントリに関連付けられた明確な RPF ネイバーに対して、定期的に Join/Prune メッセージを送信する。Join/Prune メッセージは、RPF ネイバーが PIM ネイバーである場合にのみ送信される」と定義されています。」

この問題を軽減するために、ユーザはスタティックなmrouteエントリをファイアウォールに追加できます。ルータは、2つのルータインターフェイスIPアドレスの1つ（192.168.1.2または192.168.1.3）、通常はHSRPアクティブルータIPをポイントしている必要があります。

例：

firepower# show run mroute
firepower# mroute 172.16.1.1 255.255.255.255 192.168.1.2

スタティックなmrouteの設定が完了すると、RPFルックアップのために、ファイアウォールはASAのユニキャストルーティングテーブルではなくマルチキャストルーティングテーブルを優先し、PIMメッセージをネイバー192.168.1.2に直接送信します。

注：スタティックなmrouteは、ある程度の拡張を行うと、HSRPの冗長性の有効性を失います。これは、mrouteが受け入れるネクストホップは、アドレスまたはネットマスクごとに1つだけであるためです。mrouteコマンドで指定されたネクストホップに障害が発生するか、到達不能になった場合、ファイアウォールは他のルータにフォールバックしません。

ファイアウォールがLANセグメントのDRでない場合はLHRと見なされない

topology2

ファイアウォールには、LANセグメントのPIMネイバーとしてR1があります。R1はPIM DRです。

firepower# show pim neighbor 
Neighbor Address  Interface          Uptime    Expires DR pri Bidir
192.168.1.3       inside             00:12:50  00:01:38 1 (DR)

クライアントからIGMP参加要求を受信した場合、ファイアウォールはLHRになりません。

mrouteはOILとして追加のNullを示し、Prunedフラグを持ちます。

firepower# show mroute 
Multicast Routing Table
Flags: D - Dense, S - Sparse, B - Bidir Group, s - SSM Group,
       C - Connected, L - Local, I - Received Source Specific Host Report,
       P - Pruned, R - RP-bit set, F - Register flag, T - SPT-bit set,
       J - Join SPT
Timers: Uptime/Expires
Interface state: Interface, State


(*, 230.1.1.1), 00:06:30/never, RP 0.0.0.0, flags: SPC
  Incoming interface: Null
  RPF nbr: 0.0.0.0
  Immediate Outgoing interface list:
    inside, Null, 00:06:30/never <--- OIL has inside and Null

ファイアウォールをLHRにするため、インターフェイスのDRプライオリティを上げることができます。

firepower# interface GigabitEthernet0/0
firepower# pim dr-priority 2

firepower# show pim neighbor
Neighbor Address  Interface          Uptime    Expires DR pri Bidir
192.168.1.3       inside             17:05:28  00:01:41 1

PIM debugコマンドdebug pimは次の出力を示します。

firepower# debug pim
firepower# 
IPv4 PIM: (*,230.1.1.1) inside Start being last hop <--- Firewall considers itself as the lasp hop
IPv4 PIM: (*,230.1.1.1) Start being last hop
IPv4 PIM: (*,230.1.1.1) Start signaling sources
IPv4 PIM: [0] (*,230.1.1.1/32) NULLIF-skip MRIB modify NS
IPv4 PIM: (*,230.1.1.1) inside FWD state change from Prune to Forward
IPv4 PIM: [0] (*,230.1.1.1/32) inside MRIB modify F NS
IPv4 PIM: (*,230.1.1.1) Updating J/P status from Null to Join
IPv4 PIM: (*,230.1.1.1) J/P scheduled in 0.0 secs
IPv4 PIM: (*,230.1.1.1) Processing timers
IPv4 PIM: (*,230.1.1.1) J/P processing
IPv4 PIM: (*,230.1.1.1) Periodic J/P scheduled in 50 secs
IPv4 PIM: (*,230.1.1.1) No RPF interface to send J/P

プルーニングフラグとヌルはmrouteから削除されます。

firepower# show mroute 

Multicast Routing Table
Flags: D - Dense, S - Sparse, B - Bidir Group, s - SSM Group,
       C - Connected, L - Local, I - Received Source Specific Host Report,
       P - Pruned, R - RP-bit set, F - Register flag, T - SPT-bit set,
       J - Join SPT
Timers: Uptime/Expires
Interface state: Interface, State

(*, 230.1.1.1), 16:48:23/never, RP 0.0.0.0, flags: SCJ
  Incoming interface: Null
  RPF nbr: 0.0.0.0
  Immediate Outgoing interface list:
    inside, Forward, 16:48:23/never

Reverse Path Forwarding(RPF)チェックの失敗が原因でファイアウォールがマルチキャストパケットをドロップする

この場合、ファイアウォールには外部インターフェイスを経由する255.255.255.128のマスクを持つより具体的なルートがあるため、マルチキャストUDPパケットはRPF障害のためにドロップされます。

firepower# capture capi type raw-data trace interface inside match udp any any 
firepower# show captureture capi packet-number 1 trace 

106 packets captured
   1: 08:57:18.867234       192.168.2.2.12345 > 230.1.1.1.12354:  udp 500
Phase: 1
Type: CAPTURE
Subtype:
Result: ALLOW
Elapsed time: 2684 ns
Config:
Additional Information:
MAC Access list


Phase: 2
Type: ACCESS-LIST
Subtype:
Result: ALLOW
Elapsed time: 2684 ns
Config:
Implicit Rule
Additional Information:
MAC Access list

Phase: 3
Type: INPUT-ROUTE-LOOKUP
Subtype: Resolve Egress Interface
Result: ALLOW
Elapsed time: 13664 ns
Config:
Additional Information:
Found next-hop 192.168.1.100 using egress ifc  outside

Phase: 4
Type: INPUT-ROUTE-LOOKUP
Subtype: Resolve Egress Interface
Result: ALLOW
Elapsed time: 8296 ns
Config:
Additional Information:
Found next-hop 192.168.1.100 using egress ifc  outside

Result:
input-interface: inside
input-status: up
input-line-status: up
output-interface: outside
output-status: up
output-line-status: up
Action: drop
Time Taken: 27328 ns

Drop-reason: (rpf-violated) Reverse-path verify failed, Drop-location: frame 0x0000556bcb1069dd flow (NA)/NA

firepower# show route static 
Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
       D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
       N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
       E1 - OSPF external type 1, E2 - OSPF external type 2, V - VPN
       i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
       ia - IS-IS inter area, * - candidate default, U - per-user static route
       o - ODR, P - periodic downloaded static route, + - replicated route
       SI - Static InterVRF, BI - BGP InterVRF
Gateway of last resort is not set
S        192.168.2.0 255.255.255.128 [1/0] via 192.168.1.100, outside

ASPのドロップキャプチャには、rpf違反のドロップの理由が示されています。

firepower# show capture asp
Target:     OTHER
Hardware:   ASAv
Cisco Adaptive Security Appliance Software Version 9.19(1)
ASLR enabled, text region 556bc9390000-556bcd0603dd

21 packets captured

   1: 09:00:53.608290       192.168.2.2.12345 > 230.1.1.1.12354:  udp 500 Drop-reason: (rpf-violated) Reverse-path verify failed, Drop-location: frame 0x0000556bcb1069dd flow (NA)/NA
   2: 09:00:53.708032       192.168.2.2.12345 > 230.1.1.1.12354:  udp 500 Drop-reason: (rpf-violated) Reverse-path verify failed, Drop-location: frame 0x0000556bcb1069dd flow (NA)/NA
   3: 09:00:53.812152       192.168.2.2.12345 > 230.1.1.1.12354:  udp 500 Drop-reason: (rpf-violated) Reverse-path verify failed, Drop-location: frame 0x0000556bcb1069dd flow (NA)/NA
   4: 09:00:53.908613       192.168.2.2.12345 > 230.1.1.1.12354:  udp 500 Drop-reason: (rpf-violated) Reverse-path verify failed, Drop-location: frame 0x0000556bcb1069dd flow (NA)/NA

MFIB出力のRPF失敗カウンタが増加します。

firepower# show mfib 230.1.1.1 count 
IP Multicast Statistics
7 routes, 4 groups, 0.00 average sources per group
Forwarding Counts: Pkt Count/Pkts per second/Avg Pkt Size/Kilobits per second
Other counts: Total/RPF failed/Other drops(OIF-null, rate-limit etc)
Group: 230.1.1.1
  RP-tree:
   Forwarding: 0/0/0/0, Other: 6788/6788/0

...
firepower# show mfib 230.1.1.1 count 
IP Multicast Statistics
7 routes, 4 groups, 0.00 average sources per group
Forwarding Counts: Pkt Count/Pkts per second/Avg Pkt Size/Kilobits per second
Other counts: Total/RPF failed/Other drops(OIF-null, rate-limit etc)
Group: 230.1.1.1
  RP-tree:
   Forwarding: 0/0/0/0, Other: 6812/6812/0 <--- RPF failed counter increased

解決策は、RPFチェックの障害を修正することです。1つのオプションは、スタティックルートを削除することです。

RPFチェックが失敗しなければ、パケットは転送され、MFIB出力のForwardingカウンタが増加します。

firepower# show mfib 230.1.1.1 count 
IP Multicast Statistics
8 routes, 4 groups, 0.25 average sources per group
Forwarding Counts: Pkt Count/Pkts per second/Avg Pkt Size/Kilobits per second
Other counts: Total/RPF failed/Other drops(OIF-null, rate-limit etc)
Group: 230.1.1.1
  RP-tree:
   Forwarding: 0/0/0/0, Other: 9342/9342/0
  Source: 192.168.2.2,
   Forwarding: 1033/9/528/39, Other: 0/0/0
  Tot. shown: Source count: 1, pkt count: 0
...
firepower# show mfib 230.1.1.1 count 
IP Multicast Statistics
8 routes, 4 groups, 0.25 average sources per group
Forwarding Counts: Pkt Count/Pkts per second/Avg Pkt Size/Kilobits per second
Other counts: Total/RPF failed/Other drops(OIF-null, rate-limit etc)
Group: 230.1.1.1
  RP-tree:
   Forwarding: 0/0/0/0, Other: 9342/9342/0
  Source: 192.168.2.2,
   Forwarding: 1044/10/528/41, Other: 0/0/0 <--- Forward counter increased
  Tot. shown: Source count: 1, pkt count: 0

ソースツリーへのPIMスイッチオーバー時にファイアウォールでPIM参加が生成されない

この場合、ファイアウォールはdmzインターフェイスを介してマルチキャスト送信元へのパスR4 > FW > R6を学習しますが、送信元からクライアントへの最初のトラフィックパスはR6 > RP > DW > R4です。

firepower# show route 192.168.6.100

Routing entry for 192.168.6.0 255.255.255.0
  Known via "ospf 1", distance 110, metric 11, type intra area
  Last update from 192.168.67.6 on dmz, 0:36:22 ago
  Routing Descriptor Blocks:
  * 192.168.67.6, from 192.168.67.6, 0:36:22 ago, via dmz
      Route metric is 11, traffic share count is 1

R4はSPTスイッチオーバーを開始し、SPTスイッチオーバーのしきい値に達すると、送信元固有のPIM joinメッセージを送信します。ファイアウォールではSPTスイッチオーバーは行われず、(S,G)mrouteにはTフラグがありません。

firepower# show mroute 
Multicast Routing Table
Flags: D - Dense, S - Sparse, B - Bidir Group, s - SSM Group,
       C - Connected, L - Local, I - Received Source Specific Host Report,
       P - Pruned, R - RP-bit set, F - Register flag, T - SPT-bit set,
       J - Join SPT
Timers: Uptime/Expires
Interface state: Interface, State

(*, 230.1.1.1), 00:00:05/00:03:24, RP 10.5.5.5, flags: S
  Incoming interface: inside
  RPF nbr: 192.168.57.5
  Immediate Outgoing interface list:
    outside, Forward, 00:00:05/00:03:24

(192.168.6.100, 230.1.1.1), 00:00:05/00:03:24, flags: S
  Incoming interface: dmz
  RPF nbr: 192.168.67.6
  Immediate Outgoing interface list:
    outside, Forward, 00:00:05/00:03:2

PIM debugコマンドdebug pimは、(*,G)および(S,G)に対する、ピアR4から受信した2つのPIM Join要求を示します。ファイアウォールが(*,G)アップストリームのPIM Join要求を送信しましたが、ネイバー192.168.67.6が無効なため、送信元固有の要求の送信に失敗しました：

firepower# debug pim
IPv4 PIM: Received J/P on outside from 192.168.47.4 target: 192.168.47.7 (to us) <--- 1st PIM join to the firewall
IPv4 PIM: J/P entry: Join root: 10.5.5.5 group: 230.1.1.1 flags:  RPT WC S <--- 1st PIM join with root at the RP
IPv4 PIM: (*,230.1.1.1) Create entry
IPv4 PIM: [0] (*,230.1.1.1/32) MRIB modify DC 
IPv4 PIM: [0] (*,230.1.1.1/32) inside MRIB modify A 
IPv4 PIM: (*,230.1.1.1) outside J/P state changed from Null to Join
IPv4 PIM: (*,230.1.1.1) outside Raise J/P expiration timer to 210 seconds
IPv4 PIM: (*,230.1.1.1) outside FWD state change from Prune to Forward
IPv4 PIM: [0] (*,230.1.1.1/32) outside MRIB modify F NS 
IPv4 PIM: (*,230.1.1.1) Updating J/P status from Null to Join
IPv4 PIM: (*,230.1.1.1) J/P scheduled in 0.0 secs
IPv4 PIM: (*,230.1.1.1) Processing timers
IPv4 PIM: (*,230.1.1.1) J/P processing
IPv4 PIM: (*,230.1.1.1) Periodic J/P scheduled in 50 secs
IPv4 PIM: (*,230.1.1.1) J/P adding Join on inside
IPv4 PIM: Sending J/P message for neighbor 192.168.57.5 on inside for 1 groups   <--- PIM Join sent from the firewall
IPv4 PIM: Received J/P on outside from 192.168.47.4 target: 192.168.47.7 (to us) <--- 1st PIM join to the firewall
IPv4 PIM: J/P entry: Join root: 192.168.6.100 group: 230.1.1.1 flags:  S         <--- 1st PIM join with root at the source
IPv4 PIM: (192.168.6.100,230.1.1.1) Create entry
IPv4 PIM: Adding monitor for 192.168.6.100
IPv4 PIM: RPF lookup for root 192.168.6.100: nbr 192.168.67.6, dmz via the rib
IPv4 PIM: (192.168.6.100,230.1.1.1) RPF changed from 0.0.0.0/- to 192.168.67.6/dmz
IPv4 PIM: (192.168.6.100,230.1.1.1) Source metric changed from [0/0] to [110/11]
IPv4 PIM: [0] (192.168.6.100,230.1.1.1/32) MRIB modify DC 
IPv4 PIM: [0] (192.168.6.100,230.1.1.1/32) inside MRIB modify A 
IPv4 PIM: [0] (192.168.6.100,230.1.1.1/32) outside MRIB modify F NS 
IPv4 PIM: (192.168.6.100,230.1.1.1) outside J/P state changed from Null to Join
IPv4 PIM: (192.168.6.100,230.1.1.1) outside Imm FWD state change from Prune to Forward
IPv4 PIM: (192.168.6.100,230.1.1.1) Updating J/P status from Null to Join
IPv4 PIM: (192.168.6.100,230.1.1.1) J/P scheduled in 0.0 secs
IPv4 PIM: [0] (192.168.6.100,230.1.1.1/32) dmz MRIB modify NS 
IPv4 PIM: (192.168.6.100,230.1.1.1) outside Raise J/P expiration timer to 210 seconds
IPv4 PIM: (192.168.6.100,230.1.1.1) Processing timers
IPv4 PIM: (192.168.6.100,230.1.1.1) J/P processing
IPv4 PIM: (192.168.6.100,230.1.1.1) Periodic J/P scheduled in 50 secs
IPv4 PIM: (192.168.6.100,230.1.1.1) J/P adding Join on dmz
IPv4 PIM: Sending J/P to an invalid neighbor: dmz 192.168.67.6  <--- Invalid neighbor

show pim neigbourコマンド出力にはR6が表示されません。

firepower# show pim neighbor 

Neighbor Address  Interface          Uptime    Expires DR pri Bidir
192.168.47.4      outside            00:21:12  00:01:44 1    
192.168.57.5      inside             02:43:43  00:01:15 1

ファイアウォールインターフェイスdmzでPIMが有効になっている。

firepower# show pim interface 
Address          Interface          PIM  Nbr   Hello  DR         DR
                                         Count Intvl  Prior

192.168.47.7     outside            on   1     30     1          this system
192.168.67.7     dmz                on   0     30     1          this system
192.168.57.7     inside             on   1     30     1          this system

R6インターフェイスでPIMが無効になっている。

R6# show ip interface brief 
Interface                  IP-Address      OK? Method Status                Protocol
GigabitEthernet0/0         192.168.6.1     YES manual up                    up     
GigabitEthernet0/1         192.168.56.6    YES manual up                    up     
GigabitEthernet0/2         unassigned      YES unset  administratively down down   
GigabitEthernet0/3         192.168.67.6    YES manual up                    up      
Tunnel0                    192.168.56.6    YES unset  up                    up     

R6# show ip pim interface GigabitEthernet0/3 detail 
GigabitEthernet0/3 is up, line protocol is up
  Internet address is 192.168.67.6/24
  Multicast switching: fast
  Multicast packets in/out: 0/123628
  Multicast TTL threshold: 0
  PIM: disabled <--- PIM is disabled
  Multicast Tagswitching: disabled

解決策は、R6のインターフェイスGigabitEthernet0/3でPIMを有効にすることです。

R6(config-if)#interface GigabitEthernet0/3
R6(config-if)#ip pim sparse-mode 
R6(config-if)#
*Apr 21 13:17:14.575: %PIM-5-NBRCHG: neighbor 192.168.67.7 UP on interface GigabitEthernet0/3
*Apr 21 13:17:14.577: %PIM-5-DRCHG: DR change from neighbor 0.0.0.0 to 192.168.67.7 on interface GigabitEthernet0/3 <--- DR changed

ファイアウォールは、SPTスイッチオーバーを示すTフラグをインストールします:

firepower# show mroute 

Multicast Routing Table
Flags: D - Dense, S - Sparse, B - Bidir Group, s - SSM Group,
       C - Connected, L - Local, I - Received Source Specific Host Report,
       P - Pruned, R - RP-bit set, F - Register flag, T - SPT-bit set,
       J - Join SPT
Timers: Uptime/Expires
Interface state: Interface, State

(*, 230.1.1.1), 00:26:30/00:02:50, RP 10.5.5.5, flags: S
  Incoming interface: inside
  RPF nbr: 192.168.57.5
  Immediate Outgoing interface list:
    outside, Forward, 00:26:30/00:02:50

(192.168.6.100, 230.1.1.1), 00:26:30/00:03:29, flags: ST
  Incoming interface: dmz
  RPF nbr: 192.168.67.6
  Immediate Outgoing interface list:
    outside, Forward, 00:26:30/00:02:39

パントレート制限によりファイアウォールが最初の数パケットをドロップする

ファイアウォールがFPで新しいマルチキャストストリームの最初のパケットを受信すると、CPによる追加処理が必要になる場合があります。この場合、FPは追加操作のためにSP(FP > SP > CP)を介してパケットをCPにパントします。

入力インターフェイスとIDインターフェイス間のFPでの親接続の作成。
その他のマルチキャスト固有のチェック。RPF検証、PIMカプセル化（ファイアウォールがFHRの場合）、OILチェックなど。
mrouteテーブルの着信インターフェイスと発信インターフェイスを使用した(S,G)エントリの作成
着信インターフェイスと発信インターフェイス間のFPでの子/スタブ接続の作成。

コントロールプレーン保護の一部として、ファイアウォールはCPにパントされるパケットのレートを内部的に制限します。

レートを超過したパケットは、punt-rate-limitドロップの理由でドロップされます。

firepower# show asp drop
Frame drop:
Punt rate limit exceeded (punt-rate-limit) 2062

show asp cluster counterコマンドを使用して、SPからCPにパントされたマルチキャストパケットの数を確認します。

firepower# show asp cluster counter 
Global dp-counters:

Context specific dp-counters:

MCAST_FP_FROM_PUNT              30      Number of multicast packets punted from CP to FP
MCAST_FP_TO_SP                  2680    Number of multicast packets punted from FP to SP
MCAST_SP_TOTAL                  2710    Number of total multicast packets processed in SP
MCAST_SP_FROM_PUNT              30      Number of multicast packets punted from CP to SP <--- Number of packets punted to CP from SP
MCAST_SP_FROM_PUNT_FORWARD      30      Number of multicast packets coming from CP that are forwarded
MCAST_SP_PKTS                   30      Number of multicast packets that require slow-path attention
MCAST_SP_PKTS_TO_CP             30      Number of multicast packets punted to CP from SP
MCAST_FP_CHK_FAIL_NO_HANDLE     2650    Number of multicast packets failed with no flow mcast_handle
MCAST_FP_CHK_FAIL_NO_FP_FWD     30      Number of multicast packets that cannot be fast-path forwarded

show asp event dp-cp punt コマンドを使用して、FP > CPキュー内のパケット数と15秒レートを確認します。

firepower# show asp event dp-cp punt | begin EVENT-TYPE
EVENT-TYPE          ALLOC ALLOC-FAIL ENQUEUED ENQ-FAIL  RETIRED 15SEC-RATE
punt                  24452        0      24452      0      10852     1402
  multicast           23800        0      23800      0      10200     1402
  pim                 652          0      652        0      652          0

mrouteが入力され、FPで親子接続が確立されると、パケットは既存の接続の一部としてFPで転送されます。この場合、FPはパケットをCPにパントしません。

ファイアウォールは新しいマルチキャストストリームの最初のパケットをどのように処理しますか。

ファイアウォールがデータパス内の新しいマルチキャストストリームの最初のパケットを受信すると、ファイアウォールは次のアクションを実行します。

セキュリティポリシーでパケットが許可されているかどうかを確認します。
パスFP経由でCPにパケットをパントします。
入力インターフェイスとアイデンティティインターフェイスの間に親接続を作成します。

firepower# show capture capi packet-number 1 trace
10 packets captured
   1: 08:54:15.007003       192.168.1.100.12345 > 230.1.1.1.12345:  udp 400 
Phase: 1
Type: CAPTURE
Subtype:
Result: ALLOW
Config:
Additional Information:
MAC Access list

Phase: 2
Type: ACCESS-LIST
Subtype:
Result: ALLOW
Config:
Implicit Rule
Additional Information:
MAC Access list

Phase: 3
Type: INPUT-ROUTE-LOOKUP
Subtype: Resolve Egress Interface
Result: ALLOW
Config:
Additional Information:
Found next-hop 192.168.2.1 using egress ifc  inside


Phase: 4
Type: ACCESS-LIST
Subtype:
Result: ALLOW
Config:
Implicit Rule
Additional Information:

Phase: 5
Type: NAT
Subtype: per-session
Result: ALLOW
Config:
Additional Information:

Phase: 6
Type: IP-OPTIONS
Subtype:
Result: ALLOW
Config:
Additional Information:

Phase: 7
Type: CLUSTER-REDIRECT
Subtype: cluster-redirect
Result: ALLOW
Config:
Additional Information:

Phase: 8
Type: QOS
Subtype:
Result: ALLOW
Config:
Additional Information:

Phase: 9
Type: MULTICAST
Subtype:
Result: ALLOW
Config:
Additional Information:


Phase: 10
Type: FLOW-CREATION
Subtype:
Result: ALLOW
Config:
Additional Information:
New flow created with id 19, packet dispatched to next module <--- New flow

Result:
input-interface: inside
input-status: up
input-line-status: up
output-interface: inside
output-status: up
output-line-status: up
Action: allow

Syslog:

firepower# Apr 24 2023 08:54:15: %ASA-7-609001: Built local-host inside:192.168.1.100
Apr 24 2023 08:54:15: %FTD-7-609001: Built local-host identity:230.1.1.1
Apr 24 2023 08:54:15: %FTD-6-302015: Built inbound UDP connection 19 for inside:192.168.1.100/12345 (192.168.1.100/12345) to identity:230.1.1.1/12345 (230.1.1.1/12345) <--- Syslog for a newly built connection

この接続は、show conn allコマンドの出力に表示されます。

firepower# show conn all protocol udp 
13 in use, 17 most used

UDP inside  192.168.1.100:12345 NP Identity Ifc  230.1.1.1:12345, idle 0:00:02, bytes 0, flags –

CPは、RPF検証、PIMカプセル化（ファイアウォールがFHRの場合）、OILチェックなど、追加のマルチキャスト固有のチェックのためにマルチキャストプロセスを実行します。
CPは、mrouteに着信インターフェイスと発信インターフェイスを持つ(S,G)エントリを作成します。

firepower# show mroute 

Multicast Routing Table
Flags: D - Dense, S - Sparse, B - Bidir Group, s - SSM Group,
       C - Connected, L - Local, I - Received Source Specific Host Report,
       P - Pruned, R - RP-bit set, F - Register flag, T - SPT-bit set,
       J - Join SPT
Timers: Uptime/Expires
Interface state: Interface, State

(*, 230.1.1.1), 00:19:28/00:03:13, RP 192.168.192.168, flags: S
  Incoming interface: inside
  RPF nbr: 192.168.2.1
  Immediate Outgoing interface list:
    outside, Forward, 00:19:28/00:03:13

(192.168.1.100, 230.1.1.1), 00:08:50/00:03:09, flags: ST
  Incoming interface: inside
  RPF nbr: 192.168.2.1
  Immediate Outgoing interface list:
    outside, Forward, 00:00:32/00:02:57

CPは、着信インターフェイスと発信インターフェイスの間に子/スタブ接続を作成するように、CP > SP > FPパスを介してFPに指示します。

この接続は、show local-hostコマンドの出力だけに表示されます。

firepower# show local-host  

Interface outside: 5 active, 5 maximum active
local host: <224.0.0.13>,
local host: <192.168.3.100>,
local host: <230.1.1.1>,
  Conn:
    UDP outside  230.1.1.1:12345 inside  192.168.1.100:12345, idle 0:00:04, bytes 4000, flags -
local host: <224.0.0.5>,
local host: <224.0.0.1>,
Interface inside: 4 active, 5 maximum active
local host: <192.168.1.100>,

  Conn:
    UDP outside  230.1.1.1:12345 inside  192.168.1.100:12345, idle 0:00:04, bytes 4000, flags -
local host: <224.0.0.13>,
local host: <192.168.2.1>,
local host: <224.0.0.5>,
Interface nlp_int_tap: 0 active, 2 maximum active
Interface any: 0 active, 0 maximum active

Cisco Bug ID CSCwe21280の修正が適用されたソフトウェアバージョンの場合、子/スタブ接続のsyslogメッセージ302015も生成されます。

Apr 24 2023 08:54:15: %FTD-6-302015: Built outbound UDP connection 20 for outside:230.1.1.1/12345 (230.1.1.1/12345) to inside:192.168.1.100/12345 (192.168.1.100/12345) <--- Syslog for a newly built connection

親と子/スタブの両方の接続が確立されると、入力パケットは既存の接続と一致し、FPで転送されます。

firepower# show capture capi trace packet-number 2       
10 packets captured
   2: 08:54:15.020567       192.168.1.100.12345 > 230.1.1.1.12345:  udp 400
Phase: 1
Type: CAPTURE
Subtype:
Result: ALLOW
Config:
Additional Information:
MAC Access list

Phase: 2
Type: ACCESS-LIST
Subtype:
Result: ALLOW
Config:
Implicit Rule
Additional Information:
MAC Access list

Phase: 3
Type: FLOW-LOOKUP
Subtype:
Result: ALLOW
Config:
Additional Information:
Found flow with id 19, using existing flow <--- Existing flow


Result:
input-interface: inside
input-status: up
input-line-status: up
Action: allow

ICMPマルチキャストトラフィックのフィルタリング

ACLを使用してICMPマルチキャストトラフィックをフィルタリングすることはできません。コントロールプレーンポリシー(ICMP)を使用する必要があります。

Cisco Bug ID CSCsl26860 ASAでマルチキャストICMPパケットがフィルタリングされない

既知のPIMマルチキャスト不具合

既知の不具合については、https://bst.cloudapps.cisco.com/bugsearchにあるBug Search Toolを使用できます。

ほとんどのASAおよびFTD不具合は、「Cisco Adaptive Security Appliance(ASA)Software」の下にリストされています。

bug_search_tool

改定	発行日	コメント
2.0	27-Apr-2023	トラブルシューティングのセクションと一般的な問題が追加されました。
1.0	26-May-2022	初版

Firepower Threat Defense(FTD)およびASAマルチキャストPIMのトラブルシューティング

ダウンロードオプション

偏向のない言語

翻訳について

内容

はじめに

前提条件

要件

使用するコンポーネント

背景説明

マルチキャストルーティングの基本

略語/略語

作業1:PIMスパースモード（スタティックRP）

タスク2:PIMブートストラップルータ(BSR)の設定

トラブルシューティング手法

PIMトラブルシューティングコマンド（チートシート）

既知の問題

PIMはvPC Nexusではサポートされない

宛先ゾーンがサポートされていない

HSRPが原因でファイアウォールがアップストリームルータへのPIMメッセージを送信しない

ファイアウォールがLANセグメントのDRでない場合はLHRと見なされない

Reverse Path Forwarding(RPF)チェックの失敗が原因でファイアウォールがマルチキャストパケットをドロップする

ソースツリーへのPIMスイッチオーバー時にファイアウォールでPIM参加が生成されない

パントレート制限によりファイアウォールが最初の数パケットをドロップする

ICMPマルチキャストトラフィックのフィルタリング

既知のPIMマルチキャスト不具合

関連情報

更新履歴

シスコエンジニア提供

このドキュメントは役に立ちましたか?

シスコに問い合わせ

このドキュメントは次の製品に対応しています

Firepower Threat Defense(FTD)およびASAマルチキャストPIMのトラブルシューティング

ダウンロード オプション

偏向のない言語

翻訳について

内容

はじめに

前提条件

要件

使用するコンポーネント

背景説明

マルチキャストルーティングの基本

略語/略語

作業1:PIMスパースモード（スタティックRP）

タスク2:PIMブートストラップルータ(BSR)の設定

トラブルシューティング手法

PIMトラブルシューティングコマンド（チートシート）

既知の問題

PIMはvPC Nexusではサポートされない

宛先ゾーンがサポートされていない

HSRPが原因でファイアウォールがアップストリームルータへのPIMメッセージを送信しない

ファイアウォールがLANセグメントのDRでない場合はLHRと見なされない

Reverse Path Forwarding(RPF)チェックの失敗が原因でファイアウォールがマルチキャストパケットをドロップする

ソースツリーへのPIMスイッチオーバー時にファイアウォールでPIM参加が生成されない

パントレート制限によりファイアウォールが最初の数パケットをドロップする

ICMPマルチキャストトラフィックのフィルタリング

既知のPIMマルチキャスト不具合

関連情報

更新履歴

シスコ エンジニア提供

このドキュメントは役に立ちましたか?

シスコに問い合わせ

このドキュメントは次の製品に対応しています

ダウンロードオプション

シスコエンジニア提供