Contents

Introdução

Pré-requisitos

Requisitos

Componentes Utilizados

Informações de Apoio

Configurar

Port-Channel no FPR4100/FPR9300

Configurar um Port-Channel na interface do usuário do FXOS (FPR4100/FPR9300)

Configuração do Switch

Configurar um Port-Channel na CLI do FXOS (FPR4100/FPR9300)

Port-Channel no FPR21xx/FPR1xxx

Configuração do FDM

Verificar

Verificar Port-Channel no FPR4100/FPR9300

Verificar Port-Channel no FPR21xx/FPR1xxx

Troubleshooting

Resumo do LACP

Solucionar problemas do Port-Channel no FPR4100/FPR9300

Solucionar problemas do Port-Channel no FPR21xx/FPR1xxx

Solução de problemas adicional (comum em todas as plataformas)

Problemas comuns

Caso 1. Incompatibilidade do modo EtherChannel

Caso 2. Design errado do Port-Channel

Caso 3. Port-Channel do FXOS não atribuído

Caso 4. Os Alertas De Integridade Sobre O Canal De Porta Não Recebem Nenhum Pacote

Caso 5. Alerta de saúde no FMC: canal de porta desassociado ou interface adicionada

Considerações do canal da porta

Considerações do projeto

Caso 1. Blade do FTD/ASA em HA

Caso 2. FTD/ASA no cluster

Caso 3. Port-Channel encerrado no FXOS

Caso 4. Port-Channel através do FXOS

Outras considerações

Perguntas frequentes

Informações Relacionadas

Introdução

Este documento descreve como configurar, verificar e solucionar problemas do canal de porta em dispositivos Firepower.

Pré-requisitos

Requisitos

A Cisco recomenda que você tenha conhecimento destes tópicos:

- Firepower Management Center (FMC)

- Firepower Chassis Manager (FCM)

- Firepower eXtensible Operating System (FXOS)

- Firepower Threat Defense (FTD)

- EtherChannel (EC)

Observação: neste documento, os termos EtherChannel e Port-Channel (PC) são usados como sinônimos.

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software e hardware:

- 2 x FPR4120 em FXOS 2.2(2.17), FTD 6.2.0.2.51

- 1 x FPR4110 em FXOS 2.1(0.159), FTD 6.1.0.330

- 1 x FPR2110 em FTD 6.2.1 (build 341)

- 1 x FPR1150 em FTD 6.5.0

- WS-C3750X-24 em 15.2(4)E5

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Informações de Apoio

Este documento descreve a configuração, verificação e solução de problemas de um Port-Channel nos dispositivos Firepower (FPR1xxx, FPR21xx, FPR41xx, FPR93xx). Os exemplos de configuração de documentos são baseados no Firepower Threat Defense (FTD), mas muitos conceitos (por exemplo, a verificação e a solução de problemas) também são totalmente aplicáveis ao Adaptive Security Appliance (ASA).

Configurar

Port-Channel no FPR4100/FPR9300

Diagrama de Rede

Configurar um Port-Channel na interface do usuário do FXOS (FPR4100/FPR9300)

O Port-Channel do FTD nos dispositivos Firepower é gerenciado pelo código do FXOS. No FPR4100/FPR9300, a configuração é feita no Firepower Chassis Manager:

O Port-Channel fica inativo (estado de falha) até ser atribuído a um dispositivo lógico:

Para atribuir o Port-Channel ao dispositivo lógico:

O resultado:

Pontos principais

- Antes da versão 2.4.x do FXOS, o FPR4100/FPR9300 é compatível somente com o LACP (não há modo ON nem PAGP). Desde o FXOS 2.4.1.101, o modo ON é compatível com os Etherchannels de dados e compartilhamento de dados.

- Certifique-se de que as interfaces que devem ser adicionadas no canal de porta ainda não foram adicionadas ao dispositivo lógico. Se estiverem, eles não aparecerão na interface quando o canal de porta for adicionado.

- Você não pode ativar/desativar membros individuais do Port-Channel, mas apenas o próprio Port-Channel.

- Não é possível excluir um canal de porta usado por um dispositivo lógico (por exemplo, ASA ou FTD). Você deve desassociá-lo primeiro.

- O Port-Channel não fica ativo até ser atribuído a um dispositivo lógico. Se o EtherChannel for removido do dispositivo lógico ou o dispositivo lógico for excluído, o Port-Channel volta para um estado de suspensão.

- Defina as portas do switch que se conectam ao modo Ativo para obter a melhor compatibilidade.

Configuração do Switch

Ao configurar o switch, recomenda-se o seguinte para evitar instabilidades no Port-Channel:

- Use o comando interface range.

- Desligue os membros da interface do canal de porta antes de fazer alterações que afetem a operação do canal de porta (por exemplo, se o modo do canal de porta for alterado).

Exemplo

Switch(config)# interface range g1/0/2 - 3

Switch(config-if-range)# shutdown

Switch(config-if-range)# switchport trunk encapsulation dot1q

Switch(config-if-range)# switchport mode trunk

Switch(config-if-range)# channel-group 5 mode active

Switch(config-if-range)# no shutdown

Observação: consulte sempre a seção Guia de Configuração do modelo de switch para obter detalhes adicionais.

Configurar um Port-Channel na CLI do FXOS (FPR4100/FPR9300)

Etapa 1. Verificar as interfaces que já estão atribuídas ao dispositivo lógico do FTD

FP4110-7-A# scope ssa

FP4110-7-A /ssa # show logical-device

Logical Device:

Name       Description Slot ID    Mode       Oper State               Template Name

---------- ----------- ---------- ---------- ------------------------ -------------

mzafeiro_FTD                           1          Standalone Ok                       ftd

FP4110-7-A /ssa # scope logical-device mzafeiro_FTD

FP4110-7-A /ssa/logical-device # show external-port-link

External-Port Link:

Name            Port or Port Channel Name App Name   Description

--------------- ------------------------- ---------- -----------

Ethernet11_ftd  Ethernet1/1               ftd

Ethernet16_ftd  Ethernet1/6               ftd

Etapa 2. Verificar as interfaces do chassi

FP4110-7-A# scope eth-uplink

FP4110-7-A /eth-uplink # scope fabric a

FP4110-7-A /eth-uplink/fabric # show interface

Interface:

Port Name       Port Type          Admin State Oper State       State Reason

--------------- ------------------ ----------- ---------------- ------------

Ethernet1/1     Mgmt               Enabled     Up

Ethernet1/2     Data               Disabled    Admin Down       Administratively down

Ethernet1/3     Data               Disabled    Admin Down       Administratively down

Ethernet1/4     Data               Disabled    Failed           SFP checksum error

Ethernet1/5     Data               Disabled    Sfp Not Present  Unknown

Ethernet1/6     Data               Disabled    Sfp Not Present  Unknown

Ethernet1/7     Data               Disabled    Sfp Not Present  Unknown

Ethernet1/8     Data               Disabled    Sfp Not Present  Unknown

Ethernet3/1     Data               Disabled    Admin Down       Administratively down

Ethernet3/2     Data               Disabled    Admin Down       Administratively down

Ethernet3/3     Data               Disabled    Admin Down       Administratively down

Ethernet3/4     Data               Disabled    Admin Down       Administratively down

Ethernet3/5     Data               Disabled    Admin Down       Administratively down

Ethernet3/6     Data               Disabled    Admin Down       Administratively down

FP4110-7-A /eth-uplink/fabric # show port-channel

Port Channel:

Port Channel Id Name             Port Type          Admin State Oper State     State Reason

--------------- ---------------- ------------------ ----------- ---------------- ------------

48              Port-channel48   Cluster            Disabled    Admin Down     Administratively down

Etapa 3. Criar o Port-Channel

bsns-4110-2-A# scope eth-uplink

bsns-4110-2-A /eth-uplink # scope fabric a

bsns-4110-2-A /eth-uplink/fabric # create port-channel 15

bsns-4110-2-A /eth-uplink/fabric/port-channel* # create member-port Ethernet1/5

bsns-4110-2-A /eth-uplink/fabric/port-channel/member-port* # exit

bsns-4110-2-A /eth-uplink/fabric/port-channel* # create member-port Ethernet1/6

bsns-4110-2-A /eth-uplink/fabric/port-channel/member-port* # exit

bsns-4110-2-A /eth-uplink/fabric/port-channel* # set port-type data

bsns-4110-2-A /eth-uplink/fabric/port-channel* # set speed 1gbps

bsns-4110-2-A /eth-uplink/fabric/port-channel* # enable

bsns-4110-2-A /eth-uplink/fabric/port-channel* # commit-buffer

Etapa 4. Atribua a interface ao dispositivo lógico do FTD:

FP4110-7-A# scope ssa

FP4110-7-A /ssa # scope logical-device mzafeiro_FTD

FP4110-7-A /ssa/logical-device # create external-port-link PC15_ftd Port-channel15 ftd

FP4110-7-A /ssa/logical-device/external-port-link* # commit-buffer

FP4110-7-A /ssa/logical-device/external-port-link #

Verificação

FP4110-7-A# scope ssa

FP4110-7-A /ssa # scope logical-device mzafeiro_FTD

FP4110-7-A /ssa/logical-device # show external-port-link

External-Port Link:

Name            Port or Port Channel Name App Name   Description

--------------- ------------------------- ---------- -----------

Ethernet11_ftd  Ethernet1/1               ftd

Ethernet16_ftd  Ethernet1/6               ftd

PC15_ftd        Port-channel15            ftd

FP4110-7-A# scope eth-uplink

FP4110-7-A /eth-uplink # scope fabric a

FP4110-7-A /eth-uplink/fabric # show port-channel

Port Channel:

Port Channel Id Name             Port Type          Admin State Oper State     State Reason

--------------- ---------------- ------------------ ----------- ---------------- ------------

15              Port-channel15   Data               Enabled     Up

48              Port-channel48   Cluster            Disabled    Admin Down     Administratively down

FP4110-7-A /eth-uplink/fabric # enter port-channel 15

FP4110-7-A /eth-uplink/fabric/port-channel # show member-port

Member Port:

Port Name       Membership         Oper State       State Reason

--------------- ------------------ ---------------- ------------

Ethernet1/2     Up                 Up

Ethernet1/3     Up                 Up

Exclua o Port-Channel da CLI do FXOS (FPR4100/FPR9300)

FP4110-7-A# scope eth-uplink

FP4110-7-A /eth-uplink # scope fabric a

FP4110-7-A  /eth-uplink/fabric # delete port-channel 15

FP4110-7-A /eth-uplink/fabric* # commit-buffer

Port-Channel no FPR21xx/FPR1xxx

Diagrama de Rede

O Port-Channel do FTD nos dispositivos FPR21xx/FPR1xxx é gerenciado pelo código do FXOS, mas a configuração é feita pelo FMC, pois o código do FTD e do FXOS está integrado em um pacote de software:

O modo (Ativo do LACP ou ON) é configurado na guia Avançado:

As configurações de duplex e velocidade são definidas na guia Configuração de hardware:

Observação: no FPR2100, você não pode criar um canal de porta a partir da CLI do FXOS, a menos que use um ASA como dispositivo lógico. Após o ASA 9.13.x, este é o caso apenas no modo Plataforma. No modo Dispositivo (11xx/21xx), não há FCM e toda a configuração de interface é realizada diretamente na CLI do ASA.

Fp2110 /eth-uplink/fabric* # create port-channel 16

Fp2110 /eth-uplink/fabric/port-channel* # create member-port Ethernet1/10

Fp2110 /eth-uplink/fabric/port-channel/member-port* # exit

Fp2110 /eth-uplink/fabric/port-channel* # create member-port Ethernet1/11

Fp2110 /eth-uplink/fabric/port-channel/member-port* # exit

Fp2110 /eth-uplink/fabric/port-channel* # commit-buffer

Error: Changes not allowed. use: 'connect ftd' to make changes.

Caso uma interface física esteja inativa e você queira ativá-la, faça o seguinte:

firepower-2110# scope eth-uplink

firepower-2110 /eth-uplink # scope fabric a

firepower-2110 /eth-uplink/fabric # show interface

Interface:

Port Name      Port Type          Admin State Oper State       State Reason

-------------- ------------------ ----------- ---------------- ------------

Ethernet1/3    Data               Enabled     Up               Up

Ethernet1/4    Data               Disabled    Link Down        Down

Ethernet1/5    Data               Disabled    Link Down        Down

Ethernet1/6    Data               Disabled    Link Down        Down

Ethernet1/7    Data               Disabled    Link Down        Down

Ethernet1/8    Data               Disabled    Link Down        Down

Ethernet1/9    Data               Disabled    Link Down        Down

Ethernet1/10   Data               Disabled    Link Down        Down

Ethernet1/11   Data               Disabled    Link Down        Down

Ethernet1/12   Data               Disabled    Link Down        Down

Ethernet1/13   Data               Disabled    Link Down        Down

Ethernet1/14   Data               Disabled    Link Down        Down

Ethernet1/15   Data               Disabled    Link Down        Down

Ethernet1/16   Data               Disabled    Link Down        Down

firepower-2110 /eth-uplink/fabric # enter interface Ethernet1/4

firepower-2110 /eth-uplink/fabric/interface # show

Interface:

Port Name      Port Type          Admin State Oper State       State Reason

-------------- ------------------ ----------- ---------------- ------------

Ethernet1/4    Data               Disabled    Link Down        Down

firepower-2110 /eth-uplink/fabric/interface # enable

firepower-2110 /eth-uplink/fabric/interface* # commit-buffer

firepower-2110 /eth-uplink/fabric/interface # show

Interface:

Port Name      Port Type          Admin State Oper State       State Reason

-------------- ------------------ ----------- ---------------- ------------

Ethernet1/4    Data               Enabled     Link Down        Down

firepower-2110 /eth-uplink/fabric/interface #

Configuração do FDM

Considere esta topologia:

Você pode configurar as interfaces EtherChannel que usam o FDM a partir da versão de software 6.5. Navegue até Dispositivo > Interfaces > EtherChannels e adicione um EtherChannel. Como nesse caso o EtherChannel é um tronco, especifique a ID do EtherChannel, ative-a (status) e adicione os membros. O EtherChannel é compatível com o modo Ativo do LACP e On (sem LACP). Nesse caso, o modo Ativo do LACP está configurado.

Adicione as subinterfaces:

O resultado:

Implantar as alterações esperadas

Verificar

Verificar Port-Channel no FPR4100/FPR9300

Diagrama de Rede

O FTD (ou ASA) não tem conhecimento dos membros individuais do Port-Channel. As interfaces lógicas (subinterfaces) são configuradas no FMC:

> system support diagnostic-cli

firepower# show interface ip brief

Interface                  IP-Address      OK? Method Status                Protocol

Internal-Data0/0           unassigned      YES unset  up                    up

Internal-Data0/1           unassigned      YES unset  up                    up

Internal-Data0/2           169.254.1.1     YES unset  up                    up

Port-channel15             unassigned      YES unset  up                    up

firepower# show nameif

Interface                Name                     Security

Port-channel15           INSIDE                     0

Ethernet1/1              diagnostic                 0

firepower# show interface Port-channel15 detail

Interface Port-channel15 "INSIDE", is up, line protocol is up

Hardware is EtherSVI, BW 20000 Mbps, DLY 1000 usec

MAC address 2c33.118e.07de, MTU 1500

IP address unassigned

Traffic Statistics for "INSIDE":

6767 packets input, 566328 bytes

0 packets output, 0 bytes

6736 packets dropped

1 minute input rate 4 pkts/sec,  375 bytes/sec

1 minute output rate 0 pkts/sec,  0 bytes/sec

1 minute drop rate, 4 pkts/sec

5 minute input rate 4 pkts/sec,  401 bytes/sec

5 minute output rate 0 pkts/sec,  0 bytes/sec

5 minute drop rate, 4 pkts/sec

Control Point Interface States:

Interface number is 6

Interface config status is active

Interface state is active

Para verificar o status do Port-Channel e de seus membros, navegue até o modo do FXOS:

FP4110-7-A# connect fxos

FP4110-7-A(fxos)# show port-channel summary

Flags:  D - Down        P - Up in port-channel (members)

I - Individual  H - Hot-standby (LACP only)

s - Suspended   r - Module-removed

S - Switched    R - Routed

U - Up (port-channel)

M - Not in use. Min-links not met

--------------------------------------------------------------------------------

Group Port-       Type     Protocol  Member Ports

Channel

--------------------------------------------------------------------------------

15    Po15(SU)    Eth      LACP      Eth1/2(P)    Eth1/3(P)

48    Po48(SD)    Eth      NONE      --

Para ver o estado dos Port-Channels, juntamente com o histórico dos últimos estados:

FP4110-7-A(fxos)# show port-channel database

port-channel15

Last membership update is successful

2 ports in total, 2 ports up

First operational port is Ethernet1/3

Age of the port-channel is 0d:00h:35m:00s

Time since last bundle is 0d:00h:34m:56s

Last bundled member is Ethernet1/3

Ports:   Ethernet1/2     [active ] [up]

Ethernet1/3     [active ] [up] *

port-channel48

Last membership update is successful

0 ports in total, 0 ports up

Age of the port-channel is 5d:06h:35m:27s

Para verificar a distribuição de tráfego entre os membros da interface do Port-Channel:

FP4110-7-A(fxos)# show port-channel traffic

ChanId      Port Rx-Ucst Tx-Ucst Rx-Mcst Tx-Mcst Rx-Bcst Tx-Bcst

------ --------- ------- ------- ------- ------- ------- -------

15    Eth1/2  20.83%  49.71%  17.75%  43.67%  20.11%  49.94%

15    Eth1/3  79.16%  50.28%  82.24%  56.32%  79.88%  50.05%

Verificação de vizinhos do LACP

FP4110-7-A(fxos)# show lacp neighbor

Flags:  S - Device is sending Slow LACPDUs F - Device is sending Fast LACPDUs

A - Device is in Active mode       P - Device is in Passive mode

port-channel15 neighbors

Partner's information

Partner                Partner                     Partner

Port        System ID              Port Number     Age         Flags

Eth1/2      32768,28-6f-7f-ec-59-800x103           1984        FA

LACP Partner           Partner                     Partner

Port Priority          Oper Key                    Port State

32768                  0x5                         0x3f

Partner's information

Partner                Partner                     Partner

Port        System ID              Port Number     Age         Flags

Eth1/3      32768,28-6f-7f-ec-59-800x104           2221        FA

LACP Partner           Partner                     Partner

Port Priority          Oper Key                    Port State

32768                  0x5                         0x3f

Chave de operação do parceiro 0x5 = O switch está configurado com a ID do Port-Channel 5

No switch:

Switch# show lacp neighbor

Flags:  S - Device is requesting Slow LACPDUs

F - Device is requesting Fast LACPDUs

A - Device is in Active mode       P - Device is in Passive mode

Channel group 5 neighbors

Partner's information:

LACP port                        Admin  Oper   Port    Port

Port      Flags   Priority  Dev ID          Age    key    Key    Number  State

Gi1/0/2   FA      32768     2c33.118e.07b3   0s    0x0    0xE    0x42    0x3F

Gi1/0/3   FA      32768     2c33.118e.07b3   0s    0x0    0xE    0x43    0x3F

Observe que, no switch adjacente, a chave de operação do parceiro é mostrada como 0xE (14), embora o FXOS esteja configurado com a ID do Port-Channel 15

Captura de pacotes do LACP no Wireshark:

Estado do parceiro

Estado

Expirado

Padrão

Distribuído

Coletado

Sincronização

Agregação

Limite de tempo do LACP

Atividade do LACP

Valor

0

0

1

1

1

1

1

1

Hex

3

f

Verificar Port-Channel no FPR21xx/FPR1xxx

Diagrama de Rede

Verificação básica do Port-Channel

> connect fxos

FP2110-2# connect local-mgmt

FP2110-2(local-mgmt)# show portchannel summary

Flags:  D - Down        P - Up in port-channel (members)

I - Individual  H - Hot-standby (LACP only)

s - Suspended   r - Module-removed

S - Switched    R - Routed

U - Up (port-channel)

M - Not in use. Min-links not met

--------------------------------------------------------------------------------

Group Port-       Type     Protocol  Member Ports

Channel

--------------------------------------------------------------------------------

11    Po11(U)     Eth      LACP      Eth1/1(P)    Eth1/2(P)

Verificação adicional:

FP2110-2# scope eth-uplink

FP2110-2 /eth-uplink # scope fabric a

FP2110-2 /eth-uplink/fabric # show port-channel

Port Channel:

Port Channel Id Name             Port Type          Admin State Oper State       State Reason

--------------- ---------------- ------------------ ----------- ---------------- ------------

11              Port-channel11   Data               Enabled     Up               Up

Verifique os detalhes do Port-Channel:

FP2110-2 /eth-uplink/fabric # show port-channel detail

Port Channel:

Port Channel Id: 11

Name: Port-channel11

Port Type: Data

Description:

Admin State: Enabled

Oper State: Up

Auto negotiation: Yes

Speed: 1 Gbps

Duplex: Full Duplex

Oper Speed: 1 Gbps

Band Width (Gbps): 2

State Reason: Up

flow control policy: default

LACP policy name: default

oper LACP policy name: org-root/lacp-default

Lacp Mode: Active

Inline Pair Admin State: Enabled

Inline Pair Peer Port Name:

Verifique os detalhes dos membros do Port-Channel:

FP2110-2# scope eth-uplink

FP2110-2 /eth-uplink # scope fabric a

FP2110-2 /eth-uplink/fabric # scope port-channel 11

FP2110-2 /eth-uplink/fabric/port-channel # show member-port

Member Port:

Port Name       Membership         Oper State       State Reason

--------------- ------------------ ---------------- ------------

Ethernet1/1     Up                 Up               Up

Ethernet1/2     Up                 Up               Up

Detalhes da porta de membros:

FP2110-2 /eth-uplink/fabric/port-channel # show member-port detail

Member Port:

Port Name: Ethernet1/1

Membership: Up

Oper State: Up

State Reason: Up

Ethernet Link Profile name: default

Oper Ethernet Link Profile name: fabric/lan/eth-link-prof-default

Udld Oper State: Unknown

Current Task:

Port Name: Ethernet1/2

Membership: Up

Oper State: Up

State Reason: Up

Ethernet Link Profile name: default

Oper Ethernet Link Profile name: fabric/lan/eth-link-prof-default

Udld Oper State: Unknown

Current Task:

Verificação do LACP

FP2110-2(local-mgmt)# show lacp neighbor

Flags:  S - Device is requesting Slow LACPDUs

F - Device is requesting Fast LACPDUs

A - Device is in Active mode       P - Device is in Passive mode

Channel group: 11

Partner (internal) information:

Partner                 Partner                       Partner

Port      System ID             Port Number     Age         Flags

Eth1/1    32768,286f.7fec.5980  0x10e           13 s        FA <-- the peer is requesting Fast Rate

LACP Partner           Partner           Partner

Port Priority        Oper Key        Port State

32768                0x16            0x3f

Port State Flags Decode:

Activity:   Timeout:   Aggregation:   Synchronization:

Active      Long       Yes            Yes

Collected:   Distributing:   Defaulted:   Expired:

Yes           Yes             No           No

Partner                 Partner                       Partner

Port      System ID             Port Number     Age         Flags

Eth1/2    32768,286f.7fec.5980  0x10f           5  s        FA <-- the peer is requesting Fast Rate

LACP Partner           Partner           Partner

Port Priority        Oper Key        Port State

32768                0x16            0x3f

Port State Flags Decode:

Activity:   Timeout:   Aggregation:   Synchronization:

Active      Long       Yes            Yes

Collected:   Distributing:   Defaulted:   Expired:

Yes           Yes             No           No

Observação: em FPR21xx/FPR1xxx, a taxa de LACP padrão é lenta e não pode ser alterada

Contadores do LACP

FP2110-2(local-mgmt)# show lacp counters

LACPDUs         Marker      Marker Response    LACPDUs

Port       Sent   Recv     Sent   Recv    Sent    Recv      Pkts Err

---------------------------------------------------------------------

Channel group: 11

Eth1/1     4435   3532     0      0        0      0         0

Eth1/2     4566   3532     0      0        0      0         0

FP2110-2(local-mgmt)# show lacp counters

LACPDUs         Marker      Marker Response    LACPDUs

Port       Sent   Recv     Sent   Recv    Sent    Recv      Pkts Err

---------------------------------------------------------------------

Channel group: 11

Eth1/1     4436   3532     0      0        0      0         0

Eth1/2     4567   3532     0      0        0      0         0

Verificação de interface do FPR2100

Como as interfaces físicas são mapeadas para o switch interno do FPR2100:

Interface

Switch interno no FPR2110/FPR2120

Switch interno no FPR2130/FPR2140

E1/1

1

1

E1/2

0

0

E1/3

3

3

E1/4

2

2

E1/5

5

5

E1/6

4

4

E1/7

7

7

E1/8

6

6

E1/9

9

49

E1/10

8

48

E1/11

11

51

E1/12

10

50

E1/13

12

59

E1/14

13

58

E1/15

14

57

E1/16

15

56

E2/1

-

70

E2/2

-

71

E2/3

-

69

E2/4

-

68

E2/5

-

66

E2/6

-

67

E2/7

-

65

E2/8

-

64

Verifique o status da interface física:

FP2110-2(local-mgmt)# show portmanager port-info ethernet 1 1

port_info:

if_index:    0x1081000

type:        PORTMGR_IPC_MSG_PORT_TYPE_PHYSICAL

mac_address: 70:df:2f:18:d8:04

flowctl:     PORTMGR_IPC_MSG_FLOWCTL_NONE

role:        PORTMGR_IPC_MSG_PORT_ROLE_NPU

admin_state: PORTMGR_IPC_MSG_PORT_STATE_ENABLED

oper_state:  PORTMGR_IPC_MSG_PORT_STATE_UP

admin_speed: PORTMGR_IPC_MSG_SPEED_AUTO

oper_speed:  PORTMGR_IPC_MSG_SPEED_1GB

admin_mtu:   9216

admin_duplex: PORTMGR_IPC_MSG_PORT_DUPLEX_FULL

oper_duplex: PORTMGR_IPC_MSG_PORT_DUPLEX_FULL

pc_if_index: 0x200000b

pc_membership_status: PORTMGR_IPC_MSG_MMBR_UP

pc_protocol: PORTMGR_IPC_MSG_PORT_CHANNEL_PRTCL_LACP_ACTIVE

native_vlan: 1011

num_allowed_vlan: 1

allowed_vlan[0]: 1011

Contadores da interface física:

FP2110-2(local-mgmt)# show portmanager counters ethernet 1 1

Good Octets Received                              : 2692986

Bad Octets Received                               : 0

MAC Transmit Error                                : 0

Good Packets Received                             : 37038

Bad Packets Received                              : 0

BRDC Packets Received                             : 22290

MC Packets Received                               : 12538

Size 64                                           : 34193

Size 65 to 127                                    : 1531

Size 128 to 255                                   : 1515

Size 256 to 511                                   : 374

Size 512 to 1023                                  : 95

Size 1024 to Max                                  : 0

Good Octets Sent                                  : 87296

Good Packets Sent                                 : 682

Excessive Collision                               : 0

MC Packets Sent                                   : 682

BRDC Packets Sent                                 : 0

Unrecognized MAC Received                         : 0

FC Sent                                           : 0

Good FC Received                                  : 0

Drop Events                                       : 0

Undersize Packets                                 : 0

Fragments Packets                                 : 0

Oversize Packets                                  : 0

Jabber Packets                                    : 0

MAC RX Error Packets Received                     : 0

Bad CRC                                           : 0

Collisions                                        : 0

Tabela MAC do switch interno do FPR2100. Observe que 01:80:C2:00:00:02 = LACP

FP2110-2(local-mgmt)# show portmanager switch mac-filters

port ix          MAC                mask        action      packets       bytes

00   03e  70:DF:2F:18:D8:05  FF:FF:FF:FF:FF:FF  FORWARD

043  01:80:C2:00:00:02  FF:FF:FF:FF:FF:FF  FORWARD         687       87936

044  70:DF:2F:18:D8:2D  FF:FF:FF:FF:FF:FF  FORWARD

045  FF:FF:FF:FF:FF:FF  FF:FF:FF:FF:FF:FF  FORWARD        5501      385360

3d0  00:00:00:00:00:00  01:00:00:00:00:00  DROP           2101      141426

3e8  01:00:00:00:00:00  01:00:00:00:00:00  DROP           7946     1524820

01   03f  70:DF:2F:18:D8:04  FF:FF:FF:FF:FF:FF  FORWARD

040  01:80:C2:00:00:02  FF:FF:FF:FF:FF:FF  FORWARD         687       87936

041  70:DF:2F:18:D8:2D  FF:FF:FF:FF:FF:FF  FORWARD

042  FF:FF:FF:FF:FF:FF  FF:FF:FF:FF:FF:FF  FORWARD       22351     1451504

3d1  00:00:00:00:00:00  01:00:00:00:00:00  DROP           2215      154542

3e9  01:00:00:00:00:00  01:00:00:00:00:00  DROP          11886     1006067

02   03c  70:DF:2F:18:D8:07  FF:FF:FF:FF:FF:FF  FORWARD

049  01:80:C2:00:00:02  FF:FF:FF:FF:FF:FF  FORWARD

04a  70:DF:2F:18:D8:6D  FF:FF:FF:FF:FF:FF  FORWARD

04b  FF:FF:FF:FF:FF:FF  FF:FF:FF:FF:FF:FF  FORWARD

3d2  00:00:00:00:00:00  01:00:00:00:00:00  DROP

3ea  01:00:00:00:00:00  01:00:00:00:00:00  DROP

As portas e1/1 e e1/2 correspondem a 0/0 e 0/1 no switch interno:

FP2110-2(local-mgmt)# show portmanager switch status

Dev/Port         Mode        Link   Speed  Duplex  Loopback Mode

---------  ----------------  -----  -----  ------  -------------

0/0             QSGMII        Up     1G     Full    None

0/1             QSGMII        Up     1G     Full    None

0/2             QSGMII       Down    1G     Half    None

0/3             QSGMII       Down    1G     Half    None

0/4             QSGMII       Down    1G     Half    None

0/5             QSGMII       Down    1G     Half    None

0/6             QSGMII       Down    1G     Half    None

0/7             QSGMII       Down    1G     Half    None

0/8             QSGMII       Down    1G     Half    None

0/9             QSGMII       Down    1G     Half    None

0/10            QSGMII       Down    1G     Half    None

0/11            QSGMII       Down    1G     Half    None

0/12            QSGMII       Down    10     Half    None

0/13            QSGMII       Down    10     Half    None

0/14            QSGMII       Down    10     Half    None

0/15            QSGMII       Down    10     Half    None

0/16             n/a         Down    n/a    Full    N/A

0/17             n/a         Down    n/a    Full    N/A

0/18             n/a         Down    n/a    Full    N/A

0/19             n/a         Down    n/a    Full    N/A

0/20             n/a         Down    n/a    Full    N/A

0/21             n/a         Down    n/a    Full    N/A

0/22             n/a         Down    n/a    Full    N/A

0/23             n/a         Down    n/a    Full    N/A

0/24              KR          Up     10G    Full    None

0/25              KR          Up     10G    Full    None

0/26              KR         Down    10G    Full    None

0/27              KR          Up     10G    Full    None

Troubleshooting

Resumo do LACP

Fatos de LACP:

- O Link Aggregation Control Protocol (LACP) do padrão IEEE (802.3ad) é um protocolo L2 usado para negociação do Port-Channel.

- O LACP usa o MAC de destino 0180.c200.0002 e o tipo de Ethernet 0x8809.

- O LACP e o modo On (sem LACP) são os únicos modos compatíveis com os dispositivos Firepower (o modo On foi adicionado ao FP4100/FP9300 na versão 2.4.x do FXOS).

- O LACP pode ser configurado em um dos dois modos (Ativo ou Passivo). O FXOS sempre usa o modo Ativo.

- O objetivo principal do LACP é proteger contra configurações incorretas do Port-Channel.

- Para que um PC do LACP fique ATIVO, é necessário ter as mesmas configurações de velocidade/duplex nos membros da interface do Port-Channel. No FXOS, você define a velocidade no nível do Port-Channel.

- Agente do LACP = o dispositivo local

- Parceiro do LACP = o dispositivo remoto

- Cada dispositivo tem uma ID do sistema do LACP, que geralmente é o MAC do chassi. A ID do sistema do LACP é enviada em cada pacote do LACP.

- Cada pacote do LACP tem aproximadamente 110 bytes.

- O LACP pode funcionar em taxa rápida ou taxa lenta (normal). No FXOS, o padrão é taxa rápida (exceto para 1xxx/21xx, em que a taxa é sempre lenta), mas também pode ser configurado como taxa lenta. O modo do LACP no lado do switch depende do modelo do switch e do SW usado. Por exemplo, um Cat3750 é compatível com taxa lenta e rápida a partir da versão 15.2(4)E. Verifique o guia de confirmação do switch para obter mais detalhes.

- No período de detecção do LACP, os LACPs são enviados a cada 1 segundo, independentemente da taxa de LACP. A taxa do LACP afeta apenas o intervalo de keepalive do LACP, quando a interface está ATIVA.

Benefícios da manutenção de atividade do LACP

O keepalive do LACP é útil nas situações em que a interface remota não está mais funcional, mas ainda está ATIVA (nenhuma falha direta foi detectada). Esse pode ser o caso de um problema de driver/L2 ou se houver algum dispositivo no caminho (por exemplo, IPS) que não permita a detecção de falhas de link remoto. O keepalive do LACP tem um limite de tempo de taxa de pares x 3. Por exemplo, se o par remoto é enviado a cada 1 segundo, o dispositivo local declara o par remoto como inativo se nenhum pacote do LACP for recebido em 3 segundos. No caso de taxa lenta, isso ocorre depois de 90 segundos.

Todos os campos de um pacote do LACP conforme são mostrados no Wireshark:

Observação: quando um canal de porta é terminado no FTD, a captura FXOS não mostra pacotes LACP (entrada ou saída)

Comparação entre taxa rápida e taxa lenta do LACP

Em geral, a recomendação é usar a taxa rápida em ambos os lados (o FXOS no 4100/9300 usa a taxa rápida por padrão e, no FPR2100, a taxa de envio padrão do LACP é lenta). A taxa rápida do LACP pode aumentar a velocidade dos pacotes do Port-Channel.

FXOS configurado com taxa lenta

FXOS configurado com taxa rápida

Switch configurado com taxa lenta

O switch solicita taxa lenta

O FXOS solicita taxa lenta

O switch envia 1 LACP/30 segundos

O FXOS envia 1 LACP/30 segundos

O switch solicita taxa lenta

O FXOS solicita taxa rápida

O switch envia 1 LACP/segundo

O FXOS envia 1 LACP/30 segundos

Switch configurado com taxa rápida

O switch solicita taxa rápida

O FXOS solicita taxa lenta

O switch envia 1 LACP/30 segundos

O FXOS envia 1 LACP/segundo

O switch solicita taxa rápida

O FXOS solicita taxa rápida

O switch envia 1 LACP/segundo

O FXOS envia 1 LACP/segundo

Para configurar o modo do LACP no FXOS (41xx/93xx):

KSEC-FPR4100-1# scope org

KSEC-FPR4100-1 /org # show lacppolicy

LACP policy:

Name       LACP rate

---------- ---------

default    Fast

KSEC-FPR4100-1 /org # scope lacppolicy default

KSEC-FPR4100-1 /org/lacppolicy # set lacp-rate

fast    lacp rate fast

normal  lacp rate normal

Solucionar problemas do Port-Channel no FPR4100/FPR9300

Diagrama de Rede

Os chassis do FPR4100 e do FPR9300 contêm um switch interno em que o Port-Channel é encerrado. Como o switch interno é semelhante a um Nexus 5K e o FXOS é compatível apenas com o LACP, a abordagem de solução de problemas é semelhante a um Nexus 5K.

Verificação 1 – Verifique o status do Port-Channel

FP4110-7-A(fxos)# show port-channel summary

Flags:  D - Down        P - Up in port-channel (members)

I - Individual  H - Hot-standby (LACP only)

s - Suspended   r - Module-removed

S - Switched    R - Routed

U - Up (port-channel)

M - Not in use. Min-links not met

--------------------------------------------------------------------------------

Group Port-       Type     Protocol  Member Ports

Channel

--------------------------------------------------------------------------------

15    Po15(SU)    Eth      LACP      Eth1/2(P)    Eth1/3(P)

Verifique o status da interface do FXOS:

FP4110-7-A(fxos)# show interface brief

--------------------------------------------------------------------------------

Ethernet      VLAN   Type Mode   Status  Reason                   Speed     Port

Interface                                                                   Ch #

--------------------------------------------------------------------------------

Eth1/1        1       eth  1qtunl up      none                       1000(D) --

Eth1/2        1       eth  1qtunl up      none                       1000(D) 15

Eth1/3        1       eth  1qtunl up      none                       1000(D) 15

Eth1/4        1       eth  1qtunl down    SFP not inserted            10G(D) --

Eth1/5        1       eth  1qtunl down    Administratively down      1000(D) --

Eth1/6        1       eth  1qtunl down    Administratively down      1000(D) --

Eth1/7        1       eth  1qtunl down    Administratively down       10G(D) --

Eth1/8        1       eth  1qtunl down    SFP not inserted            10G(D) --

Eth1/9        1       eth  vntag  up      none                        40G(D) --

Eth1/10       1       eth  access down    Administratively down       40G(D) --

Eth1/11       1       eth  access down    Administratively down      1000(D) --

Eth1/12       1       eth  access down    Administratively down      1000(D) --

Verificação 2 – Verifique se o FXOS envia e recebe LACPs (execute o comando algumas vezes)

FP4110-7-A(fxos)# show lacp counters interface port-channel 15

LACPDUs         Marker      Marker Response    LACPDUs

Port              Sent   Recv     Sent   Recv     Sent   Recv      Pkts Err

---------------------------------------------------------------------

port-channel15

Ethernet1/2        223019 207280   0      0        0      0        0

Ethernet1/3        296532 207744   0      0        0      0        0

Verifique o mesmo no switch:

Switch# show lacp 5 counters

LACPDUs         Marker      Marker Response    LACPDUs

Port       Sent   Recv     Sent   Recv     Sent   Recv      Pkts Err

---------------------------------------------------------------------

Channel group: 5

Gi1/0/2     627    596      0      0        0      0         0

Gi1/0/3     623    593      0      0        0      0         0

Verifique os detalhes do LACP de uma interface individual do FXOS:

FP4110-7-A(fxos)# show lacp interface ethernet 1/2

Interface Ethernet1/2 is up

Channel group is 15 port channel is Po15

PDUs sent: 222828

PDUs rcvd: 207074

Markers sent: 0

Markers rcvd: 0

Marker response sent: 0

Marker response rcvd: 0

Unknown packets rcvd: 0

Illegal packets rcvd: 0

Lag Id: [ [(8000, 28-6f-7f-ec-59-80, 5, 8000, 103), (8000, 2c-33-11-8e-7-b3, e,

8000, 42)] ]

Operational as aggregated link since Tue Oct 31 19:14:57 2017

Local Port: Eth1/2   MAC Address= 2c-33-11-8e-7-b3

System Identifier=0x8000,2c-33-11-8e-7-b3

Port Identifier=0x8000,0x42

Operational key=14

LACP_Activity=active

LACP_Timeout=Short Timeout (1s)

Synchronization=IN_SYNC

Collected=true

Distributing=true

Verificação 3 – Verifique as IDs do LACP dos dispositivos local e remoto

FP4110-7-A(fxos)# show lacp port-channel interface port-channel 15

port-channel15

System Mac=2c-33-11-8e-7-b3

Local System Identifier=0x8000,2c-33-11-8e-7-b3

Admin key=0xe

Operational key=0xe

Partner System Identifier=0x8000,28-6f-7f-ec-59-80

Operational key=0x5

Max delay=0

Aggregate or individual=1

Member Port List=

Verificação 4 (opcional) – Colete essa saída (pode ser usada pelo Cisco TAC)

FP4110-7-A(fxos)# show lacp internal event-history errors

1) Event:E_DEBUG, length:74, at 574387 usecs after Tue Oct 31 19:14:57 2017

[102] lacp_proto_set_ntt(1780): Restarting periodic tx timer in 0x210 msecs

2) Event:E_DEBUG, length:467, at 544757 usecs after Tue Oct 31 19:14:57 2017

[102] lacp_ac_init_port_channel_member(1660): TYPE1 UPDATE lacp_ac_init_port

_channel_member port-channel port-channel15(0x1600000e) lacp_mcec_type1_upd_sent

...

Verificação 5 – Verifique a transição do FSM do LACP para a porta específica que tem o problema. As mensagens são mostradas com a mais antiga na parte superior da saída

FP4110-7-A(fxos)# show lacp internal event-history interface ethernet 1/2

>>>>FSM: <Ethernet1/2> has 975 logged transitions<<<<<

1) FSM:<Ethernet1/2> Transition at 257150 usecs after Sun Oct 29 12:35:16 2017

Previous state: [LACP_ST_WAIT_FOR_HW_TO_PROGRAM_RECEIVE_PATH]

Triggered event: [LACP_EV_PORT_RECEIVE_PATH_ENABLED_AS_CHANNEL_MEMBER_MESSAGE]

Next state: [LACP_ST_PORT_MEMBER_RECEIVE_ENABLED]

...

4) FSM:<Ethernet1/2> Transition at 966987 usecs after Sun Oct 29 12:35:19 2017

Previous state: [LACP_ST_PORT_MEMBER_COLLECTING_AND_DISTRIBUTING_ENABLED]

Triggered event: [LACP_EV_PARTNER_PDU_IN_SYNC] <--- Good (Received LACP with ‘Synchronization = 1’

Next state: [LACP_ST_PORT_IS_DOWN_OR_LACP_IS_DISABLED]

...

207) FSM:<Ethernet1/4> Transition at 482767 usecs after Sun Oct 29 13:18:40 2017

Previous state: [LACP_ST_ATTACHED_TO_AGGREGATOR]

Triggered event: [LACP_EV_PARTNER_PDU_OUT_OF_SYNC]

Next state: [FSM_ST_NO_CHANGE]

208) FSM:<Ethernet1/4> Transition at 363720 usecs after Sun Oct 29 13:18:41 2017

Previous state: [LACP_ST_ATTACHED_TO_AGGREGATOR]

Triggered event: [LACP_EV_PARTNER_PDU_OUT_OF_SYNC] <--- Bad (Received LACP with ‘Synchronization = 0’

Next state: [FSM_ST_NO_CHANGE]

Verificação 6 – Colete o histórico de eventos do Port-Channel (pode ser usado pelo Cisco TAC)

FP4110-7-A(fxos)# show port-channel internal event-history all

Low Priority Pending  queue: len(0), max len(1) [Tue Oct 31 19:37:03 2017] High Priority Pending queue: len(0), max len(12) [Tue Oct 31 19:37:03 2017] PCM Control Block info: pcm_max_channels : 4096 pcm_max_channel_in_use : 48 pc count : 2 hif-pc count : 0 Max PC Cnt : 104 Load-defer timeout : 120 ==================================================== PORT CHANNELS: 2LvPC PO in system : 0 port-channel15 channel : 15 bundle : 65535 ... >>>>FSM: <eth-port-channel 15> has 66 logged transitions<<<<< 1) FSM:<eth-port-channel 15> Transition at 174796 usecs after Tue Oct 31 18:05:0 8 2017 Previous state: [PCM_PC_ST_INIT] Triggered event: [PCM_PC_EV_CREATE_INIT] Next state: [FSM_ST_NO_CHANGE] 2) Event:ESQ_START length:38, at 174810 usecs after Tue Oct 31 18:05:08 2017 Instance:369098766, Seq Id:0x1, Ret:SUCCESS Seq Type:SERIAL ...

Solucionar problemas do Port-Channel no FPR21xx/FPR1xxx

Diagrama de Rede

Verificação 1. Caso o LACP seja usado, verifique os contadores do LACP

Você verá que os dois lados (switch e FXOS) enviam e recebem:

FP2110-2(local-mgmt)# show lacp counters

LACPDUs         Marker      Marker Response    LACPDUs

Port       Sent   Recv     Sent   Recv    Sent    Recv      Pkts Err

---------------------------------------------------------------------

Channel group: 11

Eth1/1     4435   3532     0      0        0      0         0

Eth1/2     4566   3532     0      0        0      0         0

Outra maneira de verificar o mesmo:

FP2110-2(local-mgmt)# show pktmgr counters

Ports           Tx        Tx        Tx        Rx      Rx        Rx        Rx

Packets     Drops     Bytes   Packets   Drops     Bytes  Forwards

----------------------------------------------------------------------------

Eth1/1       4575         0    567300      3537       0    452736      3537 < LACP PDUs forwarded internally to LACP process

Eth1/2       4706         0    583544      3537       0    452736      3537 < LACP PDUs forwarded internally to LACP process

Eth1/3          0         0         0         0       0         0         0

Eth1/4          0         0         0         0       0         0         0

Eth1/5          0         0         0         0       0         0         0

Eth1/6          0         0         0         0       0         0         0

Eth1/7          0         0         0         0       0         0         0

Eth1/8          0         0         0         0       0         0         0

Eth1/9          0         0         0         0       0         0         0

Eth1/10         0         0         0         0       0         0         0

Eth1/11         0         0         0         0       0         0         0

Eth1/12         0         0         0         0       0         0         0

Eth1/13         0         0         0         0       0         0         0

Eth1/14         0         0         0         0       0         0         0

Eth1/15         0         0         0         0       0         0         0

Eth1/16         0         0         0         0       0         0         0

Misc.           0         0         0         0       0         0       n/a

Verificação 2. Verifique o status do switch de upstream

FP2110-2(local-mgmt)# show lacp neighbor

Flags:  S - Device is requesting Slow LACPDUs

F - Device is requesting Fast LACPDUs

A - Device is in Active mode       P - Device is in Passive mode

Channel group: 11

Partner (internal) information:

Partner                 Partner                       Partner

Port      System ID             Port Number     Age         Flags

Eth1/1    32768,286f.7fec.5980  0x10e           9  s        FA

LACP Partner           Partner           Partner

Port Priority        Oper Key        Port State

32768                0x16            0x3f

Port State Flags Decode:

Activity:   Timeout:   Aggregation:   Synchronization:

Active      Long       Yes            Yes

Collected:   Distributing:   Defaulted:   Expired:

Yes           Yes             No           No

Partner                 Partner                       Partner

Port      System ID             Port Number     Age         Flags

Eth1/2    32768,286f.7fec.5980  0x10f           24 s        FA

LACP Partner           Partner           Partner

Port Priority        Oper Key        Port State

32768                0x16            0x3f

Port State Flags Decode:

Activity:   Timeout:   Aggregation:   Synchronization:

Active      Long       Yes            Yes

Collected:   Distributed:   Defaulted:   Expired:

Yes           Yes             No           No

Observação: se Coletado e Distribuído não forem 'Sim' e Padrão for 'Não', o LACP não será convergido.

Verificação 3. Verifique se a ID do sistema do LACP local não é 0

FP2110-2(local-mgmt)# show lacp sys-id

32768, 70df.2f18.d813

Solução de problemas adicional (comum em todas as plataformas)

Verificação 1

Certifique-se de que ambos os lados (Firewall e switch) tenham configurações correspondentes (por exemplo, Velocidade é a mesma, o modo de canal de porta é o mesmo).

Verificação 2

Verifique se há falhas do FXOS. Você pode fazer essa verificação na interface do usuário (UI) do chassi ou na CLI que usa esse comando:

FPR4100# show fault

Severity  Code     Last Transition Time     ID       Description

--------- -------- ------------------------ -------- -----------

Major     F0479    2020-03-19T11:50:44.322    543322 Virtual interface 781 link state is down

Major     F0373    2020-03-19T10:55:13.778     34178 Fan 1 in Fan Module 1-5 under chassis 1 operability: inoperable

Minor     F0480    2020-03-19T10:55:13.777     34177 Fan module 1-5 in chassis 1 operability: degraded

Major     F1767    2020-03-19T10:54:04.162    531228 The password encryption key has not been set.

Major     F0727    2020-03-19T09:50:02.891    522921 lan Member 1/5 of Port-Channel 10 on fabric interconnect A is down, membership: suspended

Major     F0282    2020-03-19T09:49:31.462    522922 lan port-channel 10 on fabric interconnect A oper state: failed, reason: No operational members

Major     F0277    2020-03-19T09:49:31.437    522929 ether port 1/5 on fabric interconnect A oper state: failed, reason: Other

Info      F0279    2020-01-17T11:06:45.472    300958 ether port 1/7 on fabric interconnect A oper state: sfp-not-present

Info      F0279    2020-01-17T11:06:37.941    300903 ether port 1/6 on fabric interconnect A oper state: sfp-not-present

Minor     F1437    2020-01-16T10:11:39.675    291723 Config backup may be outdated

As falhas são mostradas em ordem cronológica. A gravidade reflete a importância da falha, enquanto a descrição fornece um breve resumo. O foco está principalmente na gravidade, no carimbo de hora e na descrição. A ordem de gravidade da falha da mais grave para a menos grave é:

- Crítico

- Principal

- Menor

- Aviso

- Informações/condição

- Limpo

Para obter detalhes sobre cada falha, consulte o guia Falhas e mensagens de erro do FXOS: Mensagens de erro e do sistema do FXOS

Verificação 3

Se você fez algumas alterações recentes relacionadas à configuração do Port-Channel no FMC, verifique se a política foi implantada do FMC para o FTD

Verificação 4

Se o Port-Channel estiver no estado de falha e o dispositivo pertencer a um cluster, verifique se o cluster está ativado no dispositivo. Para um dispositivo iniciado no cluster, é normal ter o Port-Channel em um estado de falha

Verificação 5

Se a configuração estiver correta, mas a interface não ficar ATIVA, verifique e substitua o cabo e/ou o transceptor plugável de tamanho pequeno (SFP)

Verificação 6

Verifique as notas de versão do Firepower quanto a problemas conhecidos relacionados ao Port-Channel. Por exemplo, se você executar o FXOS versão 2.6.1.169 e o FTD 6.4.0.6, verifique estas seções:

Além disso, verifique as notas de versão relacionadas do FMC/FTD. Neste exemplo, como o FTD executa o 6.4.0.5, é necessário verificar as notas de versão do 6.4.x:

Problemas comuns

Caso 1. Incompatibilidade do modo EtherChannel

Considere esta topologia:

Os sintomas do problema

No Firepower, o Port-Channel está inativo e o protocolo de negociação é o LACP:

FP2110-2(local-mgmt)# show portchannel summary

Flags:  D - Down        P - Up in port-channel (members)

I - Individual  H - Hot-standby (LACP only)

s - Suspended   r - Module-removed

S - Switched    R - Routed

U - Up (port-channel)

M - Not in use. Min-links not met

--------------------------------------------------------------------------------

Group Port-       Type     Protocol  Member Ports

Channel

--------------------------------------------------------------------------------

11    Po11(D)     Eth      LACP      Eth1/1(D)    Eth1/2(D)

Em FXOS, os contadores de LACP enviados são incrementados a cada 30 segundos, mas os contadores de recebimento não são:

FP2110-2(local-mgmt)# show lacp counters

LACPDUs         Marker      Marker Response    LACPDUs

Port       Sent   Recv     Sent   Recv    Sent    Recv      Pkts Err

---------------------------------------------------------------------

Channel group: 11

Eth1/1     11356  3762     0      0        0      0         0

Eth1/2     11393  3761     0      0        0      0         0

FP2110-2(local-mgmt)# show lacp counters

LACPDUs         Marker      Marker Response    LACPDUs

Port       Sent   Recv     Sent   Recv    Sent    Recv      Pkts Err

---------------------------------------------------------------------

Channel group: 11

Eth1/1     11357  3762     0      0        0      0         0

Eth1/2     11394  3761     0      0        0      0         0

A causa do problema

O Port-Channel no switch está ATIVO, mas observe a ausência do protocolo de negociação:

Switch# show etherchannel 22 summary

…

Number of channel-groups in use: 15

Number of aggregators:           15

Group  Port-channel  Protocol    Ports

------+-------------+-----------+-----------------------------------------------

22     Po22(SU)         -        Gi1/0/13(P) Gi1/0/14(P)

A configuração da porta do switch confirma isso:

Switch# show run int g1/0/13

interface GigabitEthernet1/0/13

lacp rate fast

channel-group 22 mode on

end

Switch# show run int g1/0/14

interface GigabitEthernet1/0/14

lacp rate fast

channel-group 22 mode on

end

Solução

Como esse é um dispositivo FPR21xx, existem duas soluções possíveis:

1. Altere o modo do Port-Channel no lado do switch de ON para LACP (Ativo ou Passivo).

2. Altere o modo do Port-Channel no lado do FTD de LACP para ON.

Neste cenário, a segunda solução foi escolhida (defina o Port-Channel do FTD como o modo ON):

FP2110-2(local-mgmt)# show portchannel summary

Flags:  D - Down        P - Up in port-channel (members)

I - Individual  H - Hot-standby (LACP only)

s - Suspended   r - Module-removed

S - Switched    R - Routed

U - Up (port-channel)

M - Not in use. Min-links not met

--------------------------------------------------------------------------------

Group Port-       Type     Protocol  Member Ports

Channel

--------------------------------------------------------------------------------

11    Po11(U)     Eth      ON        Eth1/1(P)    Eth1/2(P)

Os contadores do LACP não serão mais exibidos:

FP2110-2(local-mgmt)# show lacp counters

FP2110-2(local-mgmt)#

Caso 2. Design errado do Port-Channel

Os sintomas do problema

FP4110-7-A(fxos)# show port-channel summary

Flags:  D - Down        P - Up in port-channel (members)

I - Individual  H - Hot-standby (LACP only)

s - Suspended   r - Module-removed

S - Switched    R - Routed

U - Up (port-channel)

M - Not in use. Min-links not met

--------------------------------------------------------------------------------

Group Port-       Type     Protocol  Member Ports

Channel

--------------------------------------------------------------------------------

15    Po15(SD)    Eth      LACP      Eth1/2(P)    Eth1/3(s)

48    Po48(SD)    Eth      NONE      --

Os contadores do LACP do FXOS aumentam em ambas as direções:

FP4110-7-A(fxos)# show lacp counters

LACPDUs         Marker      Marker Response    LACPDUs

Port              Sent   Recv     Sent   Recv     Sent   Recv      Pkts Err

---------------------------------------------------------------------

port-channel15

Ethernet1/2        419219 451268   0      0        0      0        0

Ethernet1/3        419215 446806   0      0        0      0        0

FP4110-7-A(fxos)# show lacp counters

LACPDUs         Marker      Marker Response    LACPDUs

Port              Sent   Recv     Sent   Recv     Sent   Recv      Pkts Err

---------------------------------------------------------------------

port-channel15

Ethernet1/2        419219 451269   0      0        0      0        0

Ethernet1/3        419216 446807   0      0        0      0        0

A causa do problema

A saída do show lacp neighbor mostra uma ID do sistema do parceiro diferente em cada porta:

FP4110-7-A(fxos)# show lacp neighbor

Flags:  S - Device is sending Slow LACPDUs F - Device is sending Fast LACPDUs

A - Device is in Active mode       P - Device is in Passive mode

port-channel15 neighbors

Partner's information

Partner                Partner                     Partner

Port        System ID              Port Number     Age         Flags

Eth1/2      32768,28-6f-7f-ec-59-800x103           419611      FA

LACP Partner           Partner                     Partner

Port Priority          Oper Key                    Port State

32768                  0x5                         0x3d

Partner's information

Partner                Partner                     Partner

Port        System ID              Port Number     Age         Flags

Eth1/3      32768,4-62-73-d2-65-0  0x12f           419610      SA

LACP Partner           Partner                     Partner

Port Priority          Oper Key                    Port State

32768                  0x16                        0xd

Isso pode ser visualizado da seguinte maneira:

Solução

- No caso do 2960, você precisa configurar o empilhamento (FlexStack).

- No caso do 3750-X/3850 etc, você precisa configurar o empilhamento (StackWise Plus).

- No caso do 4500, 6500 e 6800, você precisa usar o Virtual Switching System (VSS).

- No caso do Nexus 5K, 7K ou 9K, você precisa usar o Virtual Port-Channel (vPC).

- Em um caso diferente, você precisa conectar o FXOS ao mesmo switch físico.

Caso 3. Port-Channel do FXOS não atribuído

Diagrama de Rede

Os sintomas do problema

No lado do FXOS, os membros do Port-Channel estão suspensos:

FP4110-7-A(fxos)# show port-channel summary

Flags:  D - Down        P - Up in port-channel (members)

I - Individual  H - Hot-standby (LACP only)

s - Suspended   r - Module-removed

S - Switched    R - Routed

U - Up (port-channel)

M - Not in use. Min-links not met

--------------------------------------------------------------------------------

Group Port-       Type     Protocol  Member Ports

Channel

--------------------------------------------------------------------------------

15    Po15(SD)    Eth      LACP      Eth1/2(s)    Eth1/3(s)

48    Po48(SD)    Eth      NONE      --

O mesmo ocorre no lado do switch:

Switch# show etherchannel 5 summary

…

Group  Port-channel  Protocol    Ports

------+-------------+-----------+-----------------------------------------------

5      Po5(SD)         LACP      Gi1/0/2(s)  Gi1/0/3(s)

Os contadores FXOS LACP mostram pacotes que são enviados e recebidos:

FP4110-7-A(fxos)# show lacp counters

LACPDUs         Marker      Marker Response    LACPDUs

Port              Sent   Recv     Sent   Recv     Sent   Recv      Pkts Err

---------------------------------------------------------------------

port-channel15

Ethernet1/2        420839 452531   0      0        0      0        0

Ethernet1/3        420793 447409   0      0        0      0        0

FP4110-7-A(fxos)# show lacp counters

LACPDUs         Marker      Marker Response    LACPDUs

Port              Sent   Recv     Sent   Recv     Sent   Recv      Pkts Err

---------------------------------------------------------------------

port-channel15

Ethernet1/2        421026 452537   0      0        0      0        0

Ethernet1/3        420981 447416   0      0        0      0        0

No lado do switch, os contadores do LACP também mostram pacotes que são enviados, mas não recebidos:

Switch# show lacp 5 counters

LACPDUs         Marker      Marker Response    LACPDUs

Port       Sent   Recv     Sent   Recv     Sent   Recv      Pkts Err

---------------------------------------------------------------------

Channel group: 5

Gi1/0/2     452539 420223   0      0        0      0         0

Gi1/0/3     447232 415274   0      0        0      0         0

Switch# show lacp 5 counters

LACPDUs         Marker      Marker Response    LACPDUs

Port       Sent   Recv     Sent   Recv     Sent   Recv      Pkts Err

---------------------------------------------------------------------

Channel group: 5

Gi1/0/2     452540 420223   0      0        0      0         0

Gi1/0/3     447233 415274   0      0        0      0         0

A causa do problema

Nesse caso, o problema é que o Port-Channel do FXOS não foi atribuído ao dispositivo lógico (aplicação do FTD):

Solução

Atribuir o Port-Channel ao dispositivo lógico

Caso 4. Os Alertas De Integridade Sobre O Canal De Porta Não Recebem Nenhum Pacote

A cada 5 minutos, o dispositivo (FTD) envia informações sobre o tráfego de interface recebido em cada interface que tem um nome configurado e está ATIVA. Se não houver pacotes recebidos no último intervalo, mensagens como esta serão exibidas na interface do usuário do FMC:

Ação recomendada

Na CLI do FTD, verifique a saída do comando show traffic e concentre-se na taxa de entrada de 5 minutos, por exemplo,

Interface Port-channel10.14

INSIDE:

received (in 237938.740 secs):

2 packets       84 bytes

0 pkts/sec      0 bytes/sec

transmitted (in 237938.740 secs):

5 packets       140 bytes

0 pkts/sec      0 bytes/sec

1 minute input rate 0 pkts/sec,  0 bytes/sec

1 minute output rate 0 pkts/sec,  0 bytes/sec

1 minute drop rate, 0 pkts/sec

5 minute input rate 0 pkts/sec,  0 bytes/sec

5 minute output rate 0 pkts/sec,  0 bytes/sec

5 minute drop rate, 0 pkts/sec

Caso 5. Alerta de saúde no FMC: canal de porta desassociado ou interface adicionada

O alerta de Integridade informa: "Interface com nome-físico: "Canal-porta" desassociado." ou "Interface com nome-físico: \"name_if\" adicionado."

Ação recomendada

Esse é um problema cosmético conhecido rastreado pela ID de bug Cisco CSCvb15074

Considerações do canal da porta

Considerações do projeto

Caso 1. Blade do FTD/ASA em HA

Esta configuração não é compatível. O motivo é que a configuração do canal de porta no lado do switch está incorreta e leva ao bloqueio de tráfego no dispositivo de standby. Esse design é compatível somente quando você configura o ASA ou o FTD no modo Cluster Distribuído.

Aviso: este cenário está incorreto no failover (alta disponibilidade)

Este é o design apropriado do Port-Channel para alta disponibilidade:

Referências

- Conexão com um EtherChannel em outro dispositivo

- EtherChannels para clustering entre chassis

Caso 2. FTD/ASA no cluster

Cada Port-Channel da interface de dados do firewall usa o modo Distribuído (esse é o único modo compatível nas plataformas Firepower). Da perspectiva de design, no lado do switch, as portas do switch para uma única interface de dados pertencem a um port-channel.

Por exemplo, no caso do FP9300 (2 chassis, 6 blades), as portas de dados podem ser configuradas da seguinte forma:

Por outro lado, o Cluster Control Link (CCL) usa o modo de canal de porta individual e, de acordo com as melhores práticas, a largura de banda deve corresponder à capacidade máxima de cada membro. Além disso, no caso do Nexus, cada port-channel pertence a um vPC diferente.

Da mesma forma, no caso do FP41xx:

E o CCL:

Caso 3. Port-Channel encerrado no FXOS

Port-Channel encerrado no chassi do FXOS. Veja abaixo um exemplo desse design:

Caso 4. Port-Channel através do FXOS

O canal de porta passa pelo chassi FXOS. Veja abaixo um exemplo desse design:

Observação: no segundo cenário, não há nenhum canal de porta configurado no dispositivo Firepower.

Port-Channel encerrado no FXOS versus Port-Channel através do FXOS

Recurso

Comentários

Port-Channel encerrado no chassi do FXOS (MIO)

Funciona a partir do FXOS 2.1.1

O canal de porta passa pelo chassi FXOS (MIO)

- Funciona antes do FXOS 2.1.1.58

- Não funciona em FXOS >= 2.1.1.58 e < 2.3.1.3 (devido ao bug da Cisco ID CSCva00405)

- Funciona após o FXOS 2.3.1.3

Outras considerações

Convergência normal do LACP

No caso de uma configuração de cluster (ASA ou FTD), a recomendação é que a convergência normal do LACP seja ativada no Nexus.

Perguntas frequentes

P. A distribuição hash de canal de porta do SSP é fixa ou adaptável?

O FXOS usa a distribuição de hash resiliente. Parece ser equivalente ao modo de distribuição de hash fixo descrito na documentação on-line do Nexus 7000/9k. No hash resiliente, se um link falhar, os fluxos atribuídos ao link com falha serão redistribuídos uniformemente entre os links ativos. Os fluxos atuais através dos links ativos não são recriados e seus pacotes não são entregues fora de ordem. Quando um link é adicionado ao canal de porta ou ao grupo ECMP, alguns dos fluxos com hash para os links atuais são recriados para o novo link, mas não em todos os links atuais.

P. O que acontece se as portas do switch conectadas ao canal de porta forem desativadas? O FTD monitora o link físico ou o canal de porta?

Se todos os membros da interface do port-channel ficarem inativos, o port-channel também ficará inativo. O estado de operação do Port-Channel é mostrado como falha. Da perspectiva do FTD, o port-channel é mostrado como inativo. Por outro lado, nesta regra, há uma exceção: Quando os switches usam empilhamento. Com o LACP, a ID do sistema usa o endereço MAC da pilha do switch ativo e, se o switch ativo for alterado, a ID do sistema do LACP poderá ser alterada. Se a ID do sistema do LACP for alterada, o EtherChannel será alternado e ocorrerá a reconvergência do STP. Use o comando stack-mac persistent timer para controlar se o endereço MAC da pilha muda ou não após um failover de switch ativo.

P. Gostaria de usar o comando "port-channel min-bundle 2" para que, se um link no canal da porta cair, o canal da porta ficará inativo e o firewall executará um failover.

Essa opção não é possível no chassi do FXOS. Como alternativa e sempre que possível, configure o comando lacp min-links nos switches de pares.

P. Como capturar pacotes LACP?

Caso 1. Port-Channel encerrado no dispositivo lógico (FTD/ASA)

- O Port-Channel é realmente encerrado no nível do chassi (FXOS).

- Você não pode capturar os pacotes do LACP (entrada ou saída) no nível do chassi (FXOS) nem no nível do aplicativo (FTD/ASA).

Caso 2. Port-Channel através do FTD – Interface do FTD implantada como inline-set

inline-set set1

snort fail-open down

interface-pair INSIDE OUTSIDE

!

interface Ethernet1/2

nameif INSIDE

cts manual

propagate sgt preserve-untag

policy static sgt disabled trusted

!

interface Ethernet1/3

nameif OUTSIDE

cts manual

propagate sgt preserve-untag

policy static sgt disabled trusted

LACP Ethertype is 0x8809 (dec 34825):

firepower# capture CAP interface INSIDE ethernet-type 34825

firepower# show capture CAP

1: 21:15:00.403131       2894.0f57.271d 0180.c200.0002 0x8809 Length: 124 <-- LACP packet

0101 0114 8000 0017 dfd6 ec00 0016 8000

0223 3d00 0000 0214 8000 0017 dfd6 ec00

0015 8000 0222 3d00 0000 0310 8000 0000

0000 0000 0000 0000 0000 0000 0000 0000

0000 0000 0000 0000 0000 0000 0000 0000

0000 0000 0000 0000 0000 0000 0000 0000

0000 0000 0000 0000 0000 0000 0000

Caso 3. Port-Channel através do FTD – Interface do FTD implantada como modo bridge-group:

interface Ethernet1/2

bridge-group 1

nameif INSIDE

cts manual

propagate sgt preserve-untag

policy static sgt disabled trusted

security-level 0

!

interface Ethernet1/3

bridge-group 1

nameif OUTSIDE

cts manual

propagate sgt preserve-untag

policy static sgt disabled trusted

security-level 0

!

interface BVI1

ip address 192.168.201.134 255.255.255.0

firepower# capture CAP interface INSIDE ethernet-type 34825

firepower# show capture CAP

1 packet captured

1: 21:21:29.731987       2894.0f57.271c 0180.c200.0002 0x8809 Length: 124 <-- LACP packet

0101 0114 8000 0017 dfd6 ec00 0015 8000

0222 7d00 0000 0214 0000 0000 0000 0000

0000 0000 0000 0000 0000 0310 8000 0000

0000 0000 0000 0000 0000 0000 0000 0000

0000 0000 0000 0000 0000 0000 0000 0000

0000 0000 0000 0000 0000 0000 0000 0000

0000 0000 0000 0000 0000 0000 0000

1 packet shown

P. Como migrar de uma única porta para um canal de porta?

Essa alteração exige uma janela de manutenção (MW) e é inconveniente. Depois que você migra de uma única interface para o Port-Channel, toda a configuração relacionada a uma única interface é desassociada. Depois de criar o canal de porta, é necessário reassociar a mesma configuração ao canal de porta recém-configurado, por exemplo, NAT, roteamento, VPN e assim por diante. Para o FTD, há uma observação neste documento:

Configurar um EtherChannel

Para um dispositivo ASA, o procedimento é descrito neste documento:

Conversão das interfaces em uso em uma interface redundante ou EtherChannel

P. Como alterar o link de alta disponibilidade (HA) do FTD para o canal de porta?

Essa alteração exige uma janela de manutenção (MW) e é inconveniente. Você deve interromper a HA e reconfigurá-la. No novo par de HA, especifique o Port-Channel como um link de HA. Documento relacionado:

Configurar a alta disponibilidade do FTD em dispositivos Firepower

Q. O Firepower com ASA mostra o canal de porta ativo, o status da interface física inativo

Isso está relacionado ao bug da Cisco ID CSCvp03354

P. O que deve ser escolhido para a ID do canal de porta no FMC?  Ele precisa corresponder a alguma coisa no lado do switch?

Não, não é importante. Você pode usar qualquer ID do Port-Channel desejada.

P. Na guia Port-Channel Advanced (Avançado do canal de porta), há alguma necessidade de fazer algo para o MAC ativo/standby?

Se você planeja usar o Port-Channel no modo de acesso (sem tronco) e usa a configuração de alta disponibilidade (HA), recomenda-se configurar o MAC ativo/em espera. Essa recomendação não é específica do Port-Channel, mas é aplicável a qualquer configuração de HA.

P. É possível configurar descrições para membros de interface de um canal de porta?

Atualmente (FXOS 2.13.x), não é suportado. Verifique o guia de configuração mais recente do FXOS para obter mais detalhes.

P. É possível alterar o algoritmo de balanceamento de carga de canal de porta FXOS?

Atualmente (FXOS 2.13.x), não é suportado. Verifique o guia de configuração mais recente do FXOS para obter mais detalhes.

P. É possível configurar o número mínimo (min-links) de interfaces membro em um canal de porta para fazer a transição do canal de porta para o estado agrupado?

Atualmente (FXOS 2.13.x), não é suportado. Verifique o guia de configuração mais recente do FXOS para obter mais detalhes.

Informações Relacionadas

- Guias de configuração do FXOS

- Guias de configuração do FMC/FTD