Cisco 主用/备用 FWSM 对在交换机升级后变为主用/主用

网络工程 思科 cisco催化剂
2021-07-20 16:22:00

问题:
我们核心交换机中的两个 FWSM 都处于主动/主动状态,受保护的子网具有部分可访问性。

设置:

  • 我们有 2 台运行 IOS 版本 12.2(18) 的 Cisco Catalyst 6509 交换机。
  • 每个交换机都有一个 FWSM 内部防火墙模块。
  • 两者都是多上下文分为 2 组。
  • 一个 FWSM 应该对两个组都处于活动状态,而另一个 FWSM 应该处于备用状态。

详细信息:
我们将 6509s 升级到 IOS 版本 12.2(33)。这反弹了每个开关。升级后,我们注意到两个 FWSM 都处于活动状态(不是一件好事)。我们最终在两个 6509 上恢复了 IOS,但两个 FWSM 都保持活动状态。

在升级之前,我们最繁忙的上下文是 97% 的内存利用率,通过修改命令行上的规则集后收到的消息来衡量。现在规则将无法完全编译,我们只剩下部分配置。

show memory显示 1gig RAM 中有 67% 的可用内存。
show resource acl显示 12 个分区,并且 97% 的内存使用上下文在使用的最多 14,173 条规则中只有 6,053 条。
show failover显示每个 FWSM 认为它是次要的,它的配偶是未知的。

我们已经关闭了一个 FWSM,并试图通过良好的配置使另一个 FWSM 正常运行并保持稳定,但它仍然拒绝编译规​​则集。

想法?
有人能解释一下 97% 的内存利用率到底代表什么吗?如果这是一个资源问题,它似乎与基于show resource acl输出的规则无关,但是 97% 的内存使用消息让我感到疑惑。此时我应该采取哪些后续步骤?

2个回答

问题:
事实证明我们在 FWSM 上遇到了节点限制。显然,您可以在规则限制内,但达到节点上限。该文档https://supportforums.cisco.com/docs/DOC-8786详细介绍了我们遇到的编译内存耗尽问题。引用:

show np 3 acl stats相关上下文中的此命令将显示是否已达到总节点数。甚至可能在达到 ACL 限制之前就达到此限制。每个 ACE 可能需要最少 2 个节点,最多最多 5 个节点,具体取决于调用 ACL 的位置。与 MPF(模块化策略框架)相关的 ACL 可能比与 NAT 或访问组相关的 ACL 占用更多节点。没有办法计算节点数。监视此情况的最佳方法是定期查看上述输出以确保未超出节点数。

解决方案:
1. 关闭辅助 FWSM 并打开主要 FWSM。
2. 通过检查可以删除哪些规则(陈旧规则和允许某些开发环境访问生产的最近更改)来修改我们的配置,以减少规则并因此减少节点数。
3. 确保编译新配置,然后重置主 FWSM。
4. 验证 FWSM 干净无错误。
5. 关闭主要 FWSM 的电源并打开辅助 FWSM 的电源。
6. 对辅助 FWSM 重复步骤 3 和 4,然后将其关闭。
7. 给初级上电,确保干净,给次级上电。
8. 确保主节点的配置被复制到辅助节点,并且主节点是活动的并且将辅助节点视为备用节点。

缓解措施:
1. 我们将开发环境(带有活动/备用 FWSM 的 2 x 6509)从 3.2(23) 升级到 FWSM 版本 4.1(13)。升级到 4.x 列车后,我们的最大节点数从 28,356 增加到 38,439。更多信息:http : //www.cisco.com/en/US/prod/collat​​eral/modules/ps2706/product_bulletin_c25-478751.html
2. 我们将在下一个更改窗口升级我们的生产 FWSM。
3. 我们实施了一个 Kiwi CatTools 作业来show np 3 acl stats在我们的上下文中运行命令,并通过电子邮件向我们发送每日报告。每当我们更改规则时,我们也会运行此命令以确保我们在节点和规则限制内。

FWSM 允许我们继续添加规则是一个有趣的行为。它仅在重新启动电源并尝试编译规则集时失败。得到教训!

show proc mem? show res usage detail? 看看你是否能找到所有内存的去向。您的情况可能触发了内存泄漏。

[注意:我已经看到 7500 进入同样的混乱模式......我们找到的唯一解决方案是关闭电源,移除 RSP,完全通电,然后重新插入辅助 RSP。对我们来说,一个多小时的过程。因此,请做好“完全重启”的准备。]