Cisco Troubleshooting: Welche Gründe gibt es, dass ein Switchport in err-disable state wechselt duch BPDU Guard (Multicast storm detected)?
Hallo liebe Cisco Liebhaber,
ich bin Netzwerktechniker und habe gerade eine Netzwerkstörung, bei der ein Switchport in den error-disabled Status gewechselt ist. Die Log-Meldung zeigt:
Jul 26 2021 08:17:25.442: %STORM_CONTROL-3-FILTERED: A Multicast storm detected on Gi1/0/13. A packet filter action has been applied on the interface.
Jul 26 2021 08:21:15.031: %SPANTREE-2-BLOCK_BPDUGUARD: Received BPDU on port GigabitEthernet1/0/13 with BPDU Guard enabled. Disabling port.
Jul 26 2021 08:21:15.031: %PM-4-ERR_DISABLE: bpduguard error detected on Gi1/0/13, putting Gi1/0/13 in err-disable state
Da ich zur Zeit immer häufiger solche Störungen bekomme, versuche ich eine Kernursache dafür zu ermitteln. Also ich weiß, dass unsere Access Switche ab einer bestimmten Menge an eingehenden Multicast Paketen den Port blocken sollen.
Ich frage mich im nächsten Schritt, welche Protokolle Multicast Pakete senden, bzw. welches Verhalten dazu führen kann, dass soviele Multicast Pakete gesendet werden. Konnte dazu im Internet nichts finden. Da stehen nur so selbsterklärende Sachen wie, dass der Port in err-dis geht weil BPDU-Guard aktiviert ist.. ja schon klar, aber was ist die Ursache dafür?
Kann es sein, dass jemand einen weiteren Switch angeschlossen hat, der eine Loop erzeugt? Aber ARP schickt doch Broadcast Pakete..
Also was könnt ihr euch vorstellen, was dazu führen kann?
2 Antworten
Hallo liebe Cisco Liebhaber
Cisco ist mein tägliches Brot, aber ein Cisco-Liebhaber bin ich nicht.
Einen Multicast oder Broadcast Storm fange ich idealerweise über storm-control ab. Der BPDU Guard erkennt ja nur BPDUs.
Jul 26 2021 08:17:25.442: %STORM_CONTROL-3-FILTERED: A Multicast storm detected on Gi1/0/13. A packet filter action has been applied on the interface.
Diese Logging-Meldung ist eindeutig von storm-control. Du musst schauen, woher die Multicast Frames auf Gi1/0/13 kommen. Network Management Systems können so etwas z. B. auch verursachen.
Jul 26 2021 08:21:15.031: %SPANTREE-2-BLOCK_BPDUGUARD: Received BPDU on port GigabitEthernet1/0/13 with BPDU Guard enabled. Disabling port.
Jul 26 2021 08:21:15.031: %PM-4-ERR_DISABLE: bpduguard error detected on Gi1/0/13, putting Gi1/0/13 in err-disable state
Hier schlägt der BPDU Guard zu. Das ist wohl ein separates Problem auf dem gleichen Port. Die Loging-Meldungen sind ja 4 Minuten auseinander. Der BPDU Guard schlägt bereits bei der ersten BPDU zu, da kommt es nicht zu einem Multicast Storm.
Also ich weiß, dass unsere Access Switche ab einer bestimmten Menge an eingehenden Multicast Paketen den Port blocken sollen.
Also ist dort konfiguriert:
storm-control action shutdown
Ich frage mich im nächsten Schritt, welche Protokolle Multicast Pakete senden, bzw. welches Verhalten dazu führen kann, dass soviele Multicast Pakete gesendet werden.
Wie schon gesagt: Ich habe bereits durch ein NMS ein storm-control ausgelöst. Aber es ist nicht storm-control die Ursache, sondern der BPDU Guard. Das sind zwei unterschiedliche Dinge. Schau Dir, wenn der Port im error-disabled ist, mal
show interface status err-disable
an. Dann siehst Du auch den Grund für den Status. Aber an sich ist die Ursache bereits aus der Logging-Meldung klar:
Jul 26 2021 08:21:15.031: %PM-4-ERR_DISABLE: bpduguard error detected on Gi1/0/13, putting Gi1/0/13 in err-disable state
Da stehen nur so selbsterklärende Sachen wie, dass der Port in err-dis geht weil BPDU-Guard aktiviert ist.. ja schon klar, aber was ist die Ursache dafür?
Kann es sein, dass jemand einen weiteren Switch angeschlossen hat, der eine Loop erzeugt?
Das wäre eine mögliche Ursache. Dadurch tauchen BPDUs auf dem Gi1/0/13 auf, der BPDU Guard schlägt zu. Vergiss storm-control. Das ist nicht die Ursache.
Jul 26 2021 08:21:15.031: %SPANTREE-2-BLOCK_BPDUGUARD: Received BPDU on port GigabitEthernet1/0/13 with BPDU Guard enabled. Disabling port.
Das stinkt nach Spanning Tree Protocol Paketen auf einem reinen Acess-Port. Hat da einer einen Switch oder andere Bridge mit STP-Support angestöpselt?