安全设备故障排除

问题

解决方案

您可以将调度程序图应用于多链路捆绑包及其组成链路。尽管您可以将多个 CoS 组件与调度器图一起应用，但请仅配置所需的组件。我们建议您保持组成链路上的配置简单，以避免不必要的传输延迟。

表 1 显示了要应用于多链路束及其组成链路的 CoS 组件。

问题

解决方案

要减少抖动和延迟，请执行以下操作：

1. 确保已在每个组成链路上配置整形速率。

2. 确保尚未在链路服务接口上配置整形速率。

3. 确保配置的整形速率值等于物理接口带宽。

4. 如果整形速率配置正确，但抖动仍然存在，请联系瞻博网络技术支持中心 （JTAC）。

问题

解决方案

启用 LFI 后，数据（非 LFI）数据包将使用 MLPPP 标头封装，并分段为指定大小的数据包。延迟敏感型语音 （LFI） 数据包采用 PPP 封装，并在数据包片段之间交错。对于 LFI 数据包和非 LFI 数据包，排队和负载平衡的执行方式不同。

要验证是否正确执行了 LFI，请确定数据包是否按配置进行分段和封装。知道数据包是被视为 LFI 数据包还是非 LFI 数据包后，可以确认是否正确执行了负载平衡。

Solution Scenario—假设两台瞻博网络设备 R0 和 R1 通过聚合两条串行链路的多链路束 lsq-0/0/0.0 连接， se-1/0/0 并且 se-1/0/1. 在 R0 和 R1 上，链路服务接口上启用了 MLPPP 和 LFI，分段阈值设置为 128 字节。

在此示例中，我们使用数据包生成器来生成语音和数据流。您可以使用数据包捕获功能捕获和分析传入接口上的数据包。

在多链路束上发送了以下两个数据流：

• 100 个 200 字节的数据包（大于分段阈值）

• 500 个 60 字节的数据包（小于分段阈值）

在多链路捆绑包上发送了以下两个语音流：

• 来自源端口 100 的 100 个 200 字节语音数据包

• 来自源端口 200 的 300 个 200 字节语音数据包

要确认 LFI 和负载平衡已正确执行，请执行以下操作：

1. 验证数据包分段。在操作模式下，输入命令以 show interfaces lsq-0/0/0 检查大数据包是否正确分段。

   Meaning— 输出显示在多链路束上传输设备的数据包摘要。验证多链路捆绑包上的以下信息：

   • 中转数据包总数 = 1000

   • 传输片段总数 = 1100

   • 分段的数据包数 =100

   多链路束上发送的数据包总数 （600 + 400） 与传输数据包数 （1000） 匹配，表示未丢弃任何数据包。

   传输分片数比中转数据包数多 100，表示正确分片了 100 个大型数据包。

   Corrective Action— 如果数据包未正确分段，请检查分段阈值配置。小于指定分段阈值的数据包不会分段。

2. 验证数据包封装。要确定数据包是被视为 LFI 数据包还是非 LFI 数据包，请确定其封装类型。LFI 数据包使用 PPP 封装，非 LFI 数据包使用 PPP 和 MLPPP 封装。PPP 和 MLPPP 封装具有不同的开销，从而产生不同大小的数据包。您可以比较数据包大小以确定封装类型。

   未分段的小型数据包包含一个 PPP 报头和一个 MLPPP 报头。在大型分段数据包中，第一个分段包含一个 PPP 报头和一个 MLPPP 报头，但连续分片仅包含一个 MLPPP 报头。

   PPP 和 MLPPP 封装向数据包添加以下字节数：

   • PPP 封装增加 7 个字节：

     4 字节的标头 + 2 字节的帧校验序列 （FCS）+ 1 个空闲或包含标志的字节

   • MLPPP 封装会增加 6 到 8 个字节：

     4 字节 PPP 报头 + 2 到 4 字节多链路报头

   图 1 显示添加到 PPP 和 MLPPP 标头的开销。

   图 1： PPP 和 MLPPP 标头

   对于 CRTP 数据包，封装开销和数据包大小甚至小于 LFI 数据包。更多信息，请参见 示例：配置压缩实时传输协议。

   表 2 显示了数据包和语音数据包各 70 字节的封装开销。封装后，数据包的大小大于语音数据包的大小。

   表 2： PPP 和 MLPPP 封装开销

   数据包类型	封装	初始数据包大小	封装开销	封装后的数据包大小
   语音数据包 （LFI）	PPP	70 字节	4 + 2 + 1 = 7 字节	77 字节
   具有短序列的数据片段（非 LFI）	MLPPP	70 字节	4 + 2 + 1 + 4 + 2 = 13 字节	83 字节
   具有长序列的数据片段（非 LFI）	MLPPP	70 字节	4 + 2 + 1 + 4 + 4 = 15 字节	85 字节

   在操作模式下，输入 show interfaces queue 命令以显示每个队列上传输的数据包的大小。将传输的字节数除以数据包数，得到数据包的大小并确定封装类型。

3. 验证负载平衡。在操作模式下，在多链路束及其组成链路上输入 show interfaces queue 命令，以确认是否对数据包执行相应的负载平衡。

   Meaning— 这些命令的输出显示在链路服务接口及其组成链路的每个队列上传输和排队的数据包。 表 3 显示这些值的摘要。（由于传输的数据包数等于所有链路上排队的数据包数，因此此表仅显示排队的数据包。

   表 3： 队列上传输的数据包数

   排队的数据包	捆绑包 lsq-0/0/0.0	组成链接 se-1/0/0	组成链接 se-1/0/1	解释
   Q0 上的数据包	600 次	350	350	通过组成链路的数据包总数 （350+350 = 700） 超过了在多链路束上排队的数据包数 （600）。
   第 2 季度的数据包	400	100	300	通过组成链路的数据包总数等于捆绑包上的数据包数。
   第 3 季度的数据包	0	19	18	通过构成链路的 Q3 的数据包用于在构成链路之间交换的连接消息。因此，没有数据包被计入捆绑包的第 3 季度。

   在多链路束上，验证以下内容：

   • 排队的数据包数与传输的数量匹配。如果数字匹配，则不会丢弃任何数据包。如果排队的数据包多于传输的数据包，则会因为缓冲区太小而被丢弃数据包。组成链路上的缓冲区大小控制输出级的拥塞。若要更正此问题，请增加构成链路上的缓冲区大小。

   • 通过 Q0 （600） 的数据包数与多链路束上接收的大数据包数和小数据包数 （100+500） 相匹配。如果数字匹配，则所有数据包都正确传输了 Q0。

   • 在多链路束 （400） 上通过 Q2 的数据包数与在多链路束上接收的语音数据包数相匹配。如果数字匹配，则所有语音 LFI 数据包都正确传输了第 2 季度。

   在构成链路上，验证以下内容：

   • 通过 Q0 的数据包总数 （350+350） 与数据包和数据分片的数量 （500+200） 相匹配。如果数字匹配，则分段后的所有数据包都正确传输了构成链路的 Q0。

     数据包传输了两个组成链路，表明在非 LFI 数据包上正确执行了负载平衡。

   • 组成链路上通过 Q2 的数据包总数 （300+100） 与多链路束上接收的语音数据包数 （400） 相匹配。如果数字匹配，则所有语音 LFI 数据包都正确传输了第 2 季度。

     已se-1/0/0传输来自源端口100的 LFI 数据包，以及来自源端口200se-1/0/1的 LFI 数据包。因此，所有 LFI （Q2） 数据包都根据源端口进行哈希处理，并正确传输了两个组成链路。

   Corrective Action— 如果数据包仅传输一个链路，请执行以下步骤来解决问题：

   1. 确定物理链路是（ up 运行）还是 down （不可用）。不可用链路表示 PIM、接口端口或物理连接存在问题（链路层错误）。如果链路正常运行，请转到下一步。

   2. 验证是否已为非 LFI 数据包正确定义分类器。确保非 LFI 数据包未配置为排队到 Q2。排队到 Q2 的所有数据包都被视为 LFI 数据包。

   3. 验证 LFI 数据包中的以下值中至少有一个不同：源地址、目标地址、IP 协议、源端口或目标端口。如果为所有 LFI 数据包配置了相同的值，则所有数据包都将散列到同一流并传输相同的链路。

4. 使用结果验证负载平衡。

问题

解决方案

如果第三方设备与瞻博网络设备没有相同的 FRF.12 支持，或者以不同的方式支持 FRF.12，则 PVC 上的瞻博网络设备接口可能会丢弃包含 FRF.12 标头的分段数据包，并将其计为“监管丢弃”。

解决方法是在两个对等方上配置多链路束，并在多链路束上配置分段阈值。

问题

• Description
• 环境
• 症状

解决方案

show security policies checksum如果安全策略不同步，请使用命令显示安全策略校验和值，并使用request security policies resync 命令同步路由引擎和数据包转发引擎中的安全策略配置。

问题

解决方案

要修复这些错误，请执行以下操作：

1. 查看配置数据。

2. 打开文件 /var/log/nsd_chk_only。每次执行提交检查时，都会覆盖此文件，并包含详细的失败信息。

问题

解决方案

1. 操作 show 命令 - 执行安全策略的操作命令，并验证输出中显示的信息是否与预期一致。否则，需要相应地更改配置。

2. 跟踪选项 - 在策略配置中设置 traceoptions 命令。可以根据用户对命令输出的分析 show 选择此层次结构下的标志。如果无法确定要使用的标志，则可以使用 flag 选项 all 捕获所有跟踪日志。

您还可以配置可选文件名来捕获日志。

如果在跟踪选项中指定了文件名，则可以在 /var/log/<filename> 中查找日志文件，以确定文件中是否报告了任何错误。（如果未指定文件名，则默认文件名为事件。错误消息指示故障位置和适当的原因。

配置跟踪选项后，必须重新提交导致不正确系统行为的配置更改。

问题

解决方案