FPR1140 FTD 6.5以降でEtherchannel構成だとRadius認証ができない

[Yu Shimojo]

FPR1140でFTDバージョン 6.5以降で実装されたEtherchannelを構成するとRadiusサーバへの通信ができなくなります。

どなたか同じような事象を確認された方いらっしゃいますでしょうか？

設定はFDMで実施しております。

[Akira Muranaka · Accepted solution]

おはようございます！

うーん、ちょっと曖昧すぎるとご質問ですね・・。記載頂いた内容だけだと、LACPの問題なのか、対向機器のせいか、FTDのせいかわかりません・・。「Windowsで無線接続時にアプリが使えませんが同じ経験ありますか？」と聞かれてるのと同じレベルです。

ということで、製品を扱うエンジニアの方であれば、さらに切り分けや分析をしましょう！以下試してみるといかがでしょうか？ 切り分けをして絞り込みをすれば、ご自身で解決できるかもしれませんし、切り分けした上でディスカッションや テクニカルサポートに聞いていただければ、対応はより早くなると思います。

・EtherChannelで2本で接続せず、1本で接続するとどうか ・・・ LACPのバランシングの問題か確認

・EtherChannel設定を両機器で解除して データインターフェイス 1本線で接続してどうか ・・・ LACPの相性や動作問題か、FTDのパケット転送の問題かどうか確認

・Radiusサーバーに通信できないのはどのような通信か？・・・Radiusのみ？ UDP通信全て？ PINGもNG？

・通信ができない時に何かFTDでログはでてるか

・通信キャプチャをFTDや経路機器でして、そもそもFTDからパケットがでてるか、その応答はきてるのか ・・・ 応答きてたらRadiusサーバーが拒否してる可能性高いのでRadiusサーバーの問題

・FTD 6.6の最新にアップグレードしてどうか (※奇数リリースのFTD 6.3.xや 6.5.xは、新機能実装用の短期サポートリリースなので新機能不具合も多く極力利用は避けたほうがいいです) ・・・ 既知不具合かの切り分け

FTDからのPING試験は以下URLなど参考になるかと思います。
https://community.cisco.com/t5/%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3-%E3%83%89%E3%82%AD%E3%83%A5%E3%83%A1%E3%83%B3%E3%83%88/ftd-cli%E3%81%8B%E3%82%89%E3%81%AEping%E8%A9%A6%E9%A8%93%E3%81%AB%E3%81%A4%E3%81%84%E3%81%A6/ta-p/3164950

Syslogは、システム設定 > ロギングの設定で、内部バッファのロギングを「情報」で有効化し バッファサイズを適当に4万とか設定してからデプロイしてあげれば、GUIの＞＿マークのCLIコンソールから show loggingで 内部L2-L4エンジンのログ見れます。何か出てないか見て頂くとよいです。以下は操作例です。

パケットキャプチャは、FTDに SSHなどでCLIアクセスすれば、captureコマンドで そもそも Radiusパケットが指定のインターフェイスで発信されてるか、戻りがあるか確認できるはずです。以下は実際に FDM 6.6利用時の SSH CLIからの操作例です。

> capture OUT interface outside match ip any any
> show capture OUT

3 packets captured

   1: 01:04:09.878509       192.168.1.131.137 > 192.168.1.255.137:  udp 50
   2: 01:04:10.643078       192.168.1.131.137 > 192.168.1.255.137:  udp 50

FTDのバージョン選定方法は以下URLが参考になります。
https://community.cisco.com/t5/%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3-%E3%83%89%E3%82%AD%E3%83%A5%E3%83%A1%E3%83%B3%E3%83%88/asa9-5-1-%E4%BB%A5%E9%99%8D-%E3%83%88%E3%83%AC%E3%82%A4%E3%83%B3%E5%88%A5%E3%81%AE%E3%82%B5%E3%83%9D%E3%83%BC...

[Yu Shimojo]

早速のご返信ありがとうございます！

すみません、詳細な内容を提示しておりませんでした。

Etherchannel（リンク2本）をonで構成した際、

・Radiusサーバ含むLAN側端末へのping、LAN側からのFPRへのアクセスも可能

・リンクを片側断しても通信は継続され、逆も可能

Etherchannelとしての機能は問題無いように思われます。

この状況でRadiusサーバへの通信のみ失敗します。ちなみにLDAPでも失敗します。

（Radiusサーバのオブジェクトを作成した際のTESTボタンで確認しております。）

”Radiusアイデンティティソースへの接続エラー”と出ます。

これがEtherchannelを解くと、上記Radius通信は成功します。

（このときもRadiusサーバのオブジェクトを作成した際のTESTボタンで確認しております。）

"成功"または失敗しても"不正なクレデンシャル"と出ます。

TACにも確認中ですが、時間がかかっており、

もし、同様の事象が出ている方がいたらと思い、

こちらに質問させていただいた次第です・・・。

ちなみに、バージョン6.6でも試したのですが、事象変わらずでした。

ログを取得してみたいと思います。

[Akira Muranaka]

おはようございます！ 詳しい切り分け情報 早速ありがとうございます！

ふと思ったのですが、試していただいてるかと思いますが、FTDのRadiusサーバの送信元インターフェイスが指定できてないか、チャネルTESTボタンの不具合の可能性は無いでしょうか。新機能あるあるでチャネルで作ったインターフェイスをうまく認識できないだけかもしれません。

例えばanyconnectの通信を発生させ認証時のRadiusパケットがFTDから送出されることをキャプチャなどで確認できれば テスト機能の不具合という結論になるのかなぁと思いました。

[Yu Shimojo]

おはようございます！

ご返信いただき、ありがとうございます！

間違えて解決ボタンを押してしまいましたが、事象の解決はしてないですね・・・。

ただ、いただいた内容が非常に参考になりましたので、ある意味方向性として解決か・・・笑。

実際にRemoteVPNの設定を行い、試すとやはりEtherchannelを組むときは認証できず、解除すると認証できました。

なので、テスト機能も含めてRadius認証の機能丸ごと送信インターフェースがEtherchannelを認識できていないように思えます。送信元を指定する設定箇所があるのですが、そこでEtherchannelを選択しても不可でした。

おっしゃる通り新機能あるあるなのだろうと思われます。

ひとまず、TACの回答待ちます。