Preguntas y Troubleshooting en Internetworking Operating System XR (IOS XR)

[Cisco Moderador]

con Sergio Barragán

Bienvenidos a la conversación en el CSC en Español. Esta es su oportunidad de aprender y hacer todas las preguntas que tenga acerca del Internetworking Operating System XR (IOS XR).

.

Sergio Barragán es Ingeniero de Soporte de Cisco Latinoamérica. Estudió  Ingeniería en Tecnologías Computacionales en el Instituto Tecnológico y de  Estudios Superiores de Monterrey (ITESM) Campus Ciudad de México y cuenta con  las siguientes certificaciones: CCNA, CCNP, CCIP, CCNA Security, CCNA Wireless, 4011 Recognition, EC Council Certified Ethical Hacker y CCIE (#36903)

Por favor use las estrellas para calificar las respuestas y así informar a Sergio que usted ha recibido una  respuesta adecuada.

Puede ser que Sergio no pueda responder cada una de las preguntas debido la cantidad que anticipamos para este evento.  Recuerde que usted puede preguntar o seguir haciendo preguntas en la comunidad de Mobile

Este evento estará abierto desde el lunes 29 de octubre hasta el viernes 9 de noviembre . Visite esta conversación para ver las respuestas a sus preguntas.

.

[net_master_pedro]

Buen día Sergio !!

Una pregunta, cual es la diferencia entre el Process ID y el Job ID ? Porque se necesita de dos identificadores para un mismo proceso?

Gracias.

[Sergio Barragan]

Buenos días Pedro,

Como bien lo mencionas, el Process ID y el Job ID son identificadores numéricos que se asignan de manera aleatoria para identificar un proceso. La diferencia es que una vez que el Job ID es asignado, este no cambia aunque se reinicie el proceso mientras que el Process ID cambia cada vez que se reinicia el proceso.

La finalidad de tener estos dos identificadores es la siguiente:

Job ID --> Identificar "Globalmente" el proceso. (BGP,OSPF,SNMP, etc)

Process ID --> La razón por la que este identificador cambia cada vez que se reinicia el proceso es para efectos de "seguimiento". Es decir, poder usar ese identificador para obtener datos, traces, logs del proceso antes de que se reiniciara.

Ejemplo del cambio de identificador:

RP/0/RP1/CPU0:CRS-B#show processes envmon       

Thu Nov  1 12:58:33.293 EDT

                  Job Id: 181

                     PID: 569408     <<<< Va a cambiar cuando se reinicia el proceso.

RP/0/RP1/CPU0:CRS-B#process restart envmon

Thu Nov  1 12:59:06.085 EDT

RP/0/RP1/CPU0:CRS-B#show processes envmon

Thu Nov  1 12:59:09.699 EDT

                  Job Id: 181

                     PID: 2055311424  <<<< Nuevo identificador.

[net_master_pedro]

Gracias Sergio,

Otra pregunta, revisaba diferentes procesos y veo que varios difieren en el contador de "spawn". Para que sirve este contador y cual es el valor que debería tener?

RP/0/RP1/CPU0:CHETUMAL-CORE#show processes bgp | in spawn

Thu Nov  1 13:16:30.892 EDT

                 Respawn: ON

           Respawn count: 3

  Max. spawns per minute: 12

[Sergio Barragan]

Gracias por preguntar Pedro,

El contador de "Respawn" nos indica cuantas veces se ha inicializado un proceso. Si un proceso se encuentra corriendo y operando de manera "saludable" el contador deberá ser 1.  En ese mismo output que pegaste aparece también el "Max. spawns per minute" que indica cuantas veces se puede inicializar ese proceso en un minuto. En el ejemplo que muestras, si el proceso se reinicia mas de 12 veces en un minuto, el sistema terminará el proceso para evitar que ese constante reinicio y/o falla afecte a otros componentes del sistema.

RP/0/RP1/CPU0:CHETUMAL-CORE#show processes bgp | in spawn

Thu Nov  1 13:16:30.892 EDT

                 Respawn: ON

           Respawn count: 3 <<<< aqui indica que el proceso se ha inicializado 3 veces. Esto quiere decir que se ha reiniciado o ha fallado 2 veces.

  Max. spawns per minute: 12

Saludos,

Sergio

[net_master_pedro]

Otra Consulta Sergio,

Mi usuario pertenece al grupo root-system el cual entiendo tiene el maximo nivel de privilegios pero aun asi cuando trato de usar algunos comandos como el "admin show shelfmgr trace" me sale que ese comando no esta autorizado. A que se debe esto?

Gracias

[Sergio Barragan]

Como bien mencionas Pedro, tu usuario que pertenece al grupo root-system tiene el privilegio de correr cualquier comando en el equipo EXCEPTO aquellos definidos unicamente para el grupo cisco-support. (Todos los comandos de troubleshooting avanzado entran en esta categoría)

Tanto el grupo root-system como el cisco-support son grupos que vienen ya configurados por defecto en el sistema IOS-XR. (puedes usar el comando show user group para ver a que grupos pertenece tu usuario) Se recomienda que siempre se tenga un usuario que pertenesca a estos dos grupos (tanto al root-system como al cisco-support) para poder ejecutar todas las tareas y actividades en el mismo.

Para poder saber que privilegios se necesita para ejecutar un comando puedes utilizar el comando "describe" de la siguiente manera:

RP/0/RP1/CPU0:CRS-B#describe admin show shelfmgr trace

User needs ALL of the following taskids:

        admin (READ WRITE EXECUTE)      cisco-support (READ)

Con el siguiente comando puedes verificar si tu usuario cuenta con el privilegio necesario:

RP/0/RP1/CPU0:CRS-B#show user tasks | in cisco-support

Thu Nov  1 14:21:07.155 EDT

Task:        cisco-support  : READ    WRITE    EXECUTE    DEBUG (reserved)

Saludos

[Nestor_Castillo]

Estimado Sergio, tengo unos  WS-C3750X-48P-L en stack, los programe con autenticación 802.1x y un  freeRadius, el FreeRadius me autentica y asigna una Vlan, esto funciona a  la perfección. Adicional tengo una Central VoIP Siemens (Hipath3K) esta  esta conectada a un puerto tagged en la Vlan15, cuando conecto el  telefono al puerto con autenticacíon este no tiene conectividad con la  central, el puerto ya lo programe con 

El  problema es con los telefono VoIP no accesan a la vlan de voz. ya  programe los puertos como "single-host", "multi-host" y multi-domain"  pero el problema es el mismo, adjunto un show-running.

Current configuration : 4723 bytes

!

version 12.2

no service pad

service timestamps debug datetime msec

service timestamps log datetime msec

no service password-encryption

interface GigabitEthernet1/0/1

switchport mode access

switchport voice vlan 15

authentication port-control auto

dot1x pae authenticator

spanning-tree portfast

!

interface GigabitEthernet1/0/2

switchport mode access

switchport voice vlan 15

authentication port-control auto

dot1x pae authenticator

spanning-tree portfast

!

interface GigabitEthernet1/0/3

!

interface GigabitEthernet1/0/4

!

interface GigabitEthernet1/0/5

!

interface GigabitEthernet1/0/6

!

interface GigabitEthernet1/0/7

!

interface GigabitEthernet1/0/8

!

interface GigabitEthernet1/0/9

!

interface GigabitEthernet1/0/10

!

interface GigabitEthernet1/0/11

!

interface GigabitEthernet1/0/12

!

interface GigabitEthernet1/0/13

!

interface GigabitEthernet1/0/14

!

interface GigabitEthernet1/0/15

!

interface GigabitEthernet1/0/16

!

interface GigabitEthernet1/0/17

!

interface GigabitEthernet1/0/18

switchport mode access

switchport voice vlan 15

spanning-tree portfast

spanning-tree bpduguard enable

!

interface GigabitEthernet1/0/19

switchport trunk encapsulation dot1q

switchport mode trunk

switchport nonegotiate

!

interface GigabitEthernet1/0/20

switchport mode access

switchport voice vlan 15

spanning-tree portfast

!

interface GigabitEthernet1/0/21

!

interface GigabitEthernet1/0/22

switchport access vlan 15

switchport mode access

!

interface GigabitEthernet1/0/23

switchport access vlan 11

switchport mode access

!

interface GigabitEthernet1/0/24

switchport access vlan 11

switchport trunk native vlan 11

switchport mode access

!

interface GigabitEthernet1/1/1

!

interface GigabitEthernet1/1/2

!

interface GigabitEthernet1/1/3

!

interface GigabitEthernet1/1/4

!

interface TenGigabitEthernet1/1/1

!

interface TenGigabitEthernet1/1/2

!

interface Vlan1

no ip address

!

interface Vlan11

ip address 10.100.100.12 255.255.255.128

!

no ip http server

no ip http secure-server

ip sla enable reaction-alerts

radius-server host 10.100.100.16 auth-port 1812 acct-port 1646 key seas

Espero puedan ayudarme

Saludos

Néstor Castillo

[Cisco Moderador]

Nestor:

Antes que nada recibe un saludo. Escribo para comentarte que tu pregunta no entra dentro de este tema. Sin embargo, te invitamos a que realices tu pregunta en la Comunidad.

Muchas gracias por tu participación.

[edamaro]

Hola Sergio,

Estamos en Cisco Live! y tenemos un cliente que tiene una pregunta de IOS-XR:

Los escaneos en el Nessus 12 no detecta vulnerabilidades en el IOS-XR, serà que no los tiene, o tengo que bajar un plugin para nessus 12?

Juan Angel Rodriguez

Farmacias Benavides

Gracias!

[Sergio Barragan]

Eduardo !!

Te comento que el Nessus SI tiene la capacidad de detectar las vulnerabilidades y/o fallas de seguridad en los equipos Cisco corriendo IOS XR.

Dado que estos sistemas son mas recientes, se debe tener el Nessus con su versión más reciente. (No podría darte más detalles o si se necesita o no algun plug in ya que ese producto es de otro proveedor.)

Les recomiendo visiten frecuentemente el portal "Security Intelligence Operations" de Cisco para estar actualizados en las nuevas amenazas que enfrentan los equipos. A continuación les dejo el enlace:

Cisco Security Advisories and Responses

Que tengan una buena tarde !

Saludos,

Sergio

[Cisco Moderador]

Queremos agradecer a Sergio y a los usuarios su participación en este evento de la Comunidad de Soporte de Cisco en español. Los invitamos a que estén pendientes de futuros eventos de la Comuniadad.