IOS-XE: ルータ宛ての IPv4 の icmp echo request が CoPP で drop されない

JapanTAC_CSC · ‎2019-01-23

2019年1月23日 (初版)

TAC SR Collection

主な問題

IOS-XE ルータの場合、IOS ルータと同様の設定では、ルータ宛ての IPv4 の icmp echo request が Control Plane Policing (CoPP) で drop されません。
以下に具体的な例をあげます。

<ネットワーク構成>

<IOS-XE ルータの設定>

!
access-list 100 permit icmp host 192.168.1.2 host 192.168.1.1 echo
!
class-map TEST
 match access-group 100
!
policy-map PM
 class TEST
  police cir 8000 conform-action drop  exceed-action drop  violate-action drop
!
control-plane
 service-policy input PM
!

上記の例では IOS-XE ルータに PC(192.168.1.2) からルータ(192.168.1.1)宛ての icmp echo request を CoPP で drop するような設定を行っていますが、PC から IOS-XE ルータに ping を行うと ping の疎通が出来てしまいます。

＊この問題は ASR900 シリーズルータ、ASR920 シリーズルータでは発生しません。

原因

IOS-XE ルータの実装による期待された動作です。
IOS-XE ルータでは自身宛ての IPv4 の icmp echo request に Control Plane 上ではなく Forwarding Plane 上で応答しています。この実装が影響しており CoPP で使用する ACL に IPv4 の ICMP echo request を match させたい場合は ACL の向きを IOS ルータとは逆向きに記載する必要があります。
そのため上記の例であれば ACL を以下のように変更する必要があります。

access-list 100 permit icmp host 192.168.1.1 host 192.168.1.2 echo

ACL を上記のように変更した場合は CoPP で使用されている ACL に icmp echo request が match して drop されます。

解決策

CoPP では自身宛ての IPv4 の icmp echo request に関する ACL のエントリは上述のように IOS ルータとは逆向きで記載してください。