XE SD-WAN: WAN 側 IPv6 アドレスが変わると TLOC Extension 経由の BFD セッションが UP しない問題

[JapanTAC_CSC]

2025 年 1 月 24 日 (初版)

TAC SR Collection
主な問題	Cisco IOS XE Catalyst SD-WAN router（以降、cEdge と記載）間の BFD セッションを TLOC Extension over IPv6 経由で確立している状態で WAN 側 IPv6 アドレスが変更となった際に（ISP 側の仕様でセッションが定期的に張りなおされるなど）BFD セッションが UP とならない場合があります。 ※ TLOC Extension over IPv6 の詳細については、以下ドキュメントをご参照ください。 Cisco Catalyst SD-WAN Systems and Interfaces Configuration Guide, Cisco IOS XE Catalyst SD-WAN Release 17.x SD-WAN IPv6 tloc-extension IPv6環境下でのルータ二重化
原因	この問題は CSCwn26353 として報告されています。 CSCwn26353: BFD sessions via TLOC-Ext do not come up when IPv6 is dynamically changed WAN 側 IPv6 アドレスが変更となった際に、適切に IPsec 処理がなされないことが原因です。 対向の cEdge との HMAC 計算値が一致しないために IPsec トンネルが正常に確立できない状態となります。 本事象に合致しているかどうかは、BFD セッションが正常に確立できない状態の対向の cEdge でのパケットトレースから確認することができます。 次の例のように、IpsecInput (062 - CD_IN_MAC_EXCEPTION) で DROP されている場合は、本事象に合致している可能性があります。 該当 Sub-code は、IPSec HMAC エラーが発生していることを示しています。 Pkt Input Output State Reason 1 Te0/0/1 Te0/0/1 DROP 56 (IpsecInput) <<< (snip) Packet: 1 CBUG ID: 1 Summary Input : TenGigabitEthernet0/0/1 Output : TenGigabitEthernet0/0/1 State : DROP 56 (IpsecInput) <<< (snip) Feature: IPSec Action : DROP Sub-code : 062 - CD_IN_MAC_EXCEPTION <<< (snip) ※ パケットトレースの方法については、以下ドキュメントをご参照ください。 SD-WAN: cEdge: パケットトレースを用いたトラブルシューティング例 IOS-XE: Packet Trace 機能の紹介 IOS-XEデータパスパケットトレース機能を使用したトラブルシューティング CLI から以外に、Cisco Catalyst SD-WAN Manager GUI 内の Network-Wide Path Insight (NWPI) も同様にご活用いただけます。 Cisco Catalyst SD-WAN Network-Wide Path Insight User Guide  SD-WAN : Data Policyを使用したアプリケーション単位のパス指定の基本設定と状態確認方法
解決策	暫定回避策: 暫定回避策はございません。 復旧策: 本不具合に合致している場合、TLOC Extension インターフェースの shut / no shut や、"clear sdwan omp all" コマンドの実行により復旧します。 ただし、再度 WAN 側 IPv6 アドレスが変わると事象が発生する場合があります。 恒久対策: CSCwn26353 の問題が改修されたソフトウェアを使用してください。

備考
本不具合は、Bug Search Tool でも確認できます。
各製品の TAC SR Collection の一覧は、よくある質問と解決方法 (TAC SR Collection) から確認できます。

[JapanTAC_CSC]

2025 年 1 月 24 日 (初版)

TAC SR Collection
主な問題	Cisco IOS XE Catalyst SD-WAN router（以降、cEdge と記載）間の BFD セッションを TLOC Extension over IPv6 経由で確立している状態で WAN 側 IPv6 アドレスが変更となった際に（ISP 側の仕様でセッションが定期的に張りなおされるなど）BFD セッションが UP とならない場合があります。 ※ TLOC Extension over IPv6 の詳細については、以下ドキュメントをご参照ください。 Cisco Catalyst SD-WAN Systems and Interfaces Configuration Guide, Cisco IOS XE Catalyst SD-WAN Release 17.x SD-WAN IPv6 tloc-extension IPv6環境下でのルータ二重化
原因	この問題は CSCwn26353 として報告されています。 CSCwn26353: BFD sessions via TLOC-Ext do not come up when IPv6 is dynamically changed WAN 側 IPv6 アドレスが変更となった際に、適切に IPsec 処理がなされないことが原因です。 対向の cEdge との HMAC 計算値が一致しないために IPsec トンネルが正常に確立できない状態となります。 本事象に合致しているかどうかは、BFD セッションが正常に確立できない状態の対向の cEdge でのパケットトレースから確認することができます。 次の例のように、IpsecInput (062 - CD_IN_MAC_EXCEPTION) で DROP されている場合は、本事象に合致している可能性があります。 該当 Sub-code は、IPSec HMAC エラーが発生していることを示しています。 Pkt Input Output State Reason 1 Te0/0/1 Te0/0/1 DROP 56 (IpsecInput) <<< (snip) Packet: 1 CBUG ID: 1 Summary Input : TenGigabitEthernet0/0/1 Output : TenGigabitEthernet0/0/1 State : DROP 56 (IpsecInput) <<< (snip) Feature: IPSec Action : DROP Sub-code : 062 - CD_IN_MAC_EXCEPTION <<< (snip) ※ パケットトレースの方法については、以下ドキュメントをご参照ください。 SD-WAN: cEdge: パケットトレースを用いたトラブルシューティング例 IOS-XE: Packet Trace 機能の紹介 IOS-XEデータパスパケットトレース機能を使用したトラブルシューティング CLI から以外に、Cisco Catalyst SD-WAN Manager GUI 内の Network-Wide Path Insight (NWPI) も同様にご活用いただけます。 Cisco Catalyst SD-WAN Network-Wide Path Insight User Guide  SD-WAN : Data Policyを使用したアプリケーション単位のパス指定の基本設定と状態確認方法
解決策	暫定回避策: 暫定回避策はございません。 復旧策: 本不具合に合致している場合、TLOC Extension インターフェースの shut / no shut や、"clear sdwan omp all" コマンドの実行により復旧します。 ただし、再度 WAN 側 IPv6 アドレスが変わると事象が発生する場合があります。 恒久対策: CSCwn26353 の問題が改修されたソフトウェアを使用してください。

備考
本不具合は、Bug Search Tool でも確認できます。
各製品の TAC SR Collection の一覧は、よくある質問と解決方法 (TAC SR Collection) から確認できます。