はじめに 本ドキュメントでは、"Low boot disk space"のエラーにより、vManageのアップグレードに失敗する事象について解説します。 本ドキュメントは、vManageを18.4.1から19.1.0にアップグレードした際に出力されたエラーをもとに解説します。 事象内容 vManageのアップグレードを実行しても、アップグレードがFailの状況になります。vManageからFailの内容を確認すると下記のようにvManageのdisk spaceが不足していることで、Failedとなっていることが確認できます。 vManage 10.10.1.1 [13-May-2019 19:39:52 JST] Installing software image [13-May-2019 19:39:52 JST] Current active partition: 18.4.0.1 [13-May-2019 19:39:52 JST] Software image: vmanage-19.1.0-x86_64.tar.gz [13-May-2019 19:39:52 JST] Software image download may take upto 60 minutes [13-May-2019 19:39:58 JST] Downloading http://10.10.1.1:8080/software/package/vmanage-19.1.0-x86_64.tar.gz?deviceId=10.10.1.1 [13-May-2019 19:40:08 JST] Downloaded http://10.10.1.1:8080/software/package/vmanage-19.1.0-x86_64.tar.gz?deviceId=10.10.1.1 [13-May-2019 19:40:09 JST] Failed to install: ERROR: Low boot disk space(1007M) to install this image. Please remove other installed images [13-May-2019 19:40:09 JST] Failed to process device request - Error type : application Error tag : operation-failed Error info : <error-info> <bad-element>install</bad-element> </error-info>   解消法 request software removeを実行することで、vManageのアップグレードが完了します。 vmanage# request software remove ? Description: Display software versions Possible completions: 18.3.0 18.4.0.1 vmanage# request software remove 18.3.0    ... View more

    はじめに ソフトウェアのバージョンアップ後や、証明書更新後にコントローラー間のコネクションがアップしない場合があります。本ドキュメントでは、vManage / vSmartからの接続要求が、vBondによって拒否されている場合のトラブルシューティングについて解説します。 事象の確認 show control connections-history の結果を見ると vManage / vSmartからの接続要求が vBondによって拒否されていることを確認。   show control connections-historyの出力ログの解説があり、赤文字のステータスは、下記状態を示しています。 CRTREJSER  - Challenge response rejected by peer. SERNTPRES - Serial Number not present. 解消法 vBond のCLI上で request controller add serial-num コマンドを実行することで復旧   参考情報 Troubleshoot Control Connections Troubleshooting TechNotes ... View more

  はじめに 本ドキュメントでは、SD-WANルータ(cEdge)でのTLOC extensionについて解説します。 本ドキュメントでは、XE SD-WANルータ(Version 16.10.1)を使用しています。 TLOC Extensionについて TLOC-extension機能は、同一拠点の他のcEdgeの回線を、自分自身の回線として利用できる機能です。終端する回線が、cEdgeによって、異なる場合、cEdge間を直接接続することで、各cEdgeから 2つの回線を使い分けるパス制御ができるようになります。 TLOC Extension未使用の場合 : それぞれのcEdgeは、一方の回線しか使用できないため、トラフィックの振り分けが下位のルータに依存します。 TLOC Extension使用の場合 : 回線は、計2本のままでも、両cEdgeから両方の回線を使用するトンネルが確立されるため、2つの回線を使い分けるパス制御ができるようになります。   設定情報   hostname cEdge1 ! interface GigabitEthernet4.100 encapsulation dot1Q 100 ip address 100.1.1.1 255.255.255.252 ip mtu 1496 ! interface GigabitEthernet4.200 encapsulation dot1Q 200 ip address 100.2.1.1 255.255.255.252 ip mtu 1496 ! interface Tunnel10200 ip unnumbered GigabitEthernet4.200 tunnel source GigabitEthernet4.200 tunnel mode sdwan ! sdwan (snip) interface GigabitEthernet4.100 tloc-extension GigabitEthernet1 exit interface GigabitEthernet4.200 tunnel-interface encapsulation ipsec weight 1 color biz-internet ! ip route 0.0.0.0 0.0.0.0 100.2.1.2 !   参考情報 Cisco SD-WAN tloc-extension ... View more

  はじめに 本ドキュメントでは、SD-WANルータを使用し、VRRP(Virtual Router Redundancy Protocol)を設定する手順について解説します。本ドキュメントの設定については、XE SD-WANルータ(Version 16.10.1)を使用します。vManageからTemplateを使用し、VRRPの設定が可能となっていますが、本ドキュメントでは、CLIによるVRRPについて解説します。 設定情報 cEdge1#sh run int GigabitEthernet2.10 (snip) interface GigabitEthernet2.10 encapsulation dot1Q 10 vrf forwarding 10 ip address 172.16.101.1 255.255.255.0 ip mtu 1496 vrrp 1 address-family ipv4 priority 110 vrrpv2 track omp shutdown address 172.16.101.254 primary exit-vrrp end   priority [value] 　　VRRPのグループ プライオリティ値の設定に使用します。 プライオリティを割り当てることで、アクティブおよび       バックアップ ルータを選択するときに役立ちます。 default 値は、100。 track omp  [shutdown | decrement <decrement-amount>]         OMP(Overlay Management Protocol)のセッションをトラックし、OMPセッション喪失時にBACKUPルータへFailover 　　を実行します。 　　※OMP セッション喪失時のshow vrrp trackingの出力 00:00:54.104: VRRP Track number 1001 changed: state now DOWN 00:00:54.104: VRRPv4 GigabitEthernet2.10 [1] Track number 1001 changed: state now DOWN 00:00:54.104: %VRRP-6-STATE: GigabitEthernet2.10 IPv4 group 1 state MASTER -> INIT 00:00:54.096: %Cisco-SDWAN-Router-OMPD-3-ERRO-400002: R0/0: OMPD: vSmart peer 10.10.1.3 state changed to Init 00:00:54.096: %Cisco-SDWAN-Router-OMPD-6-INFO-400005: R0/0: OMPD: Number of vSmarts connected : 0 00:00:56.097: %Cisco-SDWAN-Router-OMPD-6-INFO-400007: R0/0: OMPD: Using empty policy from peer 10.10.1.3   cEdge2#sh vrrp brief Interface Grp A-F Pri Time Own Pre State Master addr/Group addr Gi2.30 3 IPv4 100 3609 N Y BACKUP 172.16.103.1 172.16.103.254 Gi2.20 2 IPv4 100 3609 N Y BACKUP 172.16.102.1 172.16.102.254 Gi2.10 1 IPv4 100 0 N Y MASTER 172.16.101.2(local) 172.16.101.254   show コマンド show vrrp brief cEdge1#show vrrp brief Interface Grp A-F Pri Time Own Pre State Master addr/Group addr Gi2.20 2 IPv4 110 0 N Y MASTER 172.16.102.1(local) 172.16.102.254 Gi2.30 3 IPv4 110 0 N Y MASTER 172.16.103.1(local) 172.16.103.254 Gi2.10 1 IPv4 110 0 N Y MASTER 172.16.101.1(local) 172.16.101.254 cEdge2#show vrrp brief Interface Grp A-F Pri Time Own Pre State Master addr/Group addr Gi2.30 3 IPv4 100 3609 N Y BACKUP 172.16.103.1 172.16.103.254 Gi2.20 2 IPv4 100 3609 N Y BACKUP 172.16.102.1 172.16.102.254 Gi2.10 1 IPv4 100 3609 N Y BACKUP 172.16.101.1 172.16.101.254 show vrrp detail cEdge1#sh vrrp detail (snip) GigabitEthernet2.10 - Group 1 - Address-Family IPv4 State is MASTER State duration 1 hours 12 mins 53 secs Virtual IP address is 172.16.101.254 Virtual MAC address is 0000.5E00.0101 Advertisement interval is 1000 msec Preemption enabled Priority is 110 Track object omp state UP shutdown Master Router is 172.16.101.1 (local), priority is 110 Master Advertisement interval is 1000 msec (expires in 506 msec) Master Down interval is unknown VRRPv3 Advertisements: sent 7545 (errors 0) - rcvd 11 VRRPv2 Advertisements: sent 7545 (errors 0) - rcvd 1 Group Discarded Packets: 10 VRRPv2 incompatibility: 10 IP Address Owner conflicts: 0 Invalid address count: 0 IP address configuration mismatch : 0 Invalid Advert Interval: 0 Adverts received in Init state: 0 Invalid group other reason: 0 Group State transition: Init to master: 0 Init to backup: 3 (Last change Tue Apr 16 08:00:19.695) Backup to master: 3 (Last change Tue Apr 16 08:00:23.265) Master to backup: 0 Master to init: 2 (Last change Tue Apr 16 07:58:58.695) Backup to init: 0 その他 show vrrp  show vrrp statistics show vrrp all debug vrrp tracking debug vrrp event debug vrrp log debug vrrp process etc   参考情報 Configuring VRRP (vEdge) ... View more

  はじめに Local vManage ServerによるvManage/vBond/vSmart/vEdgeのソフトウェアアップグレード手順について解説します。本案内では、18.3.0の環境を使用し、18.4.0へのアップグレード手順について解説します。 vManage編 1. Software Download のページからUpdate イメージをダウンロード     Software Download  : https://software.cisco.com/download/home/286320995/type     SD-WAN Software Update ▶ vManage upgrade image (vmanage-18.4.0.1-x86_64.tar.gz) 2. Software imageをvManage Software repositoryへUpload       Maintenance ▶  SOFTWARE REPOSITORY ▶ + Add New Software ▶ vManage ▶ Upload Software to vManage   3.  イメージアップグレード     Maintenance ▶  Software Upgrade ▶ vManage ▶ Upgradeボタン ▶ vManageをチェック ▶ Versionを選択 ▶ Upgrade 4. 新しい イメージのアクティベーション 　Activateボタンをクリックすると自動的にrebootがかかる   5. アクティベーションされていることを確認     Maintenance ▶  Software Upgrade ▶ vManage   vBond/vSmart編 1. Software Download のページからUpdate イメージをダウンロード Software Download  : https://software.cisco.com/download/home/286320995/type SD-WAN Software Update ▶ vSmart, vEdge Cloud, vEdge 5000 and vBond upgrade image (viptela-18.4.0-x86_64.tar.gz)   2. Software imageをvManage Software repositoryへUpload      Maintenance ▶  SOFTWARE REPOSITORY ▶ + Add New Software ▶ vManage ▶ Upload Software to vManage   3. イメージアップグレード     Maintenance ▶  Software Upgrade ▶ Controller ▶ vsmart、vBond のボックスチェック▶ vManageをチェック ▶ Upgrade ▶ Versionを選択、Activate and Rebootのボックスチェック ▶ Upgrade    4. アクティベーションされていることを確認     Maintenance ▶  Software Upgrade ▶ Controller     vEdge編 1. イメージアップグレード      Maintenance ▶  Software Upgrade ▶ WAN Edge ▶ vEdge のボックスチェック▶ vManageをチェック ▶ Upgrade ▶ Versionを選択、Activate and Rebootのボックスチェック ▶ Upgrade   2. アクティベーションされていることを確認     Maintenance ▶  Software Upgrade ▶ WAN Edge   参考情報 Software Upgrade Software Repository   ... View more

  はじめに 本ドキュメントでは、SD-WAN ルータを使用し、PPPoEを設定する手順について解説します。本ドキュメントの設定については、XE SD-WANルータ( ISR4221/16.10.1)、vEdgeルータ(18.4.0)を使用し、解説します。 16.9.2、18.3.1以降、vManageからTemplateを使用し、PPPoEの設定が可能となっていますが、本ドキュメントでは、CLIによるPPPoEの設定について解説します。 Templateを使用した設定については、下記を参照ください。 VPN Interface DSL PPPoE    PPPoE設定(XE SD-WANルータ) Router(config)# interface GigabitEthernet0/0/0 Router(config-if)# no ip address Router(config-if)# ip mtu 1500 Router(config-if)# mtu 1500 Router(config-if)# pppoe-client dial-pool-number 1 Router(config-if)# pppoe enable group global Router(config-if)# exit   Router(config)# interface Dialer1 Router(config-if)# encapsulation ppp Router(config-if)# ip address negotiated Router(config-if)# dialer pool 1 Router(config-if)# ppp chap hostname client2 Router(config-if)# ppp chap password 0 cisco2 Router(config-if)# ppp authentication chap callin Router(config-if)# exit   Router(config)# interface Tunnel1 Router(config-if)# no shut Router(config-if)# ip unnumbered Dialer1 Router(config-if)# no ip redirects Router(config-if)# tunnel source Dialer1 Router(config-if)# exit Router(config)# sdwan Router(config-sdwan)# interface Dialer1 Router(config-interface-Dialer1)# tunnel-interface Router(config-tunnel-interface)# encapsulation ipsec weight 1 Router(config-tunnel-interface)# color default Router(config-tunnel-interface)# no allow-service all Router(config-tunnel-interface)# end Uncommitted changes found, commit them? [yes/no/CANCEL] yes Commit complete.  注 : Tunnelインタフェースの設定を入れた後、sdwan 配下のencapsulation ipsec まで入れて、commitを実行しないと下記のエラーが出力されます。 Aborted: 'interface Tunnel 1 tunnel mode': Tunnel interface doesn't have corresponding sdwan Dialer1 interface 確認コマンド Router#sh pppoe session all Total PPPoE sessions 1 session id: 37 local MAC address: 70db.9871.1a10, remote MAC address: 0050.56a3.36da virtual access interface: Vi2, outgoing interface: Gi0/0/0 VLAN Priority: 0 17609 packets sent, 16011 received 4768112 bytes sent, 2842157 received Router#sh pppoe session 1 client session Uniq ID PPPoE RemMAC Port VT VA State SID LocMAC VA-st Type N/A 37 0050.56a3.36da Gi0/0/0 Di1 Vi2 UP 70db.9871.1a10 UP Router#sh ppp all Interface/ID OPEN+ Nego* Fail- Stage Peer Address Peer Name ------------ --------------------- -------- --------------- -------------------- Vi2 LCP+ IPCP+ CDPCP- LocalT 172.16.0.1 PPPoE-Server   PPPoE設定(vEdge) vEdge(config)# vpn 0 vEdge(config-vpn-0)# interface ppp10 vEdge(config-interface-ppp10)# ppp authentication chap hostname client1 password cisco1 vEdge(config-authentication-chap)# no shut vEdge(config-interface-ppp10)# tunnel-interface color default vEdge(config-tunnel-interface)# encapsulation ipsec vEdge(config-tunnel-interface)# mtu 1492 vEdge(config-interface-ppp10)# exit vEdge(config-vpn-0)# interface ge0/0 vEdge(config-interface-ge0/0)# pppoe-client ppp-interface ppp10 vEdge(config-interface-ge0/0)# exit vEdge(config-vpn-0)# end Uncommitted changes found, commit them? [yes/no/CANCEL] yes Commit complete.    確認コマンド vEdge# sh pppoe session SESSION PPP SERVICE VPN IFNAME ID SERVER MAC LOCAL MAC INTERFACE AC NAME NAME ---------------------------------------------------------------------------------------------- 0 ge0/0 30 00:50:56:a3:36:da 00:50:56:a3:7d:82 ppp10 PPPoE-Server - vEdge# sh ppp interface PPPOE INTERFACE PRIMARY SECONDARY AUTH VPN IFNAME INTERFACE IP GATEWAY IP DNS DNS MTU TYPE -------------------------------------------------------------------------------- 0 ppp10 ge0/0 172.16.0.2 172.16.0.1 0.0.0.0 0.0.0.0 1492 chap vEdge# show interface ppp10 interface vpn 0 interface ppp10 af-type ipv4 ip-address 172.16.0.2/32 if-admin-status Up if-oper-status Up if-tracker-status NA encap-type ppp port-type transport mtu 1492 hwaddr 00:00:00:00:00:00 speed-mbps 1000 duplex full tcp-mss-adjust 1408 uptime 1:00:35:04 rx-packets 2580795 tx-packets 3425478 show control local-properties wan-interface-list show control connections   参考情報 VPN Interface DSL PPPoE Configuring PPPoE ... View more

  はじめに 本ドキュメントでは、ASR1001-HXを使用し、PnPに登録してオーバーレイ接続する手順について説明します。 現時点にてサポートされるハードウェアプラットフォーム、モジュールは、下記にて案内されていますので、事前にご確認してください。 下記、CCOでは、インストール手順も案内していますので、本ドキュメントと合わせて参考にしてください。 Software Installation and Upgrade for Cisco IOS XE Routers   注意事項 ASR1000 seriesの場合、ROMMON Software Versionは、16.3(2r)以上のバージョンが必要となります。 下記の場合、16.2(2r)のため、アップグレードが必要となります。 ROMMON アップグレード手順は、下記を参照してください。 Cisco ASR 1000 Series Aggregation Services Routers ROMmon Upgrade Guide (※ここでは、Cisco ASR1001-HX IOS XE SD-WAN Software : asr1000-ucmk9.16.10.1.SPA.binを使用します）   1.  IOS-XE SD-WAN Softwareのインストール   1-1. IOS-XE SD-WAN イメージのダウンロードをSoftware Download　         (https://software.cisco.com/download/home)からダウンロードします。   1-2. ASR1001-HXにSD-WAN イメージをインストールします。   1-3.  SD-WAN imageで起動するよう設定し、wirte eraseを実行し、IOSの設定を初期化 　show bootvarを実行し、次回のブート時にSD-WAN imageでの読み込みが実行されるか確認   1-4. reloadを実行し、下記のように進める   1-5. username : admin、password : adminでログインし、          - pnpa service discovery stop          - request platform software sdwan software reset         を実行   1-6.  下記の初期設定を実施 　　　※参考設定となります。 　　　　Software Installation and Upgrade for Cisco IOS XE Routers 　　　　上記を確認の上、利用環境にあわた設定を実施してください。 　　　　注意事項 : Tunnel インタフェース上のtunnel mode sdwanとsdwan配下のencapsulation ipsecを入れた状態で、commitを実行しないとエラーとなります。(例:Aborted: 'interface Tunnel 1 tunnel mode': Tunnel interface doesn't have corresponding sdwan GigabitEthernet0/0/0 interface) エンタープライズ root CAを使用する場合は、証明書をインストール         - request platform software sdwan root-cert-chain install bootflash:certificate 　　　を実行     2.   PnPに登録してオーバーレイ接続    2-1. Plug and Play Connect(https://software.cisco.com/)に移り、適切なSmart Account、Virtual Accountを選択します    2-2. + Add Divices ボタンをクリックし、Enter Device info manuallyを選択      2-3. show sdwan certificate serial、show license udiを実行し、Certifical Serial Number、Serial Numberを確認し、登録を実行します。   下記の場合、Certifical Serial Number : 0152xxxx、Serial Number : JAE2106xxxxとなります。          2-4. Provisioning Fileをクリックし、serialFile.viptelaをダウンロード     2-5. Provisioning FileをvManageにアップロードする     2-5-1. Configuration > Deviceの画面中の"Upload WAN Edge List"をクリック     2-5-2. 表示されたダイアログボックス中の"ファイルを選択"をクリックし、serialFile.viptelaを指定     2-5-3. Validate the uploaded vEdge List and send to controllersのチェックボックスにチェックを入れる     2.6. vManage上にXE SD-WANルータが登録されていることを確認         XE SD-WANルータ上にてvSmartへの接続がupしたことが出力   3.  参考資料 vEdge の交換 (PnP/vManageの作業) vEdge CLI 便利なコマンドの紹介 IOS-XE : "Please reset before booting"によりROMMONからのブートに失敗 ... View more

はじめに IOS-XE 上にて、ROMMONからboot コマンドにより、ブートを試みた際、"Please reset before booting"が出力されブートに失敗する場合があります。 IROMMON上にて、IOSの読み込みに失敗するdirty state となり、下記の手順により configuration registerをリセットすることで、 復旧できます。   事象ログ     復旧手順 1. "confreg 0x0" を入力 2.  "reset"を入力 3. boot bootflash:<ios image> にてIOSの立ち上げに成功します。   ... View more

 IOS-XE では、XE316、XE317、XE318、Polaris(16.3～)以降、DNS 関連の実装変更が行われております。 そのため、IOS で使えたDNS 関連のコマンドが使用できないことが報告されております。 下記のコマンドについては、実装変更後も設定可能ですが、指定した値どおりにDNS queryが 実行されません。  - ip domain retry xx - ip domain timeout xx こちらの動作については、現状は、期待動作となり、将来的にこのコマンドは、削除されますので、ご留意ください。         ... View more

問題 iWAN にて、PfRv3 ドメイン内において、Peering により、パスコントロール情報、ポリシーの情報を、Hub MCからピアリングにより、共有されます。 本件は、NBAR2 のよるアプリケーションベースのポリシー情報のピアリングにおいて、BranchMC/BR側にて一部アプリケーションのマッチカウントが"0" となってしまう事象について解説します。       下記の事例では、HTTPS SSLのアプリケーションにて、"0"となり、ピアリングがうまくいっていない状況が確認できます。 Branch_MC/BR#show domain IWAN master policy   class DNS sequence 10     path-preference MPLS fallback INET     class type: Application Based       match application dns(50331701) policy custom         priority 1 one-way-delay threshold 50 msec         Number of Traffic classes using this policy: 1   class HTTPS sequence 20     path-preference MPLS fallback INET     class type: Application Based       match application ssl(0) policy custom         priority 1 one-way-delay threshold 50 msec         priority 2 jitter threshold 10 usec   診断  この事象は、ピアリングを行っているインターフェース(この場合は、lo10)のhold-queueのデフォルト75となっていることで、HubMCからのnetflow exportパケットを完全に受信できず、dropされることにより発生しています。   Branch_MC/BR#show interfaces lo10 Loopback0 is up, line protocol is up   Hardware is Loopback   Internet address is 10.0.0.4/32   MTU 1514 bytes, BW 8000000 Kbit/sec, DLY 5000 usec,      reliability 255/255, txload 1/255, rxload 1/255   Encapsulation LOOPBACK, loopback not set   Keepalive set (10 sec)   Last input never, output never, output hang never   Last clearing of "show interface" counters never   Input queue: 0/75/1334/0 (size/max/drops/flushes); Total output drops: 0   Queueing strategy: fifo   Output queue: 0/0 (size/max)   解決策  ピアリングを行っているインタフェースのhold-queueの値を1024まで拡張することで改善されます。   Branch_MC/BR(config)#int lo10 Branch_MC/BR(config-if)#hold-queue 1024 in 上記、hold-queueを拡張後、"debug domain xxx master policy"で確認するとSSLのアプリケーションポリシーのアップデートを受け取っていることが確認できます。 MC-POLICY:[0]:Pol_map[40]: updating old appid 0->16777217 for Application icmp MC-POLICY:[0]:Pol_map[10]: updating old appid 0->50331701 for Application dns MC-POLICY:[0]:Pol_map[30]: updating old appid 0->50331728 for Application http MC-POLICY:[0]:Pol_map[20]: updating old appid 0->218104261 for Application ssl  show domain IWAN master policyで再確認するとピアリングに成功していることが確認できます。 Branch_MC/BR#sh domain IWAN master policy (snip)   class HTTPS sequence 20     path-preference PRIMARY fallback BACKUP     class type: Application Based       match application ssl(218104261) policy custom         priority 1 one-way-delay threshold 50 msec   この事象については、CSCux19847にて報告されており、XE3.16以外でも同様の事象は発生します。 ... View more

[toc:faq] 背景 ASR1000 シリーズ、 ISR4000 シリーズなどの IOS-XE ルータにて、 NAT 変換にて断続的にパケットがドロップする事象が報告されています 。 この事象は、 NAT Gatekeeper キャッシュの影響で発生していて、 IOS-XE NAT の実装動作となっています。 NAT Gatekeeper について NAT Gatekeeper は、 IOS XE RL4 / 12.(33)XND 以降のバージョンで、デフォルトで enable と なっています。 Cisco ルータでは、内部から外部 (IN to OUT ) への NAT は、ルーティング後に NAT が実行されますが、 外部から内部 (OUT to IN) への NAT は、ルーティングの前に NAT が実行されます。 このため、OUT to INへのNAT処理は、すべてのパケットに対し、NAT宛(NATed)、非NAT宛(non-NATed) を識別する必要があります。 また、sub-interface / vlan 等複数のインタフェース上で、NAT が実行され、大量にnon-NATedパケットが発生する環境の場合、OUT to INへのNAT 処理にCPUが消費され、スパイクされてしまう懸念がでてきます。 NAT Gatekeeper は、上記、状況での CPUを保護する目的があり 、 non-NATed パケットに対し、 IN to OUT 、 OUT to IN 方向の source address に対し、 small cache を持つ機能となっています。 NAT Gatekeeper概要図 事象例 定量の NAT トラフィックを流し続けたとき、 non-NATed パケットが流れることで、 Gatekeeper のキャッシュが上限に達し、リセットのタイミングで、フローが定期的に 10 秒の断が発生する状況となります。 下記事例とし て 、 http GET を Client-Server 間で NAT トラフィックを流しつづける状況を作り、トラフィックモニターの結果、下記グラフのように定期的に 10 秒間の断が発生する状況となります。 NAT Gatekeeperキャッシュの有無の確認 下記、コマンドを使用することで、どのsource IP アドレスにより、 NAT Gatekeeperキャッシュが作られているか確認することができます。 show platform hardware qfp active feature nat datapath gatein show platform hardware qfp active feature nat datapath gateout PRIMARY#show platform hardware qfp active feature nat datapath gateout Gatekeeper on sip x.x.x.x vrf 0 cnt 1 ts 0x36db07 idx 60 ワークアラウンド NAT Gatekeeperの設定を下記のいずれかのように変更することにより、上記状況は回避できます。 Solution -1 NAT Gatekeeper extended mode の使用 PRIMARY(config)#ip nat settings gatekeeper-size 1024 PRIMARY(config)#end Solution-2 NAT Gatekeeper機能の無効化 PRIMARY(config)#no ip nat service gatekeeper PRIMARY(config)#end PRIMARY#Sh platform hardware qfp active feature nat datapath gatein Gatekeeper off PRIMARY# NAT Gatekeeper の無効化により、QFP の使用率が上昇する可能性があります。 下記のコマンドにより上昇状況を確認し、無効化を実施してください。 show platform hardware qfp active data utilization summary show platform hardware qfp active data utilization qfp 0 Solution-3 NATed / non-NATed パケットが同一インターフェース上に流れないようにする ... View more