Cisco-Fehlerbehebungsbefehle zu Ihren Diensten

Die Fehlersuche besteht aus drei wesentlichen Dingen: Vorhersagen, was passieren kann, das Feststellen von Anomalien und die Untersuchung, warum diese Anomalien aufgetreten sind. Viele Netzwerkadministratoren analysieren Probleme der Netzwerkinfrastruktur, indem sie den Layer-3-Pfad durch das Netzwerk Schritt für Schritt in beide Richtungen untersuchen. Dieser Prozess hilft ihnen, das Problem zu isolieren; sobald sie feststellen, welcher Schritt im Layer-Pfad fehlschlägt, können sie sich dann weiter mit den Details befassen.

Es gibt verschiedene Tools, die bei der Netzwerk-Fehlerbehebung helfen können. Lassen Sie uns diese überprüfen und sehen, welche Probleme sie Ihnen bei der Untersuchung helfen können.

Cisco Discovery Protocol (CDP)

Das Cisco Discovery Protocol (CDP) entdeckt grundlegende Informationen über benachbarte Router und Switches, ohne die Passwörter für diese Cisco Netzwerkgeräte zu kennen. Dies ist möglich, weil Cisco-Router und -Switches routinemäßig CDP-Nachrichten aussenden, die Informationen über sich selbst ankündigen. Daher können Cisco-Hardwarekomponenten, die CDP unterstützen, durch das Abhören dieser Nachrichten etwas über andere Geräte erfahren. CDP entdeckt mehrere nützliche Details von benachbarten Cisco-Geräten:

• Gerätekennung: Der Hostname
• Adressliste: Netzwerk- und Datenverbindungsadressen
• Portkennung: Die Schnittstelle auf dem entfernten Gerät, die die CDP-Werbung gesendet hat
• Fähigkeitenliste: Gerätetyp (zum Beispiel Router oder Switch)
• Platform: Die auf dem Gerät laufende IOS-Version

Um diese Informationen zu sehen, verwenden Sie den Befehl show cdp:

      show cdp neighbors 
      

Dieser Befehl listet jedes benachbarte Gerät auf, eins pro Zeile. Jede Zeile liefert die wichtigsten Topologieinformationen über den Nachbarn: seinen Hostnamen (Geräte-ID), die Schnittstelle des lokalen Geräts und dessen Schnittstelle (unter der Überschrift Port). Dieser Schnittstellenbefehl listet auch die Plattform auf und identifiziert das spezifische Modell des benachbarten Routers oder Switches.

Um zusätzliche Details zu erhalten, wie den vollständigen Namen des Switch-Modells und die auf dem benachbarten Gerät konfigurierte IP-Adresse, fügen Sie den Parameter „detail“ wie folgt hinzu:

      show cdp neighbors detail
      

Natürlich ist es ein Sicherheitsrisiko für das Netzwerk, wenn man viele Informationen über benachbarte Geräte entdecken kann. Cisco empfiehlt, CDP auf jeder IP-Schnittstelle zu deaktivieren, die es nicht benötigt. Um CDP für ein gesamtes Gerät aus- und einzuschalten, verwenden Sie die Befehle no cdp run und cdp run als globale Kommandos. Um es für eine bestimmte Schnittstelle umzuschalten, verwenden Sie die Unterbefehle no cdp enable und cdp enable .

Version anzeigen

Sie können den Cisco IOS-Befehl show version im privilegierten Exec-Modus verwenden, um die Cisco IOS-Version und die Release-Nummer der auf Cisco-Geräten laufenden IOS-Software zu überprüfen. Es gibt folgende Informationen aus:

• Cisco IOS-Softwareversion — Der Name und die Versionsnummer der Cisco-Software
• Betriebszeit des Switches — Die Zeitspanne seit dem letzten Neustart des Geräts
• Plattform wechseln — Informationen zur Hardwareplattform, einschließlich Revision und Arbeitsspeichergröße
• Prozessorplatinen-ID — Die Seriennummer des Geräts

Ping

Der grundlegende Zweck von Ping ist es, die Erreichbarkeit, die Round-Trip-Zeit (RTT) und den Paketverlust zu überprüfen. Um ein Gerät auf diese Eigenschaften hin zu untersuchen, müssen wir die IP-Adresse des Geräts angeben — zum Beispiel, ping 172.17.4.6. Dieser Befehl sendet eine Internet Control Message Protocol (ICMP) Echo-Anfrage und zeigt eines der Folgenden an:

! — Ein ICMP-Echo-Antwortpaket wurde innerhalb der Zeitüberschreitung (standardmäßig 2 Sekunden) empfangen

. — Innerhalb der Zeitüberschreitung wurde keine Antwort empfangen.

Sie können von der bestimmten Schnittstelle aus anpingen, indem Sie den Parameter source mit dem Namen der Schnittstelle am Ende des Befehls hinzufügen — zum Beispiel, ping 172.17.4.6 source Ethernet 0/0.

Traceroute

Traceroute ist eine Funktion, die den Weg von einem Netzwerk zu einem anderen nachverfolgt, um so die Quelle vieler Probleme diagnostizieren zu können. Traceroute funktioniert, indem es eine Sequenz von drei UDP-Datagrammen mit einer TTL von 1 im IP-Header an den entfernten Host sendet; dies führt dazu, dass das Datagramm beim ersten Router auf dem Weg abläuft und der Router mit einer „ICMP-Zeitüberschreitung“ antwortet. Dann sendet Traceroute eine Reihe von drei UDP-Datagrammen mit TTL 2, sodass sie ablaufen, wenn sie den zweiten Router erreichen, was dazu führt, dass dieser mit einer Zeitüberschreitungsnachricht antwortet. Dieser Prozess setzt sich fort, bis das Paket das endgültige Ziel erreicht und eine „Port unerreichbar“ ICMP-Nachricht erhält.

Daher können Sie traceroute verwenden, um den Pfad zu testen, den Pakete wählen, um zu ihrem Ziel zu gelangen.

Sie können auch einen erweiterten Traceroute-Befehl verwenden, um die Konnektivität von einer bestimmten Quelle aus zu testen — zum Beispiel, traceroute 10.10.60.6 source Loopback0.

Telnet

Wenn Sie Telnet verwenden, um eine Verbindung zu einem entfernten Gerät herzustellen, wird der Standardport (23) verwendet. Sie können jede Portnummer von 1 bis 65535 verwenden, um zu testen, ob ein entferntes Gerät auf den spezifischen Port hört, zum Beispiel, telnet 172.17.5.74 8080.

Show Interfaces-Befehl und Interface-Statuscodes

Cisco-Switches verwenden zwei verschiedene Sätze von Schnittstellenstatuscodes. Beide Sätze von Statuscodes können bestimmen, ob eine Schnittstelle funktioniert.

• Zeigen Sie Schnittstellen und zeigen Sie Schnittstellenbeschreibung — Diese Befehle listen den Leitungsstatus und Protokollstatus. Diese zeigen in der Regel an, ob Schicht 1 funktioniert (Leitungsstatus) und ob Schicht 2 funktioniert (Protokollstatus). Bei LAN-Switch-Schnittstellen haben beide Codes typischerweise denselben Wert, entweder „up“ oder „down“.
• show interfaces status — Listet den Interface-Status. Dieser einzelne Statuscode entspricht verschiedenen Kombinationen des Leitungsstatus und des Protokollstatus, wie in der untenstehenden Tabelle gezeigt. Zum Beispiel entspricht der „verbundene“ Interface-Status einem up/up Zustand für die anderen beiden Status.

Hier ist die Liste der Statuscodes und der Probleme, die sie anzeigen können:

Cisco Shutdown-Befehl

Wenn Sie zum ersten Mal eine Schnittstelle im Konfigurations-Terminalmodus einrichten, müssen Sie die Schnittstelle administrativ aktivieren, bevor der Router sie zum Senden oder Empfangen von Paketen nutzen kann. Verwenden Sie den Cisco no shutdown Befehl, damit die IOS-Software die Schnittstelle verwenden kann.

Später möchten Sie vielleicht eine bestimmte Schnittstelle deaktivieren, um Hardware-Wartungsarbeiten daran oder an einem Segment eines Netzwerks durchzuführen. Sie möchten auch eine Schnittstelle deaktivieren, wenn ein Problem in einem bestimmten Netzwerksegment vorliegt und Sie dieses Segment vom Rest des Netzwerks isolieren müssen. Der Befehl shutdown ermöglicht es, eine Schnittstelle administrativ zu deaktivieren. Um die Schnittstelle neu zu starten, verwenden Sie den Befehl no shutdown.

IP-Route anzeigen

Die meisten Routing-Tabellen enthalten eine Kombination aus statischen Routen und dynamischen Routen. Bevor jedoch statisches oder dynamisches Routing verwendet werden kann, muss die Routing-Tabelle die direkt verbundenen Netzwerke enthalten, die für den Zugriff auf entfernte Netzwerke verwendet werden. Um die statischen Routen in der Routing-Tabelle zu überprüfen, verwenden Sie den Befehl show ip route, wobei Sie die Netzwerkadresse, die Subnetzmaske und die IP-Adresse des nächsten Routers oder der Ausgangsschnittstelle angeben.

Häufige Probleme bei Cisco-Geräten

Probleme mit Geschwindigkeit und Duplex der Schnittstelle

Viele UTP-basierte Ethernet-Schnittstellen unterstützen mehrere Geschwindigkeiten (Voll- oder Halbduplex) und den IEEE-Standard für Auto-Negotiation. Diese Schnittstellen können so konfiguriert werden, dass sie eine bestimmte Geschwindigkeit verwenden, indem der speed {10 | 100 | 1000} Interface-Unterbefehl verwendet wird, und um einen bestimmten Duplexmodus zu verwenden, indem der duplex {half | full} Interface-Unterbefehl verwendet wird. Wenn beides für eine Schnittstelle konfiguriert ist, deaktiviert der Switch oder Router den IEEE-Standard-Auto-Negotiation-Prozess an dieser Schnittstelle.

Sowohl der Befehl show interfaces als auch der Befehl show interfaces status listen die Geschwindigkeits- und Duplexeinstellungen einer Schnittstelle auf, aber nur der Befehl show interfaces status zeigt an, wie der Switch die Geschwindigkeits- und Duplexeinstellungen ermittelt hat; er listet alle autonegotiated Einstellungen mit einem Präfix von a- auf. Zum Beispiel bedeutet a-full Full-Duplex als automatisch ausgehandelt, wohingegen full Full-Duplex bedeutet, aber als manuell konfiguriert. Obwohl die Auto-Negotiation gut funktioniert, erlauben die Standardwerte die Möglichkeit eines Problems, das als duplex mismatch bekannt ist, bei dem die Geräte den Link als aktiv betrachten, aber eine Seite würde Half-Duplex und die andere Seite Full-Duplex verwenden.

Die Anzahl der Eingabefehler und die Anzahl der CRC-Fehler sind nur zwei der Zähler in der Ausgabe des Befehls show interfaces. Die Herausforderung besteht darin zu entscheiden, welche Zähler Sie sehen müssen, welche anzeigen, dass ein Problem vorliegt, und welche normal sind und keine Bedenken darstellen. Hier ist die Liste der Zähler, um Ihnen den Einstieg zu erleichtern, welche auf Probleme hinweisen und welche nur normale Ereignisse zählen, die keine Probleme sind:

• Runts: Frames, die nicht die Mindestgrößenanforderung für Frames erfüllen (64 Bytes, einschließlich der 18 Bytes für Ziel-MAC, Quell-MAC und Typ). Runts können durch Kollisionen verursacht werden.
• Riesen: Frames, die das maximale Rahmengrößenlimit überschreiten (1518 Bytes, einschließlich der 18-Byte-Ziel-MAC, Quell-MAC und Typ).
• Eingabefehler: Die Gesamtanzahl der Zähler, einschließlich Runts, Giants, No Buffer, CRC, Frame, Overrun und Ignored Counts.
• CRC: Empfangene Frames, die den FCS-Check nicht bestanden haben; diese können durch Kollisionen verursacht werden.
• Rahmen: Empfangene Rahmen mit illegalem Format (zum Beispiel mit einem partiellen Byte endend); sie können durch Kollisionen verursacht werden.
• Paketausgabe: Gesamtanzahl der Pakete (Frames), die über das Interface weitergeleitet wurden.
• Ausgabefehler: Gesamtanzahl der Pakete (Frames), die der Switch-Port zu übertragen versuchte, bei denen jedoch ein Problem auftrat.
• Kollisionen: Zähler aller Kollisionen, die auftraten, während die Schnittstelle ein Frame übertrug.
• Späte Kollisionen: Die Teilmenge aller Kollisionen, die nach der Übertragung des 64. Bytes des Rahmens auftreten. In einem ordnungsgemäß funktionierenden Ethernet-LAN sollten Kollisionen innerhalb der ersten 64 Bytes auftreten; späte Kollisionen weisen heutzutage oft auf eine Duplex-Unterschiedlichkeit hin.

Vorhersage des Inhalts der MAC-Adresstabelle

Switches lernen MAC-Adressen und verwenden dann die Einträge in der MAC-Adresstabelle, um eine Weiterleitungs-/Filterentscheidung für jedes Frame zu treffen. Um genau zu wissen, wie ein bestimmter Switch ein Ethernet-Frame weiterleiten wird, müssen Sie die MAC-Adresstabelle auf einem Cisco-Switch untersuchen.

Der Befehl show mac address-table EXEC zeigt den Inhalt der MAC-Adresstabelle eines Switches an. Dieser Befehl listet alle MAC-Adressen auf, die der Switch derzeit kennt. Die Ausgabe umfasst einige statische Overhead-MAC-Adressen, die vom Switch verwendet werden, und alle statisch konfigurierten MAC-Adressen, wie solche, die mit der Port-Sicherheitsfunktion konfiguriert wurden. Der Befehl listet auch alle dynamisch erlernten MAC-Adressen auf. Wenn Sie nur die dynamisch erlernten Einträge der MAC-Adresstabelle sehen möchten, verwenden Sie einfach den Befehl show mac address-table dynamic EXEC.

Wenn Sie die Einträge der MAC-Adresstabelle vorhersagen, müssen Sie sich vorstellen, wie ein Frame von einem Gerät zu einem anderen Gerät auf der anderen Seite des LAN gesendet wird und dann bestimmen, welche Switch-Ports der Frame passieren würde, während er durch das LAN geleitet wird.

Port-Sicherheit und Filterung

Wenn Sie den Weg verfolgen, den ein Frame durch LAN-Switches nimmt, denken Sie daran, dass verschiedene Arten von Filtern Frames verwerfen können, selbst wenn alle Schnittstellen aktiv sind. Zum Beispiel können LAN-Switches Filter namens Zugriffskontrolllisten (ACLs) verwenden, die anhand der Quell- und Ziel-MAC-Adresse filtern und einige Frames verwerfen. Zusätzlich können Router IP-Pakete mithilfe von IP-ACLs filtern. In einigen Fällen können Sie leicht erkennen, dass die Port-Sicherheit aktiv geworden ist, weil sie die Schnittstelle deaktiviert hat.

Allerdings gibt es Fälle, in denen die Port-Sicherheit die Schnittstelle aktiv lässt, aber den problematischen Verkehr einfach verwirft. Aus der Sicht der Fehlersuche erfordert eine Port-Sicherheitskonfiguration, die die Schnittstelle aktiv lässt, aber dennoch Frames verwirft, dass der Netzwerktechniker die Port-Sicherheitsstatus genau betrachtet, anstatt nur die Schnittstellen und die MAC-Adresstabelle zu überprüfen. Die Port-Sicherheit erlaubt drei Verletzungsmodi (shutdown, protect und restrict), aber nur die Standardeinstellung von shutdown veranlasst den Switch, die Schnittstelle zu deaktivieren (err-disable).

Um Beweise zu finden, dass die Port-Sicherheit aktiv ist, müssten Sie den Befehl show port-security interface ausführen. Auch die MAC-Adresstabelle gibt Hinweise darauf, dass die Port-Sicherheit möglicherweise aktiviert ist. Da die Port-Sicherheit die MAC-Adressen verwaltet, erscheinen alle MAC-Adressen, die einem Port zugeordnet sind, auf dem die Port-Sicherheit aktiviert ist, als statische MAC-Adressen. Folglich listet der Befehl show mac address-table dynamic die MAC-Adressen der Schnittstellen, auf denen die Port-Sicherheit aktiviert ist, nicht auf. Die Befehle show mac address-table und show mac address-table static listen jedoch diese statischen MAC-Adressen auf.

Sicherstellen, dass die richtigen Zugriffsschnittstellen in den richtigen VLANs sind

Um sicherzustellen, dass jeder Zugriffsinterface der richtigen VLAN zugewiesen wurde, müssen Ingenieure lediglich bestimmen, welche Switch-Interfaces Zugriffsinterfaces anstelle von Trunk-Interfaces sind, die zugewiesenen Zugriffs-VLANs auf jedem Interface ermitteln und die Informationen mit der Dokumentation vergleichen. Wenn möglich, beginnen Sie mit den Befehlen show vlan und show vlan brief , da diese show -Befehle alle bekannten VLANs und die ihnen zugewiesenen Zugriffsinterfaces auflisten. Beachten Sie jedoch, dass diese beiden Befehle keine operativen Trunks auflisten. Die Ausgabe listet alle anderen Interfaces auf (diejenigen, die aktuell nicht trunking sind), unabhängig davon, ob das Interface in einem funktionierenden oder nicht funktionierenden Zustand ist.

Wenn die Befehle show vlan und show interface switchport nicht verfügbar sind, kann der Befehl show mac address-table ebenfalls dabei helfen, die Zugriffs-VLAN zu identifizieren. Dieser Befehl listet die MAC-Adresstabelle auf, wobei jeder Eintrag eine MAC-Adresse, Schnittstelle und VLAN-ID enthält. Wenn eine Schnittstelle dem falschen VLAN zugewiesen ist, verwenden Sie den Unterbefehl der Schnittstelle switchport access vlan vlan-id um die korrekte VLAN-ID zuzuweisen.

Zugriff auf VLANs nicht definiert

Switches leiten Frames für VLANs, die nicht konfiguriert sind oder die konfiguriert, aber deaktiviert (heruntergefahren) sind, nicht weiter. Der Befehl show vlan listet immer alle dem Switch bekannten VLANs auf, aber der Befehl show running-config tut dies nicht. Switches, die als VTP-Server und -Clients konfiguriert sind, listen die Befehle vlan nicht in der aktuellen laufenden Konfiguration oder der Startup-Konfigurationsdatei auf; bei diesen Switches müssen Sie den Befehl show vlan verwenden. Switches, die für den VTP-Transparent-Modus konfiguriert sind oder die VTP deaktivieren, listen die vlan Konfigurationsbefehle in den Konfigurationsdateien auf. (Verwenden Sie den Befehl show vtp status um den aktuellen VTP-Modus eines Switches zu erfahren.) Nachdem Sie festgestellt haben, dass ein VLAN nicht existiert, könnte das Problem sein, dass das VLAN einfach definiert werden muss.

Zugriff auf VLANs wird deaktiviert

Ein weiterer Schritt bei der Fehlerbehebung besteht darin zu überprüfen, ob jedes VLAN aktiv ist. Der Befehl show vlan listet einen von zwei Zuständen auf: active oder act/lshut. Letzteres bedeutet, dass das VLAN heruntergefahren ist. Das Herunterfahren eines VLAN deaktiviert das VLAN nur auf diesem Switch, sodass der Switch keine Frames in diesem VLAN weiterleitet. Cisco IOS bietet Ihnen zwei ähnliche Konfigurationsmethoden, um ein VLAN zu deaktivieren (shutdown) und zu aktivieren (no shutdown).

Überprüfen Sie die erlaubte VLAN-Liste an beiden Enden eines Trunks

Wenn die erlaubten VLAN-Listen an den Enden eines Trunks nicht übereinstimmen, kann der Trunk keinen Verkehr für dieses VLAN übertragen. Die Ausgabe des Befehls show interfaces trunk auf beiden Seiten sieht völlig normal aus; das Problem können Sie nur erkennen, indem Sie die erlaubten Listen an beiden Enden des Trunks vergleichen.

Nicht übereinstimmende Betriebszustände des Trunkings

Wenn das Trunking korrekt konfiguriert ist, leiten beide Switches Frames für dieselbe Menge an VLANs weiter. Wenn Trunks falsch konfiguriert sind, kann es zu verschiedenen Ergebnissen kommen. In manchen Fällen stellen beide Switches fest, dass ihre Schnittstellen nicht trunkingfähig sind. In anderen Fällen glaubt ein Switch, dass seine Schnittstelle korrekt trunkt, während der andere Switch dies nicht tut.

Die häufigste falsche Konfiguration – die dazu führt, dass beide Switches nicht trunking betreiben – verwendet den Befehl switchport mode dynamic auto auf beiden Switches des Links. Das Wort „auto“ lässt uns denken, dass der Link automatisch ein Trunk wäre, tatsächlich warten jedoch beide Switches darauf, dass das andere Gerät auf dem Link die Verhandlungen beginnt. Um diese falsche Konfiguration zu erkennen, verwenden Sie den Befehl show interfaces switchport um zu überprüfen, ob beide Switches den administrativen Status „auto“ haben und dass beide als „static access“-Ports operieren.

Fazit

Jetzt kennen Sie die grundlegenden Fehlerbehebungsbefehle, um Probleme zu untersuchen, mit denen Netzwerkadministratoren täglich konfrontiert sind. Sie können auch das Cisco Commands Cheat Sheet für eine schnelle Referenzliste der Fehlerbehebungsbefehle und ihrer Beschreibungen zum Nachschlagen herunterladen.