Cisco 트러블슈팅 명령, 지금 바로 사용하세요

트러블슈팅은 크게 세 가지에 관한 것입니다. 즉, 어떤 일이 발생할 수 있는지 예측하고, 이상 현상을 파악하며, 그 이상 현상이 왜 발생했는지 조사하는 것입니다. 많은 네트워크 관리자는 네트워크를 통해 Layer 3 경로를 양방향으로 한 홉씩 분석해 네트워크 인프라 문제를 분해합니다. 이러한 과정은 문제를 격리하는 데 도움이 됩니다. 레이어 경로에서 어떤 홉이 실패하는지 확인한 다음, 더 자세한 내용으로 파고들 수 있습니다.

네트워크 문제 해결에 도움이 되는 다양한 도구가 있습니다. 함께 살펴보고 어떤 문제를 조사하는 데 도움이 될 수 있는지 확인해 보겠습니다.

Cisco Discovery Protocol (CDP)

Cisco Discovery Protocol (CDP)는 해당 Cisco 네트워크 장치의 비밀번호를 알 필요 없이 인접한 라우터와 스위치에 대한 기본 정보를 검색합니다. 이는 Cisco 라우터와 스위치가 자신에 대한 정보를 알리는 CDP 메시지를 정기적으로 전송하기 때문에 가능합니다. 따라서 CDP를 지원하는 Cisco 장비는 이러한 메시지를 수신(청취)함으로써 다른 장비에 대해 파악할 수 있습니다. CDP는 인접한 Cisco 장비로부터 다음과 같은 유용한 세부 정보를 확인합니다:

• 장치 식별자: 호스트 이름
• 주소 목록: 네트워크 및 데이터 링크 주소
• 포트 식별자: CDP 광고를 전송한 원격 장치의 인터페이스
• 기능 목록: 장치 유형(예: 라우터 또는 스위치)
• 플랫폼: 장치에서 실행 중인 IOS 버전

이 정보를 보려면 show cdp 명령을 사용하세요:

      show cdp neighbors 
      

이 명령은 각 인접(이웃) 장치를 줄당 하나씩 나열합니다. 각 줄에는 인접 장치에 대한 가장 중요한 토폴로지 정보가 제공됩니다. 즉, 인접 장치의 호스트네임(장치 ID), 로컬 장치의 인터페이스, 그리고 해당 인터페이스(Port 제목 아래)입니다. 또한 이 인터페이스 명령은 플랫폼도 함께 나열하여 인접한 라우터 또는 스위치의 특정 모델을 식별합니다.

스위치 모델의 전체 이름과 인접 장치에 구성된 IP 주소 등 추가 정보를 얻으려면 다음과 같이 detail 매개변수를 추가합니다:

      show cdp neighbors detail
      

물론, 인접 장치에 대해 많은 정보를 검색할 수 있다는 것은 네트워크 보안 노출로 이어질 수 있습니다. Cisco는 필요가 없는 경우 모든 IP 인터페이스에서 CDP를 비활성화할 것을 권장합니다. 전체 장치에 대해 CDP를 끄고 켜려면 다음의 no cdp run 과 cdp run 전역(global) 명령을 사용합니다. 특정 인터페이스에서 이를 켜거나 끄려면 다음의 no cdp enable 과 cdp enable 인터페이스 서브명령을 사용합니다.

버전 표시

Cisco IOS 명령 show version 을(를) privileged exec 모드에서 사용하여 Cisco 장치에서 실행 중인 IOS 소프트웨어의 Cisco IOS 버전 및 릴리스 번호를 확인할 수 있습니다. 다음 정보를 출력합니다:

• Cisco IOS 소프트웨어 버전 — Cisco 소프트웨어의 이름과 버전 번호
• 스위치 가동 시간 — 장치가 마지막으로 부팅된 이후 경과한 시간
• 스위치 플랫폼 — 개정판 및 RAM 용량을 포함한 하드웨어 플랫폼 정보
• 프로세서 보드 ID — 장치의 일련 번호

Ping

ping의 기본 목적은 도달 가능성, 왕복 시간(round trip time, RTT), 패킷 손실 여부를 확인하는 것입니다. 이러한 특성에 대해 장치를 문제 해결하려면 장치의 IP 주소를 지정해야 합니다. 예를 들어 ping 172.17.4.6. 이 명령은 인터넷 제어 메시지 프로토콜(Internet Control Message Protocol, ICMP) 에코 요청을 전송하고 다음 중 하나를 표시합니다:

! — 타임아웃 기간(기본값: 2초) 안에 ICMP 에코 응답 패킷이 수신되었습니다

. — 타임아웃 기간 안에 응답을 받지 못했습니다.

명령 끝에 인터페이스 이름과 함께 source 파라미터를 추가하면 특정 인터페이스에서 ping을 보낼 수 있습니다. 예를 들어 ping 172.17.4.6 source Ethernet 0/0.

Traceroute

Traceroute는 한 네트워크에서 다른 네트워크로 가는 경로를 추적하는 기능이므로, 여러 문제의 원인을 진단하는 데 도움이 됩니다. Traceroute는 원격 호스트에 IP 헤더의 TTL 값을 1로 설정한 UDP 데이터그램 3개로 이루어진 순차 전송을 합니다. 그러면 데이터그램이 경로의 첫 번째 라우터에 도달했을 때 타임아웃이 발생하고, 라우터는 “ICMP time exceeded” 메시지로 응답합니다. 그다음 traceroute는 TTL 2로 설정한 UDP 데이터그램 3개의 세트를 전송하여, 데이터그램이 두 번째 라우터에 도달하면 타임아웃이 발생하게 하고 라우터가 타임아웃 메시지로 응답하도록 만듭니다. 이 과정은 패킷이 최종 목적지에 도달할 때까지 계속되며, “port unreachable” ICMP 메시지를 수신합니다.

따라서 traceroute를 사용하면 패킷이 목적지로 이동하기 위해 선택한 경로를 테스트할 수 있습니다.

지정한 소스에서의 연결성을 테스트하기 위해 확장 traceroute 명령을 사용할 수도 있습니다. 예를 들어, traceroute 10.10.60.6 source Loopback0.

Telnet

원격 장치에 연결할 때 Telnet을 사용하면 기본 포트(23)를 사용합니다. 예를 들어, telnet 172.17.5.74 8080 를 사용하면 1~65535 사이의 어떤 포트 번호든 지정한 포트를 원격 장치가 수신(리스닝) 중인지 확인할 수 있습니다.

Show Interfaces 명령과 인터페이스 상태 코드

Cisco 스위치는 두 가지 서로 다른 인터페이스 상태 코드 집합을 사용합니다. 두 집합 모두 인터페이스가 정상 동작하는지 여부를 판단할 수 있습니다.

• Show interfaces 및 show interfaces description — 이 명령들은 라인 상태 와 프로토콜 상태 를 나열합니다. 일반적으로 이는 Layer 1(라인 상태)이 동작 중인지, Layer 2(프로토콜 상태)가 동작 중인지 여부를 나타냅니다. LAN 스위치 인터페이스의 경우 두 코드가 보통 동일한 값을 가지며, “up” 또는 “down” 중 하나입니다.
• show interfaces status — 인터페이스 상태 를 나열합니다. 이 단일 상태 코드는 아래 표에 표시된 것처럼 라인 상태 및 프로토콜 상태 의 서로 다른 조합에 해당합니다. 예를 들어, “connected” 인터페이스 상태는 다른 두 상태가 각각 up/up 인 상태에 해당합니다.

다음은 상태 코드 목록과 해당 코드가 나타낼 수 있는 문제입니다:

Cisco Shutdown Command

터미널 구성 모드에서 인터페이스를 처음 구성할 때는 라우터가 패킷을 전송하거나 수신하는 데 해당 인터페이스를 사용하기 전에, 관리적으로 인터페이스를 활성화해야 합니다. IOS 소프트웨어가 인터페이스를 사용하도록 하려면 Cisco no shutdown 명령을 사용하십시오.

나중에는 특정 인터페이스 또는 네트워크 일부 구간에 대해 하드웨어 유지보수를 수행하기 위해 해당 인터페이스를 비활성화하고 싶을 수 있습니다. 또한 특정 네트워크 세그먼트에 문제가 존재하고 그 세그먼트를 나머지 네트워크로부터 격리해야 하는 경우, 인터페이스를 비활성화하고 싶을 수도 있습니다. shutdown 명령은 관리적으로 인터페이스를 활성화합니다. 인터페이스를 다시 시작하려면 no shutdown 명령을 사용하십시오.

IP 라우트 표시

대부분의 라우팅 테이블에는 정적 라우트와 동적 라우트가 함께 포함됩니다. 그러나 정적 또는 동적 라우팅을 사용하려면, 먼저 라우팅 테이블에 원격 네트워크에 접근하는 데 사용되는 직접 연결 네트워크가 포함되어 있어야 합니다. 라우팅 테이블에 있는 정적 라우트를 확인하려면 다음 명령을 사용하세요. show ip route 명령을 실행하고 네트워크 주소, 서브넷 마스크, 다음 홉 라우터의 IP 주소 또는 종료 인터페이스를 지정합니다.

Cisco 장비에서 흔히 발생하는 문제

인터페이스 속도 및 듀플렉스 문제

UTP 기반의 많은 이더넷 인터페이스는 여러 속도(전이중 또는 반이중)와 IEEE 표준 자동 협상을 지원합니다. 이러한 인터페이스는 speed {10 | 100 | 1000} 인터페이스 하위 명령을 사용해 특정 속도로 설정할 수 있으며, duplex {half | full} 인터페이스 하위 명령을 사용해 특정 듀플렉스로 설정할 수도 있습니다. 두 설정을 모두 인터페이스에 대해 구성하면, 스위치 또는 라우터는 해당 인터페이스에서 IEEE 표준 자동 협상 프로세스를 비활성화합니다.

다음 모두 show interfaces 및 show interfaces status 명령은 인터페이스의 속도 및 듀플렉스 설정을 나열하지만, show interfaces status 명령만 스위치가 속도 및 듀플렉스 설정을 어떻게 결정했는지 나타냅니다. 즉, 접두사 a-가 붙은 형태로 모든 자동 협상(autonegotiation) 설정을 나열합니다. 예를 들어, a-full 은 자동 협상으로 결정된 전이중(full-duplex)을 의미하며, 반면 full 은 수동으로 구성된 전이중(full-duplex)을 의미합니다. 자동 협상은 잘 동작하지만, 기본값은 duplex mismatch라고 불리는 문제의 가능성을 허용합니다. 이 문제에서는 장치들이 링크가 올라간 것으로는 인식하지만, 한쪽은 반이중(half-duplex)을 사용하고 다른 쪽은 전이중(full-duplex)을 사용하게 됩니다.

입력 오류 수와 CRC 오류 수는 show interfaces 명령 출력에 포함된 카운터 중 두 가지에 불과합니다. 중요한 과제는 어떤 카운터를 확인해야 하는지, 어떤 카운터가 문제가 발생하고 있음을 보여주는지, 그리고 어떤 카운터는 정상적이며 신경 쓸 필요가 없는 것인지 판단하는 것입니다. 아래는 문제가 되는 지표를 알려주는 카운터와, 문제는 아니지만 정상 이벤트를 단순히 집계하는 카운터를 구분해 이해를 시작할 수 있도록 도와주는 카운터 목록입니다:

• Runts: 최소 프레임 크기 요구 사항을 충족하지 못한 프레임(목적지 MAC, 소스 MAC 및 타입을 포함해 64바이트)입니다. Runts는 충돌로 인해 발생할 수 있습니다.
• Giants: 최대 프레임 크기 요구 사항을 초과한 프레임(목적지 MAC, 소스 MAC 및 타입을 포함해 1518바이트)입니다.
• 입력 오류(Input Errors): runts, giants, no buffer, CRC, frame, overrun 및 ignored 카운트를 포함한 카운터의 총합입니다.
• CRC: FCS 계산을 통과하지 못한 수신 프레임입니다. 이러한 문제는 충돌로 인해 발생할 수 있습니다.
• 프레임: 불법 형식을 가진 수신 프레임입니다(예: 부분 바이트로 끝나는 경우). 이러한 문제는 충돌로 인해 발생할 수 있습니다.
• 패킷 출력: 인터페이스를 통해 전달(송출)된 전체 패킷(프레임) 수입니다.
• 출력 오류: 스위치 포트가 전송을 시도했지만 문제가 발생한 전체 패킷(프레임) 수입니다.
• 충돌: 인터페이스가 프레임을 전송하는 동안 발생한 모든 충돌의 카운터입니다.
• Late Collisions: 프레임의 64번째 바이트가 전송된 이후에 발생하는 모든 충돌 중 해당 부분을 말합니다. 정상적으로 동작하는 이더넷 LAN에서는 충돌이 처음 64바이트 이내에 발생해야 합니다. 하지만 오늘날의 지연 충돌은 종종 듀플렉스 불일치를 의미합니다.

MAC 주소 테이블의 내용 예측

스위치는 MAC 주소를 학습한 다음, MAC 주소 테이블의 항목을 사용해 각 프레임에 대해 전달/필터링 결정을 내립니다. 특정 스위치가 이더넷 프레임을 정확히 어떻게 전달할지 확인하려면 Cisco 스위치의 MAC 주소 테이블을 살펴봐야 합니다.

show mac address-table exec 명령은 스위치의 MAC 주소 테이블 내용을 표시합니다. 이 명령은 스위치가 현재 알고 있는 모든 MAC 주소를 나열합니다. 출력에는 스위치가 사용하는 일부 정적(오버헤드) MAC 주소와 포트 보안 기능으로 구성된 것과 같은 정적으로 구성된 MAC 주소가 포함됩니다. 또한 이 명령은 동적으로 학습된 모든 MAC 주소도 나열합니다. 동적으로 학습된 MAC 주소 테이블 항목만 보고 싶다면, 단순히 show mac address-table dynamic EXEC 명령을 사용하면 됩니다.

MAC 주소 테이블 항목을 예측할 때는, LAN 반대편에 있는 다른 장치로 한 장치가 보낸 프레임을 상상한 다음, 그 프레임이 LAN을 통과하는 동안 어떤 스위치 포트로 들어가게 될지 판단해야 합니다.

포트 보안 및 필터링

LAN 스위치를 통과하는 프레임의 경로를 추적할 때, 모든 인터페이스가 올라가 있더라도 서로 다른 종류의 필터가 프레임을 폐기할 수 있다는 점을 기억하세요. 예를 들어 LAN 스위치는 소스 및 목적지 MAC 주소를 기준으로 일부 프레임을 폐기하는 액세스 제어 목록(access control lists, ACLs)이라는 필터를 사용할 수 있습니다. 또한 라우터는 IP ACL을 사용하여 IP 패킷을 필터링할 수 있습니다. 어떤 경우에는 포트 보안이 인터페이스를 셧다운했기 때문에 쉽게 포트 보안이 조치했음을 알 수 있습니다.

하지만 다른 경우에는 포트 보안이 인터페이스를 그대로 활성 상태로 두되, 문제를 일으키는 트래픽만 단순히 폐기합니다. 문제 해결 관점에서 인터페이스를 활성 상태로 두면서도 프레임을 계속 폐기하는 포트 보안 구성은 네트워크 엔지니어가 인터페이스와 MAC 주소 테이블만 보는 것이 아니라 포트 보안 상태를 자세히 확인하도록 요구합니다. 포트 보안은 세 가지 위반 모드(shutdown, protect 및 restrict)를 허용하지만, shutdown 의 기본 설정만 스위치가 해당 인터페이스를 err-disable 상태로 만듭니다.

포트 보안이 작동 중임을 확인하는 증거를 찾으려면 다음을 실행해야 합니다. show port-security interface 명령을 실행하세요. 또한 MAC 주소 테이블은 포트 보안이 활성화되어 있을 수 있다는 몇 가지 힌트를 제공합니다. 포트 보안이 MAC 주소를 관리하므로, 포트 보안이 활성화된 포트와 연결된 모든 MAC 주소는 정적 MAC 주소로 표시됩니다. 그 결과 show mac address-table dynamic 명령은 포트 보안이 활성화된 인터페이스의 MAC 주소를 나열하지 않습니다. 하지만 show mac address-table 및 show mac address-table static 명령은 이러한 정적 MAC 주소를 나열합니다.

적절한 액세스 인터페이스가 올바른 VLAN에 있는지 확인

각 액세스 인터페이스가 올바른 VLAN에 할당되었는지 확인하려면, 엔지니어는 단순히 어떤 스위치 인터페이스가 트렁크 인터페이스가 아니라 액세스 인터페이스인지 파악하고, 각 인터페이스에 할당된 액세스 VLAN을 확인한 다음, 그 정보를 문서와 비교하기만 하면 됩니다. 가능하다면 show vlan 및 show vlan brief 명령부터 사용하는 것으로 시작하세요. 이 show 명령은 알려진 모든 VLAN과 각 VLAN에 할당된 액세스 인터페이스를 나열합니다. 다만 주의할 점은, 이 두 명령은 운영(실제) 트렁크를 나열하지 않는다는 것입니다. 출력에는 현재 트렁킹 중이 아닌 모든 다른 인터페이스가 포함되며, 인터페이스가 정상 동작 상태인지 또는 비정상 상태인지는 상관하지 않습니다.

만약 show vlan 및 show interface switchport 명령을 사용할 수 없다면, show mac address-table 명령도 액세스 VLAN을 식별하는 데 도움이 됩니다. 이 명령은 MAC 주소 테이블을 나열하며, 각 항목에는 MAC 주소, 인터페이스 및 VLAN ID가 포함됩니다. 인터페이스가 잘못된 VLAN에 할당되어 있다면 switchport access vlan vlan-id 인터페이스 하위 명령을 사용해 올바른 VLAN ID를 할당하세요.

액세스 VLAN이 정의되지 않음

스위치는 구성되지 않았거나 구성은 되었지만 비활성화(종료)된 VLAN에 대해서는 프레임을 전달하지 않습니다. show vlan 명령은 스위치가 알고 있는 모든 VLAN을 항상 나열하지만, show running-config 명령은 그렇지 않습니다. VTP 서버와 클라이언트로 구성된 스위치는 현재 실행 중인 구성이나 startup-config 파일에 vlan 명령을 나열하지 않으며, 이런 스위치에서는 show vlan 명령을 사용해야 합니다. VTP 투명 모드를 사용하도록 구성되었거나 VTP를 비활성화한 스위치는 구성 파일에 vlan 구성 명령을 나열합니다. (스위치의 현재 VTP 모드를 확인하려면 show vtp status 명령을 사용하세요.) VLAN이 존재하지 않는다고 판단한 뒤에는, 문제 원인이 해당 VLAN을 단순히 정의해야 하기 때문일 수 있습니다.

액세스 VLAN이 비활성화됨

문제 해결의 또 다른 단계는 각 VLAN이 활성 상태인지 확인하는 것입니다. show vlan 명령은 두 가지 상태 중 하나를 표시합니다: active 또는 act/lshut. 후자는 VLAN이 중단(shut down)되었음을 의미합니다. VLAN을 중단하면 해당 스위치에서만 그 VLAN이 비활성화되므로, 스위치가 해당 VLAN의 프레임을 전달(forward)하지 않습니다. Cisco IOS에서는 VLAN을 비활성화하려면(shutdown)하고 활성화하려면(no shutdown)와 같이 두 가지 유사한 구성 방법을 제공합니다.

트렁크 양쪽 끝의 허용 VLAN 목록을 확인하세요

트렁크 양쪽 끝의 허용 VLAN 목록이 서로 일치하지 않으면, 해당 트렁크는 그 VLAN의 트래픽을 전달할 수 없습니다. 각 측에서 show interfaces trunk 명령으로 확인한 출력은 완전히 정상に 보일 수 있습니다. 문제는 트렁크 양쪽 끝의 허용 목록을 비교해 봐야만 확인할 수 있습니다.

트렁킹 동작 상태가 일치하지 않는 경우

트렁킹이 올바르게 구성되어 있다면 두 스위치 모두 동일한 VLAN 집합에 대해 프레임을 전달합니다. 트렁크가 잘못 구성된 경우에는 몇 가지 서로 다른 결과가 발생할 수 있습니다. 어떤 경우에는 두 스위치 모두 자신의 인터페이스가 트렁킹하지 않는다고 판단합니다. 다른 경우에는 한 스위치는 자신의 인터페이스가 올바르게 트렁킹한다고 믿지만, 다른 스위치는 그렇지 않습니다.

가장 흔한 잘못된 구성 — 이 구성에서는 두 스위치 모두 트렁킹이 되지 않습니다 — 은 링크에 연결된 두 스위치 모두에 switchport mode dynamic auto 명령을 사용하는 것입니다. “auto”라는 단어 때문에 링크가 자동으로 트렁킹될 것이라고 생각하기 쉽지만, 실제로는 두 스위치가 서로의 장치가 협상 시작을 하길 기다립니다. 이 잘못된 구성을 확인하려면 show interfaces switchport 명령을 사용해 양쪽 스위치의 관리 상태가 “auto”인지, 그리고 두 스위치가 모두 “static access” 포트로 동작하는지 확인하세요.

결론

이제 네트워크 관리자가 매일 겪는 문제를 조사하는 데 필요한 기본 문제 해결 명령을 알게 되었습니다. 또한 문제 해결 명령과 해당 설명을 빠르게 참고할 수 있는 Cisco Commands Cheat Sheet 도 다운로드할 수 있습니다.