Új hozzászólás Aktív témák

• #11316 crok Topikgazda Konflikt #11315

  Új Válasz 2016-09-21 21:26:35 #11316

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  crok

  Topikgazda

  válasz Konflikt #11315 üzenetére

  Nem bug.. feature!

  Amit te keresel az a IPDT.. és sajnos enabled by default..

  Azt kellene 24/7/365.25 hívogatni a TAC-nak aki ezt kitalálta hogy milyen jó lesz..*

  A lényeg hogy a switch 30 másodpercenként küld egy ARP probe-ot minden MAC-hez amit a portjain tanult hogy a host él-e/aktív-e még.. istenem, ha ennyire ki akarom törölni a MAC-et a táblából ha nem aktív akkor leveszem azt a nyomorult timeout-ot 5 percről 30 sec-re vagy bármire.. de így.. szóval az van, hogy:

  - a nyomorult switch küld 30 másodpercenként egy ARP probe-ot csupa nulla kérő/küldő IP-vel és a port MAC-jével a kérő/küldő mezőben.. a kérő/küldő cím az ARP probe-ban azért csupa nulla hogy más hostok ne tanulják meg (martian IP / lehetetlen-valótlan IP). A cél IP természetesen a host amit track-el a switch, a cél MAC szintén nullás.

  - megkapja a host, válaszol is hogy 'ehunvagyok egy jófajta ARP reply-al.. ideális esetben..

  - DE: mikor a host "feljön" és abban a fázisban van hogy a kis statikus IP-jét próbálja kideríteni hogy duplikálva van-e a szegmensen és ez a nyomorult switch által küldött ARP probe is ekkor esik be.. akkor bizony a host azt fogja gondolni hogy duplikált IP-je van mert volt válasz.. csapat magának egy APIPA címet és a sarokban sír.. ha lenyomod az interface-t a hoston és vissza akkor nagy eséllyel hamarabb végez a host ezzel a folyamattal és az első probe már az után esik be hogy túl van ezen a TCP stack..

  Megoldási lehetőségeid:
  a, kikapcsolás:
  no ip device tracking - ha rád nem vonatkozik ez a fájintos' kis bug: https://bst.cloudapps.cisco.com/bugsearch/bug/CSCuj04986

  b, vonatkozik rád a bug és workaround kell:
  Régebbi megoldás:
  ip device tracking probe delay 30 - 30 sec-el eltolja azt az időt hogy elkezdjen probe-ot küldeni..
  Opcionálisan:
  ip device tracking probe use-svi - használd a probe-ban az SVI IP-jét a kérő/küldő IP helyére, nem szerencsés amúgy de működik
  Újabb megoldás:
  ip device tracking probe auto-source fallback 0.0.0.x 255.255.255.0 override - kamu IP-t tesz be a kérő/küldő IP helyére, olyat ami nem a 0.0.0.0 (tehát "kvázi valós") de soha nem is lesz kiosztva tehát nem fog ütközi se..

  - vagy -

  c,
  ip device tracking max 0 - ez a, és b, esetben is működik (úgy értem akár érint a bug akár nem)

  *: persze van/lehet értelme amúgy.. csak nem így, hanem pl. olyan helyen ahol a switch-re AP hegyek vannak pattintva és a Mobility Engine ezzel track-eli hogy az AP-kon lógó hostok élnek-e vagy halnak.. de ezt egyébként a WLC is megmondaná, hogy assoc vagy disassoc a kliens.. egy idő után ha nincs aktivitása úgyis ledobja.. esetleg 802.1X esetén, WebAUTH.. de inkább a MAC timeout mint ez..

Új hozzászólás Aktív témák