☰

Cisco Catalyst 3750 が Cisco ASA 5505 に接続され、パケットをドロップする

tag-icon • tag-icon firewall vlan
Cisco Catalyst 3750 が Cisco ASA 5505 に接続され、パケットをドロップする

オフィスで、私はまだ完全に理解しようとしているネットワークを引き継ぎました。今日、次の間の新しい接続で問題が発生しています:

  • Cisco Catalyst 3750 のポート [C3750-IPSERVICESK9-M バージョン 12.2(53)SE1 を実行している WS-C3750G-48TS-S]
  • Cisco ASA 5505 上のポート [ASA ソフトウェア バージョン 8.3(2)]

3750 には、いくつかのポートが割り当てられた VLAN が存在します。

interface Vlan3
 description Internal network (172.18.160.0/24)
 ip address 172.18.160.1 255.255.255.0

この VLAN 内に存在する必要があり (つまり、アドレスが 172.18.160.something/24 である必要がある)、インターネットにアクセスする必要があるホスト (私の管理外) があります。

これを実現するために、Catalyst (Gi1/0/13) から ASA (Ethernet 0/5) へのリンクを実行しました。Catalyst ポートを次のように設定しました。

interface GigabitEthernet1/0/13
 description To ASA, 172.18.160.69
 switchport access vlan 3
 switchport mode access
 speed 100
 duplex full

ASA を次のように設定しました。

interface Vlan1
 nameif inside
 security-level 100
 ip address 172.18.160.69 255.255.255.0

interface Ethernet0/5
 speed 100
 duplex full

次に、ホストを ASA の Ethernet 0/4 に接続し、その所有者にデフォルト ゲートウェイを 172.18.160.69 にするように指示しました。ASA で NAT ルールを作成し、いくつかのルールを設定すると、問題なくインターネットにアクセスできるようになりました。

しかし、Catalyst が ASA への大量のパケットがドロップされていることを報告していることに気付きました。

Catalyst3750#show interfaces GigabitEthernet 1/0/13 | include counters|drops
  Last clearing of "show interface" counters 00:28:13
  Input queue: 0/75/0/0 (size/max/drops/flushes); Total output drops: 136909347

この VLAN にはトラフィックがほとんどないため、ドロップの数は膨大です。

私は次のことを試しました:

  • 速度とデュプレックスが両側で一致していることを確認します (100 Mbps / フル)
  • no cdp enableCatalyst Gi10/13にセット
  • no keepaliveCatalyst Gi10/13にセット
  • 両方のCPU使用率が高すぎないか確認しました
  • 両方のトラフィック過多をチェック

何か見落としているのでしょうか? ご協力いただければ幸いです。

答え1

それを試すことはできますが、ASA へのパケットがドロップされる問題が本当に解決されるとは思えません。

そうかもしれません。潜在的に問題となる可能性のある 0/4 が排除されます。3750 で発信のドロップが見られる場合でも、そこに何らかの信号問題がある可能性があります。私の提案は、新しいケーブルを試すことです (そして、Harris が提案したようにホストを 3750 に接続します)。

また、出力ドロップの数が誤って表示されるバグがある...それがあなたのバージョンに影響するかどうかはわかりません。

答え2

なぜホストを ASA ポート 0/4 に直接配置したのですか? Catalyst スイッチにホストを接続してみてください。これはすでに Vlan3 で ASA と接続されています。

関連情報