Prečo moja sieť Cisco IoT VLAN prestala fungovať po aktualizácii na systém IOS XE 17.9.6?

Práve ste aktualizovali prepínač Cisco Catalyst 9300/9400 na IOS XE 17.9.6 (niekedy vyhľadávaný ako 17.09.06) a zistili ste, že vaše zariadenia IoT nemôžu získať IP adresu alebo sa pripojiť k sieti? Nie ste sami a nie je to vaša konfigurácia – je to známa softvérová chyba. Táto príručka vás prevedie presnou príčinou a poskytne vám podrobný návod na opravu, aby všetko opäť fungovalo.

1. Čo spôsobuje výpadok siete? Vysvetlenie chyby v systéme IOS XE 17.9.6

Cisco IOS XE verzia 17.9.6 (Cupertino-17.9.6) pre prepínače radu Catalyst 9000 vrátane Cisco Catalyst 9300 a 9400, obsahuje kritickú chybu, ktorá môže narušiť prístup k sieti, najmä pre zariadenia používajúce overovanie 802.1X (dot1x) a dynamické priradenia VLAN. Tento problém je konkrétne identifikovaný ID chyby Cisco CSCwm57734.

Príznaky chyby:

• Žiadna IP adresa cez DHCP: Klienti vrátane zariadení IoT nedokážu získať IP adresu prostredníctvom DHCP, a to ani v prípade, že overenie 802.1X sa javí ako úspešné.
• Nulový tok prevádzky (aj so statickou IP adresou): Aj keď je statická IP adresa nakonfigurovaná manuálne, zariadenia za postihnutými portami nemôžu prenášať prevádzku do siete. show interface príkaz pre tieto porty môže zobraziť nulové vstupné pakety.
• Overenie sa zdá byť úspešné: Výstup z príkazov ako show authentication sessions bude indikovať, že klient je „Autorizovaný“ a je priradená správna VLAN, a to aj napriek nedostatku pripojenia.
• Anomália v tabuľke MAC adries: Tabuľka MAC adries (show mac address-table) môže nesprávne zobraziť MAC adresu klienta ako STATICKÚ, a to aj na dynamicky nakonfigurovanom porte.
• Špecifické pre dot1x: Problém sa pozoruje predovšetkým pri konfiguráciách dot1x (uzavreté overovanie) a prepísania VLAN, zatiaľ čo zariadenia na overovanie MAC môžu naďalej fungovať normálne.

Táto chyba spôsobuje, že prepínač zahodí DHCP pakety a potenciálne aj inú prevádzku pre klientov overených cez dot1x.

2.  Ako to opraviť? Aktualizácia na bezpečnú verziu IOS XE

Spoločnosť Cisco rýchlo identifikovala a stiahol IOS XE 17.9.6 z jeho stránok na stiahnutie kvôli tomuto a ďalším hláseným problémom. Odporúčaným trvalým riešením je Aktualizujte firmvér prepínača Cisco Catalyst 9300/9400 na verziu, ktorá obsahuje opravu.

Aktualizácia na Cisco IOS XE 17.9.6a alebo novšiu verziu: Cisco IOS XE 17.9.6a bol vydaný 4. októbra (po stiahnutí verzie 17.9.6) a obsahuje opravu tejto kritickej chyby NAC/DHCP. Prípadne sa odporúča aj aktualizácia na novšie stabilné verzie, ako napríklad 17.12.x.

Všeobecné kroky pre aktualizáciu systému Cisco IOS XE v režime inštalácie:

Krok 1: Príprava na aktualizáciu:

• Prístup ku konzole: Uistite sa, že máte priamy prístup ku konzole prepínača. Toto je kľúčové pre riešenie problémov, ak sa počas aktualizácie vyskytnú nejaké problémy. Použite konzolový kábel RJ-45 alebo USB s programom na emuláciu terminálu (napr. PuTTY, TeraTerm) nakonfigurovaným na 9600 baud, 8 dátových bitov, 1 stop bit, bez parity a bez riadenia toku.
• Zálohovanie konfigurácie: Vždy si zálohujte svoju aktuálnu spustenú konfiguráciu. Môžete ju uložiť do NVRAM (copy running-config startup-config) alebo ho skopírujte na USB kľúč (copy running-config usbflash0:/your_config_filename.cfg).
• Stiahnutie nového obrazu: Získajte cieľový súbor obrazu Cisco IOS XE s príponou .bin (napr. cat9k_iosxe.9.6a.SPA.bin alebo novšiu stabilnú verziu) z Cisco.com a umiestnite ho na TFTP/SCP server alebo USB kľúč.

Krok 2: Vykonajte aktualizáciu:

• Vyčistenie starých súborov: V privilegovanom režime EXEC odstráňte neaktívne inštalačné súbory, aby ste uvoľnili miesto.

 

Switch# install remove inactive

 

Po zobrazení výzvy potvrďte stlačením tlačidla „y“. Pred pokračovaním je najlepšie overiť, či máte aspoň 1.5 GB voľného miesta.

 

Switch# show flash

 

• Kopírovať nový obrázok: Skopírujte nový súbor s obrázkom do flash pamäte prepínača:

 

Switch# copy tftp:///your_image_filename.bin flash:

 

(Alebo copy usbflash0:/your_image_filename.bin flash: ak používate USB).

• Overenie integrity obrazu: (Voliteľné, ale dôrazne odporúčané) Overte hash MD5 skopírovaného obrazu oproti hashu poskytnutému spoločnosťou Cisco, aby ste sa uistili, že súbor nie je poškodený.

 

Switch# verify /md5 flash:your_image_filename.bin

 

• Nastavenie zavádzacej premennej: Nakonfigurujte prepínač tak, aby sa zavádzal zo súboru packages.conf vo flash pamäti a zabezpečil automatické spustenie:

 

Switch(config)# boot system flash:packages.conf
Switch(config)# no boot manual
Switch(config)# end
Switch# write memory

 

Overte nastavenia pomocou show boot.

• Inštalácia a aktivácia: Spustite príkaz install na pridanie, aktiváciu a potvrdenie nového softvérového balíka. Prepínač sa počas tohto procesu, ktorý môže trvať 15 – 25 minút, automaticky reštartuje.

 

Switch# install add file flash:your_image_filename.bin activate commit

 

Po zobrazení výzvy potvrďte stlačením tlačidla y.

Krok 3: Overenie po aktualizácii:

• Po reštarte prepínača sa prihláste a overte novú verziu IOS XE:

 

Switch# show version

 

Overte, či používate verziu 17.9.6a alebo novšiu.

• Overte si sieťové služby, najmä DHCP a pripojenie pre vaše IoT zariadenia v ich príslušných VLAN.

3.  Alternatívne opravy: Zníženie verzie a dočasné riešenia

Ak nemôžete okamžite prejsť na verziu 17.9.6a (alebo novšiu), praktickou možnosťou je prejsť na nižšiu verziu prepínača Cisco Catalyst 9300 alebo 9400 na stabilný obraz, ako napríklad IOS XE 17.9.5. Proces sa riadi štandardnými krokmi inštalačného režimu – namiesto nového súboru stačí použiť starší súbor .bin.

Tento prístup sa ukázal ako účinný vo viacerých produkčných prostrediach, kde bola vyžadovaná okamžitá stabilita.

Ak nie je možné okamžite prejsť na nižšiu alebo vyššiu verziu, tu je niekoľko dočasných riešení, ktoré však môžu ovplyvniť zabezpečenie siete a súlad s predpismi:

• Odstráňte overovanie portov 802.1X na dotknutých rozhraniach. To umožňuje zariadeniam obísť NAC a získať IP adresy priamo.
• Ak to vaša politika umožňuje, prepnite do režimu „Otvorený“ alebo „Nízky vplyv“. Tieto režimy vo všeobecnosti nie sú týmto problémom s DHCP/VLAN v verzii 17.9.6 ovplyvnené.

Poznámka: Tieto opatrenia by sa mali používať iba v prísne kontrolovaných segmentoch alebo mimo špičky a mali by sa vrátiť späť po použití stabilného obrazu.

Osvedčený postup: Dôkladné testovanie pred nasadením

Tento incident zdôrazňuje dôležitosť dôkladného testovania. Nové vydania Cisco IOS XE vždy implementujte v pilotnom prostredí alebo na malej podmnožine nekritických zariadení pred ich nasadením do celej siete. Aj údržbové vydania môžu priniesť neočakávané chyby, ktoré ovplyvňujú kritické služby, ako napríklad Pripojenie k VLAN pre IoT.

Pre robustné sieťové riešenia a komplexnú technickú podporu, router-switch je vaším dôveryhodným ICT partnerom.