[分享]交换机端口err-disabled状态原因
<font face="Verdana"><p><br/>出现了这个问题，我们不得不重视起交换机端口“假死”的现象，寻求在交换机不重启的状态下将该端口“拯救”回来的方法。 <br/>拯救步骤1：查看日志/端口的状态<br/> <br/> 登录进入交换机后，执行show log，会看到如下的提示：<br/> 21w6d: %ETHCNTR-3-LOOP_BACK_DETECTED: Keepalive packet loop-back detected on FastEthernet0/20.<br/> 21w6d: %PM-4-ERR_DISABLE: loopback error detected on Fa0/20, putting Fa0/20 in err-disable state<br/> 以上信息就明确表示由于检测到第20端口出现了环路，所以将该端口置于了err-disable状态。<br/> <br/> 查看端口的状态<br/> <br/> Switch# show inter fa0/20 status<br/> Port Name Status Vlan Duplex Speed Type<br/> Fa0/20 link to databackup err-disabled 562 auto auto 10/100BaseTX<br/> 这条信息更加明确的表示了该端口处于err-disabled状态。<br/> 既然看到了该端口是被置于了错误的状态了，我们就应该有办法将其再恢复成正常的状态。<br/> 拯救步骤2：将端口从错误状态中恢复回来<br/> <br/> 进入交换机全局配置模式，执行errdisable recovery cause ?，会看到如下信息：<br/> Switch(config)#errdisable recovery cause ?<br/> all Enable timer to recover from all causes<br/> bpduguard Enable timer to recover from BPDU Guard error disable state<br/> channel-misconfig Enable timer to recover from channel misconfig disable state<br/> dhcp-rate-limit Enable timer to recover from dhcp-rate-limit error disable state<br/> dtp-flap Enable timer to recover from dtp-flap error disable state<br/> gbic-invalid Enable timer to recover from invalid GBIC error disable state<br/> l2ptguard Enable timer to recover from l2protocol-tunnel error disable state<br/> link-flap Enable timer to recover from link-flap error disable state<br/> loopback Enable timer to recover from loopback detected disable state<br/> pagp-flap Enable timer to recover from pagp-flap error disable state<br/> psecure-violation Enable timer to recover from psecure violation disable state<br/> security-violation Enable timer to recover from 802.1x violation disable state<br/> udld Enable timer to recover from udld error disable state<br/> unicast-flood Enable timer to recover from unicast flood disable state<br/> vmps Enable timer to recover from vmps shutdown error disable state<br/> <br/> 从列出的选项中，我们可以看出，有非常多的原因会引起端口被置于错误状态，由于我们明确的知道这台交换机上的端口是由于环路问题而被置于错误状态的，所以就可以直接键入命令：<br/> <br/> Switch(config)#errdisable recovery cause loopback<br/> 是啊，就这么简单的一条命令，就把困挠我们很长时间的问题解决了，真的就这么神奇。那么如何验证这条命令是生效了呢？<br/> 拯救步骤3：显示被置于错误状态端口的恢复情况<br/> <br/> Switch# show errdisable recovery<br/> ErrDisable Reason Timer Status<br/> ----------------- --------------<br/> udld Disabled<br/> bpduguard Disabled<br/> security-violatio Disabled<br/> channel-misconfig Disabled<br/> vmps Disabled<br/> pagp-flap Disabled<br/> dtp-flap Disabled<br/> link-flap Disabled<br/> gbic-invalid Disabled<br/> l2ptguard Disabled<br/> psecure-violation Disabled<br/> gbic-invalid Disabled<br/> dhcp-rate-limit Disabled<br/> unicast-flood Disabled<br/> loopback Enabled<br/> Timer interval: 300 seconds<br/> Interfaces that will be enabled at the next timeout:<br/> Interface Errdisable reason Time left(sec)<br/> --------- ----------------- --------------<br/> Fa0/8 loopback 276<br/> Fa0/17 loopback 267<br/> Fa0/20 loopback 250<br/> <br/> 从以上显示的信息可以看出，这台交换机有三个端口（Fa0/8、Fa0/17、Fa0/20）会分别在276、267、250秒之后恢复为正常的状态，实际情况也是这样，等了几分钟以后，我们找了一台笔记本电脑，分别接到这几个端口上试了一下，端口都可以正常工作了。这下总算在不重交换机的情况下，将几个处于“假死”状态的端口“拯救”了回来。 <br/>关于接口处于err-disable的故障排查 <br/>故障症状： <br/>线路不通，物理指示灯灭或者显示为橙色(不同平台指示灯状态不同) <br/>show interface 输出显示接口状态： <br/>FastEthernet0/47 is down, line protocol is down (err-disabled) <br/>接口状态是err-disable。</p>
<p>sw1#show interfaces status</p>
<p>Port Name Status Vlan Duplex Speed Type <br/>Fa0/47 err-disabled 1 auto auto 10/100BaseTX</p>
<p>如果出现了接口状态为err-disable，show interfaces status err-disabled命令能查看触发err-disable的原因。 <br/>下面示例原因为bpduguard，在连接了交换机的端口配置了spanning-tree bpduguard enable。</p>
<p>sw1#show interfaces status err-disabled <br/>Port Name Status Reason <br/>Fa0/47 err-disabled bpduguard <br/>接口产生err-disable的原因可以由以下的命令来查看，系统缺省的配置是所有列出的原因都能导致接口被置为err-disable。</p>
<p>sw1#show errdisable detect <br/>ErrDisable Reason Detection status <br/>----------------- ---------------- <br/>udld Enabled <br/>bpduguard Enabled <br/>security-violatio Enabled <br/>channel-misconfig Enabled <br/>psecure-violation Enabled <br/>dhcp-rate-limit Enabled <br/>unicast-flood Enabled <br/>vmps Enabled <br/>pagp-flap Enabled <br/>dtp-flap Enabled <br/>link-flap Enabled <br/>l2ptguard Enabled <br/>gbic-invalid Enabled <br/>loopback Enabled <br/>dhcp-rate-limit Enabled <br/>unicast-flood Enabled <br/>从列表中，我们可以看出常见的原因有udld，bpduguard，link-flap以及loopback等。 <br/>具体由什么原因导致当前接口err-disable可以由show interface status err-disable来查看。</p>
<p>在接口模式下采用shutdown,no shutdown进行手动的激活。 <br/>在缺省配置下，一旦接口被置为err-disable，IOS将不会试图恢复接口。 <br/>这个可以由show errdisable recovery来查看，timer status下面所有的值都是disable。 <br/>下面的示例中，由于手工配置了bpduguard恢复，所以timer status的值变为Enable。</p>
<p>sw1#show errdisable recovery <br/>ErrDisable Reason Timer Status <br/>----------------- -------------- <br/>udld Disabled <br/>bpduguard Enabled <br/>security-violatio Disabled <br/>channel-misconfig Disabled <br/>vmps Disabled <br/>pagp-flap Disabled <br/>dtp-flap Disabled <br/>link-flap Disabled <br/>l2ptguard Disabled <br/>psecure-violation Disabled <br/>gbic-invalid Disabled <br/>dhcp-rate-limit Disabled <br/>unicast-flood Disabled <br/>loopback Disabled <br/>Timer interval: 300 seconds <br/>Interfaces that will be enabled at the next timeout: <br/>Interface Errdisable reason Time left(sec) <br/>--------- ----------------- -------------- <br/>Fa0/47 bpduguard 217 <br/>配置IOS重新激活errdisable的接口，使用以下命令：</p>
<p>sw1(config)#errdisable recovery cause bpduguard <br/>sw1(config)#errdisable recovery cause ? <br/>all Enable timer to recover from all causes <br/>bpduguard Enable timer to recover from BPDU Guard error disable state <br/>channel-misconfig Enable timer to recover from channel misconfig disable state <br/>dhcp-rate-limit Enable timer to recover from dhcp-rate-limit error disable state <br/>dtp-flap Enable timer to recover from dtp-flap error disable state <br/>gbic-invalid Enable timer to recover from invalid GBIC error disable state <br/>l2ptguard Enable timer to recover from l2protocol-tunnel error disable state <br/>link-flap Enable timer to recover from link-flap error disable state <br/>loopback Enable timer to recover from loopback detected disable state <br/>pagp-flap Enable timer to recover from pagp-flap error disable state <br/>psecure-violation Enable timer to recover from psecure violation disable state <br/>security-violation Enable timer to recover from 802.1x violation disable state <br/>udld Enable timer to recover from udld error disable state <br/>unicast-flood Enable timer to recover from unicast flood disable state <br/>vmps Enable timer to recover from vmps shutdown error disable</p>
<p>配置完上述命令后，IOS在一段时间后试图恢复被置为err-disable的接口，这段时间缺省为300秒。 <br/>但是，如果引起err-disable的源没有根治，在恢复工作后，接口会再次被置为err-disable。 <br/>调整err-disable的超时时间，可以使用以下命令：</p>
<p>sw1(config)#errdisable recovery interval ? <br/><30-86400> timer-interval(sec) <br/>可以调整在30－86400秒，缺省是300秒。 <br/>如果产生err-disable的原因是udld，下面有一条命令非常管用：</p>
<p>sw1#udld reset</p>
<p>No ports are disabled by UDLD. <br/>同时，接口在被置为err-disable的时候，通常有一系列的日志产生，如下： <br/>*Mar 15 15:47:19.984: %SPANTREE-2-BLOCK_BPDUGUARD: Received BPDU on port FastEthernet0/47 with BPDU Guard enabled. Disabling port. <br/>sw1# <br/>*Mar 15 15:47:19.984: %PM-4-ERR_DISABLE: bpduguard error detected on Fa0/47, putting Fa0/47 in err-disable state <br/>sw1# <br/>*Mar 15 15:47:21.996: %LINK-3-UPDOWN: Interface FastEthernet0/47, changed state to down <br/>收集这些日志也非常管用。 <br/>所以建议配置一个syslog server，收集log信息。</p>
<p>故障症状： <br/>线路不通，物理指示灯灭或者显示为橙色(不同平台指示灯状态不同)<br/>show interface 输出显示接口状态： <br/>FastEthernet0/47 is down, line protocol is down (err-disabled) <br/>接口状态是err-disable。<br/>sw1#show interfaces status<br/>Port Name Status Vlan Duplex Speed Type <br/>Fa0/47 err-disabled 1 auto auto 10/100BaseTX<br/>如果出现了接口状态为err-disable，show interfaces status err-disabled命令能查看触发err-disable的原因。 <br/>下面示例原因为bpduguard，在连接了交换机的端口配置了spanning-tree bpduguard enable。<br/>sw1#show interfaces status err-disabled<br/>Port Name Status Reason <br/>Fa0/47 err-disabled bpduguard<br/>接口产生err-disable的原因可以由以下的命令来查看，系统缺省的配置是所有列出的原因都能导致接口被置为err-disable。<br/>sw1#show errdisable detect <br/>ErrDisable Reason Detection status <br/>----------------- ---------------- <br/>udld Enabled <br/>bpduguard Enabled <br/>security-violatio Enabled <br/>channel-misconfig Enabled <br/>psecure-violation Enabled <br/>dhcp-rate-limit Enabled <br/>unicast-flood Enabled <br/>vmps Enabled <br/>pagp-flap Enabled <br/>dtp-flap Enabled <br/>link-flap Enabled <br/>l2ptguard Enabled <br/>gbic-invalid Enabled <br/>loopback Enabled <br/>dhcp-rate-limit Enabled <br/>unicast-flood Enabled<br/>从列表中，我们可以看出常见的原因有udld，bpduguard，link-flap以及loopback等。 <br/>具体由什么原因导致当前接口err-disable可以由show interface status err-disable来查看。<br/>在接口模式下采用shutdown,no shutdown进行手动的激活。<br/>在缺省配置下，一旦接口被置为err-disable，IOS将不会试图恢复接口。 <br/>这个可以由show errdisable recovery来查看，timer status下面所有的值都是disable。 <br/>下面的示例中，由于手工配置了bpduguard恢复，所以timer status的值变为Enable。<br/>sw1#show errdisable recovery <br/>ErrDisable Reason Timer Status <br/>----------------- -------------- <br/>udld Disabled <br/>bpduguard Enabled <br/>security-violatio Disabled <br/>channel-misconfig Disabled <br/>vmps Disabled <br/>pagp-flap Disabled <br/>dtp-flap Disabled <br/>link-flap Disabled <br/>l2ptguard Disabled <br/>psecure-violation Disabled <br/>gbic-invalid Disabled <br/>dhcp-rate-limit Disabled <br/>unicast-flood Disabled <br/>loopback Disabled<br/>Timer interval: 300 seconds<br/>Interfaces that will be enabled at the next timeout:<br/>Interface Errdisable reason Time left(sec) <br/>--------- ----------------- -------------- <br/>Fa0/47 bpduguard 217<br/>配置IOS重新激活errdisable的接口，使用以下命令：<br/>sw1(config)#errdisable recovery cause bpduguard<br/>sw1(config)#errdisable recovery cause ? <br/>all Enable timer to recover from all causes <br/>bpduguard Enable timer to recover from BPDU Guard error disable state <br/>channel-misconfig Enable timer to recover from channel misconfig disable state <br/>dhcp-rate-limit Enable timer to recover from dhcp-rate-limit error disable state <br/>dtp-flap Enable timer to recover from dtp-flap error disable state <br/>gbic-invalid Enable timer to recover from invalid GBIC error disable state <br/>l2ptguard Enable timer to recover from l2protocol-tunnel error disable state <br/>link-flap Enable timer to recover from link-flap error disable state <br/>loopback Enable timer to recover from loopback detected disable state <br/>pagp-flap Enable timer to recover from pagp-flap error disable state <br/>psecure-violation Enable timer to recover from psecure violation disable state <br/>security-violation Enable timer to recover from 802.1x violation disable state <br/>udld Enable timer to recover from udld error disable state <br/>unicast-flood Enable timer to recover from unicast flood disable state <br/>vmps Enable timer to recover from vmps shutdown error disable<br/>配置完上述命令后，IOS在一段时间后试图恢复被置为err-disable的接口，这段时间缺省为300秒。 <br/>但是，如果引起err-disable的源没有根治，在恢复工作后，接口会再次被置为err-disable。<br/>调整err-disable的超时时间，可以使用以下命令： <br/>sw1(config)#errdisable recovery interval ? <br/><30-86400> timer-interval(sec) <br/>可以调整在30－86400秒，缺省是300秒。<br/>如果产生err-disable的原因是udld，下面有一条命令非常管用： <br/>sw1#udld reset <br/>No ports are disabled by UDLD.<br/>同时，接口在被置为err-disable的时候，通常有一系列的日志产生，如下：<br/>*Mar 15 15:47:19.984: %SPANTREE-2-BLOCK_BPDUGUARD: Received BPDU on port FastEthernet0/47 with BPDU Guard enabled. Disabling port. <br/>sw1# <br/>*Mar 15 15:47:19.984: %PM-4-ERR_DISABLE: bpduguard error detected on Fa0/47, putting Fa0/47 in err-disable state <br/>sw1# <br/>*Mar 15 15:47:21.996: %LINK-3-UPDOWN: Interface FastEthernet0/47, changed state to down <br/>收集这些日志也非常管用。 <br/>所以建议配置一个syslog server，收集log信息。<br/>sw1#show interfaces status Port Name Status Vlan Du... 开启errdisable功能，这样可以使用show errdisable来查看引发errdisable的原因是什么，再更加信息内容进行解决。<br/>你要是想不影响使用的话，先用 no errdisable detect cause loopback 执行一下，将已经死掉的端口，no sh 一下 如果没问题，肯定是环路了，你可再找时间，对怀疑有问题的switch用拔插法，一个一个拔掉网线去查，当然，有更有效的方法，你可查看有问题的switch的所有rj45和gi口的状态，哪个有errdisable信息哪个就有问题。<br/>switch#show interfaces status err-disabled <br/>Port Name Status Reason <br/>Fa0/22 err-disabled link-flap <br/>Fa0/37 For office in 100K err-disabled link-flap <br/>Fa0/41 unknow err-disabled link-flap <br/>Fa0/42 Training Dc066 err-disabled link-flap<br/>Fa0/45 Production line VM err-disabled link-flap <br/>switch#show errdisable detect <br/>ErrDisable Reason Detection status <br/>----------------- ---------------- <br/>pagp-flap Enabled dtp-flap Enabled link-flap Enabled l2ptguard Enabled gbic-invalid Enabled loopback Enabled <br/>switch#show interfaces status err-disabled <br/>Port Name Status Reason <br/>Fa0/22 err-disabled link-flap <br/>Fa0/37 For office in 100K err-disabled link-flap <br/>Fa0/41 unknow err-disabled link-flap <br/>Fa0/42 Training Dc066 err-disabled link-flap <br/>Fa0/45 Production line VM err-disabled link-flap <br/>switch#sh errdisable flap-values <br/>ErrDisable Reason Flaps Time (sec) ----------------- ------ ----------<br/>pagp-flap 3 30 dtp-flap 3 30 link-flap 5 10 ( link-flap 这就是因为链路质量不好导致的) 关闭errdisable detectswitch#no errdisable detect cause all<br/>导致交换机接口出现err-disable的几个常见原因： <br/> 1. EtherChannel misconfiguration<br/> 2. Duplex mismatch<br/> style="TEXT-INDENT： 2em">3. BPDU port guard<br/> 4. UDLD<br/> 5. Link-flap error<br/> 6. Loopback error<br/> 7. Port security violation<br/> 第一个当F EC两端配置不匹配的时候就会出现err-disable.假设Switch A把FEC模式配置为on，这时Switch A是不会发送PAgP包和相连的Switch B去协商FEC的，它假设Switch B已经配置好FEC了。但实事上Swtich B并没有配置FEC，当Switch B的这个状态超过1分钟后，Switch A的STP就认为有环路出现，因此也就出现了err-disable.解决办法就是把FEC的模式配置为channel-group 1 mode desirable non-silent这个意思是只有当双方的FEC协商成功后才建立channel，否则接口还处于正常状态。<br/> 第二个原因就是双工不匹配。一端配置为half-duplex后，他会检测对端是否在传输数据，只有对端停止传输数据，他才会发送类似于ack的包来让链路up，但对端却配置成了full-duplex，他才不管链路是否是空闲的，他只会不停的发送让链路up的请求，这样下去，链路状态就变成err-disable了。<br/> 三、第三个原因BPDU，也就是和portfast和BPDU guard有关。如果一个接口配置了portfast，那也就是说这个接口应该和一个pc连接，pc是不会发送spanning-tree的BPDU帧的，因此这个口也接收BPDU来生成spanning-tree，管理员也是出于好心在同一接口上配置了BPDU guard来防止未知的BPDU帧以增强安全性，但他恰恰不小心把一个交换机接到这个同时配置了portfast和BPDU guard接口上，于是这个接口接到了BPDU帧，因为配置了BPDU guard，这个接口自然要进入到err-disable状态。解决办法：no spanning-tree portfast bpduguard default，或者直接把portfast关了。<br/> 第四个原因是UDLD.UDLD是cisco的私有2层协议，用于检测链路的单向问题。有的时候物理层是up的，但链路层就是down，这时候就需要UDLD去检测链路是否是真的up的。当AB两端都配置好UDLD后，A给B发送一个包含自己port id的UDLD帧，B收到后会返回一个UDLD帧，并在其中包含了收到的A的port id，当A接收到这个帧并发现自己的port id也在其中后，认为这链路是好的。反之就变成err-disable状态了。假设A配置了UDLD，而B没有配置UDLD：A给B发送一个包含自己port id的帧，B收到后并不知道这个帧是什么，也就不会返回一个包含A的port id的UDLD帧，那么这时候A就认为这条链路是一个单向链路，自然也就变成err-disable状态了。<br/> 第五个原因就是链路的抖动，当链路在10秒内反复up、down五次，那么就进入err-disable状态。<br/> 第六个原因就是keepalive loopback.在12.1EA之前，默认情况下交换机会在所有接口都发送keepalive信息，由于一些不通交换机协商spanning-tree可能会有问题，一个接口又收到了自己发出的keepalive，那么这个接口就会变成err-disable了。解决办法就是把keepalive关了。或者把ios升到12.2SE.<br/> 最后一个原因，相对简单，就是由于配置了port-security violation shutdown<br/></font></p>
页:
[1]