关于某局点无法通过OLT远程ping通CC750E设备的管理地址问题的分析

关于某局点无法通过OLT远程ping通CC750E的管理地址问题的分析

【组网】

【问题描述】

    用户的上网业务为VLAN 1106，通过qinq转换成vlan 2000传到汇聚层处理，CC750E的管理VLAN 为vlan 81。客户反馈从OLT侧无法ping通CC750E设备的管理地址，上网业务正常，断掉PON口后通过设备本地管理端口能够登入设备。客户还反馈CC750E所有102的版本均存在此问题，而客户处其它CC750E 100的版本无此问题。主要配置如下：

S75E上QINQ配置：
#

traffic classifier A1101 operator and

 if-match customer-vlan-id 1101 to 1600  //上网业务为VLAN 1106

#

traffic behavior P2000

 nest top-most vlan-id 2000 //OLT上打上外层标签 2000

#

qos policy qin

 classifier A1101 behavior P2000

#

OLT配置：

#

interface Olt0/0/1

 using onu 1 to 16

 port link-type hybrid

 undo port hybrid vlan 1

 port hybrid vlan 81 tagged   //ONU的管理VLAN为81

 port hybrid vlan 2000 2101 untagged   //剥离外层2000标签,2101点播业务

 port hybrid pvid vlan 2101

 qinq enable

 qinq transparent-vlan 81

 qos apply policy qin inbound

#

ONU的配置：

#

interface Onu0/0/1:13

 bind onuid 5866-ba2d-fdac

 management-vlan 81

 undo shutdown management-vlan-interface    //开启ONU管理接口

 upstream-sla maximum-bandwidth 16000     //设置上行带宽为1G

 ip address 10.53.128.246 255.255.128.0 gateway 10.53.128.4   //ONU上管理IP

 port link-type trunk

 port trunk pvid vlan 81

#

【原因分析】

    首先，经过分析102版本和100版本所有修改的地方，确认没有涉及设备管理方面的任何变更。然后，要求工程师在CC750E所在位置将一台PC接在CC750E下的业务口上抓包。从提供的报文来看，网络中存在大量的ARP请求广播包，而且都是几个相同MAC地址发出的，报文的源IP地址均为1.0.0.0。如下图所示：

进而在OLT上查看这些ARP广播包的源MAC信息，如下：

0027-1957-801d 2000     Learned        Onu0/0/2:6               AGING

0027-1960-c56d 2000     Learned        Onu0/0/3:2               AGING

0027-1960-c241 2000     Learned        Onu0/0/2:5               AGING

这些发送大量ARP广播包的MAC地址都学习在了VLAN 2000里面，通过分析qinq的配置可以发现，都是上网业务VLAN 1106进来的，再被OLT口加上了2000的外层VLAN标签，这说明业务vlan 1106中可能存在异常或者攻击。

    但是设备的管理VLAN 为81，为什么会影响到其他OLT端口下的设备管理呢？第一，从上述OLT配置可以看出，OLT端口没有配置端口隔离，从而导致某个ONU接口下客户端发出的ARP广播包被广播到了所有同VLAN的其他OLT端口；第二，CC750E由于兼容性原因，对于下行的非管理VLAN的ARP广播包同样会上送到CC750E的CPU处理。当CC750E的CPU受到大量的ARP广播包冲击时无法响应ping回应报文，从而导致ping ONU管理地址不通的现象。

    我们再通过查找三个MAC地址的归属厂家，发现都是属于TP-link的，最后我们怀疑可能是最终用户家中使用了TP-LINK的路由器，开启了发送免费ARP的功能，发送频率大概在300-500个ARP每秒左右，从而导致了此问题的产生。遗憾的是由于无法联系到最终用户，所以这个猜测也无法进一步确认了。

    另外一个问题是为什么CC750E 100的版本就没有问题呢？通过仔细对比100版本设备的配置和102版本设备的配置发现，原来是所有100版本的设备的上网业务VLAN均为1101，而所有102版本的设备的上网业务vlan均为1106，由于VLAN隔离特性使得vlan 1106中的ARP广播包没有被广播到1101中，所以才表现为所有100版本的CC750E设备均能ping通，而所有102版本的CC750E设备均无法ping通的现象，非CC750E设备的102软件版本问题。

    我们在发现ARP广播包所在的OLT口OLT0/0/2、OLT0/0/3以及测试端口OLT0/0/1上均开启端口隔离（port-isolate enable）进行验证,果然不出所料，OLT0/0/1下面的CC750E就都能ping通了。

【规避措施／解决方案】

在各OLT端口开启端口隔离，避免下行ARP广播流量冲击CC750E设备的CPU： 

#

interface Olt0/0/1

 using onu 1 to 16

 port link-type hybrid

 undo port hybrid vlan 1

 port hybrid vlan 81 tagged

 port hybrid vlan 2000 2101 untagged

 port hybrid pvid vlan 2101

 qinq enable

 qinq transparent-vlan 81

 qos apply policy qin inbound

 port-isolate enable    //开启该OLT端口的隔离功能，其他OLT端口添加相同配置

#

如有问题，请联系杭州华三通信技术有限公司服务热线：4008100504/8008100504