Internet sehr langsam(Cisco Nexus ASA5510)

ueba3ba
Goto Top
Guten Abend liebes Forum.

Ich hab mal wieder ein Problem...


Habe an meinen Nexus 5548UP jetzt die ASA 5510 hängen.

Alles wunderbar. iSCSI geht gut 10Gbit/s.

Nur das Internet ist extrem langsam.

Speedtest mit meinem Laptop(Direkt an frite) full Speed.

speedtest vom Lab aus, nur 0.31 Mbps

Seit 15Ur laufen im Lab die Windows Updates. Und es ist kein Ende in Sicht.

Die Updates laufen auf dem DC und 2 Cluster-Knoten.

Ich habe die Vermutung dass es eventuell etwas mit der QoS Konfiguration zu tun hat.

Bei QoS hört mein Wissen erst mal auf.

Hier mal meine Config vom Nexus und vom catalyst sowie von der ASA

Cisco Nexus 5548UP Config:


Cisco ASA 5510 Config:


Cisco Catalyst 3750 Config:



Gleich poste ich noch ein Bild der Topologie.

Content-Key: 1750912248

Url: https://administrator.de/contentid/1750912248

Ausgedruckt am: 17.05.2022 um 07:05 Uhr

Mitglied: aqui
aqui 22.01.2022 aktualisiert um 20:28:10 Uhr
Goto Top
Es wäre für alle hilfreich wenn du mal das description Kommando an den Interfaces nutzt um mal für andere nachvollziehbar zu kennzeichnen WO überhaupt WAS angeschlossen ist.
Sich durch die Konfig zu wühlen und zu raten wo die ASA an Catalyst oder Nexus angeschlossen ist, ist wenig zielführend ! :-( face-sad
Bedenke das wenn du mit SFPs arbeitest der Speed Parameter zwingend ist.
QoS ist im Default gar nicht aktiv.
Was ergibt denn eins dieser Allerwelts Dödel Speedtests im Internet ??
https://www.speedtest.net/de
Kommt der annähernd an den Anschlusswert ?
Mitglied: Ueba3ba
Ueba3ba 22.01.2022 um 20:44:36 Uhr
Goto Top
Danke für deine Antwort.

Habe description hinzugefügt.

Speedtest zeigt: 0.31Mbps vom Labor aus
Vom Notebook aus hab ich full speed(100Mbit)
netdiag1
Mitglied: Ueba3ba
Ueba3ba 22.01.2022 um 20:55:04 Uhr
Goto Top
Bedenke das wenn du mit SFPs arbeitest der Speed Parameter zwingend ist.

Einzig die Verbindung zur ASA ist auf 1000 gestellt.
Später wird noch eine Verbindung zum WLC dazukommen, die auch auf 1000 gestellt wird.

Ist mir noch was entgangen??
Mitglied: Ueba3ba
Ueba3ba 23.01.2022 aktualisiert um 12:55:54 Uhr
Goto Top
Servus,

ich habe nun die Firewall direkt mit dem Catalyst verbunden und erhalte dann full Speed.
wieder zurück an den Nexus, wieder 0,25 - 0,30 Mbps.

Kann doch nicht sein. Der DC ist mit 10Gbit am Nexus angebunden und die Firewall mit 1Gbit.

Woran könnte das nur liegen??

Jemand eine Idee?
Mitglied: aqui
aqui 23.01.2022 um 14:52:49 Uhr
Goto Top
Vom Notebook aus hab ich full speed(100Mbit)
WO ist das Noetbook verbunden ?? Hast du es einmal direkt ins lokale ASA Netz 172.16.0.0 /24 gehängt ?
Man muss ja erstmal klären WER der böse Buhmann ist. Also ob es die ASA selber ist oder der lokale L3 Switch der deine VLANs routet.
ch habe nun die Firewall direkt mit dem Catalyst verbunden und erhalte dann full Speed.
Wird das ASA VLAN dort dann nur 1:1 im L2 durchgeschleift durch den Nexus oder routet er es in ein separates Catalyst VLAN wo dein Testclient ist ?
Macht der Nexus auch das L3 Geschäft zw. den VLANs ?
Wenn ja was ist dort für eine Port MTU und L3 MTU definiert ?
Kannst du Negotiation Probleme am Nexus ausschliessen ?
Fragen über Fragen... ;-) face-wink
Mitglied: Ueba3ba
Ueba3ba 23.01.2022 aktualisiert um 15:35:30 Uhr
Goto Top
Also mein Notebook ist direkt mit der frite über wlan verbunden und während meinem test von eben nur mit dem catalyst mit rj45.

Ich hab auf dem Catalyst ein vlan 10 mit virtual interface erstellt.

Catalyst:

vlan 10
name transfer
description transfer_vlan

int vlan 10
ip address 172.16.10.1 255.255.255.0
no shut
description Transfer_vlan_to_internet

ip route 0.0.0.0 0.0.0.0 172.16.10.2(asa)

int gi1/1
switport mode access
switport acces vlan 1
description notebook_rj45

int gi1/2
switport mode access
switport access vlan 10
description link_to_asa

Mit dieser Konfig bekomme ich full speed vom internet. Da ist aber auch nur der Catalyst, an dem dann das Notebook angeschloßen wurde und die ASA. Der Nexus ist bei diesem Test ausgeschaltet.
Und genauso mache ich es auch auf dem Nexus. Also mit vlan10 als transfer fürs internet.

Der Nexus soll das inter Vlan Routing übernehmen. MTU ist, denke ich, auf 1500 eingestellt.
Jumbo Packets ist auch eingestellt.

Der Catalyst wird, außer beim Test von oben, nur im L2 Modus betrieben.
Der Server, der DC macht, ist direkt am Nexus mit 10Gbit angebunden.
Der Server ist im vlan 30.
Mit diesem Server führe ich auch den speedtest aus und erhalte nur 0,25 - 0,30 Mbps

Kannst du Negotiation Probleme am Nexus ausschliessen ?
ämm. nein, kann ich nicht.

Am Nexus ist nur ein Port auf 1000 eingestellt, und das ist der link vom nexus zur asa.
Alle anderen links am nexus sind 10gbit.

Am Nexus den speed auf auto stellen geht nicht. Ich muss entwender auf 1000 oder 10000 stellen.
Mitglied: Ueba3ba
Ueba3ba 23.01.2022 aktualisiert um 16:38:12 Uhr
Goto Top
So, Änderungen am Nexus:

int vlan 10
mtu 1500

Nach dieser Änderung springt der Speedtest auf 40Mbps und dann rasch wieder auf 1.0 -- 0.25 Mbps

Ich kann es mir leider noch nicht erklären.

Am Catalyst läuft alles wie es soll. Nur am Nexus nicht.
Ich werde den Gedanken nicht los das es an QoS hängt. Auch wenn ich von Qos Config noch keine Ahnung habe und ja eigentlich nichts mit Qos konfiguriert ist/wurde habe.
Mitglied: aqui
aqui 23.01.2022 um 18:11:14 Uhr
Goto Top
Also mein Notebook ist direkt mit der frite über wlan verbunden
WLAN ist nie "direkt" aber OK der Unterschied in der Bandbreite ist ja deutlich. Kabel wäre besser wegen Äpfel und Birnen...
Gut, dann wird ja am Port 1/14 vermutlich auch Internet Speed herrschen so das die ASA dann raus ist.
Catalyst dann ebenso wenn du dort L3 zw. Test VLAN und ASA machst.
Soll der Catalyst dann zentral das L3 Routing der VLANs machen ? Oder der Nexus ?
MTU ist, denke ich, auf 1500 eingestellt.
Denken oder wissen ?? ;-) face-wink
Wichtig ist die L2 Port MTU (show int) und L3 MTU. OK, letztere ist 1500 was erstmal gut ist.
Machst du den Nexus Test wenn dieser isoliert ist ? Sprich nur er ist als L3 Device da. Catalyst und Server abgezogen.
Wichtig ist diesen Check erstmal mit einer isolierten Maschine zu testen also nur beide VLANs, ASA und Test PC. Nur im Side effects zu verhindern.
Mitglied: Ueba3ba
Ueba3ba 23.01.2022 um 18:31:51 Uhr
Goto Top
WLAN ist nie "direkt" aber OK der Unterschied in der Bandbreite ist ja deutlich. Kabel wäre besser wegen Äpfel und Birnen...

Ja..

Gut, dann wird ja am Port 1/14 vermutlich auch Internet Speed herrschen so das die ASA dann raus ist.

Das kann ich so nicht beantworten. Aber an der ASA liegt es nicht, da es ja mit der ASA und dem Cataylst funktioniert.

Catalyst dann ebenso wenn du dort L3 zw. Test VLAN und ASA machst.
Genau so ist es.

Soll der Catalyst dann zentral das L3 Routing der VLANs machen ? Oder der Nexus ?
Naja, ich hab mir den Nexus extra für diesen Zweck angeschafft. Er soll L3 Routing machen.
Würde nur ungerne den Catalyst Routing machen lassen. Ich will im Lab so Praxis nahe arbeiten wir nur möglich.

MTU ist, denke ich, auf 1500 eingestellt.
Denken oder wissen ??

Ich weiß es. Habe es nachträglich konfiguriert.

int vlan 10
mtu 1500

OK ist die L3 MTU.

Die L2 MTU müsste ich noch prüfen. Aber heute Abend nicht mehr. Der Lärm ist auf Dauer sehr anstrengend.

Machst du den Nexus Test wenn dieser isoliert ist ? Sprich nur er ist als L3 Device da. Catalyst und Server > > abgezogen
Wichtig ist diesen Check erstmal mit einer isolierten Maschine zu testen also nur beide VLANs, ASA und Test > PC. Nur im Side effects zu verhindern.

Ja. Beim testen ist nur der Nexus und die ASA an. Ein Client ist dabei am Nexus angeschlossen.
Sonst könnt ich nicht den Speedtest durchführen.
Mitglied: Ueba3ba
Ueba3ba 24.01.2022 um 15:49:39 Uhr
Goto Top
Ich werde die ASA später mal in das Vlan 30 packen und es nochmal testen.
Die MTU schau ich mir noch mal genau an. Sollte aber passen.

Dann bin ich aber mit meinem Latein am ende.
Mitglied: aqui
aqui 24.01.2022 um 16:16:54 Uhr
Goto Top
Was auch nochmal Sinn macht ist mal 2 IPerf3 Testrechner in die 2 VLANs an einem nackten Nexus zu klemmen und dann mal dort checken.
Normal sollte der da Wirespeed machen....
Mitglied: Ueba3ba
Ueba3ba 24.01.2022 um 16:19:14 Uhr
Goto Top
Wird gemacht. Danke.
Mitglied: Ueba3ba
Ueba3ba 25.01.2022 um 18:23:02 Uhr
Goto Top
Servus, habe nun mit IPerf getestet:

Bei dem ersten Test ist ein PC am Nexus mit 10Gbit im vlan 30
und der zweite mit 1Gbit am Catalyst im vlan 100

Ergebnis:
img_1329.
img_1330.

Beim Zweiten Test ist der erste PC auch am Nexus mit 10Gbit im vlan 30
und der zweite PC mit 1Gbit am Catalyst auch im vlan 30

Ergebnis:
img_1331.
img_1332.

Also: Sobald beide Rechner im selbe vlan sind, bekomme ich die volle mögliche Geschwindigkeit.
Wie kann das sein??

Mein L3 Modul am Nexus wird zwar als offline angezeigt:


Aber inter-vlan-routing funktioniert. hmm??

Eine Lizenz ist auch eingespielt:



Jemand eine Idee???
Mitglied: Ueba3ba
Ueba3ba 25.01.2022 aktualisiert um 19:56:59 Uhr
Goto Top
Komisch ist auch das ab der Software-Version n5000-uk9.7.2.0.N1.1 kein inter-vlan-routing mehr klappt.
Erst bei Version n5000-uk9.7.1.0.N1.1a und abwärts funktioniert das inter-vlan -routing wieder.

Da hab ich nun 700Euro fürn Switch+L3 Modul gezahlt, und nix funktioniert wie es soll.

Oder ich bin einfach zu blöde..
Ich werd noch verrückt....
Mitglied: Ueba3ba
Ueba3ba 25.01.2022 um 20:12:43 Uhr
Goto Top
Beim booten erscheint folgende Meldung:

login: 2022 Jan 25 18:50:33 switch %$ VDC-1 %$ %PFMA-2-MOD_BTCM_DOWN: L3 Module is down due to BTCM down

Scheint für mich der Grund zu sein, weshalb das L3 Modul offline angezeigt wird.

Hat jemand eine Idee dazu??
Mitglied: aqui
aqui 26.01.2022 aktualisiert um 10:28:54 Uhr
Goto Top
L3 Module is down due to BTCM down
Ja, das ist böse ! Damit ist die L3 Daughter Card ohne Funktion. Das erklärt alles !
https://www.cisco.com/c/en/us/products/collateral/switches/nexus-5000-se ...
Hast du eine Base L3 Software bzw. Lizenz installiert ?!
Wenn du nach der Fehlermeldung suchst gibts diverse Threads.
Mitglied: Ueba3ba
Ueba3ba 26.01.2022 um 11:24:00 Uhr
Goto Top
Es ist eine lan_enterprise_service Lizenz. Hab ich vom Support bei Cisco via email bekommen. Die Lizenz steht aber auch oben, in meinem vorherigen Beitrag. Ich kämpfe schon seit mehr als 6 Wochen mit diesem Problem. Im Cisco Forum hab ich rauf und runter gelesen. Ohne Erfolg. Alles befolgt was da steht. Oder ist Beine vorhandene Lizenz keine L3 Lizenz??
Mitglied: aqui
aqui 26.01.2022 um 11:31:12 Uhr
Goto Top
Hab ich vom Support bei Cisco via email bekommen.
Dann ist das Teil unter Wartung ?? Wäre gut...
Mache dann in jedem Fall einen TAC Case auf bei Cisco mit der Fehlermeldung !
Fakt ist ja das die L3 Daughter Card nicht rennt und das dein Problem verursacht. Das kann ein Microcode Mismatch der Daughter Card sein, Defekt oder was auch immer.
Solange die nicht saube rim System rennt bleibt dein Problem bestehen.
Mitglied: Ueba3ba
Ueba3ba 26.01.2022 um 11:32:53 Uhr
Goto Top
Ich ab jetzt schon ein paar mal gelesen, das die Lizenz im Modul vorhanden sein soll.
Nur im Front L3 Modul? Oder auch im back L3 Modul.

Weis das wer??
Es scheint also das ich die BASE_LAN Lizenz benötige. Richtig?
Mit der LAN_ENTERPRISE_SERVICE scheint es nicht zu funktionieren.

Wundert mich nur, das inter-vlan-routing funktioniert.
Mitglied: aqui
aqui 26.01.2022 um 11:38:59 Uhr
Goto Top
Es scheint also das ich die BASE_LAN Lizenz benötige. Richtig?
Das ist richtig !
Mitglied: Ueba3ba
Ueba3ba 26.01.2022 um 11:56:17 Uhr
Goto Top
Danke aqui. Sag mal, wird die mich was kosten, oder meinste ich bekomme die einfach so von Cisco??
Mitglied: Ueba3ba
Ueba3ba 26.01.2022 um 12:18:53 Uhr
Goto Top
aqui, schau mal:

Das ist meine Lizenz bei Cisco. Da steht ,,for Layer 3"

cisco1
cisco2
Mitglied: aqui
aqui 26.01.2022 um 12:31:18 Uhr
Goto Top
Stimmt. Müsste aber jetzt selber mal in den 5500er Hardware Installation Guide sehen was die Anforderungen für die Daughter Card sind. Hatte lange keinen Nexus mehr in den Fingern... ;-) face-wink
Mitglied: Ueba3ba
Ueba3ba 27.01.2022 um 11:20:52 Uhr
Goto Top
Also.

Scheinbar muss ich es anders angehen.

L3 Modul ausbauen und das L2 wieder rein.
Dann Software, in meinem Fall, downgraden auf 5.0(3)N1(1b)

Siehe hier: https://www.cisco.com/c/en/us/td/docs/switches/datacenter/nexus5000/sw/r ...

Und hier:
https://cciedatacentre.blogspot.com/2013/01/n5k-layer-3-daughter-card-of ...

Dann das Modul L3 Modul wieder rein.

Ich werde das nach der Arbeit erledigen und berichten.
Mitglied: aqui
aqui 27.01.2022 aktualisiert um 11:30:45 Uhr
Goto Top
Was du auch nochmal machen kannst, falls nicht schon geschehen, ist das du die Memberports der routenden VLANs auf eine gemeinsame Portgruppe legst. Also Ports die immer innerhalb des L3 Moduls liegen und NICHT über die Backplane in andere Portgruppen ASICs gehen müssen von Portgruppe zu Portgruppe. Ggf. macht das noch einen Unterschied. Knackpunkt ist aber sicher die nicht aktive Daughtercard.
Ich werde das nach der Arbeit erledigen und berichten.
Wir sind gespannt ! Und...vergiss die Ohrstöpsel nicht !! 😉
Mitglied: Ueba3ba
Ueba3ba 27.01.2022 um 19:58:58 Uhr
Goto Top
Kurze Info:

Hab das L3 Modul ausgebaut und das L2 Modul eingebaut.

NX-OS 5.0.3.N2.2b und die LAN_BASE_SERVICE Lizenz installiert und den Nexus ausgeschaltet.

L2 Modul wieder raus und L3 Modul rein.

Siehe da:

ein ,,show module,, zeigte mir dann das Module ls ,,powered-up,,

Ist ja schon mal sehr gut.

1 Sekunde später:

Und der Nexus startet neu, der login Prompt erscheint, kurz danach das selbe.

Immer und immer wieder.

Installiere eben NX-OS 7.0.0.N1.1

Mal sehen ob es am OS liegt.
Mitglied: aqui
aqui 27.01.2022 um 20:05:31 Uhr
Goto Top
Ist ja schon mal sehr gut.
Perfekt ! 👍
Installiere eben NX-OS 7.0.0.N1.1
Ja beim Nexus immer das Recommendet:
https://www.cisco.com/c/en/us/td/docs/switches/datacenter/nexus5500/sw/r ...
Mitglied: Ueba3ba
Ueba3ba 27.01.2022 um 21:26:19 Uhr
Goto Top
Danke aqui.

So:

,,n5000-uk9.7.3.8.N1.1.bin,, ist installiert.


Nexus aus, L2 Modul wieder raus und L3 Modul wieder rein.

Nexus an:


Geht immer noch nicht.

Erst alles ok. dann, nach einem:


wieder:

Neustart, dann wieder:

Hat nicht jemand einen Cisco 10Gbit SFP+ Switch günstig abzugeben????
Mitglied: Ueba3ba
Ueba3ba 27.01.2022 um 21:40:17 Uhr
Goto Top
Eben lese ich:


Ich hoffe jetzt das es wirklich auf die Reihenfolge drauf ankommt.
Die Interfaces hab ich halt nicht runter gefahren.

Das werde ich aber erst morgen testen.

GN8
Mitglied: aqui
aqui 28.01.2022 aktualisiert um 15:42:51 Uhr
Goto Top
feature interface-vlan
Aber nicht das du jetzt mit feature routing vergessen hast das Routing Plugin zu laden !! 😉 Bedenke das beim Nexus die Firmware modular ist !!
Internal Link Flap zeigt ja sehr wahrscheinlich einen HW Fehler. Mal sehen was der Test morgen ergibt ?! ;-) face-wink
Mitglied: Ueba3ba
Lösung Ueba3ba 28.01.2022 um 19:11:32 Uhr
Goto Top
Leider kein Erfolg gehabt.

Ich ordere ein neues L3 Modul und hoffe das dieses funktioniert.

In der zwischen zeit wird halt eben der Catalyst das Routing übernehmen.

Hab schon genug Zeit mit dem Nexus verschwendet und bin nicht wirklich mit meinen Projekten
voran gekommen.

Parallel wird für einen neue Switch gespart.


Danke an alle für ihre Beiträge.

Liebe Grüße
Mitglied: aqui
aqui 28.01.2022 aktualisiert um 21:30:51 Uhr
Goto Top
Wie per PM schon geschrieben ggf. mal nach Brocade/Extreme VDX 6740 (SFP) oder 6740T (Kupfer) auf dem Gebrauchtmarkt sehen. Da gibts keinen Stress mit Lizensierungen und Modulen.
CLI ist 100% Cisco, also problemlos von Cisco affinen ITlern zu konfigurieren und natürlich alles Wirespeed im L3. Außerdem sind die erheblich leiser als die Nexus. ;-) face-wink
Mitglied: Ueba3ba
Ueba3ba 28.01.2022 um 22:39:17 Uhr
Goto Top
Danke aqui....