华为技术培训教程-ME60产品故障处理.ppt

ME60产品故障处理,ISSUE 1.0,Page 1,培训目标,学完本课程后，您应该能： 掌握故障处理的思路 掌握常见故障的可能原因及处理方法,Page 2,目 录,设备故障处理简介 ME60 一般故障处理 典型故障案例分析,Page 3,日常设备故障处理步骤,故障信息收集,故障定位,故障排除,Page 4,目 录,一般故障处理 1.1 故障信息收集 1.2 故障定位 1.3 故障排除,Page 5,故障信息收集,WHO,WHAT,WHEN,故障信息收集,全方位，多角度收集,Page 6,Who? 谁出了问题？,是某个用户 还是 多个用户？ 用户类型是什么？PPP、L2TP、DHCP。？ 某个VLAN下用户故障？某个端口下用户故障？某块单板下用户故障？还是某个设备下用户故障？ 关键在于确定故障的范围！,Page 7,What? 是什么问题？,是不能上线 还是 不能上网？ 是访问DNS失败 还是 打开网页失败？ 是不能访问所有网站 还是 不能访问部分网站？ 是完全不能访问 还是 上网慢？ 关键在于确定故障的现象！,Page 8,When? 何时产生的？,是间歇性 还是 持续发生？ 发生时间有无规律？ 关键在于确定故障的时间！,Page 9,举例,满足要求的故障信息收集： 某设备的GE1/0/0下全部 PPP用户出现不能上线的问题，在晚上的9：00故障出现，目前还未恢复。 某设备下的全部 DHCP用户不能打开部分网站的网页，如，DNS解析正常；ppp用户可以打开所有网站的网页；该现象从上行链路割接到A设备后出现，目前还未恢复。,Page 10,目 录,一般故障处理 2.1 故障信息收集 2.2 故障定位 2.3 故障排除,Page 11,故障定位,故障定位即从众多可能的原因中找出故障成因的过程， 它通过一定的方法或手段分析、比较各种可能的故障成因，不断排除可能因素，最终确定故障发生的具体原因,Page 12,故障定位,常用的故障定位的方法有： 故障原始信息分析 告警信息分析 指示灯状态分析 仪器仪表辅助分析 性能统计辅助分析 测试活动辅助分析（如环回操作、对比/互换、倒换/复位）,Page 13,常用故障定位工具介绍,Ping,Tracert,Display,Debugging Trace,Reset,故障定位工具,Page 14,Ping 命令,ping -a source-ip-address | -c count | -s packetsize | -t timeout * host -a source-ip-address：设置发送ICMP Echo Request报文的源IP地址。 -c count：设置发送ICMP Echo Request报文的次数，缺省值为5。 -s packetsize：设置发送ICMP Echo Request报文的长度（不包括IP和ICMP报文头），以字节为单位，缺省值为56。 -t timeout：设置ping报文的超时时间，缺省值为2000ms。,Page 15,Tracert 命令,tracert利用IP报文的TTL域每经过一个路由器转发后减一，当TTL0时向源节点报告TTL超时这个特性实现。 首先发送一个TTL为1的UDP报文，因此第一跳发送回一个ICMP错误消息，明此数据报不能被发送； 之后再发送一个TTL为2的报文，在第二跳返回TTL超时，这个过程不断进行，直到到达目的地； 在目的地，由于数据报中使用了无效的端口号（缺省为33434），目的主机会返回一个ICMP目的地不可达消息，该tracert操作结束。,Page 16,Tracert 命令参数介绍,tracert -a source-ip-address | -f first-TTL | -m max-TTL | -p port | -q nqueries | -w timeout * host -a source-ip-address：设置tracert报文的IP地址。 -f first-TTL：设置初始TTL。 -m max-TTL：设置最大TTL。 -p port：设置的主机的端口号，一般无须更改此选项。 -q nqueries：设置每次发送的探测数据包的个数。 -w timeout：设置报文的超时时间，单位是秒。 host：目的主机的IP地址。,Page 17,Display 命令,display命令是网络维护和故障处理的重要工具 。 display命令中的正则表达式 查看版本信息使用display version命令 查看配置信息 display current-configuration命令用来查看当前的配置信息。 display saved-configuration命令用来查看存储设备中 查看接口信息 可以使用命令display ip interface。 display diagnostic-information命令是多条display命令的集合,Page 18,检查设备状态,查看系统告警 使用display trapbuffer 命令查看系统内存中的告警信息 查看系统日志 使用display logbuffer命令查看操作日志，确定是否有非法操作 检查补丁 使用 display patch-information all 命令查看补丁情况。某些版本已经发现的问题可能已经在对应版本的补丁中解决，如果发现问题应当检查对应版本是否发布过相应问题的补丁，同时查看设备是否已经安装了相应的补丁程序。 其它 使用display cpu-usage 命令查看系统CPU利用率，确定系统是否运行正常,Page 19,检查设备状态,其他 使用display version命令查看系统开机工作持续时间，该项记录了系统复位或启动以来的时间，这样有利于问题定位。 使用display temperature slot 检查单板温度。 使用display power 检查电源运行状态。 使用display fan 检查风扇运行状态。 使用display voltage slot 检查单板电压状态。 使用display device 检查单板工作状态。 使用display alarm all 检查当前系统告警信息。,Page 20,检查配置信息,使用display current-configuration 检查系统的全部配置数据。可以通过将当前配置数据和备份数据进行比较发现定位问题。 使用display ip routing查看路由信息。,Page 21,检查配置信息,使用display saved-configuration查看保存的配置信息。 使用display domain查看域配置信息。 使用display radius-server configuration查看Radius状态。,Page 22,使用调试工具,打开某个模块调试开 debugging modulename 打开终端显示调试信息功能 terminal debugging 打开终端显示信息中心发送的调试/日志/告警信息功能 terminal monitor undo terminal monitor命令关闭调试信息输出开关时，所有模块的调试信息均不送往控制台。,Page 23,使用调试工具,打开业务跟踪的调试开关 Quidwaytrace enable 创建跟踪对象 Quidwaytrace object 如果是系统创建跟踪对象成功，为所创建的对象生成一个 对象ID；如果是系统删除跟踪对象成功，返回提示信息。 undo trace object 命令用于删除跟踪对象。,Page 24,Reset 命令,根据所提供的功能，VRP平台的reset命令主要包括两类： 复位连接， 例如：reset bgp ipv4 all 清除统计信息 reset counters interface reset ip statistics,Page 25,Reset 步骤,首先使用reset命令清空统计值。 然后执行ping命令使路由器端口收发报文。 最后使用display命令查看统计值。,Page 26,目 录,ME60 一般故障处理 2.1 故障信息收集 2.2 故障定位 2.3 故障排除,Page 27,故障排除,故障定位后，排除故障的典型措施或步骤如下： 修改配置数据 检修线路 更换单板 倒换系统 复位单板,Page 28,目 录,设备故障处理简介 ME60 一般故障处理 典型故障案例分析,Page 29,常见故障业务,Page 30,常见故障业务,Page 31,IPOX业务故障处理,IPOX业务介绍 IP地址获取流程介绍 认证流程介绍 常见故障现象分析,Page 32,IPOX业务介绍,IPOX接入是指以ATM、Ethernet II或802.1Q协议和用户之间建立链路，以静态配置或DHCP（Dynamic Host Configuration Protocol）方式获取IP地址，以Web认证、快速认证、绑定等方式验证用户身份的接入方式。 IPOX接入方式中，ME60以VLAN或者PVC标识并严格隔离用户。,Page 33,IP地址获取流程介绍,静态用户的IP地址获取流程 静态用户的IP地址由用户指定，但需要在ME60上通过static-user命令进行配置，并且和客户端指定的IP地址保持一致，以通过报文一致性检查。,Page 34,IP地址获取流程介绍（续）,Web/快速/绑定认证用户的IP地址获取流程 (1) 用户计算机开机时，广播DHCP Discovery消息报文。 (2) ME60收到DHCP Discovery报文后，检查用户所在bas接口是否允许通过DHCP获取IP地址（即bas接口的认证方式中是否包含Web/快速/绑定认证中的一种）。 (3) 如果bas接口不允许通过DHCP获取IP地址，则分配IP地址失败；否则生成绑定格式的用户名到bas接口指定的认证前域进行认证，如果认证不通过，则分配IP地址失败，否则转(4)。,Page 35,IP地址获取流程介绍（续）,(4) ME60回应用户的DHCP Discovery消息报文。 (5) 用户发送DHCP Request消息报文。 (6) ME60判断根据用户所在bas接口指定的认证前域所引用的地址池是否为本地地址池。如果是本地地址池，转(7)，否则转(8)。 (7) ME60从本地地址池中直接选取一个地址，并连同地址租期等信息一起回应给用户，转(9)。 (8) ME60通过DHCP Relay功能将用户的DHCP请求转发给DHCP服务器，并将DHCP服务器的回应信息发送给用户。 (9) 用户获得具有一定租期的IP地址后，用户接入的链路建立。,Page 36,WEB认证和快速认证流程,Page 37,绑定认证流程,ME60收到用户的DHCP报文时，根据用户接入的bas接口信息自动生成用户名和密码，到用户所在bas接口指定的认证域进行认证。 认证通过后，ME60为用户分配IP地址，用户可以正常上网，ME60开始计费。 用户在线过程中，用户关机、断开网络或释放IP地址时，ME60删除用户的连接信息，停止计费。,Page 38,静态用户认证流程,ME60收到用户的ARP/IP报文或者ME60通过ARP探测到用户存在时，由ME60根据用户接入的bas接口信息自动生成用户名和密码，到bas接口指定的认证域或者认证前域进行认证。 认证通过后，用户可以正常上网，ME60开始计费。 用户在线过程中，用户关机，断开网络时，ME60删除用户的连接信息，停止计费。,Page 39,常见故障现象分析,用户无法获取地址 无法打开Web认证页面 认证无法通过 用户异常断线等,Page 40,检查要点,WEB服务器,认证前/时域,BAS接口配置,地址池配置,DHCP服务器,交换机配置,UCL/ACL,Page 41,用户无法获得IP地址分析,BAS接口接入类型配置错误 用户认证前域认证失败 打开DHCP调试开关后，只能收到用户的DHCP Discovery报文，没有任何后续报文。 IP地址池不存在 打开DHCP调试开关后，只能收到用户的DHCP Discovery报文，没有任何后续报文。 地址池无空闲地址 打开DHCP调试开关后，只能收到用户的DHCP Discovery报文，没有任何后续报文：,常见原因,Page 42,使用调试工具,DHCP调试命令包括DHCPS（DHCP Server Module）、DHCPC（DHCP Client Module）、DHCPR（DHCP Relay Module）三个模块的命令，分别负责DHCP服务器消息、DHCP客户端消息、DHCP Relay消息。 debugging dhcpc/dhcpr/dhcps packet terminal monitor terminal debugging WEB调试工具 debugging web packet terminal monitor terminal debugging Radius调试工具 debugging radius packet terminal monitor terminal debugging,Page 43,使用调试工具,业务跟踪 Quidwaytrace enable Quidway trace object mac-address 0006-5B68-172D output file cfcard:/20070727trace.txt,Page 44,使用命令查询,查看认证前域 Quidwaydisplay domain name default0 Domain-name : default0 Domain-state : Active Domain-type : Normal domain Authentication-scheme-name : default0 Accounting-scheme-name : default0 User-group-name : 1,Page 45,使用命令查询, Web-server-IP-address : 192.168.7.253 Web-URL : - Web-server-work-mode : GET Dns-IP-address : - Queue-profile-name : - IP-address-pool-name : temp TimeRange-Qos : Disabled,Page 46,使用命令查询,查看认证域 Quidwaydisplay domain name isp Domain-name : isp Domain-state : Active Domain-type : Normal domain Authentication-scheme-name : auth1 Accounting-scheme-name : acct1 User-group-name : 2 IP-address-pool-name : huawei,Page 47,使用命令查询,查看BAS接口信息 Quidwaydisplay bas-interface GigabitEthernet 2/0/1.1 Access type : Layer2-subscriber BASIF state : Updated BASIF name : - Pre-authentication default domain : default0 Authentication default domain : isp Replace authentication domain forcibly : none Roam domain : default1 Accounting copy RADIUS server : - Authentication method : web ,Page 48,使用命令查询,查看地址池 Quidwaydisplay ip pool name huawei Pool-Name : huawei Pool-No : 0 Lease : 3 Days 0 Hours 0 Minutes DNS-Suffix : - Primary-DNS : - Secondary-DNS : - Primary-NBNS : - Secondary-NBNS : - Position : Local Status : Unlocked Gateway : 172.16.0.1 Mask : 255.255.255.0 - ID start end total used idle conflicted disable - 0 172.16.0.2 172.16.0.10 9 0 9 0 0 -,Page 49,使用命令查询,查看认证策略 Quidwaydisplay authentication-scheme auth1 Authentication-scheme-name : auth1 Authentication-method : RADIUS Authentication-super method : Super authentication-super Authentication-fail-policy : Offline Authentication-fail-domain : -,Page 50,使用命令查询,查看计费策略 Quidwaydisplay accounting-scheme acct1 Accounting-scheme-name : acct1 Accounting-method : RADIUS Realtime-accounting-switch : Disabled Realtime-accounting-interval(min) : - Start-accounting-fail-policy : Offline Realtime-accounting-fail-policy : Online Realtime-accounting-failure-retries : 3,Page 51,强制WEB失败,直接输入web服务器的地址,可以访问,不可以访问,是否是DNS原因（输入IP是否强制）,认证前默认域是否配置了web认证服务器,web认证服务器是否允许用户认证前访问,web认证服务器配置,上行路由是否正确可达,ACL是否正确配置,Page 52,强制WEB失败分析,常见原因,没有指定强制Web认证服务器 没有配置相应的ACL Web认证服务器不可达 DNS服务器不可用 Web服务器配置错误,Page 53,处理建议一,用户获取地址后直接在浏览器中输入Web认证服务器的地址，检查是否能打开Web认证的页面，如果不能则有可能错误原因：,Page 54,处理建议二,如果可打开Web认证页面，则在浏览器中随意输入一个IP地址（如1.1.1.1），检查是否可以重定向到Web认证页面，如果不能则可能有可能是：,Page 55,处理建议三,如果在（处理建议二）中可以重定向到Web认证服务器，则在IE中输入一个域名（如），检查是否可以重定向到Web认证页面，如果不能则可能是DNS服务器不可达或不可用，可更换DNS服务器测试。,Page 56,无法通过WEB认证,WEB服务器配置错误，未发送认证请求 radius 上不存在该帐号/帐号封死 radius上做了位置绑定,与实际情况不符合 radius上配置的NAS地址不正确 设备和radius的密钥不一致 到radius的路由不通 radius下发数据不附合设备的定义,常见原因,Page 57,静态用户无法上线分析,查看地址池中是否除去了静态用户地址 使用display current-configuration 命令查看,处理方法,Page 58,常见故障业务,Page 59,PPPOX业务故障处理,PPPOX业务介绍 PPPOX业务接入流程 常见故障现象分析,Page 60,PPPOX业务介绍,PPPoX接入是指通过PPPoX虚拟拨号方式在ME60与用户之间建立点到点的连接，使用PAP或CHAP方式验证用户身份，通过PPP（Point-to-Point Protocol）协商获取IP地址的接入方式。 ME60中，PPPoE和PPP（Point-to-Point Protocol）属于不同的功能项。ME60内置了PPPoE服务器和PPP服务器。,Page 61,PPPOX业务介绍,PPPoE服务器用于建立用户和ME60之间的会话（Session），终结用户的PPPoE报文，从中取出相应的PPP报文发送给PPP服务器，或者将PPP服务器的PPP报文进行PPPoE封装后发送给用户。 PPP服务器则在PPPoE会话建立后，或者PPPOA直接在相应的链路上和用户进行PPP协商，分配IP地址，验证用户身份，完成用户的接入认证过程。此时ME60的作用是BAS（Broadband Access Server），在认证后终结用户的PPP报文，取出相应的IP报文进行转发，或者将发送给用户的IP报文进行PPP封装后交给PPPoE服务器处理。,Page 62,PPPOE接入流程,Page 63,常见故障现象,用户认证无法通过 用户无法获取地址 用户异常断线等。,注意： 1、PPPoE上线包括Discovery阶段、LCP（Link Control Protocol）协商 阶段、验证阶段及IP地址分配阶段，任何一步失败都可能导致用户上线失败。所以PPPoE业务失败时，可通过调试信息或业务跟踪的信息检查哪个阶段失败。 2、使用调试命令或业务跟踪信息前，首先应确认ME60数据配置是否正确。,Page 64,检查要点,Page 65,使用调试工具,Quidwaytrace enable Quidway trace object mac-address 0000-0000-0001 output file cfcard:/ppp.txt,Page 66,使用命令查询,display current-configuration | begin 2/0/0.1 interface GigabitEthernet2/0/0.1 pppoe-server bind virtual-template 1 undo shutdown user-vlan 10 bas access-type layer2-subscriber default-domain authentication huawei,查询接口是否绑定了模板,Page 67,使用命令查询,显示用户上线失败原因 Quidwaydisplay aaa online-fail-record - User name : huaweiisp User MAC : 0050-04b4-604c User access type : PPPoE User access interface : Ethernet2/0/0.1 User access Vlan : 10 User IP address : 255.255.255.255 User ID : 13 User authen state : Authened User acct state : AcctIdle User author state : AuthorIdle User acct sessionID: Quidway0200000000001078658200013 User login time : 2005/11/18 15:29:13 User online fail reason: Radius authentication send fail -,Radius认证服务器通讯故障,Page 68,使用命令查询,Radius认证服务器拒绝,显示用户上线失败原因 Quidway-aaa-domain-huaweidis aaa online-fail-record - User name : huaweihuawei User MAC : 0050-04b4-604c User access type : PPPoE User access interface : Ethernet2/0/0.1 User access Vlan : 10 User IP address : 255.255.255.255 User ID : 15 User authen state : Authened User acct state : AcctIdle User author state : AuthorIdle User acct sessionID: Quidway020000000000100d286a00015 User login time : 2005/11/18 15:35:35 User online fail reason: Radius authentication reject,Page 69,使用命令查询,显示用户下线原因 Quidwaydisplay aaa offline-record User name : huaweiisp User MAC : 0050-04b4-604c User access type : PPPoE User access interface : Ethernet2/0/0.1 User access Vlan : 10 User IP address : 172.16.0.2 User ID : 10 User authen state : Authened User acct state : AcctIdle User author state : AuthorIdle User acct sessionID: Quidway02000000000010899f1b00010 User login time : 2005/11/18 14:23:30 User offline time : 2005/11/18 14:24:10 User offline reason: PPP user request,用户请求,Page 70,使用命令查询,显示某端口在线用户 Quidwaydisplay access-user interface GigabitEthernet2/1/1 - UserID Username Interface IP address MAC - 35 userppp Eth2/1/1 172.171.0.10 0000-0000-0001 - Total 1,Page 71,常见问题,为什么拔号时显示找不到服务器？ 用户进行PPPoE拔号时，拔号器提示找不到服务器（Windows XP自带的PPPoE拨号器提示错误678：远程计算机没有反应），这表示客户端发出PADI（PADM-Initialization）报文时没有收到PADO（PADM-Offer）响应。可能的原因如下。 ME60上bas接口接入类型配置错误 bas接口认证方法配置错误 接口没有绑定虚模板 二层网络中断 ATM的封装格式不对(snap和vcmux) PPPOEOA时PVC没有绑定VE或者VE下没有VT 所在BAS接口是否UP PPPOA时PVC下没有绑定VT,Page 72,常见问题,二层网络中断的典型现象如下（打开PPPoE/PPP调试开关和业务跟踪功能）。 用户进行PPPoE拨号时，ME60收不到任何报文。 用户进行PPPoE拨号时，ME60收到PADI报文，并已经响应了PADO报文，但是收不到用户的PADR（PADM-Request）报文。 此时请检查二层网络物理联接是否正常、VLAN划分是否正确，必要时可以在二层网络的设备上截取报文进行分析。,Page 73,PPP Radius认证失败,打开RADIUS调试开关，检查是否能够收到RADIUS认证报文，如果不能则说明不是RADIUS故障. 常见的AAA错误包括用户名或密码错误、用户名未激活、用户名不存在、域未激活等。对应以上每种原因，通过业务跟踪功能都可以看到对应的提示，常见的AAA业务跟踪信息格式如下。 -2007/7/27 13:41:27-AAA0006-5ba6-df2c:Receive authentication ack from LAM successfully(UserID = 42, Result = Failure, Fail reason = User not exist),Page 74,目 录,设备故障处理简介 ME60 一般故障处理 典型故障案例分析,Page 75,故障案例,某局新开局使用：DLASM-ME60-路由器组网结构，DLASM下面有PPP拨号用户和VLAN绑定用户，用户VLAN绑定用户无法正常上网。,Page 76,收集故障现象,故障申告所有VLAN绑定用户无法正常上网，PPP拨号用户正常。,Page 77,故障分析,所有绑定用户都无法正常上网，说明可能是物理上出现问题或是数据配置问题。 PPP拨号用户正常，说明从DLASM到ME60物理连接正常。 VLAN绑定用户无法正常上网，需要从DLSAM侧开始判断。,Page 78,接口UP说明物理连接没有问题,链接协议也是UP,查看数据,查看ME60接入端口状态 display interface GigabitEthernet 2/0/0.1 GigabitEthernet2/0/0.1 current state: up Line protocol current state: up,Page 79,查看数据,查看ME60接入端口配置 Quidwayinterface GigabitEthernet2/0/0.1 Quidway-GigabitEthernet2/0/0.1display this # interface GigabitEthernet2/0/0.1 user-vlan 10 bas access-type layer2-subscriber default-domain authentication isp authentication-method bind #,用户所属VLAN10检查于DSLAM是否匹配,Page 80,查看数据,确保DLSAM数据匹配的后检查接口引用的域配置 Quidwaydisplay domain name isp Domain-name : isp Domain-state : Active Domain-type : Normal domain Authentication-scheme-name : auth1 Accounting-scheme-name : acct1 Authorization-scheme-name : - RADIUS-server-group : rd1 . IP-address-pool-name : pool1 TimeRange-Qos : Disabled,重点关注红色 部分内容,上述部分发现该域使用的是RADIUS认证,并且引用POOL1的地址池,Page 81,查看数据,查看认证策略及计费策略是否正确 Quidwaydisplay authentication-scheme auth1 Authentication-scheme-name : auth1 Authentication-method : RADIUS Authentication-super method : Super authentication-super Authentication-fail-policy : Offline Authentication-fail-domain : - Quidwaydisplay accounting-scheme acct1 Accounting-scheme-name : acct1 Accounting-method : RADIUS Realtime-accounting-switch : Disabled Realtime-accounting-interval(min) : - Start-accounting-fail-policy : Offline Realtime-accounting-fail-policy : Online Realtime-accounting-failure-retries : 3,说明认证和计费策略正确,Page 82,查看数据,查看Radius服务器是否UP Quidwaydisplay radius-server configuration WY-R1-YY-radius-testdisplay radius-server configuration RADIUS no response packet count : 10 RADIUS auto recover time(Min) : 3 - Server-group-name : rd1 Authentication-server: IP:192.168.7.253 Port:1812 Weight0 UP Vpn: - Authentication-server: - Accounting-server : IP:192.168.7.253 Port:1813 Weight0 UP Vpn: -,Radius服务器UP,Page 83,查看数据,查看是否是地址池设置问题 Quidwaydisplay ip pool pool1 Pool-Name : pool1 Pool-No : 0 Lease : 3 Days 0 Hours 0 Minutes Position : Local Status : Unlocked Gateway : 172.16.1.1 Mask : 255.255.255.0 Vpn instance : public vpn-instance - ID start end total used idle conflicted disable - 0 172.16.1.2 172.16.1.100 99 0 99 0 0 -,地地池OK,Page 84,查看数据,综上查询发现ME60的数据配置基本没有问题，由于VLAN bind认证是在Radius上完成的，怀疑Radius上的设置有问题。打开Radius的debug开关查看故障： *Nov 21 11:35:34 2005 Quidway RDS/8/debug2: Radius Sent a Packet Server Template: 0 Server IP : 192.168.1.251 Protocol: Standard Code : 1 Len : 288 ID : 39 User-name(1) 28 Quidway-02000000000010isp Password 18 64cf4bca5d17bc8898938b8577b3c247 NAS-Port(5) 6 33554442 NAS-IP-Address(4) 6 192.168.1.1 Service-Type(6) 6 2 Fra