Alta Utilização de CPU em um 7500

[Plinio Monteiro]

Olá amigos, uma dúvida apareceu hoje e queria compartilhar com vocês para que me ajudem….

Verifiquei hoje que em um roteador da série 7500 um alto consumo de CPU. Ao dar um debug mais detalhado percebi uma quantidade exagerada do seguinte evento:

May 6 23:44:08: ICMP: time exceeded (time to live) sent to 10.47.74.31 (dest was 10.47.71.200)
May 6 23:44:08: ICMP: time exceeded (time to live) sent to 169.254.74.98 (dest was 10.31.41.2)
May 6 23:44:08: ICMP: time exceeded (time to live) sent to 10.47.74.31 (dest was 10.47.71.143)
May 6 23:44:08: ICMP: time exceeded (time to live) sent to 10.47.65.75 (dest was 10.47.6.50)
May 6 23:44:09: ICMP: time exceeded (time to live) sent to 10.47.74.31 (dest was 10.47.6.158)

Então, fiz um bloqueio via ACL para os IPs, logo o consumo caiu de 50% para 9% (que é a média de consumo fora do horário de pico).

Gostaria de saber se vocês já passaram por algo parecido e qual a origem disso? Vírus nas máquinas, o que poderá ser?

Valeu.

[Rodrigo C. Soave]

Plinio,primeiramente acho que voce foi muito corajoso em dar um debug, ja que isso poderia ter acabado de vez com seu roteador e parado ele de vez!! 🙂

O que pode estar acontecendo é variavel, um virus, um bot, algum programa ou usuario malicioso, etc.

O que acontece é que pacotes icmp sao lidados pela CPU da RP no 7500, entao para que isso seja mitigado, recomendo voce verificar a feature control plane policing, limitando o numero de pacotes processados pela CPU da RP.

Da proxima vez, de o comando sh proc cpu sorted | exc 0.00 e verifique qual processo esta consumindo mais cpu antes de dar algum debug.

Links para consulta:

Troubleshooting High CPU: http://www.cisco.com/en/US/products/hw/routers/ps359/products_tech_note09186a00801c2af0.shtml
http://www.cisco.com/en/US/products/hw/routers/ps359/products_tech_note09186a00801c2af6.shtml
http://www.cisco.com/en/US/products/hw/routers/ps359/products_tech_note09186a00801c2af3.shtml

CoPP: (Control Plane Policing) http://www.cisco.com/en/US/docs/ios/12_3t/12_3t4/feature/guide/gtrtlimt.html
http://www.cisco.com/en/US/prod/collateral/iosswrel/ps6537/ps6586/ps6642/prod_white_paper0900aecd804fa16a.html

Abraços.

[jorge.ff]

Como o Rodrigo disse sempre que for usar o comando debug é sempre bom (senão altamente recomendável) usar comando show process e dar uma olhada na carga de cpu usada ……. senao me engano a cisco recomenda nao usar o debug se a carga de cpu estiver acima de 60 % , me corrijam se eu estiver errado .

Jorge

[Autor]

Posts