XG-7100 an einem Carrier-Demarc ADVA FSP150CP: Link steht, es kommt nie etwas zurück, SFP-LED rot
Kleines Büro, eine gemietete Standleitung, und der Carrier hat sie auf einem ADVA FSP150CP terminiert, der an der Wand des Verteilerschranks hängt. Meine Aufgabe ist es, unseren eigenen Router auf diesen Circuit zu bringen, statt einen vom Carrier zu mieten, also geht der ix0-SFP+-Port eines Netgate XG-7100 direkt in den Access-Port des ADVA.
- Netgate XG-7100, WAN auf ix0
- ADVA-FSP150CP-Demarc, installiert und konfiguriert vom Carrier, kein Login für uns
- drei verschiedene 1G-Optiken am Router-Ende ausprobiert
- LC-Patchkabel von den Installateuren dagelassen
Der Router ist überzeugt, einen Link zu haben. Der Demarc nicht:
ix0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> mtu 1500
media: Ethernet autoselect
status: active
# tcpdump -ni ix0
ARP, Request who-has <gateway> tell <wan address>, length 28
ARP, Request who-has <gateway> tell <wan address>, length 28Die Output-Zähler steigen, die Input-Zähler stehen bei null, und im Mitschnitt taucht nie etwas auf, das wir nicht selbst geschickt haben. Die SFP-LED am ADVA bleibt rot, egal welches Modul ich in den Router stecke.
Bisher versucht:
- alle drei Optiken nacheinander, keine Änderung an der roten LED
- Patchkabel getauscht und gereinigt
- der Carrier-Support sagt, der Circuit teste sauber bis zum Demarc, und dort endet ihre Zuständigkeit
Welches Modul will diese Box eigentlich, und sagt mir eine rote SFP-LED, dass meine Optik falsch ist, oder dass ihr Port für etwas ganz anderes provisioniert ist?
Comments 6
Deine eigenen Zähler haben dir schon gesagt, auf welche Seite der Faser du schauen musst, also fang dort an statt bei einem vierten Modul. Output steigt, Input liegt flach bei null, im Mitschnitt ist außer deinem eigenen ausgehenden ARP nichts drin. Auf deiner Empfangsfaser kommt schlicht nichts an. Genau so sieht ein Media-Mismatch von der Router-Seite aus: Dein Sendesignal verschwindet im Dunkeln, das Gegenende antwortet nie, und das Interface meldet trotzdem active, weil die lokale Seite mit dem zufrieden ist, was sie sehen kann.
Der Access-Port an einem FSP150CP wird vom Carrier für einen Medientyp provisioniert - Singlemode-Faser, Multimode-Faser oder RJ45 - und das Modul im Router muss zu diesem Fasertyp und dieser Wellenlänge passen. Rot an der SFP-LED heißt, die Box lehnt ab, was man ihr gegeben hat. Wenn sie ein Modul akzeptiert, steht die Rate-LED grün auf 1G, die beiden Lampen zusammen sind also dein Testergebnis.
Was das nicht ist: eine Vendor-Whitelist. Die Leute des Router-Herstellers selbst haben diesen Aufbau auf der Werkbank nachgestellt, mit einem ADVA 0061003008 im Demarc und gewöhnlicher Singlemode-1000BASE-LX-Optik im XG-7100, und es lief auch mit einem Metrodata S12W1310S010C15C und mit einem FS SFP1G-LX-31. 1G-Optik von Drittanbietern ist nicht das, was dich hier aufhält.
Der nächste sinnvolle Schritt ist also kein viertes Modul. Lass dir vom Carrier schriftlich geben, für welchen Medientyp dieser Access-Port provisioniert ist, und passe dann an. Vorgewarnt sei aber: Genau hier bleiben solche Fälle meistens hängen. Wenn sie die Box verschlossen halten und es dir nicht sagen, kaufst du Optiken und rätst, eine nach der anderen.
An der Box gibt es mehr als eine Lampe, die es sich zu lesen lohnt, und du hast bisher nur eine zitiert. Wenn der FSP150CP mit einem Modul zufrieden ist und der Port mit einem Gig läuft, wird die Rate-LED grün. Ist deine grün, gelb oder dunkel? Rot an der SFP-LED heißt, die Box sagt, Modul und Port-Einstellung passen nicht zusammen, das ist nicht dasselbe wie eine kaputte Optik.
Zweite Frage, und die entscheidet hier eigentlich alles: Wofür hat der Carrier diesen Access-Port provisioniert? Singlemode-Faser, Multimode-Faser oder RJ45 - und das Router-Ende muss genau das sein, was sie dir gegeben haben. Weißt du, welches der drei es ist?
Und welche Wellenlänge haben die drei Optiken, die du probiert hast? Auf dem Label steht normalerweise 850 nm oder 1310 nm, und das zählt deutlich mehr als die Marke, die daneben aufgedruckt ist.
Habe sie gefragt und bin durch die Ablehnung trotzdem fast bis zu einer Antwort gekommen.
Erst die Lampen, das war das Einzige, was ich ohne ihre Hilfe prüfen konnte. Die Rate-LED geht überhaupt nie an - dunkel, nicht gelb - während die SFP-LED bei jedem Modul rot bleibt. Und ich habe endlich die Labels gelesen statt der Marken: Alle drei Optiken sind 1310 nm Singlemode, eine davon ein einfaches 1000BASE-LX. Ich habe also denselben Test dreimal gefahren und es als drei Tests gezählt, was schon für sich eine Lehre ist.
Der Rest führte zu nichts. Sie geben die Konfiguration nicht raus, sie sagen nicht, wofür der Access-Port provisioniert ist, und als ich fragte, ob sie stattdessen den RJ45-Port freischalten könnten, damit wir die Faser ganz aus der Gleichung nehmen, wurde auch das abgelehnt. Die Box gehört ihnen, die Config gehört ihnen, Gespräch beendet.
Das Büro läuft jetzt also an einem vom Carrier gemieteten Router, genau das, was ich vermeiden wollte, und der XG-7100 liegt im Regal. Ich lasse das hier offen, falls jemand mit seinem eigenen Demarc weiter kommt als ich.
Gleiche Ecke, andere Carrier-Box, falls das tröstet. Wieder ein XG-7100, diesmal Faser in einen Adtran 5660, während ein Circuit von 100 Mbit auf ein Gig umgestellt wurde. Die Firewall-Seite meldete den Port als active und ausgehandelt auf 1000baseSX Vollduplex mit einem Ubiquiti UF-MM-1G drin. Der Adtran stand einfach nur auf DOWN/DOWN.
Das Medium fest eingestellt statt auf autoselect zu lassen:
Keine Änderung. Cisco- und Ciena-Optiken durchprobiert, keine Änderung. Auf einen neueren Entwicklungsbuild des Firewall-Images gewechselt, weil das jemand vorschlug, keine Änderung. Dieselbe Optik an derselben Faser hat auf Anhieb in einem UniFi-Switch gelinkt, das Modul war also nie das Problem, und der eigene Support des Carriers hatte auch nichts für uns.
Wir haben am Ende aufgegeben und einen UniFi-Switch im Pfad gelassen, der den Circuit über ein VLAN zwischen zwei seiner Ports weiterreicht, sodass der Adtran nur noch den Switch sieht. Firewall direkt zum CPE kam nie hoch, und ich kann dir bis heute nicht sagen, warum.
Lass mich den Punkt mit dem Medium konkret machen, denn "drei verschiedene Transceiver" ist sehr oft ein Test, der dreimal durchgeführt wurde.
850 nm gehört zu SR und zu Multimode-Glas; 1310 nm gehört zu LR und zu Singlemode. Beide Enden müssen dieselbe Art sein, über diese Lücke gibt es nichts auszuhandeln, und keine noch so ausgefeilte Interface-Konfiguration ändert, welche Wellenlänge aus dem Laser kommt.
Diese Entfernungsangaben sind Obergrenzen, keine Untergrenzen, und das bringt Leute in die andere Richtung zu Fall: LR-Module an beiden Enden eines drei Meter langen Patches innerhalb eines Racks sind völlig zufrieden, sie wollen nur Singlemode-Kabel. LR über Multimode erzeugt gelegentlich über ein paar Meter tatsächlich einen Link, aber das ist Verhalten außerhalb der Spezifikation und nichts, worauf man einen bezahlten Circuit aufbaut.
Das schönste Beispiel dafür, das ich gesehen habe, war eine FortiGate, die sich nicht mit Switches mit Brocade- und Extreme-Optik verbinden ließ, und die ganze Diskussion drumherum drehte sich um Markeninkompatibilität. Das Fortinet-Modul war 10G SR, die Gegenseite 10G LR. Keine Whitelist, keine Herstellerbindung, nur Multimode, das auf Singlemode starrt.
Das würde ich auch nicht unter Herstellerbindung ablegen, und ich wäre vorsichtig, wie der Workaround von jemandem gelesen wird, der das später findet.
Einen Switch dazwischenzusetzen beweist, dass Optik, Faser und Firewall-Port bei dir gesund sind. Es sagt überhaupt nichts darüber, warum das CPE den Link nicht direkt annimmt - es verschiebt das Problem hinter etwas, mit dem das CPE bereit ist zu reden, und lässt es dort liegen.
Das Medium mit ifconfig festzunageln ändert ebenfalls nur, wie das lokale Interface den Link behandelt. Es kann nicht ändern, was aus der Optik herauskommt, das konnte einen Media-Type-Mismatch am Gegenende also nie beheben. In beiden Fällen konnte niemand sehen, wie der Carrier seinen Access-Port provisioniert hatte, und in beiden liegt genau dort die Antwort.