Un WatchGuard Firebox M470 deja una interfaz SFP+ caída con ópticos de terceros
Oficina pequeña, un Firebox M470 en el perímetro, y quería pasar el enlace hacia el switch núcleo de cobre a los puertos SFP+ integrados. Compré un par de módulos SFP+ genéricos para eso, uno para cada extremo. El lado del switch enciende de inmediato, el lado del Firebox nunca lo hace.
Equipo:
- WatchGuard Firebox M470, puertos SFP / SFP+ integrados
- módulos SFP+ genéricos sin codificar, mismo modelo en ambos extremos
- switch núcleo en el otro extremo, el puerto sube y se mantiene arriba
- patch corto, ambos extremos limpiados antes de insertar
Estado de la interfaz en el firewall, dejando el puerto remoto sin tocar mientras tanto:
interface (SFP+) link: down speed: auto-negotiate
interface (SFP+) link: down speed: 10G fixedProbado:
- moví el módulo a la segunda jaula SFP+, mismo resultado
- fijé el otro extremo a 10G fijo y de vuelta a auto, sin diferencia en ningún caso
- puse los mismos dos módulos espalda con espalda entre dos switches, donde enlazan sin quejarse
¿Es simplemente el equipo rechazando módulos que no conoce, o hay algo del lado de la negociación que debería ajustar antes de rendirme y comprar ópticos de marca?
Show original (English)
Also available in: English
العربية
Deutsch
Español
Français
हिन्दी
Bahasa Indonesia
Italiano
日本語
한국어
Nederlands
Polski
Português
Русский
Türkçe
Tiếng Việt
简体中文
Comments 3
Este es un problema conocido de su lado y no algo que hayas configurado mal. Está registrado como FBX-24737 en Fireware, artículo 000028191, todavía Open: interfaces que no suben una vez que se instala un módulo de cualquiera que no sea WatchGuard.
La nota da tres cosas para revisar, y el orden importa.
Primero, comprueba el transceptor contra la lista de transceptores soportados de WatchGuard para tu equipo exacto. No la familia, el modelo - las listas no son iguales a lo largo de la gama.
Segundo, comprueba que tu módulo y con lo que sea que hable en el otro extremo realmente concuerden en el modo de operación y en las características que cada uno espera del otro. Dos módulos que ambos dicen 10G SR en la etiqueta pueden diferir en todo lo demás.
Tercero, ataca los ajustes de negociación desde el equipo remoto en vez de desde el firewall. Autonegociación primero; si eso no te da nada, fija la tasa a mano en 1G o en 10G, ya que muchos módulos solo corren a una tasa y se quedarán ahí mudos si se les pide la otra.
Sé honesto contigo mismo sobre qué es esto, sin embargo. Es una lista de verificación para encontrar un módulo interoperable, no una solución: el problema está abierto y no hay comando de desbloqueo que haga que el equipo acepte ópticos arbitrarios. Si las tres comprobaciones no producen un enlace, un módulo de la lista soportada es el camino más corto de salida.
¿Qué rama de Fireware tiene, y esos módulos están en la lista de transceptores soportados para ese equipo, o son solo '10G SR genérico'? Esa lista importa más en estos equipos de lo que la gente espera.
La otra cosa que quisiera ver es qué hace realmente el otro extremo. Dices que el puerto del switch sube, pero ¿a qué velocidad sube? - si ese puerto se asienta en 1G mientras el firewall insiste en 10G nunca vas a ver un enlace, y el módulo que elegiste puede que ni siquiera maneje ambas tasas. Muchos de ellos son de tasa única.
Y ya descartaste la segunda jaula SFP+ - ¿el módulo se comporta de forma diferente en una de las jaulas SFP normales? No es que un módulo de 10G vaya a enlazar a 1G ahí, sino si el equipo lo registra siquiera, eso separa el equipo rechazando el módulo de algo relacionado con ese par de jaulas.
Añado un caso que va en sentido contrario, porque forzar la velocidad no siempre es el reflejo correcto.
En un VSP 4450GSX las notas de versión son tajantes al respecto: apunta un SFP de 1 Gb hacia un switch de otro fabricante y la autonegociación tiene que quedarse encendida, permanentemente - y eso aplica al módulo en cualquiera de las dos jaulas, el slot de 1 Gb y el de 10 Gb por igual. Apagarla es lo que rompe esos enlaces, que es lo contrario de lo que la mayoría hacemos por reflejo cuando un puerto se niega a subir. Con SFP de cobre 1000BASE-T las notas empujan un paso más allá: decide cómo se configura el autoneg también en el extremo de cobre remoto y configúralo ahí a propósito, o la próxima persona que cambie velocidad o dúplex allá se lleva el enlace consigo.
El VSP 7254XSQ de la misma familia no tiene ningún soporte de autonegociación, así que un SFP de 1 Gb sube ahí solo si el extremo remoto la tiene apagada. Un fabricante, dos equipos, ajustes opuestos. Así que prueba ambas direcciones en el lado remoto antes de concluir que el firewall es el culpable.