• Аномально высокая утилизация процессора маршрутизатора процессом IP Input или CEF process.
• В логах фиксируются предупреждения %PUNT-3-PUNT_OVERLOAD или %CEF-4-GLEANTHROTTLING.
• Увеличение задержки (RTT) и джиттера для транзитного трафика, проходящего через коммутатор/маршрутизатор.
• Дропы пакетов на интерфейсах с растущими счетчиками Punt drops или Input queue drops.

1. Причины генерации Punt-пакетов в CEF

Punt — это передача пакета из аппаратной плоскости пересылки (Data Plane / ASIC) на центральный процессор (Control Plane). Основные триггеры punt-пакетов:

• Пакеты с опциями IP (IP Options);
• Пакеты, требующие фрагментации (DF bit set, MTU mismatch);
• Трафик к незаполненным ARP-записям (состояние Glean Adjacency);
• Сложные инкапсуляции и неподдерживаемые функции ACL/QoS;
• Широковещательные и Multicast пакеты без аппаратной поддержки.

2. Диагностика CEF и выявление источников Punt

# Проверка глобального статуса CEF
show ip cef

# Анализ причин отправки пакетов на процессор (Punt Switching)
show cef not-cef-switched

# Анализ состояния таблицы смежности
show ip adjacency detail
show ip adjacency summary

3. Устранение Glean Throttling при ARP-сканировании

Когда сканер отправляет миллионы запросов на неназначенные IP внутри локальной подсети, CEF пересылает каждый пакет на CPU для генерации ARP-запроса (Glean). Для защиты активируйте аппаратное ограничение:

# Ограничение частоты Glean-пакетов на процессор
ip cef glean rate-limit 1000

# Включение оптимизации агрегации таблиц
ip cef distributed

4. Исправление неразрешенных (Unresolved) записей CEF

# Проверка префиксов с неразрешенным Next-Hop
show ip cef unresolved

# Очистка и принудительное обновление таблиц CEF и Adjacency
clear ip cef
clear adjacency