أستكشاف أخطاء حالة اتصال Talos وإصلاحها

المقدمة

يوضح هذا المستند كيفية أستكشاف أخطاء اتصال TALOS وإصلاحها على FMC و FDM لجدار الحماية الآمن.

المتطلبات الأساسية

المتطلبات

توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:

• مركز إدارة جدار الحماية الآمن (FMC) من Cisco

• مدير جهاز جدار الحماية الآمن (FDM) من Cisco 

• الدفاع الآمن عن تهديد جدار الحماية (FTD) من Cisco 

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى إصدارات البرامج والمكونات المادية التالية:

FMC، الإصدار 7.6.0 أو 7.7.0
FDM الإصدار 7.6.0 أو 7.7.0
FTD الإصدار 7.6.0 أو 7.7.0

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

معلومات أساسية

يعتمد مركز إدارة جدار الحماية الآمن (FMC) من Cisco على شهادة من جانب العميل لإنشاء اتصال آمن مع خدمات ذكاء تهديدات Cisco Talos. هذه المصادقة ضرورية ل FMC لتنزيل التحديثات الهامة بنجاح، بما في ذلك قواعد بيانات سمعة عنوان URL (URLDBs) وحزم الأمان خفيفة الوزن (LSPs) وبيانات الإثراء الأخرى.

في ظروف التشغيل العادية، يتم توفير هذه الشهادة مسبقا أثناء تثبيت البرامج ويتم تصميمها للتجديد تلقائيا عند اقترابها من تاريخ انتهاء صلاحيتها. ومع ذلك، تمنع مشكلة معروفة في إصدارات معينة من برنامج Cisco Secure Firewall FMC Software إكمال عملية التجديد التلقائي بنجاح بعد 30 مارس 2025. وعندما يحدث ذلك، لا يمكن لوحدة التحكم في إدارة اللوحة الأساسية (FMC) المصادقة مع Talos، مما يؤدي إلى حدوث حالات فشل في الاتصال وعدم القدرة على إسترداد معلومات التهديد المحدثة.

التحقق من حالة الشهادة

واجهة المستخدم الرسومية (GUI) ل FMC

عندما تفشل الشهادة من جانب العميل في التجديد، فتقوم وحدة التحكم في إدارة الإطارات (FMC) من Cisco بتشغيل تنبيهات السلامة لإخطار المسؤولين عن انقطاع الاتصال بنظام Cisco Talos. يمكنك مراقبة هذه التنبيهات بالانتقال إلى نظام > صحة ومراجعة قسم حالة اتصال Talos.

إذا كان النظام الخاص بك متأثرا بمشكلة انتهاء صلاحية الشهادة، فعادة ما تشاهد إحدى رسائل الخطأ هذه:

• "LSP - فشل إسترداد مخزون الفرس":

• "URLDB - فشل إسترداد مخزون الفرس":

• "الإثراء - فشل في تنفيذ استعلام الدفعة":

واجهة سطر أوامر FMC

لتحديد ما إذا كان جهاز FMC لديك يتأثر بهذه المشكلة، قم بالوصول إلى وضع خبير وقم بتشغيل الأمر للتحقق من تاريخ انتهاء الصلاحية الحالي للشهادة من جانب العميل:

expert 
sudo su
//type the 'FMC CLI admin password'
sudo openssl x509 --in /var/sf/beaker3/securefirewall-dev-prod-01_prod.pem --text

في مخرجات الأمر، ابحث عن قسم الصلاحية. يشير الحقل "ليس بعد" إلى تاريخ انتهاء صلاحية الشهادة الحالي. إذا كان هذا التاريخ قد انقضى بالفعل أو يقترب، فقد فشلت عملية التجديد ويلزم إعادة تشغيل خدمة يدوية لبدء تجديد الشهادة.

مثال:

> expert
>sudo su
//type the 'FMC CLI admin password'
openssl x509 --in /var/sf/beaker3/securefirewall-dev-prod-01_prod.pem --text
Certificate:
    Data:
        Version: 3 (0x2)
        Serial Number: 46240369 (0x2c19271)
        Signature Algorithm: sha256WithRSAEncryption
        Issuer: C = US, ST = California, L = San Jose, O = Cisco Systems Inc., OU = Security, CN = Keymaster CA 2
        Validity
Not Before: Jan 30 22:32:39 2024 GMT
            Not After : Mar 30 22:32:39 2025 GMT
        Subject: CN = SFW76EVAL-prod-01, C = US, ST = California, L = San Jose, O = Cisco, OU = Security
        Subject Public Key Info:
            Public Key Algorithm: rsaEncryption

استكشاف الأخطاء وإصلاحها

1. حدد السيناريو الخاص بك

إصدار البرامج	معرف الخطأ المقترن	سبب رئيسي
7.6.0 أو 7.7.0	معرف تصحيح الأخطاء من Cisco CSCwo63951	انتهاء صلاحية الشهادة / فشل الاتصال
7.6.1+ أو 7.7.10+	معرف تصحيح الأخطاء من Cisco CSCwr23982	تكوين التسجيل / الترخيص (على سبيل المثال، تفريغ هوائي).

2. أستكشاف أخطاء الإصدار 7.6.0 و 7.7.0 وإصلاحها

الأعراض

وبعيدا عن التحذيرات الصحية المذكورة سابقا، تلاحظ هذه التصرفات:

• أخطاء إدارة مهام FDM: "فشل تحديث سحابة Snort 3: لا توجد إستجابة من مهلة خادم التحديث أو الاتصال.

• إدخالات السجل: الأخطاء في /ngfw/var/log/messages التي تشير إلى: فشل الاتصال بالنفق (UUID)، الخطأ: غير متصل.

• الحالة: التحديثات الراكدة في واجهة المستخدم: تعرض شاشة تفضيلات تصفية URL "لم يتم التحديث بعد".

حل بديل مؤقت

لاستعادة الخدمات على الفور، قم بإعادة تشغيل العمليات المطلوبة عبر "وضع الخبير":

يدخل خطوة 1. ينفذ ال CLI ويدخل خبير أسلوب.

الخطوة 2. قم بتشغيل الأوامر:

expert
sudo su 
//type the 'FMC CLI admin password'
pmtool restartbyid talosAgent
pmtool restartbyid beaker3

قرار دائم

لحل هذه المشكلة بشكل دائم، تأكد من استيفاء هذه الشروط:

الخطوة 1. التحقق من الاتصال: تأكد من أن الجهاز لديه حق الوصول الصادر إلى https://api-sse.cisco.com. للقيام بذلك، يمكنك الوصول إلى واجهة سطر الأوامر (CLI) الخاصة بوحدة التحكم FMC، وإدخال وضع الخبير، وتشغيل الأوامر:

 الخطوة 1.1. إختبار دقة DNS: 

expert
sudo su
//type the 'FMC CLI admin password'
nslookup api-sse.cisco.com

الخطوة 1.2. إختبار الوصول إلى منفذ TCP:

 expert
sudo su
//type the 'FMC CLI admin password'
telnet api-sse.cisco.com 443

الخطوة 2. قم بتمكين بيانات تتبع الاستخدام: تأكد من تمكين تتبع بيانات شبكة نجاح العملاء (CSN) حتى يتمكن SSEConnector من الحصول على شهادة جديدة. لتمكين CSN على FMC، تكون هذه الخطوات:

   الخطوة 2.1. سجل الدخول إلى واجهة المستخدم الرسومية (GUI) ل FMC من خلال فتح مستعرض ويب والتنقل إلى عنوان URL ل FMC (على سبيل المثال: https://<FMC_IP_or_hostname>). أدخل اسم المستخدم وكلمة المرور للوصول إلى

   واجهة GUI لوحدة التحكم FMC.

   

الخطوة 2.2. انتقل إلى إعدادات شبكة نجاح Cisco: من القائمة الرئيسية، حدد تكامل > سحابة أمان Cisco. 

   الخطوة 2.3. العثور على الخيار المسمى شبكة نجاح Cisco وتمكينه: لهذا، حدد المربع لتمكين شبكة نجاح Cisco لتنشيط بيانات تتبع الاستخدام.

الخطوة 3. تثبيت التحديثات: تثبيت GeoDB 2025-04-03-094 أو VDB 406 (أو إصدار أحدث). يؤدي ذلك إلى تشغيل تثبيت شهادة جديدة مدتها 365 يوما.

3. أستكشاف الأخطاء وإصلاحها للإصدارات 7.6.1+ و 7.7.10+

تحدث هذه المشكلة عادة في البيئات التي ليس بها تسجيل شبكة أمان (CSC) قياسية من Cisco، مثل تلك التي تستخدم تراخيص التقييم أو SSM على-prem أو PLR أو SLR.

الميزات المتأثرة

• تحديثات تلقائية/يدوية لحزمة الأمان خفيفة الوزن (LSP).

• URL الذي يقوم بتصفية تحديثات محتوى قاعدة البيانات وعمليات البحث في مجموعة النظراء.

• إثراء Talos لأحداث الاتصال.

الإجراءات الموصى بها

1. بيئة قياسية: قم بتسجيل وحدة التحكم في الوصول إلى البنية الأساسية (FMC) عبر الدمج > Cisco Security Cloud. يؤدي التسجيل تلقائيا إلى تشغيل تنزيل شهادة جديدة في غضون 30 دقيقة.

2. التحديثات اليدوية: في حالة فشل التحديثات التلقائية، قم بتنزيل أحدث LSP يدويا من software.cisco.com وتثبيته مباشرة على FMC.

3. بيئات التعامل مع جيجابت في الثانية: إذا لم يكن لدى شبكتك وصول للإنترنت، تصبح الوحدة النمطية لحالة اتصال Talos غير ذات صلة. في هذا السيناريو، قم بتعطيل هذه الوحدة النمطية المحددة ضمن نهج الصحة المطبق.

معلومات ذات صلة

• للحصول على مساعدة إضافية، يرجى الاتصال بمركز المساعدة التقنية (TAC) من Cisco. يلزم عقد دعم صالح: جهات اتصال الدعم العالمية من Cisco.   

• الدعم والتنزيلات من Cisco: الدعم الفني والتنزيلات من Cisco

محفوظات المراجعة

المراجعة	تاريخ النشر	التعليقات
1.0	07-Jul-2026	الإصدار الأولي