يتسبب إرتفاع الذاكرة في جدار الحماية الآمن طراز 1010 FTD في تأثير حركة مرور البيانات

مسألة

يواجه المستخدمون تحذيرا من شاشة الحماية "لذاكرة مستوى البيانات الحيوية" على جدار الحماية الآمن للنظام الأساسي المنخفض الطرفي 1010. يمنع إستخدام الذاكرة المرتفع هذا المستخدمين من الاتصال بشبكة VPN. كما يمكن أن يصبح الجهاز غير قابل للوصول إليه ويتوقف عن العمل بشكل صحيح بسبب إستهلاك الذاكرة.

حتى بعد إعادة التمهيد، تعود ذاكرة FTD فورا إلى الاستخدام العالي حتى إذا كان FTD لا يعالج أي حركة مرور.

firepower# show memory

Free memory:         216990542 bytes ( 8%)
Used memory:        2487943528 bytes (92%)
-------------     ------------------
Total memory:       2704934070 bytes (100%)

تظهر تفاصيل إستخدام الذاكرة كمية كبيرة من الذاكرة محجوزة في تجمع DMA.

firepower# show memory detail

Heap Memory:
   Free Memory:
      Heapcache Pool:                       85289152 bytes (  3% )
      Global Shared Pool:                    1675200 bytes (  0% )
      Message Layer Pool:                   14495776 bytes (  1% )
      Message Layer HB Pool:                  197712 bytes (  0% )
      System:                              125170870 bytes (  5% )
   Used Memory:
      Heapcache Pool:                      684365632 bytes ( 25% )
      Global Shared Pool:                  123629632 bytes (  5% )
      Reserved (Size of DMA Pool):        1073741824 bytes ( 40% )
      Reserved for messaging:                2019296 bytes (  0% )
      Reserved for HB messaging:               64432 bytes (  0% )
      MMAP usage:                           39073816 bytes (  1% )
      System Overhead:                     555472872 bytes ( 21% )
-------------------------------------     ----------------
   Total Memory:                          2704934070 bytes ( 100% )

تشير أيضا مخرجات إسقاط ASP إلى عدد كبير من حالات السقوط المتزايد بواسطة معالج Snort المسبق.

firepower# show asp drop
..... 
  Blocked or blacklisted by the firewall preprocessor (firewall)        14433080
  Blocked or blacklisted by the stream preprocessor (stream)               29325
  Blocked or blacklisted by the session preprocessor (session-preproc)       646
  Blocked or blacklisted by the IPS preprocessor (ips-preproc)                24
  Fragment reassembly failed (fragment-reassembly-failed)                    397
  Packet is blacklisted by snort (snort-blacklist)                       1812129

كما يمكن أن يشير إخراج running-config للجهاز إلى حزم AnyConnect المتعددة التي تسهم في الذاكرة العالية.

firepower# show run | inc anyconnect
 anyconnect image disk0:/csm/cisco-secure-client-win-5.1.8.122-webdeploy-k9.pkg 1 regex "Windows"
 anyconnect image disk0:/csm/cisco-secure-client-macos-5.1.6.103-webdeploy-k9.pkg 2 regex "Mac OS"
 anyconnect profiles all-vpn disk0:/csm/all-vpn.xml
 anyconnect profiles iseposture disk0:/csm/ISEPosture.xml
 anyconnect enable

البيئة

• المنتج: Cisco Secure Firewall 1010

• تم تكوين عميل Cisco Secure Client (AnyConnect)

قرار

تم حل عيب معرف تصحيح الأخطاء من Cisco CSCwc82675 بشكل دائم في FirePOWER الإصدار 10.0.0.

الحل:

• تعطيل ذاكرة التخزين المؤقت ل WebVPN

• حذف حزم AnyConnect client غير المرغوب فيها

• تغيير بروتوكول VPN من SSL/TLS إلى IPSec

السبب

تحدث هذه المشكلة المحددة بسبب عيب في معرف تصحيح الأخطاء من Cisco CSCwc82675. يعد النظام الأساسي Firepower 1010 نظاما أساسيا منخفض النهاية له قيود معروفة عند تشغيل العميل الآمن (AnyConnect) بسبب قيود الذاكرة الخاصة به التي يمكن أن ينتج عنها ذاكرة مستوى بيانات مرتفع بعد تكوين العديد من حزم AnyConnect كما هو مذكور في معرف تصحيح الأخطاء من Cisco CSCwc82675. يتم توفير Firepower 1010 بسعة 8 جيجابايت من الذاكرة الكلية ويخصص 3 جيجابايت من الذاكرة الإجمالية إلى LINA/ASA (DATAPATH)) لمعالجة حركة المرور. تظهر هذه الأجهزة عادة إستخداما مرتفعا للذاكرة لأن LINA تحتفظ بقدر معين من الذاكرة لمعالجة حركة المرور ولا تقوم بإطلاقها إلى النظام بسهولة. هذا السلوك مبني على التصميم و مخصص للأداء الأفضل. باستخدام تكوينات الشبكة الخاصة الظاهرية (VPN)، يظهر إستهلاك الذاكرة أنه يتم تخصيص 40٪ تقريبا لتجمع بيانات الإدارة (DMA)، والذي يتم حفظه بشكل رئيسي لعمليات الشبكات الخاصة الظاهرية (VPN). تمثل النفقات العامة للنظام إجمالي إستخدام الذاكرة. حتى بدون معالجة حركة المرور، يمكن أن يعرض النظام الأساسي Firepower 1010 بتكوين VPN إستخدام الذاكرة بشكل مرتفع. يمكن أن يصل إستخدام الذاكرة هذا إلى الحد الأقصى من المستويات بمجرد تقديم حركة المرور إلى جدار الحماية.

المحتوى ذي الصلة

• معرف تصحيح الأخطاء من Cisco CSCwc82675