أستكشاف أخطاء Firepower 1010  وإصلاحها؛ إعادة التشغيل المستمرة (حلقة التمهيد) مع صور AnyConnect المتعددة بعد ترقية البرنامج

مسألة

بعد ترقية البرامج، يتم إعادة تمهيد Firepower 1010 بشكل مستمر (تعرف أيضا باسم حلقة التمهيد).

تعرض جلسة عمل المحطة الطرفية mmap64: يتعذر تخصيص الذاكرة رسائل الخطأ ورسائل إيقاف تشغيل نظام التشغيل Firepower Xsible (FXOS):

mmap64: Cannot allocate memory
mmap64: Cannot allocate memory
mmap64: Cannot allocate memory
mmap64: Cannot allocate memory
Rebooting ... (status 0x9)
 
Jun 24 08:25:48 root: FXOS shutdown log started: pid = 39475 cmdline = /bin/sh/sbin/fxos log_shutdown ####
Jun 24 08:25:49 root: FXOS shutdown log completed: pid = 39475
The system is going down for reboot NOW!

البيئة

• وحدة التحكم Firepower 1010 المستقلة المدارة من FMC

• شوهد هذا للمرة الأولى بعد ترقية البرنامج من الإصدار 7.4.2 إلى 7.6.4. يمكن أن تتأثر الإصدارات الأخرى أيضا

• في جدار الحماية، تم تكوين شبكة الوصول عن بعد الخاصة الظاهرية (RAVPN) باستخدام صور متعددة ل AnyConnect/Secure Client

قرار

يتطلب الحل الدائم ترقية البرنامج إلى الإصدار باستخدام إصلاح معرف تصحيح الأخطاء من Cisco CSCwc82675.

لحل هذه المشكلة، قلل عدد صور AnyConnect/Secure Client لمنع إعادة التشغيل المستمرة لجدار الحماية.

يتم التحقق من هذه الخطوات على جدار حماية مستقل:

1. تحقق مما إذا كان النظام في وضع آمن من الفشل. يتم تنشيط الوضع الآمن للفشل لتطبيق FTD/ASA على FirePOWER 1000/2100 أو Secure Firewall 3100 بسبب حلقة التمهيد المستمرة، و traceback، وما إلى ذلك. إذا قام جدار الحماية بإعادة التمهيد 7 مرات في غضون 7200 (تمت الزيادة من 3600 ثانية مع تثبيت معرف تصحيح الأخطاء من Cisco CSCwj91341)ثوان، يدخل جدار الحماية الوضع الآمن للفشل ويتوقف إعادة التمهيد. عندما يكون النظام في الوضع الآمن من الفشل:

• يتم إلحاق اسم النظام بالسلسلة الفاشلة:

firepower-1010-failed /ssa #

• يحتوي إخراج الأمر show failed safe-params في shell أمر fxos local-mgmt على رسالة تحذير:

firepower-1010-failed(local-mgmt)# show failsafe-params
Max Restart: 1
Current Reboot Count: 1
Restart Time Interval(secs): 3600
WARNING: System in Failsafe mode. Applications are not running!

2. إذا لم يكن النظام في الوضع الآمن من الأعطال، فيمكنك تسريع تنشيط الوضع الآمن من الأعطال من خلال تعيين الحد الأقصى لإعادة التشغيل إلى عدد عمليات إعادة التشغيل الحالية + 1:

firepower-1010# connect local-mgmt
firepower(local-mgmt)# show failsafe-params 
Max Restart: 7
Current Reboot Count: 2
Restart Time Interval(secs): 3600
 
firepower-1010(local-mgmt)# config failsafe-max-restart 
0 shall Disable Failsafe Mode!!!
Set a max_restart (0-8) value Or [x] to exit: 3
System may come up in Normal state post Reboot.
Configuration Successful


firepower-1010(local-mgmt)# show failsafe-params
Max Restart: 3
Current Reboot Count: 2
Restart Time Interval(secs): 3600

3. عند عملية إعادة التشغيل التالية، يدخل جدار الحماية إلى الوضع الآمن عند حدوث الأعطال. ارجع إلى الخطوة 1 للتحقق.

4. عند تمهيد جدار الحماية، فإنه يدخل في الوضع الآمن من الفشل. بمجرد ظهور مطالبة تسجيل الدخول، قم بتسجيل الدخول إلى جدار الحماية، اتصل بجدار الحماية باستخدام الأمر connect ftd وانتقل إلى وضع الخبراء:

firepower-1010# connect ftd
> expert

firepower-1010:/$

5. في وضع "الخبير"، تحقق من صور AnyConnect/Secure Client في تكوين بدء التشغيل:

firepower-1010:/$ grep "anyconnect image" /mnt/disk0/.private/startup-config
 anyconnect image disk0:/csm/cisco-secure-client-linux64-5.1.8.122-webdeploy-k9.pkg 1 regex "Linux"
 anyconnect image disk0:/csm/cisco-secure-client-macos-5.1.8.122-webdeploy-k9.pkg 2 regex "Mac OS"
 anyconnect image disk0:/csm/cisco-secure-client-win-5.1.8.122-webdeploy-k9.pkg 3 regex "Windows"

6. انسخ الملف /mnt/disk0/.private/startup-config إلى الدليل /ngfw/var/common. وهذه الخطوة مهمة:

firepower-1010:~$ cp /mnt/disk0/.private/startup-config /ngfw/var/common/
firepower-1010:~$ ls -l /ngfw/var/common/
total 12
…
-rwxr-xr-x 1 admin admin 11305 Jun 25 09:20 startup-config

7. حدد أي الصور يمكن حذفها.

8. احذف الأسطر ذات الصور من الخطوة 5 حتى يكون هناك حد أقصى لصورتين. أستخدم vim أو، بدلا من ذلك، احذف الأسطر باستخدام الأمر sed كما يلي:

firepower-1010:/$ grep "anyconnect image" /mnt/disk0/.private/startup-config 
 anyconnect image disk0:/csm/cisco-secure-client-linux64-5.1.8.122-webdeploy-k9.pkg 1 regex "Linux"
 anyconnect image disk0:/csm/cisco-secure-client-macos-5.1.8.122-webdeploy-k9.pkg 2 regex "Mac OS"
 anyconnect image disk0:/csm/cisco-secure-client-win-5.1.8.122-webdeploy-k9.pkg 3 regex "Windows"

firepower-1010:/$# sudo sed -i '\#anyconnect image disk0:/csm/cisco-secure-client-macos-5.1.8.122-webdeploy-k9.pkg 2 regex "Mac OS"#d' /mnt/disk0/.private/startup-config

9. تأكد من حذف البند:

firepower-1010:/$ grep "anyconnect image" /mnt/disk0/.private/startup-config 
 anyconnect image disk0:/csm/cisco-secure-client-linux64-5.1.8.122-webdeploy-k9.pkg 1 regex "Linux"
 anyconnect image disk0:/csm/cisco-secure-client-win-5.1.8.122-webdeploy-k9.pkg 3 regex "Windows"

10. عد إلى طبقة الإدارة المحلية ل FXOS وارجع المعلمات الآمنة من الفشل إلى القيم الأصلية من الخطوة 1، إذا تم تغييرها. ثم قم بالخروج من الوضع الآمن للفشل وأعد تشغيل جدار الحماية:

firepower-1010:/$ exit
> exit

firepower-1010# connect local-mgmt
firepower-1010(local-mgmt)# config failsafe-max-restart 
0 shall Disable Failsafe Mode!!!
Set a max_restart (0-8) value Or [x] to exit: 7
System may come up in Normal state post Reboot.
Configuration Successful 

firepower-1010-failed(local-mgmt)# show failsafe-params 
Max Restart: 7
Current Reboot Count: 1
Restart Time Interval(secs): 3600

firepower-1010-failed(local-mgmt)# failsafe-exit 
System may reboot? (y/n) y
Reset Successful 

firepower-1010-failed(local-mgmt)# exit

firepower-1010-failed# scope chassis
KSEC-FPR1010-2 /chassis* # reboot no-prompt
Broadcast message from root@KSEC-FPR1010-2 (Thu Jun 24 15:59:22 2026):
All shells being terminated due to system /sbin/reboot

11 - متابعه سجلات الجلسات. السلوك المتوقع هو أنه بعد إعادة التشغيل، لم يعد جدار الحماية تتم إعادة تمهيده بشكل مستمر.

12. إذا لم يعد جدار الحماية يقوم بإعادة التشغيل بشكل مستمر، انتظر حتى يصبح جدار الحماية متصلا، ثم تأكد من حذف نفس صور AnyConnect/Secure Client من الخطوة 8 من واجهة مستخدم FMC/FDM، وقم بنشر السياسات. وإلا، فإنه يتم إعادة تطبيق الصور أثناء نشر النهج التالي.

13. تأكد من ترقية البرنامج إلى الإصدار باستخدام إصلاح معرف تصحيح الأخطاء من Cisco CSCwc82675.

14. بعد ترقية البرنامج إلى الإصدار باستخدام إصلاح معرف تصحيح الأخطاء من Cisco CSCwc82675، أضف صور AnyConnect/Secure Client التي تم حذفها في الخطوة 12 وسياسات النشر.

السبب

ينتج عن صور AnyConnect/Secure Client متعددة زيادة في إستخدام الذاكرة على FirePOWER 1010 بسبب المقدار المحدود للذاكرة المتوفرة لمستوى البيانات (محرك Lina). نظرا لمحدودية مساحة الذاكرة، يمكن للنظام إستهلاك ذاكرة محرك Lina، مما يؤدي عادة إلى إعادة تشغيل Lina ودخول حلقة إعادة تشغيل مستمرة. في بعض الحالات، يمكن أن تقوم عمليات Lina مختلفة أيضا بتشغيل traceback وتوليد ملفات أساسية.

يتم تعقب هذه المشكلة في معرف تصحيح الأخطاء من Cisco CSCwc82675. بالإضافة إلى ذلك، يشير فصل Remote Access VPN في دليل تكوين جهاز مركز إدارة جدار الحماية إلى "إستخدام حزم العميل الآمنة المتعددة على أجهزة الدفاع عن التهديد يمكن أن يزيد من إستخدام الذاكرة ويؤثر على أداء الجهاز. نوصي بعدم إستخدام حزم "العميل الآمن" المتعددة على أجهزة الدفاع عن التهديدات المنخفضة لتجنب عمليات إعادة التشغيل المستمرة بسبب إستهلاك الذاكرة. "

أحلت ل كثير معلومة cisco بق id CSCwj59682 و cisco بق id CSCwm72469.

المحتوى ذي الصلة

• معرف تصحيح الأخطاء من Cisco CSCwm47108

• معرف تصحيح الأخطاء من Cisco CSCwc82675

• معرف تصحيح الأخطاء من Cisco CSCwm72469

• معرف تصحيح الأخطاء من Cisco CSCwj59682

• معرف تصحيح الأخطاء من Cisco CSCwj91341

• دليل أستكشاف أخطاء FXOS وإصلاحها من Cisco الخاص بالدفاع عن تهديد جدار الحماية

• الفصل: شبكة VPN للوصول عن بعد

محفوظات المراجعة

المراجعة	تاريخ النشر	التعليقات
1.0	27-Oct-2026	الإصدار الأولي