أستكشاف أخطاء جدار الحماية الآمن من Cisco غير المستجيب وإصلاحها

المقدمة

يصف هذا المستند الخطوات الموصى بها لاستكشاف أخطاء نظام حماية تهديد جدار الحماية الآمن (FTD) من Cisco وإصلاحها غير سريع الاستجابة في الأنظمة الأساسية للأجهزة طراز 1xxx و 12xx و 21xx و 31xx و 41xx و 42xx و 93xx.

المتطلبات الأساسية

توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:

• الأساسيات الآمنة ل FTD (التثبيت/التكوين) من Cisco.

المتطلبات

توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:

• الدفاع ضد تهديد جدار الحماية الآمن من Cisco
• مركز إدارة جدار الحماية الآمن من Cisco
• نظام التشغيل القابل للتشغيل FirePOWER (FXOS) من Cisco

المكونات المستخدمة

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

معلومات أساسية

في بعض الحالات، يمكن أن يصبح جهاز Cisco FTD غير مستجيب. تشمل الأعراض النموذجية:

• لا يوجد وصول إلى SSH.
• لا يوجد وصول إلى وحدة التحكم.
• يعمل الوصول إلى وحدة التحكم، ولكن لا تعمل بيانات اعتماد تسجيل الدخول.
• حركة مرور النقل لا تمر عبر الجهاز.
• الواجهات معطلة (البيانات و/أو الإدارة).
• مصابيح LED في حالة إيقاف أو كهرماني (وامض أو صلب).
• الوحدة الآمنة (4100 و 9300) تصبح غير مستجيبة.

لاحظوا أنه، حسب الحالة، لن يكون بعضهم حاضرا. على سبيل المثال، قد يكون لديك حركة مرور عابرة تمر، ولكن الوصول إلى الإدارة فقط لا يعمل.

استكشاف الأخطاء وإصلاحها

يغطي هذا القسم الخطوات والإجراءات الموصى بها التي يجب عليك إتخاذها. أنت يستطيع زودت هذا معلومة إلى cisco TAC ل كثير تحليل.

الخطوة 1: الفحص البصري (اللوحة الأمامية)

التقط فيديو أو صورة للأضواء الأمامية. هنا بعض الأمثلة حيث تكون جميع شاشات LED مرئية بشكل واضح:

في الصورة التالية، يشير مصباح SYS إلى مشكلة في الجهاز:

يمكنك مراجعة دليل الأجهزة الخاص بنموذج جهازك للحصول على معلومات إضافية حول الشاشة، على سبيل المثال:

الخطوة 2: الفحص البصري (اللوحة الخلفية)

خذ فيديو أو صورة لمصابيح LED في اللوحة الخلفية، على سبيل المثال:

إذا لم ترى أي مصابيح تعمل بالطاقة:

• حاول إعادة بيع وحدات التزويد بالطاقة (كلما أمكن ذلك).
• حاول، إن أمكن، إستبدال وحدة إمداد الطاقة.

الخطوة 3: تحققات المروحة

تحقق من تشغيل المراوح الموجودة في الجزء الخلفي من الجهاز. 

الخطوة 4: فحوصات البيئة المادية

تحقق مما إذا كانت هناك أية ضوضاء أو رائحة تصدر عن الجهاز.

الخطوة 5: عمليات التحقق من منافذ وحدة التحكم والإدارة

تأكد من أن منافذ وحدة التحكم والإدارة متصلة بشكل صحيح. إن يكون المشكلة فقط على الإدارة ميناء، حاولت أن يغير ال SFP (كلما أمكن) والشبكة كبل.

الخطوة 6: إختبار اتصال IP للإدارة

حاول إختبار اتصال (ICMP) عنوان IP الخاص بإدارة الجهاز.

الخطوة 7: عمليات فحص الأجهزة المجاورة

تحقق من حالة المنفذ للأجهزة المجاورة، على سبيل المثال:

switch# show interface description | i FW-4215-1
Gi7/1                          up             up       FW-4215-1 ETH1/1
Gi7/2                          up             up       FW-4215-1 ETH1/2
Gi7/3                          up             up       FW-4215-1 MGMT

الخطوة 8: عمليات فحص أجهزة HA/نظام المجموعة

في حالة التوفر العالي (HA) أو إعداد نظام المجموعة، قم بتجميع حزمة أستكشاف أخطاء المجموعة وإصلاحها من الجهاز (الأجهزة) النظير.

الخطوة 9: تجميع سجلات وحدة التحكم

قم بإرفاق كمبيوتر محمول بمنفذ وحدة التحكم وانسخ أي رسائل يتم عرضها. حاول الضغط على مفاتيح لوحة المفاتيح لأعلى/لأسفل أو PageUp لرؤية كافة الرسائل على الشاشة.

الخطوة 10: إجراء إعادة تشغيل باردة

مع كمبيوتر محمول مرفق بمنفذ وحدة التحكم:

1. قم بفصل جميع كابلات الطاقة وانتظر دقيقتين قبل توصيلها مرة أخرى.
2. في حالة إعداد تجاوز الفشل أو إعداد نظام المجموعة، لتقليل أي مخاطر لعدم الاستقرار النشط/النشط أو نظام المجموعة، يمكنك فصل أو إيقاف التشغيل من جهاز المحول المجاور جميع واجهات البيانات للوحدة المتأثرة بما في ذلك إرتباطات HA أو CCL.
3. ثم قم بإعادة توصيل كابلات الطاقة وتزويد الجهاز بالطاقة.
4. الانتظار لمدة 5 دقائق تقريبا.
5. تجميع إخراج وحدة التحكم.

لاحظ أنه إذا لم يتم إيقاف تشغيل الجهاز بشكل جيد وكان الجهاز قيد التشغيل (كانت مصابيح LED باللوحة الأمامية قيد التشغيل)، فإن إعادة التشغيل البارد يمكن أن يتسبب في تلف قاعدة البيانات. إن يجلب ال reboot بارد الأداة، جمعت تحريت حزمة واتصل cisco TAC.

الخطوة 11: تجميع رسومات Health Monitor البيانية من FMC

إذا إستعاد الجهاز عافيته وتتم إدارته بواسطة وحدة تحكم في الإدارة المالية (FMC)، انتقل إلى System> Health > Monitor، وحدد الجهاز. ركز على الرسومات البيانية المميزة لفهم حالة الجهاز قبل عدم الاستجابة (على سبيل المثال، الذاكرة العالية ووحدة المعالجة المركزية (CPU) عالية واستخدام الأقراص بدرجة كبيرة وما إلى ذلك).

الخطوة 12: التحقق من وجود مشاكل في القرص

سيناريو عدم العمل (4100):

FW4100# show server storage
Server 1/1:
    RAID Controller 1:
        Type: SATA
        Vendor: Cisco Systems Inc
        Model: FPR4K-PT-01
        Serial: JAD12345678
        HW Revision:
        PCI Addr: 00:31.2
        Raid Support:
        OOB Interface Supported: No
        Rebuild Rate: N/A
        Controller Status: Unknown

        Local Disk 1:
           Vendor: Micron
           Model: 5300 MTFD
           Serial: MSA123456AB
           HW Rev:
           Operability: N/A
           Presence: Missing <-----
           Size (MB): 200000
           Drive State: Online
           Power State: Active
           Link Speed: 6 Gbps
           Device Type: SSD

          Local Disk Config Definition:
             Mode: NO RAID
             Description:
             Protect Configuration: No

نموذج للمخرجات من 3100 حيث يكون القرص قيد التشغيل:

FW3105# show server storage
Server 1/1:
    Disk Controller 1:
        Type: SOFTRAID
        Vendor: Cisco Systems Inc
        Model: FPR_SOFTRAID
        HW Revision:
        PCI Addr:
        Raid Support: raid1
        OOB Interface Supported: No
        Rebuild Rate: N/A
        Controller Status: Optimal

        Local Disk 1:
            Presence: Equipped
            Model: SAMSUNG MZQL2960HCJR-00A07
            Serial: S64FNT0AB12345
            Operability: Operable   <---
            Size (MB): 858306
            Device Type: SSD
            Firmware Version: GDC5A02Q

        Virtual Drive 1:
            Type: Raid
            Blocks: 878906048
            Operability: Degraded
            Presence: Equipped
            Size (MB): 858306
            Drive State: Degraded

نموذج للمخرجات من 4100 حيث يكون القرص قيد التشغيل:

FW4125# show server storage
Server 1/1:
    RAID Controller 1:
        Type: SATA
        Vendor: Cisco Systems Inc
        Model: FPR4K-PT-01
        Serial: JAD1234567
        HW Revision:
        PCI Addr: 00:31.2
        Raid Support:
        OOB Interface Supported: No
        Rebuild Rate: N/A
        Controller Status: Unknown

        Local Disk 1:
            Vendor: TOSHIBA
            Model: KHK61RSE
            Serial: 11BS1234567AB
            HW Rev: 0
            Operability: Operable
            Presence: Equipped
            Size (MB): 800000
            Drive State: Online
            Power State: Active
            Link Speed: 6 Gbps
            Device Type: SSD

        Local Disk Config Definition:
            Mode: No RAID
            Description:
            Protect Configuration: No

الخطوة 13: تحليل السجل

إذا إستعاد جهاز جدار الحماية عافيته وتريد تحليل السجلات الخلفية، فقم بإنشاء حزمة أستكشاف الأخطاء وإصلاحها والتحقق من الملفات المذكورة في الجدول. لاحظ ما يلي:

• في الأنظمة الأساسية 1xxx و 12xx و 21xx (وضع الجهاز) و 31xx و 42xx، تحتوي حزمة FTD لاستكشاف الأخطاء وإصلاحها أيضا على حزمة الهيكل (FPRM) من FXOS في مسار \dir-archives\var-common-platform_ts\. عليك إستخلاص محتويات حزمة FPRM.
• في الوضع 3100/4200، في وضع Multi-Instance (MI)، قم بجمع ملف TS للهيكل من واجهة مستخدم FMC أو واجهة سطر الأوامر (CLI) للهيكل (show tech-support fprm detail من نطاق أوامر الإدارة المحلية) كما هو موضح في https://www.cisco.com/c/en/us/support/docs/security/sourcefire-defense-center/117663-technote-SourceFire-00.html#toc-hId-2132091400.
• في أنظمة 41xx و 93xx الأساسية، يجب عليك إنشاء حزمة الهيكل بشكل مستقل إما من واجهة مستخدم الهيكل أو واجهة سطر الأوامر (CLI) الخاصة بنظام التشغيل FXOS كما هو موضح في https://www.cisco.com/c/en/us/support/docs/security/sourcefire-defense-center/117663-technote-SourceFire-00.html#toc-hId-2132091400
• بالنسبة لأنظمة الأجهزة الأساسية 4100 و 9300، يلزمك تجميع حزم أستكشاف أخطاء FXOS وFTD وإصلاحها. بالنسبة لجميع الأنظمة الأساسية الأخرى، تكون حزمة أستكشاف أخطاء FTD وإصلاحها كافية لأنها تحتوي أيضا على حزمة أستكشاف أخطاء FXOS وإصلاحها.
• بالنسبة ل ASA فإن إخراج الأمر show tech-support" بعد الاسترداد لا يكون مفيدا للغاية. يجب أن تعتمد على حزمة أستكشاف أخطاء FXOS وإصلاحها.
• مقارنة بالأنظمة الأساسية الأخرى، تتوفر في 41xx و 93xx حزمتان لاستكشاف الأخطاء وإصلاحها: الهيكل (BC1) ومجموعة الوحدات النمطية.
• وتحتوي حزمة الهيكل (BC1) في حزم 41xx و 93xx، ضمن مجموعات أخرى، على حزم FPRM و CIMC.
• تحتوي حزمة الوحدات النمطية على 41xx، 93xx بشكل رئيسي على سجلات FXOS من الخادم النصلي.
• إذا كان لديك وحدة تخزين متصلة مباشرة (ASA) مثبتة، فيجب عليك الاعتماد فقط على الهيكل ووحدة FPRM ومجموعات الوحدات النمطية (كلما أمكن ذلك) ومخرج الأمر show tech-support' من ASA.
• بناء على النظام الأساسي والحدث، لن تكون جميع الملفات موجودة.

الخطوة 14: التقاط

إذا أصبحت واجهة معينة غير مستجيبة، قم بالتقاط الصور على جدار الحماية والجهاز المجاور. يمكنك الرجوع إلى هذا المستند للحصول على التفاصيل:

https://www.cisco.com/c/en/us/support/docs/security/firepower-ngfw/212474-working-with-firepower-threat-defense-f.html

بالإضافة إلى ذلك، تأكد من ملء جداول ARP و CAM الخاصة بالأجهزة المجاورة بشكل صحيح.

الخطوة 15: معلومات إضافية لتقديمها إلى Cisco TAC

وبالإضافة إلى البنود المذكورة أعلاه، يوصى بشدة أيضا بتقديم هذه المعلومات:

15 أ. إذا كان الجهاز الذي تم إسترداده يجمع حزمة أستكشاف الأخطاء وإصلاحها (راجع الخطوة 13 للحصول على تفاصيل).

15 مليا. إذا كان الجهاز لا يزال غير مستجيب، قم بتوفير هذه المعلومات:

• معلومات الأجهزة (الطراز).
• معلومات البرامج.
• معلومات برامج FMC (إن أمكن).
• النشر (مستقل/HA/Cluster).

15 درجة مئوية. الوقت التقريبي (التاريخ/الوقت) الذي يصبح فيه الجهاز غير متجاوب.

15 ديسيبل. وقت التشغيل التقريبي للجهاز قبل أن يصبح غير مستجيب.

15 ه. هل هذا إعداد جديد أم إعداد موجود؟

15 درجة فهرنهايت. ما هو آخر إجراء تم إجراؤه قبل أن يصبح الجهاز غير متجاوب؟

15 جيجا. وحدات syslog لمستوى بيانات جدار الحماية (LINA) من الوقت الذي أصبح فيه الجهاز غير مستجيب (حاول الحصول على السجلات التي تبدأ قبل 5 دقائق تقريبا من الحادث). كأفضل ممارسة، يوصى بتكوين syslogs على المستوى 6 (إعلامي).

15 ساعة. في حال قمت بتكوين خادم syslog على الهيكل (FXOS على 4100/9300)، قم بتوفير السجلات (التي تبدأ قبل 5 دقائق تقريبا من الحادث).

15i. Syslog من الأجهزة المجاورة منذ وقت الحادث.

15 جول. مخطط المخطط الذي يوضح الاتصالات المادية بين جهاز جدار الحماية والأجهزة المجاورة.

المشكلات الشائعة

الخطأ: انتهت مهلة الاتصال ب DME

إذا قمت بالاتصال بوحدة التحكم وتفقد:

Software Error: Exception during execution: [Error: Timed out communicating with DME]

وفي معظم الأحيان، يشير ذلك إلى وجود مشكلة في البرامج.

الإجراء الموصى به: الاتصال بـ Cisco TAC

خطأ في القرص: مفقود أو غير قابل للتشغيل

هذا الإخراج من جهاز 4100/9300 حيث يتم إنشاء خطأ متعلق بالقرص:

الإجراء الموصى به: حاول إعادة تعيين قرص SSD. إن لا يساعد، جمعت هيكل يتحرى حزمة واتصل cisco TAC.

إشعار ميداني: الطراز FN72077 - FPR9300 و FPR4100

• لم تعد أجهزة الأمان FPR9300 و FPR4100 Series قادرة على تمرير حركة مرور الشبكة.
• يتعذر على المستخدمين الذين لديهم بيانات اعتماد صالحة تسجيل الدخول إلى وحدة تحكم الإدارة.
• واجهة سطر الأوامر (CLI) تعرض رسالة الخطأ: "خطأ في البرنامج: الاستثناء اثناء التنفيذ: [الخطأ: انتهت مهلة الاتصال ب DME]

الإجراء الموصى به: يلزم توفر دورة طاقة لهيكل السلسلة 4100/9300 حتى يمكن التعافي بشكل مؤقت من هذه المشكلة. تحقق من معرف تصحيح الأخطاء من Cisco CSCvx99172 للحصول على تفاصيل وإصدار يحتوي على إصلاح. (إشعار ميداني: FN72077 - أجهزة الأمان FPR9300 و FPR4100 Series Security Appliances - قد تعجز بعض الأجهزة عن تمرير حركة المرور بعد 3.2 سنوات من وقت التشغيل).

إستخدام القرص 100٪

قد يؤدي انخفاض مساحة القرص على جدار الحماية إلى جعل الجهاز غير مستجيب. إذا كان الجهاز تتم إدارته بواسطة FMC، فيمكنك الحصول على تنبيهات حماية مثل هذه:

الإجراء الموصى به: إذا كان لديك FMC و FTD يشغلان على البرنامج 7. 7.0 أو إصدار أعلى، فحاول مسح بعض مساحة القرص باستخدام الإجراء الموثق على https://www.cisco.com/c/en/us/td/docs/security/secure-firewall/management-center/admin/770/management-center-admin-77/health-troubleshoot.html#clear-disk-space

إن لا يكون هذا ممكن أو لا يساعد، اتصل ب cisco TAC.

لا يأتي المحول CSF 3100 بعد انقطاع التيار

الإجراء الموصى به: الترقية إلى إصدار برنامج يحتوي على إصلاح ل:

معرف تصحيح الأخطاء من Cisco CSCwm14729 لا تتم إعادة تمهيد سلسلة CSF 3100 بعد انقطاع التيار، مما يتطلب دورة طاقة يدوية.

أجهزة الأمان Cisco Firepower 2100 Series Security Appliances: قد تواجه بعض الوحدات حالات فشل في الذاكرة

• حالات فشل DIMM خلال 5 سنوات من الخدمة بسبب مشاكل في عملية المكونات
• شبكة FN ذات صلة: https://www.cisco.com/c/en/us/support/docs/field-notices/741/fn74199.html
• معرف تصحيح الأخطاء ذي الصلة من Cisco CSCwb74948

الإجراء الموصى به: إستبدال مكونات DIMM أو إستبدال جهاز الأمان

المراجع

• https://www.cisco.com/c/en/us/support/security/firepower-ngfw/products-installation-guides-list.html
• https://www.cisco.com/c/en/us/support/docs/security/sourcefire-defense-center/117663-technote-SourceFire-00.html#
• https://www.cisco.com/c/en/us/support/docs/field-notices/720/fn72077.html
• https://www.cisco.com/c/en/us/support/docs/security/adaptive-security-appliance-asa-software/216245-collection-of-core-files-from-a-firepowe.html#anc6
• https://www.cisco.com/c/en/us/support/docs/security/firepower-ngfw/212474-working-with-firepower-threat-defense-f.html