تمت إعادة تمهيد جدار الحماية الآمن بشكل غير متوقع بسبب مشكلة إلغاء تحميل تدفق DTLS

مسألة

وتجرب Cisco Secure Firewall Threat Defense (FTD) عمليات إعادة تمهيد النظام، مما يتسبب بشكل متكرر في تعطل الخدمة ودون إنشاء ملفات crashinfo التقليدية. أثناء أستكشاف الأخطاء وإصلاحها، تتم مراقبة الإنشاء المتكرر لملفات crypto_eng0_arch_* مع مسرع NPU المتكرر ورسائل الخطأ FPGA القاتلة التي تتزامن مع أحداث إعادة التشغيل.

• يؤكد دليل FTD التوليد المتكرر لملفات crypto_eng0_arch_* ذات أختام زمنية تتزامن مع أحداث إعادة التمهيد.

  firepower# dir crypto_archive
  -rwxr-xr-x 1 root root 55310816 Mar 12 01:22 crypto_eng0_arch_1.bin
  -rwxr-xr-x 1 root root      869 Mar 12 01:22 crypto_eng0_arch_1.info
  -rwxr-xr-x 1 root root   409235 Mar 12 01:22 crypto_eng0_arch_1.reg
  -rwxr-xr-x 1 root root 55310816 Mar 12 04:25 crypto_eng0_arch_2.bin
  -rwxr-xr-x 1 root root      869 Mar 12 04:25 crypto_eng0_arch_2.info
  -rwxr-xr-x 1 root root   409111 Mar 12 04:25 crypto_eng0_arch_2.reg
  -rwxr-xr-x 1 root root 55310816 Mar 12 09:45 crypto_eng0_arch_3.bin
  -rwxr-xr-x 1 root root      869 Mar 12 09:45 crypto_eng0_arch_3.info
  -rwxr-xr-x 1 root root   408688 Mar 12 09:44 crypto_eng0_arch_3.reg
  -rwxr-xr-x 1 root root 55310816 Mar 11 18:48 crypto_eng0_arch_4.bin
  -rwxr-xr-x 1 root root      869 Mar 11 18:48 crypto_eng0_arch_4.info
  -rwxr-xr-x 1 root root   408895 Mar 11 18:48 crypto_eng0_arch_4.reg
  -rwxr-xr-x 1 root root 55310816 Mar 11 21:11 crypto_eng0_arch_5.bin
  -rwxr-xr-x 1 root root      869 Mar 11 21:11 crypto_eng0_arch_5.info
  -rwxr-xr-x 1 root root   409136 Mar 11 21:11 crypto_eng0_arch_5.reg

• تظهر سجلات FTD مسرع NPU المتكرر ورسائل خطأ FPGA مميت التي تطابق توقيت عمليات إعادة التشغيل غير المتوقعة وملفات crypto_eng0_arch_*.

  > expert
  admin@device:~$ sudo su
  Password: [enter admin password]
  root@device:/Volume/home/admin# cat /opt/cisco/platform/logs/messages | grep -i npu
  2026 Mar 11 07:11:42 KC FPGA: FATAL - ILK pipe 0: TX Buffer FIFO Overflow
  2026 Mar 11 07:11:42 NPU ACCEL MGR: FATAL - NPU Accelerator FAILED
  2026 Mar 11 07:11:42 NPU ACCEL MGR: FATAL - NPU Accelerator FAILED - REBOOTING the device !!
  2026 Mar 11 11:15:47 KC FPGA: FATAL - ILK pipe 0: TX Buffer FIFO Overflow
  2026 Mar 11 11:15:47 NPU ACCEL MGR: FATAL - NPU Accelerator FAILED
  2026 Mar 11 11:15:47 NPU ACCEL MGR: FATAL - NPU Accelerator FAILED - REBOOTING the device !!
  ---
  Mar 11 21:11:20 device  kings-cross-fpga: FATAL - ILK pipe 0: TX Buffer FIFO Overflow
  Mar 11 21:11:20 device  NPU Accelerator Manager: FATAL - NPU Accelerator FAILED
  Mar 11 21:11:20 device  FPRM: <<%FPRM-2-NPU_FPGA_FAILURE>> [F1418][critical][npu-fpga-failure][shaperports-cfg-ep/event-id-fpga-error-pipe-0-level-fatal] NPU FPGA raised a FATAL error on pipe 0
  Mar 11 21:11:20 device  NPU Accelerator Manager: FATAL - NPU Accelerator FAILED - REBOOTING the device !!
  Mar 12 01:22:53 device  kings-cross-fpga: FATAL - ILK pipe 0: TX Buffer FIFO Overflow
  Mar 12 01:22:54 device  NPU Accelerator Manager: FATAL - NPU Accelerator FAILED
  Mar 12 01:22:54 device  FPRM: <<%FPRM-2-NPU_FPGA_FAILURE>> [F1418][critical][npu-fpga-failure][shaperports-cfg-ep/event-id-fpga-error-pipe-0-level-fatal] NPU FPGA raised a FATAL error on pipe 0
  Mar 12 01:22:54 device  NPU Accelerator Manager: FATAL - NPU Accelerator FAILED - REBOOTING the device !!

• يؤكد تكوين FTD تمكين إلغاء تحميل تدفق DTLS على FTD المتأثر، والذي يطابق الشروط لمعرف تصحيح الأخطاء من Cisco CSCwq32085 المعروف.

  firepower# show flow-offload-dtls info
  DTLS offload: Enabled
  Egress optimization: Enabled

البيئة

• تشاهد بشكل رئيسي على سلسلة Firepower 3100، ولكنها تؤثر على الطرز الأخرى

• يؤثر ASAs و FTDs التي ليست على إصدار ثابت للمسألة.

• مدارة بواسطة مركز إدارة Firepower (FMC)

• تم تمكين إلغاء تحميل تدفق DTLS على الأجهزة المتأثرة

قرار

قم بترقية جميع أجهزة FTD/ASA المتأثرة إلى إصدار يتضمن الإصلاح لعيب معرف تصحيح الأخطاء من Cisco CSCwq32085.

الحل

1. انتقل إلى الأجهزة > FlexConfig في مركز إدارة جدار الحماية الآمن من Cisco.

2. إنشاء أو تحرير كائن FlexConfig.

3. أدخل نص سطر الأوامر لتعطيل إلغاء تحميل تدفق DTLS/IPSec لجهاز FTD عبر FlexConfig.

no flow-offload-ipsec 
no flow-offload-dtls

4. قم بتخصيص سياسة FlexConfig لجهاز FTD المستهدف ونشر التكوين.

5. يتطلب التغيير إعادة تشغيل FTD حتى تصبح التغييرات سارية المفعول.

السبب

نتجت عمليات إعادة التشغيل غير المتوقعة عن معرف تصحيح الأخطاء من Cisco CSCwq32085 في FTD. يمكن أن يؤدي هذا العيب في البرنامج المعروف إلى فشل مسرع NPU/FPGA وإعادة التمهيد الإجباري عند تمكين إلغاء تحميل تدفق DTLS على أجهزة FirePOWER من السلسلة 3100 و 4200. ويؤثر الخلل بشكل خاص على ميزات زيادة سرعة الأجهزة ويقوم بإنشاء ملفات crypto_archive باستخدام رسائل خطأ وحدة التحكم "KC ILK issue detected" قبل فرض عمليات إعادة تمهيد النظام.

المحتوى ذي الصلة

• فهم إلغاء تحميل IPsec و DTLS واستكشاف أخطائه وإصلاحها في FirePOWER 3100 و 4200 الآمنين

• تكوين كائنات FlexConfig

• معرف تصحيح الأخطاء من Cisco CSCwq32085

• ملاحظات إصدار الدفاع ضد تهديد جدار الحماية الآمن من Cisco، الإصدار 7.6.x

• الدعم الفني والتنزيلات من Cisco