إستهلاك كتلة ذاكرة جدار الحماية الآمن (FTD) الذي يتسبب في حالات سقوط حركة مرور البيانات

مسألة

يحدث فقد حركة المرور بشكل متقطع وتعطل التوجيه على Secure Firewall 2110 FTD باستخدام بروتوكول توجيه العبارة الداخلي المحسن (EIGRP). وهذا يؤدي إلى حالات من انعدام اللياقة وفقدان الاتصال بالإنترنت. ترتبط الأعراض باستنفاد كتلة الذاكرة (حجم الكتلة 80 و 9472)، مما يؤدي إلى عمليات إسقاط حزمة البيانات والتأثير على مستوى التحكم. بالإضافة إلى ذلك، لا يتم إنشاء ملف عطل أو ملف أساسي للمسألة حيث لا يتم تشغيل أي إعادة تشغيل.

يتسبب إستنزاف كتلة الذاكرة في قيام وحدة FTD بإيقاف معالجة حركة مرور البيانات.

firepower# show blocks
SIZE    MAX    LOW    CNT  FAILED
     0   2700   2650   2700      0
     4    200    199    200      0
    80  24000      0      0 2200668
   256   6072   3011   3178      0
  1550   7386   4013   4719      0
  2048    600    572    600      0
  2560    900    889    900      0
  4096    100    100    100      0
  8192    100     97    100      0
  9472  10000      0   2668      1
 16384    100    100    100      0
 65664     16     16     16      0

أظهرت عمليات إسقاط ASP في FTD أعدادا كبيرة من عمليات إسقاط "حد قائمة انتظار الإرسال (حد قائمة انتظار الإرسال)":

firepower# show asp drop
Frame drop:
  First TCP packet not SYN (tcp-not-syn)                                12357166
  Packet is blacklisted by snort (snort-blacklist)                       1159498
  Fragment reassembly failed (fragment-reassembly-failed)                  53865
  Dispatch queue tail drops (dispatch-queue-limit)                       1582611

هناك أيضا الكثير من فترات إعادة تجميع الأجزاء:

firepower# show fragment
Interface: outside
    Configuration: Size: 200, Chain: 24, Timeout: 5, Reassembly: virtual
    Run-time stats: Queue: 0, Full assembly: 1916508
    Drops: Size overflow: 0, Timeout: 6217,
           Chain overflow: 0, Fragment queue threshold exceeded: 47611,
           Small fragments: 0, Invalid IP len: 0,
           Reassembly overlap: 0, Fraghead alloc failed: 0,
           SGT mismatch: 0, Block alloc failed: 0,
           Invalid IPV6 header: 0, Passenger flow assembly failed: 0
           Cluster reinsert collision: 0

تعرض الكتل المعينة جميعها نفس التوزيع يشير إلى تأثير من الخلل في معرف تصحيح الأخطاء من Cisco CSCws19823. (قم بتشغيل الأمر terminal page 20 قبل التنفيذ لتحديد الإخراج)

firepower# show blocks assigned 
Class size 2, size 80
             Block           allocd_by            freed_by  data size    alloccnt     dup_cnt  oper location  
0xa800000100058c80  0x000000aaad8556ac  0x000000aaad2cefb8        183       17310           0 alloc cvmx_api_pdts_send_to_host
0xa800000100059400  0x000000aaad8556ac  0x000000aaad2cefb8        183        3748           0 alloc cvmx_api_pdts_send_to_host
0xa800000100059b80  0x000000aaad8556ac  0x000000aaad2cefb8        182       74639           0 alloc cvmx_api_pdts_send_to_host
0xa80000010005a300  0x000000aaad8556ac  0x000000aaad7cf0e8        183       23610           0 alloc cvmx_api_pdts_send_to_host
0xa80000010005aa80  0x000000aaad8556ac  0x000000aaad2cefb8        183       40731           0 alloc cvmx_api_pdts_send_to_host

تؤكد مراجعة الاتصالات الموجودة على FTD أن معظم الاتصالات الواردة هي حركة مرور SMB (TCP/445) على واجهة FTD. (تشغيل جهاز النداء الطرفي 20 قبل التنفيذ للحد من المخرجات)

firepower# show conn detail
TCP outside: 10.X.X.49/55970 inside: 10.X.X.73/445,
    flags UIO N1, idle 1m13s, uptime 1h52m, timeout 1h0m, bytes 163283, xlate id 0xffe0384b00, flow id 22065316, rule id 268441603, Rx-RingNum invalid, Internal-Data invalid
  Initiator: 10.X.X.49, Responder: 10.X.X.73
  Connection lookup keyid: 3616633230
TCP outside: 10.X.X.72/57775 inside: 10.X.X.214/445,
    flags UIO N1, idle 5s, uptime 2h6m, timeout 1h0m, bytes 182005, xlate id 0xffe0384b00, flow id 22025418, rule id 268441603, Rx-RingNum invalid, Internal-Data invalid
  Initiator: 10.X.X.72, Responder: 10.X.X.214
  Connection lookup keyid: 3661674758
TCP outside: 10.X.X.131/54313 inside: 10.X.X.71/445,
    flags UIO N1, idle 29s, uptime 9m35s, timeout 1h0m, bytes 26205, xlate id 0xffe0384b00, flow id 22429664, rule id 268441603, Rx-RingNum invalid, Internal-Data invalid
  Initiator: 10.X.X.131, Responder: 10.X.X.71
  Connection lookup keyid: 1202806582

البيئة

• Cisco Secure Firewall FPR2110-NGFW-K9 Firewall Threat Defense (FTD)، الإصدار 7.4.3 (يظهر لأول مرة)

• يتم فحص حركة مرور SMB (TCP/445) بواسطة جدار الحماية

قرار

حل بديل فوري

1. قم بتكوين سياسة ما قبل التصفية لتخطي الفحص لحركة مرور SMB على جميع الواجهات ذات الصلة، وخاصة واجهة FTD حيث تدخل حركة مرور SMB جدار الحماية.

   access-list CSM_FW_ACL_ line 4 remark rule-id 268459032: PREFILTER POLICY: FTD Prefilter Policy
   access-list CSM_FW_ACL_ line 5 remark rule-id 268459032: RULE: SMB-FastPath
   access-list CSM_FW_ACL_ line 6 advanced trust tcp ifc outside any any eq 445 rule-id 268459032 event-log flow-end

2. مسح إتصالات SMB الموجودة وإعادة تعيين عدادات الحظر

   clear conn port 445 all
   clear blocks

3. تنفيذ هذا الأمر لمراقبة زيادات الكتلة الفاشلة:

   show blocks

إصلاح دائم

1. الترقية إلى الإصدار 7.0.9 أو 7.2.11 أو 7.4.4 أو 7.6.0 من حماية تهديد جدار الحماية الآمن من Cisco.

2. بعد الترقية إلى الإصدار الثابت، قم بمراقبة إستخدام كتلة الذاكرة لتأكيد التثبيت والتحقق من عدم حدوث مزيد من إستهلاك كتلة الذاكرة.

3. وبمجرد ترقيتها إلى الإصدار الثابت، يمكن إزالة حركة مرور SMB بشكل آمن من عامل التصفية المسبق إذا كان ذلك مطلوبا، حيث أنه تم حل الخلل الأساسي.

أوامر أستكشاف الأخطاء وإصلاحها المستخدمة

تم إستخدام هذه الأوامر التشخيصية لتحليل أنماط تخصيص كتلة الذاكرة:

show blocks | redirect disk0:/show.blocks.txt
show blocks pool 80 dump | redirect disk0:/show.block.pool.80.dump.txt
show blocks queue history detail | redirect disk0:/show.blocks.Q.history.detail.txt
show blocks queue history core-local | redirect disk0:/show.blocks.Q.hist.core-local.txt
show blocks old core-local | redirect disk0:/show.blocks.old.core-local.txt
show blocks exhaustion snapshot | redirect disk0:/show.blocks.exhaustion.shapshot.txt
show blocks exhaustion history | redirect disk0:/show.blocks.exhaustion.history.txt
show blocks assigned | redirect disk0:/show.blocks.assigned.txt

السبب

تحدث المشكلة بسبب عيب برمجي معروف في معرف تصحيح الأخطاء من Cisco CSCws19823 في Cisco Secure Firewall Threat Defense، حيث يمكن أن تؤدي الكميات الكبيرة لحركة مرور SMB (TCP/445) التي تم فحصها إلى إستهلاك حجم كتلة الذاكرة 80، مما ينتج عنه عمليات إسقاط حزمة البيانات وتأثيرات ثانوية مثل عدم إستقرار EIGRP وفقدان حركة المرور. يحدث الخلل عندما تخضع حركة مرور SMB للتفتيش الكامل.

المحتوى ذي الصلة

• معرف تصحيح الأخطاء من Cisco CSCws19823 - إستنزاف مجموعات البيانات 80 و 1550 و 9472 الذي يظهر على ASA/FTD 2100 عند إرسال حركة مرور SMB متعددة القنوات

• الدعم الفني والتنزيلات من Cisco

محفوظات المراجعة

المراجعة	تاريخ النشر	التعليقات
1.0	22-Oct-2026	الإصدار الأولي