جدار الحماية الآمن FTD - حظر تسجيل صوت الهاتف للتكبير/التصغير ؛ نظرا لوجود VDB قديم

مسألة

يواجه المستخدمون مشكلات صوتية مع مكالمات Zoom Phone حيث تتصل المكالمات ولكن الصوت مفقود. يقوم FTD بإسقاط حزم وسائط UDP من نطاقات Zoom IP، ويظهرها كمحظورة من قبل Snort في عمليات التقاط الحزم وعدادات إسقاط ASP.

واشتملت الأعراض المحددة على ما يلي:

• يقوم جدار الحماية بتشغيل Cisco Vulnerability Database (VDB) الإصدار 427 أو إصدار أقدم.

• يحتوي جدار الحماية على قاعدة وصول يجب أن تسمح بحركة مرور التكبير/التصغير استنادا إلى معرفات تطبيق التكبير/التصغير الافتراضية التي توفرها قاعدة بيانات Firepower. يجب أن تسمح القاعدة لكافة هذه المنافذ من خلال معرفات تطبيقات التكبير/التصغير، وفقا appid.cisco.com:

  • تكبير/تصغير المستخدم (6243): 80٬443/tcp

  • تنزيل التكبير/التصغير (4628): 80٬443/tcp

  • تحميل التكبير (4627): 80٬443/tcp

  • إجتماع التكبير (4629): بروتوكول TCP/80

  • صوت RTP (2475): 5004/UDP

  • بروتوكول SIP (معيار 426): 5060/UDP

• ومع ذلك، يظهر إخراج Packet-tracer أن حركة المرور يتم إسقاطها بواسطة سبب قائمة الحظر "محظورة أو مدرجة في القائمة السوداء بواسطة معالج جدار الحماية المسبق".

  Phase: 17
  Type: SNORT
  Subtype: firewall
  Result: DROP
  Elapsed time: 345716 ns
  Config:
  Network 0, Inspection 0, Detection 4, Rule ID 268434438
  Additional Information:
  Starting rule matching, zone 3 -> 3, geo 840 -> 840, vlan 0, src sgt: 0, src sgt type: unknown, dst sgt: 0, dst sgt type: unknown, user 9999997, no url or host, no xff
  Matched rule ids 268434438 - Block
  
  Result:
  input-interface: Outside(vrfid:0)
  input-status: up
  input-line-status: up
  output-interface: Outside(vrfid:0)
  output-status: up
  output-line-status: up
  Action: drop
  Time Taken: 640578 ns
  Drop-reason: (firewall) Blocked or blacklisted by the firewall preprocessor, Drop-location: frame inspect_dp_snort_snp_drop_frame_wcaller:61 flow (NA)/NA

• تظهر عمليات التقاط الحزم عمليات السقوط لسبب: "قائمة الشخير السوداء".

  40:  22:52:36.383692       206.247.118.57.60030 > 10.X.X.1.9178:  udp 103 Drop-reason: (snort-blacklist) Packet is blacklisted by snort, Drop-location: frame inspect_dp_snort_snp_drop_frame_wcaller:61 flow (NA)/NA
  141: 22:52:36.383723       206.247.118.57.60030 > 10.X.X.1.9178:  udp 103 Drop-reason: (snort-blacklist) Packet is blacklisted by snort, Drop-location: frame inspect_dp_snort_snp_drop_frame_wcaller:61 flow (NA)/NA
  142: 22:52:36.385188       206.247.118.57.60030 > 10.X.X.1.9178:  udp 44 Drop-reason: (snort-blacklist) Packet is blacklisted by snort, Drop-location: frame inspect_dp_snort_snp_drop_frame_wcaller:61 flow (NA)/NA

• في مخرجات تتبع دعم النظام، يتم تأجيل حركة المرور أثناء مطابقة القاعدة بسبب تعريف التطبيق المعلق. ومع ذلك، تم تعريف حركة المرور بشكل غير صحيح وتم حظرها. عنوان IP هو عنوان IP للتكبير/التصغير يتطلب الوصول وفقا لإعدادات جدار حماية الشبكة أو الخادم الوكيل لمقال التكبير.

  10.X.X.1 9476 -> 206.247.118.12 24794 17 AS=0 ID=1 GR=1-1 pending rule order 12, 'allow-outbound', AppID
  10.X.X.1 9476 -> 206.247.118.12 24794 17 AS=0 ID=1 GR=1-1 Deferring trust until a rule is matched
  ---
  10.X.X.1 9476 -> 206.247.118.12 24794 17 AS=0 ID=1 GR=1-1 match rule order 28, 'Default Block', action Block
  10.X.X.1 9476 -> 206.247.118.12 24794 17 AS=0 ID=1 GR=1-1 MidRecovery data sent for rule id: 268434438, rule_action:4, rev id:712564073, rule_match flag:0x1
  10.X.X.1 9476 -> 206.247.118.12 24794 17 AS=0 ID=1 GR=1-1 Matched a rule, stop deferring trust
  10.X.X.1 9476 -> 206.247.118.12 24794 17 AS=0 ID=1 GR=1-1 Generating an SOF event with rule_id = 268434438 ruleAction = 4 ruleReason = None
  10.X.X.1 9476 -> 206.247.118.12 24794 17 AS=0 ID=1 GR=1-1 deny action
  10.X.X.1 9476 -> 206.247.118.12 24794 17 AS=0 ID=1 GR=1-1 Deleting Firewall session flags=0x20, logFlags=0x5001
  206.247.118.12 24794 -> 10.X.X.1 9476 17 AS=0 ID=1 GR=1-1 Packet 17168248: UDP, 04/14-14:44:53.110391
  206.247.118.12 24794 -> 10.X.X.1 9476 17 AS=0 ID=1 GR=1-1 Firewall: starting rule matching, zone 1 -> 3, geo 0(0) -> 840, vlan 0, src sgt: 0, src sgt type: unknown, dst sgt: 0, dst sgt type: unknown, user 9999997, no url, no xff
  206.247.118.12 24794 -> 10.X.X.1 9476 17 AS=0 ID=1 GR=1-1 Firewall: block rule, 'Default Block', force_block
  206.247.118.12 24794 -> 10.X.X.1 9476 17 AS=0 ID=1 GR=1-1 AppID: service: (-1), client: (0), payload: (0), misc: (0)
  206.247.118.12 24794 -> 10.X.X.1 9476 17 AS=0 ID=1 GR=1-1 Stream: pending block, drop
  206.247.118.12 24794 -> 10.X.X.1 9476 17 AS=0 ID=1 GR=1-1 Policies: Network 0, Inspection 0, Detection 4
  206.247.118.12 24794 -> 10.X.X.1 9476 17 AS=0 ID=1 GR=1-1 Verdict: blacklist

• تشير عمليات تعقب دعم النظام إلى أن "مرشح عميل RTP قام بإرجاع رسائل غير صحيحة (-11)" و"قام الطرف الثالث بإرجاع رسائل غير معروفة (0)" عند محاولة Zoom IP للرد.

  206.247.118.55 54808 -> 10.X.X.1 9824 17 AS=0 ID=2 GR=1-1 New AppId session
  206.247.118.55 54808 -> 10.X.X.1 9824 17 AS=0 ID=2 GR=1-1 3rd party returned unknown (0)
  206.247.118.55 54808 -> 10.X.X.1 9824 17 AS=0 ID=2 GR=1-1 RTP client candidate returned error-invalid (-11)
  10.X.X.1 9824 -> 206.247.118.55 54808 17 AS=0 ID=2 GR=1-1 app event changes: created

• يعرض أمر FTD show asp drop زيادة سريعة في حالات إسقاط قائمة الحظر.

  Frame drop:
  -----------------------ABBREVIATED-----------------------
    Blocked or blacklisted by the firewall preprocessor (firewall)           11224
    Blocked or blacklisted by the stream preprocessor (stream)                2354
    Fragment reassembly failed (fragment-reassembly-failed)                      3
    Packet is blacklisted by snort (snort-blacklist)                         27173
    Packet is blocked as requested by snort (snort-block)                       42

البيئة

• Cisco Firepower FTD، الإصدار 7.7.11 المدارة من قبل FMC

• قاعدة بيانات الثغرات (VDB) الإصدار 427 أو إصدار أقدم

• إصدار snort 3.3.5.1100-66

• تؤثر حركة المرور بشكل أساسي على الشبكات الفرعية Zoom IP 170.114.0.0/16 و 206.247.0.0/16، ولكن يمكن أن تتضمن عناوين IP أخرى للتكبير/التصغير

قرار

حل بديل لمعرف تصحيح الأخطاء من Cisco CSCwu22106 - تنفيذ قاعدة التصفية المسبقة

1: قم بإنشاء قاعدة عامل تصفية مسبق لحركة مرور التكبير.

انتقل إلى السياسات > التحكم في الوصول > Prefilter وإنشاء قاعدة جديدة باستخدام هذا التكوين:

• اسم القاعدة: مرشح التكبير المسبق

• الإجراء: مسار سريع

• المنطقة المصدر: واجهة الإدخال

• منطقة الوجهة: واجهة الإخراج

• عنوان المصدر: أي

• منفذ المصدر: أي

• عنوان الوجهة: نطاقات Zoom IP (170.114.0.0/16، 206.247.0.0/16) وأي نطاقات أخرى مذكورة في إعدادات جدار حماية الشبكة أو الخادم الوكيل.

• غاية ميناء: UDP 10000-64000

2: تكوين قاعدة التحكم في الوصول البديل

إذا لم تكن التصفية المسبقة مفضلة، فقم بتعديل قاعدة "سياسة التحكم بالوصول" الموجودة عن طريق إزالة معرفات تطبيق التكبير/التصغير واستخدام مطابقة IP ومطابقة المنافذ الصريحة:

• اسم القاعدة: السماح بالتكبير/التصغير

• الإجراء: سماح

• المنطقة المصدر: واجهة الإدخال

• منطقة الوجهة: واجهة OUPUT

• عنوان المصدر: أي

• منفذ المصدر: أي

• عنوان الوجهة: نطاقات Zoom IP (170.114.0.0/16، 206.247.0.0/16) وأي نطاقات أخرى مذكورة في إعدادات جدار حماية الشبكة أو الخادم الوكيل.

• غاية ميناء: UDP / "منافذ التكبير/الهاتف" (النطاق 10000 64000)

• التسجيل: (إختياري، لمراقبة حركة المرور المسموح بها)

3: قم بنشر تغييرات التكوين على أجهزة FTD وتحقق من إستعادة وظائف الصوت ثنائي الإتجاه.

• تم إيقاف عدادات إسقاط ASP للمراقبة لتأكيد حظر الإدراج:

  device# show asp drop

• تحقق من التقاط الحزم لحركة المرور الثنائية الإتجاه الناجحة:

  device# show capture

4: تم حل مشكلة معرف تصحيح الأخطاء من Cisco CSCwu22106 في إصدار Cisco Vulnerability Database (VDB) الإصدار 428. يجب أن تقوم أجهزة FirePOWER بتشغيل أحدث إصدارات VDB لتجنب التأثير من هذا العيب. وبالمثل، تم حل الخطأ ذي الصلة بمعرف تصحيح الأخطاء من Cisco CSCwn80786 في الإصدار 395 من VDB.

السبب

يتسبب أحد العيوب الموجودة في توقيعات تعريف تطبيق جدار الحماية الآمن من Cisco الموجودة داخل الإصدار 427 من قاعدة بيانات الثغرات (VDB) في تصنيف حركة مرور وسائط تكبير/تصغير الهاتف بشكل غير صحيح وتم حظرها بعد ذلك بواسطة محرك فحص Snort. يتم تعقب هذا السلوك تحت معرف تصحيح الأخطاء من Cisco CSCwu22106 والعيوب ذات الصلة بمعرف تصحيح الأخطاء من Cisco CSCwn80786، والذي يوثق معالجة غير صحيحة لعناوين Zoom IP وتدفقات الوسائط عند إستخدام معرفات التطبيقات.

المحتوى ذي الصلة

• تكبير/تصغير إعدادات جدار حماية الشبكة أو الخادم الوكيل

• أفضل الممارسات للتصفية المسبقة للمسار السريع

• معرف تصحيح الأخطاء من Cisco CSCwu22106 - قم بتكبير عناوين IP التي تمت معالجتها بشكل غير صحيح في VDB 427

• معرف تصحيح الأخطاء من Cisco CSCwn80786 - لا يكتشف مكتشف تطبيق التكبير/التصغير شبكات هاتف التكبير/التصغير

• الدعم الفني والتنزيلات من Cisco