Fehlerbehebung bei unidirektionalen Audioproblemen in FXO-Ports auf IOS-XE-Routern, wenn ZBF konfiguriert ist

Einführung

Dieses Dokument beschreibt ein unidirektionales Audioproblem, das bei Verwendung der zonenbasierten Firewall (ZBF) bei IOS-XE-Routern auftritt, betrifft dieses Problem die ein- und ausgehenden Anrufe für die Foreign eXchange Office (FXO)-Router-Ports, sobald die ZBF eingerichtet ist.

Dieses Dokument soll in erster Linie erklären, warum dieses Problem auftritt, und Ihnen die Lösung bieten, die erforderlich ist, um die ZBF dazu zu zwingen, dass die Sprachanrufe ordnungsgemäß funktionieren, sowie die bidirektionale Audiokommunikation für die FXO-Router-Ports.

Voraussetzungen

Anforderungen

Cisco empfiehlt, die Cisco ZBF-Konfiguration in IOS-XE-Routern zu kennen.

Verwendete Komponenten

Die Informationen in diesem Dokument basieren auf den folgenden Software- und Hardwareversionen:

• Integrated Services Router (ISR G2)
• IOS-XE 3S

Die Informationen in diesem Dokument wurden von den Geräten in einer bestimmten Laborumgebung erstellt. Alle in diesem Dokument verwendeten Geräte haben mit einer leeren (Standard-)Konfiguration begonnen. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die potenziellen Auswirkungen eines Befehls verstehen.

Problem: Fehlerbehebung von unidirektionalen Audioproblemen in FXO-Ports auf IOS-XE-Routern bei der Konfiguration einer zonenbasierten Firewall

Einwegaudio tritt bei ein- und ausgehenden Anrufen in Routern mit FXO-Ports auf, sobald die ZBF im Router konfiguriert ist. Sobald Sie die ZBF-Zonen von allen Routerschnittstellen entfernt haben, verschwindet das unidirektionale Audioproblem.

Leider zeigt das ZBF bei jedem Auftreten dieses Problems keine Syslog-Meldung an, die angibt oder bestätigt, warum der Sprachdatenverkehr vom ZBF verworfen wird. Auch wenn Sie versuchen, den ZBF dazu zu zwingen, jeden Paketverlust mit einer der folgenden Optionen zu protokollieren, sehen Sie keine Syslog-Drop-Meldung:

Schritt 1: Sie können das Dropdown-Protokoll am Ende jeder ZBF-Richtlinienzuordnung innerhalb der Klassenstandardklasse der letzten Klasse aktivieren:

policy-map type inspect POLICY_INSIDE_TO_SELF
class type inspect CMAP_ZBFW_RFC_1918
  pass
class type inspect CMAP_ZBFW_ALL_PROTOCOLS
  inspect
class class-default
  drop log

ODER

Schritt 2: Sie können die Protokoll-Dropdown-Pakete in der globalen ZBF-Parameterzuordnung aktivieren:

parameter-map type inspect global
 log dropped-packets

 Sie können versuchen, dieses unidirektionale Audiokommunikationsproblem zu beheben, wenn Sie die nächsten ZBF-Konfigurationsänderungen anwenden, aber leider funktioniert es nicht:

• Durch die Konfiguration von Regeln für die Überprüfung und Weiterleitung von Sprachdaten, die den Sprachdatenverkehr von innen in die externe Zone zulassen.
• Konfigurieren Sie Regeln für die Überprüfung und Weiterleitung von Sprachdaten, die den Sprachverkehr von außen in die Innenzone zulassen.
• Konfigurieren Sie Regeln für die Überprüfung und Weiterleitung von Sprachdaten, die den Sprachverkehr von außen zur Selbstzone und umgekehrt zulassen.
• Konfigurieren Sie Regeln für die Überprüfung und Weiterleitung von Sprachdaten, die den Sprachverkehr von innen zur Selbstzone und umgekehrt zulassen.
• Durch Konfigurieren von Regeln für die Überprüfung und Weiterleitung von Aktionen wird der Sprachverkehr von innen in die Innenzone zugelassen.

  

Lösung

Um zu verhindern, dass der ZBF den Sprachdatenverkehr im Zusammenhang mit den FXO-Router-Ports verwirft, müssen Sie alle Service-Engine-Routerschnittstellen, die sich im Status/Protokoll-UP-Zustand befinden, der INSIDE ZBF-Zone zuweisen:

interface Service-Engine0/1/0
 zone-member security INSIDE

interface Service-Engine0/2/0
 zone-member security INSIDE

Sobald die Router-Service-Engine-Schnittstellen im UP-Status/Protokollstatus der INSIDE-Zone zugewiesen sind, wird das unidirektionale Audioproblem durch das ZBF endgültig gelöst. 

Beispiel 1

In dieser IOS-XE ZBF-Implementierung wurden unidirektionale Audioprobleme für eingehende und ausgehende Telefonanrufe vom LAN-Netzwerk zum PSTN bestätigt, nachdem die Dienstmodul-Schnittstellen im UP-Zustand der ZONE_INSIDE-Zone zugewiesen wurden, das unidirektionale Audioproblem schließlich behoben:

R1#sh ip int br
Interface              IP-Address      OK? Method Status                Protocol
GigabitEthernet0/0/0   64.100.0.10     YES NVRAM  up                    up
GigabitEthernet0/0/1   unassigned      YES NVRAM  up                    up
Gi0/0/1                192.168.10.1    YES NVRAM  up                    up
GigabitEthernet0/0/2   unassigned      YES NVRAM  administratively down down
Service-Engine0/1/0 unassigned YES NVRAM up up Service-Engine0/2/0 unassigned YES unset up up
Vlan1                  unassigned      YES unset  administratively down down

interface Service-Engine0/1/0
 zone-member security ZONE_INSIDE

interface Service-Engine0/2/0
 zone-member security ZONE_INSIDE

R1# show zone security
zone self
  Description: System defined zone

zone ZONE_INSIDE
  Member Interfaces:
    GigabitEthernet0/0/1
    Service-Engine0/1/0 Service-Engine0/2/0

zone ZONE_OUTSIDE
  Member Interfaces:
    GigabitEthernet0/0/0

Beispiel 2

In dieser IOS-XE ZBF-Implementierung wurden unidirektionale Audioprobleme für eingehende und ausgehende Telefonanrufe vom LAN-Netzwerk zum PSTN bestätigt, nachdem die Dienstmodul-Schnittstellen im UP-Zustand der vertrauenswürdigen Zone zugewiesen wurden, das unidirektionale Audioproblem schließlich behoben wurde:

R2# show ip int brief
Interface              IP-Address      OK? Method Status                Protocol
GigabitEthernet0/0/0   172.16.1.1      YES NVRAM  up                    up
Gi0/0/1                64.100.0.10     YES NVRAM  up                    up
Service-Engine0/1/0 unassigned YES unset up up Service-Engine0/4/0 unassigned YES unset up up
GigabitEthernet0       unassigned      YES NVRAM  administratively down down
Loopback0              unassigned      YES unset  up                    up
Vlan1                  unassigned      YES unset  administratively down down

interface Service-Engine0/1/0 zone-member security Trusted interface Service-Engine0/4/0 zone-member security Trusted

R2#show zone security
zone self
  Description: System defined zone

zone Trusted
 Member Interfaces:
   GigabitEthernet0/0/0
   Service-Engine0/1/0 Service-Engine0/4/0

zone Untrusted
   Member Interfaces:
     Gi0/0/1

Zugehörige Fehler

CSCuu86175 CUBE auf XE-basierten Plattformen: Anrufe können fehlschlagen, wenn ZBFW aktiviert ist

CSCuh55237 DOC: Das ASR-Dokument sollte "ZBFW nicht kompatibel mit CUBE-SP" widerspiegeln.

Zugehörige Informationen

• Leitfaden zur Sicherheitskonfiguration: Zonenbasierte Firewall, Cisco IOS XE Version 3S

• Die Service-Engine x/y/z muss möglicherweise in eine Zone integriert werden, in der der Sprachverkehr weitergeleitet wird.

• Interface Service Engine