Pare-feu sécurisé FTD : épuisement des blocs de mémoire provoquant des pertes de trafic

Problème

Une perte de trafic intermittente et une interruption de routage se produisent sur un FTD Secure Firewall 2110 utilisant le protocole EIGRP (Enhanced Interior Gateway Routing Protocol). Cela entraîne des pertes de contiguïté et une perte de connectivité Internet. Les symptômes sont corrélés avec l'épuisement des blocs de mémoire (taille de bloc 80 et 9472), ce qui entraîne des pertes de paquets de chemin de données et un impact sur le plan de contrôle. En outre, aucun fichier de panne ou de base n'est généré pour le problème, car aucun redémarrage n'est déclenché.

L'épuisement des blocs de mémoire entraîne l'arrêt du traitement du trafic par l'unité FTD.

firepower# show blocks
SIZE    MAX    LOW    CNT  FAILED
     0   2700   2650   2700      0
     4    200    199    200      0
    80  24000      0      0 2200668
   256   6072   3011   3178      0
  1550   7386   4013   4719      0
  2048    600    572    600      0
  2560    900    889    900      0
  4096    100    100    100      0
  8192    100     97    100      0
  9472  10000      0   2668      1
 16384    100    100    100      0
 65664     16     16     16      0

Les abandons ASP sur le FTD ont montré un grand nombre de abandons « Dispatch queue drops (dispatch-queue-limit) » :

firepower# show asp drop
Frame drop:
  First TCP packet not SYN (tcp-not-syn)                                12357166
  Packet is blacklisted by snort (snort-blacklist)                       1159498
  Fragment reassembly failed (fragment-reassembly-failed)                  53865
  Dispatch queue tail drops (dispatch-queue-limit)                       1582611

Il y a aussi beaucoup de délais de réassemblage de fragments :

firepower# show fragment
Interface: outside
    Configuration: Size: 200, Chain: 24, Timeout: 5, Reassembly: virtual
    Run-time stats: Queue: 0, Full assembly: 1916508
    Drops: Size overflow: 0, Timeout: 6217,
           Chain overflow: 0, Fragment queue threshold exceeded: 47611,
           Small fragments: 0, Invalid IP len: 0,
           Reassembly overlap: 0, Fraghead alloc failed: 0,
           SGT mismatch: 0, Block alloc failed: 0,
           Invalid IPV6 header: 0, Passenger flow assembly failed: 0
           Cluster reinsert collision: 0

Les blocs affectés montrent tous la même allocation indique l'impact du bogue Cisco défectueux ID CSCws19823. (exécutez la commande terminal pager 20 avant de l'exécuter pour limiter la sortie)

firepower# show blocks assigned 
Class size 2, size 80
             Block           allocd_by            freed_by  data size    alloccnt     dup_cnt  oper location  
0xa800000100058c80  0x000000aaad8556ac  0x000000aaad2cefb8        183       17310           0 alloc cvmx_api_pdts_send_to_host
0xa800000100059400  0x000000aaad8556ac  0x000000aaad2cefb8        183        3748           0 alloc cvmx_api_pdts_send_to_host
0xa800000100059b80  0x000000aaad8556ac  0x000000aaad2cefb8        182       74639           0 alloc cvmx_api_pdts_send_to_host
0xa80000010005a300  0x000000aaad8556ac  0x000000aaad7cf0e8        183       23610           0 alloc cvmx_api_pdts_send_to_host
0xa80000010005aa80  0x000000aaad8556ac  0x000000aaad2cefb8        183       40731           0 alloc cvmx_api_pdts_send_to_host

Un examen des connexions sur le FTD confirme que la plupart des connexions entrantes sont du trafic SMB (TCP/445) sur l'interface FTD. (exécutez terminal pager 20 avant l'exécution pour limiter la sortie)

firepower# show conn detail
TCP outside: 10.X.X.49/55970 inside: 10.X.X.73/445,
    flags UIO N1, idle 1m13s, uptime 1h52m, timeout 1h0m, bytes 163283, xlate id 0xffe0384b00, flow id 22065316, rule id 268441603, Rx-RingNum invalid, Internal-Data invalid
  Initiator: 10.X.X.49, Responder: 10.X.X.73
  Connection lookup keyid: 3616633230
TCP outside: 10.X.X.72/57775 inside: 10.X.X.214/445,
    flags UIO N1, idle 5s, uptime 2h6m, timeout 1h0m, bytes 182005, xlate id 0xffe0384b00, flow id 22025418, rule id 268441603, Rx-RingNum invalid, Internal-Data invalid
  Initiator: 10.X.X.72, Responder: 10.X.X.214
  Connection lookup keyid: 3661674758
TCP outside: 10.X.X.131/54313 inside: 10.X.X.71/445,
    flags UIO N1, idle 29s, uptime 9m35s, timeout 1h0m, bytes 26205, xlate id 0xffe0384b00, flow id 22429664, rule id 268441603, Rx-RingNum invalid, Internal-Data invalid
  Initiator: 10.X.X.131, Responder: 10.X.X.71
  Connection lookup keyid: 1202806582

Environnement

• Cisco Secure Firewall FPR2110-NGFW-K9 Firewall Threat Defense (FTD) version 7.4.3 (première vue)

• Trafic SMB (TCP/445) inspecté par le pare-feu

Résolution

Solution de contournement immédiate

1. Configurez une stratégie de préfiltre pour contourner l'inspection du trafic SMB sur toutes les interfaces concernées, en particulier l'interface FTD où le trafic SMB entre dans le pare-feu.

   access-list CSM_FW_ACL_ line 4 remark rule-id 268459032: PREFILTER POLICY: FTD Prefilter Policy
   access-list CSM_FW_ACL_ line 5 remark rule-id 268459032: RULE: SMB-FastPath
   access-list CSM_FW_ACL_ line 6 advanced trust tcp ifc outside any any eq 445 rule-id 268459032 event-log flow-end

2. Effacer les connexions SMB existantes et réinitialiser les compteurs de blocs

   clear conn port 445 all
   clear blocks

3. Exécutez cette commande pour surveiller les incréments de bloc ayant échoué :

   show blocks

Correction permanente

1. Passez à la version 7.0.9, 7.2.11, 7.4.4 ou 7.6.0 de Cisco Secure Firewall Threat Defense.

2. Après la mise à niveau vers la version fixe, surveillez l'utilisation des blocs de mémoire pour confirmer la stabilisation et vérifier qu'aucun autre épuisement des blocs de mémoire ne se produit.

3. Une fois mis à niveau vers la version fixe, le trafic SMB peut être supprimé en toute sécurité du préfiltre si nécessaire, car le défaut sous-jacent a été résolu.

Commandes de dépannage utilisées

Ces commandes de diagnostic ont été utilisées pour analyser les modèles d'allocation de blocs de mémoire :

show blocks | redirect disk0:/show.blocks.txt
show blocks pool 80 dump | redirect disk0:/show.block.pool.80.dump.txt
show blocks queue history detail | redirect disk0:/show.blocks.Q.history.detail.txt
show blocks queue history core-local | redirect disk0:/show.blocks.Q.hist.core-local.txt
show blocks old core-local | redirect disk0:/show.blocks.old.core-local.txt
show blocks exhaustion snapshot | redirect disk0:/show.blocks.exhaustion.shapshot.txt
show blocks exhaustion history | redirect disk0:/show.blocks.exhaustion.history.txt
show blocks assigned | redirect disk0:/show.blocks.assigned.txt

Motif

Le problème est causé par un défaut logiciel connu, l'ID de bogue Cisco CSCws19823 dans Cisco Secure Firewall Threat Defense, où des volumes élevés de trafic SMB inspecté (TCP/445) pourraient entraîner un épuisement des blocs de mémoire de taille 80, entraînant des pertes de paquets de chemin de données et des effets secondaires tels que l'instabilité EIGRP et la perte de trafic. Le défaut se produit lorsque le trafic SMB est soumis à une inspection complète.

Autres informations utiles

• ID de bogue Cisco CSCws19823 - Déplétion des blocs 80, 1550 et 9472 sur ASA/FTD 2100 lors de l'envoi de trafic multicanal SMB

• Assistance technique de Cisco et téléchargements

Historique de révision

Révision	Date de publication	Commentaires
1.0	22-Oct-2026	Première publication