Risoluzione dei problemi audio unidirezionale nelle porte FXO sui router IOS-XE quando ZBF è configurato

Introduzione

Questo documento descrive un problema audio unidirezionale rilevato nei router IOS-XE quando si usa il firewall basato su zone (ZBF), questo problema influisce sulle chiamate in entrata e in uscita per le porte del router Foreign eXchange Office (FXO) non appena lo ZBF è installato.

Lo scopo principale di questo documento è quello di spiegare perché questo problema si verifica e fornire la soluzione necessaria per forzare la ZBF a consentire alle chiamate vocali di funzionare correttamente e con comunicazione audio bidirezionale per le porte del router FXO.

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza della configurazione di Cisco ZBF sui router IOS-XE.

Componenti usati

Le informazioni fornite in questo documento si basano sulle seguenti versioni software e hardware:

• ISR G2 (Integrated Services Router)
• IOS-XE 3S

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Problema: Risoluzione Dei Problemi Audio Unidirezionale Nelle Porte FXO Sui Router IOS-XE Quando È Configurato Il Firewall Delle Policy Basato Su Zone

L'audio unidirezionale viene riscontrato sulle chiamate in entrata e in uscita nei router con porte FXO non appena lo ZBF viene configurato nel router. Dopo aver rimosso le zone ZBF da tutte le interfacce del router, il problema audio unidirezionale scompare.

Sfortunatamente, ogni volta che questo problema si verifica, lo ZBF non visualizza alcun messaggio di syslog che indica o conferma perché il traffico vocale viene scartato dallo ZBF. Anche se si cerca di forzare lo ZBF a registrare qualsiasi pacchetto perso con una di queste opzioni, non si vede alcun messaggio syslog drop:

Passaggio 1. È possibile abilitare il drop log alla fine di ogni mappa dei criteri ZBF nell'ultima classe predefinita:

policy-map type inspect POLICY_INSIDE_TO_SELF
class type inspect CMAP_ZBFW_RFC_1918
  pass
class type inspect CMAP_ZBFW_ALL_PROTOCOLS
  inspect
class class-default
  drop log

O

Passaggio 2. È possibile abilitare i pacchetti di log eliminati nella mappa dei parametri ZBF globali:

parameter-map type inspect global
 log dropped-packets

 Potete provare a risolvere questo problema di comunicazione audio unidirezionale se vengono applicate le successive modifiche alla configurazione ZBF, ma purtroppo non funzionerà affatto:

• Configurare le regole di controllo e superamento delle azioni che consentono il traffico vocale dalla zona interna a quella esterna.
• Configurare le regole di controllo e superamento delle azioni che consentono il traffico vocale dall'esterno alla zona interna.
• Configurando le regole di controllo e superamento delle azioni che consentono il traffico vocale dall'esterno verso la zona autonoma e viceversa.
• Configurando le regole di azione inspect e pass che consentono il traffico vocale dall'interno alla zona self e viceversa.
• Configurare le regole di azione inspect e pass che consentono il traffico vocale dall'interno alla zona interna.

  

Soluzione

Per evitare che la ZBF scarti il traffico vocale relativo alle porte del router FXO, è necessario assegnare tutte le interfacce del router del motore di servizio che sono nello stato Status/Protocol UP alla zona INSIDE ZBF:

interface Service-Engine0/1/0
 zone-member security INSIDE

interface Service-Engine0/2/0
 zone-member security INSIDE

Una volta che le interfacce del motore di servizio del router in stato UP/protocollo sono state assegnate alla zona INSIDE, il problema audio unidirezionale attraverso ZBF viene risolto. 

Esempio 1

In questa implementazione IOS-XE ZBF, sono stati confermati i problemi audio unidirezionali per le chiamate telefoniche in entrata e in uscita dalla rete LAN alla PSTN, dopo l'assegnazione delle interfacce del motore di servizio in stato UP alla zona ZONE_INSIDE, il problema audio unidirezionale è stato finalmente risolto:

R1#sh ip int br
Interface              IP-Address      OK? Method Status                Protocol
GigabitEthernet0/0/0   64.100.0.10     YES NVRAM  up                    up
GigabitEthernet0/0/1   unassigned      YES NVRAM  up                    up
Gi0/0/1                192.168.10.1    YES NVRAM  up                    up
GigabitEthernet0/0/2   unassigned      YES NVRAM  administratively down down
Service-Engine0/1/0 unassigned YES NVRAM up up Service-Engine0/2/0 unassigned YES unset up up
Vlan1                  unassigned      YES unset  administratively down down

interface Service-Engine0/1/0
 zone-member security ZONE_INSIDE

interface Service-Engine0/2/0
 zone-member security ZONE_INSIDE

R1# show zone security
zone self
  Description: System defined zone

zone ZONE_INSIDE
  Member Interfaces:
    GigabitEthernet0/0/1
    Service-Engine0/1/0 Service-Engine0/2/0

zone ZONE_OUTSIDE
  Member Interfaces:
    GigabitEthernet0/0/0

Esempio 2

In questa implementazione IOS-XE ZBF, sono stati confermati i problemi audio unidirezionali per le chiamate telefoniche in entrata e in uscita dalla rete LAN alla PSTN, dopo l'assegnazione delle interfacce del motore di servizio nello stato UP alla zona trusted, il problema audio unidirezionale è stato finalmente risolto:

R2# show ip int brief
Interface              IP-Address      OK? Method Status                Protocol
GigabitEthernet0/0/0   172.16.1.1      YES NVRAM  up                    up
Gi0/0/1                64.100.0.10     YES NVRAM  up                    up
Service-Engine0/1/0 unassigned YES unset up up Service-Engine0/4/0 unassigned YES unset up up
GigabitEthernet0       unassigned      YES NVRAM  administratively down down
Loopback0              unassigned      YES unset  up                    up
Vlan1                  unassigned      YES unset  administratively down down

interface Service-Engine0/1/0 zone-member security Trusted interface Service-Engine0/4/0 zone-member security Trusted

R2#show zone security
zone self
  Description: System defined zone

zone Trusted
 Member Interfaces:
   GigabitEthernet0/0/0
   Service-Engine0/1/0 Service-Engine0/4/0

zone Untrusted
   Member Interfaces:
     Gi0/0/1

Bug correlati

CSCuu86175 CUBE su piattaforme basate su XE: Le chiamate potrebbero non riuscire con ZBFW abilitato

CSCuh55237 DOC. : Il documento ASR deve riflettere 'ZBFW non interoperabile con CUBE-SP'

Informazioni correlate

• Guida alla configurazione della protezione: Policy Firewall basato su zone, Cisco IOS XE release 3S

• Per consentire il passaggio del traffico vocale, potrebbe essere necessario includere il motore di servizio x/y/z in una zona

• interface service-engine