内容

概要

前提条件

要件

使用するコンポーネント

問題：ゾーンベースポリシーファイアウォールが設定されている場合のIOS-XEルータのFXOポートでの片通話の問題のトラブルシューティング

解決方法

例 1

例 2

関連バグ

関連情報

概要

このドキュメントでは、ゾーンベースファイアウォール(ZBF)を使用した場合にIOS XEルータで見られる単方向音声の問題について説明します。この問題は、ZBFが確立されるとすぐにForeign eXchange Office(FXO)ルータポート)のの着信および発信コールにに影響します。

このドキュメントの主な目的は、この問題が発生する理由を説明し、ZBFに音声コールを正しく動作させ、FXOルータポートの双方向の音声通信を可能にするために必要なソリューションを提供することです。

前提条件

要件

IOS-XEルータのCisco ZBF設定に関する知識があることが推奨されます。

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。

- サービス統合型ルータ(ISR G2)

- IOS-XE 3S

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

問題：ゾーンベースポリシーファイアウォールが設定されている場合のIOS-XEルータのFXOポートでの片通話の問題のトラブルシューティング

ZBFがルータに設定されると、FXOポートを持つルータの着信コールと発信コールで片通話が発生します。 すべてのルータインターフェイスからZBFゾーンを削除すると、片通話の問題が解消されます。

残念ながら、この問題が発生するたびに、ZBFは音声トラフィックがZBFによってドロップされる理由を示すsyslogメッセージを表示しません。 ZBFに対して、次のオプションを使用してパケット廃棄をログに記録させようとしても、syslog dropメッセージは表示されません。

ステップ1：各ZBFポリシーマップの最後にあるドロップログを、最後のclass class class-default内で有効にすることができます。

policy-map type inspect POLICY_INSIDE_TO_SELF

class type inspect CMAP_ZBFW_RFC_1918

pass

class type inspect CMAP_ZBFW_ALL_PROTOCOLS

inspect

class class-default

drop log

または

ステップ2：グローバルZBFパラメータマップ内でlog dropped-packetsを有効にできます。

parameter-map type inspect global

log dropped-packets

次のZBF設定の変更を適用した場合、この片通話の問題を解決しようとしますが、残念ながら、まったく機能しませんでした。

- 内部ゾーンから外部ゾーンへの音声トラフィックを許可する検査およびパスアクションルールを設定する。

- 外部から内部ゾーンへの音声トラフィックを許可する検査およびパスアクションルールを設定する。

- 外部からセルフゾーンへの音声トラフィック（またはその逆）を許可するinspectおよびpassアクションルールを設定する

- インサイドからセルフゾーンへの音声トラフィックを許可し、その逆を許可するインスペクションおよびパスアクションルールを設定する

- 内部から内部ゾーンへの音声トラフィックを許可するインスペクションおよびパスアクションルールを設定する。

解決方法

ZBFがFXOルータポートに関連する音声トラフィックをドロップするのを回避するには、ステータス/プロトコルUP状態にあるすべてのサービスエンジンルータインターフェイスをINSIDE ZBFゾーンに割り当てる必要があります。

interface Service-Engine0/1/0

zone-member security INSIDE

interface Service-Engine0/2/0

zone-member security INSIDE

UP状態/プロトコル状態のルータサービスエンジンインターフェイスがINSIDEゾーンに割り当てられると、ZBFによる片通話の問題が最終的に解決されます。

例 1

このIOS-XE ZBFの実装では、LANネットワークからPSTNへの着信および発信電話コールの片通話の問題を確認しました。UP状態のサービスエンジンインターフェイスをZONE_INSIDEゾーンに割り当てた後、片通話の問題がが解決となりました。

R1#sh ip int br

Interface              IP-Address      OK? Method Status                Protocol

GigabitEthernet0/0/0   64.100.0.10     YES NVRAM  up                    up

GigabitEthernet0/0/1   unassigned      YES NVRAM  up                    up

Gi0/0/1                192.168.10.1    YES NVRAM  up                    up

GigabitEthernet0/0/2   unassigned      YES NVRAM  administratively down down

Service-Engine0/1/0 unassigned YES NVRAM up up Service-Engine0/2/0 unassigned YES unset up up

Vlan1                  unassigned      YES unset  administratively down down

interface Service-Engine0/1/0

zone-member security ZONE_INSIDE

interface Service-Engine0/2/0

zone-member security ZONE_INSIDE

R1# show zone security

zone self

Description: System defined zone

zone ZONE_INSIDE

Member Interfaces:

GigabitEthernet0/0/1

Service-Engine0/1/0 Service-Engine0/2/0

zone ZONE_OUTSIDE

Member Interfaces:

GigabitEthernet0/0/0

例 2

このIOS-XE ZBFの実装では、LANネットワークからPSTNへの着信および発信電話コールの片通話の問題を確認しました。UP状態のサービスエンジンインターフェイスをTrustedゾーンに割り当てると、片通話の問題問題が最終的解決されました。

R2# show ip int brief

Interface              IP-Address      OK? Method Status                Protocol

GigabitEthernet0/0/0   172.16.1.1      YES NVRAM  up                    up

Gi0/0/1                64.100.0.10     YES NVRAM  up                    up

Service-Engine0/1/0 unassigned YES unset up up Service-Engine0/4/0 unassigned YES unset up up

GigabitEthernet0       unassigned      YES NVRAM  administratively down down

Loopback0              unassigned      YES unset  up                    up

Vlan1                  unassigned      YES unset  administratively down down

interface Service-Engine0/1/0 zone-member security Trusted interface Service-Engine0/4/0 zone-member security Trusted

R2#show zone security

zone self

Description: System defined zone

zone Trusted

Member Interfaces:

GigabitEthernet0/0/0

Service-Engine0/1/0 Service-Engine0/4/0

zone Untrusted

Member Interfaces:

Gi0/0/1

関連バグ

CSCuu86175 CUBE on XE based platform:ZBFWが有効な状態でコールが失敗することがあります

CSCuh55237 DOC:ASRドキュメントに「ZBFW not interoperable with CUBE-SP」と記載されている必要があります。

関連情報

- セキュリティの設定ガイド：ゾーンベースポリシーファイアウォール、Cisco IOS XEリリース3S

- 音声トラフィックが通過するには、Service-engine x/y/zをゾーンに含める必要がある場合があります

- interface service-engine