お問い合わせ内容
Cisco Secure Firewall Firepowerプラットフォーム（バージョン7.6.4、7.7、および10.0.0）では、同じデバイスに対して複数のSSHセッションがアクティブな場合、CLISH CLIを使用して1つのセッションで長時間実行するコマンド（連続pingなど）を実行すると、他のCLIコマンドが他のセッションまたはCLISHで完了しなくなります。 たとえば、管理者があるSSH CLISHセッションで連続pingを開始し、別のCLISHセッションでshowコマンドを実行しようとした場合、長時間実行されるコマンドが完了するか中止されるまで、後続のコマンドはハングします。 特定のバージョンでは、長時間のpingをCLISHから中断できないため、CLISHまたは展開がロックアップします。 expertモードまたはLINAエンジンを直接(system support diagnostic-cli経由で)使用すると、このブロッキング動作なしで動作できます。
環境
- Cisco Secure Firewall Firepowerハードウェアプラットフォーム：1000、1200、および4200シリーズ
- ソフトウェアバージョン：7.6.4、7.7、10.0.0
- 同じデバイスへの複数のSSHセッション（同一または異なるユーザ）
- CLIインターフェイスをクリックします
- エキスパートモードおよびLINA診断CLIの使用
- コマンドを使用してテスト済み：ping、traceroute、
show sip、show ip、show conn、show xlate
- FPR1010、FPR1200、およびFPR4200アプライアンスで問題が再現
- 関連不具合:CSCws82823、CSCwb84748
解決策
この問題では、次の症状が示されます。
- 異なる、または同一のユーザクレデンシャルを使用して、デバイスへの2つのSSHセッションを確立します。
- セッション1で、FTD CLISHプロンプトから、繰り返し回数が多い長時間実行のpingを実行します。
> ping 1.1.1.1 repeat 2000
注意：テストを行う場合は、2000などの小さい数値で実行してください。この場合、完了までに数時間かかる可能性があります。
注：CLISHのping/tracerouteでは、LINA CLIで直接表示される通常の進行文字は表示されません。
- セッション2で、「show sip」などの別のLINAコマンドをCLISHで実行してみます。
> show sip
- セッション2のコマンドは、セッション1のpingが完了するか中断されるまで完了しません。
次の解像度を使用できます。
- CLISHのロックアップと展開の停止を避けるために、Ctrl+Cを使用して最初の長いコマンドを中断します。
- 該当するバージョンでは、CLISHで長時間実行されているpingをCtrl+CまたはSSHセッションを閉じても中断できません。
- 試行された場合、バックエンドプロセスは続行され、CLISHは他のLINAコマンドに対してロックされたままになります。
- この状態のFTDが見つかった場合、またはFTDが長時間pingを実行して停止状態になったことが疑われる場合は、回復するためにFTDのリブートが必要です。
- CLISH/deploymentのロックアップを回避するには、LINAエンジンを直接使用してLINAコマンドを実行します。 この方法では、不具合のある動作は見られません。
> system support diagnostic-cli
firepower# ping 1.1.1.1 repeat 2000
- LINA診断CLIで実行されるコマンドは、他のセッションでのCLISHまたは展開プロセスをブロックしません。 ただし、システムサポート診断CLIでは、セッションごとに1つのCLIユーザしか許可されません。
その他の考慮事項と確認事項：
- 通常、CLISHではtracerouteコマンドを中止できますが、他のセッションの新しいLINAコマンドに対して一時的に停止が発生する場合があります（3分程度）。
- Secure Firewall Management CenterまたはDevice Managerから開始される導入操作は、両方のプロセスが同期方式を使用し、完了（最大10分）を待つため、CLISHで長時間実行されるpingがアクティブな場合は、遅延またはブロックされる可能性があります。
- このブロッキング動作は、同期プロセス動作の設計に基づいていますが、不具合によって中断できません。
原因
根本的な原因は、不具合(Cisco Bug ID CSCws82823)によりCLISHの特定のCLIコマンドから必要なコードが誤って削除され、LINAエンジンが長時間実行されるコマンドを適切に認識して管理できなくなることです。この結果、Ctrl+Cのアボート機能が失われ、CLISHがロックアップし、長時間実行されるコマンドが完了するまで、他のコマンドと展開操作がブロックされました。このブロッキング動作は、CLISHコマンド処理の同期特性に起因します。
関連コンテンツ
フィードバック