トラフィックドロップを引き起こすセキュアファイアウォールFTDメモリブロックの枯渇

ダウンロードオプション

PDF (324.1 KB)
Adobe Reader を使ってさまざまなデバイスで表示
ePub (79.3 KB)
iPhone、iPad、Android、ソニーの Reader、または Windows Phone 上で、さまざまなアプリを使って表示
Mobi (Kindle) (65.4 KB)
Kindle デバイスで、または Kindle アプリを使って複数のデバイスで表示

Updated: 2026 年 10 月 22 日

Document ID:226471

偏向のない言語

この製品のドキュメントセットは、偏向のない言語を使用するように配慮されています。このドキュメントセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージの取り組みの詳細は、こちらをご覧ください。

翻訳について

シスコは世界中のユーザにそれぞれの言語でサポートコンテンツを提供するために、機械と人による翻訳を組み合わせて、本ドキュメントを翻訳しています。ただし、最高度の機械翻訳であっても、専門家による翻訳のような正確性は確保されません。シスコは、これら翻訳の正確性について法的責任を負いません。原典である英語版（リンクからアクセス可能）もあわせて参照することを推奨します。

内容

問題

Enhanced Interior Gateway Routing Protocol(EIGRP)を使用するSecure Firewall 2110 FTDで、トラフィックの断続的な損失とルーティングの中断が発生します。これにより、隣接関係のドロップとインターネット接続の喪失が発生します。症状はメモリブロックの枯渇（ブロックサイズ80および9472）と相関し、データパスパケットのドロップとコントロールプレーンへの影響を引き起こします。さらに、リブートがトリガーされないため、この問題に関するクラッシュファイルやコアファイルは生成されません。

メモリブロックの枯渇により、FTDユニットではトラフィックの処理が停止します。

firepower# show blocks
SIZE    MAX    LOW    CNT  FAILED
     0   2700   2650   2700      0
     4    200    199    200      0
    80  24000      0      0 2200668
   256   6072   3011   3178      0
  1550   7386   4013   4719      0
  2048    600    572    600      0
  2560    900    889    900      0
  4096    100    100    100      0
  8192    100     97    100      0
  9472  10000      0   2668      1
 16384    100    100    100      0
 65664     16     16     16      0

FTDでのASPドロップによって、「Dispatch queue tail drops (dispatch-queue-limit)」ドロップのカウントが大きくなっていることが分かります。

firepower# show asp drop
Frame drop:
  First TCP packet not SYN (tcp-not-syn)                                12357166
  Packet is blacklisted by snort (snort-blacklist)                       1159498
  Fragment reassembly failed (fragment-reassembly-failed)                  53865
  Dispatch queue tail drops (dispatch-queue-limit)                       1582611

また、フラグメントの再構成のタイムアウトも数多く発生します。

firepower# show fragment
Interface: outside
    Configuration: Size: 200, Chain: 24, Timeout: 5, Reassembly: virtual
    Run-time stats: Queue: 0, Full assembly: 1916508
    Drops: Size overflow: 0, Timeout: 6217,
           Chain overflow: 0, Fragment queue threshold exceeded: 47611,
           Small fragments: 0, Invalid IP len: 0,
           Reassembly overlap: 0, Fraghead alloc failed: 0,
           SGT mismatch: 0, Block alloc failed: 0,
           Invalid IPV6 header: 0, Passenger flow assembly failed: 0
           Cluster reinsert collision: 0

割り当てられたブロックすべてが同じ割り当てを示す場合は、不具合による影響を示しています。Cisco Bug ID CSCws19823（登録ユーザ専用）（terminal pager 20コマンドを実行してから出力を制限する）

firepower# show blocks assigned 
Class size 2, size 80
             Block           allocd_by            freed_by  data size    alloccnt     dup_cnt  oper location  
0xa800000100058c80  0x000000aaad8556ac  0x000000aaad2cefb8        183       17310           0 alloc cvmx_api_pdts_send_to_host
0xa800000100059400  0x000000aaad8556ac  0x000000aaad2cefb8        183        3748           0 alloc cvmx_api_pdts_send_to_host
0xa800000100059b80  0x000000aaad8556ac  0x000000aaad2cefb8        182       74639           0 alloc cvmx_api_pdts_send_to_host
0xa80000010005a300  0x000000aaad8556ac  0x000000aaad7cf0e8        183       23610           0 alloc cvmx_api_pdts_send_to_host
0xa80000010005aa80  0x000000aaad8556ac  0x000000aaad2cefb8        183       40731           0 alloc cvmx_api_pdts_send_to_host

FTDの接続を確認すると、着信接続のほとんどがFTDインターフェイスのSMB(TCP/445)トラフィックであることが確認できます。（terminal pager 20を実行してから出力を制限する）

firepower# show conn detail
TCP outside: 10.X.X.49/55970 inside: 10.X.X.73/445,
    flags UIO N1, idle 1m13s, uptime 1h52m, timeout 1h0m, bytes 163283, xlate id 0xffe0384b00, flow id 22065316, rule id 268441603, Rx-RingNum invalid, Internal-Data invalid
  Initiator: 10.X.X.49, Responder: 10.X.X.73
  Connection lookup keyid: 3616633230
TCP outside: 10.X.X.72/57775 inside: 10.X.X.214/445,
    flags UIO N1, idle 5s, uptime 2h6m, timeout 1h0m, bytes 182005, xlate id 0xffe0384b00, flow id 22025418, rule id 268441603, Rx-RingNum invalid, Internal-Data invalid
  Initiator: 10.X.X.72, Responder: 10.X.X.214
  Connection lookup keyid: 3661674758
TCP outside: 10.X.X.131/54313 inside: 10.X.X.71/445,
    flags UIO N1, idle 29s, uptime 9m35s, timeout 1h0m, bytes 26205, xlate id 0xffe0384b00, flow id 22429664, rule id 268441603, Rx-RingNum invalid, Internal-Data invalid
  Initiator: 10.X.X.131, Responder: 10.X.X.71
  Connection lookup keyid: 1202806582

環境

Cisco Secure Firewall FPR2110-NGFW-K9 Firewall Threat Defense(FTD)バージョン7.4.3（初公開）
ファイアウォールによって検査されるSMB(TCP/445)トラフィック

解決方法

当面の回避策

関連するすべてのインターフェイス、特にSMBトラフィックがファイアウォールに入るFTDインターフェイスで、SMBトラフィックの検査をバイパスするようにプレフィルタポリシーを設定します。

access-list CSM_FW_ACL_ line 4 remark rule-id 268459032: PREFILTER POLICY: FTD Prefilter Policy
access-list CSM_FW_ACL_ line 5 remark rule-id 268459032: RULE: SMB-FastPath
access-list CSM_FW_ACL_ line 6 advanced trust tcp ifc outside any any eq 445 rule-id 268459032 event-log flow-end

既存のSMB接続をクリアし、ブロックカウンタをリセットします
```
clear conn port 445 all
clear blocks
```
失敗したブロックの増分を監視するには、次のコマンドを実行します。
```
show blocks
```

パーマネントフィックス

Cisco Secure Firewall Threat Defenseバージョン7.0.9、7.2.11、7.4.4、または7.6.0にアップグレードします。
修正済みリリースにアップグレードした後、メモリブロックの使用率を監視して安定化を確認し、メモリブロックの枯渇が今後も発生しないことを確認します。
修正済みバージョンにアップグレードすると、SMBトラフィックは基盤となる不具合が解決されているため、必要に応じてプレフィルタから安全に削除できます。

使用するトラブルシューティングコマンド

次の診断コマンドは、メモリブロック割り当てパターンの分析に使用されました。

show blocks | redirect disk0:/show.blocks.txt
show blocks pool 80 dump | redirect disk0:/show.block.pool.80.dump.txt
show blocks queue history detail | redirect disk0:/show.blocks.Q.history.detail.txt
show blocks queue history core-local | redirect disk0:/show.blocks.Q.hist.core-local.txt
show blocks old core-local | redirect disk0:/show.blocks.old.core-local.txt
show blocks exhaustion snapshot | redirect disk0:/show.blocks.exhaustion.shapshot.txt
show blocks exhaustion history | redirect disk0:/show.blocks.exhaustion.history.txt
show blocks assigned | redirect disk0:/show.blocks.assigned.txt

原因

この問題は、Cisco Secure Firewall Threat Defenseの既知のソフトウェア不具合Cisco Bug ID CSCws19823で発生します。このバージョンでは、大量の検査済みSMB(TCP/445)トラフィックによってメモリブロックサイズ80が使い果たされ、データパスパケットのドロップ、およびEIGRPの不安定性やトラフィック損失などの二次的な影響が発生する可能性があります。この不具合は、SMBトラフィックが完全なインスペクションを受けたときに発生します。

トラフィックドロップを引き起こすセキュアファイアウォールFTDメモリブロックの枯渇

ダウンロードオプション

偏向のない言語

翻訳について

内容

問題

環境

解決方法

当面の回避策

パーマネントフィックス

使用するトラブルシューティングコマンド

原因

関連コンテンツ

更新履歴

シスコエンジニア提供

このドキュメントは役に立ちましたか?

シスコに問い合わせ

このドキュメントは次の製品に対応しています

トラフィックドロップを引き起こすセキュアファイアウォールFTDメモリブロックの枯渇

ダウンロード オプション

偏向のない言語

翻訳について

内容

問題

環境

解決方法

当面の回避策

パーマネント フィックス

使用するトラブルシューティングコマンド

原因

関連コンテンツ

更新履歴

シスコ エンジニア提供

このドキュメントは役に立ちましたか?

シスコに問い合わせ

このドキュメントは次の製品に対応しています

ダウンロードオプション

パーマネントフィックス

シスコエンジニア提供