DTLS 플로우 오프로드 문제로 인해 보안 방화벽이 예기치 않게 재부팅됨

문제

Cisco FTD(Secure Firewall Threat Defense)는 시스템 재부팅을 경험하므로 전통적인 crashinfo 파일을 생성하지 않고도 서비스 중단을 반복적으로 초래합니다. 트러블슈팅 과정에서 반복적인 crypto_eng0_arch_* 파일 생성과 더불어 리부팅 이벤트와 일치하는 반복적인 NPU 가속기 및 FPGA 치명적 오류 메시지가 관찰됩니다.

• FTD 디렉토리는 재부팅 이벤트와 일치하는 타임스탬프가 있는 crypto_eng0_arch_* 파일의 반복된 생성을 확인합니다.

  firepower# dir crypto_archive
  -rwxr-xr-x 1 root root 55310816 Mar 12 01:22 crypto_eng0_arch_1.bin
  -rwxr-xr-x 1 root root      869 Mar 12 01:22 crypto_eng0_arch_1.info
  -rwxr-xr-x 1 root root   409235 Mar 12 01:22 crypto_eng0_arch_1.reg
  -rwxr-xr-x 1 root root 55310816 Mar 12 04:25 crypto_eng0_arch_2.bin
  -rwxr-xr-x 1 root root      869 Mar 12 04:25 crypto_eng0_arch_2.info
  -rwxr-xr-x 1 root root   409111 Mar 12 04:25 crypto_eng0_arch_2.reg
  -rwxr-xr-x 1 root root 55310816 Mar 12 09:45 crypto_eng0_arch_3.bin
  -rwxr-xr-x 1 root root      869 Mar 12 09:45 crypto_eng0_arch_3.info
  -rwxr-xr-x 1 root root   408688 Mar 12 09:44 crypto_eng0_arch_3.reg
  -rwxr-xr-x 1 root root 55310816 Mar 11 18:48 crypto_eng0_arch_4.bin
  -rwxr-xr-x 1 root root      869 Mar 11 18:48 crypto_eng0_arch_4.info
  -rwxr-xr-x 1 root root   408895 Mar 11 18:48 crypto_eng0_arch_4.reg
  -rwxr-xr-x 1 root root 55310816 Mar 11 21:11 crypto_eng0_arch_5.bin
  -rwxr-xr-x 1 root root      869 Mar 11 21:11 crypto_eng0_arch_5.info
  -rwxr-xr-x 1 root root   409136 Mar 11 21:11 crypto_eng0_arch_5.reg

• FTD 로그는 예기치 않은 재부팅 및 crypto_eng0_arch_* 파일의 타이밍과 일치하는 반복적인 NPU 가속기 및 FPGA 치명적인 오류 메시지를 보여줍니다.

  > expert
  admin@device:~$ sudo su
  Password: [enter admin password]
  root@device:/Volume/home/admin# cat /opt/cisco/platform/logs/messages | grep -i npu
  2026 Mar 11 07:11:42 KC FPGA: FATAL - ILK pipe 0: TX Buffer FIFO Overflow
  2026 Mar 11 07:11:42 NPU ACCEL MGR: FATAL - NPU Accelerator FAILED
  2026 Mar 11 07:11:42 NPU ACCEL MGR: FATAL - NPU Accelerator FAILED - REBOOTING the device !!
  2026 Mar 11 11:15:47 KC FPGA: FATAL - ILK pipe 0: TX Buffer FIFO Overflow
  2026 Mar 11 11:15:47 NPU ACCEL MGR: FATAL - NPU Accelerator FAILED
  2026 Mar 11 11:15:47 NPU ACCEL MGR: FATAL - NPU Accelerator FAILED - REBOOTING the device !!
  ---
  Mar 11 21:11:20 device  kings-cross-fpga: FATAL - ILK pipe 0: TX Buffer FIFO Overflow
  Mar 11 21:11:20 device  NPU Accelerator Manager: FATAL - NPU Accelerator FAILED
  Mar 11 21:11:20 device  FPRM: <<%FPRM-2-NPU_FPGA_FAILURE>> [F1418][critical][npu-fpga-failure][shaperports-cfg-ep/event-id-fpga-error-pipe-0-level-fatal] NPU FPGA raised a FATAL error on pipe 0
  Mar 11 21:11:20 device  NPU Accelerator Manager: FATAL - NPU Accelerator FAILED - REBOOTING the device !!
  Mar 12 01:22:53 device  kings-cross-fpga: FATAL - ILK pipe 0: TX Buffer FIFO Overflow
  Mar 12 01:22:54 device  NPU Accelerator Manager: FATAL - NPU Accelerator FAILED
  Mar 12 01:22:54 device  FPRM: <<%FPRM-2-NPU_FPGA_FAILURE>> [F1418][critical][npu-fpga-failure][shaperports-cfg-ep/event-id-fpga-error-pipe-0-level-fatal] NPU FPGA raised a FATAL error on pipe 0
  Mar 12 01:22:54 device  NPU Accelerator Manager: FATAL - NPU Accelerator FAILED - REBOOTING the device !!

• FTD 컨피그레이션은 영향을 받는 FTD에서 DTLS 플로우 오프로드가 활성화되었음을 확인합니다. 이는 알려진 결함 Cisco 버그 ID CSCwq32085의 조건과 일치합니다.

  firepower# show flow-offload-dtls info
  DTLS offload: Enabled
  Egress optimization: Enabled

환경

• 주로 Firepower 3100 시리즈에 나타나지만 다른 모델에 영향을 미침

• 문제의 고정 버전에 없는 ASA 및 FTD에 영향을 줍니다.

• FMC(Firepower 관리 센터)에서 관리

• 영향을 받는 디바이스에서 DTLS 플로우 오프로드 활성화

해결

영향을 받는 모든 FTD/ASA 어플라이언스를 결함 Cisco 버그 ID CSCwq32085에 대한 수정 사항이 포함된 버전으로 업그레이드합니다.

해결 방법

1. Cisco Secure Firewall Management Center에서 Devices(디바이스) > FlexConfig로 이동합니다.

2. FlexConfig 개체를 만들거나 수정합니다.

3. FlexConfig를 통해 FTD 디바이스에 대해 DTLS/IPSEC Flow Offload를 비활성화하려면 명령줄 텍스트를 삽입합니다.

no flow-offload-ipsec 
no flow-offload-dtls

4. 대상 FTD 디바이스에 FlexConfig 정책을 할당하고 컨피그레이션을 구축합니다.

5. 변경 사항을 적용하려면 FTD를 재부팅해야 합니다.

원인

FTD의 Cisco 버그 ID CSCwq32085로 인해 예기치 않은 재부팅이 발생했습니다. 이 알려진 소프트웨어 결함은 Firepower 3100 및 4200 시리즈 어플라이언스에서 DTLS 플로우 오프로드가 활성화된 경우 NPU/FPGA 가속기 실패 및 강제 리부팅을 트리거할 수 있습니다. 이 결함은 특히 하드웨어 가속 기능에 영향을 미치며 시스템을 강제로 재부팅하기 전에 "KC ILK issue detected(KC ILK 문제가 탐지됨)" 콘솔 오류 메시지와 함께 crypto_archive 파일을 생성합니다.

관련 콘텐츠

• 보안 Firepower 3100 및 4200에서 IPsec 및 DTLS 오프로드 이해 및 문제 해결

• FlexConfig 개체 구성

• Cisco 버그 ID CSCwq32085

• Cisco Secure Firewall Threat Defense 릴리스 노트, 버전 7.6.x

• Cisco 기술 지원 및 다운로드