FTD-geheugenblok voor beveiligde firewall veroorzaakt uitputting van verkeer

Downloadopties

PDF (257.6 KB)
Met Adobe Reader op diverse apparaten bekijken
ePub (85.6 KB)
Bekijken in diverse apps op iPhone, iPad, Android, Sony Reader of Windows Phone
Mobi (Kindle) (71.9 KB)
Op Kindle-apparaat of via Kindle-app op meerdere apparaten bekijken

Bijgewerkt:22 oktober 2026

Document-id:226471

Inclusief taalgebruik

De documentatie van dit product is waar mogelijk geschreven met inclusief taalgebruik. Inclusief taalgebruik wordt in deze documentatie gedefinieerd als taal die geen discriminatie op basis van leeftijd, handicap, gender, etniciteit, seksuele oriëntatie, sociaaleconomische status of combinaties hiervan weerspiegelt. In deze documentatie kunnen uitzonderingen voorkomen vanwege bewoordingen die in de gebruikersinterfaces van de productsoftware zijn gecodeerd, die op het taalgebruik in de RFP-documentatie zijn gebaseerd of die worden gebruikt in een product van een externe partij waarnaar wordt verwezen. Lees meer over hoe Cisco gebruikmaakt van inclusief taalgebruik.

Over deze vertaling

Cisco heeft dit document vertaald via een combinatie van machine- en menselijke technologie om onze gebruikers wereldwijd ondersteuningscontent te bieden in hun eigen taal. Houd er rekening mee dat zelfs de beste machinevertaling niet net zo nauwkeurig is als die van een professionele vertaler. Cisco Systems, Inc. is niet aansprakelijk voor de nauwkeurigheid van deze vertalingen en raadt aan altijd het oorspronkelijke Engelstalige document (link) te raadplegen.

Inhoud

uitgifte

Intermitterend verkeersverlies en routeringsonderbreking vindt plaats op een Secure Firewall 2110 FTD met het Enhanced Interior Gateway Routing Protocol (EIGRP). Dit leidt tot een afname van de afstand en het verlies van internetverbinding. Symptomen correleerden met uitputting van geheugenblokken (blokgrootte 80 en 9472), wat resulteerde in druppels van datapath-pakketten en impact van het controlevlak. Bovendien wordt er geen crash- of kernbestand gegenereerd voor het probleem omdat er geen reboot wordt geactiveerd.

Geheugenblokdepletie zorgt ervoor dat de FTD-eenheid stopt met het verwerken van verkeer.

firepower# show blocks
SIZE    MAX    LOW    CNT  FAILED
     0   2700   2650   2700      0
     4    200    199    200      0
    80  24000      0      0 2200668
   256   6072   3011   3178      0
  1550   7386   4013   4719      0
  2048    600    572    600      0
  2560    900    889    900      0
  4096    100    100    100      0
  8192    100     97    100      0
  9472  10000      0   2668      1
 16384    100    100    100      0
 65664     16     16     16      0

ASP-druppels op de FTD lieten grote aantallen zien voor "Dispatch Queue Tail Drops (dispatch-Queue-Limit)"-druppels:

firepower# show asp drop
Frame drop:
  First TCP packet not SYN (tcp-not-syn)                                12357166
  Packet is blacklisted by snort (snort-blacklist)                       1159498
  Fragment reassembly failed (fragment-reassembly-failed)                  53865
  Dispatch queue tail drops (dispatch-queue-limit)                       1582611

Er zijn ook veel fragment re-assembly timeouts:

firepower# show fragment
Interface: outside
    Configuration: Size: 200, Chain: 24, Timeout: 5, Reassembly: virtual
    Run-time stats: Queue: 0, Full assembly: 1916508
    Drops: Size overflow: 0, Timeout: 6217,
           Chain overflow: 0, Fragment queue threshold exceeded: 47611,
           Small fragments: 0, Invalid IP len: 0,
           Reassembly overlap: 0, Fraghead alloc failed: 0,
           SGT mismatch: 0, Block alloc failed: 0,
           Invalid IPV6 header: 0, Passenger flow assembly failed: 0
           Cluster reinsert collision: 0

De toegewezen blokken tonen allemaal dezelfde toewijzingsaanwijzing voor impact van defect Cisco bug ID CSCws19823. (Voer de terminal pager 20-opdracht uit voordat u de uitvoer uitvoert om de uitvoer te beperken)

firepower# show blocks assigned 
Class size 2, size 80
             Block           allocd_by            freed_by  data size    alloccnt     dup_cnt  oper location  
0xa800000100058c80  0x000000aaad8556ac  0x000000aaad2cefb8        183       17310           0 alloc cvmx_api_pdts_send_to_host
0xa800000100059400  0x000000aaad8556ac  0x000000aaad2cefb8        183        3748           0 alloc cvmx_api_pdts_send_to_host
0xa800000100059b80  0x000000aaad8556ac  0x000000aaad2cefb8        182       74639           0 alloc cvmx_api_pdts_send_to_host
0xa80000010005a300  0x000000aaad8556ac  0x000000aaad7cf0e8        183       23610           0 alloc cvmx_api_pdts_send_to_host
0xa80000010005aa80  0x000000aaad8556ac  0x000000aaad2cefb8        183       40731           0 alloc cvmx_api_pdts_send_to_host

Een beoordeling van de verbindingen op de FTD bevestigt dat de meeste inkomende verbindingen SMB-verkeer (TCP/445) op de FTD-interface zijn. (Voer Terminal Pager 20 uit voordat u deze uitvoert om de uitvoer te beperken)

firepower# show conn detail
TCP outside: 10.X.X.49/55970 inside: 10.X.X.73/445,
    flags UIO N1, idle 1m13s, uptime 1h52m, timeout 1h0m, bytes 163283, xlate id 0xffe0384b00, flow id 22065316, rule id 268441603, Rx-RingNum invalid, Internal-Data invalid
  Initiator: 10.X.X.49, Responder: 10.X.X.73
  Connection lookup keyid: 3616633230
TCP outside: 10.X.X.72/57775 inside: 10.X.X.214/445,
    flags UIO N1, idle 5s, uptime 2h6m, timeout 1h0m, bytes 182005, xlate id 0xffe0384b00, flow id 22025418, rule id 268441603, Rx-RingNum invalid, Internal-Data invalid
  Initiator: 10.X.X.72, Responder: 10.X.X.214
  Connection lookup keyid: 3661674758
TCP outside: 10.X.X.131/54313 inside: 10.X.X.71/445,
    flags UIO N1, idle 29s, uptime 9m35s, timeout 1h0m, bytes 26205, xlate id 0xffe0384b00, flow id 22429664, rule id 268441603, Rx-RingNum invalid, Internal-Data invalid
  Initiator: 10.X.X.131, Responder: 10.X.X.71
  Connection lookup keyid: 1202806582

milieu

Cisco Secure Firewall FPR2110-NGFW-K9 Firewall Threat Defense (FTD) versie 7.4.3 (voor het eerst gezien)
SMB-verkeer (TCP/445) dat door de firewall wordt geïnspecteerd

resolutie

Onmiddellijke workaround

Configureer een voorfilterbeleid om inspectie voor MKB-verkeer op alle relevante interfaces te omzeilen, met name de FTD-interface waar MKB-verkeer de firewall binnenkomt.

access-list CSM_FW_ACL_ line 4 remark rule-id 268459032: PREFILTER POLICY: FTD Prefilter Policy
access-list CSM_FW_ACL_ line 5 remark rule-id 268459032: RULE: SMB-FastPath
access-list CSM_FW_ACL_ line 6 advanced trust tcp ifc outside any any eq 445 rule-id 268459032 event-log flow-end

Bestaande SMB-verbindingen wissen en bloktellers opnieuw instellen
```
clear conn port 445 all
clear blocks
```
Voer deze opdracht uit om te controleren op mislukte blokstappen:
```
show blocks
```

permanente oplossing

Upgrade naar Cisco Secure Firewall Threat Defense versie 7.0.9, 7.2.11, 7.4.4 of 7.6.0.
Na het upgraden naar de vaste release, bewaakt u het gebruik van geheugenblokken om de stabilisatie te bevestigen en te controleren of er geen verdere uitputting van het geheugenblok optreedt.
Zodra de upgrade naar de vaste versie is uitgevoerd, kan het SMB-verkeer indien gewenst veilig uit het voorfilter worden verwijderd, omdat het onderliggende defect is verholpen.

Opdrachten voor probleemoplossing gebruikt

Deze diagnostische opdrachten werden gebruikt om de geheugenbloktoewijzingspatronen te analyseren:

show blocks | redirect disk0:/show.blocks.txt
show blocks pool 80 dump | redirect disk0:/show.block.pool.80.dump.txt
show blocks queue history detail | redirect disk0:/show.blocks.Q.history.detail.txt
show blocks queue history core-local | redirect disk0:/show.blocks.Q.hist.core-local.txt
show blocks old core-local | redirect disk0:/show.blocks.old.core-local.txt
show blocks exhaustion snapshot | redirect disk0:/show.blocks.exhaustion.shapshot.txt
show blocks exhaustion history | redirect disk0:/show.blocks.exhaustion.history.txt
show blocks assigned | redirect disk0:/show.blocks.assigned.txt

Oorzaak

Het probleem wordt veroorzaakt door een bekend softwaredefect Cisco bug ID CSCws19823 in Cisco Secure Firewall Threat Defense, waarbij grote volumes geïnspecteerd SMB (TCP/445) verkeer kunnen leiden tot geheugenblokgrootte 80 uitputting, wat resulteert in datapath pakketdruppels en secundaire effecten zoals EIGRP instabiliteit en verkeersverlies. Het defect treedt op wanneer het MKB-verkeer volledig wordt geïnspecteerd.