Solucionar problemas de áudio unidirecional em portas FXO em roteadores IOS-XE quando ZBF está configurado

Introduction

Este documento descreve um problema de áudio unidirecional visto em roteadores IOS-XE quando o ZBF (Zone-based Firewall, Firewall baseado em zona) é usado, esse problema afeta as chamadas de entrada e saída para as portas do roteador Foreign eXchange Office (FXO) assim que o ZBF estiver no lugar.

A principal intenção deste documento é explicar por que esse problema acontece e fornecer a solução necessária para forçar o ZBF a permitir que as chamadas de voz funcionem corretamente e com comunicação de áudio bidirecional para as portas do roteador FXO.

Prerequisites

Requirements

A Cisco recomenda que você tenha conhecimento da configuração do Cisco ZBF em roteadores IOS-XE.

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software e hardware:

• Roteadores de serviços integrados (ISR G2)
• IOS-XE 3S

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Problema: Solucionar Problemas De Áudio Unidirecional Em Portas FXO Em Roteadores IOS-XE Quando O Firewall De Política Baseado Em Zona Está Configurado

O áudio unidirecional ocorre em chamadas de entrada e saída em roteadores com portas FXO assim que o ZBF é configurado no roteador. Quando você remove as zonas ZBF de todas as interfaces do roteador, o problema de áudio unidirecional desaparece.

Infelizmente, toda vez que esse problema acontece, o ZBF não exibe nenhuma mensagem de syslog que indique ou confirme por que o tráfego de voz é descartado pelo ZBF. Mesmo que você tente forçar o ZBF a registrar qualquer queda de pacote com qualquer uma dessas opções, você não verá nenhuma mensagem de queda de syslog:

Etapa 1. Você pode habilitar o log de queda no final de cada mapa de política ZBF no último class class class-default:

policy-map type inspect POLICY_INSIDE_TO_SELF
class type inspect CMAP_ZBFW_RFC_1918
  pass
class type inspect CMAP_ZBFW_ALL_PROTOCOLS
  inspect
class class-default
  drop log

OU

Etapa 2. Você pode habilitar os pacotes descartados de log no mapa de parâmetros globais do ZBF:

parameter-map type inspect global
 log dropped-packets

 Você pode tentar resolver esse problema de comunicação de áudio unidirecional se aplicar as próximas alterações de configuração de ZBF, mas, infelizmente, isso não funcionará:

• Ao configurar inspecionar e passar regras de ação que permitem o tráfego de voz de dentro para fora da zona.
• Ao configurar inspecionar e passar regras de ação que permitem o tráfego de voz de fora para a zona interna.
• Ao configurar as regras de ação inspecionar e passar que permitem o tráfego de voz do lado de fora para a zona automática e vice-versa.
• Ao configurar as regras de ação inspecionar e passar que permitem o tráfego de voz de dentro para a zona automática e vice-versa.
• Ao configurar inspecionar e passar regras de ação que permitem o tráfego de voz de dentro para a zona interna.

  

Solução

Para evitar que o ZBF descarte o tráfego de voz relacionado às portas do roteador FXO, você precisa atribuir todas as interfaces do roteador service-engine que estão no estado Status/Protocol UP, à zona ZBF INSIDE:

interface Service-Engine0/1/0
 zone-member security INSIDE

interface Service-Engine0/2/0
 zone-member security INSIDE

Quando as interfaces do mecanismo de serviço do roteador no estado UP/protocolo são atribuídas à zona INSIDE, o problema de áudio unidirecional através do ZBF é finalmente resolvido. 

Exemplo 1

Nesta implementação ZBF do IOS-XE, foram confirmados problemas de áudio unidirecional para as chamadas telefônicas de entrada e saída da rede LAN para a PSTN, depois de atribuídas as interfaces do mecanismo de serviço no estado UP à zona ZONE_INSIDE, o problema de áudio unidirecional foi finalmente resolvido:

R1#sh ip int br
Interface              IP-Address      OK? Method Status                Protocol
GigabitEthernet0/0/0   64.100.0.10     YES NVRAM  up                    up
GigabitEthernet0/0/1   unassigned      YES NVRAM  up                    up
Gi0/0/1                192.168.10.1    YES NVRAM  up                    up
GigabitEthernet0/0/2   unassigned      YES NVRAM  administratively down down
Service-Engine0/1/0 unassigned YES NVRAM up up Service-Engine0/2/0 unassigned YES unset up up
Vlan1                  unassigned      YES unset  administratively down down

interface Service-Engine0/1/0
 zone-member security ZONE_INSIDE

interface Service-Engine0/2/0
 zone-member security ZONE_INSIDE

R1# show zone security
zone self
  Description: System defined zone

zone ZONE_INSIDE
  Member Interfaces:
    GigabitEthernet0/0/1
    Service-Engine0/1/0 Service-Engine0/2/0

zone ZONE_OUTSIDE
  Member Interfaces:
    GigabitEthernet0/0/0

Exemplo 2

Nesta implementação ZBF do IOS-XE, problemas de áudio unidirecional confirmados para chamadas telefônicas de entrada e saída da rede LAN para a PSTN, depois de atribuídas as interfaces do mecanismo de serviço no estado UP à zona confiável, o problema de áudio unidirecional foi finalmente resolvido:

R2# show ip int brief
Interface              IP-Address      OK? Method Status                Protocol
GigabitEthernet0/0/0   172.16.1.1      YES NVRAM  up                    up
Gi0/0/1                64.100.0.10     YES NVRAM  up                    up
Service-Engine0/1/0 unassigned YES unset up up Service-Engine0/4/0 unassigned YES unset up up
GigabitEthernet0       unassigned      YES NVRAM  administratively down down
Loopback0              unassigned      YES unset  up                    up
Vlan1                  unassigned      YES unset  administratively down down

interface Service-Engine0/1/0 zone-member security Trusted interface Service-Engine0/4/0 zone-member security Trusted

R2#show zone security
zone self
  Description: System defined zone

zone Trusted
 Member Interfaces:
   GigabitEthernet0/0/0
   Service-Engine0/1/0 Service-Engine0/4/0

zone Untrusted
   Member Interfaces:
     Gi0/0/1

Erros relacionados

CSCuu86175 CUBE em plataformas baseadas em XE: As chamadas podem falhar com ZBFW habilitado

CSCuh55237 DOC: O documento ASR deve refletir 'ZBFW not operational with CUBE-SP' (ZBFW não interoperável com CUBE-SP)

Informações Relacionadas

• Guia de configuração de segurança: Firewall de política baseado em zona, Cisco IOS XE versão 3S

• O mecanismo de serviço x/y/z pode precisar ser incluído em uma zona para que o tráfego de voz passe

• interface service-engine