Esgotamento de bloco de memória FTD de firewall seguro que causa quedas de tráfego

Problema

A perda intermitente de tráfego e a interrupção de roteamento ocorrem em um FTD do Secure Firewall 2110 usando o Enhanced Interior Gateway Routing Protocol (EIGRP). Isso leva a quedas de adjacência e perda de conectividade com a Internet. Sintomas correlacionados à exaustão do bloco de memória (tamanho de bloco 80 e 9472), resultando em quedas de pacotes de caminho de dados e impacto no plano de controle. Além disso, nenhum arquivo de travamento ou de núcleo é gerado para o problema, pois nenhuma reinicialização é disparada.

A redução do bloco de memória faz com que a unidade FTD pare de processar o tráfego.

firepower# show blocks
SIZE    MAX    LOW    CNT  FAILED
     0   2700   2650   2700      0
     4    200    199    200      0
    80  24000      0      0 2200668
   256   6072   3011   3178      0
  1550   7386   4013   4719      0
  2048    600    572    600      0
  2560    900    889    900      0
  4096    100    100    100      0
  8192    100     97    100      0
  9472  10000      0   2668      1
 16384    100    100    100      0
 65664     16     16     16      0

Os descartes de ASP no FTD mostraram grandes contagens para descartes de "descartes finais da fila de distribuição (dispatch-queue-limit)":

firepower# show asp drop
Frame drop:
  First TCP packet not SYN (tcp-not-syn)                                12357166
  Packet is blacklisted by snort (snort-blacklist)                       1159498
  Fragment reassembly failed (fragment-reassembly-failed)                  53865
  Dispatch queue tail drops (dispatch-queue-limit)                       1582611

Há também muitos intervalos de remontagem de fragmentos:

firepower# show fragment
Interface: outside
    Configuration: Size: 200, Chain: 24, Timeout: 5, Reassembly: virtual
    Run-time stats: Queue: 0, Full assembly: 1916508
    Drops: Size overflow: 0, Timeout: 6217,
           Chain overflow: 0, Fragment queue threshold exceeded: 47611,
           Small fragments: 0, Invalid IP len: 0,
           Reassembly overlap: 0, Fraghead alloc failed: 0,
           SGT mismatch: 0, Block alloc failed: 0,
           Invalid IPV6 header: 0, Passenger flow assembly failed: 0
           Cluster reinsert collision: 0

Todos os blocos atribuídos mostram a mesma alocação para indicar o impacto do defeito Cisco bug ID CSCws19823. (execute o comando terminal pager 20 antes de executar para limitar a saída)

firepower# show blocks assigned 
Class size 2, size 80
             Block           allocd_by            freed_by  data size    alloccnt     dup_cnt  oper location  
0xa800000100058c80  0x000000aaad8556ac  0x000000aaad2cefb8        183       17310           0 alloc cvmx_api_pdts_send_to_host
0xa800000100059400  0x000000aaad8556ac  0x000000aaad2cefb8        183        3748           0 alloc cvmx_api_pdts_send_to_host
0xa800000100059b80  0x000000aaad8556ac  0x000000aaad2cefb8        182       74639           0 alloc cvmx_api_pdts_send_to_host
0xa80000010005a300  0x000000aaad8556ac  0x000000aaad7cf0e8        183       23610           0 alloc cvmx_api_pdts_send_to_host
0xa80000010005aa80  0x000000aaad8556ac  0x000000aaad2cefb8        183       40731           0 alloc cvmx_api_pdts_send_to_host

Uma revisão das conexões no FTD confirma que a maioria das conexões de entrada são tráfego SMB (TCP/445) na interface do FTD. (execute terminal pager 20 antes de executar para limitar a saída)

firepower# show conn detail
TCP outside: 10.X.X.49/55970 inside: 10.X.X.73/445,
    flags UIO N1, idle 1m13s, uptime 1h52m, timeout 1h0m, bytes 163283, xlate id 0xffe0384b00, flow id 22065316, rule id 268441603, Rx-RingNum invalid, Internal-Data invalid
  Initiator: 10.X.X.49, Responder: 10.X.X.73
  Connection lookup keyid: 3616633230
TCP outside: 10.X.X.72/57775 inside: 10.X.X.214/445,
    flags UIO N1, idle 5s, uptime 2h6m, timeout 1h0m, bytes 182005, xlate id 0xffe0384b00, flow id 22025418, rule id 268441603, Rx-RingNum invalid, Internal-Data invalid
  Initiator: 10.X.X.72, Responder: 10.X.X.214
  Connection lookup keyid: 3661674758
TCP outside: 10.X.X.131/54313 inside: 10.X.X.71/445,
    flags UIO N1, idle 29s, uptime 9m35s, timeout 1h0m, bytes 26205, xlate id 0xffe0384b00, flow id 22429664, rule id 268441603, Rx-RingNum invalid, Internal-Data invalid
  Initiator: 10.X.X.131, Responder: 10.X.X.71
  Connection lookup keyid: 1202806582

Ambiente

• Cisco Secure Firewall FPR2110-NGFW-K9 Firewall Threat Defense (FTD) versão 7.4.3 (primeira visualização)

• Tráfego SMB (TCP/445) sendo inspecionado pelo firewall

Resolução

Solução imediata

1. Configure uma política de pré-filtro para ignorar a inspeção de tráfego SMB em todas as interfaces relevantes, particularmente a interface FTD onde o tráfego SMB está entrando no firewall.

   access-list CSM_FW_ACL_ line 4 remark rule-id 268459032: PREFILTER POLICY: FTD Prefilter Policy
   access-list CSM_FW_ACL_ line 5 remark rule-id 268459032: RULE: SMB-FastPath
   access-list CSM_FW_ACL_ line 6 advanced trust tcp ifc outside any any eq 445 rule-id 268459032 event-log flow-end

2. Limpar conexões SMB existentes e redefinir contadores de bloqueio

   clear conn port 445 all
   clear blocks

3. Execute este comando para monitorar os incrementos de bloco com falha:

   show blocks

Correção permanente

1. Atualize para o Cisco Secure Firewall Threat Defense versão 7.0.9, 7.2.11, 7.4.4 ou 7.6.0.

2. Após atualizar para a versão fixa, monitore a utilização do bloco de memória para confirmar a estabilização e verificar se não ocorre exaustão adicional do bloco de memória.

3. Depois de atualizado para a versão fixa, o tráfego SMB pode ser removido com segurança do pré-filtro, se desejado, já que o defeito subjacente foi resolvido.

Comandos de identificação e solução de problemas usados

Estes comandos de diagnóstico foram usados para analisar os padrões de alocação de bloco de memória:

show blocks | redirect disk0:/show.blocks.txt
show blocks pool 80 dump | redirect disk0:/show.block.pool.80.dump.txt
show blocks queue history detail | redirect disk0:/show.blocks.Q.history.detail.txt
show blocks queue history core-local | redirect disk0:/show.blocks.Q.hist.core-local.txt
show blocks old core-local | redirect disk0:/show.blocks.old.core-local.txt
show blocks exhaustion snapshot | redirect disk0:/show.blocks.exhaustion.shapshot.txt
show blocks exhaustion history | redirect disk0:/show.blocks.exhaustion.history.txt
show blocks assigned | redirect disk0:/show.blocks.assigned.txt

Causa

O problema é causado por um defeito de software conhecido da identificação de bug Cisco CSCws19823 no Cisco Secure Firewall Threat Defense, onde grandes volumes de tráfego SMB inspecionado (TCP/445) podem levar ao esgotamento do tamanho do bloco de memória 80, resultando em quedas de pacotes de caminho de dados e efeitos secundários, como instabilidade do EIGRP e perda de tráfego. O defeito ocorre quando o tráfego SMB passa por inspeção completa.

Conteúdo relacionado

• ID de bug Cisco CSCws19823 - Esgotamento de bloco 80, 1550 e 9472 visto no ASA/FTD 2100 quando o tráfego multicanal SMB é enviado

• Suporte técnico e downloads da Cisco

Histórico de revisões

Revisão	Data de publicação	Comentários
1.0	22-Oct-2026	Versão inicial