目录

简介

先决条件

要求

使用的组件

问题：配置基于区域的策略防火墙时，排除IOS-XE路由器上FXO端口的单向音频问题

解决方案

示例 1

示例 2

相关 Bug

相关信息

简介

本文档介绍使用基于区域的防火墙(ZBF)时在IOS-XE路由器中出现的单向音频问题，此问题会在ZBF到位后影响外部交换办公室(FXO)路由器端口的入站和出站呼叫。

本文档的主要目的是解释此问题的原因，并为您提供强制ZBF使语音呼叫正常工作以及FXO路由器端口的双向音频通信所需的解决方案。

先决条件

要求

思科建议您了解IOS-XE路由器中的Cisco ZBF配置。

使用的组件

本文档中的信息基于以下软件和硬件版本：

- 集成多业务路由器(ISR G2)

- IOS-XE 3S

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您的网络处于活动状态，请确保您了解所有命令的潜在影响。

问题：配置基于区域的策略防火墙时，排除IOS-XE路由器上FXO端口的单向音频问题

在路由器中配置ZBF后，在具有FXO端口的路由器中，单向音频在入站和出站呼叫中即会体验到。 从所有路由器接口删除ZBF区域后，单向音频问题消失。

遗憾的是，每次出现此问题时，ZBF都不显示任何指示或确认ZBF丢弃语音流量的系统日志消息。 即使您尝试使用以下任何选项强制ZBF记录任何丢包，您也不会看到任何系统日志丢弃消息：

步骤1.可以在最后一个class-default类内在每个ZBF策略映射末尾启用丢弃日志:

policy-map type inspect POLICY_INSIDE_TO_SELF

class type inspect CMAP_ZBFW_RFC_1918

pass

class type inspect CMAP_ZBFW_ALL_PROTOCOLS

inspect

class class-default

drop log

或者

步骤2.可以在全局ZBF参数映射中启用日志丢弃的数据包：

parameter-map type inspect global

log dropped-packets

如果应用下一个ZBF配置更改，您可以尝试解决此单向音频通信问题，但遗憾的是，它根本无法运行：

- 通过配置允许语音流量从内部到外部区域的检查和传递操作规则。

- 通过配置允许语音流量从外部到内部区域的检查和传递操作规则。

- 通过配置允许语音流量从外部到自区域的检查和传递操作规则，反之亦然。

- 通过配置允许语音流量从内部到自区域的检查和传递操作规则，反之亦然。

- 通过配置允许语音流量从内部到内部区域的检查和传递操作规则。

解决方案

为避免ZBF丢弃与FXO路由器端口相关的语音流量，您需要将处于Status/Protocol UP状态的所有服务引擎路由器接口分配给INSIDE ZBF区域：

interface Service-Engine0/1/0

zone-member security INSIDE

interface Service-Engine0/2/0

zone-member security INSIDE

一旦将处于UP状态/协议状态的路由器服务引擎接口分配给INSIDE区域，则通过ZBF的单向音频问题最终得到解决。

示例 1

在此IOS-XE ZBF实施中，确认了从LAN网络到PSTN的入站和出站电话呼叫的单向音频问题，在将处于UP状态的服务引擎接口分配到ZONE_INSIDE区域后，单向音频问题终于得到解决：

R1#sh ip int br

Interface              IP-Address      OK? Method Status                Protocol

GigabitEthernet0/0/0   64.100.0.10     YES NVRAM  up                    up

GigabitEthernet0/0/1   unassigned      YES NVRAM  up                    up

Gi0/0/1                192.168.10.1    YES NVRAM  up                    up

GigabitEthernet0/0/2   unassigned      YES NVRAM  administratively down down

Service-Engine0/1/0 unassigned YES NVRAM up up Service-Engine0/2/0 unassigned YES unset up up

Vlan1                  unassigned      YES unset  administratively down down

interface Service-Engine0/1/0

zone-member security ZONE_INSIDE

interface Service-Engine0/2/0

zone-member security ZONE_INSIDE

R1# show zone security

zone self

Description: System defined zone

zone ZONE_INSIDE

Member Interfaces:

GigabitEthernet0/0/1

Service-Engine0/1/0 Service-Engine0/2/0

zone ZONE_OUTSIDE

Member Interfaces:

GigabitEthernet0/0/0

示例 2

在此IOS-XE ZBF实施中，确认了从LAN网络到PSTN的入站和出站电话呼叫的单向音频问题，在将处于UP状态的服务引擎接口分配到受信任区域后，最终解决了单向音频问题：

R2# show ip int brief

Interface              IP-Address      OK? Method Status                Protocol

GigabitEthernet0/0/0   172.16.1.1      YES NVRAM  up                    up

Gi0/0/1                64.100.0.10     YES NVRAM  up                    up

Service-Engine0/1/0 unassigned YES unset up up Service-Engine0/4/0 unassigned YES unset up up

GigabitEthernet0       unassigned      YES NVRAM  administratively down down

Loopback0              unassigned      YES unset  up                    up

Vlan1                  unassigned      YES unset  administratively down down

interface Service-Engine0/1/0 zone-member security Trusted interface Service-Engine0/4/0 zone-member security Trusted

R2#show zone security

zone self

Description: System defined zone

zone Trusted

Member Interfaces:

GigabitEthernet0/0/0

Service-Engine0/1/0 Service-Engine0/4/0

zone Untrusted

Member Interfaces:

Gi0/0/1

相关 Bug

基于XE的平台上的CSCuu86175 CUBE:启用ZBFW后，呼叫可能会失败

CSCuh55237 DOC:ASR文档应反映“ZBFW不能与CUBE-SP互操作”

相关信息

- 安全配置指南：基于区域的策略防火墙，Cisco IOS XE版本3S

- 可能需要将服务引擎x/y/z包含在语音流量要通过的区域中

- interface service-engine