FMC不显示VoIP呼叫的新SIP连接事件（预期行为）

问题

VoIP呼叫的SIP流量不会在思科安全防火墙管理中心(FMC)中显示为新连接/统一事件，即使入站和出站呼叫已成功完成。

这仅影响监控和故障排除可视性；呼叫功能不受影响。

环境

• 产品:思科安全防火墙

• 协议：基于TCP的SIP

• 端口：TCP 5060

分辨率

不需要缺陷或配置更改。

• 这是基于TCP的SIP的正常和预期的防火墙行为。

• 仅在以下情况下才会显示新的SIP连接事件：现有SIP连接会手动清除，或者TCP会话自然超时（由于keepalive原因不典型）。

• 数据包捕获和功能呼叫测试可确认流量是否正确通过。

原因

高级SIP呼叫信令流

+-----------+        +-------------------+        +-----------+
| IP Phone  |        | Cisco Secure FW   |        |   CUCM    |
|           |        | (FTD / FMC)       |        |           |
+-----------+        +-------------------+        +-----------+
      |                        |                        |
      |--- SIP REGISTER (TCP 5060) -------------------->|
      |                        |                        |
      |<-- 200 OK --------------------------------------|
      |                        |                        |
      |==== TCP CONNECTION ESTABLISHED & MAINTAINED ====|
      |                        |                        |
      |--- SIP REGISTER (Keepalive, every ~2 mins) ---->|
      |                        |                        |

结果

• 创建了一个长期TCP连接。

• FMC记录TCP 5060的一个连接事件。

• 定期REGISTER消息使连接保持活动状态。

使用SIP INVITE建立呼叫（相同TCP会话）

+-----------+        +-------------------+        +-----------+
| IP Phone  |        | Cisco Secure FW   |        |   CUCM    |
|           |        | (FTD / FMC)       |        |           |
+-----------+        +-------------------+        +-----------+
      |                        |                        |
      |--- SIP INVITE --------------------------------->|
      |                        |                        |
      |<-- 100 Trying / 180 Ringing --------------------|
      |                        |                        |
      |<-- 200 OK --------------------------------------|
      |                        |                        |

要点

• SIP INVITE使用现有的TCP 5060会话。

• 没有新的源/目标IP或端口。

• 未生成新的连接启动事件。

通过TCP的SIP预期出现以下行为：

• SIP电话定期发送SIP REGISTER消息（例如每2分钟）。

• 这些REGISTER消息会在端口5060上创建到CUCM的长期TCP连接。

• 呼叫的SIP INVITE消息重复使用现有TCP会话（相同的源/目标IP和端口）。

• 由于防火墙基于连接，因此当流量与现有连接匹配时，不会生成新的连接启动事件。

• TCP keepalive可防止连接超时，因此它在连接表中保持活动状态。

相关内容

修订历史记录

版本	发布日期	备注
1.0	06-Oct-2026	初始版本