对软件升级后多个AnyConnect映像的Firepower 1010连续重启（引导循环）进行故障排除(&n)

下载选项

  • PDF     (363.0 KB)
    在各种设备上使用 Adobe Reader 查看
  • ePub     (83.8 KB)
    在 iPhone、iPad、Android、Sony Reader 或 Windows Phone 上使用各种应用查看
  • Mobi (Kindle)     (70.7 KB)
    在 Kindle 设备上查看或在多个设备上使用 Kindle 应用查看
已更新: 2026 年 10 月 27 日
文档 ID:226484

非歧视性语言

此产品的文档集力求使用非歧视性语言。在本文档集中，非歧视性语言是指不隐含针对年龄、残障、性别、种族身份、族群身份、性取向、社会经济地位和交叉性的歧视的语言。由于产品软件的用户界面中使用的硬编码语言、基于 RFP 文档使用的语言或引用的第三方产品使用的语言，文档中可能无法确保完全使用非歧视性语言。 深入了解思科如何使用包容性语言。

关于此翻译

思科采用人工翻译与机器翻译相结合的方式将此文档翻译成不同语言，希望全球的用户都能通过各自的语言得到支持性的内容。 请注意：即使是最好的机器翻译，其准确度也不及专业翻译人员的水平。 Cisco Systems, Inc. 对于翻译的准确性不承担任何责任，并建议您总是参考英文原始文档（已提供链接）。

目录

问题

软件升级后，Firepower 1010会持续重新启动（也称为引导环路）。

终端会话显示“mmap64:无法分配内存”错误消息和Firepower可扩展操作系统(FXOS)关闭消息:

mmap64: Cannot allocate memory
mmap64: Cannot allocate memory
mmap64: Cannot allocate memory
mmap64: Cannot allocate memory
Rebooting ... (status 0x9)
 
Jun 24 08:25:48 root: FXOS shutdown log started: pid = 39475 cmdline = /bin/sh/sbin/fxos log_shutdown ####
Jun 24 08:25:49 root: FXOS shutdown log completed: pid = 39475
The system is going down for reboot NOW!

环境

  • FMC管理的独立Firepower 1010

  • 从版本7.4.2升级到7.6.4后首次出现。其它版本也可能受到影响

  • 在防火墙上，远程访问虚拟专用网络(RAVPN)配置了多个AnyConnect/安全客户端映像

分辨率

永久解决方案要求软件升级到版本并修复Cisco Bug ID CSCwc82675。

对此的解决方法是，减少AnyConnect/安全客户端映像的数量，以防止防火墙持续重新启动。

以下步骤在独立防火墙上验证：

1.检查系统是否处于故障保护模式。Firepower 1000/2100或安全防火墙3100上的FTD/ASA应用的故障安全模式因持续引导循环、回溯等而激活。如果防火墙在7200秒内重新启动7次（在Cisco Bug ID CSCwj91341修复后从3600秒增加），则防火墙将进入故障保护模式并停止重新启动。当系统处于故障保护模式时：

  • 系统名称后附加 — failed字符串：

firepower-1010-failed /ssa #

  • FXOS local-mgmt命令外壳中的show failsafe-params命令的输出包含一条警告消息：

firepower-1010-failed(local-mgmt)# show failsafe-params
Max Restart: 1
Current Reboot Count: 1
Restart Time Interval(secs): 3600
WARNING: System in Failsafe mode. Applications are not running!

2.如果系统未处于故障保护模式，则可以通过将Max Restart设置为Current Reboot Count + 1来加速故障保护模式的激活:

firepower-1010# connect local-mgmt
firepower(local-mgmt)# show failsafe-params 
Max Restart: 7
Current Reboot Count: 2
Restart Time Interval(secs): 3600
 
firepower-1010(local-mgmt)# config failsafe-max-restart 
0 shall Disable Failsafe Mode!!!
Set a max_restart (0-8) value Or [x] to exit: 3
System may come up in Normal state post Reboot.
Configuration Successful


firepower-1010(local-mgmt)# show failsafe-params
Max Restart: 3
Current Reboot Count: 2
Restart Time Interval(secs): 3600

3.下次重新启动时，防火墙将进入故障保护模式。请参阅步骤1进行验证。

4.防火墙启动后，会进入故障保护模式。出现登录提示后，立即登录防火墙，使用connect ftd命令连接到防火墙，然后切换到专家模式：

firepower-1010# connect ftd
> expert

firepower-1010:/$

5.在专家模式下，检查启动配置中的AnyConnect/Secure Client映像：

firepower-1010:/$ grep "anyconnect image" /mnt/disk0/.private/startup-config
 anyconnect image disk0:/csm/cisco-secure-client-linux64-5.1.8.122-webdeploy-k9.pkg 1 regex "Linux"
 anyconnect image disk0:/csm/cisco-secure-client-macos-5.1.8.122-webdeploy-k9.pkg 2 regex "Mac OS"
 anyconnect image disk0:/csm/cisco-secure-client-win-5.1.8.122-webdeploy-k9.pkg 3 regex "Windows"

6.将文件/mnt/disk0/.private/startup-config复制到目录/ngfw/var/common中。此步骤非常重要：

firepower-1010:~$ cp /mnt/disk0/.private/startup-config /ngfw/var/common/
firepower-1010:~$ ls -l /ngfw/var/common/
total 12
…
-rwxr-xr-x 1 admin admin 11305 Jun 25 09:20 startup-config

7.确定可以删除的图像。

8.从步骤5删除带图像的行，直到最多2个图像。使用vim，或者使用sed命令删除行，如下所示：

firepower-1010:/$ grep "anyconnect image" /mnt/disk0/.private/startup-config 
 anyconnect image disk0:/csm/cisco-secure-client-linux64-5.1.8.122-webdeploy-k9.pkg 1 regex "Linux"
 anyconnect image disk0:/csm/cisco-secure-client-macos-5.1.8.122-webdeploy-k9.pkg 2 regex "Mac OS"
 anyconnect image disk0:/csm/cisco-secure-client-win-5.1.8.122-webdeploy-k9.pkg 3 regex "Windows"

firepower-1010:/$# sudo sed -i '\#anyconnect image disk0:/csm/cisco-secure-client-macos-5.1.8.122-webdeploy-k9.pkg 2 regex "Mac OS"#d' /mnt/disk0/.private/startup-config

9.确认该行已删除：

firepower-1010:/$ grep "anyconnect image" /mnt/disk0/.private/startup-config 
 anyconnect image disk0:/csm/cisco-secure-client-linux64-5.1.8.122-webdeploy-k9.pkg 1 regex "Linux"
 anyconnect image disk0:/csm/cisco-secure-client-win-5.1.8.122-webdeploy-k9.pkg 3 regex "Windows"

10.返回到FXOS local-mgmt shell并将故障安全参数恢复为步骤1中的原始值（如果已更改）。然后退出故障安全模式并重新启动防火墙：

firepower-1010:/$ exit
> exit

firepower-1010# connect local-mgmt
firepower-1010(local-mgmt)# config failsafe-max-restart 
0 shall Disable Failsafe Mode!!!
Set a max_restart (0-8) value Or [x] to exit: 7
System may come up in Normal state post Reboot.
Configuration Successful 

firepower-1010-failed(local-mgmt)# show failsafe-params 
Max Restart: 7
Current Reboot Count: 1
Restart Time Interval(secs): 3600

firepower-1010-failed(local-mgmt)# failsafe-exit 
System may reboot? (y/n) y
Reset Successful 

firepower-1010-failed(local-mgmt)# exit

firepower-1010-failed# scope chassis
KSEC-FPR1010-2 /chassis* # reboot no-prompt
Broadcast message from root@KSEC-FPR1010-2 (Thu Jun 24 15:59:22 2026):
All shells being terminated due to system /sbin/reboot

11.监控会话日志。预期行为是，在重新启动后，防火墙不再继续重新启动。

12.如果防火墙不再继续重新启动，请等待防火墙联机后再从FMC/FDM UI中删除第8步中的相同AnyConnect/安全客户端映像，然后部署策略。否则，映像将在下次策略部署期间重新应用。

13.确保使用思科漏洞ID CSCwc82675的修复程序将软件升级到版本。

14.软件升级到版本并修复Cisco Bug ID CSCwc82675后，添加在步骤12中删除的AnyConnect/Secure Client映像并部署策略。

原因

多个AnyConnect/安全客户端映像会导致Firepower 1010上的内存使用率提高，因为可用于数据平面（Lina引擎）的内存数量有限。 由于内存有限，系统可能会耗尽Lina引擎内存，这通常导致Lina重新启动并进入连续重新启动循环。在某些情况下，不同的Lina进程也可以触发回溯并生成核心文件。

此问题在Cisco Bug ID CSCwc82675中跟踪。此外，《防火墙管理中心设备配置指南》中的“远程访问VPN”一章提到“在威胁防御设备上使用多个安全客户端软件包可以增加内存使用率并影响设备的性能。我们建议不要在低端威胁防御设备上使用多个安全客户端软件包，以免因内存耗尽而连续重启。"

有关详细信息，请参阅Cisco Bug ID CSCwj59682和Cisco Bug ID CSCwm72469。

相关内容

修订历史记录

版本 发布日期 备注
1.0
27-Oct-2026
初始版本
TAC Authored

由思科工程师提供

  • 米基斯·扎菲鲁迪斯
    技术咨询工程技术主管

此文档是否有帮助?

Feedback反馈

联系我们

本文档适用于以下产品