目錄

問題

防火牆管理員想要在防火牆威脅防禦(FTD)裝置上停用SIP（作業階段啟始通訊協定）檢查。

環境

- FTD執行的軟體版本是7.4.4。其他軟體版本也受到影響。

- 運行軟體版本7.7.12的防火牆管理中心(FMC)。其他軟體版本也受到影響。

- 已在FTD上啟用作業階段啟始通訊協定(SIP)檢查。

解析

全域性禁用SIP檢測有兩種方法：

情境 1:從FTD CLI停用SIP

使用以下命令：

> configure inspection sip disable

Building configuration...

Cryptochecksum: ef7528dc 7338986d 6714a3a2 4770528e

7818 bytes copied in 0.250 secs

[OK]

驗證

> show running-config policy-map | include sip

>

情境 2:使用FlexConfig禁用SIP

在FMC上，導覽至Devices > FlexConfig，然後使用以下內容建立FlexConfig對象：

要部署的CLI:

policy-map global_policy

class inspection_default

no inspect sip

應用 選擇FlexConfig策略並選擇Preview Config以進行預覽：

最後，部署策略。

驗證

firewall# show run policy-map | include sip

firewall#

附註：您需要從LINA連線表中清除現有的SIP連線，以便不進行SIP檢查而重新建立連線。您可以使用此命令驗證現有的SIP連線：

firewall# show conn port 5060

禁用特定主機的SIP檢測

要禁用特定主機的SIP檢測，請檢視https://www.cisco.com/c/en/us/support/docs/security/secure-firewall-threat-defense/225969-configure-firewall-threat-defense.html#toc-hId-2007972800

原因

在FTD上停用SIP檢查有兩種方式：

- FTD CLI

- 使用FlexConfig

相關內容

- https://www.cisco.com/c/en/us/support/docs/security/secure-firewall-threat-defense/225969-configure-firewall-threat-defense.html

- 思科技術支援與下載