由於DTLS流解除安裝問題，安全防火牆意外重新啟動

問題

思科安全防火牆威脅防禦(FTD)會經歷系統重新啟動，反複造成服務中斷，並且不會生成傳統的crashinfo檔案。在故障排除期間，會觀察到重複生成crypto_eng0_arch_*檔案以及重複出現的NPU加速器和FPGA致命錯誤消息，這些錯誤消息與重新啟動事件一致。

• FTD目錄確認重複生成crypto_eng0_arch_*檔案，其時間戳與重新引導事件一致。

  firepower# dir crypto_archive
  -rwxr-xr-x 1 root root 55310816 Mar 12 01:22 crypto_eng0_arch_1.bin
  -rwxr-xr-x 1 root root      869 Mar 12 01:22 crypto_eng0_arch_1.info
  -rwxr-xr-x 1 root root   409235 Mar 12 01:22 crypto_eng0_arch_1.reg
  -rwxr-xr-x 1 root root 55310816 Mar 12 04:25 crypto_eng0_arch_2.bin
  -rwxr-xr-x 1 root root      869 Mar 12 04:25 crypto_eng0_arch_2.info
  -rwxr-xr-x 1 root root   409111 Mar 12 04:25 crypto_eng0_arch_2.reg
  -rwxr-xr-x 1 root root 55310816 Mar 12 09:45 crypto_eng0_arch_3.bin
  -rwxr-xr-x 1 root root      869 Mar 12 09:45 crypto_eng0_arch_3.info
  -rwxr-xr-x 1 root root   408688 Mar 12 09:44 crypto_eng0_arch_3.reg
  -rwxr-xr-x 1 root root 55310816 Mar 11 18:48 crypto_eng0_arch_4.bin
  -rwxr-xr-x 1 root root      869 Mar 11 18:48 crypto_eng0_arch_4.info
  -rwxr-xr-x 1 root root   408895 Mar 11 18:48 crypto_eng0_arch_4.reg
  -rwxr-xr-x 1 root root 55310816 Mar 11 21:11 crypto_eng0_arch_5.bin
  -rwxr-xr-x 1 root root      869 Mar 11 21:11 crypto_eng0_arch_5.info
  -rwxr-xr-x 1 root root   409136 Mar 11 21:11 crypto_eng0_arch_5.reg

• FTD記錄顯示重複出現的NPU加速器和FPGA致命錯誤訊息，這些訊息與意外重新啟動和crypto_eng0_arch_*檔案的計時相符。

  > expert
  admin@device:~$ sudo su
  Password: [enter admin password]
  root@device:/Volume/home/admin# cat /opt/cisco/platform/logs/messages | grep -i npu
  2026 Mar 11 07:11:42 KC FPGA: FATAL - ILK pipe 0: TX Buffer FIFO Overflow
  2026 Mar 11 07:11:42 NPU ACCEL MGR: FATAL - NPU Accelerator FAILED
  2026 Mar 11 07:11:42 NPU ACCEL MGR: FATAL - NPU Accelerator FAILED - REBOOTING the device !!
  2026 Mar 11 11:15:47 KC FPGA: FATAL - ILK pipe 0: TX Buffer FIFO Overflow
  2026 Mar 11 11:15:47 NPU ACCEL MGR: FATAL - NPU Accelerator FAILED
  2026 Mar 11 11:15:47 NPU ACCEL MGR: FATAL - NPU Accelerator FAILED - REBOOTING the device !!
  ---
  Mar 11 21:11:20 device  kings-cross-fpga: FATAL - ILK pipe 0: TX Buffer FIFO Overflow
  Mar 11 21:11:20 device  NPU Accelerator Manager: FATAL - NPU Accelerator FAILED
  Mar 11 21:11:20 device  FPRM: <<%FPRM-2-NPU_FPGA_FAILURE>> [F1418][critical][npu-fpga-failure][shaperports-cfg-ep/event-id-fpga-error-pipe-0-level-fatal] NPU FPGA raised a FATAL error on pipe 0
  Mar 11 21:11:20 device  NPU Accelerator Manager: FATAL - NPU Accelerator FAILED - REBOOTING the device !!
  Mar 12 01:22:53 device  kings-cross-fpga: FATAL - ILK pipe 0: TX Buffer FIFO Overflow
  Mar 12 01:22:54 device  NPU Accelerator Manager: FATAL - NPU Accelerator FAILED
  Mar 12 01:22:54 device  FPRM: <<%FPRM-2-NPU_FPGA_FAILURE>> [F1418][critical][npu-fpga-failure][shaperports-cfg-ep/event-id-fpga-error-pipe-0-level-fatal] NPU FPGA raised a FATAL error on pipe 0
  Mar 12 01:22:54 device  NPU Accelerator Manager: FATAL - NPU Accelerator FAILED - REBOOTING the device !!

• FTD組態確認受影響的FTD上已啟用DTLS流量分流，這符合已知缺陷Cisco錯誤ID CSCwq32085的條件。

  firepower# show flow-offload-dtls info
  DTLS offload: Enabled
  Egress optimization: Enabled

環境

• 主要出現在Firepower 3100系列上，但會影響其他型號

• 影響未針對此問題使用固定版本的ASA和FTD。

• 由Firepower管理中心(FMC)管理

• 在受影響的裝置上啟用DTLS流解除安裝

解析

將所有受影響的FTD/ASA裝置升級至包含思科錯誤ID CSCwq32085修復程式的版本。

因應措施

1.轉到Cisco Secure Firewall Management Center中的Devices > FlexConfig。

2.建立或編輯FlexConfig對象。

3.插入命令列文本以通過FlexConfig禁用FTD裝置的DTLS/IPSEC流量解除安裝。

no flow-offload-ipsec 
no flow-offload-dtls

4.將FlexConfig策略分配給目標FTD裝置並部署配置。

5.變更需要重新啟動FTD才能生效。

原因

意外重新啟動是由FTD中的思科錯誤ID CSCwq32085所導致。在Firepower 3100和4200系列裝置上啟用DTLS流量分流時，此已知軟體缺陷可能會觸發NPU/FPGA加速器故障和強制重啟。該缺陷特別影響硬體加速功能，並在強制系統重新啟動之前生成帶有「檢測到KC ILK問題」控制檯錯誤消息的crypto_archive檔案。

相關內容

• 瞭解安全Firepower 3100和4200中的IPsec和DTLS解除安裝並對其進行故障排除

• 配置FlexConfig對象

• 思科錯誤ID CSCwq32085

• 思科安全防火牆威脅防禦版本說明，版本7.6.x

• 思科技術支援與下載