Inhalt

Einführung

Voraussetzungen

Anforderungen

Verwendete Komponenten

Konventionen

Fehlerbehebung

Status nicht reagiert

Zugriff auf das AIP SSM über ASDM nicht möglich

IPS SSM konnte nicht aktualisiert/aktualisiert werden

Upgrade-Fehler: ExecUpgradeSoftware

Verbindung zum IPS mit dem IPS Event Viewer (IEV) nicht möglich

Zugriff auf AIP-SSM nicht möglich

Fehler beim Anschließen des AIP-SSM-Moduls an die ASA

AIP-SSM schlägt nach Signatur-Update fehl

Latenzprobleme mit IPS-Sensor

Zugehörige Informationen

Einführung

In diesem Dokument wird beschrieben, wie der nicht reagierende Zustand des Advanced Inspection and Prevention Security Services Module (AIP-SSM) der Cisco Adaptive Security Appliance (ASA) der Serie 5500 behoben wird.

Voraussetzungen

Anforderungen

Für dieses Dokument bestehen keine speziellen Anforderungen.

Verwendete Komponenten

Die Informationen in diesem Dokument basieren auf dem AIP-SSM der Cisco Serie ASA 5500.

Die Informationen in diesem Dokument wurden von den Geräten in einer bestimmten Laborumgebung erstellt. Alle in diesem Dokument verwendeten Geräte haben mit einer leeren (Standard-)Konfiguration begonnen. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die potenziellen Auswirkungen eines Befehls verstehen.

Konventionen

Weitere Informationen zu Dokumentkonventionen finden Sie unter Cisco Technical Tips Conventions (Technische Tipps zu Konventionen von Cisco).

Fehlerbehebung

Status nicht reagiert

Problem:

Das AIP-SSM wechselt in einen nicht reagierenden Zustand, reagiert nicht auf HTTP- oder ASDM-Zugriff, ist aber von der CLI aus zugänglich, wie gezeigt:

show module

Mod Card Type                                    Model              Serial No.

--- -------------------------------------------- ------------------ -----------

0 ASA 5510 Adaptive Security Appliance         ASA5510            JMX0934K021

1 ASA 5500 Series Security Services Module-10  ASA-SSM-10         JAB093203S3

Mod MAC Address Range                 Hw Version   Fw Version   Sw Version

--- --------------------------------- ------------ ------------ ---------------

0 0013.c480.a11d to 0013.c480.a121  1.0          1.0(10)0     7.0(2)

1 0013.c480.b204 to 0013.c480.b204  1.0          1.0(10)0     5.0(2)S152.0

Mod Status

--- ------------------

0 Up Sys

1 Unresponsive

Lösung:

Geben Sie den Befehl hw-module module1 reset auf Ihrer ASA ein. Dieser Befehl führt ein Hardware-Reset des AIP-SSM durch. Sie ist anwendbar, wenn sich die Karte in einem der folgenden Zustände befindet:

- hochfahren

- herunterfahren

- unreagiert

- wiederherstellen

Wenn Sie die ASA in einem nicht reagierenden Zustand neu starten, muss Ihr SSM neu formatiert werden. Im Abschnitt Installation des AIP-SSM-Systemabbilds von Upgrades, Downgrades und Installieren von Systembildern finden Sie weitere Informationen und Schritte zur Neuformatierung des AIP-SSMs.

Hinweis: Im Abschnitt Neustarten, Herunterfahren, Zurücksetzen und Wiederherstellen von AIP-SSM unter Konfigurieren von ASA-SSM finden Sie weitere Informationen zu den verschiedenen Befehlen, die zur Fehlerbehebung für das AIP-SSM verfügbar sind.

Dieses Problem beruht auf der Cisco Bug ID CSCts58648 (nur registrierte Kunden) .

Zugriff auf das AIP SSM über ASDM nicht möglich

Problem:

Diese Fehlermeldung wird in der GUI angezeigt.

Error connecting to sensor. Error Loading Sensor error

Lösung:

Überprüfen Sie, ob die IPS SSM-Verwaltungsschnittstelle aktiv/inaktiv ist, und überprüfen Sie die konfigurierte IP-Adresse, die Subnetzmaske und das Standard-Gateway. Dies ist die Schnittstelle für den Zugriff auf die Cisco Adaptive Security Device Manager (ASDM)-Software vom lokalen Computer aus. Versuchen Sie, einen Ping an die IP-Adresse der Verwaltungsschnittstelle von IPS SSM vom lokalen System zu senden, auf das Sie auf das ASDM zugreifen möchten. Wenn kein Ping gesendet werden kann, überprüfen Sie die ACLs auf dem Sensor.

Problem:

Die Fehlermeldung kann nicht mit der Hauptanwendung kommunizieren, wird angezeigt, wenn Sie versuchen, eine Verbindung zum AIP SSM-Modul herzustellen.

Lösung:

Laden Sie das ASA- oder das AIP SSM-Modul neu, um diesen Fehler zu beheben.

IPS SSM konnte nicht aktualisiert/aktualisiert werden

Problem:

Der Fehler: In der CLI wird die Fehlermeldung "execUpgradeSoftware Connection failed" (execUpgradeSoftwareverbindung fehlgeschlagen) angezeigt.

Lösung:

Überprüfen Sie, ob die IPS SSM-Managementschnittstelle aktiv/inaktiv ist und ob es sich um die Schnittstelle handelt, über die die ASA-IPS versucht, die Software herunterzuladen. Dies ist keine Backplane-Verbindung zwischen ASA und IPS-SSM. Es ist die Ethernet-Verbindung am AIP-SSM-Modul selbst, die mit einem Switch-Port verbunden und mit einer IP-Adresse, Subnetzmaske und einem Standard-Gateway konfiguriert werden muss. Wenn HTTP immer noch nicht funktioniert, versuchen Sie, die Option FTP oder SCP mit dem Befehl upgrade (Aktualisierung) zu verwenden.

Upgrade-Fehler: ExecUpgradeSoftware

Problem:

Der Fehler: execUpgradeSoftware Das Update erfordert 60340 KB in /usr/cids/idsRoot/var/updates, es sind nur 57253 KB verfügbar. während der Aktualisierung wird eine Fehlermeldung angezeigt.

Lösung 1:

Um dieses Problem zu beheben, müssen Sie sich bei der CLI des Sensors mit einem Dienstkonto anmelden. Wenn Sie über kein Dienstkonto verfügen, können Sie eines mit den folgenden Befehlen erstellen:

configure terminal

user (username) priv service password (pass)

exit

Wenn Sie sich beim Dienstkonto angemeldet haben, geben Sie die Befehle rm /usr/cids/idsRoot/var/*pmz aus und melden Sie sich vom Dienstkonto ab. Überprüfen Sie anschließend, ob das Upgrade abgeschlossen ist.

Lösung 2:

Dieser Fehler tritt auf, weil weniger Speicherplatz auf dem IPS-Modul verfügbar ist, da die Wiederherstellungsdateien mehr Speicherplatz auf Modul belegen. Führen Sie die folgenden Schritte aus, um die Wiederherstellungsdateien zu entfernen und diesen Fehler zu beheben:

bash-2.05b# cd /usr/cids/idsRoot/var/updates/

bash-2.05b# ls -l

drwxr-xr-x    2 cids     cids         1024 Jul  1 22:35 backups

drwxr-xr-x    2 cids     cids         1024 Oct 19 15:26 download

drwxrwxr-x    2 cids     cids         1024 Oct 19 15:26 logs

-rw-r--r--    1 root     root          183 Sep  6 21:54 package

-rw-r--r--    1 cids     cids     27587840 Jul  9  2009 recovery.gz

drwxr-xr-x    2 cids     cids         1024 Jul  1 22:35 scripts

bash-2.05b# rm recovery.gz

Verbindung zum IPS mit dem IPS Event Viewer (IEV) nicht möglich

Problem:

Diese Fehlermeldung wird angezeigt:

Cannot send xml document to sensor.

java.security.cert.CertificateExpiredException: NotAfter:

Lösung:

Dieses Problem kann behoben werden, wenn Sie das tls-Zertifikat mit dem folgenden Befehl neu generieren:

sensor(config)#tls generate-key

Zugriff auf AIP-SSM nicht möglich

Problem:

Wenn Sie versuchen, auf SSM zuzugreifen, wird diese Fehlermeldung angezeigt.

Opening command session with slot 1.

Card in slot 1 did not respond to session request

Lösung:

Geben Sie den Befehl hw-module-Modul 1 restore ein, um dieses Problem zu beheben. Weitere Informationen zu diesem Befehl finden Sie unter Wiederherstellen von AIP-SSM.

Fehler beim Anschließen des AIP-SSM-Moduls an die ASA

Problem:

Wenn Sie versuchen, das AIP SSM-Modul in die ASA einzufügen, wird diese Fehlermeldung angezeigt.

module in slot 1 experienced a channel communication failure

Lösung:

Laden Sie die ASA neu, um das Problem zu beheben. Wenn das Problem weiterhin besteht, wenden Sie sich an das TAC, um weitere Hilfe zu erhalten.

AIP-SSM schlägt nach Signatur-Update fehl

Problem:

AIP-SSM schlägt nach der Aktualisierung der Signatur fehl. Das Signatur-Update führt dazu, dass dem AIP-SSM der Arbeitsspeicher ausgeht und nicht mehr reagiert, wenn die Anzahl der aktivierten Signaturen hoch ist.

Lösung:

Setzen Sie die Signaturdefinition zurück, um das Problem zu beheben. Wenn zu viele Signaturen aktiviert sind, versuchen Sie, die Signaturdefinition zurückzusetzen. SSH zum Sensor und verwenden Sie die folgenden Befehle:

configure terminal

service signature-definition sig0

default signatures

exit

exit

Latenzprobleme mit IPS-Sensor

Problem:

Beim IPS-Sensor tritt ein Latenzproblem auf.

Lösung:

Das Latenzproblem tritt auf, wenn deny action inline und deny Packet für jede Signatur in VS0 aktiviert sind. Wenn Sie alle Signaturen aktivieren, führt dies zu einer Latenz, da IPS jedes einzelne Paket überprüft, durch das die Signaturen übertragen werden. Es empfiehlt sich, nur die Signatur zu aktivieren, die gemäß dem Netzwerkverkehrsfluss erforderlich ist, um das Latenzproblem zu beheben.

Zugehörige Informationen

- Support-Seite für Cisco Adaptive Security Appliance

- Technischer Support und Dokumentation - Cisco Systems