Inhoud

Inleiding

Voorwaarden

Vereisten

Gebruikte componenten

Conventies

Probleemoplossing

Staat reageert niet

Kan geen toegang krijgen tot AIP SSM via ASDM

Kan geen upgrade/update van het IPS-SSM uitvoeren

Upgradefout: Software voor upgrade

Kan geen verbinding maken met de IPS-evenementenviewer (IEV)

Kan geen toegang tot AIP-SSM verkrijgen

Fout bij het aansluiten van de AIP-SSM-module op de ASA

AIP-SSM faalt na bijwerking van de handtekening

Latentieproblemen met IPS-sensor

Gerelateerde informatie

Inleiding

Dit document beschrijft hoe u een oplossing kunt vinden voor de niet-responsieve status van de security servicesmodule voor geavanceerde inspectie en preventie (AIP-SSM) in Cisco 5500 Series adaptieve security applicatie (ASA).

Voorwaarden

Vereisten

Er zijn geen specifieke vereisten van toepassing op dit document.

Gebruikte componenten

De informatie in dit document is gebaseerd op AIP-SSM in Cisco 5500 Series ASA.

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u de potentiële impact van elke opdracht begrijpen.

Conventies

Raadpleeg Cisco Technical Tips Conventions (Conventies voor technische tips van Cisco) voor meer informatie over documentconventies.

Probleemoplossing

Staat reageert niet

Probleem:

AIP-SSM reageert niet meer op HTTP of ASDM-toegang, maar is wel toegankelijk voor CLI, zoals wordt getoond:

show module

Mod Card Type                                    Model              Serial No.

--- -------------------------------------------- ------------------ -----------

0 ASA 5510 Adaptive Security Appliance         ASA5510            JMX0934K021

1 ASA 5500 Series Security Services Module-10  ASA-SSM-10         JAB093203S3

Mod MAC Address Range                 Hw Version   Fw Version   Sw Version

--- --------------------------------- ------------ ------------ ---------------

0 0013.c480.a11d to 0013.c480.a121  1.0          1.0(10)0     7.0(2)

1 0013.c480.b204 to 0013.c480.b204  1.0          1.0(10)0     5.0(2)S152.0

Mod Status

--- ------------------

0 Up Sys

1 Unresponsive

Oplossing:

Geef de opdracht voor het resetten van module 1 op uw ASA uit. Deze opdracht voert een hardware-reset uit van AIP-SSM. Het is van toepassing wanneer de kaart in een van deze staten is:

- omhoog

- omlaag

- onontvankelijk

- terugkrijgen

Als u de ASA opnieuw start in een niet-reagerende toestand, moet uw SSM opnieuw worden geimageerd. Raadpleeg het gedeelte Afbeeldingen van het AIP-SSM-systeem installeren van upgrades, downloads en installatie van systeemafbeeldingen voor meer informatie en stappen in het opnieuw image van het AIP-SSM.

N.B.: Raadpleeg het gedeelte Reloading, Shutdown, Resetting en Recovering AIP-SSM van het configureren van ASA-SSM voor meer informatie over de verschillende opdrachten die beschikbaar zijn voor het oplossen van een AIP-SSM.

Dit probleem is veroorzaakt door Cisco bug-ID CSCts58648 (alleen geregistreerde klanten).

Kan geen toegang krijgen tot AIP SSM via ASDM

Probleem:

Deze foutmelding wordt in de GUI weergegeven.

Error connecting to sensor. Error Loading Sensor error

Oplossing:

Controleer de IPS SSM beheersinterface is omhoog/omlaag en controleer zijn geconfigureerde IP-adres, subnetmasker en standaardgateway. Dit is de interface om de software van Cisco Adaptieve Security Apparaat Manager (ASDM) van de lokale machine te gebruiken. Probeer het IP-adres van de beheerinterface van IPS SSM te pingelen vanaf de lokale machine waarop u de ASDM wilt activeren. Als u de ACL's op de sensor niet kunt pingelen.

Probleem:

U kunt niet met de belangrijkste app-foutmelding communiceren terwijl u probeert verbinding te maken met de AIP SSM-module.

Oplossing:

Herladen van de ASA of de AIP SSM-module om deze fout op te lossen.

Kan geen upgrade/update van het IPS-SSM uitvoeren

Probleem:

De fout: ExecUpgrade-softwareverbinding is er geen foutmelding in de CLI gezien.

Oplossing:

Controleer of de IPS SSM-beheerinterface omhoog/omlaag is en of het de interface is waarmee de ASA-IPS probeert contact op te nemen om de software te downloaden. Dit is geen backplane verbinding tussen de ASA en IPS-SSM; het is de Ethernet verbinding op de AIP-SSM module zelf, die op een switchpoort moet worden aangesloten en moet worden geconfigureerd met een IP-adres, subnetmasker en standaardgateway. Als http nog niet werkt, probeer dan de FTP- of SCP optie te gebruiken met de upgrade-opdracht.

Upgradefout: Software voor upgrade

Probleem:

De fout: EXecUpgradeSoftware De update vereist 60340 KB in /usr/cids/ids/idsRoot/var/updates, er zijn slechts 57253 KB beschikbaar. de foutmelding wordt tijdens de upgrade gezien.

Oplossing 1:

Om dit probleem op te lossen, moet u inloggen in de CLI van de sensor met een servicerekening. Als u geen serviceaccount hebt, kunt u een account met deze opdrachten maken:

configure terminal

user (username) priv service password (pass)

exit

Als u eenmaal op de servicekaart hebt aangemeld, geeft u deze opdrachten rm /usr/cids/idsRoot/var/*pmz uit en gaat u niet meer naar de servicerekening. Controleer dan of de upgrade voltooid is.

Oplossing 2:

Deze fout komt voor vanwege de minder beschikbare ruimte op de IPS module aangezien de herstelbestanden meer ruimte op module innemen. Voltooi deze stappen om herstelbestanden te verwijderen en deze fout op te lossen:

bash-2.05b# cd /usr/cids/idsRoot/var/updates/

bash-2.05b# ls -l

drwxr-xr-x    2 cids     cids         1024 Jul  1 22:35 backups

drwxr-xr-x    2 cids     cids         1024 Oct 19 15:26 download

drwxrwxr-x    2 cids     cids         1024 Oct 19 15:26 logs

-rw-r--r--    1 root     root          183 Sep  6 21:54 package

-rw-r--r--    1 cids     cids     27587840 Jul  9  2009 recovery.gz

drwxr-xr-x    2 cids     cids         1024 Jul  1 22:35 scripts

bash-2.05b# rm recovery.gz

Kan geen verbinding maken met de IPS-evenementenviewer (IEV)

Probleem:

Dit foutbericht verschijnt:

Cannot send xml document to sensor.

java.security.cert.CertificateExpiredException: NotAfter:

Oplossing:

Dit probleem kan worden opgelost als u het certificaat TLS opnieuw met deze opdracht regenereert:

sensor(config)#tls generate-key

Kan geen toegang tot AIP-SSM verkrijgen

Probleem:

Wanneer u probeert toegang te krijgen tot SSM, wordt deze foutmelding weergegeven.

Opening command session with slot 1.

Card in slot 1 did not respond to session request

Oplossing:

Geef de wijze uit waarop module 1 opdracht herstelt om dit probleem op te lossen. Raadpleeg AIP-SSM herstellen voor meer informatie over deze opdracht.

Fout bij het aansluiten van de AIP-SSM-module op de ASA

Probleem:

Wanneer u probeert de AIP SSM-module in de ASA te plaatsen, wordt deze foutmelding weergegeven.

module in slot 1 experienced a channel communication failure

Oplossing:

Herladen van de ASA om het probleem op te lossen. Als er nog een probleem is, neem dan contact op met TAC voor verdere hulp.

AIP-SSM faalt na bijwerking van de handtekening

Probleem:

AIP-SSM mislukt nadat de handtekening is bijgewerkt. De signatuur update veroorzaakt dat AIP-SSM niet meer geheugen heeft en zich niet meer reageert wanneer het aantal enabled-handtekeningen hoog is.

Oplossing:

Reset de signatuur definitie om het probleem op te lossen. Als er te veel handtekeningen zijn ingeschakeld, probeer dan de kenmerkende definitie opnieuw in te stellen. SSH aan de sensor en gebruik deze opdrachten:

configure terminal

service signature-definition sig0

default signatures

exit

exit

Latentieproblemen met IPS-sensor

Probleem:

De kwestie van de latentie komt voor met de IPS sensor.

Oplossing:

Het probleem van de latentie komt voor wanneer de ontkende actie inline en ontkenningspakket voor elke handtekening in VS 0 wordt geactiveerd. Als u alle handtekeningen toelaat, resulteert dit in latentie aangezien IPS elk pakje inspecteert waardoor dat doorgaat. Het is goed alleen de specifieke handtekening mogelijk te maken die vereist is volgens de verkeersstroom van het netwerk om het latentieprobleem op te lossen.

Gerelateerde informatie

- Ondersteuning van Cisco adaptieve security applicatie

- Technische ondersteuning en documentatie – Cisco Systems