目錄

簡介

必要條件

需求

採用元件

慣例

疑難排解

無響應狀態

無法通過ASDM訪問AIP SSM

無法升級/更新IPS SSM

升級錯誤：exec升級軟體

無法使用IPS事件檢視器(IEV)連線到IPS

無法訪問AIP-SSM

將AIP-SSM模組插入ASA時出錯

簽名更新後AIP-SSM失敗

IPS感測器的延遲問題

相關資訊

簡介

本文說明如何對Cisco 5500系列自適應安全裝置(ASA)中的高級檢測和防禦安全服務模組(AIP-SSM)的不響應狀態進行故障排除。

必要條件

需求

本文件沒有特定需求。

採用元件

本文檔中的資訊基於Cisco 5500系列ASA中的AIP-SSM。

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路正在作用，請確保您已瞭解任何指令可能造成的影響。

慣例

如需文件慣例的詳細資訊，請參閱思科技術提示慣例。

疑難排解

無響應狀態

問題：

AIP-SSM進入無響應狀態，無法響應HTTP或ASDM訪問，但可通過CLI訪問，如下所示：

show module

Mod Card Type                                    Model              Serial No.

--- -------------------------------------------- ------------------ -----------

0 ASA 5510 Adaptive Security Appliance         ASA5510            JMX0934K021

1 ASA 5500 Series Security Services Module-10  ASA-SSM-10         JAB093203S3

Mod MAC Address Range                 Hw Version   Fw Version   Sw Version

--- --------------------------------- ------------ ------------ ---------------

0 0013.c480.a11d to 0013.c480.a121  1.0          1.0(10)0     7.0(2)

1 0013.c480.b204 to 0013.c480.b204  1.0          1.0(10)0     5.0(2)S152.0

Mod Status

--- ------------------

0 Up Sys

1 Unresponsive

解決方案：

在ASA上發出hw-module module 1 reset命令。此命令執行AIP-SSM的硬體重置。當卡處於以下任何狀態時，此命令都適用：

- up

- 關閉

- 無響應

- 恢復

如果重新啟動處於無響應狀態的ASA，則必須重新映像SSM。有關如何重新映像AIP-SSM的更多資訊和步驟，請參閱升級、降級和安裝系統映像的安裝AIP-SSM系統映像部分。

注意：請參閱配置ASA-SSM的重新載入、關閉、重置和恢復AIP-SSM部分，瞭解有關可用於AIP-SSM故障排除的各種命令的詳細資訊。

此問題是由思科錯誤ID CSCts58648(僅限註冊客戶)導致的。

無法通過ASDM訪問AIP SSM

問題：

GUI上會顯示此錯誤消息。

Error connecting to sensor. Error Loading Sensor error

解決方案：

檢查IPS SSM管理介面是否為up/down，並檢查其配置的IP地址、子網掩碼和預設網關。這是從本地電腦訪問思科自適應安全裝置管理器(ASDM)軟體的介面。嘗試從要訪問ASDM的本地電腦ping IPS SSM的管理介面IP地址。如果無法ping通，請檢查感測器上的ACL。

問題：

當您嘗試連線到AIP SSM模組時，出現cannot communication with main app錯誤消息。

解決方案：

重新載入ASA或AIP SSM模組以解決此錯誤。

無法升級/更新IPS SSM

問題：

錯誤：execUpgradeSoftware Connection failed錯誤消息出現在CLI上。

解決方案：

請檢查IPS SSM管理介面是否為up/down，以及ASA-IPS是否嘗試通過此介面聯絡以下載軟體。這不是在ASA和IPS-SSM之間的底板連線；它是AIP-SSM模組本身的乙太網連線，需要連線到交換機埠並配置有IP地址、子網掩碼和預設網關。如果http仍然無法正常工作，請嘗試使用FTP或SCP選項和upgrade 命令。

升級錯誤：exec升級軟體

問題：

錯誤：execUpgradeSoftware在/usr/cids/idsRoot/var/updates中更新需要60340 KB，但只有57253 KB可用。升級過程中出現錯誤消息。

解決方案1:

要解決此問題，您需要使用服務帳戶登入到感測器的CLI。如果您沒有服務帳戶，可以使用以下命令建立服務帳戶：

configure terminal

user (username) priv service password (pass)

exit

登入到服務帳戶後，發出這些rm /usr/cids/idsRoot/var/*pmz命令並註銷服務帳戶。然後檢查升級是否完成。

解決方案2:

發生此錯誤的原因是IPS模組上的可用空間較少，因為恢復檔案佔用了模組上的更多空間。完成以下步驟，即可移除復原檔案並解決此錯誤：

bash-2.05b# cd /usr/cids/idsRoot/var/updates/

bash-2.05b# ls -l

drwxr-xr-x    2 cids     cids         1024 Jul  1 22:35 backups

drwxr-xr-x    2 cids     cids         1024 Oct 19 15:26 download

drwxrwxr-x    2 cids     cids         1024 Oct 19 15:26 logs

-rw-r--r--    1 root     root          183 Sep  6 21:54 package

-rw-r--r--    1 cids     cids     27587840 Jul  9  2009 recovery.gz

drwxr-xr-x    2 cids     cids         1024 Jul  1 22:35 scripts

bash-2.05b# rm recovery.gz

無法使用IPS事件檢視器(IEV)連線到IPS

問題：

出現以下錯誤消息：

Cannot send xml document to sensor.

java.security.cert.CertificateExpiredException: NotAfter:

解決方案：

如果使用以下命令重新生成tls證書，則可以解決此問題：

sensor(config)#tls generate-key

無法訪問AIP-SSM

問題：

當您嘗試訪問SSM時，會顯示此錯誤消息。

Opening command session with slot 1.

Card in slot 1 did not respond to session request

解決方案：

發出hw-module module 1 recover命令以解決此問題。有關此命令的詳細資訊，請參閱恢復AIP-SSM。

將AIP-SSM模組插入ASA時出錯

問題：

當您嘗試將AIP SSM模組插入ASA時，會顯示此錯誤消息。

module in slot 1 experienced a channel communication failure

解決方案：

重新載入ASA以解決問題。如果問題仍然存在，請聯絡TAC以獲取進一步幫助。

簽名更新後AIP-SSM失敗

問題：

更新簽名後，AIP-SSM失敗。簽名更新會導致AIP-SSM耗盡記憶體，並在啟用的簽名數量較高時變得無響應。

解決方案：

重置簽名定義以解決問題。如果啟用了太多簽名，請嘗試重置簽名定義。通過SSH連線到感測器並使用以下命令：

configure terminal

service signature-definition sig0

default signatures

exit

exit

IPS感測器的延遲問題

問題：

IPS感測器出現延遲問題。

解決方案：

在VS0中為每個簽名啟用deny action inline和deny packet時，就會發生延遲問題。如果啟用所有簽名，則會導致延遲，因為IPS會檢查通過的每個資料包。最好根據網路流量僅啟用所需的特定簽名，以便解決延遲問題。

相關資訊

- 思科自適應安全裝置支援頁面

- 技術支援與文件 - Cisco Systems