Contenido

Introducción

Prerequisites

Requirements

Componentes Utilizados

Problema: Solución De Problemas De Audio Unidireccional En Puertos FXO En Routers IOS-XE Cuando Se Configura Un Firewall De Políticas Basado En Zona

Solución

Ejemplo 1

Ejemplo 2

Errores relacionados

Información Relacionada

Introducción

Este documento describe un problema de audio unidireccional que se ve en los routers IOS-XE cuando se utiliza el firewall basado en zonas (ZBF), este problema afecta a las llamadas entrantes y salientes de los puertos del router Foreign eXchange Office (FXO) tan pronto como se implementa el ZBF.

La intención principal de este documento es explicar por qué ocurre este problema y proporcionarle la solución necesaria para forzar al ZBF a permitir que las llamadas de voz funcionen correctamente y con comunicación de audio bidireccional para los puertos del router FXO.

Prerequisites

Requirements

Cisco recomienda que tenga conocimiento de la configuración de Cisco ZBF en los routers IOS-XE.

Componentes Utilizados

La información que contiene este documento se basa en las siguientes versiones de software y hardware.

- Routers de servicios integrados (ISR G2)

- IOS-XE 3S

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Problema: Solución De Problemas De Audio Unidireccional En Puertos FXO En Routers IOS-XE Cuando Se Configura Un Firewall De Políticas Basado En Zona

El audio unidireccional se experimenta en llamadas entrantes y salientes en routers con puertos FXO tan pronto como el ZBF se configura en el router. Una vez que elimina las zonas ZBF de todas las interfaces del router, desaparece el problema de audio unidireccional.

Desafortunadamente, cada vez que ocurre este problema, el ZBF no muestra ningún mensaje syslog que indique o confirme por qué el tráfico de voz es descartado por el ZBF. Aunque intente obligar a ZBF a registrar cualquier caída de paquete con cualquiera de estas opciones, no verá ningún mensaje de caída de syslog:

Paso 1. Puede habilitar el registro de descarte al final de cada policy-map ZBF dentro de la última clase class-default:

policy-map type inspect POLICY_INSIDE_TO_SELF

class type inspect CMAP_ZBFW_RFC_1918

pass

class type inspect CMAP_ZBFW_ALL_PROTOCOLS

inspect

class class-default

drop log

O

Paso 2. Puede habilitar el log drop-packets dentro del mapa de parámetro ZBF global:

parameter-map type inspect global

log dropped-packets

Puede intentar resolver este problema de comunicación de audio unidireccional si aplica los siguientes cambios de configuración de ZBF, pero desafortunadamente, no funcionará en absoluto:

- Mediante la configuración, inspeccione y pase las reglas de acción que permiten el tráfico de voz desde el interior a la zona exterior.

- Mediante la configuración, inspeccione y pase las reglas de acción que permiten el tráfico de voz desde el exterior a la zona interior.

- Mediante la configuración, inspeccione y pase las reglas de acción que permiten el tráfico de voz desde el exterior a la zona autónoma y viceversa.

- Mediante la configuración, inspeccione y pase las reglas de acción que permiten el tráfico de voz desde el interior a la zona autónoma y viceversa.

- Mediante la configuración, inspeccione y pase las reglas de acción que permiten el tráfico de voz desde el interior a la zona interior.

Solución

Para evitar que el ZBF descarte el tráfico de voz relacionado con los puertos del router FXO, debe asignar todas las interfaces del router Service-Engine que están en estado Status/Protocol UP, a la zona INSIDE ZBF:

interface Service-Engine0/1/0

zone-member security INSIDE

interface Service-Engine0/2/0

zone-member security INSIDE

Una vez que las interfaces del motor de servicio del router en estado UP/protocolo se asignan a la zona INSIDE, el problema de audio unidireccional a través de ZBF se resuelve finalmente.

Ejemplo 1

En esta implementación de ZBF IOS-XE, se confirmaron los problemas de audio unidireccional para las llamadas telefónicas entrantes y salientes de la red LAN a la PSTN, después de asignar las interfaces de motor de servicio en estado UP a la zona ZONE_INSIDE, finalmente se resolvió el problema de audio unidireccional:

R1#sh ip int br

Interface              IP-Address      OK? Method Status                Protocol

GigabitEthernet0/0/0   64.100.0.10     YES NVRAM  up                    up

GigabitEthernet0/0/1   unassigned      YES NVRAM  up                    up

Gi0/0/1                192.168.10.1    YES NVRAM  up                    up

GigabitEthernet0/0/2   unassigned      YES NVRAM  administratively down down

Service-Engine0/1/0 unassigned YES NVRAM up up Service-Engine0/2/0 unassigned YES unset up up

Vlan1                  unassigned      YES unset  administratively down down

interface Service-Engine0/1/0

zone-member security ZONE_INSIDE

interface Service-Engine0/2/0

zone-member security ZONE_INSIDE

R1# show zone security

zone self

Description: System defined zone

zone ZONE_INSIDE

Member Interfaces:

GigabitEthernet0/0/1

Service-Engine0/1/0 Service-Engine0/2/0

zone ZONE_OUTSIDE

Member Interfaces:

GigabitEthernet0/0/0

Ejemplo 2

En esta implementación de ZBF IOS-XE, se confirmaron los problemas de audio unidireccional para las llamadas telefónicas entrantes y salientes de la red LAN a la PSTN, después de asignar las interfaces de motor de servicio en estado UP a la zona de confianza, finalmente se resolvió el problema de audio unidireccional:

R2# show ip int brief

Interface              IP-Address      OK? Method Status                Protocol

GigabitEthernet0/0/0   172.16.1.1      YES NVRAM  up                    up

Gi0/0/1                64.100.0.10     YES NVRAM  up                    up

Service-Engine0/1/0 unassigned YES unset up up Service-Engine0/4/0 unassigned YES unset up up

GigabitEthernet0       unassigned      YES NVRAM  administratively down down

Loopback0              unassigned      YES unset  up                    up

Vlan1                  unassigned      YES unset  administratively down down

interface Service-Engine0/1/0 zone-member security Trusted interface Service-Engine0/4/0 zone-member security Trusted

R2#show zone security

zone self

Description: System defined zone

zone Trusted

Member Interfaces:

GigabitEthernet0/0/0

Service-Engine0/1/0 Service-Engine0/4/0

zone Untrusted

Member Interfaces:

Gi0/0/1

Errores relacionados

CSCuu86175 CUBE en plataformas basadas en XE: Las llamadas pueden fallar con ZBFW activado

CSCuh55237 DOC : El documento ASR debe reflejar 'ZBFW no interoperable con CUBE-SP'

Información Relacionada

- Guía de configuración de seguridad: Firewall de políticas basado en zonas, Cisco IOS XE versión 3S

- Puede que sea necesario incluir el motor de servicio x/y/z en una zona para que pase el tráfico de voz

- interface service-engine