Contents

Introduction

Prerequisites

Requirements

Componentes Utilizados

Problema: Solucionar Problemas De Áudio Unidirecional Em Portas FXO Em Roteadores IOS-XE Quando O Firewall De Política Baseado Em Zona Está Configurado

Solução

Exemplo 1

Exemplo 2

Erros relacionados

Informações Relacionadas

Introduction

Este documento descreve um problema de áudio unidirecional visto em roteadores IOS-XE quando o ZBF (Zone-based Firewall, Firewall baseado em zona) é usado, esse problema afeta as chamadas de entrada e saída para as portas do roteador Foreign eXchange Office (FXO) assim que o ZBF estiver no lugar.

A principal intenção deste documento é explicar por que esse problema acontece e fornecer a solução necessária para forçar o ZBF a permitir que as chamadas de voz funcionem corretamente e com comunicação de áudio bidirecional para as portas do roteador FXO.

Prerequisites

Requirements

A Cisco recomenda que você tenha conhecimento da configuração do Cisco ZBF em roteadores IOS-XE.

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software e hardware:

- Roteadores de serviços integrados (ISR G2)

- IOS-XE 3S

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Problema: Solucionar Problemas De Áudio Unidirecional Em Portas FXO Em Roteadores IOS-XE Quando O Firewall De Política Baseado Em Zona Está Configurado

O áudio unidirecional ocorre em chamadas de entrada e saída em roteadores com portas FXO assim que o ZBF é configurado no roteador. Quando você remove as zonas ZBF de todas as interfaces do roteador, o problema de áudio unidirecional desaparece.

Infelizmente, toda vez que esse problema acontece, o ZBF não exibe nenhuma mensagem de syslog que indique ou confirme por que o tráfego de voz é descartado pelo ZBF. Mesmo que você tente forçar o ZBF a registrar qualquer queda de pacote com qualquer uma dessas opções, você não verá nenhuma mensagem de queda de syslog:

Etapa 1. Você pode habilitar o log de queda no final de cada mapa de política ZBF no último class class class-default:

policy-map type inspect POLICY_INSIDE_TO_SELF

class type inspect CMAP_ZBFW_RFC_1918

pass

class type inspect CMAP_ZBFW_ALL_PROTOCOLS

inspect

class class-default

drop log

OU

Etapa 2. Você pode habilitar os pacotes descartados de log no mapa de parâmetros globais do ZBF:

parameter-map type inspect global

log dropped-packets

Você pode tentar resolver esse problema de comunicação de áudio unidirecional se aplicar as próximas alterações de configuração de ZBF, mas, infelizmente, isso não funcionará:

- Ao configurar inspecionar e passar regras de ação que permitem o tráfego de voz de dentro para fora da zona.

- Ao configurar inspecionar e passar regras de ação que permitem o tráfego de voz de fora para a zona interna.

- Ao configurar as regras de ação inspecionar e passar que permitem o tráfego de voz do lado de fora para a zona automática e vice-versa.

- Ao configurar as regras de ação inspecionar e passar que permitem o tráfego de voz de dentro para a zona automática e vice-versa.

- Ao configurar inspecionar e passar regras de ação que permitem o tráfego de voz de dentro para a zona interna.

Solução

Para evitar que o ZBF descarte o tráfego de voz relacionado às portas do roteador FXO, você precisa atribuir todas as interfaces do roteador service-engine que estão no estado Status/Protocol UP, à zona ZBF INSIDE:

interface Service-Engine0/1/0

zone-member security INSIDE

interface Service-Engine0/2/0

zone-member security INSIDE

Quando as interfaces do mecanismo de serviço do roteador no estado UP/protocolo são atribuídas à zona INSIDE, o problema de áudio unidirecional através do ZBF é finalmente resolvido.

Exemplo 1

Nesta implementação ZBF do IOS-XE, foram confirmados problemas de áudio unidirecional para as chamadas telefônicas de entrada e saída da rede LAN para a PSTN, depois de atribuídas as interfaces do mecanismo de serviço no estado UP à zona ZONE_INSIDE, o problema de áudio unidirecional foi finalmente resolvido:

R1#sh ip int br

Interface              IP-Address      OK? Method Status                Protocol

GigabitEthernet0/0/0   64.100.0.10     YES NVRAM  up                    up

GigabitEthernet0/0/1   unassigned      YES NVRAM  up                    up

Gi0/0/1                192.168.10.1    YES NVRAM  up                    up

GigabitEthernet0/0/2   unassigned      YES NVRAM  administratively down down

Service-Engine0/1/0 unassigned YES NVRAM up up Service-Engine0/2/0 unassigned YES unset up up

Vlan1                  unassigned      YES unset  administratively down down

interface Service-Engine0/1/0

zone-member security ZONE_INSIDE

interface Service-Engine0/2/0

zone-member security ZONE_INSIDE

R1# show zone security

zone self

Description: System defined zone

zone ZONE_INSIDE

Member Interfaces:

GigabitEthernet0/0/1

Service-Engine0/1/0 Service-Engine0/2/0

zone ZONE_OUTSIDE

Member Interfaces:

GigabitEthernet0/0/0

Exemplo 2

Nesta implementação ZBF do IOS-XE, problemas de áudio unidirecional confirmados para chamadas telefônicas de entrada e saída da rede LAN para a PSTN, depois de atribuídas as interfaces do mecanismo de serviço no estado UP à zona confiável, o problema de áudio unidirecional foi finalmente resolvido:

R2# show ip int brief

Interface              IP-Address      OK? Method Status                Protocol

GigabitEthernet0/0/0   172.16.1.1      YES NVRAM  up                    up

Gi0/0/1                64.100.0.10     YES NVRAM  up                    up

Service-Engine0/1/0 unassigned YES unset up up Service-Engine0/4/0 unassigned YES unset up up

GigabitEthernet0       unassigned      YES NVRAM  administratively down down

Loopback0              unassigned      YES unset  up                    up

Vlan1                  unassigned      YES unset  administratively down down

interface Service-Engine0/1/0 zone-member security Trusted interface Service-Engine0/4/0 zone-member security Trusted

R2#show zone security

zone self

Description: System defined zone

zone Trusted

Member Interfaces:

GigabitEthernet0/0/0

Service-Engine0/1/0 Service-Engine0/4/0

zone Untrusted

Member Interfaces:

Gi0/0/1

Erros relacionados

CSCuu86175 CUBE em plataformas baseadas em XE: As chamadas podem falhar com ZBFW habilitado

CSCuh55237 DOC: O documento ASR deve refletir 'ZBFW not operational with CUBE-SP' (ZBFW não interoperável com CUBE-SP)

Informações Relacionadas

- Guia de configuração de segurança: Firewall de política baseado em zona, Cisco IOS XE versão 3S

- O mecanismo de serviço x/y/z pode precisar ser incluído em uma zona para que o tráfego de voz passe

- interface service-engine