排除ASDM启动问题

简介

本文档介绍自适应安全设备管理器(ASDM)启动问题的故障排除过程。

背景

本文档是ASDM故障排除系列的一部分，包括以下文档：

链路1<>

链路2<>

链路3<>

排除ASDM启动问题

问题 1.  ASDM上显示“Unable to launch device manager from”消息

尝试使用ASDM连接到防火墙时，观察到以下一个或多个症状：

• ASDM上显示“Unable to launch device manager from”错误消息：

• Java调试日志显示以下异常之一：

java.net.ConnectException: Connection timed out: connect
     at java.net.DualStackPlainSocketImpl.waitForConnect(Native Method)

java.net.ConnectException: Connection refused: connect
              at java.net.DualStackPlainSocketImpl.waitForConnect(Native Method)

Trying for ASDM Version file; url = https://192.0.2.1/admin/
java.io.FileNotFoundException: https://192.0.2.1/admin/version.prop

java.net.SocketException: Connection reset
     at java.net.SocketInputStream.read(Unknown Source)
     at java.net.SocketInputStream.read(Unknown Source)
     at sun.security.ssl.SSLSocketInputRecord.read(Unknown Source)

要验证此症状，请启用Java控制台日志：

故障排除 — 建议的操作

1. 确保ASA、ASDM和操作系统版本兼容。  请参阅Cisco安全防火墙ASA版本说明、Cisco安全防火墙ASDM版本说明、Cisco安全防火墙ASA兼容性。
2. 在ASDM托管的操作系统(OS)上，确保OS防火墙和其他安全软件允许ASDM连接的数据包在两个（入口和出口）方向。

3. 在ASDM托管的操作系统(OS)上，确保安全软件（例如防病毒）和安全策略允许运行ASDM和Java软件。
   

4. 确保HTTP服务器已启用，并且配置了正确的主机/接口：

# show run http                           
http server enable
http 192.0.2.0 255.255.255.0 management

由于Cisco bug ID CSCwc67687“ASA HA故障切换触发HTTP服务器重新启动故障和ASDM中断”，http server enable命令可以从运行配置中消失。

5. 确保ASDM映像在本地闪存上可用并且已配置：

# dir flash:
Directory of disk0:/
150    drwx  4096         05:55:01 Nov 14 2024  log
1074037795  -rw-  123665740    23:30:37 Oct 17 2024  asdm.bin

# show run asdm 
asdm image disk0:/asdm.bin
no asdm history enable

6. 如果通过数据接口连接到ASA，请确保3DES/AES许可证可用：

# show ver | grep Encryption
Encryption hardware device : Cisco ASA Crypto on-board accelerator (revision 0x1)
Encryption-DES                    : Enabled       
Encryption-3DES-AES               : Enabled

7. 如果在同一接口上启用WebVPN，请确保为WebVPN和ASDM配置不同的端口。更改WebVPN端口或更改HTTPS服务器端口。
   在本例中，同时配置了WebVPN和ASDM访问。WebVPN服务在默认HTTPS端口443上运行，ASDM的HTTPS端口配置为8443:

# show run webvpn 
webvpn
 enable outside <-- default HTTPS port 443

# show run http                           
http server enable 8443 <-- custom HTTPS port 8443
http 192.0.2.0 255.255.255.0 outside

8. 确保网络中的中间设备允许来自具有ASDM和防火墙的主机的连接。

潜在问题:

• 不正确的路由
• NAT/端口转发不正确
• 在传输路径中阻止流量

从防火墙的角度来看，要确认连接，您可以在特定接口上配置数据包捕获：

# show run http                           
http server enable
http 192.0.2.0 255.255.255.0 management

# cap capm interface management match tcp any any eq https
# show capture  capm

138 packets captured
   1: 14:20:44.355526       192.0.2.35.50590 > 198.51.100.141.443: S 3649403547:3649403547(0) win 64240 
    
     
    
   2: 14:20:44.356152       198.51.100.141.443 > 192.0.2.35.50590: S 0:0(0) ack 3649403548 win 32768 
    
     
    
   3: 14:20:44.357388       192.0.2.35.50590 > 198.51.100.141.443: . ack 1 win 64240 
   4: 14:20:44.384715       192.0.2.35.50590 > 198.51.100.141.443: P 3649403548:3649403918(370) ack 1 win 32768
   5: 14:20:44.384806       198.51.100.141.443 > 192.0.2.35.50590: . ack 3649403918 win 32398
   6: 14:20:44.385829       198.51.100.141.443 > 192.0.2.35.50590: P 1:760(759) ack 3649403918 win 32768

9. 确保ASDM当前资源使用率不超过限制：

# show resource usage resource ASDM
Resource                 Current        Peak      Limit        Denied Context
ASDM                           1           1          5             0 admin

使用show conn all protocol tcp port <port>命令检查活动ASDM连接列表。确保提供HTTP服务器所在的正确端口(show run http)。

# show conn all protocol tcp port 443  
2 in use, 8 most used

TCP management  192.0.2.35:50620 NP Identity Ifc  198.51.100.141:443, idle 0:00:08, bytes 119188, flags UOB

或者，show asp table socket命令可用于验证活动的ASDM连接。确保仅检查与运行HTTP服务器的端口的连接(show run http)。

# show asp table socket
Protocol   Socket    State      Local Address             Foreign Address
SSL        0027eb28  LISTEN     198.51.100.141:443         0.0.0.0:*                                   
SSL        00305798  ESTAB      198.51.100.141:443         192.0.2.35:50620   

clear conn all protocol tcp port <port> 命令可用于清除连接。

10. 如果配置了management-access <interface>命令，并且ASDM通过虚拟专用网络连接(VPN)连接到<interface> IP，请删除并重新添加management-access <interface>。这是Cisco Bug ID CSCvu的解决方案60373 “ASA — 管理访问不能通过隧道接口工作”。

11. 检查Cisco Bug ID CSCwd04210 “ASA ：ASDM会话停滞在CLOSE_WAIT中，导致缺少MGMT”。由于此缺陷，ASDM会话可能会以“Lost connection to firewall”（与防火墙的连接丢失）消息终止，并且无法进一步连接到防火墙。解决方法是重新加载防火墙。
    
    
12. 检查Cisco Bug ID CSCwh32118 “由于HTTP会话停滞在CLOSE_WAIT中，已达到ASDM管理会话配额”。由于此缺陷，由于HTTP会话停滞在CLOSE_WAIT状态，ASDM管理会话配额将到达。解决方法步骤：

• 检查ASDM的当前资源使用率和限制资源使用率：

# show resource usage resource ASDM
Resource                 Current        Peak      Limit        Denied Context
ASDM                           1           1          5             0 admin

• 如果当前值与限制相同，请检查HTTPS会话的状态：

# debug menu npshim -w
Handle State Intf
...
720108b6 CLOSE_WAIT
57835276 CLOSE_WAIT
58068272 CLOSE_WAIT
6ae93b92 CLOSE_WAIT

• 如果多个条目处于CLOSE_WAIT状态，请使用debug menu pdm 3命令清除所有这些会话。

13. 检查show blocks命令输出中的块耗尽症状，特别是LOW和CNT列中的最低值：

• 256字节和1550字节的块大小已耗尽并恢复：

# show blocks
  SIZE    MAX    LOW    CNT
     0   5700   5608   5700
     4    900    899    899
    80   5000   4575   5000
   256  13568      0  13563  
  1550  50000      0  49974  

• 256字节和1550字节的块大小已耗尽，尚未恢复：

# show blocks
  SIZE    MAX    LOW    CNT
     0   5700   5608   5700
     4    900    899    899
    80   5000   4575   5000
   256  13568      0      0
  1550  50000      0      0  

请参阅Cisco Bug ID CSCvv71435“ASA 256和/或1550块耗尽导致DMA内存未释放分配”。

解决方法选项：

1. 以高速率创建速率限制系统日志消息。可创建高消息速率的常见消息ID是用于创建连接和断开连接的消息，例如：

%ASA-6-302013: Built {inbound|outbound} TCP connection_id for interface:real-address/real-port (mapped-address/mapped-port) [(idfw_user)] to interface:real-address/real-port (mapped-address/mapped-port) [(idfw_user)] [(user)]
 %ASA-6-302014: Teardown TCP connection id for interface :real-address /real-port [(idfw_user )] to interface :real-address /real-port [(idfw_user )] duration hh:mm:ss bytes bytes [reason [from teardown-initiator]] [(user )]

在这种情况下，可能的速率限制配置如下所示：

logging rate-limit 1 10000 message 302013 
logging rate-limit 1 10000 message 302014

其他潜在消息包括：302015 / 302016 / 302017 / 302018 / 302020 / 302036 / 302303 / 302304 / 302305 / 302306.参考：logging rate-limit命令参考。

2.  禁用正在以高速率创建的日志消息：

no logging message 302013 
no logging message 302014 

3. 被动选项是重新加载设备以释放分配的DMA内存。考虑使用其中一种预防措施，以避免此问题再次发生。 

14. 检查ASA控制台中是否显示类似这些线路的日志。在这种情况下，ASDM或SSH连接无法建立：

ERROR: FAIL to ALLOC the stack page 0xffffffffffffffff[size 36864] to 0x00007fa3b0c29000 errno (mmap:umap) 12:0Message #10 :
First MMAP Req/Updated 36864/45056 Front 0x00007fa3b0c28000 rtn 0x00007fa3b0c29000 back 0x00007fa3b0c32000
Message #11 : process_create: out of stack memory for name accept/ssh_2 size 32768 prio 3
Message #12 : _listen_ssh: failed to create thread for interface 2 port 22

请参阅Cisco Bug ID CSCwc23844“ASAv high CPU and stack memory allocation errors within more than 30%的可用内存”。  临时解决方法是重新启动防火墙。

参考

• 思科安全防火墙ASA版本说明
• 思科安全防火墙ASDM版本说明
• 思科安全防火墙ASA兼容性
• logging rate-limit command reference

问题2.无法通过Java Web Launch-Starting访问ASDM用户界面

要验证症状，请启用Java控制台日志：

Java控制台日志显示如下消息：

NLPException[category: Download Error : Exception: java.io.FileNotFoundException: https://192.0.2.1/admin/public/asdm.jnlp : LaunchDesc: null
        at com.sun.javaws.Main.launchApp(Unknown Source)
        at com.sun.javaws.Main.continueInSecureThread(Unknown Source)
        at com.sun.javaws.Main.access$000(Unknown Source)
        at com.sun.javaws.Main$1.run(Unknown Source)
        at java.lang.Thread.run(Unknown Source)
Caused by: java.io.FileNotFoundException: https://10.75.32.2/admin/public/asdm.jnlp
        at sun.net.www.protocol.http.HttpURLConnection.getInputStream0(Unknown Source)
        at sun.net.www.protocol.http.HttpURLConnection.access$200(Unknown Source)
        at sun.net.www.protocol.http.HttpURLConnection$9.run(Unknown Source)
        at sun.net.www.protocol.http.HttpURLConnection$9.run(Unknown Source)
        at java.security.AccessController.doPrivileged(Native Method)
        at java.security.AccessController.doPrivilegedWithCombiner(Unknown Source)
        at sun.net.www.protocol.http.HttpURLConnection.getInputStream(Unknown Source)

故障排除 — 建议的操作

ASDM 7.18终止支持Java Web Launch — 从ASDM 7.18开始，由于Oracle终止支持JRE 8和Java网络启动协议(JNLP),ASDM不再支持Java Web Start。 必须安装ASDM启动程序才能启动ASDM。请参阅思科安全防火墙ASDM 7.18(x)的版本说明。

参考

• 思科安全防火墙ASDM 7.18(x)版本说明

问题3. ASDM陷入“Please wait while ASDM is loading the current configuration from your device”

ASDM UI上显示的错误为：

故障排除 — 建议的操作

这是思科漏洞ID CSCvv14818跟踪的已知缺陷 误导性弹出窗口：ASDM正在从您的设备加载当前配置，请稍候。

问题4. ASDM启动错误：JNLP文件中的JAR资源不是由同一证书签名的

ASDM UI上显示的错误为：'无法启动应用程序。'

ASDM Java日志显示：'JNLP文件中的JAR资源不是由同一证书签名的'

故障排除 — 建议的操作

这是Cisco Bug ID CSCwc跟踪的已知缺陷13294 ASA ：无法通过Java Web Launch使用ASDM连接到ASA

参考

https://www.cisco.com/c/en/us/td/docs/security/asdm/7_17/release/notes/rn717.html

问题5. ASDM在加载设备配置时挂起77%

分析运行配置时，ASDM停滞在77%。

故障排除 — 建议的操作

这是思科漏洞ID CSCvh跟踪的已知缺陷02586 ASDM在77%加载设备配置时挂起

问题6.无法访问备用防火墙上的ASDM

故障排除 — 建议的操作

确保两个防火墙都具有：

相同的ASA软件映像，例如：

asa# show run boot
boot system disk0:/cisco-asa-fp1k.9.22.1.1.SPA

相同的ASDM软件映像，例如：

asa# show asdm image
Device Manager image file, disk0:/asdm-7221.bin

问题7. ASDM在“软件更新已完成”时挂起。

ASDM UI卡在“Software update completed”（软件更新已完成）状态。 阶段

在ASDM Java日志中，您会看到：

java.lang.NullPointerException
   at vk.cz(vk.java:780)
   at vk.b(vk.java:609)
   at vk.<init>(vk.java:409)
   at com.cisco.pdm.PDMApplet.start(PDMApplet.java:170)
   at com.cisco.nm.dice.loader.Loader$1.run(Loader.java:416)
Exception in Starting Main window
Exception in thread "SGZ Loader: launchSgzApplet" java.lang.NullPointerException
   at com.cisco.pdm.PDMApplet.start(PDMApplet.java:177)
   at com.cisco.nm.dice.loader.Loader$1.run(Loader.java:416)

请注意vk、cz等。可以是任何字符，例如：

java.lang.NullPointerException
              at t6.cr(t6.java:742)
              at t6.b(t6.java:573)
              at t6.<init>(t6.java:386)
              at com.cisco.pdm.PDMApplet.start(PDMApplet.java:168)
              at com.cisco.nm.dice.loader.Loader$1.run(Unknown Source)
Exception in Starting Main window
Exception in thread "SGZ Loader: launchSgzApplet" java.lang.NullPointerException
              at com.cisco.pdm.PDMApplet.start(PDMApplet.java:175)
              at com.cisco.nm.dice.loader.Loader$1.run(Unknown Source)

故障排除 — 建议的操作

确保ASDM用户具有15级权限：

asa# show run username
username test password ***** pbkdf2 privilege 3  <- this will not work

当此工作正常时：

asa# show run username                         
username test password ***** pbkdf2 privilege 15

问题8.分析运行配置时，ASA多情景上的ASDM挂起率为57%

ASDM UI卡在57%。UI显示：ASDM正在从您的设备加载当前配置，请稍候。

故障排除 — 建议的操作

当满足以下所有条件时，通常会出现这种情况：

1. ASA处于多情景模式
2. 有一个aaa-server组包含超过4台服务器。

解决方案

减少组中的aaa-server数量，例如：

攻击前：

aaa-server ACS protocol tacacs+
aaa-server ACS (management) host 192.0.2.1
 key *****
aaa-server ACS (management) host 192.0.2.2
 key *****
aaa-server ACS (management) host 192.0.2.3
 key *****
aaa-server ACS (management) host 192.0.2.4
 key *****
aaa-server ACS (management) host 192.0.2.5
 key *****
aaa-server ACS (management) host 192.0.2.6
 key *****

更改：

asa(config)# no aaa-server ACS (management) host 192.0.2.5
asa(config)# no aaa-server ACS (management) host 192.0.2.6

在:

aaa-server ACS protocol tacacs+
aaa-server ACS (management) host 192.0.2.1
 key *****
aaa-server ACS (management) host 192.0.2.2
 key *****
aaa-server ACS (management) host 192.0.2.3
 key *****
aaa-server ACS (management) host 192.0.2.4
 key *****

参考

https://www.cisco.com/c/en/us/td/docs/security/asa/asa72/configuration/guide/conf_gd/aaa.html#wp1039757

问题9.无法访问vASA上的ASDM

许多类似消息如下所示：

Problem Details: ERROR: FAIL to ALLOC the stack page 0xffffffffffffffff[size 36864] to 0x00007ff62429c000 errno (mmap:umap) 12:0 First MMAP Req/Updated 36864/45056 Front 0x00007ff62429b000 rtn 0x00007ff62429c000 back 0x00007ff6242a5000

其他症状：

1. “show cpu”输出中的CPU使用率较高，尽管“show cpu core”显示使用率较低
2. 控制台中的堆栈内存分配错误
3. 无法通过SSH连接到设备
4. SNMP轮询失败

这是Cisco Bug ID CSCwc跟踪的已知缺陷23844 ASAv高CPU和堆栈内存分配错误，尽管可用内存超过30%

在Windows操作系统上排除与ASDM相关的问题

问题1.使用ASA + SFR时，ASDM不会加载防火墙配置

ASDM UI上显示的错误为：

'ASDM无法加载防火墙的配置。请检查与设备的连接，或稍后重试。'

故障排除 — 建议的操作

检查ASDM版本说明。它们提到支持哪些操作系统：

https://www.cisco.com/c/en/us/support/security/adaptive-security-device-manager/products-release-notes-list.html

相关部分：

屏幕截图来自ASDM 7.18版本说明：

https://www.cisco.com/c/en/us/td/docs/security/asdm/7_18/release/notes/rn718.html

可以看到，Windows 11和2022不在列表中。

此外，从ASDM 7.16开始，在Windows Server 2016和Server 2019上，不支持FirePOWER模块的ASDM管理。使用ASDM进行ASA管理时，您也可以使用FMC来管理FirePOWER模块。

故障排除提示:检查ASDM上的Java控制台日志：

如果操作系统不受支持，您会看到如下内容：

Caused by: java.lang.ExceptionInInitializerError: Exception com.teamdev.jxbrowser.chromium.internal.EnvironmentException: Unsupported operating system. Supported OS: Windows XP (SP2), 7, 8, 10, Vista, 2003 (SP1), 2008, 2012, Mac OS X & Linux. Current OS: Windows 11 [in thread "AWT-EventQueue-0"]
               at com.teamdev.jxbrowser.chromium.internal.Environment.checkEnvironment(Unknown Source)
…

解决方案

因此，为了能够使用ASDM管理ASA，您有以下选项：

选项 1：从另一台较旧的主机（例如Windows 2010、Windows Server 2012等）管理ASA和FirePOWER模块。

选项 2：使用FMC管理FirePOWER模块并继续使用ASDM管理ASA。

选项 3：关闭Firepower模块：

ASA5508# sw-module module sfr shutdown
Shutdown module sfr? [confirm]
Shutdown issued for module sfr.

选项 4：如果您不再计划使用Firepower模块，可以卸载该模块：

ASA5508# sw-module module sfr uninstall

选项 5：与Cisco TAC合作，应用Cisco Bug ID CSCwj51536的解决方案 以手动替换jxbrowser.jar文件。请注意，此解决方法仍可能无法解决问题。在这种情况下，您需要考虑之前的选项。

问题2. ASDM在下载FirePOWER软件包时卡住

故障排除 — 建议的操作

根据Firepower兼容性指南，ASA 9.8(4.45)+、9.12(4.50)+、9.14(4.14)+和9.16(3.19)+不支持ASDM进行FirePOWER模块管理；您必须使用FMC来管理这些版本的模块。这些ASA版本需要ASDM 7.18(1.152)或更高版本，但对ASA FirePOWER模块的ASDM支持以7.16结束。

解决方案

因此，为了能够使用ASDM管理ASA，您有以下选项：

选项 1：从另一台较旧的主机（例如Windows 2010、Windows Server 2012等）管理ASA和FirePOWER模块。

选项 2：使用FMC管理FirePOWER模块并继续使用ASDM管理ASA。

选项 3：关闭Firepower模块：

ASA5508# sw-module module sfr shutdown

关闭模块sfr?[确认]

模块sfr已关闭。

选项 4：如果您不再计划使用Firepower模块，可以卸载该模块：

ASA5508# sw-module module sfr uninstall

参考

https://www.cisco.com/c/en/us/td/docs/security/firepower/compatibility/firepower-classic-compatibility.html#id_60529

问题3. Windows主机上显示“此应用程序无法在你的电脑上运行”错误消息

故障排除 — 建议的操作

安装ASDM启动程序时，Windows可以将ASDM快捷方式目标替换为Windows脚本主机路径，从而导致此错误。修复快捷方式目标：

1. 选择开始> Cisco ASDM-IDM启动程序，然后右键单击Cisco ASDM-IDM启动程序应用。
2. 选择更多>打开文件位置。Windows使用快捷方式图标打开目录。
3. 右键单击快捷方式图标，然后选择属性。
4. 将目标更改为：C:\Windows\System32\wscript.exe invisible.vbs run.bat（在末尾保留invisible.vbs run.bat，因为这些脚本用于打开ASDM）。
   

5.单击确定。

参考

https://www.cisco.com/c/en/us/td/docs/security/asdm/7_22/release/notes/rn722.html

问题4. Windows找不到“javaw.exe”。请确保键入的名称正确，然后重试。

故障排除 — 建议的操作

• 通常，此错误与计算机上丢失的Java有关。确保在Windows主机上安装了兼容的Java版本：https://www.java.com/en/download/help/windows_manual_download.html

https://www.cisco.com/c/en/us/td/docs/security/asdm/7_22/release/notes/rn722.html#id_25472

• 确保在Windows环境变量路径中具有Java程序的准确路径。
• 如果Java升级后出现问题，请考虑回滚Java版本。
• 确保ASDM Desktop（ASDM桌面）图标指向正确的安装路径。否则，请将其删除并创建新的快捷方式。

问题5.“目标”框中的快捷方式“C:\Windows\system32\invisible.vbs”问题无效

显示的错误：“目标”框中指定的名称“C:\Windows\system32\invisible.vbs”无效。请确保路径和文件名正确。

在某些情况下，错误为：找不到脚本文件“C:\Windows\system32\invisible.vgs”。

故障排除 — 建议的操作

• 在Windows主机上安装ASDM时，请确保您具有管理员权限。在某些情况下，Windows用户的Active Directory设置可以限制对在Windows上成功启动ASDM所需的程序文件位置的访问。需要访问以下目录：
  • 桌面文件夹
  • C:\Windows\System32C:\用户\<用户名>\.asdm
  • C:\Program文件(x86)\Cisco Systems

如果Active Directory限制目录访问，您需要向Active Directory管理员请求访问权限。

• 尝试在Windows主机上安装其他版本的Java。

参考

https://www.cisco.com/c/en/us/td/docs/security/asdm/7_18/release/notes/rn718.html#id_25476

问题6. Windows脚本主机找不到脚本文件“C:\WINDOWS\system32\invisible.vbs”

尝试启动ASDM启动程序时，会出现以下错误：

故障排除 — 建议的操作

执行下列步骤：

1. 重新启动Windows主机并删除/卸载ASDM启动程序的所有实例。
2. 重新安装更新但仍兼容的ASDM启动程序版本。如果没有更新的版本，请安装您以前拥有的ASDM启动程序。
3. 确保已安装正确的Java版本。

或者，您可以尝试使用基于OpenJRE的ASDM安装程序，因为它不需要在本地PC上安装Oracle Java。

故障排除 — 建议的操作

执行下列步骤：

1. 重新启动Windows主机并删除/卸载ASDM启动程序的所有实例。
2. 重新安装更新但仍兼容的ASDM启动程序版本。如果没有更新的版本，请安装您以前拥有的ASDM启动程序。
3. 确保已安装正确的Java版本。

或者，您可以尝试使用基于OpenJRE的ASDM安装程序，因为它不需要在本地PC上安装Oracle Java。

问题7. ASDM在Windows Server 2022上不起作用

故障排除 — 建议的操作

在撰写本文时，不支持Windows Server 2022。从https://www.cisco.com/c/en/us/support/security/adaptive-security-appliance-asa-software/products-release-notes-list.html查看最新的ASDM版本说明，如果未列出Windows Server 2022，请考虑使用受支持列表以外的其他操作系统。

问题8. ASDM UI字体过小

故障排除 — 建议的操作

请尝试以下步骤：

1.   查找已安装的javaw.exe(C:\ProgramData\Oracle\Java\javapath)或当ASDM运行打开的任务管理器并查找运行的服务时：
   
   
   
   2.   右键单击 — >属性
   3.   转至“兼容性”选项卡
   4. 点击“更改高DPI设置”
   5. 启用“使用此设置来修复此程序的扩展问题，而不是设置中的问题”复选框
   6. 启用“覆盖高DPI缩放行为”复选框并选择“系统（增强）”：

   攻击前：

在:

问题9. Java错误

ASDM UI可以显示以下一个或多个Java错误：Error:找不到java.dll

和/或:

Error:找不到Java SE Runtime Environment。

和/或:

Error:注册表项“Software\JavaSoft\Java Runtime Environment”\CurrentVersion”具有值“x.x”，但需要“x.x”。

故障排除 — 建议的操作

1. 检查是否安装了其他版本的Java。
2. 如果安装了其他版本，请卸载所有Java版本。请确保也卸载Java 8。

提示：您可以在注册表中查看此项：HKEY_LOCAL_MACHINE\SOFTWARE\JavaSoft\Java Runtime Environment，确定安装的版本。 

您还可以确认通过此密钥完全卸载所有版本。

警告：使用Windows注册表时请小心！

4. 重新安装兼容的Java版本。

问题10.后端中的ASDM版本7.19.1.94 openJRE版本文件仍显示OracleJRE版本

使用openJRE时的正常行为

通常，当安装并打开基于JRE的ASDM映像时，Java版本会反映它：

在此路径下创建了一个“jre”文件夹：C:\Program文件(x86)\Cisco Systems\ASDM\jre

您可以在此处找到包含Azul Zulu相关信息的发布文件：

IMPLEMENTOR="Azul Systems, Inc."
IMPLEMENTOR_VERSION="Zulu8.74.0.17-CA-win64"
JAVA_VERSION="1.8.0_392"
OS_NAME="Windows"
OS_VERSION="5.2"
OS_ARCH="amd64"
SOURCE=".:git:51a769a8708c"

OpenJRE的行为不正确

现在的问题是，在一些ASDM版本（例如7.19.1.94）中，UI显示：

C:\Program Files(x86)\Cisco Systems\ASDM\jre\release文件显示类似内容：

JAVA_VERSION="1.8.0_351"
OS_NAME="Windows"
OS_VERSION="5.2"
OS_ARCH="amd64"
SOURCE=".:git:c72692150ec4+"
BUILD_TYPE="commercial"

故障排除 — 建议的步骤

这是已知的Cisco Bug ID CSCwf74697 后端中的ASDM版本7.19.1.94 openJRE版本文件仍显示OracleJRE版本

解决方法：

使用>= 7.18.1.161或>= 7.19.1.95 OpenJRE版本bin。

问题11. ASDM java错误“[ERROR] CLI-PASSTHROUGH-DEBUG Inside doInitialProcessing”

症状（两者都必须正确）：

• ASDM运行没有问题。
• ASDM Java日志显示

0 [SGZ Loader: launchSgzApplet] ERROR com.cisco.pdm.headless.startup - CLI-PASSTHROUGH-DEBUG Inside doInitialProcessing:
[ERROR] CLI-PASSTHROUGH-DEBUG Inside doInitialProcessing messenger: cqq@1a3c930 46 [SGZ Loader: launchSgzApplet] ERROR com.cisco.pdm.headless.startup –
CLI-PASSTHROUGH-DEBUG Inside doInitialProcessing messenger: cqq@1a3c930 CLI-PASSTHROUGH-DEBUG Inside doInitialProcessing messenger: cqq@1a3c930 Env.isAsdmInHeadlessMode()-------------->false IO Exception occurs while reading the dap file. java.io.FileNotFoundException: https://192.0.2.1 /admin/flash/dap.xml
No CSD version

故障排除 — 建议的操作

这是Cisco Bug ID CSCwe跟踪的已知外观缺陷28411 ASDM java错误"[ERROR] CLI-PASSTHROUGH-DEBUG Inside doInitialProcessing"

排除ASDM连接故障

问题1. ASDM启动失败，因为已达到最大会话数

“The maximum number of management session for protocol http or user already exist.请稍后重试”错误消息显示在ASDM上：

在ASDM上的情景之间切换时，可能会显示类似的错误。

故障排除 — 建议的操作

请参阅Cisco Bug ID CSCwd04210:ASA ：ASDM会话停滞在CLOSE_WAIT中，导致缺少MGMT”。  由于此缺陷，ASDM会话可能会以“Lost connection to firewall”（与防火墙的连接丢失）消息终止，并且无法进一步连接到防火墙。

问题2.增加ASDM中的负载/连接时间

ASDM初始连接/加载时间在运行Cisco Bug ID CSCvw79912“Cisco Adaptive Security Device Manager Remote Code Execution Vulnerability”的修复程序的版本中增加。

故障排除 — 建议的操作

请参阅Cisco Bug ID CSCwd58653“ASDM initial connection/load time increased”（ASDM初始连接/加载时间增加）。

对ASDM内存相关问题进行故障排除 

问题1.在配置加载过程中ASDM用户界面无响应和/或速度缓慢

运行ASDM时，会观察到以下一个或多个症状：

• ASDM UI在加载配置时变得无响应和/或迟缓。
• “ASDM无法加载防火墙的配置。请检查与设备的连接并稍后重试”错误消息如图所示：

• 显示“Retrieval of Data(validating running configuration)”消息的时间较长，例如数小时。
• 在Java控制台中，显示以下行：

Exception in thread "AWT-EventQueue-0" java.lang.OutOfMemoryError: Java heap space
Exception in thread "LoadConfigThread" java.lang.OutOfMemoryError: GC overhead limit exceeded

或

Exception in thread "AWT-EventQueue-0" java.lang.OutOfMemoryError: Java heap space
java.lang.reflect.InvocationTargetException
              at java.awt.EventQueue.invokeAndWait(Unknown Source)
              at java.awt.EventQueue.invokeAndWait(Unknown Source)
              at javax.swing.SwingUtilities.invokeAndWait(Unknown Source)
              at c1.f(c1.java:483)
              at c1.setVisible(c1.java:455)
              at ve.setVisible(ve.java:165)
              at vd.d(vd.java:873)
              at com.cisco.pdm.PDMApplet.populateLoginHistory(PDMApplet.java:268)
              at com.cisco.pdm.PDMApplet.start(PDMApplet.java:233)
              at com.cisco.nm.dice.loader.Loader$1.run(Loader.java:416)
Caused by: java.lang.OutOfMemoryError: Java heap space

要验证此症状，请启用Java控制台日志：

故障排除 — 建议的操作

1. 确保ASA、ASDM和操作系统版本兼容。  请参阅Cisco安全防火墙ASA版本说明、Cisco安全防火墙ASDM版本说明、Cisco安全防火墙ASA兼容性。
2. 增加操作系统上的ASDM配置内存：

Windows 窗口版本

• 转到ASDM安装目录，例如C:\Program Files(x86)\Cisco Systems\ASDM。
• 使用任意文本编辑器编辑run.bat文件。
• 在以“start javaw.exe”开头的行中，更改以“-Xmx”作为前缀的参数以指定所需的堆大小。例如，将其更改为-Xmx768M(768 MB)或-Xmx1G(1 GB)。
• 保存run.bat文件。

Mac OS

• 右键单击Cisco ASDM-IDM图标，然后选择显示软件包内容。
• 在Contents文件夹中，双击Info.plist文件。如果已安装开发程序工具，它将在属性列表编辑器中打开。否则，它将在TextEdit中打开。
• 在Java > VMOptions下，更改前缀为“-Xmx”的字符串以指定所需的堆大小。例如，将其更改为-Xmx768M(768 MB)或-Xmx1G(1 GB)。
• 如果此文件被锁定，您会看到如下错误消息：
  

• 单击Unlock并保存文件。如果未看到解锁对话框，请退出编辑器，右键单击Cisco ASDM-IDM图标，选择复制Cisco ASDM-IDM，然后将其粘贴到您拥有写权限的位置，例如Desktop。然后更改此副本的堆大小。

参考

• 思科安全防火墙ASA版本说明
• 思科安全防火墙ASDM版本说明
• 思科安全防火墙ASA兼容性

问题2. ASDM无法联系防火墙

错误“ASDM暂时无法联系防火墙”。 或启动ASDM时显示“无法启动设备管理器”：

• ASDM HTTPS连接的某些数据包在加速安全路径(ASP)中丢弃(ctm-error)CTM返回的错误丢弃原因：

# capture asp type asp-drop all buffer 33554432 match ip host 192.0.2.1 host 192.0.2.1 eq https 

# show capture
capture asp type asp-drop all buffer 33554432 [Capturing - 587 bytes]
  match ip host 192.0.2.1 host 192.0.2.2 eq https

# show cap asp
1 packet captured
   1: 10:41:04.850648       192.0.2.1.56667 > 192.0.2.2.443: P 758423982:758424499(517) ack 2534033991 win 64440 Drop-reason: (ctm-error) CTM returned error

• 失败块的数量对于256和1550-size块是非零的，并且FAILED计数器增加：

# show block
  SIZE    MAX    LOW    CNT  FAILED
     0   2950   2865   2950      0
     4    400    398    399      0
    80   2500   2369   2500      0
   256   6302      0   6274  50693
  1550  22147      0  22111 769896
  2048   8848   8844   8848      0
  2560   2964   2962   2964      0
  4096    100     99    100      0
  8192    100     99    100      0
  9344    100     99    100      0
 16384    154    153    154      0
 65664     16     16     16      0

• MEMPOOL_DMA内存池中的可用内存量明显较低，通常约几个字节或千字节：

# show memory detail | begin MEMPOOL_DMA

MEMPOOL_DMA POOL STATS:
Non-mmapped bytes allocated =    230686720
Number of free chunks       =          175
Number of mmapped regions   =            0
Mmapped bytes allocated     =            0
Max memory footprint        =    230686720
Keepcost                    =          336
Max contiguous free mem     =        21136
Allocated memory in use     =    230548640
Free memory                 =       138080

故障排除 — 建议的操作

1. 检查Cisco Bug ID CSCvv71435“ASA 256 and/or 1550 block depletion cause DMA Memory unreleased allocation”。以较高的系统日志消息(如302013或302014)的速率观察到缺陷症状。

按照解决方法部分中的步骤进行操作。

2. 检查Cisco Bug ID CSCwd58653“ASDM initial connection/load time adcreated”（ASDM初始连接/加载时间增加）。ASDM升级到修复版本Cisco Bug ID CSCvw79912“Cisco Adaptive Security Device Manager Remote Code Execution Vulnerability”（思科自适应安全设备管理器远程代码执行漏洞）后，ASDM初始连接/加载时间增加。