思科ASA部署Failover（Active/Standby）

       思科ASA部署Failover

（Active/Standby）       

 

Failover 

 

   Failover是思科防火牆一種高可用技術，能在防火牆發生故障時數秒內轉移配置到另外一臺設備，使網絡保持暢通，達到設備級冗餘的目的。 

 

 

工做原理：

 

    兩臺設備型號同樣（型號、內存、接口等），經過一條鏈路鏈接到對端（這個鏈接也叫心跳線）。該技術用到的兩臺設備分爲Active設備（Primary）和Stanby設備（Secondary）,這種冗餘也能夠叫AS模式。活躍機器處於在線工做狀態，備用處於待機狀態實時監控活躍設備是否正常。當主用設備發生故障後（接口down，設備斷電），備用設備可及時替換，替換爲Avtive的角色。Failover啓用後，Primary設備會同步配置文件文件到Secondary設備，這個時候也不能在Scondary添加配置，配置必須在Active進行。遠程管理Failover設備時，登陸的始終是active設備這一點必定要注意，能夠經過命令（showfailover）查看當時所登陸的物理機器。目前啓用failover技術不是全部狀態化信息均可以同步，好比NAT轉換須要再次創建。

 

 

 

 

拓撲以下：

 

實施配置：

實現failover，兩臺設備須要知足如下的一些條件：

1.相同的設備型號和硬件配置：設備模塊、接口類型，接口數量，CPU，內存，flash閃存等

2.相同的軟件版本號，此處即指ASA的IOS版本，IOS版本須要高於7.0

3.相同的FW模式，必須同爲路由模式或者透明模式

4.相同的特性集，如支持的加密同爲DES或者3DES

5.合適的licensing，兩臺設備的license符合基本要求，能支持相同的failover

Master-FW 設備配置：

interfaceManagement0/0

 management-only

 shutdown

 nameifmanagement

 security-level100

 ipaddress192.168.1.1 255.255.255.0

 

interfaceGigabitEthernet0/0

 nameifoutside

 security-level0

 ipaddress209.165.201.2 255.255.255.0 standby 209.165.201.3

 

interface GigabitEthernet0/1

 nameifinside

 security-level100

 ipaddress192.168.2.1 255.255.255.0 standby 192.168.2.2

 

interfaceGigabitEthernet0/2

 descriptionSTATEFailover Interface

 

interfaceGigabitEthernet0/3

 descriptionLANFailover Interface

 

 

failover  //啓動failover功能

failoverlan unitprimary  //定義本設備角色爲主

failoverlaninterface Lan GigabitEthernet0/3  //定義failover通信接口

failoverpolltimeunit msec 200 holdtime 1     //每200毫秒發送一個存活消息，持續1秒

failoverpolltimeinterface 3 holdtime 15      //每3秒發送一個hello包，持續15秒

failoverkey *****                         //定義共享密鑰至關於認證

failoverlinkSTATE GigabitEthernet0/2   //定義failover通信接口

failoverinterfaceip Lan 172.16.1.1 255.255.255.0 standby 172.16.1.2 //定義主備通信口ip

failoverinterfaceip STATE 172.16.2.1 255.255.255.0 standby 172.16.2.2 //定義主備通信口ip

 

Backup-FW設備配置：

failover  //啓動failover功能

failoverlan unitsecondary  //定義本設備角色爲備

failoverlaninterface Lan GigabitEthernet0/3  //定義failover通信接口

failoverpolltimeunit msec 200 holdtime 1     //每200毫秒發送一個存活消息，持續1秒

failoverpolltimeinterface 3 holdtime 15      //每3秒發送一個hello包，持續15秒

failoverkey *****                         //定義共享密鑰至關於認證

failoverlinkSTATE GigabitEthernet0/2   //定義failover通信接口

failoverinterfaceip Lan 172.16.1.1 255.255.255.0 standby 172.16.1.2//定義主備通信口ip

failoverinterfaceip STATE 172.16.2.1 255.255.255.0 standby 172.16.2.2 //定義主備通信口ip

注意：主備配置完成後，重啓備防火牆，主備配置進行同步（只需配置主機，數據將備拷貝至備機）

 

failover觸發：

l  關於防火牆的檢測對象（檢測失敗進行主備切換）查找資料思考良久，後來知曉，思科設備檢測對象與山石、juniper不一樣，不須要人工配置干預，設備自動檢測：

l  設備發生硬件失敗或電源故障

l  設備出現軟件失敗

l  太多monitored接口fail //可經過命令修改（failoverinterface-policy + 端口數/故障端口百分比）

l  no failover active 命令在active設備上強制執行或在standby設備輸入failoveractive

注意：failover觸發沒法取消某個接口（如：Mgt口），且不能在設備的上下聯接口執行shutdown命令模擬故障（因爲執行的命令會被同步至備設備，致使沒法正常切換），只能經過拔插網線或硬件故障觸發。

 

經常使用命令：

showfailover state  //查看設備failover工做狀態

showmonitor-interface  //查看接口檢測狀態