CISCO ASA配置Failover+透明模式

拓撲以下：

CE12804之間配置了CSS集羣，CISCO 2911和CE12804之間運行OSPF。

CISCO FW 主：

一、將防火牆配置爲透明模式，##路由模式和透明模式切換的時候配置將所有清除###

firewall transparent  ##默認爲路由模式

二、開啓接口，並配置相應的nameif 

int g0/1

nameif inside 

bridge-group 1          ##配置bridge

no shut

int g0/2

no shut

int g0/3   

nameif outside 

bridge-group 1

no shut

二、配置failover

failover lan unit primary

failover lan interface ha GigabitEthernet0/2

failover interface ip ha 10.90.255.145 255.255.255.248 standby 10.90.255.146

三、開啓failover

failover

四、保存配置

write

 CISCO FW 備：

一、配置接口

int g0/2

no shut

二、配置failover

failover lan unit secondary

failover lan interface ha GigabitEthernet0/2

failover interface ip ha 10.90.255.145 255.255.255.248 standby 10.90.255.146

三、開啓failover

failover

四、保存配置

write

查看failover命令

show failover

配置完成後，R1和SW1之間跑OSPF

FW主：

一、配置bvi地址，至關於橋

interface bvi 1 

ip add 10.90.255.51 255.255.255.0   ##和cisco 28十一、HW CE12804之間的互聯地址同一網段

二、在FW上開啓相應策略

配置策略

access-list inside_access_in extended permit ip any any

access-list inside_access_in extended permit icmp any4 any

access-list inside_access_in extended permit ospf any any

access-list global_access extended permit ip any any

access-list global_access extended permit ospf any any

access-list global_access extended permit icmp any4 any

access-list outside_access_in extended permit ip any any

access-list outside_access_in extended permit ospf any any

access-list outside_access_in extended permit icmp any4 any

應用策略

access-group inside_access_in in interface inside

access-group outside_access_in in interface outside

access-group global_access global

CISCO 2911和CE12804之間正常配置OSPF和互聯地址。

原理解析：

在transparent模式下需的配置

配置BVI接口：

interface bvi 1 

   ip address X.X.X.X X.X.X.X 

BVI和brige-group一一對應

其配置解釋：

文檔配置舉例：

注:此bridge-group僅在防火牆爲透明模式時須要,且BVI地址須要與上下行設備互聯地址在一個地址段。

例：

CISCO 3945的互聯地址爲10.90.253.50/29

Huawei CE12804的互聯地址爲10.90.253.49/29

CISCO ASA 5545的BVI地址爲10.90.253.51/29

查看方式：show bridge-group

Bridge-grou解析：

經過以上信息能夠看出，一臺CISCO ASA 5545最多創建8個Bridge-group，一個Bridge-group最後加入4個接口

雖然能配置多個Bridge-group，在ASA爲透明模式時，僅有一個Bridge-group被使用。

一個接口僅能應用一個bridge-group，沒法將一個接口應用在多個brige-group。