防火牆冗餘-ASA5520 Failover

  利用Failover技術可實現防火牆的冗餘，提升可用性。

  實施了Failover的兩臺防火牆存在主備關係，工做時，對其餘上下行設備來講，就可視爲一臺防火牆。

  在active上可進行正常的配置運轉與操做，standby只是做爲備份來存在，standby上不能進行任何形式的配置操做。

  看成爲active的防火牆出現局部端口故障乃至全局故障時，standby會自動進行切換。

  鄰接設備要有兩條連線分別鏈接兩臺防火牆上，如果三層設備，建議中間嫁接一個功能較爲強大的交換機來互連。

 

配置舉例：

兩臺asa5520作冗餘，上接一臺NAT路由器。

Activeasa5520 Config:

interface GigabitEthernet0/0

 nameif outside

 security-level 0

 ip address 192.168.2.1 255.255.255.248 standby 192.168.2.2 

!

interface GigabitEthernet0/1

 description LAN Failover Interface

!

failover

failover lan unit primary

failover lan interface LAN_FailoverGigabitEthernet0/1

failover interface ip LAN_Failover 10.1.1.1255.255.255.0 standby 10.1.1.2

 

Standbyasa5520 Config:

interface GigabitEthernet0/0

 nameif outside

 security-level 0

 ip address 192.168.2.2 255.255.255.248 

!

interface GigabitEthernet0/1

 description LAN Failover Interface

!

failover

failover lan unit standby

failover lan interface LAN_FailoverGigabitEthernet0/1

failover interface ip LAN_Failover 10.1.1.1255.255.255.0 standby 10.1.1.2（此命令和active徹底相同）

 

注意：active上可作些其餘的必要配置，可是在standby上只須要配置failover和相關冗餘端口外，不須要作其餘任何額外的配置了，當active出了問題，standby會自動將active上的狀態徹底承接過來，不要畫蛇添足。

 

 

 

  歡迎來羣一塊兒交流：166684620