思科ASA部署Failover

Active/Standby       

 

Failover 

 

   Failover是思科防火墙一种高可用技术,能在防火墙发生故障时数秒内转移配置到另一台设备,使网络保持畅通,达到设备级冗余的目的。 

 

 

工作原理:

 

    两台设备型号一样(型号、内存、接口等),通过一条链路连接到对端(这个连接也叫心跳线)。该技术用到的两台设备分为Active设备(Primary)和Stanby设备(Secondary,这种冗余也可以叫AS模式。活跃机器处于在线工作状态,备用处于待机状态实时监控活跃设备是否正常。当主用设备发生故障后(接口down,设备断电),备用设备可及时替换,替换为Avtive的角色。Failover启用后,Primary设备会同步配置文件文件到Secondary设备,这个时候也不能在Scondary添加配置,配置必须在Active进行。远程管理Failover设备时,登录的始终是active设备这一点一定要注意,可以通过命令(showfailover)查看当时所登录的物理机器。目前启用failover技术不是所有状态化信息都可以同步,比如NAT转换需要再次建立。

 

 


 

 

拓扑如下:

wKiom1kq7wLCTAg_AAFoJTwT_rg664.png-wh_50


 

实施配置:

实现failover,两台设备需要满足以下的一些条件:

1.相同的设备型号和硬件配置:设备模块、接口类型,接口数量,CPU,内存,flash闪存等

2.相同的软件版本号,此处即指ASA的IOS版本,IOS版本需要高于7.0

3.相同的FW模式,必须同为路由模式或者透明模式

4.相同的特性集,如支持的加密同为DES或者3DES

5.合适的licensing,两台设备的license符合基本要求,能支持相同的failover

Master-FW 设备配置:

interfaceManagement0/0

 management-only

 shutdown

 nameifmanagement

 security-level100

 ipaddress192.168.1.1 255.255.255.0

 

interfaceGigabitEthernet0/0

 nameifoutside

 security-level0

 ipaddress209.165.201.2 255.255.255.0 standby 209.165.201.3

 

interface GigabitEthernet0/1

 nameifinside

 security-level100

 ipaddress192.168.2.1 255.255.255.0 standby 192.168.2.2

 

interfaceGigabitEthernet0/2

 descriptionSTATEFailover Interface

 

interfaceGigabitEthernet0/3

 descriptionLANFailover Interface

 

 

failover  //启动failover功能

failoverlan unitprimary  //定义本设备角色为主

failoverlaninterface Lan GigabitEthernet0/3  //定义failover通讯接口

failoverpolltimeunit msec 200 holdtime 1     //200毫秒发送一个存活消息,持续1

failoverpolltimeinterface 3 holdtime 15      //3秒发送一个hello包,持续15

failoverkey *****                         //定义共享密钥相当于认证

failoverlinkSTATE GigabitEthernet0/2   //定义failover通讯接口

failoverinterfaceip Lan 172.16.1.1 255.255.255.0 standby 172.16.1.2 //定义主备通讯口ip

failoverinterfaceip STATE 172.16.2.1 255.255.255.0 standby 172.16.2.2 //定义主备通讯口ip

 

Backup-FW设备配置:

failover  //启动failover功能

failoverlan unitsecondary  //定义本设备角色为备

failoverlaninterface Lan GigabitEthernet0/3  //定义failover通讯接口

failoverpolltimeunit msec 200 holdtime 1     //200毫秒发送一个存活消息,持续1

failoverpolltimeinterface 3 holdtime 15      //3秒发送一个hello包,持续15

failoverkey *****                         //定义共享密钥相当于认证

failoverlinkSTATE GigabitEthernet0/2   //定义failover通讯接口

failoverinterfaceip Lan 172.16.1.1 255.255.255.0 standby 172.16.1.2//定义主备通讯口ip

failoverinterfaceip STATE 172.16.2.1 255.255.255.0 standby 172.16.2.2 //定义主备通讯口ip

注意:主备配置完成后,重启备防火墙,主备配置进行同步(只需配置主机,数据将备拷贝至备机)

 

failover触发:

l  关于防火墙的检测对象(检测失败进行主备切换)查找资料思考良久,后来知晓,思科设备检测对象与山石、juniper不同,不需要人工配置干预,设备自动检测:

l  设备发生硬件失败或电源故障

l  设备出现软件失败

l  太多monitored接口fail //可通过命令修改(failoverinterface-policy + 端口数/故障端口百分比)

l  no failover active 命令在active设备上强制执行或在standby设备输入failoveractive

注意:failover触发无法取消某个接口(如:Mgt口),且不能在设备的上下联接口执行shutdown命令模拟故障(由于执行的命令会被同步至备设备,导致无法正常切换),只能通过拔插网线或硬件故障触发。

 

常用命令:

showfailover state  //查看设备failover工作状态

showmonitor-interface  //查看接口检测状态