思科ASA部署Failover
(Active/Standby)
Failover
Failover是思科防火墙一种高可用技术,能在防火墙发生故障时数秒内转移配置到另一台设备,使网络保持畅通,达到设备级冗余的目的。
工作原理:
两台设备型号一样(型号、内存、接口等),通过一条链路连接到对端(这个连接也叫心跳线)。该技术用到的两台设备分为Active设备(Primary)和Stanby设备(Secondary),这种冗余也可以叫AS模式。活跃机器处于在线工作状态,备用处于待机状态实时监控活跃设备是否正常。当主用设备发生故障后(接口down,设备断电),备用设备可及时替换,替换为Avtive的角色。Failover启用后,Primary设备会同步配置文件文件到Secondary设备,这个时候也不能在Scondary添加配置,配置必须在Active进行。远程管理Failover设备时,登录的始终是active设备这一点一定要注意,可以通过命令(showfailover)查看当时所登录的物理机器。目前启用failover技术不是所有状态化信息都可以同步,比如NAT转换需要再次建立。
拓扑如下:
实施配置:
实现failover,两台设备需要满足以下的一些条件:
1.相同的设备型号和硬件配置:设备模块、接口类型,接口数量,CPU,内存,flash闪存等
2.相同的软件版本号,此处即指ASA的IOS版本,IOS版本需要高于7.0
3.相同的FW模式,必须同为路由模式或者透明模式
4.相同的特性集,如支持的加密同为DES或者3DES
5.合适的licensing,两台设备的license符合基本要求,能支持相同的failover
Master-FW 设备配置:
interfaceManagement0/0
management-only
shutdown
nameifmanagement
security-level100
ip address192.168.1.1 255.255.255.0
interfaceGigabitEthernet0/0
nameifoutside
security-level0
ip address209.165.201.2 255.255.255.0 standby 209.165.201.3
interface GigabitEthernet0/1
nameifinside
security-level100
ip address192.168.2.1 255.255.255.0 standby 192.168.2.2
interfaceGigabitEthernet0/2
descriptionSTATE Failover Interface
interfaceGigabitEthernet0/3
descriptionLAN Failover Interface
failover //启动failover功能
failover lan unitprimary //定义本设备角色为主
failover laninterface Lan GigabitEthernet0/3 //定义failover通讯接口
failover polltimeunit msec 200 holdtime 1 //每200毫秒发送一个存活消息,持续1秒
failover polltimeinterface 3 holdtime 15 //每3秒发送一个hello包,持续15秒
failover key ***** //定义共享密钥相当于认证
failover linkSTATE GigabitEthernet0/2 //定义failover通讯接口
failover interfaceip Lan 172.16.1.1 255.255.255.0 standby 172.16.1.2 //定义主备通讯口ip
failover interfaceip STATE 172.16.2.1 255.255.255.0 standby 172.16.2.2 //定义主备通讯口ip
Backup-FW设备配置:
failover //启动failover功能
failover lan unitsecondary //定义本设备角色为备
failover laninterface Lan GigabitEthernet0/3 //定义failover通讯接口
failover polltimeunit msec 200 holdtime 1 //每200毫秒发送一个存活消息,持续1秒
failover polltimeinterface 3 holdtime 15 //每3秒发送一个hello包,持续15秒
failover key ***** //定义共享密钥相当于认证
failover linkSTATE GigabitEthernet0/2 //定义failover通讯接口
failover interfaceip Lan 172.16.1.1 255.255.255.0 standby 172.16.1.2//定义主备通讯口ip
failover interfaceip STATE 172.16.2.1 255.255.255.0 standby 172.16.2.2 //定义主备通讯口ip
注意:主备配置完成后,重启备防火墙,主备配置进行同步(只需配置主机,数据将备拷贝至备机)
failover触发:
l 关于防火墙的检测对象(检测失败进行主备切换)查找资料思考良久,后来知晓,思科设备检测对象与山石、juniper不同,不需要人工配置干预,设备自动检测:
l 设备发生硬件失败或电源故障
l 设备出现软件失败
l 太多monitored接口fail //可通过命令修改(failover interface-policy + 端口数/故障端口百分比)
l no failover active 命令在active设备上强制执行或在standby设备输入failoveractive
注意:failover触发无法取消某个接口(如:Mgt口),且不能在设备的上下联接口执行shutdown命令模拟故障(由于执行的命令会被同步至备设备,导致无法正常切换),只能通过拔插网线或硬件故障触发。
常用命令:
showfailover state //查看设备failover工作状态
showmonitor-interface //查看接口检测状态