思科ASA部署Failover（Active/Standby）

       思科ASA部署Failover

（Active/Standby）       

Failover 

   Failover是思科防火墙一种高可用技术，能在防火墙发生故障时数秒内转移配置到另一台设备，使网络保持畅通，达到设备级冗余的目的。 

工作原理：

    两台设备型号一样（型号、内存、接口等），通过一条链路连接到对端（这个连接也叫心跳线）。该技术用到的两台设备分为Active设备（Primary）和Stanby设备（Secondary）,这种冗余也可以叫AS模式。活跃机器处于在线工作状态，备用处于待机状态实时监控活跃设备是否正常。当主用设备发生故障后（接口down，设备断电），备用设备可及时替换，替换为Avtive的角色。Failover启用后，Primary设备会同步配置文件文件到Secondary设备，这个时候也不能在Scondary添加配置，配置必须在Active进行。远程管理Failover设备时，登录的始终是active设备这一点一定要注意，可以通过命令（showfailover）查看当时所登录的物理机器。目前启用failover技术不是所有状态化信息都可以同步，比如NAT转换需要再次建立。

拓扑如下：

实施配置：

实现failover，两台设备需要满足以下的一些条件：

1.相同的设备型号和硬件配置：设备模块、接口类型，接口数量，CPU，内存，flash闪存等

2.相同的软件版本号，此处即指ASA的IOS版本，IOS版本需要高于7.0

3.相同的FW模式，必须同为路由模式或者透明模式

4.相同的特性集，如支持的加密同为DES或者3DES

5.合适的licensing，两台设备的license符合基本要求，能支持相同的failover

Master-FW 设备配置：

interfaceManagement0/0

 management-only

 shutdown

 nameifmanagement

 security-level100

 ipaddress192.168.1.1 255.255.255.0

interfaceGigabitEthernet0/0

 nameifoutside

 security-level0

 ipaddress209.165.201.2 255.255.255.0 standby 209.165.201.3

interface GigabitEthernet0/1

 nameifinside

 security-level100

 ipaddress192.168.2.1 255.255.255.0 standby 192.168.2.2

interfaceGigabitEthernet0/2

 descriptionSTATEFailover Interface

interfaceGigabitEthernet0/3

 descriptionLANFailover Interface

failover  //启动failover功能

failoverlan unitprimary  //定义本设备角色为主

failoverlaninterface Lan GigabitEthernet0/3  //定义failover通讯接口

failoverpolltimeunit msec 200 holdtime 1     //每200毫秒发送一个存活消息，持续1秒

failoverpolltimeinterface 3 holdtime 15      //每3秒发送一个hello包，持续15秒

failoverkey *****                         //定义共享密钥相当于认证

failoverlinkSTATE GigabitEthernet0/2   //定义failover通讯接口

failoverinterfaceip Lan 172.16.1.1 255.255.255.0 standby 172.16.1.2 //定义主备通讯口ip

failoverinterfaceip STATE 172.16.2.1 255.255.255.0 standby 172.16.2.2 //定义主备通讯口ip

Backup-FW设备配置：

failover  //启动failover功能

failoverlan unitsecondary  //定义本设备角色为备

failoverlaninterface Lan GigabitEthernet0/3  //定义failover通讯接口

failoverpolltimeunit msec 200 holdtime 1     //每200毫秒发送一个存活消息，持续1秒

failoverpolltimeinterface 3 holdtime 15      //每3秒发送一个hello包，持续15秒

failoverkey *****                         //定义共享密钥相当于认证

failoverlinkSTATE GigabitEthernet0/2   //定义failover通讯接口

failoverinterfaceip Lan 172.16.1.1 255.255.255.0 standby 172.16.1.2//定义主备通讯口ip

failoverinterfaceip STATE 172.16.2.1 255.255.255.0 standby 172.16.2.2 //定义主备通讯口ip

注意：主备配置完成后，重启备防火墙，主备配置进行同步（只需配置主机，数据将备拷贝至备机）

failover触发：

l  关于防火墙的检测对象（检测失败进行主备切换）查找资料思考良久，后来知晓，思科设备检测对象与山石、juniper不同，不需要人工配置干预，设备自动检测：

l  设备发生硬件失败或电源故障

l  设备出现软件失败

l  太多monitored接口fail //可通过命令修改（failoverinterface-policy + 端口数/故障端口百分比）

l  no failover active 命令在active设备上强制执行或在standby设备输入failoveractive

注意：failover触发无法取消某个接口（如：Mgt口），且不能在设备的上下联接口执行shutdown命令模拟故障（由于执行的命令会被同步至备设备，导致无法正常切换），只能通过拔插网线或硬件故障触发。

常用命令：

showfailover state  //查看设备failover工作状态

showmonitor-interface  //查看接口检测状态