ASA雙主Failover配置操作

1、螈 ASA Active/Acitve FO莄注：以下理論部分摘自百度文庫：羃ASA狀態(tài)化的F0配置，要在物理設(shè)備起用多模式，必須創(chuàng)建子防火墻。在每 個物理設(shè)備上配置兩個 Failover組(failover group)，且最多配置兩個。袁F(xiàn)ailover特性是Cisco安全產(chǎn)品高可用性的一個解決方案，目的是為了提供不 間斷的服務(wù)，當(dāng)主設(shè)備down掉的時候，備用設(shè)備能夠馬上接管主設(shè)備的工作， 進(jìn)而保持通信的連通性；Failover配置要求兩個進(jìn)行Failover的設(shè)備通過專用的 failover線纜和可選的Stateful Failover線纜互相連接；活動設(shè)備的接口被 monitor， 用

2、于發(fā)現(xiàn)是否要進(jìn)行 Failover切換Failover分為failover和Stateful Failover，即故 障切換和帶狀態(tài)的故障切換。葿不帶狀態(tài)的failover在進(jìn)行切換的時候，所有活動的連接信息都會丟失，所有 Clie nt都需要重新建立連接信息，那么這會導(dǎo)致流量的間斷。蒞帶狀態(tài)的failover，主設(shè)備將配置信息拷貝給備用設(shè)備的同時，也會把自己的 連接狀態(tài)信息拷貝給備用設(shè)備，那么當(dāng)主的設(shè)備down的時候，由于備用設(shè)備上保存有連接信息，因此Client不需要重新建立連接，那么也就不會導(dǎo)致流量的中 斷。肁 Failover link芀兩個failover設(shè)備頻繁的在failover

3、 link上進(jìn)行通信，進(jìn)而檢測對等體的狀態(tài)。 以下信息是通過failover link通信的信息：艿設(shè)備狀態(tài)(active or standby);蒆電源狀態(tài)(只用于基于線纜的failover ；)蒄 Hello messages ( keep-aliveS ；蝕 Network link 狀態(tài)；羀MAC地址交換； 芄配置的復(fù)制和同步;（Note :所有通過failover和stateful failover線纜的信息都是以明文傳送的， 除非你使用failover key來對信息進(jìn)行加密；）腿 Stateful link蒆在stateful link上，拷貝給備用設(shè)備的連接狀態(tài)信息有：芅NAT

4、轉(zhuǎn)換表；蟻TCP連接狀態(tài)；薈UDP連接狀態(tài)；芆ARP表莇2層轉(zhuǎn)發(fā)表（運行在透明模式的時候）肅HTTP連接狀態(tài)信息（如果啟用了 HTTP復(fù)制）節(jié) ISAKMP和 IPSec SA表羇GTP PDP連接數(shù)據(jù)庫膄以下信息不會拷貝給備用設(shè)備：賺HTTP連接狀態(tài)信息（除非啟用了 HTTP復(fù)制）蟻用戶認(rèn)證表（uauth）蚇路由表芅DHCP服務(wù)器地址租期薄 Failover包括 LAN-Based Failove和 Cable-Based Failove；對于 PIX設(shè)備，只支 持基于線纜（Cable-Based 的 Failover；肀 Failover link蕆LAN-Based Failover l

5、ink可以使用未使用的接口來作為 failover link。不能夠使 用配置過名字的接口做為failover接口，并且，failover接口的IP地址不能夠直接 配置到接口上；應(yīng)使用專門的命令對其進(jìn)行配置；該接口僅僅用于failover通信；兩個failover接口之間必須使用專用的路徑，如，使用專用的交換機(jī)，該交換機(jī) 上不連接任何其他設(shè)備；或者使用正常交換機(jī)的時候，劃一個VLAN,并且僅僅將failover接口劃分到該 VLAN中；芇Cable-Based Failover link這種failover對兩個failover設(shè)備的距離有要求，要 求距離不能超過6英尺；并且使用的線纜也是fa

6、ilover線纜，該線纜的一端標(biāo)記 “Primary”，另一端標(biāo)記“ Secondary”并且設(shè)備的角色是通過線纜指定的，連接 在Primary端的設(shè)備被指定為主，連接在 Secondary端的設(shè)備被指定為備；該線 纜傳送數(shù)據(jù)的速率為115Kbps；因此同步配置的速度相比LAN-Base的failover會 慢；螞Stateful Failover Link 如果使用帶狀態(tài)的Failover，那么就需要配置一個用于 傳送狀態(tài)信息的線纜，你可以選用以下三種線中的一種作為 stateful failover link:薀用專用的接口連接 Stateful failover Link；膈使用 LAN

7、-Based failove，你也可以使用 failover link 作為 stateful failover link，即failover和stateful failover使用同一個線纜；要求該接口是fastest Ethernet；肄你也可以使用數(shù)據(jù)接口作為 Stateful Failover接口，比如in side in terface。 但是不推薦這樣做；肄每種failover又包含有 Active/Active （以后簡寫為，A/A）和Active/Standby （以 后簡寫為A/S）兩類；罿A/A failover，兩個設(shè)備可以同時傳送流量。這可以讓你實現(xiàn)負(fù)載均衡。A/Afa

8、ilover只能運行在多虛擬防火墻模式下。羈A/S failover，同一時間，只能有一個設(shè)備傳輸流量，另一個設(shè)備作為備份用， A/S failover即可以運行在single模式下，又能夠運行在多模式下；膅運行failover的兩個設(shè)備，在硬件配置上要完全一樣，比如必須要有相同的模 塊，相同的接口類型和接口數(shù)，相同的 flash memory以及相同的RAM等；在軟 件上，兩個設(shè)備要運行在相同的模式下面， 必須有相同的主軟件版本等；對于許 可證，要求至少有一個設(shè)備要是 UR版的許可證；膃 Active/Standby Failover荿Active/Standby Failover（A/S）

9、中，一個設(shè)備為活動設(shè)備，轉(zhuǎn)發(fā)流量，另一個 設(shè)備作為備份，當(dāng)主設(shè)備down的時候，備份設(shè)備開始接管流量；備用設(shè)備接管 以后，會繼承主IP地址和MAC地址，繼續(xù)轉(zhuǎn)發(fā)流量；蠆 Primary/Secondary status and Active/Standby Status腿做FO的兩臺設(shè)備，必須指定一臺為 Primary,另一臺為Secondary。Primary和 Secondary是一個物理概念，不會改變。芁Failover設(shè)備之間，主要的不同就是角色問題，即哪個設(shè)備為active哪個設(shè)備為standby,同時也決定了哪個IP地址以及哪個設(shè)備轉(zhuǎn)發(fā)流量；肂如果兩個設(shè)備同時啟動，那么配置為pri

10、mary的設(shè)備為active ；葿Primary設(shè)備的MAC地址總是和active IP地址綁定在一起。唯一的例外就是 當(dāng)standby設(shè)備變?yōu)閍ctive后，不能夠通過failover link上獲得primary設(shè)備的MAC 地址，那么這時候就使用secondary設(shè)備的MAC地址；羄設(shè)備的初始化和配置同步蚄當(dāng)Failover設(shè)備啟動的時候，配置才會同步，配置信息總是從active同步到stan dby設(shè)備；當(dāng)sta ndby設(shè)備完成初始化以后，它就清除自己的running con figure（除了 failover命令以外，因為這些命令需要和active進(jìn)行failover通信）；蒁A

11、ctive選舉設(shè)備是根據(jù)以下情況決定的：腿設(shè)備啟動后，如果檢測到對等體已經(jīng)存在為active，那么它自己將為sta ndby肅如果沒有檢測到對等體存在，那么它將成為 active；如果此時有另外一 個active設(shè)備連接了進(jìn)來，那么這兩個 active設(shè)備將重新協(xié)商誰來做 active。螂如果設(shè)備同時啟動，那么根據(jù)配置中指定的primary和secondary來決定設(shè)備的角色是active還是standby；莃假設(shè)A被指定為primary，B被指定為secondary;當(dāng)B啟動后，沒有檢測到A 的存在，那么B將為Active，它使用自己的MAC地址和active IP做綁定。然而， 當(dāng)prim

12、ary啟動可用后，secondary設(shè)備將會用primary設(shè)備的MAC地址和active IP綁定，這可能會導(dǎo)致流量的中斷；避免方法是可以配置failover虛擬MAC地址;腿 #failover mac address In side 0000.0000.0001 0000.0000.0002蕿（注：0000.0000.000.1 是 activer 的 MAC, 0000.0000.0002是 standby 的 MAC, 只能在A/S的配置下使用此命令，A/A不適合）薆Failover的觸發(fā)袂以下任何一個事件發(fā)生時，都會觸發(fā)Failover：袈設(shè)備發(fā)生硬件失敗或電源故障；莆設(shè)備出現(xiàn)軟件

13、失敗；蚅太多的monitored接口 fail；芁No failover active命令在active設(shè)備上被輸入或在 standby設(shè)備上輸入 failover active 命令；薈 Active/Active Failover蕆A/A failover只能工作在多虛擬防火墻模式下，在A/A failover模式下，兩個設(shè)備都可以轉(zhuǎn)發(fā)流量；在A/A failover下，你可以將虛擬防火墻劃分到failover group 中，一個failover group是一個或多個虛擬防火墻集合，在防火墻上最多只支持2 個failover group， admin con text總是屬于 fail

14、over group 1，任何未分配的虛擬防 火墻默認(rèn)下也屬于failover group 1 ；袃Failover group是A/A failover的基本單元，failover group失敗的時候，物理設(shè) 備不一定失??；failover組在一個設(shè)備上fail 了，在另外一個設(shè)備上就會 active， 另外設(shè)備上的該組就會繼續(xù)轉(zhuǎn)發(fā)流量；蟻在 A/A failover中，primary/secondary 決定以下兩個事情：荿當(dāng)兩個設(shè)備同時啟動的時候，決定哪個設(shè)備提供配置文件信息；葿當(dāng)兩個設(shè)備同時啟動的時候，決定哪個設(shè)備上的哪個failover group為active0 每個 failo

15、ver group 也會被配置一個 primary 或 secondary, 當(dāng)兩個 failover group 在同一個設(shè)備同時為active的時候，那么另一個設(shè)備也就為備用設(shè)備；膅每個failover group是否為active,由以下幾種情況決定：肀當(dāng)設(shè)備啟動的時候，沒有檢測到對等體，那么兩個failover group在這個設(shè)備上都為active；聿當(dāng)設(shè)備啟動后，檢測到對等體為active（兩個failover group都在active狀態(tài)），除非以下情況發(fā)生，否則 active設(shè)備上的兩個failover group仍為active狀態(tài)：芆failover 發(fā)生；芄使用no f

16、ailover active命令進(jìn)行手工切換；螃配置failover group中帶有preempt （搶占）命令；衿當(dāng)兩個設(shè)備同時啟動，在配置同步后，每個 failover group在相應(yīng)的設(shè)備中正常為 active；莈 Failover Health Monitoring蚆ASA監(jiān)視整個設(shè)備的health和接口的health情況，下面分別對這兩種監(jiān)視進(jìn) 行描述；芃設(shè)備health監(jiān)視薀安全設(shè)備通過monitor failover link來決定對等設(shè)備是否health。如果設(shè)備在 failover link上沒有收到3個連續(xù)的hello報文的時候，那么就在所有接口上發(fā)送 ARP請求，包括

17、failover接口。設(shè)備下一步所采取的行為，取決于以下的響應(yīng)情 況：膅如果設(shè)備在failover接口收到了響應(yīng)，那么就不發(fā)生failover；螄如果設(shè)備在failover接口沒有收到響應(yīng)，而在其他接口上收到了響應(yīng)，那么不發(fā)生failover，設(shè)備會將failover接口標(biāo)記為failed。螞如果設(shè)備沒有在任何接口上收到響應(yīng)，那么發(fā)生failover你可以配置發(fā)送hello包的間隔和發(fā)生failover的hold time值，時間越短；莀接口 health監(jiān)視膆你可以最多monitor 250個接口，如果一個設(shè)備在一半的 hold time時仍沒有 從monitor接口上收到hello報文，那

18、么它將進(jìn)行以下的test:袃Link Up/Down測試測試接口的狀態(tài)。在開始每個測試之前，設(shè)備會清掉這個接口上收到包的計數(shù)器的值，然后設(shè)備看在該接口上是否收到了包，如果收到了，則說明接口是好的，那么就開始 network test ；肂Network Activity test 網(wǎng)絡(luò)活動行測試。設(shè)備計數(shù)5秒內(nèi)，該接口收到的所 有的包，如果5秒內(nèi)收到包了，那么說明接口和網(wǎng)絡(luò)連接正常， 并停止這個階段 的測試。如果沒有收到流量，那么 ARP test開始；肁ARP test讀取ARP緩寸中的2個最近的ARP請求條目。然后向這些設(shè)備再 次發(fā)送ARP請求，發(fā)出請求后，設(shè)備會計數(shù) 5秒內(nèi)收到的流量，如

19、果收到了流 量，那么就認(rèn)為接口運行正常；如果沒有任何流量收到，那么就向第二個設(shè)備發(fā) 送ARP請求，如果仍沒有流量收到，那么就進(jìn)行 pingtest；羋廣播Ping測試設(shè)備發(fā)出ping包，然后開始計數(shù)5秒內(nèi)收到的包，如果5秒內(nèi)收到了 ping響應(yīng)包，那么認(rèn)為接口正常并停止測試；如果以上測試都失敗， 那么該接口就failover，就發(fā)生failover ；芅以下實驗，拓?fù)淙缦?蒁螁說明：圖中連接ISP和In side的路由器的交換機(jī)要劃分出幾個 via n，具體可參 照圖中。肅兩個物理防火墻ASA-1,和ASA-2分別在每個防火墻上虛擬出兩個子防火墻 cl和c2。每個子防火墻關(guān)聯(lián)物理防火墻的兩個物

20、理接口。莄兩個物理防火墻的Gi 4和Gi 5 口分別做F0鏈路口和Stateful鏈路口。羀ISP和In side路由器和兩個PC的IP如下（PC的IP自動獲得，在In side路由器上做DHCP :薁名稱膆端口螆IP蚄ISP肇 Fa1/0膈 /24肅 Fa2/0螈 /24羅 Inside羃 Fa1/0蒂 54/24肇 Fa2/0蒞 54/24袂PC1艿肇 /24蒃PC2莁罿 /24裊要求：祎PC1發(fā)起的流量全部經(jīng)過c1子防火墻nat出去；螁PC2發(fā)起的流量全部經(jīng)過c2子防火墻nat出去

21、；螀兩個物理防火墻做高可用性 FO,當(dāng)一個物理設(shè)備防火墻或者一個 failover組 有故障的時候，流量全部轉(zhuǎn)移到另一個物理防火墻的的failover組。羇配置：羄1.1 nside路由器做DHCP Serve并且抓取相應(yīng)的源做 PBR蒄 #ipdhcp pool 1蒀 network 羈 default-router 54袃 #ipdhcp pool 2芀 network 螅 default-router 54蒅芃 #access-list 101 permit ip 10

22、.1.1.0 55 any羈 #route-map 1 permit 10袇 matchip address 101薃 setip next-hop 0螂（抓取源地址，并設(shè)定它的下一跳是 0）螁 #interface FastEthernet0/0羈 ip address 54 羆 ip policy route-map 1（接口調(diào)用）膁蒁 #interface FastEthernet0/1蚆 ip address 54 肄薁 #interface F

23、astEthernet1/0羈 ip address 螇膂 #interface FastEthernet2/0羀 ip address 袈 #ip route 0（其他走默認(rèn)路由）薅蚄ISP路由器的配置：蒈 #interface FastEthernet1/0蚆 ip address 蚃膃 #interface FastEthernet2/0腿 ip address

24、蚇肆 #ip route 0薂 #ip route 0罿蝿2. ASA的FO和狀態(tài)化鏈路配置膄 ASA-1:羂#mode multiple（切換防火墻到多模式，才可以配置虛擬子防火墻）蝕#interface GigabitEthernetO（將所有要關(guān)聯(lián)到子防火墻的接口no薆no shutdownshutdown，這里只列舉一個）蒆failover group 1（配置 failover 組 1）莀primary （組1在primar

25、y物理設(shè)備為上開啟搶占功能，優(yōu)先成active.薇preempt當(dāng)發(fā)生failover，原來由active狀態(tài)變?yōu)閟tandby狀態(tài)，若此時將failover 組或者設(shè)備變?yōu)檎＃?primary 設(shè)備上的加入到組 1 的子防火墻搶占變?yōu)?active （這里是c1）。最多創(chuàng)建兩個failover group）蚅 #failover group 2袀 secondary （組 2 在 secondary 的物理設(shè)備上開啟搶占功能，優(yōu)先 preempt 成為 active）膀蠆 #admin-context admin（配置管理子防火墻，后面的 admin 可隨便寫，admin-context

26、意思是創(chuàng)建管理子防火墻）螃 #context admin（進(jìn)入 admin 子防火墻配置）薄 config-url disk0:/admin.cfg （配置文件存儲目錄）袁 #context c1（配置子防火墻，命令名 c1）蒆 config-url disk0:/c1.cfg （配置文件儲存目錄）肅 allocate-interface GigabitEthernet0（關(guān)聯(lián)物理接口 G0.G1 到子墻，這樣在子 墻里才能看到有接口，下同）羃 allocate-interface GigabitEthernet1蟻 join-failover-group 1 （將 c1 子墻加入到 fail

27、over group 1）薇#context c2（配置子防火墻，命令為 c2）芄 config-url disk0:/c2.cfg （配置 c2 子墻的文件儲存目錄）莃 allocate-interface GigabitEthernet2 關(guān)聯(lián)物理接口到子墻）膇 allocate-interface GigabitEthernet3蕿join-failover-group 2（將 c2 子墻加入至U failover group 2）薆袂#failover lan interface FO gigabitethernet4 （設(shè)定 gi4 物理接口為 FO接口， 并且命名為FO （名稱隨便

28、寫）設(shè)定 gi5 接品為狀態(tài)化鏈路接袈#failover interface ip FO standby （配置 FO鏈路 IP addressw #failover link Stateful GigabitEthernet5口，命名為 Stateful）蚅 #failover interface ip Stateful standby （配置狀態(tài)化鏈路 ip address）芁#failover Ian unit primary （配置此物理設(shè)備為

29、 primary）薈#failover key 123456 （可選，配置 failover 認(rèn)證密碼，）蕆#failover （開啟 failover 功能）袃蟻以上為ASA-1物理設(shè)備上的配置。接下來配置ASA-2物理設(shè)備上的F0只需要 配置 failover 相關(guān)內(nèi)容，其他會自動從 ASA-1 上同步。荿ASA-2配置：#show model （查看防火墻是在多模式下還是單模式下）#mode multiple（改變防火墻到多模式下工作）肀 #failoverlan interface FO gigabitethernet4聿 #failover interface ip FO 172.1

30、6.1.1 standby 芆 #failover link Stateful GigabitEthernet5芄 #failover interface ip Stateful standby 螃 #failover lanunit secondary衿 #failover key 123456莈 #failover蚆ASA-2配置完成，完成這些步驟后，兩臺 ASA開始選舉各自的 Active還是 Standby。選舉完成后ASA-1 的 cl子墻成為Active狀態(tài)，c2子

31、墻成為Standby狀 態(tài)，ASA-2的c1子墻成為Standby狀態(tài)，c2子墻成為Active狀態(tài)。所有的配置將 在Active角色的子墻上配置，Standby狀態(tài)的子墻只能查看配置和同步 Active的 配置，并檢測 Active 健康狀態(tài)，做好切換的準(zhǔn)備。芃當(dāng)FO的連接線出現(xiàn)故障的時候，則此時兩個ASA的兩個子防火墻c1和c2都 為 Active。薀在 ASA-1 上#show failover膅 This host:螄 Group 1螞莀 Group 2膆PrimaryState:Active time:State:Active time:袃 Other host:肂 Group 1肁

32、羋 Group 2芅SecondaryState:Active time:State:Active time:蒁在 ASA-2上#show failover螁 This host:肅 Group 1莄羀 Group 2薁膆 Other host:螆 Group 1蚄肈 Group 2膈SecondaryState:Active time:State:Active time:PrimaryState:Active time:State:Active time:Active297 (sec)Active6 (sec)Failed169 (sec)Failed455 (sec)Active197 (

33、sec)Active498 (sec)Failed276 (sec)Failed0 (sec)襖當(dāng)F0鏈路恢復(fù)正常時再通過搶占恢復(fù)各自的是active還是standby。肅3.配置cl, c2子防火墻的IP和路由，均要在處于 Active狀態(tài)的子防火墻上 配置，處于Standby狀態(tài)的不能做任何配置。螈ASA-I（config）# prompt hostname priority state context （修改“ #” 前面的 顯示字符，在物理設(shè)備下配置，這樣便于查看）A呂ig）# p廠onipt hostnnmE priority statm contEt羃 #changeto cont

34、ext c1（切換到cl子防火墻進(jìn)行配置）PtSA-l/pri /act （config）#匸 ha nqcto 匚 on text cl/自匸t:/匚 1（亡on+iq）# 薈 #interface GigabitEthernetO肇 nameif Inside蒞 security-level 100袂 ip address 0 standby 0艿 #interface GigabitEthernet1肇nameif Outside蒃security-level 0莁 ip address 0 2

35、 standby 0罿 #object network net1裊 subnet 祎 nat （lnside,Outside） dynamic 00 （做 NAT轉(zhuǎn)換，將內(nèi)部網(wǎng)絡(luò)為/24的主機(jī)要訪問外部轉(zhuǎn)換為00這個IP,且是PAT轉(zhuǎn)換）#route Inside （通 往內(nèi) 部網(wǎng)絡(luò)/24 的路由）羇在另外一臺FO設(shè)備上:羄#changeto context c

36、2（切換到c2防火墻進(jìn)行配置）ASA-l/sec/stby# changeto content 匸2ASA-l/sec/act/c2# conf tAS離皀匸/日匚t/匸2(config)猶 interface GigabitEthernet2羈 nameif Inside肅 security-level 100袃 ip address 192.168210 standby 192.168220芀螅interface GigabitEthernet3蒅 nameif Outside芃 security-level 0羈 ip address 0

37、 standby 0袇薃 #object network net2螂 subnet 螁 nat (lnside,Outside) dynamic 00 (做 PAT地址轉(zhuǎn)換)羈羆#route Inside (通 往內(nèi) 部網(wǎng)絡(luò)10.120/24 的路由)賺蒁以上配置完成后，我們來看兩個客戶端PC1和PC2去訪問Outside的路由器ISP,用tel net測試，看是否能正常tel net上去。蚆在 PC1 上 te

38、l net 肄duplex luLuspeed blii匸ofinterface FastEtliernet0/lno in addressduplsx auto speed auton*interface FastEthernetl/Qip address 200.101.1 duvl&x mutorintc rfac c Fg tEtKrvwL20ip address.1 1薁在 PC2上 tel net :|cTTelnet 200. 100.2. 1User Access HepiFica

39、tionPassuordJ Outs iden Pasaworl： Outs ide#螇均可以正常訪問外部路由器。那么如何知道負(fù)載分擔(dān)的情況？我們來測試一 下。膂4.在PC上用tracert來測試路由。羀在c1子防火墻上配置：ASA防火墻默認(rèn)的接口 IP不出現(xiàn)tracert中，所以要 做如下配置，讓asa的接口 IP在tracert過程中顯示出來。蚈#access-list101 extended permit udp any gt 33433（tracert用的端口是UDP大于33433的端口，需要特別放行）袈#access-list 101 e

40、xtended permit ip an（這里 只做測 試，范圍放在很大）薅 #class-map tracert蚄 match access-list 101蒈 #policy-map global_policy蚆 class tracert蚃 set connection decrement-ttl膃 #access-group 101 in interface Inside腿在PC1上查看：C ： trarest 200.100,2.1通過最多30個躍點跟蹤到2M,100.2.1的路由1 勺 ms11ns11its10.1,2.25416 m

41、e*2E)ute192-168.2-1076 ms72ms225ms200.10U.2 _1蚅測試FO切換，將上面拓?fù)涞?Fa0/13 口 shutdown袀在Primary設(shè)備上查看膀#show failover蠆 This host:PrimaryGroup 1State:Failed(為 failed，原為 Active)Active time:11724 (sec)Group 2State:Standby ReadyActive time:1083 (sec)c1 Interface Outside (0): Failed (Waiting) c1 Interface Inside (0): Normal (Waiting) c2 Interface Inside (0): Normal (Monitored)c2 Interface Outside (0): Normal (Monitored)Other host:SecondaryGroup 1State:Act