思科ASA部署Failover（Active/Standby）
思科ASA部署Failover
（Active/Standby）
Failover
Failover是思科防火墙一种高可用技术，能在防火墙发生故障时数秒内转移配置到另一台设备，使网络保持畅通，达到设备级冗余的目的。
工作原理：
两台设备型号一样（型号、内存、接口等），通过一条链路连接到对端（这个连接也叫心跳线）。该技术用到的两台设备分为Active设备（Primary）和Stanby设备（Secondary）,这种冗余也可以叫AS模式。活跃机器处于在线工作状态，备用处于待机状态实时监控活跃设备是否正常。当主用设备发生故障后（接口down，设备断电），备用设备可及时替换，替换为Avtive的角色。Failover启用后，Primary设备会同步配置文件文件到Secondary设备，这个时候也不能在Scondary添加配置，配置必须在Active进行。远程管理Failover设备时，登录的始终是active设备这一点一定要注意，可以通过命令（showfailover）查看当时所登录的物理机器。目前启用failover技术不是所有状态化信息都可以同步，比如NAT转换需要再次建立。
拓扑如下：
实施配置：
实现failover，两台设备需要满足以下的一些条件：
1.相同的设备型号和硬件配置：设备模块、接口类型，接口数量，CPU，内存，flash闪存等
2.相同的软件版本号，此处即指ASA的IOS版本，IOS版本需要高于7.0
3.相同的FW模式，必须同为路由模式或者透明模式
4.相同的特性集，如支持的加密同为DES或者3DES
5.合适的licensing，两台设备的license符合基本要求，能支持相同的failover
Master-FW 设备配置：
interfaceManagement0/0
management-only
shutdown
nameifmanagement
security-level100
ipaddress192.168.1.1 255.255.255.0
interfaceGigabitEthernet0/0
nameifoutside
security-level0
ipaddress209.165.201.2 255.255.255.0 standby 209.165.201.3
interface GigabitEthernet0/1
nameifinside
security-level100
ipaddress192.168.2.1 255.255.255.0 standby 192.168.2.2
interfaceGigabitEthernet0/2
descriptionSTATEFailover Interface
interfaceGigabitEthernet0/3
descriptionLANFailover Interface
failover //启动failover功能
failoverlan unitprimary //定义本设备角色为主
failoverlaninterface Lan GigabitEthernet0/3 //定义failover通讯接口
failoverpolltimeunit msec 200 holdtime 1 //每200毫秒发送一个存活消息，持续1秒
failoverpolltimeinterface 3 holdtime 15 //每3秒发送一个hello包，持续15秒
failoverkey ***** //定义共享密钥相当于认证
failoverlinkSTATE GigabitEthernet0/2 //定义failover通讯接口
failoverinterfaceip Lan 172.16.1.1 255.255.255.0 standby 172.16.1.2 //定义主备通讯口ip
failoverinterfaceip STATE 172.16.2.1 255.255.255.0 standby 172.16.2.2 //定义主备通讯口ip
Backup-FW设备配置：
failover //启动failover功能
failoverlan unitsecondary //定义本设备角色为备
failoverlaninterface Lan GigabitEthernet0/3 //定义failover通讯接口
failoverpolltimeunit msec 200 holdtime 1 //每200毫秒发送一个存活消息，持续1秒
failoverpolltimeinterface 3 holdtime 15 //每3秒发送一个hello包，持续15秒
failoverkey ***** //定义共享密钥相当于认证
failoverlinkSTATE GigabitEthernet0/2 //定义failover通讯接口
failoverinterfaceip Lan 172.16.1.1 255.255.255.0 standby 172.16.1.2//定义主备通讯口ip
failoverinterfaceip STATE 172.16.2.1 255.255.255.0 standby 172.16.2.2 //定义主备通讯口ip
注意：主备配置完成后，重启备防火墙，主备配置进行同步（只需配置主机，数据将备拷贝至备机）
failover触发：
l 关于防火墙的检测对象（检测失败进行主备切换）查找资料思考良久，后来知晓，思科设备检测对象与山石、juniper不同，不需要人工配置干预，设备自动检测：
l 设备发生硬件失败或电源故障
l 设备出现软件失败
l 太多monitored接口fail //可通过命令修改（failoverinterface-policy + 端口数/故障端口百分比）
l no failover active 命令在active设备上强制执行或在standby设备输入failoveractive
注意：failover触发无法取消某个接口（如：Mgt口），且不能在设备的上下联接口执行shutdown命令模拟故障（由于执行的命令会被同步至备设备，导致无法正常切换），只能通过拔插网线或硬件故障触发。
常用命令：
showfailover state //查看设备failover工作状态
showmonitor-interface //查看接口检测状态
