标签：Cisco standby failover SW primary 之六 ASA config
简介
Failover的意思就是故障移除，它非常类似与HSRP与VRRP一样，是一个冗余备份的技术，它当主用down了以后自动切换到备用那边
failover分为Aactive/standby和Aactive/Active，还有一种区分就是hardware failover，和stateful failover.
1、Aactive/standby 就想HSRP一样，主用down了情况下，备用才会转发数据
2、Aactive/Active 它必须结合之前说的context配合使用，虚拟多个防火墙， 就像下面的图，Cisco-primary虚拟了两个context 1 和2，secondary也虚拟了两个 context 1 2 ，在这里Cisco-primary的1为active，secondary的1为stadnby。Cisco-primary的2为standby ，secondary的2为active，这样无论哪边Dwon了，直接切换到另外一边进行流量的转发，A/A实现了两个防火墙都转发流量，而不是空闲备用。
3、hardware failover，和stateful failover. 前者是只备份配置，不做其余的备份，而后者会备份配置的同时，把状态化信息也备份了，比如TCP的会话。这样当实现切换的时候，而不会断开TCP的连接。
做failover注意的几点是：1、关于两个firewall的硬件和软件型号和版本保持一直，还有授权信息，否则做failover会失败。、
2、PIX支持cable serial 与 LAN-Based 来作为两个firewall的连接
3、ASA只支持LAN-Based
cable serial 的特点就是：能很好的监控双方的状态，比如对方没有插电源、或者线缆没有插上，也能很快检查到双方的链路是否正常，缺点就是距离短，好像只有1.5米的距离
LAN-Based：就是我们常用的双绞线，它就是距离长，但是没有cable serial 那么好的功能。
探测的机制：1、检查到链路down了
2、这个接口是否还收到数据包，那么会查看ARP表，最近10个ARP的映射，在发送ARP去请求是否有回应，如果没回应，最后就做个广播ping。如果还没有人回应就让secondary成为主。
failover切换机制与HSRP不同的是，HSRP是虚拟一个VIP和MAC地址来作为GW转发，而failover两边都是用真实的地址，PC的网关都指定主用那边，当主用down了以后，备用那边会自动继承主用的IP和MAC地址转换，来达到效果。
这里就需要三个接口，一个作为failover两边专用协商的，另外两个就是正常转发流量的， 在官方建议是failover的连接用一个单独的交换机来连接，并且failover和stateful可以使用同一个接口作为备份配置和状态。 这里做这个环境的话，记得连线的时候 把接口都记录下来，并且记录是作为什么使用的。不然后面根本就不好区分了。
先做基本配置，VLAN的划分，基本IP配置
Cisco-SW(config)#vlan 2
Cisco-SW(config-vlan)#name Failover
Cisco-SW(config-vlan)#vlan 3
Cisco-SW(config-vlan)#name Cisco-Outside
Cisco-SW(config-vlan)#vlan 4
Cisco-SW(config-vlan)#name Cisco-Inside
关于failover的VLAN划分，可以根据拓扑来
Cisco-SW(config)#int range f1/0 – 1
Cisco-SW(config-if-range)#switchport mode access
Cisco-SW(config-if-range)#switchport access vlan 2
Cisco-Outside
Cisco-SW(config)#int range f1/3 -4 ,f1/6
Cisco-SW(config-if-range)#switchport mode access
Cisco-SW(config-if-range)#switchport access vlan 3
Cisco-Inside
Ccieh3c.qzone.com-SW(config)#int range f1/5 , f1/2 , f1/7
Cisco-SW(config-if-range)#switchport mode access
Cisco-SW(config-if-range)#switchport access vlan 4
最后，在做配置的时候，先检查下VLAN和接口是否对应了，不然排错起来比较麻烦。
Cisco-Outside
Cisco-OUtside(config)#int f0/0
Cisco-OUtside(config-if)#ip address 10.1.1.1 255.255.255.0
Cisco-OUtside(config-if)#no shut
Cisco-Outside(config)#ip route 0.0.0.0 0.0.0.0 10.1.1.254
Cisco-Outside(config)#line vty 0 4
Cisco-Outside(config-line)#password cisco
Cisco-Inside
Cisco-Inside(config-line)#int f0/0
Cisco-Inside(config-if)#ip add 12.1.1.1 255.255.255.0
Cisco-Inside(config-if)#no shut
Cisco-Inside(config)#ip route 0.0.0.0 0.0.0.0 12.1.1.254
基本配置搞定，一条默认路由指向Cisco-primary的地址就行了。主要在于firewall的配置了，只需要Cisco-primary这边
防火墙的基本配置，首先把三个接口全部打开，然后配置IP地址。
Cisco-Primary(config-if)# int e0
Cisco-Primary(config-if)# no shut
Cisco-Primary(config-if)# int e1
Cisco-Primary(config-if)# nameif outside
INFO: Security level for “outside” set to 0 by default.
Cisco-Primary(config-if)# ip add 10.1.1.1 255.255.255.0 st
Cisco-Primary(config-if)# ip add 10.1.1.254 255.255.255.0 standby 10.1.1.253
Cisco-Primary(config-if)# no shut
Cisco-Primary(config-if)# int e2
Cisco-Primary(config-if)# nameif inside
INFO: Security level for “inside” set to 100 by default.
Cisco-Primary(config-if)# ip add 12.1.1.254 255.255.255.0 standby 12.1.1.253
Cisco-Primary(config-if)# no shut
这里E0作为failover的接口，只需要开启就好，而配置IP的时候多了个standby 这是配置failover才需要的，定义standby的地址为多少。
Cisco-primary(config)# failover lan enable 在PIX上需要开启LAN-Based功能，ASA不需要
Cisco-primary(config)# failover lan unit Cisco-primary 配置这边为主
Cisco-primary(config)# failover lan interface FO e0 设置e0接口为failover接口，这里定义的是前面先跟一个名字，然后在跟接口
INFO: Non-failover interface config is cleared on Ethernet0 and its sub-interfaces
Cisco-primary(config)# failover interface ip FO 11.1.1.254 255.255.255.0 standby 11.1.1.253 根据这个名字配置 failover的地址，用于协商c
primary(config)# failover 开启failover功能。
这样主防火墙配置完了，standby那边就很简单了。
standby(config)# int e0
standby(config-if)# no shutdown
standby(config)# failover lan enable
standby(config)# failover lan unit secondary
standby(config)# failover lan interface FO e0
INFO: Non-failover interface config is cleared on Ethernet0 and its sub-interfaces
standby(config)# failover interface ip FO 11.1.1.254 255.255.255.0 standby 11.1.1.253
standby(config)# failover
standby这边除了一个状态为secondary以外，其余的一模一样，包括failover的主IP和备用IP。
发现敲了failover后，就开始同步了，最后standby的配置都备份了Cisco-primary了，配置都copy过来了。
这个是failover的信息，轮循时间为15s，holdtime 为3倍，可以通过failover timeout 来修改。
切换failover的主备关系。
保存stadnby的配置，许多操作都在主用那边操作就可以了。
开始下telnet的功能。
一边有转换状态的信息，另外一边没有，所以当parimary这边down的话，那么telnet的会话就会断开了。
Active/standby的stateful的failover
如果是单独的接口做stateful的话，那么就需要先定义一个名字跟接口，然后为这个名字配置Cisco-primary和standby的IP地址。
failover link state e3
failover interface ip state 192.168.5.1 255.255.255.0 standby 192.168.5.2
我这个环境直接使用FO的接口也作为stateful的使用，配置很简单
Cisco-primary(config)# failover link FO
这时候就有状态化信息的出现了，当有TCP的连接时候 它会自动备份到standby那边。 这时候来测试telnet，看是否会断开telnet的连接。
telnet的会话没有断开，只是中间会卡住45s，这个时间是用于standby切换到Active时间，所以会卡住，但是telnet会话不会断开。
两边的状态化表现都有，所以关于TCP的会话，不会因为设备出现了故障而断开。
如果大家有任何疑问或者文中有错误跟疏忽的地方，欢迎大家留言指出，博主看到后会第一时间修改，谢谢大家的支持，更多技术文章尽在网络之路Blog（其他平台同名），版权归网络之路Blog所有，原创不易，侵权必究，觉得有帮助的，关注、转发、点赞支持下！~。
标签：Cisco,standby,failover,SW,primary,之六,ASA,config 来源： https://blog.csdn.net/weixin_46948473/article/details/114800202
本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享； 2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关； 3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关； 4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除； 5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。