多厂商防火墙系列之六：ASA failover 高可用技术技术【A-S】

2023-12-16 14:00:21

简介

Failover的意思就是故障移除，它非常类似与HSRP与VRRP一样，是一个冗余备份的技术，它当主用down了以后自动切换到备用那边

failover分为Aactive/standby和Aactive/Active，还有一种区分就是hardware failover，和stateful failover.
1、Aactive/standby 就想HSRP一样，主用down了情况下，备用才会转发数据

2、Aactive/Active 它必须结合之前说的context配合使用，虚拟多个防火墙，就像下面的图，Cisco-primary虚拟了两个context 1 和2，secondary也虚拟了两个 context 1 2 ，在这里Cisco-primary的1为active，secondary的1为stadnby。Cisco-primary的2为standby ，secondary的2为active，这样无论哪边Dwon了，直接切换到另外一边进行流量的转发，A/A实现了两个防火墙都转发流量，而不是空闲备用。

3、hardware failover，和stateful failover. 前者是只备份配置，不做其余的备份，而后者会备份配置的同时，把状态化信息也备份了，比如TCP的会话。这样当实现切换的时候，而不会断开TCP的连接。

做failover注意的几点是：1、关于两个firewall的硬件和软件型号和版本保持一直，还有授权信息，否则做failover会失败。、
2、PIX支持cable serial 与 LAN-Based 来作为两个firewall的连接
3、ASA只支持LAN-Based
cable serial 的特点就是：能很好的监控双方的状态，比如对方没有插电源、或者线缆没有插上，也能很快检查到双方的链路是否正常，缺点就是距离短，好像只有1.5米的距离
LAN-Based：就是我们常用的双绞线，它就是距离长，但是没有cable serial 那么好的功能。

探测的机制：1、检查到链路down了
2、这个接口是否还收到数据包，那么会查看ARP表，最近10个ARP的映射，在发送ARP去请求是否有回应，如果没回应，最后就做个广播ping。如果还没有人回应就让secondary成为主。

failover切换机制与HSRP不同的是，HSRP是虚拟一个VIP和MAC地址来作为GW转发，而failover两边都是用真实的地址，PC的网关都指定主用那边，当主用down了以后，备用那边会自动继承主用的IP和MAC地址转换，来达到效果。

这里就需要三个接口，一个作为failover两边专用协商的，另外两个就是正常转发流量的，在官方建议是failover的连接用一个单独的交换机来连接，并且failover和stateful可以使用同一个接口作为备份配置和状态。这里做这个环境的话，记得连线的时候把接口都记录下来，并且记录是作为什么使用的。不然后面根本就不好区分了。

先做基本配置，VLAN的划分，基本IP配置

Cisco-SW(config)#vlan 2
Cisco-SW(config-vlan)#name Failover
Cisco-SW(config-vlan)#vlan 3
Cisco-SW(config-vlan)#name Cisco-Outside
Cisco-SW(config-vlan)#vlan 4
Cisco-SW(config-vlan)#name Cisco-Inside

关于failover的VLAN划分，可以根据拓扑来

Cisco-SW(config)#int range f1/0 – 1
Cisco-SW(config-if-range)#switchport mode access
Cisco-SW(config-if-range)#switchport access vlan 2

Cisco-Outside

Cisco-SW(config)#int range f1/3 -4 ,f1/6
Cisco-SW(config-if-range)#switchport mode access
Cisco-SW(config-if-range)#switchport access vlan 3

Cisco-Inside

Ccieh3c.qzone.com-SW(config)#int range f1/5 , f1/2 , f1/7
Cisco-SW(config-if-range)#switchport mode access
Cisco-SW(config-if-range)#switchport access vlan 4

最后，在做配置的时候，先检查下VLAN和接口是否对应了，不然排错起来比较麻烦。

Cisco-Outside

Cisco-OUtside(config)#int f0/0
Cisco-OUtside(config-if)#ip address 10.1.1.1 255.255.255.0
Cisco-OUtside(config-if)#no shut
Cisco-Outside(config)#ip route 0.0.0.0 0.0.0.0 10.1.1.254
Cisco-Outside(config)#line vty 0 4
Cisco-Outside(config-line)#password cisco

Cisco-Inside

Cisco-Inside(config-line)#int f0/0
Cisco-Inside(config-if)#ip add 12.1.1.1 255.255.255.0
Cisco-Inside(config-if)#no shut
Cisco-Inside(config)#ip route 0.0.0.0 0.0.0.0 12.1.1.254

基本配置搞定，一条默认路由指向Cisco-primary的地址就行了。主要在于firewall的配置了，只需要Cisco-primary这边

防火墙的基本配置，首先把三个接口全部打开，然后配置IP地址。

Cisco-Primary(config-if)# int e0
Cisco-Primary(config-if)# no shut
Cisco-Primary(config-if)# int e1
Cisco-Primary(config-if)# nameif outside
INFO: Security level for “outside” set to 0 by default.
Cisco-Primary(config-if)# ip add 10.1.1.1 255.255.255.0 st
Cisco-Primary(config-if)# ip add 10.1.1.254 255.255.255.0 standby 10.1.1.253
Cisco-Primary(config-if)# no shut
Cisco-Primary(config-if)# int e2
Cisco-Primary(config-if)# nameif inside
INFO: Security level for “inside” set to 100 by default.
Cisco-Primary(config-if)# ip add 12.1.1.254 255.255.255.0 standby 12.1.1.253
Cisco-Primary(config-if)# no shut

这里E0作为failover的接口，只需要开启就好，而配置IP的时候多了个standby 这是配置failover才需要的，定义standby的地址为多少。
Cisco-primary(config)# failover lan enable 在PIX上需要开启LAN-Based功能，ASA不需要
Cisco-primary(config)# failover lan unit Cisco-primary 配置这边为主
Cisco-primary(config)# failover lan interface FO e0 设置e0接口为failover接口，这里定义的是前面先跟一个名字，然后在跟接口
INFO: Non-failover interface config is cleared on Ethernet0 and its sub-interfaces
Cisco-primary(config)# failover interface ip FO 11.1.1.254 255.255.255.0 standby 11.1.1.253 根据这个名字配置 failover的地址，用于协商c
primary(config)# failover 开启failover功能。
这样主防火墙配置完了，standby那边就很简单了。
standby(config)# int e0
standby(config-if)# no shutdown
standby(config)# failover lan enable
standby(config)# failover lan unit secondary
standby(config)# failover lan interface FO e0
INFO: Non-failover interface config is cleared on Ethernet0 and its sub-interfaces
standby(config)# failover interface ip FO 11.1.1.254 255.255.255.0 standby 11.1.1.253
standby(config)# failover
standby这边除了一个状态为secondary以外，其余的一模一样，包括failover的主IP和备用IP。

发现敲了failover后，就开始同步了，最后standby的配置都备份了Cisco-primary了，配置都copy过来了。

这个是failover的信息，轮循时间为15s，holdtime 为3倍，可以通过failover timeout 来修改。
切换failover的主备关系。

保存stadnby的配置，许多操作都在主用那边操作就可以了。
开始下telnet的功能。

一边有转换状态的信息，另外一边没有，所以当parimary这边down的话，那么telnet的会话就会断开了。

Active/standby的stateful的failover

如果是单独的接口做stateful的话，那么就需要先定义一个名字跟接口，然后为这个名字配置Cisco-primary和standby的IP地址。
failover link state e3
failover interface ip state 192.168.5.1 255.255.255.0 standby 192.168.5.2

我这个环境直接使用FO的接口也作为stateful的使用，配置很简单
Cisco-primary(config)# failover link FO