142536a 发表于 2018-7-10 11:12:37

Cisco技术ASA配置failover实例

  某公司使用一台ASA5520作为内外网安全设备及互联网出口,现网还有一台ASA5520放置于出口,但两台设备没有形成HA,并没有配置failover。出于提升网络安全性和冗余的考虑,现对设备进行failover配置。整个配置过程内容如下:
  前提条件
  要实现failover,两台设备需要满足以下的一些条件:
  1.相同的设备型号和硬件配置:设备模块、接口类型,接口数量,CPU,内存,flash闪存等
  2.相同的软件版本号,此处即指ASA的IOS版本,IOS版本需要高于7.0
  3.相同的FW模式,必须同为路由模式或者透明模式
  4.相同的特性集,如支持的加密同为DES或者3DES
  5.合适的licensing,两台设备的license符合基本要求,能支持相同的failover
  除了以上的几点之外,两台ASA实现失效转移failover还需要按照情况制作对应的failover/stateful心跳线,可以是交叉网线。
  经过比对两台ASA5520的以上相关信息,发现目前两台ASA防火墙的IOS版本不一致,ASA-A是“asa804-3-k8.bin,SoftwareVersion8.0(4)3”,ASA-B是“asa821-k8.bin,SoftwareVersion8.2(1)”。通过比对还发现,两台ASA支持的Licensefeatures虽并不一致,但事实上,实现failover不需要licensefeatures完全一致,只要关键的几个特性如支持failover类型相同即可。所以,此两台设备如果要实现failover,则必须首先要做的就是使用ASA-B的升级ASA-A的IOS至8.2(1),或者将ASA-B的IOS降低至8.0(4)3版本,不推荐使用降级IOS的方式,所以下面的小节将给出实现failover前升级ASA-A的IOS具体操作过程(命令脚本)。
  升级IOS方案
  此以升级ASA-A的IOS到8.2(1)版本来说明。降级OS的操作步骤类似。
  说明:因为两台ASA5520的硬件配置一样,所以8.2(1)版本的IOS是可以支持所有ASA-A的功能及软硬件配置的。所以,升级方案是完全兼容现有硬件的。
  首先,将需要把ASA-B的IOS镜像文件以及ASDM镜像文件拷出来。
  1.asa-b(config)#dir//显示文件目录
  2.#copydisk0:/asa821-k8.bintftp:拷贝ASA-B的IOS镜像到TFTP服务器3.#copydisk0:/asdm-621.bintftp:拷贝ASA-B的ASDM镜像到TFTP服务器
  接下来的就是升级过程了
  1.asa(config)#dir//显示文件目录
  2.copydisk0:/asa804-3-k8.bintftp://将原有IOS文件备份到TFTP服务器上3.copydisk0:/asdm-615.bintftp://将原有asdm文件备份到TFTP服务器上4.copytftp:disk0://将新的IOS文件从TFTP服务器上拷贝到ASA中,需要指定TFTP上的镜像文件名asa821-k8.bin
  5.copytftp:disk0://将新的ASDM镜像文件从TFTP服务器上拷贝到ASA中,指定ASDM镜像名asdm-621.bin
  6.asa(config)#dir//再次显示目录,检查文件是否拷贝成功7.asa(config)#nobootsystemdisk0:/asa804-3-k8.bin//取消原来的启动文件关联8.asa(config)#dir
  asa(config)#bootsystemdisk0:/asa821-k8.bin
  asa(config)#asdmimagedisk0:/asdm-621.bin//设置IOS文件及ASDM文件的关联DeviceManagerimageset,butnotavalidimagefiledisk0:/asdm-603.bin//由于新的IOS文件在重新启动前并未生效,所以会提示新的ASDM镜像在设置关联的时候会提示无效。asa(config)#exit9.asa#wr//保存配置
  10.asa#reload重启ASA-A,使设置生效
  至此,IOS升级完毕,通过showtech查看ASA-A的信息是否与ASA-B一致,如果没有问题,就可以进行正式的failover配置工作了。
  为ASA配置failover升级完毕IOS后,接下来的就是进行failover的配置设置了。
  考虑到现网的情况,作为业务和互联网出口的主要安全设备是ASA-A,并且该设备目前的负荷不高,完全可以满足现网需求,因此,本方案采用active/standby的failover方式,并且,由于理论以及实际环境的限制,本方案采用LAN-basedfailover模式。
  首先,做配置前需要做以下测试(这几项测试非必要,可以不进行)。
  1.测试各个以太口和serial-cable口的连通性
  2.测试网络activity
  3.测试arp,读取设备的arpcache中最新学习到的10个条目
  4.测试广播ping,如ping同一个内网的广播地址,如10.1.1.255/24然后,两台ASA5520断电,断电时使用普通交叉网线连接两台ASA5520设备的以太网口,然后开启active(primary)设备。
  注意:作为secondary的ASA-B此时不能加电。同时,若确定ASA-B不用承载任何业务和安全检测功能,可以考虑事先将其配置备份(ASA-B#copyruntftp:),然后再清空ASA-B的配置后执行failover配置。接下来是配置primary(active)设备ASA-A,ASA-A的其他设置可以不用修改。
  1.ASA-A(config)#interfaceGigabitEthernet0/3ASA-A(config-if)#noshut
  2.ASA-A(config)#failoverlaninterfaceLANFAILGigabitEthernet0/3
  3.ASA-A(config)#failoverinterfaceipLANFAIL172.17.1.1255.255.255.0standby172.17.1.7//根据实际情况设置IP信息
  4.ASA-A(config)#failoverlanunitprimary//设置设备ASA-A为primary
  5.ASA-A(config)#failoverkey1234567//配置failover的共享密钥
  6.ASA-A(config)#failover//enablefailover
  7.ASA-A(config)#failoverlinkLANFAIL//配置全状态stateful下failover
  8.ASA-A#wr//保存配置到flash再接下来,加电启动ASA-B,配置secondary的ASA-B为standby。
  9.ASA-B(config)#interfaceGigabitEthernet0/3ASA-B(config-if)#noshut
  10.ASA-B(config)#failoverlaninterfaceLANFAILGigabitEthernet0/3
  11.ASA-B(config)#failoverinterfaceipLANFAIL172.17.1.1255.255.255.0standby172.17.1.7//根据实际情况设置IP信息,primary和secondary一样
  12.ASA-B(config)#failoverlanunitsecondary//设置设备ASA-B为secondary
  13.ASA-B(config)#failoverkey1234567//配置failover的共享密钥
  14.ASA-B(config)#failover//enablefailover
  15.ASA-B#wr//保存配置到flash由于实际环境中,接口物理MAC地址不能保证100%可用,所以HighAvailable的配置通常还要加配虚拟MAC地址。
  16.ASA-A(config)#failovermacaddressGigabitEthernet0/0xxxx.xxxx.xxxxxxxx.xxxx.xxxx
  ASA-A(config)#failovermacaddressGigabitEthernet0/1xxxx.xxxx.xxxxxxxx.xxxx.xxxx
  最后,配置完毕后,ASA-A向ASA-B复制配置,这个过程通常需要几分钟时间。这个过程是可监督的,可以在ASA-B上使用如下方式查看。
  ASA-B#showfailover
  FailoverOn
  FailoverunitSecondary
  FailoverLANInterface:LANFAILGigabitEthernet0/3(up)UnitPollfrequency500milliseconds,holdtime6secondsInterfacePollfrequency600milliseconds,holdtime15seconds
  InterfacePolicy1
  MonitoredInterfaces3of250maximum
  Version:Ours7.2(1),Mate7.2(1)Outputommit……
  有以上的输出,表明配置就同步了。至此,整个的failover就算完成了。
  CISCO防火墙failover全系列2——ASA LAN baseA/S failover(路由模式)
  primary的配置:
  Int e0
  Ip add 172.16.1.1 255.255.255.0 standby172.16.1.2
  Int e1
  Ip add 192.168.1.1 255.255.255.0 standby192.168.1.2
  Exit
  Failover lan enable
  //若是PIX,就要配置这一条,启用LAN based failover,ASA不需要这一条
  Failover lan unit primary
  //指定这个防火墙是primary防火墙
  Failover lan interface failover e2
  //指定failover接口是e2,并命名为failover
  Failover interface ip failover 10.1.0.1255.255.255.0standby 10.1.0.2
  //指定名字为failover接口的IP
  Failover link state e3
  //指定state接口的为e3,并命名为state
  Failover interface ip state 10.0.0.1255.0.0.0 standby 10.0.0.2
  //指定名字为state的接口IP
  Failover
  //启动failover
  secondary的配置(只需要配置failover接口,其他都会从primary学习到)
  failover
  failover lan unit secondary
  failover lan interface failover Ethernet3
  failover lan enable
  failover interface ip failover 10.1.0.1255.255.255.0 standby 10.1.0.2
  //配置和active相同!
  show:
  Sh failover
  show failover state
  Sh monitor-interface
  Sh run failover
  测试命令:
  ·      强制standby防火墙变为acitve:
  在standby上输入
  #failover active
  或者
  在active上输入
  #no failover staive
  ·      关闭failover
  #no failover
  ·      Failoverreset
  ·      Debugfover
页: [1]
查看完整版本: Cisco技术ASA配置failover实例