cisco failover 概念

wang_rx

　　Failover是cisco防火墙提供的一种故障切换技术，当防火墙出现故障时，它允许另一台防火墙迅速取代它在网络中的位置，对网络进行保护并进行数据流量的转发，并且，这种故障切换机制可以被设置为基于状态的故障切换，可以保证当备用设备接管流量时，TCP连接不会中断。
　　在配置和实施Failover时，需要两台防火墙，并且要保证参与Failover的两台防火墙设备型号相同（硬件信息也要相同，比如内存一样大等），防火墙使用的软件系统版本相同，防火墙的激活码类型也要相同(不能一个只支持K8，而另一个是K9的)。除此之外，参与Failover的防火墙必须有一个UR版本的，而另一个可以使Fo版本或者是UR版本，R版本防火墙不能参与Failover。
　　参与Failover的两个防火墙中，一个是主防火墙，在最初的网络中，主防火墙进行流量的转发，并保护网络。另一个防火墙称之为备份防火墙，备份防火墙也接入在网络中，并且具有和主防火墙相同的配置，这些配置是指防火墙自身的配置和相邻交换机的接口交换参数。相邻交换机的接口交换参数需要在组建网络时，由技术人员有手工指定（比如，备份防火墙的备份端口必须与主防火墙上它所备份的的端口处于相同的VLAN或者都被配置为TRUNK）。而备份防火墙上除了Failover命令之外的配置信息，是通过Failover从主防火墙上同步过来的，不需要经过人工干预。
　　Cisco防火墙支持Active/Active failover 和 Active/Standby failover两种Failover。Active/Standby failover及支持单模式的防火墙也支持多模式的防火墙，而Active/Active failover只能用于多模式下的防火墙（它需要将两个防火墙上互为备份的虚拟防火墙划如相同的failover组）。特别需要说明的是***的failover只支持在Active/Standby模式下进行配置，Active/Active模式的Failover不支持任何IPSec或者SSL ***。
　　实施防火墙故障切换时，可以通过2种方式将两台防火墙连在一起做Failover：一种方式是基于电缆的Failover，需要使用专用的failover 切换电缆，将电缆上标为主或者是备的接头，接入对应的防火墙既可（这个不能接反，接反了会发生配置信息倒灌）。另外一种是基于LAN的Failover，需要将分别防火墙的一个接口连到一台交换机上，并且划入相同的VLAN，也可以使用网线连接（这种做法cisco并不推荐，当电缆出现问题时，两侧都会被标识为故障，不方便判断究竟是那边出错了）。
　　在cisco防火墙进行故障切换时，分为两种故障切换，一种是普通的故障切换，一种是状态型故障切换。在备份墙执行普通的Failover故障切换时，会丢其所有的连接信息，客户必须重新创建数据连接。而使用状态型故障切换时，主防火墙会将连接的状态信息同步给备份防火墙，当切换到备份防火墙是时，备份防火墙上存在着可用的连接信息，从而保证了用户不需要重新进行连接，而直接进行数据通信。
　　本文简述了防火墙Failover的一些特点和注意事项，意在抛砖引玉，更多关于防火墙Failover的知识，读者可以通过翻阅cisco文档进行更深入的了解。