CISCO ASA配置Failover+透明模式

jlthlx

　　拓扑如下：

　　CE12804之间配置了CSS集群，CISCO 2911和CE12804之间运行OSPF。
　　CISCO FW 主：
　　1、将防火墙配置为透明模式，##路由模式和透明模式切换的时候配置将全部清除###
　　firewall transparent  ##默认为路由模式
　　2、开启接口，并配置相应的nameif
　　int g0/1
　　nameif inside
　　bridge-group 1          ##配置bridge
　　no shut
　　int g0/2
　　no shut
　　int g0/3
　　nameif outside
　　bridge-group 1
　　no shut
　　2、配置failover
　　failover lan unit primary
　　failover lan interface ha GigabitEthernet0/2
　　failover interface ip ha 10.90.255.145 255.255.255.248 standby 10.90.255.146
　　3、开启failover
　　failover
　　4、保存配置
　　write
　　CISCO FW 备：
　　1、配置接口
　　int g0/2
　　no shut
　　2、配置failover
　　failover lan unit secondary
　　failover lan interface ha GigabitEthernet0/2
　　failover interface ip ha 10.90.255.145 255.255.255.248 standby 10.90.255.146
　　3、开启failover
　　failover
　　4、保存配置
　　write
　　查看failover命令
　　show failover

　　配置完成后，R1和SW1之间跑OSPF
　　FW主：
　　1、配置bvi地址，相当于桥
　　interface bvi 1
　　ip add 10.90.255.51 255.255.255.0   ##和cisco 2811、HW CE12804之间的互联地址同一网段
　　2、在FW上开启相应策略
　　配置策略
　　access-list inside_access_in extended permit ip any any
　　access-list inside_access_in extended permit icmp any4 any
　　access-list inside_access_in extended permit ospf any any
　　access-list global_access extended permit ip any any
　　access-list global_access extended permit ospf any any
　　access-list global_access extended permit icmp any4 any
　　access-list outside_access_in extended permit ip any any
　　access-list outside_access_in extended permit ospf any any
　　access-list outside_access_in extended permit icmp any4 any
　　应用策略
　　access-group inside_access_in in interface inside
　　access-group outside_access_in in interface outside
　　access-group global_access global
　　CISCO 2911和CE12804之间正常配置OSPF和互联地址。
　　原理解析：
　　在transparent模式下需的配置
　　配置BVI接口：
　　interface bvi 1
　　ip address X.X.X.X X.X.X.X
　　BVI和brige-group一一对应
　　其配置解释：

　　文档配置举例：

　　注:此bridge-group仅在防火墙为透明模式时需要,且BVI地址需要与上下行设备互联地址在一个地址段。
　　例：
　　CISCO 3945的互联地址为10.90.253.50/29
　　Huawei CE12804的互联地址为10.90.253.49/29
　　CISCO ASA 5545的BVI地址为10.90.253.51/29
　　查看方式：show bridge-group
　　Bridge-grou解析：

　　通过以上信息可以看出，一台CISCO ASA 5545最多建立8个Bridge-group，一个Bridge-group最后加入4个接口
　　虽然能配置多个Bridge-group，在ASA为透明模式时，仅有一个Bridge-group被使用。

　　一个接口仅能应用一个bridge-group，无法将一个接口应用在多个brige-group。