首页 Cisco技术ASA配置failover实例

Cisco技术ASA配置failover实例

举报
开通vip

Cisco技术ASA配置failover实例Cisco技术ASA配置failover实例 某公司使用一台ASA5520作为内外网安全设备及互联网出口,现网还有一台ASA5520也放置于出口,但两台设备没有形成HA,并没有配置failover。出于提升网络安全性和冗余的考虑,现对设备进行failover配置。 整个配置过程内容如下: 前提条件 要实现failover,两台设备需要满足以下的一些条件: 1.相同的设备型号和硬件配置:设备模块、接口类型,接口数量,CPU,内存,flash闪存等 2.相同的软件版本号,此处即指ASA的IOS版本,IOS版...

Cisco技术ASA配置failover实例
Cisco技术ASA配置failover实例 某公司使用一台ASA5520作为内外网安全设备及互联网出口,现网还有一台ASA5520也放置于出口,但两台设备没有形成HA,并没有配置failover。出于提升网络安全性和冗余的考虑,现对设备进行failover配置。 整个配置过程内容如下: 前提条件 要实现failover,两台设备需要满足以下的一些条件: 1.相同的设备型号和硬件配置:设备模块、接口类型,接口数量,CPU,内存,flash闪存等 2.相同的软件版本号,此处即指ASA的IOS版本,IOS版本需要高于7.0 3.相同的FW模式,必须同为路由模式或者透明模式 4.相同的特性集,如支持的加密同为DES或者3DES 5.合适的licensing,两台设备的license符合基本要求,能支持相同的failover 除了以上的几点之外,两台ASA实现失效转移failover还需要按照情况制作对应的failover/stateful心跳线,可以是交叉网线。 经过比对两台ASA5520的以上相关信息,发现目前两台ASA防火墙的IOS版本不一致,ASA-A是“asa804-3-k8.bin,Software Version 8.0(4)3”,ASA-B是“asa821-k8.bin,Software Version 8.2(1)”。通过比对还发现,两台ASA支持的License features虽并不一致,但事实上,实现failover不需要license features 完全一致,只要关键的几个特性如支持failover类型相同即可。所以,此两台设备如果要实现failover,则必须首先要做的就是使用ASA-B的升级ASA-A的IOS至8.2(1),或者将ASA-B的IOS降低至8.0(4)3版本,不推荐使用降级IOS的方式,所以下面的小节将给出实现failover前升级ASA-A的IOS具体操作过程(命令脚本)。 升级IOS方案 此以升级ASA-A的IOS到8.2(1)版本来说明。降级OS的操作步骤类似。 说明:因为两台ASA5520的硬件配置一样,所以8.2(1)版本的IOS是可以支持所有ASA-A的功能及软硬件配置的。所以,升级方案是完全兼容现有硬件的。 首先,将需要把ASA-B的IOS镜像文件以及ASDM镜像文件拷出来。 1.asa-b(config)#dir //显示文件 目录 工贸企业有限空间作业目录特种设备作业人员作业种类与目录特种设备作业人员目录1类医疗器械目录高值医用耗材参考目录 2.#copy disk0:/asa821-k8.bin tftp: 拷贝ASA-B的IOS镜像到TFTP服务器 3.#copy disk0:/asdm-621.bin tftp: 拷贝ASA-B的ASDM镜像到TFTP服务器 接下来的就是升级过程了 1.asa(config)# dir //显示文件目录 2.copy disk0:/asa804-3-k8.bin tftp: //将原有IOS文件备份到TFTP服务器上 3.copy disk0:/asdm-615.bin tftp: //将原有asdm文件备份到TFTP服务器上 4.copy tftp: disk0: //将新的IOS文件从TFTP服务器上拷贝到ASA中,需要指定TFTP上的镜像文件名asa821-k8.bin 5.copy tftp: disk0: //将新的ASDM镜像文件从TFTP服务器上拷贝到ASA中,指定ASDM镜像名asdm-621.bin 6.asa(config)# dir //再次显示目录,检查文件是否拷贝成功 7.asa(config)# no boot system disk0:/asa804-3-k8.bin //取消原来的启动文件关联 8.asa(config)# dir asa(config)# boot system disk0:/asa821-k8.bin asa(config)# asdm image disk0:/asdm-621.bin //设置IOS文件及ASDM文件的关联 Device Manager image set, but not a valid image file disk0:/asdm-603. bin //由于新的IOS文件在重新启动前并未生效,所以会提示新的ASDM镜像在设置关联的时候会提示无效。 asa(config)# exit 9.asa# wr //保存配置 10.asa# reload 重启ASA-A,使设置生效 至此,IOS升级完毕,通过show tech查看ASA-A的信息是否与ASA-B一致,如果没有问题,就可以进行正式的failover配置工作了。 为ASA配置failover 升级完毕IOS后,接下来的就是进行failover的配置设置了。 考虑到现网的情况,作为业务和互联网出口的主要安全设备是ASA-A,并且该设备目前的负荷不高,完全可以满足现网需求,因此,本方案采用active/standby的failover方式,并且,由于理论以及实际环境的限制,本方案采用LAN-based failover模式。 首先,做配置前需要做以下测试(这几项测试非必要,可以不进行)。 1. 测试各个以太口和serial-cable口的连通性 2. 测试网络activity 3. 测试arp,读取设备的arp cache中最新学习到的10个条目 4. 测试广播ping,如ping同一个内网的广播地址,如10.1.1.255/24 然后,两台ASA5520断电,断电时使用普通交叉网线连接两台ASA5520设备的以太网口,然后开启active(primary)设备。 注意:作为secondary的ASA-B此时不能加电。同时,若确定ASA-B不用承载任何业务和安全检测功能,可以考虑事先将其配置备份(ASA-B#copy run tftp:),然后再清空ASA-B的配置后执行failover配置。 接下来是配置primary(active)设备ASA-A,ASA-A的其他设置可以不用修改。 1. ASA-A(config)# interface GigabitEthernet0/3 ASA-A(config-if)# no shut 2. ASA-A(config)# failover lan interface LANFAIL GigabitEthernet0/3 3. ASA-A(config)# failover interface ip LANFAIL 172.17.1.1 255.255.255.0 standby 172.17.1.7 //根据实际情况设置IP信息 4. ASA-A(config)# failover lan unit primary //设置设备ASA-A为primary 5. ASA-A(config)# failover key 1234567 //配置failover的共享密钥 6. ASA-A(config)# failover //enable failover 7. ASA-A(config)# failover link LANFAIL //配置全状态stateful下failover 8. ASA-A#wr //保存配置到flash 再接下来,加电启动ASA-B,配置secondary的ASA-B为standby。 9. ASA-B(config)# interface GigabitEthernet0/3 ASA-B(config-if)# no shut 10. ASA-B(config)# failover lan interface LANFAIL GigabitEthernet0/3 11. ASA-B(config)# failover interface ip LANFAIL 172.17.1.1 255.255.255.0 standby 172.17.1.7 //根据实际情况设置IP信息,primary和secondary一样 12. ASA-B(config)# failover lan unit secondary //设置设备ASA-B为 secondary 13. ASA-B(config)# failover key 1234567 //配置failover的共享密钥 14. ASA-B(config)# failover //enable failover 15. ASA-B#wr //保存配置到flash 由于实际环境中,接口物理MAC地址不能保证100%可用,所以High Available的配置通常还要加配虚拟MAC地址。 16. ASA-A(config)# failover mac address GigabitEthernet0/0 xxxx.xxxx.xxxx xxxx.xxxx.xxxx ASA-A(config)# failover mac address GigabitEthernet0/1 xxxx.xxxx.xxxx xxxx.xxxx.xxxx 最后,配置完毕后,ASA-A向ASA-B复制配置,这个过程通常需要几分 钟时间。 这个过程是可监督的,可以在ASA-B上使用如下方式查看。 ASA-B# show failover Failover On Failover unit Secondary Failover LAN Interface: LANFAIL GigabitEthernet0/3 (up) Unit Poll frequency 500 milliseconds, holdtime 6 seconds Interface Poll frequency 600 milliseconds, holdtime 15 seconds Interface Policy 1 Monitored Interfaces 3 of 250 maximum Version: Ours 7.2(1), Mate 7.2(1) Output ommit…… 有以上的输出,表明配置就同步了。 至此,整个的failover就算完成了。
本文档为【Cisco技术ASA配置failover实例】,请使用软件OFFICE或WPS软件打开。作品中的文字与图均可以修改和编辑, 图片更改请在作品中右键图片并更换,文字修改请直接点击文字进行修改,也可以新增和删除文档中的内容。
该文档来自用户分享,如有侵权行为请发邮件ishare@vip.sina.com联系网站客服,我们会及时删除。
[版权声明] 本站所有资料为用户分享产生,若发现您的权利被侵害,请联系客服邮件isharekefu@iask.cn,我们尽快处理。
本作品所展示的图片、画像、字体、音乐的版权可能需版权方额外授权,请谨慎使用。
网站提供的党政主题相关内容(国旗、国徽、党徽..)目的在于配合国家政策宣传,仅限个人学习分享使用,禁止用于任何广告和商用目的。
下载需要: 免费 已有0 人下载
最新资料
资料动态
专题动态
is_321635
暂无简介~
格式:doc
大小:20KB
软件:Word
页数:0
分类:互联网
上传时间:2017-12-11
浏览量:18