ASA配置failover实例.doc

《ASA配置failover实例.doc》由会员分享，可在线阅读，更多相关《ASA配置failover实例.doc（5页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、案列：某公司使用一台ASA5520作为内外网安全设备及互联网出口，现网还有一台ASA5520也放置于出口，但两台设备没有形成HA，并没有配置failover。出于提升网络安全性和冗余的考虑，现对设备进行failover配置。整个配置过程内容如下：前提条件要实现failover，两台设备需要满足以下的一些条件：1.相同的设备型号和硬件配置：设备模块、接口类型，接口数量，CPU，内存，flash闪存等2.相同的软件版本号，此处即指ASA的IOS版本，IOS版本需要高于7.03.相同的FW模式，必须同为路由模式或者透明模式4.相同的特性集，如支持的加密同为DES或者3DES5.合适的licensin

2、g，两台设备的license符合基本要求，能支持相同的failover除了以上的几点之外，两台ASA实现失效转移failover还需要按照情况制作对应的failover/stateful心跳线，可以是交叉网线。经过比对两台ASA5520的以上相关信息，发现目前两台ASA防火墙的IOS版本不一致，ASA-A是“asa804-3-k8.bin，Software Version 8.0(4)3”，ASA-B是“asa821-k8.bin，Software Version 8.2(1)”。通过比对还发现，两台ASA支持的License features虽并不一致，但事实上，实现failover不需要l

3、icense features完全一致，只要关键的几个特性如支持failover类型相同即可。所以，此两台设备如果要实现failover，则必须首先要做的就是使用ASA-B的升级ASA-A的IOS至8.2(1)，或者将ASA-B的IOS降低至8.0（4）3版本，不推荐使用降级IOS的方式，所以下面的小节将给出实现failover前升级ASA-A的IOS具体操作过程（命令脚本）。升级IOS方案此以升级ASA-A的IOS到8.2(1)版本来说明。降级OS的操作步骤类似。说明：因为两台ASA5520的硬件配置一样，所以8.2(1)版本的IOS是可以支持所有ASA-A的功能及软硬件配置的。所以，升级方

4、案是完全兼容现有硬件的。首先，将需要把ASA-B的IOS镜像文件以及ASDM镜像文件拷出来。1.asa-b(config)#dir/显示文件目录2.#copy disk0:/asa821-k8.bin tftp:拷贝ASA-B的IOS镜像到TFTP服务器3.#copy disk0:/asdm-621.bin tftp:拷贝ASA-B的ASDM镜像到TFTP服务器接下来的就是升级过程了1.asa(config)# dir/显示文件目录2.copy disk0:/asa804-3-k8.bin tftp:/将原有IOS文件备份到TFTP服务器上3.copy disk0:/asdm-615.bin

5、tftp:/将原有asdm文件备份到TFTP服务器上4.copy tftp: disk0:/将新的IOS文件从TFTP服务器上拷贝到ASA中，需要指定TFTP上的镜像文件名asa821-k8.bin5.copy tftp: disk0:/将新的ASDM镜像文件从TFTP服务器上拷贝到ASA中，指定ASDM镜像名asdm-621.bin6.asa(config)# dir/再次显示目录，检查文件是否拷贝成功7.asa(config)# no boot system disk0:/asa804-3-k8.bin/取消原来的启动文件关联8.asa(config)# dirasa(config)# b

6、oot system disk0:/asa821-k8.binasa(config)# asdm image disk0:/asdm-621.bin/设置IOS文件及ASDM文件的关联Device Manager image set, but not a valid image file disk0:/asdm-603.bin/由于新的IOS文件在重新启动前并未生效，所以会提示新的ASDM镜像在设置关联的时候会提示无效。asa(config)# exit9.asa# wr/保存配置10.asa# reload重启ASA-A，使设置生效至此，IOS升级完毕，通过show tech查看ASA-A的

7、信息是否与ASA-B一致，如果没有问题，就可以进行正式的failover配置工作了。为ASA配置failover升级完毕IOS后，接下来的就是进行failover的配置设置了。考虑到现网的情况，作为业务和互联网出口的主要安全设备是ASA-A，并且该设备目前的负荷不高，完全可以满足现网需求，因此，本方案采用active/standby的failover方式，并且，由于理论以及实际环境的限制，本方案采用LAN-based failover模式。首先，做配置前需要做以下测试（这几项测试非必要，可以不进行）。1.测试各个以太口和serial-cable口的连通性2.测试网络activity3.测试ar

8、p，读取设备的arp cache中最新学习到的10个条目4.测试广播ping，如ping同一个内网的广播地址，如10.1.1.255/24然后，两台ASA5520断电，断电时使用普通交叉网线连接两台ASA5520设备的以太网口，然后开启active（primary）设备。注意：作为secondary的ASA-B此时不能加电。同时，若确定ASA-B不用承载任何业务和安全检测功能，可以考虑事先将其配置备份（ASA-B#copy run tftp:），然后再清空ASA-B的配置后执行failover配置。接下来是配置primary（active）设备ASA-A，ASA-A的其他设置可以不用修改。1.

9、ASA-A(config)# interface GigabitEthernet0/3ASA-A(config-if)# no shut2.ASA-A(config)# failover lan interface LANFAIL GigabitEthernet0/33.ASA-A(config)# failover interface ip LANFAIL 172.17.1.1 255.255.255.0 standby 172.17.1.7/根据实际情况设置IP信息4.ASA-A(config)# failover lan unit primary/设置设备ASA-A为primary5.A

10、SA-A(config)# failover key 1234567/配置failover的共享密钥6.ASA-A(config)# failover/enable failover7.ASA-A(config)# failover link LANFAIL/配置全状态stateful下failover8.ASA-A#wr/保存配置到flash再接下来，加电启动ASA-B，配置secondary的ASA-B为standby。9.ASA-B(config)# interface GigabitEthernet0/3ASA-B(config-if)# no shut10.ASA-B(config)

11、# failover lan interface LANFAIL GigabitEthernet0/311.ASA-B(config)# failover interface ip LANFAIL 172.17.1.1 255.255.255.0 standby 172.17.1.7/根据实际情况设置IP信息，primary和secondary一样12.ASA-B(config)# failover lan unit secondary/设置设备ASA-B为secondary13.ASA-B(config)# failover key 1234567/配置failover的共享密钥14.ASA

12、-B(config)# failover/enable failover15.ASA-B#wr/保存配置到flash由于实际环境中，接口物理MAC地址不能保证100%可用，所以High Available的配置通常还要加配虚拟MAC地址。16.ASA-A(config)# failover mac address GigabitEthernet0/0 xxxx.xxxx.xxxx xxxx.xxxx.xxxxASA-A(config)# failover mac address GigabitEthernet0/1 xxxx.xxxx.xxxx xxxx.xxxx.xxxx最后，配置完毕后，A

13、SA-A向ASA-B复制配置，这个过程通常需要几分钟时间。这个过程是可监督的，可以在ASA-B上使用如下方式查看。ASA-B# show failoverFailover OnFailover unit SecondaryFailover LAN Interface: LANFAIL GigabitEthernet0/3 (up)Unit Poll frequency 500 milliseconds, holdtime 6 secondsInterface Poll frequency 600 milliseconds, holdtime 15 secondsInterface Policy

14、 1Monitored Interfaces 3 of 250 maximumVersion: Ours 7.2(1), Mate 7.2(1)Output ommit有以上的输出，表明配置就同步了。至此，整个的failover就算完成了。5 了成 的了步配明输 ,( , 0 看查如使 ，的是间钟几通个，复 向 ，完置 . / # . / ) ( 址地 加常配的 ，% 能址 物，际 到配 - 一 / #) (内 安密密 及 配 网 出 还 有 ( 也- 设/出 口 两 有 形) ( -一没 和 信 情 际/ .于 提 0 安.性 .的 虑 对 进 # ( - / 置 # - - - / - 置

15、， 启电 配 - 过 容 下 状置/ ) - / 密享 / 条 # 设/ # 信 设情/ . 两 备 以 下 些 件 / # )- - / # -改用不设 -备 （ 是置 行配- 再， - 份其先考能功和业承不 确，同不此 ：设） 设开口以的 硬 两线置交通设使，模0 台 口 .， 址广数网个 ， 广，条，0的 学中 的存存设 试 网通通 太测）行可必非这测做要配式 - 案制境环论理且方 的 用案此，现以全，负目该 备全主网和业，的了设的 是下后 毕 了了置 正就，果致 是的 过完升效设， 重 配配 # 效效候的设镜 新提所未动新文 的 , 关的 . /0 ( . 0 ( # (关关启来 0 :0 ( 成成件检，次 # ( 名像 ， 到器 件 : . 文镜上 指中到上务 件 : 器服 到文 有: /0 器服 份件 : /0 目目 ) 程过就务服 镜 . : 务服 镜 . / 目件 #) ( 来出件 及件镜 把将的的有全是升。配软及的 持以 本) 以一配硬 为因似似作 级说)(. - 方方）命作体 - 升 现给将的，方 级荐本版（至 ，(. - - 用的先则 实备两此。相类 性个要，完 要 ，实致并 现发过” ，. ， . ， -0 是 一 火 台现信相的 两线叉以，心 对情要 转实 ，点上了 的相能本符 设， 或 加支如性同模明或路须， .于需本 即号版同