В каждой конфигурации аварийного переключения используется отдельный способ определения и выполнения аварийного переключения на другой ресурс. При конфигурации аварийного переключения на активный резервный ресурс оба модуля могут пропускать сетевой трафик. Это позволяет использовать выравнивание нагрузки в сети. Конфигурация аварийного переключения на активный резервный ресурс доступна только для модулей, работающих в многоконтекстном режиме. При конфигурации аварийного переключения на резервный ресурс в режиме ожидания сетевой трафик пропускается только одним узлом, в то время как другой находится в режиме ожидания.
Конфигурация аварийного переключения на резервный ресурс в режиме ожидания доступна для узлов, работающих как в одноконтекстном, так и в многоконтекстном режиме. Обе конфигурации поддерживают аварийное переключение с отслеживанием состояния и без отслеживания состояния (регулярное). Прозрачный межсетевой экран — это межсетевой экран уровня 2, который действует как удар в проводе или невидимый межсетевой экран, он не определяется подключенными устройствами как транзитный участок. Устройство защиты подключается к одной и той же сети на своих внутренних и внешних портах.
Так как межсетевой экран не является маршрутизируемым переходом, можно с легкостью встроить прозрачный межсетевой экран в сеть, не прибегая к изменению IP-адресации. Устройство адаптивной защиты может быть настроено для работы в режиме маршрутизируемого межсетевого экрана по умолчанию или в режиме прозрачного межсетевого экрана. При смене режимов устройство адаптивной защиты очищает конфигурацию, так как многие команды поддерживаются только в одном из режимов. Если заполненная конфигурация уже имеется, сохраните ее перед тем, как изменить режим; сохраненную конфигурацию можно использовать для справки при создании новой конфигурации. Для получения подробной информации см.
документ Пример конфигурации межсетевого экрана в прозрачном режиме. В документе описывается настройка конфигурации аварийного перехода на пассивный резервный ресурс в прозрачном режиме для устройствах безопасности ASA Security Appliance. Примечание. Функция аварийного переключения для VPN-соединений не поддерживается на модулях, работающих в многоконтекстном режиме. Функция аварийного переключения для VPN-соединений доступна только для конфигураций Active/Standby Failover (Аварийное переключение на резервный ресурс в режиме ожидания) .
Cisco рекомендует использовать интерфейс управления для аварийного переключения, особенно если используется аварийное переключение с отслеживанием состояния, при котором устройство безопасности постоянно отправляет данные о подключении с одного устройства в другое. Интерфейс для аварийного переключения должен иметь как минимум такую же полосу пропускания, как интерфейсы для передачи обычного трафика, и хотя в ASA 5540 используются интерфейсы Gigabit Ethernet, в качестве интерфейса управления применяется только FastEthernet. Интерфейс управления разработан только для передачи трафика управления и обозначается как management0/0.
Однако можно использовать команду management-only , чтобы перестроить любой в интерфейс только для управления. Кроме того, для интерфейса Management 0/0 можно отключить режим«только для управления». В результате интерфейс будет передавать трафик как любой другой интерфейс. Для получения подробной информации о команде management-only см. документ Справочное руководство по командам системы безопасности Cisco, версия 8.0. В этом руководстве приведен пример конфигурации, дающий краткие сведения о технологии PIX/ASA 7.x Active/Standby. См. подробное описание принципа работы этой технологии в документе Справочное руководство по командам ASA/PIX.
Предварительные условия Требования Требования к оборудованию Два узла в конфигурации аварийного переключения на другой ресурс при сбое должны обладать одинаковой аппаратной конфигурацией. Они должны быть одной модели, иметь одинаковые номера и типы интерфейсов, а также одинаковые объемы ОЗУ. Примечание. Не обязательно, чтобы у двух узлов был одинаковый объем флэш-памяти. При использовании узлов с разными объемами флэш-памяти в конфигурации перехода на другой ресурс при сбое убедитесь, что узел с меньшим объемом флэш-памяти обладает достаточным ее объемом для размещения файлов образов программ и файлов конфигурации.
Если памяти все же недостаточно, синхронизацию с другим узлом большего объема флэш-памяти выполнить не удастся. Требования к программному обеспечению Оба модуля в конфигурации аварийного переключения должны находиться в рабочих режимах (маршрутизируемый или прозрачный, один или несколько контекстов). У них должны быть одинаковые основной (первый) и дополнительный (второй) номера версии ПО, однако можно использовать различные версии ПО в процессе обновления; например, можно обновить один узел от версии 7.0(1) до версии 7.0(2) и при этом использовать активный режим перехода на резервный ресурс. Cisco рекомендует обновить оба модуля до