При переключении на другой ресурс, оба устройства защиты отправляют системные сообщения. В этом разделе рассматриваются следующие темы. Мониторинг восстановления при отказе Сбой модуля %ASA-3-210005: сбой выделенного подключения LU Сообщения системы аварийного переключения Сообщения отладки SNMP Типичные ошибки Мониторинг восстановления при отказе В этом примере показано, что происходит, если аварийное переключение не начинает мониторинг сетевых интерфейсов. Функция переключения при отказе не начинает мониторинг сетевых интерфейсов, пока не получит второй пакет сообщений hello от другого устройства на этом интерфейсе. Это займет около 30 секунд.
Если модуль присоединен к сетевому коммутатору, работающему по протоколу STP, настроенное на коммутаторе время forward delay (задержка пересылки), которое обычно оно составляет 15 сек, увеличивается в два раза плюс 30 сек задержки. Это происходит потому, что при загрузке ASA и событии сбоя, которое следует сразу после загрузки, системный коммутатор определяет временную замкнутую петлю. При обнаружении петли коммутатор перестает пересылать пакеты с этих интерфейсов в течение времени forward delay (задержка пересылки).
Затем он переходит в режим прослушивания listen для дополнительной задержки пересылки forward delay , в течение которой коммутатор принимает замкнутые петли, но не пересылает трафик (и, следовательно, не пересылает пакеты hello переключения при отказе). Поток трафика должен возобновиться по прошествии двойного времени задержки пересылки (30 секунд). Каждый модуль ASA остается в режиме ожидания waiting , пока не получит 30-секундную последовательность пакетов приветствия hello от другого модуля. Во время передачи трафика межсетевой экран PIX не вызывает сбой в других модулях, исходя из отсутствия пакетов приветствия hello .
Все остальные виды мониторинга переключения при отказе сохраняются (имеется в виду мониторинг питания, потери интерфейса на канале, а также сообщение hello кабеля переключения при отказе). Cisco настоятельно рекомендует своим клиентам включать функцию portfast на всех портах коммутатора, подключенных к интерфейсам ASA. Кроме того, на этих портах необходимо отключить режим объединения в канал и режим магистрального соединения. Если интерфейс ASA отключается во время аварийного переключения, коммутатор не должен ожидать 30 секунд, пока порт переходит из состояния прослушивания в состояние изучения и далее в состояние переадресации. Failover On Cable status:
Normal Reconnect timeout 0:00:00 This host: Primary - Active Active time: 6930 (sec) Interface inside (172.16.1.1): Normal (Waiting) Interface outside (172.16.1.1): Normal (Waiting) Other host: Secondary - Standby Active time: 15 (sec) Interface inside (172.16.1.2): Normal (Waiting) Interface outside (172.16.1.2): Normal (Waiting) Ниже приведена сводка проверок, которые необходимо выполнить для локализации проблем аварийного переключения. Проверьте сетевые кабели, подключенные к интерфейсу в ждущем/неисправном состоянии, и, если возможно, замените их.
Если между двумя модулями подключен коммутатор, проверьте, что сети, подключенные к интерфейсу в ждущем/неисправном состоянии, функционируют нормально. Проверьте порт коммутатора, подключенный к интерфейсу в ждущем/неисправном состоянии, и, если возможно, попробуйте использовать другой порт FE коммутатора. Проверьте, что на подключенных к интерфейсу портах коммутатора функция PortFast включена, а режимы объединения портов в