Настройка аварийного переключения Cisco ASA — руководство

Содержание Введение Предварительные условия Требования Используемые компоненты Родственные продукты Условные обозначения Аварийное переключение между активными и резервными модулями Обзор аварийного переключения между активными и резервными модулями Состояние«основной-вспомогательный» и«активный-резервный» Инициализация устройства и синхронизация конфигурации Репликация команд Триггеры аварийного переключения Действия аварийного переключения Регулярное аварийное переключение и аварийное переключение с сохранением состояния Регулярное аварийное переключение Аварийное переключение с сохранением состояния Конфигурации аварийного перехода на резервный ресурс в ждущем режиме с использованием локальной сети Сетевой график Конфигурация основного модуля Конфигурация вспомогательного модуля Конфигурации Проверка Использование команды show failover Просмотр контролируемых интерфейсов Отображение команд аварийного переключения в текущей конфигурации Проверка функциональности аварийного переключения Принудительное аварийное переключение Отключение аварийного переключения Восстановление неисправного модуля Поиск и устранение неисправностей Мониторинг аварийного переключения Отказ модуля Сбой выделенного подключения LU Сообщения системы аварийного переключения Сообщения отладки SNMP Последовательный Опрос при обработке отказов Экспорт сертификата/секретного ключа в конфигурации аварийного переключения ПРЕДУПРЕЖДЕНИЕ:

сбой описания сообщения аварийного переключения. Аварийное переключение модулей ASA Сообщение аварийного переключения block alloc failed Проблемы аварийного переключения модуля AIP Известные проблемы Введение Для конфигурации аварийного переключения необходимы два одинаковых устройства безопасности, соединенные друг с другом с помощью выделенного соединения аварийного переключения или соединения аварийного переключения с отслеживанием состояния. Состояние активных интерфейсов и узлов отслеживается до возникновения условий, отвечающих специфическим заданным параметрам аварийного переключения на другой ресурс.

При возникновении условий, соответствующих заданным, происходит аварийное переключение на другой ресурс. Устройство безопасности поддерживает две конфигурации аварийного переключения. Аварийное переключение между активными модулями Аварийное переключение между активными и резервными модулями

Стр. 1

В каждой конфигурации аварийного переключения используется отдельный способ определения и выполнения аварийного переключения на другой ресурс. При конфигурации аварийного переключения на активный резервный ресурс оба модуля могут пропускать сетевой трафик. Это позволяет использовать выравнивание нагрузки в сети. Конфигурация аварийного переключения на активный резервный ресурс доступна только для модулей, работающих в многоконтекстном режиме. При конфигурации аварийного переключения на резервный ресурс в режиме ожидания сетевой трафик пропускается только одним узлом, в то время как другой находится в режиме ожидания.

Конфигурация аварийного переключения на резервный ресурс в режиме ожидания доступна для узлов, работающих как в одноконтекстном, так и в многоконтекстном режиме. Обе конфигурации поддерживают аварийное переключение с отслеживанием состояния и без отслеживания состояния (регулярное). Прозрачный межсетевой экран — это межсетевой экран уровня 2, который действует как удар в проводе или невидимый межсетевой экран, он не определяется подключенными устройствами как транзитный участок. Устройство защиты подключается к одной и той же сети на своих внутренних и внешних портах.

Так как межсетевой экран не является маршрутизируемым переходом, можно с легкостью встроить прозрачный межсетевой экран в сеть, не прибегая к изменению IP-адресации. Устройство адаптивной защиты может быть настроено для работы в режиме маршрутизируемого межсетевого экрана по умолчанию или в режиме прозрачного межсетевого экрана. При смене режимов устройство адаптивной защиты очищает конфигурацию, так как многие команды поддерживаются только в одном из режимов. Если заполненная конфигурация уже имеется, сохраните ее перед тем, как изменить режим; сохраненную конфигурацию можно использовать для справки при создании новой конфигурации. Для получения подробной информации см.

документ Пример конфигурации межсетевого экрана в прозрачном режиме. В документе описывается настройка конфигурации аварийного перехода на пассивный резервный ресурс в прозрачном режиме для устройствах безопасности ASA Security Appliance. Примечание. Функция аварийного переключения для VPN-соединений не поддерживается на модулях, работающих в многоконтекстном режиме. Функция аварийного переключения для VPN-соединений доступна только для конфигураций Active/Standby Failover (Аварийное переключение на резервный ресурс в режиме ожидания) .

Cisco рекомендует использовать интерфейс управления для аварийного переключения, особенно если используется аварийное переключение с отслеживанием состояния, при котором устройство безопасности постоянно отправляет данные о подключении с одного устройства в другое. Интерфейс для аварийного переключения должен иметь как минимум такую же полосу пропускания, как интерфейсы для передачи обычного трафика, и хотя в ASA 5540 используются интерфейсы Gigabit Ethernet, в качестве интерфейса управления применяется только FastEthernet. Интерфейс управления разработан только для передачи трафика управления и обозначается как management0/0.

Однако можно использовать команду management-only , чтобы перестроить любой в интерфейс только для управления. Кроме того, для интерфейса Management 0/0 можно отключить режим«только для управления». В результате интерфейс будет передавать трафик как любой другой интерфейс. Для получения подробной информации о команде management-only см. документ Справочное руководство по командам системы безопасности Cisco, версия 8.0. В этом руководстве приведен пример конфигурации, дающий краткие сведения о технологии PIX/ASA 7.x Active/Standby. См. подробное описание принципа работы этой технологии в документе Справочное руководство по командам ASA/PIX.

Предварительные условия Требования Требования к оборудованию Два узла в конфигурации аварийного переключения на другой ресурс при сбое должны обладать одинаковой аппаратной конфигурацией. Они должны быть одной модели, иметь одинаковые номера и типы интерфейсов, а также одинаковые объемы ОЗУ. Примечание. Не обязательно, чтобы у двух узлов был одинаковый объем флэш-памяти. При использовании узлов с разными объемами флэш-памяти в конфигурации перехода на другой ресурс при сбое убедитесь, что узел с меньшим объемом флэш-памяти обладает достаточным ее объемом для размещения файлов образов программ и файлов конфигурации.

Если памяти все же недостаточно, синхронизацию с другим узлом большего объема флэш-памяти выполнить не удастся. Требования к программному обеспечению Оба модуля в конфигурации аварийного переключения должны находиться в рабочих режимах (маршрутизируемый или прозрачный, один или несколько контекстов). У них должны быть одинаковые основной (первый) и дополнительный (второй) номера версии ПО, однако можно использовать различные версии ПО в процессе обновления; например, можно обновить один узел от версии 7.0(1) до версии 7.0(2) и при этом использовать активный режим перехода на резервный ресурс. Cisco рекомендует обновить оба модуля до

Стр. 2

одинаковой версии, чтобы гарантировать долгосрочную совместимость. Для получения подробной информации об обновлении ПО для пары аварийного переключения см. раздел Модернизация без простоев для пар аварийного переключения документа Руководство Cisco по настройке безопасности в командной строке, версия 8.0. Требования к лицензии На платформе устройств безопасности ASA хотя бы один модуль должен иметь неограниченную (UR) лицензию . Примечание. Для получения дополнительных возможностей может потребоваться обновление лицензий пары аварийного переключения. Для получения подробной информации см. документ Обновление ключа лицензий пары аварийного переключения. Примечание.

Лицензируемые функции (такие как одноранговые узлы SSL VPN или контексты безопасности) на обоих устройствах безопасности, участвующих в аварийном переключении, должны быть идентичны. Используемые компоненты Сведения, содержащиеся в этом документе, касаются следующих версий программного обеспечения и оборудования. Устройство защиты ASA с версией 7.x и более поздней Сведения для данного документа были получены на тестовом оборудовании в специально созданных лабораторных условиях. При написании данного документа использовались только устройства с«пустой» (стандартной) конфигурацией.

При работе с реально функционирующей сетью необходимо полностью осознавать возможные результаты использования всех команд. Родственные продукты Эта конфигурация может также использоваться со следующими версиями программного/аппаратного обеспечения. Устройство защиты PIX Security Appliance версии 7.x или более поздней Условные обозначения Более подробную информацию о применяемых в документе обозначениях см. в статье Cisco Technical Tips Conventions (Условные обозначения, используемые в технической документации Cisco). Аварийное переключение между активными и резервными модулями Раздел посвящен описанию конфигурации аварийного перехода на резервный ресурс в режиме ожидания.

В разделе рассматриваются следующие темы. Обзор аварийного переключения между активными и резервными модулями Состояние«основной-вспомогательный» и«активный-резервный» Инициализация устройства и синхронизация конфигурации Репликация команд Триггеры аварийного переключения Действия аварийного переключения

Стр. 3

Обзор аварийного переключения между активными и резервными модулями Аварийное переключение с активного на резервный ресурс позволяет передать функции отказавшего модуля устройству защиты, находящемуся в ждущем режиме. Оказавший активный модуль переходит в ждущий режим, а модуль, находившийся в ждущем режиме, переходит в активный режим. Устройство, которое становится активным, перехватывает IP-адреса (или IP-адрес управления для прозрачного сетевого экрана) и MAC-адреса отказавшего модуля и начинает передавать трафик. Устройство, которое переходит в резервное состояние, берет IP-адреса и MAC-адреса бывшего резервного модуля.

Поскольку сетевые устройства не видят изменения пар MAC- и IP-адресов, записи ARP в сети не меняются и не устаревают. Примечание. В режиме с несколькими контекстами устройство безопасности может выполнить полное аварийное переключение модуля (со всеми контекстами), но не для отдельных контекстов. Состояние«основной-вспомогательный» и«активный-резервный» Главное различие между модулями в паре аварийного переключения связано с тем, какой из них находится в активном состоянии, а какой в резервном. А точнее, какие IP-адреса используются и какой модуль активно передает трафик. Некоторые различия связаны с тем, является ли модуль основным (как определено в конфигурации) или вспомогательным.

Основной модуль всегда становится активным, если оба модуля запускаются одновременно (и оба находятся в исправном состоянии). MAC-адреса основного модуля всегда связаны с активными IP-адресами. Исключение из этого правила имеет место, когда вспомогательный модуль активен и не может получить основной MAC-адрес через соединение аварийного переключения. В этом случае используется вспомогательный адрес MAC. Инициализация устройства и синхронизация конфигурации Синхронизация конфигурации выполняется при загрузке обоих устройств в паре аварийного переключения. Репликация конфигурации происходит только от активного модуля к модулю в режиме ожидания.

Когда резервный модуль выполняет процедуры начального запуска, он удаляет свою рабочую конфигурацию (за исключением команд, необходимых для взаимодействия с активным модулем), и активный модуль передает полную конфигурацию резервному модулю. Активный модуль определяется по следующим критериям. Если модуль загружается и обнаруживает исправный активный модуль, он становится резервным. Если вспомогательный модуль загружается и не обнаруживает одноранговый модуль, он становится активным. Если модули загружаются одновременно, основной модуль становится активным, а вспомогательный — резервным. Примечание.

Если вспомогательный модуль загружается и не обнаруживает основной модуль, он становится активным. Он использует свои MAC-адреса для активных IP-адресов. Когда основной модуль становится недоступным, вспомогательный модуль изменяет свои MAC-адреса на адреса основного модуля, что может привести к прерыванию потока сетевого трафика. Чтобы избежать этого, необходимо настроить пару аварийного переключения с виртуальными адресами MAC. Дополнительную информацию см. в разделе настоящего документа Настройка конфигурации аварийного перехода на резервный ресурс в ждущем режиме. В момент начала репликации на консоли устройства безопасности активного модуля выводится сообщение:

Beginning configuration replication: Sending to mate (Начало репликации настроек: отправка другому члену пары). После завершения этого процесса, на устройстве защиты отобразится сообщение: End Configuration Replication to mate (Репликация настроек для другого члена пары завершена). Во время репликации команды, введенные на активном модуле, не будут реплицироваться на резервный модуль должным образом и могут быть перезаписаны конфигурацией, реплицированной с активного модуля. Не вводите команды ни на одном из модулей пары аварийного переключения во время репликации. В зависимости от размера конфигурации репликация может занять от нескольких секунд до нескольких минут.

Стр. 4