防火墙故障切换.doc

防火墙故障切换 实验拓扑 知识了解 第一个：Failover线，又叫心跳线，是一条故障切换线；参与failover的防火墙通过这条线决定本身的状态，即选举主备或在主设备发生故障时，次设备成为主设备继续提供安全服务；可以是一条专用Cable或LAN线；传递配置信息和检测信息，以及状态信息。 第二个；Statful failover线，又叫状态线；时刻传递状态信息从主到次；接该线的接口必须大于等于用户数据接口的速率（inside、outside接口）；可以使用一个专用以太接口或共享LAN-base的Failover线，也可以共享用户但不建议。 第三个；Failover组网拓扑（方式）：基于Cable、基于LAN； 基于Cable：专用线缆，仅限于PIX，ASA不支持；专用的Cable线能快速检测对等体电源失效；备份设备不用配置，不占有以太接口；防火墙内外口、DMZ区各占用一个子网；主备关系由电缆决定；Primary和Secondary；限制，Cable线只有6Feet；拷贝速度慢，115Kb/s； 基于LAN：使用以太网互联传递Failover信息；配置信息等；为了Failover线是活动的，需要在防火墙间加交换机；禁用交换机的DTP、PAGP等协议，手工配置access、portfast等；切换时，Failover线不交换IP、MAC；距离不受限制；但是交换机容易单点故障； 第四个：Failover 工作模式 ：A/S主备、A/A负载均衡； 强制切换为主Failover active A/S主备特点： 一台设备为主，另外一台为备份；同时只有一台防火墙处理用户数据;主设备发生故障时，次设备成为主设备并接管原主设备的所有接口Ip地址和MAC地址；对于用户来说，整个切换是透明的。 A/A负载均衡： 两台防火墙同时都处理用户数据，把每台防火墙划分为两个虚拟防火墙，分别挑选出一个Context组成failover 组，共两组；每个组挑出一个Active防火墙，Active设备，Active设备分别属于不同物理防火墙；standby设备成为Active 设备时接管原active设备的接口IP地址和MAC地址；对于用户来说，整个切换过程是透明的。 第五个：故障切换分类： 正常切换（Regular Failover）：发生切换的时候，全部的连接会话将被丢弃客户端需要重新建立连接。即业务会中断。 状态切换（Stateful Failover）：启用状态切换，active 设备时刻同步状态给standby设备，发生切换时，业务不会中断，客户端不需要重新建立连接。 实验目的 实验配置 基本配置： R1(config-if)#interface fa0/0 R1(config-if)#ip address 200.200.200.2 255.255.255.0 R1(config-if)#no shutdown R1(config-if)#exit R2(config)#interface fa0/0 R2(config-if)#ip address 192.168.1.2 255.255.255.0 R2(config-if)#no shutdown R2(config-if)#exit R2(config)#ip route 0.0.0.0 0.0.0.0 192.168.1.1 SW3(config)#interface fa0/1 SW3(config-if)#switchport mode access SW3(config-if)#switchport access vlan 20 SW3(config)#interface fa0/7 SW3(config-if)#switchport mode access SW3(config-if)#switchport access vlan 20 SW3(config-if)#exit SW3(config)#interface fa0/3 SW3(config-if)#switchport mode access SW3(config-if)#switchport access vlan 10 SW3(config-if)#exit SW3(config)#interface fa0/8 SW3(config-if)#switchport mode access SW3(config-if)#switchport access vlan 10 SW3(config-if)#exit SW3(config)#interface fa0/24 SW3(config-if)#switchport mode trunk SW3(config-if)#switchport trun