防火墙-FALIOVER.pptxVIP

公司名称：SPOTO 制 作 人：张虎 TEL日期：2011/11/19 防火墙 Failover  专题交流 目录 Failover概念 1 2 3 4 Failover分类 Failover配置同步 配置实例 为什么会有Failover？ Failover是做什么的？ 实现Failover的条件？ 概念 概念 为了提升网络安全性和冗余 的考虑对设备进行failover配置。 由来： 概念 Failover可以在主设备发生故障时 保护网络，在配置了Stateful Failover 的情况下，在从主Pix迁移到备PIX时可 以不中断TCP连接。 作用： 概念 实现条件： 两台设备需要满足以下的一些条件： 1.相同的设备型号和硬件配置：设备模块、接口类型，接口数量，CPU，内存， flash闪存等 2.相同的软件版本号，此处即指ASA的IOS版本，IOS版本需要高于7.0 3.相同的FW模式，必须同为路由模式或者透明模式 4.相同的特性集，如支持的加密同为DES或者3DES 5.合适的licensing，两台设备的license符合基本要求，能支持相同的failover 目录 Failover概念 1 2 3 4 Failover分类 Failover配置同步 配置实例 分类1 Cable-based failover Failover Lan-based failover 分类1 Cable-based failover---------基于专用电缆 Lan-based failover ---------基于以太网 分类1 当电源故障时，需要更长的时间才能failover standby设备的配置需要单独设置（在cable-based failover中，standby设备可以 不用enable任何端口或不用设置ip地址的时候就跟active设备通讯，并从active设 备接受整个的配置信息。） 两设备间用于failover link的交换机会成为另一个硬件的故障点 占用以太网端口 Failover link 缺点 Failover link优点 • 设备之间可以相距6英尺以上 • 配置同步的速度快 分类2 常规 Failover 全状态 分类 Nat表 T c p连接状态 S I p M g c p 设备传递的状态信息 U d p 分类 目录 Failover概念 1 2 3 4 Failover配置同步 配置实例 Failover分类 配置同步 当standby设备完成初始化启动时，会从active设备同步配置； 配置同步只改变running-config，而不会把配置存到flash memory中； 在active设备上输入的指令会立刻被同步到standby设备上； 在active设备上输入write memory命令时，standby设备也会将配置写入flash memory； 在standby设备上输入的指令不会被同步到active设备； 如果两设备的startup-config不同，在设备启动后，secondary设备会根据primary设备的running-config同步自己的running-config； 在active设备上输入write standby命令时，standby设备会从active设备同步配置； 目录 Failover概念 1 2 3 4 Failover配置同步 配置实例 Failover分类 配置实例 failover failover ip address failover link failover lan 启用Failover 为备用PIX分配接口地址 启用Stateful Failover 配置基于网络的Failover 配置实例 internet R1 R3 F1 F2 0/24 E0 /24 E2 10/24 E3 /24 E3 /24 E0 E2 20/24 模拟内网主机 模拟Internet主机 配置实例 pixfirewall(config)# int e0 pixfirewall(config-if)# ip add pixfirewall(config-if)# nameif inside INFO: Security level for inside set to 100 by default. pixfirewall(config-if)# no shut pixfirewall(config-if)# exit pixfirewall(config)# int e 2 pixfirewall(config-if)# ip add 10 pixfi