防火墙 Falover.docVIP

防火墙 Failover 一、failover相关概念： 1、failover线：又叫心跳线，是一条故障切换线，参与failover 的防火墙通过这条线决定本身的状态。Failover 线有2种：专用的cable线和LAN线 2、statful failover线：即状态线，时刻传递状态信息由主到 次，该线的带宽必须大于等于用户接 口的带宽，状态有3种：专用以太口 或共享LAN-base的failover线或共 享用户接口(不建议） 3、failover 组网拓扑：有2种：基于专用cable和基于LAN 二、试验拓扑： 三、试验配置： FW5(config)# activation-key 0x5236f5a7 0x97def6da 0x732a91f5 0xf5deef57（添加UR许可，有UR许可才支持Failover） 1、基于Lan base的A/S模式 FW5（活动设备） FW5(config)# failover link bluefox e3(指定Failover状态接口） FW5(config)# failover interface ip bluefox standby （配置状态接口的IP） FW5(config)# interface e3（打开接口） FW5(config-if)# no sh FW5(config-if)# exit FW5(config)# failover lan enable （启用lan base） FW5(config)# failover lan unit primary （指定该设备为主设备） FW5(config)# failover lan interface bluefox e3（指定Failover线（可与状态线共用）） FW5(config)# failover interface ip bluefox standby （共用时可不配） FW5(config)# failover FW5(config)# interface e0 FW5(config-if)# nameif outside FW5(config-if)# ip add standby FW5(config-if)# no sh FW5(config-if)# exit FW5(config)# interface e1 FW5(config-if)# nameif inside FW5(config-if)# ip add standby FW5(config-if)# no sh FW5(config-if)# exit FW5(config)# interface e2 FW5(config-if)# nameif dmz FW5(config-if)# security-level 50 FW5(config-if)# ip add standby FW5(config-if)# no sh FW5(config-if)# exit FW6（备份设备） FW6(config)# interface e3 FW6(config-if)# no sh FW6(config-if)# exit （打开状态线） FW6(config)# failover lan enable （启用lan base） FW6(config)# failover lan unit secondary （指定该设备为辅助设备） FW6(config)# failover lan interface bluefox e3（指定Failover线） FW6(config)# failover interface ip bluefox standby FW6(config)# failover（启用Failover） 测试与分析： FW5 FW6 FW5 由以上各图知FW5为主、FW6为备份设备. 在FW6上手动抢占 FW6已成为主设备。 FW6切换为辅助设备 以下为各个设备的详细配置： FW5 interface Ethernet0 nameif outside security-level 0 ip address standby interface Ethernet1 nameif inside security-level 100 i