1.搞清关于“主”“备”的几个概念：
Failover Link用于设备间相互沟通彼此的工作状态，Failover link上传递的信息包括： 设
备的当前状态 (active和standby)
电源状态 (基于专用failover电缆的才有)
Hello信息包 (也通过所有其它端口发送)
Active设备向Standby设备传递配置(称为配置同步)
Failover link可以使用两种介质（构成不同的failover形式）
基于专用电缆 ("cable-based failover")―两设备间距离不超过6英尺(约1.83米)时，建议
使用这种方式。因为设备可以通过此电缆感知对方的电源状态，而且能分辨出是设备断电还是
根本没插电源线。Failover电缆是一种改进的RS-232串行电缆(115 Kbps)，一端标
有"Primary" 用以连接 primary设备，另一端标有 "Secondary" 用以连接secondary 设备。
基于以太网 ("LAN-based failover")―可以使用设备上任意未占用的以太口，当两设备间
距离超过6英尺(约1.83米)时，请用这种方式。注意，此方式一定要通过交换机（推荐使用单
独的交换机）进行连接，而不能通过交叉线直接连接两机的以太口。
基于以太网的Failover Link的缺点主要有：
当电源故障时，需要更长的时间才能failover standby设备的配置需要单独设置（在cable-
based failover中，standby设备可以不用enable任何端口或不用设置IP地址的时候就跟
active设备通讯，并从active设备接受整个的配置信息。）
两设备间用于Failover Link的交换机会成为另一个硬件的故障点占用以太网端口 基于以太网
的Failover Link的优点：设备之间可以相距6英尺以上,配置同步的速度快,（在LAN-based
failover中，如果Failover Link断开，会自动使用其它端口查看对方状态。）
1.Primary 、Secondary及Active 、Standby
前者是物理概念，后者是逻辑概念。当前负责转发网络流量的设备就是Active设备，另一台是
Standby设备。在cable-based failover中，其电缆的Primary端连接的就是Primary设备；
Secondary端连接的PIX就称为,在LAN-based failover中，Primary和Sencondary设备是在配置
文件中设定的。当两台设备同时启动，而且都处于健康状态时，Primary设备就是Active设备
；当Primary设备产生故障时，发生failover事件，Seconary设备就成为Active设备。Active
设备总是使用Active IP地址和Primary设备的MAC地址，除非发生以下状况；Secondary设备成
为active，但无法通过failover link获得Primary设备的MAC地址。在配置中把两台设备的MAC
地址写死了(使用指令：failover mac address)。
2.常规Failover和全状态Failover
常规Failover（Regular Failover）：发生Failover事件时，所有当前活动的连接都会丢弃
，用户需要重新刷新连接；
全状态Failover（Stateful Failover）：在双机正常工作时，Active设备不断地把连接的状
态信息发送给standby设备。当failover事件发生时，由于在新的Active设备上已经有了这些
连接状态信息，所以用户不用重新连接就能继续通讯。设备传递的状态信息包括：
NAT表
TCP连接状态
H.323, SIP, MGCP UDP等连接
State Link
在全状态Failover中，必需使用一个以太连接(Ethernet link)来传递状态信息，PIX可以用下
列以太口来设置 state link：
Fast Ethernet (100BASE-T) full duplex
Gigabit Ethernet (GE) (1000BASE-T) full duplex
在配有GE端口的PIX 535上， 必须选择GE端口配置state link两设备的state link端口虽然可
以使用交换机相连，但为避免额外的故障点，还是推荐使用交叉线直接将端口相连。在LAN-
based failover中，我们可以将state link与Failover Link设置为使用同一连接（推荐尽可
能使用两个链路），但此时不能用交叉线直连。
3，关于配置同步
＃ 当standby设备完成初始化启动时，会从active设备同步配置；
＃ 配置同步只改变running-config，而不会把配置存到Flash memory中；
在Active设备上输入的指令会立刻被同步到Standby设备上；
在active设备上输入write memory命令时，standby设备也会将配置写入Flash memory；
在Standby设备上输入的指令不会被同步到Active设备；
如果两设备的startup-config不同，在设备启动后，Secondary设备会根据Primary设备的
running-config同步自己的running-config； 在active设备上输入write standby命令时，
standby设备会从active设备同步配置；
4.配置示例
例1 Cable-Based Failover Configuration
interface ethernet0 100full
interface ethernet1 100full
interface ethernet2 shutdown
interface ethernet3 100full
nameif ethernet0 outside security0
nameif ethernet1 inside security100
nameif ethernet3 state security20
enable password farscape encrypted
password crichton encrypted
telnet 192.168.2.45 255.255.255.255
hostname pixfirewall
ip address outside 209.165.201.1 255.255.255.224
ip address inside 192.168.2.1 255.255.255.0
ip address state 192.168.253.1 255.255.255.252
failover ip address outside 209.165.201.2
failover ip address inside 192.168.2.2
failover ip address state 192.168.253.2
failover link state(注意:此处定义的是上文所述的“State Link”)
failover
global (outside) 1 209.165.201.3 netmask 255.255.255.224
nat (inside) 1 0.0.0.0 0.0.0.0 0 0
static (inside,outside) 209.165.201.5 192.168.2.5 netmask 255.255.255.255 0 0
access-list acl_out permit tcp any 209.165.201.5 eq 80
access-group acl_out in interface outside
route outside 0 0 209.165.201.4 1
例2 LAN-Based Failover Configuration
Primary设备：
interface ethernet0 100full
interface ethernet1 100full
interface ethernet2 100full
interface ethernet3 100full
nameif ethernet0 outside security0
nameif ethernet1 inside security100
nameif ethernet2 failover security10
nameif ethernet3 state security20
enable password farscape encrypted
password crichton encrypted
telnet 192.168.2.45 255.255.255.255
hostname pixfirewall
ip address outside 209.165.201.1 255.255.255.224
ip address inside 192.168.2.1 255.255.255.0
ip address failover 192.168.254.1 255.255.255.0
ip address state 192.168.253.1 255.255.255.252
failover ip address outside 209.165.201.2
failover ip address inside 192.168.2.2
failover ip address failover 192.168.254.2
failover ip address state 192.168.253.2
failover link state
failover lan unit primary
failover lan interface failover
failover lan key 12345678
failover lan enable
failover
global (outside) 1 209.165.201.3 netmask 255.255.255.224
nat (inside) 1 0.0.0.0 0.0.0.0 0 0
static (inside,outside) 209.165.201.5 192.168.2.5 netmask 255.255.255.255 0 0
access-list acl_out permit tcp any host 209.165.201.5 eq 80
access-group acl_out in interface outside
route outside 0 0 209.165.201.4 1
Secondary 设备：
interface ethernet2 100full
nameif ethernet2 failover security10
ip address failover 192.168.254.1 255.255.255.0
failover ip address failover 192.168.254.2
failover lan unit secondary
failover lan interface failover
failover lan key 12345678
failover lan enable
failover
PIX会根据自己的状态选用IP，如果是Active设备，就用ip address定义的地址；如果是
standby就用failover ip address定义的IP地址。
还有一种做法，就是failover的IP地址设置为0.0.0.0，如：
failover ip address outside 0.0.0.0
failover ip address inside 0.0.0.0
failover ip address state 0.0.0.0
这样，standby设备就被隐藏了。
还有，就是接口的MAC地址也会切换，Primary的MAC总是跟着active的IP走，这样在failover
的时候，外面的设备就不会观察到任何变化。
nameif : 1. 配置防火墙接口的名字，并指定安全级别（nameif）。
Pix525(config)#nameif ethernet0 outside security0
Pix525(config)#nameif ethernet1 inside security100
Pix525(config)#nameif dmz security50
提示：在缺省配置中，以太网0被命名为外部接口（outside），安全级别是0；以太网1被命名为内部接口（inside），安全级别是100.安全级别取值范围为1～99，数字越大安全级别越高。若添加新的接口，语句可以这样写：
Pix525(config)#nameif pix/intf3 security40 （安全级别任取）
interface: 2. 配置以太口参数（interface）
Pix525(config)#interface ethernet0 auto（auto选项表明系统自适应网卡类型 ）
Pix525(config)#interface ethernet1 100full（100full选项表示100Mbit/s以太网全双工通信 ）
Pix525(config)#interface ethernet1 100full shutdown （shutdown选项表示关闭这个接口，若启用接口去掉shutdown ）
扫一扫
166
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
