A/A模式HA

关键点：

1、A/A failover 利用了多模式，在不同的物理设备上active不同的虚墙以达到双活目的

2、主要在primary节点做配置，secondary节点会从primary节点同步配置，包含system和context

3、secondary节点配置任务仅包括：多模式启用、物理接口启用、failover基本配置（启用failover、指定为secondary节点、指定并命名failover lan接口，failover lan接口IP）

 

配置步骤

1、准备动作：

primary节点和secondary节点都启用多模式

启用必要的物理接口

2、primary节点做failover配置

 

ciscoasa(config)#sh run failover

no failover

failoverlan unit primary

failoverlan interface fo-lan GigabitEthernet2

failoverinterface ip fo-lan 192.168.0.1 255.255.255.0 standby 192.168.0.2

failovergroup 1

  preempt 60

failovergroup 2

  secondary

  preempt 60

 

最后，启用failover

 

3、在primary节点构造虚墙v1、v2，并分派虚墙关联failover组

主设备：

 

ciscoasa(config)#sh run context

 

admin-contextadmin

contextadmin

  config-url disk0:/admin.cfg

!

 

contextv1

  allocate-interface GigabitEthernet0 ifinside

  allocate-interface GigabitEthernet1 ifoutside

  config-url disk0:/v1.cfg

  join-failover-group 1

!

 

contextv2

  allocate-interface GigabitEthernet3 ifinside

  allocate-interface GigabitEthernet4 ifoutside

  config-url disk0:/v2.cfg

  join-failover-group 2

!

 

 

4、虚墙常规配置

 

只在primary节点做配置，启用Failover后，secondary节点会copy该配置

 

changetocontext v1

 sh run

interfaceifinside

 nameif inside

 security-level 100

 ip address 20.0.1.1 255.255.255.0

!

interfaceifoutside

 nameif outside

 security-level 0

 ip address 5.5.5.5 255.255.255.0

!

 

changetocontext v2

 

interfaceifinside

 nameif inside

 security-level 100

 ip address 30.0.1.1 255.255.255.0

!

interfaceifoutside

 nameif outside

 security-level 0

 ip address 6.6.6.6 255.255.255.0

!

5、确定primary节点failover状态正常后，配置secondary节点基本failover工作参数

 

failover

failoverlan unit secondary

failoverlan interface fo-lan GigabitEthernet2

failoverinterface ip fo-lan 172.16.0.1 255.255.255.0 standby 172.16.0.2

 

6、等待配置同步，secondary节点failover状态正常后，达到preempt阀值，secondary节点会接管group 2