Failover的切换以及注意事项的理解

注：对于在多CONTEXT的环境中，如何实现故障切换，MAC地址如何工作的理解。希望大家能够在实验环境中反复测试验证。

1.多个Context模式下：不考虑PIX FAILOVER的情形（网络中只有一个PIX的情形）：

1.1数据的分类：

1)首先考虑数据的分类，也就是数据包如何进入ASA，数据保进入到ASA主机内部的时候又如

何进入到每个Context，此时需要考虑到数据的分类。

2)如果数据是发起的流量，根据接口、数据包的目的MAC地址和在交换机上配置的VLAN来隔

离。如果数据是返回的流量，根据接口，MAC地址，NAT的翻译后的地址来确定流入哪个

Context，具体顺序应该是接口优先、MAC地址、NAT匹配。关于如何区分，上课已经讲过。

1.2缺省情况下：每个CONTEXT的MAC地址的分配

1)当配置多CONTEXT的时候，如果同时配置了failover，每个CONTEXT的接口会自动产生一

个虚拟的MAC地址，但是如果不配置failover，那么，将会使用物理的接口地址作为mac

地址。

2)当配置单Context的时候，缺省都是使用物理接口的MAC地址。

3)一个接口或者一个子接口可以分配给多个Context，但是只能在router模式下进行，桥接

的模式下不可以。道理上课已经讲过。

1.3如何修改缺省的mac地址：

4)在单个context的模式下：手工在接口上指定，配置mac atuto，failover 命令指定。

5)在多个context的模式下：配置mac atuto，failover 命令指定。

1.4根据实际情况，当不考虑failover的时候，如果在router模式下，没有配置NAT，而且又将同

一个接口（包含子接口）分配给不同的context的时候，必须要修改mac地址。

2.多个Context模式下：考虑PIX FAILOVER的情形

2.1Faiover的切换顺序：、

1)必须在两个设备上做好Failover的基本配置，具体包括：配置两个failover的主从单元；

Failover的接口；ip地址；Failover LAN启用。

2)在设备上配置主从的时候，pri和sec，只有如下的区别：（注意，是预配置的主从情况）

a)两个failover 的ip地址是根据主从来确定的。这两个地址是不改变的，除非你

把failover配置在了数据的接口上。

b)第二个区别是当同时启动的时候，主优先成为active，但是这仅仅在单个的

context的情况下。

c)记住，在单context的环境中，pri的物理mac地址永远是failover的active的

mac地址，当sec的设备先启动的时候，pri后启动时，会导致mac更迭，可能引

起中断，所以需要我们配置虚拟的mac地址来打破这个规则，虚拟的mac地址中

的active 的mac地址就不改变了。

3)什么时候成为active的？

a)当两个设备同时启动，检查是否有配置了preempt，如果有配置了，那么由failover

group组中指定的优先级来确定谁做active。注意，group中的优先级配置是不影

响本地的。

b)总共有3个组，0 1 2。配置完成之后，关于谁抢占谁，以在system下面配置的

主单元上面保存的配置为参考依据。

c)可以手工配置抢占，fail act group ，此时绝对优先抢占相应的组。包含0组的

抢占。

Faiover的状态如下表：

==========================================================================

Group From State To State Reason

==========================================================================

0 Disabled Negotiation Set by the CI config cmd 0 Negotiation Cold Standby Detected an Active mate

0 Cold Standby Sync Config Detected an Active mate

1 Not Detected Disabled No Error

2 Not Detected Disabled No Error

1 Disabled Negotiation Failover state check

2 Disabled Negotiation Failover state check

1 Negotiation Cold Standby Detected an Active mate

2 Negotiation Cold Standby Detected an Active mate 0 Sync Config Sync File System Detected an Active mate 0 Sync File System Bulk Sync Detected an Active mate

0 Bulk Sync Standby Ready Detected an Active mate

1 Cold Standby Sync Config Detected an Active mate

2 Cold Standby Sync Config Detected an Active mate

1 Sync Config Sync File System Detected an Active mate

2 Sync Config Sync File System Detected an Active mate

1 Sync File System Bulk Sync Detected an Active mate

2 Sync File System Bulk Sync Detected an Active mate

1 Bulk Sync Standby Ready Detected an Active mate

2 Bulk Sync Standby Ready Detected an Active mate