Cisco ASA サービス モジュール CLI コンフィギュレーション ガイド ソフトウェア バージョン 8.5
ハイ アベイラビリティに関する情報
ハイ アベイラビリティに関する情報
発行日;2012/09/24 | 英語版ドキュメント(2012/09/05 版) | ドキュメントご利用ガイド | ダウンロード ; この章pdf , ドキュメント全体pdf (PDF - 10MB) | フィードバック

目次

ハイ アベイラビリティに関する情報

フェールオーバーおよびハイ アベイラビリティの概要

フェールオーバーのシステム要件

ソフトウェア要件

ライセンス要件

フェールオーバー リンクとステートフル フェールオーバー リンク

フェールオーバー リンク

ステートフル フェールオーバー リンク

ステートフル リンクのフェールオーバー インターフェイス速度

中断されたフェールオーバー リンクを回避する方法

アクティブ/アクティブ フェールオーバーとアクティブ/スタンバイ フェールオーバー

使用するフェールオーバーのタイプの決定

ステートレス(標準)フェールオーバーとステートフル フェールオーバー

ステートレス(標準)フェールオーバー

ステートフル フェールオーバー

のシャーシ内およびシャーシ間のモジュール配置

シャーシ内フェールオーバー

シャーシ間フェールオーバー

トランスペアレント ファイアウォール モードの要件

フェールオーバー コンフィギュレーションでの Auto Update サーバ サポート

Auto Update プロセスの概要

Auto Update プロセスのモニタリング

フェールオーバー ヘルスのモニタリング

装置ヘルスのモニタリング

インターフェイスのモニタリング

フェールオーバー時間

フェールオーバー メッセージ

フェールオーバー システム メッセージ

デバッグ メッセージ

SNMP

ハイ アベイラビリティに関する情報

この章では、Cisco 5500 シリーズ ASASM でのハイ アベイラビリティの実現を可能にするフェールオーバー機能の概要について説明します。ハイ アベイラビリティの設定については、「アクティブ/アクティブ フェールオーバーの設定」または「アクティブ/スタンバイ フェールオーバーの設定」を参照してください。

この章は、次の項で構成されています。

「フェールオーバーおよびハイ アベイラビリティの概要」

「フェールオーバーのシステム要件」

「フェールオーバー リンクとステートフル フェールオーバー リンク」

「アクティブ/アクティブ フェールオーバーとアクティブ/スタンバイ フェールオーバー」

「ステートレス(標準)フェールオーバーとステートフル フェールオーバー」

「ASA サービス モジュール のシャーシ内およびシャーシ間のモジュール配置」

「トランスペアレント ファイアウォール モードの要件」

「フェールオーバー コンフィギュレーションでの Auto Update サーバ サポート」

「フェールオーバー ヘルスのモニタリング」

「フェールオーバー時間」

「フェールオーバー メッセージ」

フェールオーバーおよびハイ アベイラビリティの概要

ハイ アベイラビリティを設定するには、同じASASMが 2 台、専用のフェールオーバー リンク(オプションで、ステートフル フェールオーバー リンク)で相互に接続されている必要があります。アクティブ インターフェイスおよび装置のヘルスがモニタされて、所定のフェールオーバー条件に一致しているかどうかが判断されます。所定の条件に一致すると、フェールオーバーが行われます。

ASASMは、アクティブ/アクティブ フェールオーバーとアクティブ/スタンバイ フェールオーバーの 2 つのフェールオーバーをサポートします。各フェールオーバー コンフィギュレーションには、フェールオーバーを判定および実行する独自の方式があります。

アクティブ/アクティブ フェールオーバーでは、両方の装置がネットワーク トラフィックを渡すことができます。これにより、ネットワークにトラフィック共有を設定することもできます。アクティブ/アクティブ フェールオーバーは、マルチ コンテキスト モードで実行中の装置でのみ使用できます。

アクティブ/スタンバイ フェールオーバーでは、1 つの装置だけがトラフィックを渡すことができ、もう 1 つの装置はスタンバイ状態で待機します。アクティブ/スタンバイ フェールオーバーは、シングル コンテキスト モードで実行中の装置とマルチ コンテキスト モードで実行中の装置の両方で使用できます。

両フェールオーバー コンフィギュレーションとも、ステートフルまたはステートレス(通常)フェールオーバーをサポートします。

フェールオーバーのシステム要件

この項では、フェールオーバー コンフィギュレーションにあるASASMのハードウェア要件、ソフトウェア要件、およびライセンス要件について説明します。

この項は、次の内容で構成されています。

「ソフトウェア要件」

「ライセンス要件」

ソフトウェア要件

フェールオーバー コンフィギュレーションの 2 台の装置は同じ動作モード(シングルまたはマルチ コンテキスト)にする必要があります。ソフトウェア バージョンは、メジャー(最初の番号)およびマイナー(2 番目の番号)ともに同じである必要があります。ただし、アップグレード プロセス中は、異なるバージョンのソフトウェアを使用できます。たとえば、ある装置をバージョン 8.3(1) からバージョン 8.3(2) にアップグレードし、フェールオーバーをアクティブ状態のままにできます。長期的に互換性を維持するために、両方の装置を同じバージョンにアップグレードすることをお勧めします。

フェールオーバー ペアでのソフトウェアのアップグレードについては、「フェールオーバー ペアのゼロ ダウンタイム アップグレードの実行」を参照してください。

ライセンス要件

フェールオーバー コンフィギュレーションの 2 台の装置は、ライセンスが同じである必要はありません。これらのライセンスは結合され、1 つのフェールオーバー クラスタ ライセンスが構成されます。詳細については、「フェールオーバー ライセンス」を参照してください。

フェールオーバー リンクとステートフル フェールオーバー リンク

この項では、フェールオーバー リンクおよびステートフル フェールオーバー リンクについて説明します。これらのリンクは、フェールオーバー コンフィギュレーションで 2 台の装置を接続する専用のリンクです。この項は、次の内容で構成されています。

「フェールオーバー リンク」

「ステートフル フェールオーバー リンク」

「中断されたフェールオーバー リンクを回避する方法」

フェールオーバー リンク

フェールオーバー ペアの 2 台の装置は、フェールオーバー リンク経由で常に通信して、各装置の動作ステータスを確認しています。次の情報がフェールオーバー リンク経由で伝達されています。

装置の状態(アクティブまたはスタンバイ)

hello メッセージ(キープアライブ)

ネットワーク リンクの状態

MAC アドレス交換

コンフィギュレーションの複製および同期


注意 フェールオーバー リンクおよびステートフル フェールオーバー リンク経由で送信される情報は、フェールオーバー キーを使用して通信をセキュリティで保護しない限り、すべてクリア テキストで送信されます。

デバイス上のインターフェイスは、使用されていなければどれでも、フェールオーバー リンクとして使用できます。ただし、現在名前が設定されているインターフェイスは指定できません。フェールオーバー リンク インターフェイスは、通常のネットワーク インターフェイスとしては設定されません。フェールオーバー通信のためにだけ存在します。このインターフェイスは、フェールオーバー リンク(および、オプションでステートフル フェールオーバー リンク)専用とする必要があります。

フェールオーバー リンクを次の 2 つの方法のいずれかで接続します。

スイッチを使用します。同じネットワーク セグメント(ブロードキャスト ドメインまたは VLAN)上で他のデバイスを ASASM のフェールオーバー インターフェイスとしては使用しません。

クロス イーサネット ケーブルを使用してアプライアンスを直接接続します。外部スイッチは必要ありません。


) フェールオーバー リンクにクロス ケーブルを使用した場合、インターフェイスで障害が発生すると、リンクは両方のピアでダウンします。このような状況では、障害が発生してリンクがダウンする原因になったインターフェイスを簡単に特定できないため、トラブルシューティング作業が困難になる場合があります。


ステートフル フェールオーバー リンク

ステートフル フェールオーバーを使用するには、ステートフル フェールオーバー リンクを設定してすべてのステート情報を渡す必要があります。ステートフル フェールオーバー リンクを設定する方法としては、次の 3 つのオプションがあります。

ステートフル フェールオーバー リンクに、専用のイーサネット インターフェイスを使用できます。

フェールオーバー リンクを共有できます。

内部インターフェイスなど、通常のデータ インターフェイスを共有できます。しかし、このオプションはお勧めしません。

次の 2 種類の方法のいずれかで専用のリンクを接続します。

スイッチを使用します。同じネットワーク セグメント(ブロードキャスト ドメインまたは VLAN)上で他のデバイスを ASASM のフェールオーバー インターフェイスとしては使用しません。

クロス イーサネット ケーブルを使用してアプライアンスを直接接続します。外部スイッチは必要ありません。


) ステート リンクにクロス ケーブルを使用した場合、インターフェイスで障害が発生すると、リンクは両方のピアでダウンします。このような状況では、障害が発生してリンクがダウンする原因になったインターフェイスを簡単に特定できないため、トラブルシューティング作業が困難になる場合があります。


ASASM に直接接続されている Cisco スイッチ ポートの PortFast オプションをイネーブルにします。


データ インターフェイスをステートフル フェールオーバー リンクとして使用する場合、そのインターフェイスをステートフル フェールオーバー リンクと指定すると、次の警告が表示されます。

******* WARNING ***** WARNING ******* WARNING ****** WARNING *********
Sharing Stateful failover interface with regular data interface is not
a recommended configuration due to performance and security concerns.
******* WARNING ***** WARNING ******* WARNING ****** WARNING *********
 

データ インターフェイスとステートフル フェールオーバー インターフェイスを共有すると、リプレイ攻撃を受けやすくなる場合があります。さらに、大量のステートフル フェールオーバー トラフィックがインターフェイスで送信され、そのネットワーク セグメントでパフォーマンス上の問題が発生することがあります。


) データ インターフェイスをステートフル フェールオーバー インターフェイスとして使用するのは、シングル コンテキストのルーテッド モードでだけサポートされます。


マルチ コンテキスト モードでは、ステートフル フェールオーバー リンクはシステム コンテキストに存在します。このインターフェイスとフェールオーバー インターフェイスが、システム コンテキスト内にある唯一のインターフェイスです。他のインターフェイスは、すべてセキュリティ コンテキストに割り当てられ、セキュリティ コンテキスト内から設定されます。


) ステートフル フェールオーバー リンクが通常のデータ インターフェイスに設定されていない限り、ステートフル フェールオーバー リンクの IP アドレスと MAC アドレスは、フェールオーバー時に変更されません。



注意 フェールオーバー リンクおよびステートフル フェールオーバー リンク経由で送信される情報は、フェールオーバー キーを使用して通信をセキュリティで保護しない限り、すべてクリア テキストで送信されます。

ステートフル リンクのフェールオーバー インターフェイス速度

フェールオーバー リンクをステートフル フェールオーバー リンクとして使用している場合は、使用可能な最も速いイーサネット インターフェイスを使用します。このインターフェイスでパフォーマンス上の問題が発生した場合は、別のインターフェイスをステートフル フェールオーバー インターフェイス専用にすることを検討してください。

長距離のフェールオーバーを使用する場合の遅延は、パフォーマンスを最善にするには 10 ミリ秒未満でなければならず、250 ミリ秒を超えないようにする必要があります。遅延が 10 ミリ秒を超えると、フェールオーバー メッセージの再送信により、どうしてもパフォーマンスが低下します。

ASASM はフェールオーバー ハートビートとステートフル リンクの共有をサポートしますが、ステートフル フェールオーバー トラフィックの多いシステムでは、ハートビート リンクを分けることをお勧めします。

中断されたフェールオーバー リンクを回避する方法

プライマリおよびセカンダリ装置の間のメッセージの転送にフェールオーバー インターフェイスを使用するので、フェールオーバー インターフェイスがダウン(つまり、物理リンクがダウンしているか、インターフェイスを接続するスイッチがダウン)している場合、フェールオーバー インターフェイスのヘルスが復元されるまで、ASASM のフェールオーバー動作が影響を受けます。

すべての通信がフェールオーバー ペアの装置間で断ち切られれば、両方の装置が予期されるアクティブ状態になります。通信が復元され、2 個のアクティブ装置がフェールオーバー リンクまたは任意のモニタ対象インターフェイスを介して通信を再開すると、プライマリ装置がアクティブのままになり、セカンダリ装置がスタンバイ状態にすぐに戻ります。この関係は、プライマリ装置のヘルスに関係なく確立されます。

この動作が原因で、ネットワークを分割中にセカンダリ アクティブ装置によって適切に渡されたステートフル フローは中断されます。この中断を回避するには、フェールオーバー リンクおよびデータ インターフェイスは、すべてのリンクが同時に失敗する可能性を減らすために、異なるパスを移動する必要があります。1 組のフェールオーバー リンクがダウンしている場合、ASASM はインターフェイスのヘルスのサンプルを使用します。アクティブ装置により多くのダウンしたインターフェイスがある場合は、ピアとデータ インターフェイスを使用してこの情報を交換し、スイッチオーバーを実行します。その後、フェールオーバー動作はフェールオーバー リンクでヘルスが復元されるまで停止されます。

ネットワーク トポロジによっては、複数のプライマリ/セカンダリ障害シナリオは、次のシナリオで示すように ASASM フェールオーバー ペアにあります。

シナリオ 1:推奨できない

2 つの ASASM 間のフェールオーバーとデータ インターフェイスの両方を接続するために 1 つのスイッチまたは一連のスイッチを使用している場合、スイッチまたはスイッチ間リンクがダウンしていると、両方の ASASM がアクティブになります。したがって、図 49-1図 49-2 の次の 2 種類の接続方法は推奨できません。

図 49-1 単一のスイッチに接続:推奨できません

 

図 49-2 デュアル スイッチに接続:推奨できません

 

シナリオ 2:推奨される

ASA のフェールオーバー ペアでフェールオーバー インターフェイス障害が発生しないように、フェールオーバー インターフェイスがデータ インターフェイスと同じスイッチを使用しないようにすることをお勧めします(前述の接続を参照)。代わりに、別のスイッチを使用するか、直接ケーブルを使用して 2 台の ASASM フェールオーバー インターフェイスを接続します(図 49-3図 49-4 を参照)。

図 49-3 別のスイッチに接続

 

図 49-4 ケーブルを使用した接続

 

シナリオ 3:推奨される

ASASM データ インターフェイスが複数セットのスイッチに接続されている場合、図 49-5 に示すように、フェールオーバー インターフェイスはスイッチの 1 つ(できればネットワーク内のセキュア側のスイッチ)に接続できます。

図 49-5 セキュア スイッチに接続

 

シナリオ 4:推奨される

最も信頼できるフェールオーバー コンフィギュレーションは、フェールオーバー インターフェイスの冗長インターフェイスを 図 49-8図 49-6、および図 49-7 に示すように使用します。

図 49-6 イーサネット ケーブルとの接続

 

図 49-7 冗長インターフェイスを使用した接続

 

図 49-8 スイッチ間リンクとの接続

 

アクティブ/アクティブ フェールオーバーとアクティブ/スタンバイ フェールオーバー

アクティブ/スタンバイおよびアクティブ/アクティブという 2 種類のフェールオーバー コンフィギュレーションが ASASMによってサポートされています。

アクティブ/スタンバイ フェールオーバーでは、1 台の装置がアクティブ装置です。この装置がトラフィックを渡します。スタンバイ装置は、アクティブにトラフィックを渡しません。フェールオーバーが発生すると、アクティブ装置がスタンバイ装置にフェールオーバーし、そのスタンバイ装置がアクティブになります。アクティブ/スタンバイ フェールオーバーは、シングル コンテキストまたはマルチ コンテキスト モードの ASASMで使用できます。ただし、シングル コンテキスト モードのASASMで使用するのが最も一般的です。

アクティブ/アクティブ フェールオーバーは、マルチ コンテキスト モードのASASMでのみ使用できます。アクティブ/アクティブ フェールオーバー コンフィギュレーションでは、両方のASASMがネットワーク トラフィックを渡すことができます。アクティブ/アクティブ フェールオーバーでは、ASASMのセキュリティ コンテキストは、 フェールオーバー グループ に分割されます。フェールオーバー グループは、1 つまたは複数のセキュリティ コンテキストの論理グループにすぎません。各グループは、フェールオーバー ペアの指定されたASASMでアクティブになるよう割り当てられます。フェールオーバーが行われる場合は、フェールオーバー グループ レベルで行われます。

各種フェールオーバーの詳細については、次の情報を参照してください。

「アクティブ/スタンバイ フェールオーバーの設定」

「アクティブ/アクティブ フェールオーバーの設定」

使用するフェールオーバーのタイプの決定

選択するフェールオーバーのタイプは、ASASMのコンフィギュレーションとASASMの使用計画によって決定されます。

ASASMをシングル モードで動作させている場合、使用できるのはアクティブ/スタンバイ フェールオーバーだけです。アクティブ/アクティブ フェールオーバーは、マルチ コンテキスト モードで動作しているASASMでのみ使用できます。



ASASMをマルチ コンテキスト モードで動作させている場合は、アクティブ/アクティブ フェールオーバーまたはアクティブ/スタンバイ フェールオーバーを設定できます。

フェールオーバー ペアの両方のメンバーがトラフィックを共有できるようにするには、アクティブ/アクティブ フェールオーバーを使用します。各デバイスでの負荷が 50% を超えないようにしてください。

この方法でトラフィックを共有しない場合は、アクティブ/スタンバイ フェールオーバーまたはアクティブ/アクティブ フェールオーバーを使用します。

表 49-1 に、各タイプのフェールオーバー コンフィギュレーションでサポートされる機能を比較して示します。

 

表 49-1 フェールオーバー コンフィギュレーション機能のサポート

機能
アクティブ/アクティブ
アクティブ/スタンバイ

シングル コンテキスト モード

No

Yes

マルチ コンテキスト モード

Yes

Yes

トラフィック共有ネットワーク コンフィギュレーション

Yes

No

装置のフェールオーバー

Yes

Yes

コンテキスト グループのフェールオーバー

Yes

No

個別コンテキストのフェールオーバー

No

No

ステートレス(標準)フェールオーバーとステートフル フェールオーバー

ASASMは、標準およびステートフルという 2 つのタイプのフェールオーバーをサポートします。この項は、次の内容で構成されています。

「ステートレス(標準)フェールオーバー」

「ステートフル フェールオーバー」

ステートレス(標準)フェールオーバー

フェールオーバーが行われると、アクティブ接続はすべてドロップされます。新しいアクティブ装置が引き継ぐ場合、クライアントは接続を再確立する必要があります。

ステートフル フェールオーバー

ステートフル フェールオーバーがイネーブルになっている場合、アクティブ装置は接続ごとのステート情報をスタンバイ装置に常に渡しています。フェールオーバーの発生後も、新しいアクティブ装置で同じ接続情報が利用できます。サポートされているエンドユーザのアプリケーションでは、同じ通信セッションを保持するために再接続する必要はありません。

バージョン 8.4 以降では、ステートフル フェールオーバーが OSPF や EIGRP などのダイナミック ルーティング プロトコルに参加するので、アクティブ装置上のダイナミック ルーティング プロトコルによって学習されたルートは、スタンバイ装置の Routing Information Base(RIB)テーブルで維持されます。フェールオーバー イベントで、アクティブなセカンダリ ASASM には最初にプライマリ ASASM をミラーリングする規則があるため、パケットは通常は最小限の中断でトラフィックに移動します。フェールオーバーの直後に、再コンバージェンス タイマーが、新しくアクティブになった装置で開始されます。その後、RIB テーブルのエポック番号が増加します。再コンバージェンス中に、OSPF および EIGRP ルートが新しいエポック番号で更新されます。タイマーが期限切れの場合は、古いルート エントリ(エポック番号で判別)がテーブルから削除されます。RIB には、新しくアクティブになった装置の最新のルーティング プロトコル転送情報が含まれます。

表 49-2 は、ステートフル フェールオーバーがイネーブルになっているときにスタンバイ装置に渡されるステート情報と渡されないステート情報を示します。

 

表 49-2 ステート情報

スタンバイ装置に渡されるステート情報
スタンバイ装置に渡されないステート情報

NAT 変換テーブル

HTTP 接続テーブル(HTTP 複製がイネーブルでない場合)

TCP 接続状態

ユーザ認証(uauth)テーブル

検査対象のプロトコルは高度な TCP ステート トラッキングの対象となり、これらの接続の TCP ステートは自動的には複製されません。スタンバイ装置への接続は複製されますが、TCP ステートを再確立するベスト エフォート型の試行が行われます。

UDP 接続状態

DHCP サーバ アドレスのリース

ARP テーブル

モジュールのステート情報。

レイヤ 2 ブリッジ テーブル(トランスペアレント ファイアウォール モードで動作中の場合)

電話プロキシのステートフル フェールオーバー。アクティブ装置がダウンした場合は、コールが失敗し、メディアのフローが停止するので、障害が発生した装置から電話の登録を解除し、アクティブ装置に再登録する必要があります。コールは再確立する必要があります。

HTTP 接続状態(HTTP 複製がイネーブルの場合)

--

GTP PDP 接続データベース

--

SIP シグナリング セッション

--


) アクティブな Cisco IP SoftPhone セッション中にフェールオーバーが行われると、コール セッション ステート情報がスタンバイ装置に複製されているので、コールはアクティブのままになります。コールが終了すると、IP SoftPhone クライアントは Cisco CallManager との接続がなくなります。これは、CTIQBE ハングアップ メッセージのセッション情報がスタンバイ装置に存在しないために発生します。IP SoftPhone クライアントが一定の時間内に CallManager から返送される応答を受信しない場合、このクライアントは CallManager を到達不能と見なし、自分自身の登録を解除します。


ASA サービス モジュール のシャーシ内およびシャーシ間のモジュール配置

プライマリとセカンダリの ASASM は、同じスイッチ内または 2 台の異なるスイッチに搭載できます。ここでは、各オプションについて説明します。

「シャーシ内フェールオーバー」

「シャーシ間フェールオーバー」

シャーシ内フェールオーバー

セカンダリ ASASM をプライマリ ASASM と同じスイッチに搭載した場合は、モジュール レベルの障害から保護する必要があります。モジュール レベルの障害のほか、スイッチ レベルの障害を保護するには、「シャーシ間フェールオーバー」を参照してください。

両方の ASASM に同じ VLAN が割り当てられますが、ネットワーキングに参加するのはアクティブ モジュールだけです。スタンバイ モジュールは、トラフィックを転送しません。

図 49-9 に、一般的なスイッチ内の構成を示します。

図 49-9 スイッチ内フェールオーバー

 

シャーシ間フェールオーバー

スイッチレベルの障害から保護するため、セカンダリ ASASM を別のスイッチに搭載することができます。ASASM はスイッチでフェールオーバーを直接取り扱うわけではなく、スイッチのフェールオーバー動作に対して協調的に動作します。スイッチのフェールオーバー設定については、スイッチのマニュアルを参照してください。

ASASM 間でフェールオーバー通信を行うには、2 台のスイッチ間に、フェールオーバーおよびステート VLAN を伝送するトランク ポートを設定することを推奨します。トランクにより、2 つの装置間のフェールオーバー通信の障害リスクは最小限に抑えられます。

他の VLAN については、両方のスイッチがすべてのファイアウォール VLAN にアクセスでき、モニタ対象 VLAN が両方のスイッチ間で正常に hello パケットを渡すことができるようにします。

図 49-10 に、スイッチと ASASM の一般的な冗長構成を示します。2 台のスイッチ間のトランクは、フェールオーバー ASASMVLAN(VLAN 10 と 11)を転送します。


) ASASM のフェールオーバーはスイッチのフェールオーバーに依存しない独立した機能ですが、スイッチのフェールオーバーが発生した場合には、ASASM もそれに対応します。


図 49-10 通常の動作

 

プライマリ ASASM に障害が発生すると、セカンダリ ASASM がアクティブになってファイアウォール VLAN を通過します(図 49-11)。

図 49-11 ASASM 障害

 

スイッチ全体に障害が発生し、ASASM にも障害が発生した場合(電源切断など)には、スイッチと ASASM の両方でセカンダリ装置へのフェールオーバーが実行されます(図 49-12)。

図 49-12 スイッチの障害

 

トランスペアレント ファイアウォール モードの要件

アクティブ装置がスタンバイ装置にフェールオーバーすると、スパニングツリー プロトコル(STP)を実行する接続先スイッチ ポートがトポロジ変更を検出して 30~50 秒のブロッキング ステートになることがあります。ポートがブロッキング ステートの間、トラフィック損失を防ぐには、スイッチ ポートのモードに応じて、次のいずれかの回避策を設定できます。

アクセス モード:スイッチの STP PortFast をイネーブルにします。

interface interface_id
spanning-tree portfast
 

PortFast を設定すると、リンクアップと同時にポートが STP フォワーディング モードに遷移します。ポートは引き続き STP に参加しています。したがって、ポートがループの一部になる場合、最終的には STP ブロッキング モードに遷移します。

トランク モード:内部および外部インターフェイスの両方で ASASM の BPDU をブロックします。

access-list id ethertype deny bpdu
access-group id in interface inside_name
access-group id in interface outside_name
 

BPDU をブロックすると、スイッチで STP がディセーブルになります。ネットワーク レイアウトで、ループが ASASM を含まないようにしてください。

上記のいずれのオプションも可能でない場合は、次のような、フェールオーバー機能または STP の安定性に影響する、あまり望ましくない対応策の 1 つを使用できます。

フェールオーバー インターフェイス モニタリングをディセーブルにします。

ASASM がフェールオーバーする前に STP が収束可能になる大きい値に、フェールオーバー インターフェイスのホールド時間を増加します。

STP がフェールオーバー インターフェイスのホールド時間より速くコンバージするように、STP タイマーを減少させます。

フェールオーバー コンフィギュレーションでの Auto Update サーバ サポート

Auto Update サーバを使用して、ソフトウェア イメージとコンフィギュレーション ファイルを、Active/Standby フェールオーバー コンフィギュレーションの ASASM に配置できます。アクティブ/スタンバイ フェールオーバー コンフィギュレーションで Auto Update をイネーブルにするには、フェールオーバー ペアのプライマリ装置に Auto Update サーバのコンフィギュレーションを入力します。詳細については、「Auto Update サポートの設定」を参照してください。

フェールオーバー コンフィギュレーションの Auto Update サーバ サポートには、次の制限と動作が適用されます。

アクティブ/スタンバイ コンフィギュレーションがサポートされるのは、シングル モードだけです。

新しいプラットフォーム ソフトウェア イメージをロードする際、フェールオーバー ペアはトラフィックの転送を停止します。

LAN ベースのフェールオーバーを使用する場合、新しいコンフィギュレーションによってフェールオーバー リンクのコンフィギュレーションが変更されてはいけません。フェールオーバー リンクのコンフィギュレーションが変更されると、装置間の通信は失敗します。

Auto Update サーバへの Call Home を実行するのはプライマリ装置だけです。Call Home を実行するには、プライマリ装置がアクティブ状態である必要があります。そうでない場合、ASASMは自動的にプライマリ装置にフェールオーバーします。

ソフトウェア イメージまたはコンフィギュレーション ファイルをダウンロードするのは、プライマリ装置だけです。その後、ソフトウェア イメージまたはコンフィギュレーション ファイルはセカンダリ装置にコピーされます。

インターフェイス MAC アドレスとハードウェアのシリアル番号は、プライマリ装置のものです。

Auto Update サーバまたは HTTP サーバに保存されたコンフィギュレーション ファイルは、プライマリ装置専用です。

Auto Update プロセスの概要

次に、フェールオーバー コンフィギュレーションでの Auto Update プロセスの概要を示します。このプロセスは、フェールオーバーがイネーブルであり、動作していることを前提としています。装置がコンフィギュレーションを同期化している場合、SSM カードの不具合以外の理由でスタンバイ装置に障害が発生している場合、または、フェールオーバー リンクがダウンしている場合、Auto Update プロセスは実行できません。

1. 両方の装置は、プラットフォームおよび ASDM ソフトウェア チェックサムとバージョン情報を交換します。

2. プライマリ装置は Auto Update サーバにアクセスします。プライマリ装置がアクティブ状態でない場合、ASASMはプライマリ装置にフェールオーバーした後、Auto Update サーバにアクセスします。

3. Auto Update サーバは、ソフトウェア チェックサムと URL 情報を返します。

4. プライマリ装置が、アクティブまたはスタンバイ装置のプラットフォーム イメージ ファイルをアップデートする必要があると判断した場合は、次の処理が実行されます。

a. プライマリ装置は、Auto Update サーバの URL を使用して、HTTP サーバから適切なファイルを取得します。

b. プライマリ装置は、そのイメージをスタンバイ装置にコピーしてから、自身のイメージをアップデートします。

c. 両方の装置に新しいイメージがある場合は、セカンダリ(スタンバイ)装置が最初にリロードされます。

セカンダリ装置のブート時にヒットレス アップグレードが可能な場合は、セカンダリ装置がアクティブ装置になり、プライマリ装置がリロードされます。リロードが終了すると、プライマリ装置がアクティブ装置になります。

スタンバイ装置のブート時にヒットレス アップグレードができない場合は、両方の装置が同時にリロードされます。

d. セカンダリ(スタンバイ)装置だけに新しいイメージがある場合は、セカンダリ装置だけがリロードされます。プライマリ装置は、セカンダリ装置のリロードが終了するまで待機します。

e. プライマリ(アクティブ)装置だけに新しいイメージがある場合は、セカンダリ装置がアクティブ装置になり、プライマリ装置がリロードされます。

f. もう一度アップデート プロセスが手順 1 から開始されます。

5. ASASMが、プライマリまたはセカンダリ装置の ASDM ファイルをアップデートする必要があると判断した場合は、次の処理が実行されます。

a. プライマリ装置は、Auto Update サーバから提供された URL を使用して、HTTP サーバから ASDM イメージ ファイルを取得します。

b. プライマリ装置は、必要に応じてそのイメージをスタンバイ装置にコピーします。

c. プライマリ装置は、自身の ASDM イメージをアップデートします。

d. もう一度アップデート プロセスが手順 1 から開始されます。

6. プライマリ装置が、コンフィギュレーション ファイルをアップデートする必要があると判断した場合は、次の処理が実行されます。

a. プライマリ装置は、指定された URL を使用して、からコンフィギュレーション ファイルを取得します。

b. 両方の装置で同時に、古いコンフィギュレーションが新しいコンフィギュレーションに置換されます。

c. もう一度アップデート プロセスが手順 1 から開始されます。

7. チェックサムがすべてのイメージおよびコンフィギュレーション ファイルと一致している場合、アップデートは必要ありません。このプロセスは、次のポーリング時間まで中断されます。

Auto Update プロセスのモニタリング

debug auto-update client または debug fover cmd-exe コマンドを使用して、Auto Update プロセスで実行される処理を表示できます。次に、 debug auto-update client コマンドの出力例を示します。

Auto-update client: Sent DeviceDetails to /cgi-bin/dda.pl of server 192.168.0.21
Auto-update client: Processing UpdateInfo from server 192.168.0.21
Component: asdm, URL: http://192.168.0.21/asdm.bint, checksum: 0x94bced0261cc992ae710faf8d244cf32
Component: config, URL: http://192.168.0.21/config-rms.xml, checksum: 0x67358553572688a805a155af312f6898
Component: image, URL: http://192.168.0.21/cdisk73.bin, checksum: 0x6d091b43ce96243e29a62f2330139419
Auto-update client: need to update img, act: yes, stby yes
name
ciscoasa(config)# Auto-update client: update img on stby unit...
auto-update: Fover copyfile, seq = 4 type = 1, pseq = 1, len = 1024
auto-update: Fover copyfile, seq = 4 type = 1, pseq = 501, len = 1024
auto-update: Fover copyfile, seq = 4 type = 1, pseq = 1001, len = 1024
auto-update: Fover copyfile, seq = 4 type = 1, pseq = 1501, len = 1024
auto-update: Fover copyfile, seq = 4 type = 1, pseq = 2001, len = 1024
auto-update: Fover copyfile, seq = 4 type = 1, pseq = 2501, len = 1024
auto-update: Fover copyfile, seq = 4 type = 1, pseq = 3001, len = 1024
auto-update: Fover copyfile, seq = 4 type = 1, pseq = 3501, len = 1024
auto-update: Fover copyfile, seq = 4 type = 1, pseq = 4001, len = 1024
auto-update: Fover copyfile, seq = 4 type = 1, pseq = 4501, len = 1024
auto-update: Fover copyfile, seq = 4 type = 1, pseq = 5001, len = 1024
auto-update: Fover copyfile, seq = 4 type = 1, pseq = 5501, len = 1024
auto-update: Fover copyfile, seq = 4 type = 1, pseq = 6001, len = 1024
auto-update: Fover copyfile, seq = 4 type = 1, pseq = 6501, len = 1024
auto-update: Fover copyfile, seq = 4 type = 1, pseq = 7001, len = 1024
auto-update: Fover copyfile, seq = 4 type = 1, pseq = 7501, len = 1024
auto-update: Fover copyfile, seq = 4 type = 1, pseq = 8001, len = 1024
auto-update: Fover copyfile, seq = 4 type = 1, pseq = 8501, len = 1024
auto-update: Fover copyfile, seq = 4 type = 1, pseq = 9001, len = 1024
auto-update: Fover file copy waiting at clock tick 6129280
fover_parse: Rcvd file copy ack, ret = 0, seq = 4
auto-update: Fover filecopy returns value: 0 at clock tick 6150260, upd time 145980 msecs
Auto-update client: update img on active unit...
fover_parse: Rcvd image info from mate
auto-update: HA safe reload: reload active waiting with mate state: 20
auto-update: HA safe reload: reload active waiting with mate state: 20
auto-update: HA safe reload: reload active waiting with mate state: 20
auto-update: HA safe reload: reload active waiting with mate state: 20
auto-update: HA safe reload: reload active waiting with mate state: 20
auto-update: HA safe reload: reload active waiting with mate state: 20
auto-update: HA safe reload: reload active waiting with mate state: 20
auto-update: HA safe reload: reload active waiting with mate state: 20
auto-update: HA safe reload: reload active waiting with mate state: 20
auto-update: HA safe reload: reload active waiting with mate state: 20
auto-update: HA safe reload: reload active waiting with mate state: 20
auto-update: HA safe reload: reload active waiting with mate state: 20
auto-update: HA safe reload: reload active waiting with mate state: 20
auto-update: HA safe reload: reload active waiting with mate state: 20
auto-update: HA safe reload: reload active waiting with mate state: 20
Beginning configuration replication: Sending to mate.
auto-update: HA safe reload: reload active waiting with mate state: 50
auto-update: HA safe reload: reload active waiting with mate state: 50
 
auto-update: HA safe reload: reload active waiting with mate state: 80
Sauto-update: HA safe reload: reload active unit at clock tick: 6266860
Auto-update client: Succeeded: Image, version: 0x6d091b43ce96243e29a62f2330139419
 

Auto Update プロセスが失敗すると、次のシステム ログ メッセージが生成されます。

%ASA4-612002: Auto Update failed: file version: version reason: reason
 

失敗したアップデートに応じて、 file は「image」、「asdm」、または「configuration」になります。 version は、アップデートのバージョン番号です。 reason は、アップデートが失敗した原因です。

フェールオーバー ヘルスのモニタリング

ASASMは、各装置について全体的なヘルスおよびインターフェイス ヘルスをモニタします。ASASMがテストを実行して、各装置の状態を判断する方法の詳細については、次の項を参照してください。

「装置ヘルスのモニタリング」

「インターフェイスのモニタリング」

装置ヘルスのモニタリング

ASASMは、フェールオーバー リンクをモニタして相手装置のヘルスを判断します。装置は、フェールオーバー リンクで 3 回連続して hello メッセージを受信しないときは、フェールオーバー インターフェイスを含む各インターフェイスでインターフェイス hello メッセージを送信し、ピア インターフェイスが応答するかどうかを検証します。ASASMが行うアクションは、相手装置からの応答によって決まります。次の可能なアクションを参照してください。

ASASMがフェールオーバー インターフェイスで応答を受信した場合は、フェールオーバーを行いません。

ASASMがフェールオーバー リンクで応答を受信せず、他のインターフェイスで応答を受信した場合、装置のフェールオーバーは行われません。フェールオーバー リンクが故障とマークされます。フェールオーバー リンクがダウンしている間、装置はスタンバイ装置にフェールオーバーできないため、できるだけ早くフェールオーバー リンクを復元する必要があります。

ASASMがどのインターフェイスでも応答を受信しなかった場合、スタンバイ装置がアクティブ モードに切り替わり、相手装置を故障に分類します。

hello メッセージの頻度と、フェールオーバーが行われる前の保持時間を設定できます。ポーリング時間が速くて保持時間が短いほど、装置の故障が短時間で検出され、フェールオーバーの実行が迅速になりますが、キープアライブ パケットを遅延させるネットワーク輻輳が原因で「偽の」障害が生じる可能性もあります。

インターフェイスのモニタリング

すべてのコンテキスト間に分割された最大 250 のインターフェイスをモニタできます。重要なインターフェイスをモニタする必要があります。たとえば、共有インターフェイスをモニタするためのコンテキストを 1 つ設定します (インターフェイスが共有されているため、すべてのコンテキストがそのモニタリングでモニタされます)。

設定した保持時間が半分経過しても装置がモニタ対象のインターフェイスで hello メッセージを受信しない場合は、次のテストを実行します。

1. リンク アップ/ダウン テスト:インターフェイスのステータスのテスト。リンク アップ/ダウン テストでインターフェイスが動作していることが示された場合、ASASMはネットワーク テストを実行します。一連のテストでは、障害が発生している装置を判別するためのネットワーク トラフィックが生成されます。各テストの開始時に、各装置はインターフェイスの受信パケット カウントをリセットします。各テストの終了時には、各装置はトラフィックを受信したかどうかをチェックします。トラフィックを受信していれば、インターフェイスは正常に動作していると見なされます。いずれか一方の装置だけがテスト用のトラフィックを受信している場合は、トラフィックを受信しなかった装置が故障していると見なされます。どちらの装置もトラフィックを受信しなかった場合は、次のテストが使用されます。

2. ネットワーク アクティビティ テスト:受信ネットワーク アクティビティ テスト。装置は、最大 5 秒間、すべての受信パケット数をカウントします。この時間間隔の間にパケットが受信されると、インターフェイスが正常に動作しているものと見なされ、テストは停止します。トラフィックが受信されなかった場合、ARP テストが開始します。

3. ARP テスト:取得したエントリの最後の 2 つの装置 ARP キャッシュの読み取り。装置は、ネットワーク トラフィックを発生させるために、1 回に 1 つずつ、これらのマシンに ARP 要求を送信します。各要求後、装置は最大 5 秒間受信したトラフィックをすべてカウントします。トラフィックが受信されれば、インターフェイスは正常に動作していると見なされます。トラフィックが受信されなければ、ARP 要求が次のマシンに送信されます。リストの最後まで、まったくトラフィックが受信されなかった場合、ping テストが開始します。

4. ブロードキャスト ping テスト:ブロードキャスト ping 要求の送信で構成される ping テスト。装置は、最大 5 秒間、すべての受信パケット数をカウントします。この時間間隔の間にパケットが受信されると、インターフェイスが正常に動作しているものと見なされ、テストは停止します。

インターフェイスに IPv4 および IPv6 アドレスが設定されている場合、ASASMは IPv4 を使用してヘルス モニタリングを実行します。

インターフェイスに IPv6 アドレスだけが設定されている場合、ASASMは ARP ではなく IPv6 ネイバー探索を使用してヘルス モニタリング テストを実行します。ブロードキャスト ping テストの場合、ASASMは IPv6 全ノード アドレス(FE02::1)を使用します。

1 つのインターフェイスに対するネットワーク テストがすべて失敗したが、相手装置のこのインターフェイスが正常にトラフィックを渡し続けている場合、そのインターフェイスは故障していると見なされます。故障したインターフェイスがしきい値を超えている場合は、フェールオーバーが行われます。相手装置のインターフェイスもすべてのネットワーク テストに失敗した場合、両方のインターフェイスが「未知」状態になり、フェールオーバー制限に向けてのカウントは行いません。

インターフェイスは、何らかのトラフィックを受信すると、再度動作状態になります。故障したASASMは、インターフェイス障害しきい値が満たされなくなった場合、スタンバイ モードに戻ります。


) 障害が発生した装置が回復せず、実際には障害は発生していないと考えられる場合は、failover reset コマンドを使用して状態をリセットできます。ただし、フェールオーバー条件が継続している場合、装置は再び障害状態になります。


フェールオーバー時間

表 49-3 に、最小、デフォルト、および最大フェールオーバー時間を示します。

 

表 49-3 Cisco ASA 5500 シリーズ ASASM フェールオーバー時間

フェールオーバー条件
最小
デフォルト
最大

アクティブ装置で電源断が生じる、または通常の動作が停止する。

800 ミリ秒

15 秒

45 秒

アクティブ装置のメインボード インターフェイス リンクがダウンする。

500 ミリ秒

5 秒

15 秒

アクティブ装置の 4GE モジュール インターフェイス リンクがダウンする。

2 秒

5 秒

15 秒

アクティブ装置の IPS または CSC モジュールに障害がある。

2 秒

2 秒

2 秒

アクティブ装置のインターフェイスは実行されているが、接続の問題によりインターフェイス テストを行っている。

5 秒

25 秒

75 秒

フェールオーバー メッセージ

フェールオーバーが発生すると、両方のASASMがシステム メッセージを送信します。この項は、次の内容で構成されています。

「フェールオーバー システム メッセージ」

「デバッグ メッセージ」

「SNMP」

フェールオーバー システム メッセージ

ASASMは、深刻な状況を表すプライオリティ レベル 2 のフェールオーバーについて、複数のシステム メッセージを発行します。これらのメッセージを表示するには、 syslog メッセージ ガイド を参照してください。ロギングをイネーブルにするには、「ロギングの設定」を参照してください。


) 切り替え中、フェールオーバーは論理的にシャットダウンした後、インターフェイスを起動し、syslog 411001 および 411002 メッセージを生成します。これは通常のアクティビティです。


デバッグ メッセージ

デバッグ メッセージを表示するには、 debug fover コマンドを入力します。詳細については、コマンド リファレンスを参照してください。


) CPU プロセスではデバッグ出力に高プライオリティが割り当てられているため、デバッグ出力を行うとシステム パフォーマンスに大きく影響することがあります。このため、debug fover コマンドは、特定の問題に対するトララブルシューティングや、Cisco TAC とのトラブルシューティング セッションに限定して使用してください。


SNMP

フェールオーバーに対する SNMP syslog トラップを受信するには、SNMP トラップを SNMP 管理ステーションに送信するように SNMP エージェントを設定し、syslog ホストを定義し、お使いの SNMP 管理ステーションに Cisco syslog MIB をコンパイルします。詳細については、「SNMP の設定」を参照してください。