Catalyst 6500 シリーズ スイッチ/Cisco 7600 シリーズ ルータ Firewall Services Module コンフィギュレーション ガイド
フェールオーバーの使用方法
フェールオーバーの使用方法
発行日;2012/02/03 | ドキュメントご利用ガイド | ダウンロード ; この章pdf | フィードバック

目次

フェールオーバーの使用方法

フェールオーバーの内容

フェールオーバーの概要

標準フェールオーバーとステートフル フェールオーバー

フェールオーバー リンクとステート リンク

フェールオーバー リンク

ステート リンク

モジュールの配置

シャーシ内フェールオーバー

シャーシ間フェールオーバー

トランスペアレント ファイアウォールの要件

プライマリ/セカンダリ ステータスとアクティブ/スタンバイ ステータス

コンフィギュレーションの複製

コンフィギュレーション同期化のディセーブル化

フェールオーバーのトリガー

フェールオーバーの動作

フェールオーバーのモニタ

モジュール状態のモニタ

インターフェイスのモニタ

フェールオーバーの設定

プライマリ モジュールの設定

セカンダリ モジュールの設定

フェールオーバー コンフィギュレーションの確認

show failoverコマンドの使用方法

モニタ対象インターフェイスの表示

フェールオーバー機能のテスト

フェールオーバーの強制実行

フェールオーバーのディセーブル化

フェールオーバー動作のモニタ

フェールオーバー システム メッセージ

SNMP

デバッグ メッセージ

フェールオーバーに関するFAQ

コンフィギュレーションの複製に関する質問

基本的なフェールオーバーに関する質問

ステートフル フェールオーバーに関する質問

フェールオーバー コンフィギュレーションの例

フェールオーバーの使用方法

この章では、障害のあるFirewall Services Module(FWSM)の機能をセカンダリFWSMに引き継ぐことができるFWSMのフェールオーバー機能について説明します。この章で説明する内容は、次のとおりです。

「フェールオーバーの内容」

「フェールオーバーの設定」

「フェールオーバー コンフィギュレーションの確認」

「フェールオーバーの強制実行」

「フェールオーバーのディセーブル化」

「フェールオーバー動作のモニタ」

「フェールオーバーに関するFAQ」

「フェールオーバー コンフィギュレーションの例」


スイッチのフェールオーバー設定の詳細については、「フェールオーバーを使用するためのスイッチの設定」 を参照してください。



) この章では、「スタンバイ」とはスタンバイ モードの冗長モジュールを意味します。


フェールオーバーの内容

ここでは、フェールオーバーの機能について説明します。内容は次のとおりです。

「フェールオーバーの概要」

「標準フェールオーバーとステートフル フェールオーバー」

「フェールオーバー リンクとステート リンク」

「モジュールの配置」

「トランスペアレント ファイアウォールの要件」

「プライマリ/セカンダリ ステータスとアクティブ/スタンバイ ステータス」

「コンフィギュレーションの複製」

「フェールオーバーのトリガー」

「フェールオーバーの動作」

「フェールオーバーのモニタ」

フェールオーバーの概要

フェールオーバー機能を使用すると、障害が発生したFWSMの機能を、スタンバイのFWSMに引き継ぐことができます。フェールオーバー機能は、ルーテッドおよびトランスペアレントの両方のファイアウォール モードで使用でき、コンテキスト モードはシングルでもマルチでもかまいません。


) メジャー(最初の番号)およびマイナー(2つめの番号)ソフトウェア バージョンとライセンスが同じである2台のFWSMに、同じオペレーティング モード(ルーテッドまたはトランスペアレント、シングルコンテキストまたはマルチコンテキスト)を設定する必要があります。アップグレードの実行中は、メンテナンス バージョン(3つめの番号)が違っていてもかまいません。たとえば、一方のモジュールを2.2(1)から2.2(2)にアップグレードしても、フェールオーバー機能は有効です。ただし、長期的な互換性を確保するには、両モジュールとも同じバージョンにアップグレードすることを推奨します。メンテナンス バージョンが異なる場合、フェールオーバーの完全な互換性は保証されません。


アクティブなモジュールに障害が発生すると、そのモジュールはスタンバイ ステートに移行し、逆にスタンバイ モジュールがアクティブ ステートに移行します。

アクティブになったモジュールは、それまでアクティブだったモジュールのIPアドレス(または、トランスペアレント ファイアウォールの場合は管理IPアドレス)とMACアドレスを引き継ぎ、トラフィックの転送を開始します。FWSMは、すべてのインターフェイスで1つのMACアドレスを使用します。アクティブからスタンバイ ステートに移行したモジュールは、スタンバイのIPアドレスとMACアドレスを引き継ぎます。

MACアドレスとIPアドレスの組み合わせは変更されないので、他のネットワーク デバイスは、フェールオーバーが実行されたことを認識しません。ただし、ホスト スイッチは、新しいアクティブおよびスタンバイのシャーシ スロットに、対応するMACアドレスを関連付ける必要があります。この処理に役立つように、FWSMは、すべてのVLANインターフェイスにGratuitous ARPを送信します(MACアドレスの詳細については、プライマリ/セカンダリ ステータスとアクティブ/スタンバイ ステータスを参照)。

コンフィギュレーションが同じなので、スタンバイ モジュールはアクティブ モジュールの動作を効率的に引き継ぎ、スイッチから同じVLANが割り当てられます。


) マルチコンテキスト モードでは、FWSMはモジュール全体(すべてのコンテキストを含む)の
フェールオーバーを行いますが、各コンテキストを個別にフェールオーバーすることはできません。


標準フェールオーバーとステートフル フェールオーバー

FWSMは、2タイプのフェールオーバーをサポートしています。

標準フェールオーバー ― フェールオーバーが実行されると、すべてのアクティブ接続が切断されます。クライアントは新しいアクティブ モジュールに引き継がれたあと、接続を再確立する必要があります。

ステートフル フェールオーバー ― 正常な運用中、アクティブ モジュールからスタンバイ モジュールに、各接続の(各コンテキストの)ステートフル情報が継続的に送信されます。ステートフル情報の更新間隔は10秒ですが、モジュールのポールタイムを10秒より長く設定すると、その間隔が使用されます。

フェールオーバーの実行後、新しいアクティブ モジュールで同じ接続情報を使用できます。同じ通信セッションを保持するために、サポート対象のエンドユーザ アプリケーションを再接続する必要はありません。

スタンバイ モジュールに渡されるステート情報には、次のデータが含まれます。

NAT変換テーブル

TCP接続ステート

UDP接続ステート(最低15秒持続している接続の場合)

HTTP接続ステート(オプション)

H.323、SIP、およびMGCP UDPメディア接続

ARPテーブル

(トランスペアレント ファイアウォール モードのみ)MACアドレス テーブル

フェールオーバー リンクとステート リンク

ここでは、フェールオーバー リンク、およびステートフル フェールオーバーの場合のステート リンクについて説明します。内容は次のとおりです。

「フェールオーバー リンク」

「ステート リンク」

フェールオーバー リンク

フェールオーバー リンク上では2つのモジュールが継続的に通信し、各モジュールのオペレーティング ステータスを判別します。フェールオーバー リンク上の通信には、次のデータが含まれます。

モジュールのステート(アクティブまたはスタンバイ)

helloメッセージ(他のすべてのインターフェイスに送信されたものを含む)

2つのモジュール間のコンフィギュレーションの同期化(詳細については、「コンフィギュレーションの複製」を参照)。

フェールオーバー リンクでは、標準のネットワーキング インターフェイスとしては設定しない、フェールオーバー通信専用の特別なVLANインターフェイスを使用します。このVLANは、フェールオーバー リンク(および任意にステート リンク)だけに使用する必要があります。

マルチコンテキスト モードでは、システム コンフィギュレーションにフェールオーバー リンクが常時設定されます。このインターフェイス(および使用する場合はステート リンク)は、システム コンフィギュレーションで設定可能な唯一のインターフェイスです。


) フェールオーバー リンク用のIPアドレスおよびMACアドレスは、フェールオーバー実行後も変更されません。


ステート リンク

ステートフル フェールオーバーを使用するには、すべてのステート情報を渡すためのステート リンクを設定します。このリンクはフェールオーバー リンクと同じでもかまいませんが、ステート リンク用に別のVLANおよびIPアドレスを割り当てることを推奨します。ステート トラフィックはサイズが大きいので、別のリンクを使用するほうがパフォーマンスは向上します。

マルチコンテキスト モードでは、システム コンフィギュレーションにステート リンクが常時設定されます。システム コンフィギュレーションのインターフェイスは、このインターフェイスとフェールオーバー インターフェイスだけです。


) ステート リンク用のIPアドレスおよびMACアドレスは、フェールオーバー実行後も変更されません。


モジュールの配置

プライマリとセカンダリのFWSMは、同じスイッチ内または2台の異なるスイッチに搭載できます。ここでは、各オプションについて説明します。

「シャーシ内フェールオーバー」

「シャーシ間フェールオーバー」

シャーシ内フェールオーバー

セカンダリFWSMをプライマリFWSMと同じスイッチに搭載した場合には、モジュール レベルの障害が保護されます。モジュール レベルの障害に加え、スイッチ レベルの障害を保護するには、「シャーシ間フェールオーバー」を参照してください。

両方のFWSMに同じVLANが割り当てられますが、ネットワーキングに参加するのはアクティブ モジュールだけです。スタンバイ モジュールは、トラフィックを転送しません。

図 15-1に、一般的なスイッチ間コンフィギュレーションを示します。

図 15-1 スイッチ内フェールオーバー

 

シャーシ間フェールオーバー

スイッチ レベルの障害を保護するには、セカンダリFWSMを別のスイッチに搭載します。FWSMはスイッチと直接フェールオーバーの調整を行うわけではありませんが、スイッチのフェールオーバーと協調するように動作します。スイッチのフェールオーバー設定については、スイッチのマニュアルを参照してください。

FWSM間でフェールオーバー通信を行うには、2台のスイッチ間に、すべてのFWSM VLANを伝送するトランク ポートを設定する必要があります。このトランクは、1つのモジュールの障害時にFWSMトラフィックを処理するので、最低限、FWSMが検査する最大トラフィック量に匹敵するサイズにする必要があります。FWSMは、内蔵の6 Gbps EtherChannelでスイッチに接続しています。したがって、FWSMをフル稼働する場合には、2つの装置間のトランクに最低6つの1 Gpbsインターフェイスが必要になります。EtherChannelは、最大8つの互換ポートの帯域幅を1つの論理リンクとして集約します(詳細については、 プライマリ スイッチとセカンダリ スイッチ間のトランクの追加を参照)。

図 15-2に、一般的なスイッチとFWSMの冗長コンフィギュレーションを示します。スパニングツリー アルゴリズムにより、VLANは確実にアクティブFWSMを含む1台のスイッチだけを通過します。2台のスイッチ間のトランクは、フェールオーバー リンクおよびステート リンク(VLAN 10および11)を含むすべてのFWSMのVLANを伝送します。


) FWSMのフェールオーバーはスイッチのフェールオーバーに依存しない独立した機能ですが、スイッチのフェールオーバーが発生した場合には、FWSMもそれに対応します。


図 15-2 スタンバイ モジュールが設置された標準運用

 

フェールオーバー実行後のトラフィックのパスは、障害がどのデバイスに発生したかによって異なります。

FWSMの障害のみ ― プライマリFWSMに障害が発生すると、セカンダリFWSMがアクティブになります。ただし、プライマリ スイッチがアクティブであれば、FWSM宛てのVLANトラフィックはすべてプライマリ スイッチを経由します。セカンダリ(現在のアクティブ)FWSMは、トランク上のすべてのトラフィックを送受信します(図 15-3を参照)。

図 15-3 FWSMの障害のみ

 

スイッチ/FWSMの障害 ― スイッチ全体に障害が発生し、FWSMにも障害があった場合(電源切断など)には、スイッチとFWSMの両方でセカンダリ モジュールへのフェールオーバーが実行されます(図 15-4を参照)。

図 15-4 スイッチ/FWSMの障害

 

スイッチの部分障害 ― スイッチの1つまたは複数のインターフェイスに障害が発生した場合、両方のスイッチが部分的にアクティブになりますが、アクティブなFWSMは1台だけです。スイッチとは個別に動作しているFWSMでは、アクティブFWSMがトランク上のセカンダリ スイッチからのFWSMトラフィックを受信するので、フェールオーバーを実行する理由はありません(図 15-5を参照)。

図 15-5 スイッチの部分障害

 

トランク障害 ― スイッチ間のトランクに障害が発生した場合、FWSM間のすべての通信が終了し、両方のFWSMがアクティブになります。ただし、スパニングツリーによりループが阻止されるので、トランクが回復するまでトラフィックは1台または両方のFWSMによって正常に処理されます(図 15-6を参照)。

図 15-6 トランク障害

 

トランスペアレント ファイアウォールの要件

トランスペアレント モードでのフェールオーバーの使用時にループを回避するには、BPDUの送信をサポートするスイッチ ソフトウェアを使用し、BPDUが許可されるようにFWSMを設定する必要があります。BPDUが自動的に許可されるスイッチ ソフトウェアのバージョンについては、「シャーシのシステム要件」を参照してください。

FWSM経由のBPDUを許可するには、EtherType ACLを設定し、「EtherType ACLの追加」の説明に従って、両方のインターフェイスに適用します。

両方のモジュールが同時にアクティブになった場合、両モジュールが相互の存在を検出したり、「基本的なフェールオーバーに関する質問」に記述されているようにフェールオーバー リンクが不正であると、ループが発生することがあります。両方のFWSMが2つの同じVLAN間でパケットをブリッジングするので、外部宛ての内部パケットが両方のFWSMによって無限に複製され、ループが発生します(図 15-7を参照)。BPDUが時間どおりに交換されれば、スパニングツリー プロトコルによって、これらのループが遮断されます。ループを遮断するには、VLAN 200とVLAN 201間で送信されるBPDUをブリッジングする必要があります。

図 15-7 トランスペアレント モードの潜在的なループ

 

プライマリ/セカンダリ ステータスとアクティブ/スタンバイ ステータス

フェールオーバーの2台のモジュールの主要な違いは、一方がアクティブで一方がスタンバイであること、すなわち、どちらのIPアドレスを使用し、どちらのモジュールがアクティブにトラフィックを転送するか、ということです。

ただし、どちらのモジュールがプライマリ(コンフィギュレーションに指定されている)で、どちらのモジュールがセカンダリであるかによって、両モジュールに多少の違いがあります。

両方のモジュールを同時に起動した場合、(動作状態が同じであれば)プライマリ モジュールが常にアクティブになります。

プライマリ モジュールのMACアドレスが、常にアクティブIPアドレスと組み合わされます。例外が発生するのは、セカンダリ モジュールがアクティブになり、フェールオーバー リンク上でプライマリMACアドレスを取得できない場合です。この場合には、セカンダリ モジュールのMACアドレスが使用されます。

コンフィギュレーションの複製

2台のFWSMモジュールは、ほとんど同一のコンフィギュレーションを共有します。コンフィギュレーションにはアクティブおよびスタンバイの両方のIPアドレスが含まれているので、同じコンフィギュレーションを使用できます。モジュールがアクティブの場合にはアクティブIPアドレスが使用され、スタンバイの場合にはスタンバイIPアドレスが使用されます。


) 両方のモジュールが同じコンフィギュレーションを使用するので、ホスト名、ユーザ名、およびパスワードも共通です。


コンフィギュレーションの唯一の相違は、モジュールがプライマリまたはセカンダリのどちらに指定されているかだけです。ただし、両モジュール間で通信を行うには、セカンダリ モジュール上で事前にフェールオーバー リンクを設定する必要があります。その他のコンフィギュレーションはすべて、アクティブ モジュールからスタンバイ モジュールに自動的に複製されます。


) failover suspend-config-syncコマンドを使用すると、コンフィギュレーションの複製を延期することができます。「コンフィギュレーション同期化のディセーブル化」を参照してください。


アクティブ モジュールは、実行メモリ内のコンフィギュレーションをスタンバイ モジュールに送信します。スタンバイ モジュールでは、コンフィギュレーションは実行メモリだけに保存されます。コンフィギュレーションを任意にフラッシュ メモリに保存しておくと、アクティブ モジュールが使用できない場合、スタンバイ モジュールを再起動して、ただちにアクティブ モジュールとして使用できます。複製後のコンフィギュレーションをフラッシュ メモリに保存する手順は、次のとおりです。

シングルコンテキスト モードの場合、アクティブ モジュール上で copy running-config
startup-config
コマンドを入力します。このコマンドがスタンバイ モジュールに複製され、コンフィギュレーションがフラッシュ メモリに書き込まれます。

マルチコンテキスト モードの場合、ディスク上の各コンテキスト内で、システム実行スペースからアクティブ モジュール上に copy running-config startup-config コマンドを入力します。このコマンドがスタンバイ モジュールに複製され、コンフィギュレーションがフラッシュ メモリに書き込まれます。外部サーバ上のスタートアップ コンフィギュレーションを持つコンテキストには、ネットワーク上でどちらのモジュールからでもアクセスできるので、各モジュールに個別に保存する必要はありません。または、アクティブ モジュールから外部サーバにディスク上のコンテキストをコピーし、さらにスタンバイ モジュール上のディスクにコピーすることもできます(詳細については、 テキスト コンフィギュレーションのダウンロードを参照)。

アクティブ モジュールからスタンバイ モジュールへのコンフィギュレーションの複製は、次の状況で実行されます。

スタンバイ モジュールが初期スタートアップを完了すると、スタンバイ モジュール上の実行コンフィギュレーションは(事前設定する必要があり、複製されないフェールオーバー コマンドを除いて)削除され、アクティブ モジュールの完全なコンフィギュレーションがスタンバイ モジュールに送信されます。

コマンドはアクティブ モジュール上で入力されるので、フェールオーバー リンクを経由してスタンバイ モジュールに送信されます。コマンドを複製するために、アクティブ コンフィギュレーションをフラッシュ メモリに保存する必要はありません。

アクティブ モジュール上でwrite standbyコマンドを入力すると、スタンバイ モジュールの実行コンフィギュレーションは(事前設定する必要があり、複製されないフェールオーバー コマンドを除いて)削除され、アクティブ モジュールからスタンバイ モジュールに完全なコンフィギュレーションが送信されます。

マルチコンテキスト モードでは、システム実行スペースに write standby コマンドを入力すると、すべてのコンテキストが複製されます。1つのコンテキスト内で write standby コマンドを入力すると、そのコンテキストのコンフィギュレーションだけが複製されます。


) スタンバイ モジュール上での変更は、アクティブ モジュールには複製されません。スタンバイ モジュール上でコマンドを入力すると、FWSMに、[**** WARNING **** Configuration Replication is NOT performed from Standby module to Active module. Configurations are no longer synchronized.](警告:スタンバイ モジュールからアクティブ モジュールへのコンフィギュレーション複製は実行できません。コンフィギュレーションは同期化されません。)というメッセージが表示されます。このメッセージは、コンフィギュレーションに影響しないコマンドを多数入力した場合にも表示されます。


複製が開始されると、FWSMのコンソールに、[Beginning configuration replication: Sending to mate](コンフィギュレーションの複製を開始、同期化中)のメッセージが表示されます。複製が完了すると、FWSMのコンソールに、[End Configuration Replication to mate](コンフィギュレーションの複製が終了しました)のメッセージが表示されます。複製の実行中は、FWSMの端末上に情報を入力することはできません。コンフィギュレーションのサイズによっては、複製に数分かかることがあります。

コンフィギュレーション同期化のディセーブル化

FWSMを複雑なコンフィギュレーションにアップグレードすると、管理アプリケーションの接続が失われることがあります。このような場合には、スタンバイFWSMに、不完全なコンフィギュレーション ファイルが適用されます。コンフィギュレーションの自動同期化をディセーブルに設定しておけば、スタンバイFWSMに不完全なコンフィギュレーションが適用されるのを防止できます。ソフトウェア イメージをアップグレードする場合、またはアクティブFWSMのコンフィギュレーションを変更する場合には、スタンバイFWSMに完全なコンフィギュレーション ファイルが同期化されるように、コンフィギュレーションの同期化をディセーブルにする必要があります。コンフィギュレーションが完了したことを確認したあと、コンフィギュレーションの同期化を再びイネーブルに設定します。

コンフィギュレーションの同期化をディセーブルにするには、次のコマンドを入力します。

fwsm(config)# failover suspend-config-sync

 

コンフィギュレーションの同期化を再びイネーブルにするには、このコマンドのno形式を使用します。

フェールオーバーのトリガー

モジュールの障害は、次のいずれかの状況で発生します。

モジュールにハードウェア障害または電源障害が発生した場合

モジュールにソフトウェア障害が発生した場合

モニタ対象のインターフェイスの多くで障害が発生した場合

FWSMには多数のインターフェイスを設定できるので、すべてのインターフェイスをモニタすることはできません。したがって、FWSMがインターフェイスのサブセットをモニタするように設定します。モニタ対象のインターフェイスの障害が一定数に達すると、FWSMはフェールオーバーを実行します。フェールオーバー用のスレッシュホールドには、インターフェイスの絶対数、またはモニタ対象の合計インターフェイス数に対する割合のいずれかを指定します。

どの時点でモジュールまたはインターフェイスに障害があると判別するかについては、「フェールオーバーのモニタ」を参照してください。

フェールオーバーの動作

表 15-1 に、各障害イベントのフェールオーバーの動作を示します。

 

表 15-1 フェールオーバーの動作

フェールオーバーのイベント
ポリシー
アクティブ動作
スタンバイ動作
説明

アクティブ モジュールの障害(電源または
ハードウェア)

フェールオーバー

適用外

アクティブになる

アクティブ モジュールを障害モジュールとしてマークする

モニタ対象インターフェイスまたはフェールオーバー リンク上で、helloメッセージは受信されません。

以前のアクティブ モジュールの回復

フェールオーバーなし

スタンバイになる

動作なし

なし

スタンバイ モジュールの障害(電源またはハードウェア)

フェールオーバーなし

スタンバイ モジュールを障害モジュールとしてマークする

適用外

スタンバイ モジュールに障害がマークされた場合、インターフェイスの障害数がスレッシュホールドを超加しても、アクティブ モジュールはフェールオーバーを試行しません。

運用中のフェールオーバー リンクの障害

フェールオーバーなし

フェールオーバー インターフェイスを障害としてマークする

フェールオーバー インターフェイスを障害としてマークする

フェールオーバー リンクがダウンしていると、スタンバイ モジュールへのフェールオーバーを実行できないので、フェールオーバー リンクはできるだけ早く回復する必要があります。

起動時のフェールオーバー リンクの障害

フェールオーバーなし

フェールオーバー インターフェイスを障害としてマークする

アクティブになる

起動時にフェールオーバー リンクがダウンした場合、両方のモジュールがアクティブになります。

ステート リンクの障害

フェールオーバーなし

動作なし

動作なし

ステート情報が更新されないので、フェールオーバーが実行されるとセッションは終了します。

アクティブ モジュールのインターフェイス障害がスレッシュホールドを超過

フェールオーバー

アクティブ モジュールを障害モジュールとしてマークする

アクティブになる

なし

スタンバイ モジュールのインターフェイス障害がスレッシュホールドを超過

フェールオーバーなし

動作なし

スタンバイ モジュールを障害モジュールとしてマークする

スタンバイ モジュールが障害モジュールとしてマークされた場合、インターフェイスの障害数がスレッシュホールドを超加しても、アクティブ モジュールはフェールオーバーを試行しません。

スイッチ間設定のトランク障害

フェールオーバーなし

動作なし

アクティブになる

トランク障害のように、モジュール間のすべての通信が終了した場合、両方のモジュールがアクティブになります。どちらのモジュールもhelloメッセージを受信せず、両方のモジュールがアクティブとして動作します。

フェールオーバーのモニタ

FWSMは、各モジュールについて、全体の動作状態とインターフェイスの動作状態をモニタします。FWSMが各モジュールの状態を判別するために実行するテストの詳細については、次の項目を参照してください。

「モジュール状態のモニタ」

「インターフェイスのモニタ」

モジュール状態のモニタ

FWSMは、フェールオーバー リンクをモニタすることによって、他方のモジュールの状態を判別します。一方のモジュールがフェールオーバー リンク上でhelloメッセージを受信しない場合、そのモジュールはフェールオーバー インターフェイスを含めたすべてのインターフェイスにARP要求を送信します。FWSMは、ユーザが設定した回数だけ要求を再送信します。FWSMの動作は、他方のモジュールからの応答状態によって異なります。具体的には、次のように動作します。

FWSMがいずれかのインターフェイスから応答を受信した場合、フェールオーバーは実行されません。

FWSMがどのインターフェイスからも応答を受信しない場合、スタンバイ モジュールがアクティブ モードに切り替わり、他方のモジュールは障害モジュールとしてマークされます。

FWSMがフェールオーバー リンク上でのみ応答を受信しない場合には、フェールオーバーは実行されません。フェールオーバー リンクは障害としてマークされます。フェールオーバー リンクがダウンしていると、スタンバイ モジュールへのフェールオーバーを実行できないので、フェールオーバー リンクはできるだけ早く回復する必要があります。


) 障害はないと判断されるモジュールが、障害状態から回復しない場合には、failover reset コマンドを入力してステートをリセットできます。ただし、フェールオーバーの条件が存続している場合には、モジュールは再び障害状態になります。


インターフェイスのモニタ

すべてのコンテキストについて、全体で最大250のインターフェイスをモニタできます。重要なインターフェイスはモニタする必要があります。たとえば、1つのコンテキストに共有VLANのモニタを設定します(インターフェイスが共有されているので、全コンテキストがモニタ対象になります)。


) FWSM用としてスイッチに設定されたVLANに物理ポートが1つも属していない場合、インターフェイスに障害(auto state down)がマークされることがあります。


FWSMは、モニタ対象のインターフェイス上でhelloメッセージを受信しない場合、次のテストを実行します。

1. リンク アップ/ダウン テスト ― VLANステータスのテストです。リンク アップ/ダウン テストでVLANの正常な動作が確認されると、FWSMはネットワークのテストを実行します。ネットワークのテストは、ネットワーク トラフィックを生成して、障害のあるモジュール(両方の場合もあり)を判別することが目的です。各テストの開始時に、各モジュールはインターフェイスの受信パケット カウントをクリアします。テストが完了すると、各モジュールはトラフィックを受信しているかどうかを確認します。受信していれば、インターフェイスは正常であるとみなされます。一方のモジュールがテスト用トラフィックを受信し、他方のモジュールが受信していない場合、トラフィックを受信していないモジュールに障害があると判断されます。どちらのモジュールもトラフィックを受信していない場合には、次のテストが実行されます。

2. ネットワーク動作のテスト ― ネットワークの受信動作のテストです。モジュールは、最大5秒間、すべての受信パケットをカウントします。この間にパケットを受信すれば、インターフェイスは正常であるとみなされ、テストは終了します。トラフィックを受信しなかった場合、ARPテストが実行されます。

3. ARPテスト ― モジュールのARPキャッシュから、最新の2つのエントリが読み取られます。1つのエントリごとに、モジュールはこれらの宛先にARP要求を送信し、ネットワーク トラフィックを流すことを試みます。各要求の送信後、モジュールは最大5秒間、すべての受信トラフィックをカウントします。トラフィックを受信すれば、インターフェイスは正常であるとみなされます。トラフィックを受信しなかった場合、次の宛先にARP要求が送信されます。最後のエントリまで、まったくトラフィックを受信しなかった場合には、pingテストが実行されます。

4. ブロードキャストpingテスト ― このテストでは、ブロードキャストping要求が送信されます。モジュールは、最大5秒間、すべての受信パケットをカウントします。この間にパケットを受信すれば、インターフェイスは正常であるとみなされ、テストは終了します。

特定のインターフェイスがすべてのネットワークのテストに失敗し、他方のモジュールでは同じインターフェイスが正常にトラフィックを伝送している場合、テストに失敗したインターフェイスに障害があるとみなされます。障害のあるインターフェイス数がスレッシュホールドの値に達した場合、フェールオーバーが実行されます。他方のモジュールのインターフェイスもすべてのネットワーク テストに失敗した場合、これらのインターフェイスはいずれも「不明(Unknown)」ステートとなり、フェールオーバー用の障害インターフェイスとしてはカウントされません。

インターフェイスは、トラフィックを受信すれば、再び正常な状態に戻ります。障害インターフェイス数がスレッシュホールド未満になると、障害状態のFWSMはスタンバイ モードに戻ります。


) 障害はないと判断されるモジュールが、障害状態から回復しない場合には、failover reset コマンドを入力してステートをリセットできます。ただし、フェールオーバーの条件が存続している場合には、モジュールは再び障害状態になります。


フェールオーバーの設定

ここでは、フェールオーバーを設定する手順について説明します。内容は次のとおりです。

「プライマリ モジュールの設定」

「セカンダリ モジュールの設定」

プライマリ モジュールの設定

プライマリ モジュールを設定する手順は、次のとおりです。マルチコンテキスト モードでは、特に明記されていないかぎり、すべての手順をシステム実行スペースで行います。


) 設定作業中は、任意の時点でshow failoverコマンドを入力して、フェールオーバーのステータスを確認できます。詳細については、「show failoverコマンドの使用方法」を参照してください。



ステップ 1 次のコマンドを入力して、フェールオーバー リンクに使用するVLANインターフェイスを設定します。マルチコンテキスト モードの場合は、このコマンドをシステム実行スペースで入力します。

primary(config)# failover lan interface interface_name vlan vlan
 

セカンダリ モジュールにも同じコマンドを使用するので、この設定を記録しておいてください。

このVLANは、(任意でステート リンクに使用する場合を除き)その他の目的に使用したり、スイッチ ポートに割り当てたりしないでください。このVLANは、スイッチによってFWSMに割り当てられる必要があります。

このインターフェイスにはACLを設定しないでください。フェールオーバー トラフィックが自動的に許可され、他のトラフィックは拒否されます。

ステップ 2 次のコマンドを入力して、フェールオーバー インターフェイスのIPアドレスを設定します。

primary(config)# failover interface ip failover_interface ip_address mask standby ip_address
 

スタンバイIPアドレスは、アクティブIPアドレスと同じサブネットに属している必要があります。スタンバイ アドレスのサブネット マスクを特定する必要はありません。

セカンダリ モジュールにも同じコマンドを使用するので、この設定を記録しておいてください。

フェールオーバー リンクのIPアドレスおよびMACアドレスは、フェールオーバー実行後も変更されません。プライマリ モジュールは常にアクティブIPアドレスを使用し、スタンバイ モジュールは常にスタンバイIPアドレスを使用します。

ステップ 3 (ステートフル フェールオーバーのみ)次のコマンドを入力して、ステート リンクに使用するVLANインターフェイスを設定します。

primary(config)# failover link interface_name [vlan vlan]
 

このVLANは、(任意でフェールオーバー リンクに使用する場合を除き)その他の目的に使用したり、スイッチ ポートに割り当てたりしないでください。このVLANは、スイッチによってFWSMに割り当てられる必要があります。

フェールオーバー インターフェイスと同じインターフェイスを使用する場合には、VLANを指定する必要はありません。

このインターフェイスにはACLを設定しないでください。フェールオーバー トラフィックが自動的に許可され、他のトラフィックは拒否されます。

ステップ 4 (ステートフル フェールオーバーのみ)次のコマンドを入力して、ステート インターフェイスのIPアドレスを設定します。

primary(config)# failover interface ip state_interface ip_address mask standby ip_address
 

スタンバイIPアドレスは、アクティブIPアドレスと同じサブネットに属している必要があります。スタンバイ アドレスのサブネット マスクを特定する必要はありません。

ステート リンクのIPアドレスおよびMACアドレスは、フェールオーバー実行後も変更されません。プライマリ モジュールは常にアクティブIPアドレスを使用し、スタンバイ モジュールは常にスタンバイIPアドレスを使用します。

ステップ 5 (ステートフル フェールオーバーのみ ― 任意)ステート情報にHTTP接続を含める場合には、次のコマンドを入力します。

primary(config)# failover replication http
 

HTTPの複製を許可しない場合、フェールオーバー実行時にHTTP接続は切断されます。HTTP接続は、短時間で頻繁に更新されます。ステート情報も定期的に更新されますが、フェールオーバー実行時に最新のHTTPステートが含まれていないことがあります。この理由から、HTTPの複製をディセーブルにして、ステート リンク上のトラフィック量を削減するという方法もあります。

ステップ 6 次のコマンドを入力して、モニタ対象インターフェイスの障害数のスレッシュホールドを設定します。

primary(config)# failover interface-policy number[%]
 

モニタ対象インターフェイスの障害数が、このコマンドで設定した値に到達すると、FWSMはフェールオーバーを実行します。次の引数を設定できます。

number ― 絶対値を指定します。

number % ― モニタ対象インターフェイスの合計数に対する割合を指定します。

ステップ 7 次のコマンドを入力して、このFWSMをプライマリ モジュールとして設定します。

primary(config)# failover lan unit primary
 

) このコマンドは、プライマリ モジュールとセカンダリ モジュールの設定における唯一の違いです。ただし、FWSMでアクティブ コンフィギュレーションを複製するには、事前にセカンダリ モジュール上でfailoverコマンドを設定する必要があります。


ステップ 8 (任意)フェールオーバー リンク上でのhelloメッセージの送信間隔、およびhelloメッセージを受信しない場合にピアの障害テストを実行するまでのホールドタイムを設定するには、次のコマンドを入力します。

primary(config)# failover polltime [unit] [msec] number [holdtime seconds]
 

次の引数を指定できます。

polltime unit [ msec ] number ― helloメッセージの送信間隔(ポールタイム)を指定します。1~15の秒数を設定します。デフォルトは1秒です。 msec を指定すると、500~999のミリ秒単位で設定できます。

holdtime number ― フェールオーバー リンク上でhelloメッセージの受信を待機する秒数(ホールドタイム)を設定します。設定した秒数が経過すると、モジュールはピア障害のテストを開始します。15~45の秒数を設定します。デフォルトは15秒またはポールタイムの3倍のどちらか長いほうです。ポールタイムの3倍未満の値を設定することはできません。

たとえば、ポールタイムが1秒で、ホールドタイムが15秒の場合、helloメッセージを15回続けて受信しなかった場合、障害テストが開始されます。


) ステートフル情報の更新インターバルは10秒ですが、ポールタイムを10秒より長く設定すると、そのインターバルが使用されます。


ステップ 9 (任意)モニタ対象インターフェイス上のhelloメッセージのポールタイムを設定するには、次のコマンドを入力します。

primary(config)# failover polltime interface seconds
 

インターフェイスが5回続けてhelloメッセージを受信しなかった場合、FWSMはインターフェイス障害のテストを開始します。詳細については、「フェールオーバーのモニタ」を参照してください。

seconds に、3~15の整数を指定します。デフォルトは15秒です。この場合、インターフェイスが75秒間(ポールタイムの5倍)応答を受信しなかった場合、インターフェイスの障害テストが開始されます。

ステップ 10 次のコマンドを入力して、フェールオーバーをイネーブルにします。

primary(config)# failover
 

ステップ 11 (マルチコンテキスト モードのみ)次のコマンドを入力して、システム コンフィギュレーションをフラッシュ メモリに保存します。

primary(config)# copy running-config startup-config
 

ステップ 12 (マルチコンテキスト モードのみ)次のコマンドを入力して、スタンバイIPアドレス(まだ設定していない場合)およびインターフェイスのモニタを設定するために、コンテキストを変更します。

primary(config)# changeto context name
 

ステップ 13 まだ設定していない場合には、各インターフェイスのスタンバイIPアドレス(ルーテッド モード)または管理IPアドレス(トランスペアレント モード)を設定します。使用するファイアウォール モードに適したコマンドを入力してください。

ルーテッド モードの場合、各インターフェイスに次のコマンドを入力します。

primary/contexta(config)# ip address interface_name ip_address mask standby ip_address
 

トランスペアレント モードの場合、次のコマンドを入力します。

primary/contexta(config)# ip address ip_address mask standby ip_address
 

スタンバイIPアドレスは、現在スタンバイ モジュールであるFWSMで使用されます。

スタンバイ アドレスを追加するには、各インターフェイス(または管理IPアドレス)について ip address コマンドを再入力し、 standby ip_address オプションを指定します。

このIPアドレスは、アクティブIPアドレスと同じサブネットに属している必要があります。サブネット マスクは指定しません。現在のIPアドレスの設定を確認するには、 show ip address コマンドを入力します。

ステップ 14 次のコマンドを入力して、トンネル インターフェイスのモニタをイネーブルにします。

primary/contexta(config)# monitor-interface interface_name
 

FWSM上(すべてのコンテキスト全体)でモニタできるインターフェイスの最大数は、250です。

ステップ 15 次のコマンドを入力して、コンテキスト(マルチコンテキスト モード)またはシングル モードのFWSMのコンフィギュレーションを保存します。

primary/contexta(config)# copy running-config startup-config
 

ステップ 16 (マルチコンテキスト モードのみ)各コンテキストについて、ステップ 12ステップ 15を繰り返します。


 

一般的なフェールオーバーのコンフィギュレーションは、「フェールオーバー コンフィギュレーションの例」を参照してください。

セカンダリ モジュールの設定

セカンダリ モジュールに必要なのは、フェールオーバー インターフェイスの設定だけです。プライマリ モジュールと初回の通信を開始するには、セカンダリ モジュールにこれらのコマンドが必要です。プライマリ モジュールからセカンダリ モジュールにコンフィギュレーションが送信されたあと、2つのコンフィギュレーションで唯一異なるのが、各モジュールをプライマリまたはセカンダリとして識別する failover lan unit コマンドです。

マルチコンテキスト モードでは、すべての手順をシステム実行スペースで行います。


) 設定作業中は、任意の時点でshow failoverコマンドを入力して、フェールオーバーのステータスを確認できます。詳細については、「show failoverコマンドの使用方法」を参照してください。


セカンダリ モジュールを設定する手順は、次のとおりです。


ステップ 1 まだ実行していない場合には、必要に応じて、次のコマンドでactivation-keyを入力し、プライマリ モジュールのライセンスと同数のコンテキストをイネーブルにします。

secondary(config)# activation-key key
 

ステップ 2 まだ実行していない場合には、次のコマンドを入力して、プライマリ モジュールと一致するコンテキスト モードを設定します。

secondary(config)# mode {single | multiple}
 

FWSMが再起動します。

ステップ 3 次のコマンドを入力して、フェールオーバー リンクに使用するVLANインターフェイスを設定します。

secondary(config)# failover lan interface interface_name vlan vlan
 

プライマリ モジュールと同じ設定を使用してください。

ステップ 4 次のコマンドを入力して、フェールオーバー インターフェイスのIPアドレスを設定します。

secondary(config)# failover interface ip interface_name ip_address mask standby ip_address
 

プライマリ モジュールと同じ設定を使用してください。

ステップ 5 (任意)次のコマンドを入力して、このFWSMをセカンダリ モジュールとして設定します。

secondary(config)# failover lan unit secondary
 

デフォルトはセカンダリです。


) このコマンドは、プライマリ モジュールとセカンダリ モジュールで唯一異なる設定です。


ステップ 6 次のコマンドを入力して、フェールオーバーをイネーブルにします。

secondary(config)# failover
 

フェールオーバーをイネーブルにすると、アクティブ モジュールからスタンバイ モジュールに、実行メモリ内のコンフィギュレーションが送信されます。コンフィギュレーションの同期化が開始されると、アクティブ モジュールのコンソールに、[Beginning configuration replication: Sending to mate](コンフィギュレーションの複製を開始:同期化中です)のメッセージが表示され、完了すると
[End Configuration Replication to mate](コンフィギュレーションの複製が完了しました)のメッセージが表示されます。

ステップ 7 次のコマンドを入力して、コンフィギュレーションをフラッシュ メモリに保存します。

secondary(config)# copy running-config startup-config
 


 

一般的なフェールオーバーのコンフィギュレーションは、「フェールオーバー コンフィギュレーションの例」を参照してください。

フェールオーバー コンフィギュレーションの確認

ここでは、フェールオーバーのコンフィギュレーションを確認する手順について説明します。ここでは、次の内容について説明します。

「show failoverコマンドの使用方法」

「モニタ対象インターフェイスの表示」

「フェールオーバー機能のテスト」

他のトラブルシューティング ツールについては、「フェールオーバー動作のモニタ」を参照してください。

show failoverコマンドの使用方法


 

各モジュール上で、システム実行スペースに次のコマンドを入力して、フェールオーバーのステータスを確認します。

primary(config)# show failover
 

このコマンドの出力には、次の情報が表示されます。

フェールオーバーのステータス:オンまたはオフ

アクティブ モジュール

アクティブ モジュールとスタンバイ モジュールに割り当てられたIPアドレス

フェールオーバー リンクの情報

インターフェイス ポリシー

ステートフル フェールオーバーの統計


 

次に、 show failover コマンドの出力例を示します。各フィールドの説明は、以下を参照してください。

FWSM(config)# show failover
Failover On
Failover unit Primary
Failover LAN Interface fover Vlan 150
Unit Poll frequency 15 seconds
Interface Poll frequency 15 seconds
Interface Policy 50%
Monitored Interfaces 249 of 250 maximum
Config sync: active
Last Failover at: 10:58:08 Apr 15 2004
This host: Primary - Active
Active time: 2232 (sec)
admin Interface inside (10.6.8.91): Normal
admin Interface outside (70.1.1.2): Normal
Other host: Secondary - Standby
Active time: 0 (sec)
admin Interface inside (10.6.8.100): Normal
admin Interface outside (70.1.1.3): Normal
 
Stateful Failover Logical Update Statistics
Link : Luifc Vlan 151
Stateful Obj xmit xerr rcv rerr
General 0 0 0 0
sys cmd 0 0 0 0
up time 0 0 0 0
xlate 0 0 0 0
tcp conn 0 0 0 0
udp conn 0 0 0 0
ARP tbl 0 0 0 0
RIP Tbl 0 0 0 0
 
Logical Update Queue Information
Cur Max Total
Recv Q: 0 0 0
Xmit Q: 0 0 0
 

表 15-2 に、 show failover コマンドの出力の説明を示します。

 

表 15-2 show failoverコマンドの出力の説明

フィールド
説明

Failover(フェールオーバー)

On(オン)

Off(オフ)

Failover module(フェールオーバー モジュール)

Primary(プライマリ)

Secondary(セカンダリ)

Failover LAN Interface(フェールオーバーLANインターフェイス)

フェールオーバー リンクのインターフェイス名およびVLANが表示されます。

interface_name vlan number

フェールオーバー インターフェイスが設定されていない場合、次のように表示されます。

Not configured

Module Poll frequency(モジュールのポーリング頻度)

n

failover poll unit コマンドで設定した秒数が表示されます。デフォルトは15秒です。

Interface Poll frequency(インターフェイスのポーリング頻度)

n

failover poll interface コマンドで設定した秒数が表示されます。デフォルトは15秒です。

Interface Policy(インターフェイス ポリシー)

n [%]

failover interface-policy コマンドで設定したインターフェイス障害のスレッシュホールドが表示されます。デフォルトは50%です。

Monitored Interfaces(モニタ対象インターフェイス)

n of 250 maximum(最大250のうちのn)

モニタ対象のインターフェイス数が表示されます。

Config sync(コンフィギュレーション同期化)

Active ― FWSM上のコンフィギュレーション同期化はアクティブです。

Suspended ― FWSM上のコンフィギュレーション同期化は保留またはディセーブルです。

Last Failover(最新のフェールオーバー)

最後に実行されたフェールオーバーの日時が表示されます。

This host(このホスト):

Other host(他方のホスト):

各ホストについて、次の情報が表示されます。

Primary(プライマリ)またはSecondary(セカンダリ)

Active ― モジュールはアクティブ モードです。

Stanby ― モジュールはスタンバイ モードです。

Disabled ― モジュールのフェールオーバーがディセーブルか、またはフェールオーバー リンクが設定されていません。

Listen ― モジュールはアクティブ モジュールを検出するため、ポーリング メッセージを待機中です。

Learn ― モジュールはアクティブ モジュールを検出しましたが、コンフィギュレーションが同期化されていないのでスタンバイ モードになっていません。

Failed ― モジュールに障害が発生しています。

Acitive time(アクティブ タイム):

n (秒)

モジュールのアクティブ ステートの持続時間です。累積時間なので、スタンバイ モジュールが以前にアクティブだった場合、その時間が表示されます。

コンテキスト名 ]インターフェイス n . n . n . n ):

各インターフェイスについて、モジュール上で現在使用されているIPアドレスと、次のいずれかの状態が表示されます。

Failed ― インターフェイスに障害が発生しています。

Link Down ― インターフェイス ライン プロトコルがダウンしています。

Normal ― インターフェイスは正常に動作しています。

No Link ― インターフェイスは管理上のシャットダウンに設定されています。

Unknown ― FWSMはこのインターフェイスのステータスを判別できません。

(Waiting) ― インターフェイスは、他方のモジュールから、まだポーリング メッセージを受信していません。

(Autostate Down) ― インターフェイスにautostade downがマークされています。

Testing ― インターフェイスはテスト中です。

マルチコンテキスト モードでは、各インターフェイスの前にコンテキスト名が表示されます。

Stateful Failover Logical Update
Statistics(ステートフル フェールオーバーの論理更新統計)

ステートフル フェールオーバー機能の関連フィールドが表示されます。Linkフィールドにインターフェイス名が示されている場合、ステートフル フェールオーバーの統計情報が表示されます。

Link(リンク)

interface_name ― ステートフル フェールオーバー リンクに使用されているインターフェイス

Unconfigured ― ステートフル フェールオーバーが使用されていません。

Stateful Obj(ステートフル オブジェクト)

各フィールド タイプに、次の統計情報が表示されます。

xmit ― 他方のモジュールへの送信パケット数

xerr ― 他方のモジュールへのパケット送信中に発生したエラー数

rcv ― 受信パケット数

rerr ― 他方のモジュールからのパケット受信中に発生したエラー数

General

すべてのステートフル オブジェクトの合計

sys cmd

論理更新システム コマンド:LOGIN、Stay Aliveなど。

up time

アクティブ モジュールからスタンバイ モジュールに渡される動作時間

xlate

変換情報

tcp conn

TCP接続情報

udp conn

動的なUDP接続情報

ARP tbl

動的なARPテーブル情報

RIP Tbl

動的なルータ テーブル情報

Logical Update Queue
Information(論理更新キュー情報)

各フィールド タイプに、次の統計情報が表示されます。

Cur ― 現在のパケット数

Max ― 最大パケット数

Total ― 合計パケット数

Recv Q

受信キューのステータス

Xmit Q

送信キューのステータス

モニタ対象インターフェイスの表示


 

(コンテキスト内から)モニタ対象インターフェイスのステータスを表示するには、次のコマンドを入力します。

primary/contexta(config)# show monitor-interface
 


 

次に例を示します。

primary/contexta(config)# show monitor-interface
This host: Primary - Active
Interface outside (88.1.1.2): Normal
Interface inside (10.6.8.91): Normal
Other host: Secondary - Standby
Interface outside (88.1.1.3): Normal
Interface inside (10.6.8.100): Normal

フェールオーバー機能のテスト

フェールオーバーの動作を確認する手順は、次のとおりです。


ステップ 1 異なるインターフェイスのホスト間でFTP(他の方法でも可)を使用してファイルを送信し、プライマリ(アクティブ)モジュールが正常にトラフィックを転送しているかどうかをテストします。

ステップ 2 次のコマンドを入力して、スタンバイ モジュールへのフェールオーバーを強制実行します。

primary(config)# no failover active
 

 

ステップ 3 FTPを使用して、同じ2つのホスト間で別のファイルを送信します。

ステップ 4 テストに失敗した場合は、 show failover コマンドを入力して、フェールオーバーのステータスを確認します。

ステップ 5 完了後、セカンダリ モジュールをアクティブのままにしておくか、または次のコマンドを入力して、プライマリ モジュールをアクティブに戻します。

primary(config)# failover active
 


 

フェールオーバーの強制実行

スタンバイ モジュールを強制的にアクティブにするには、次のいずれかのコマンドを入力します。

スタンバイ モジュールへのフェールオーバーを実行するには、アクティブ モジュール上で次のコマンドを入力します。

primary(config)# no failover active
 

スタンバイ モジュールを強制的にアクティブにするには、スタンバイ モジュール上で次のコマンドを入力します。

secondary(config)# failover active
 
 
 

フェールオーバーのディセーブル化

フェールオーバーをディセーブルにしても、再起動するまでは、各モジュールのアクティブおよびスタンバイのステートが保持されます。たとえば、スタンバイ モジュールはスタンバイ モードのままなので、両方のモジュールによるトラフィック転送は開始されません。(フェールオーバーをディセーブルにした状態で)スタンバイ モジュールを強制的にアクティブにする場合は、前述の「フェールオーバーの強制実行」を参照してください。


 

フェールオーバーをディセーブルにするには、次のコマンドを入力します。

primary(config)# no failover
 

このコマンドはスタンバイ モジュールには複製されないので、スタンバイ モジュール上でもフェールオーバーをディセーブルにする必要があります。

フェールオーバーがオフになったことを確認するには、 show failover コマンドを入力します。

primary(config)# show failover
Failover Off
...
 


 

フェールオーバー動作のモニタ

フェールオーバーが実行されると、両方のFWSMからシステム メッセージが送信されます。ここでは、次の内容について説明します。

「フェールオーバー システム メッセージ」

「SNMP」

「デバッグ メッセージ」

フェールオーバー システム メッセージ

FWSMは、クリティカル状態を示すプライオリティ レベル2で、フェールオーバー関連のシステム メッセージを多数生成します。これらのメッセージを表示するには、『 Catalyst 6500 Series Switch and Cisco 7600 Series Router Firewall Services Module System Messages Guide 』を参照し、ロギングをイネーブルにして、システム メッセージの説明を参照してください。

SNMP

フェールオーバーのSNMP Syslogトラップを受信する場合の詳細については、「SNMPの使用方法」を参照してください。

デバッグ メッセージ

デバッグ メッセージを表示するには、 debug fover コマンドを入力します。詳細については、 Catalyst 6500 Series Switch and Cisco 7600 Series Router Firewall Services Module Command Reference を参照してください。

フェールオーバーに関するFAQ

ここでは、フェールオーバー機能に関するFAQ(よくある質問)を示します。内容は次のとおりです。

「コンフィギュレーションの複製に関する質問」

「基本的なフェールオーバーに関する質問」

「ステートフル フェールオーバーに関する質問」

コンフィギュレーションの複製に関する質問

コンフィギュレーションの複製については、次の質問と回答を参照してください。

コンフィギュレーションの複製を行うと、コンフィギュレーションはスタンバイ モジュールのフラッシュ メモリに保存されますか。

保存されません。コンフィギュレーションが保存されるのは実行メモリだけです。

コンフィギュレーションを手動で2回入力しなくても、両方のモジュールの設定が一致するのはなぜですか。

アクティブ モジュールで入力したコマンドが、スタンバイ モジュールに自動的に複製されるからです。

スタンバイ モジュールにコマンドを入力した場合、どうなりますか。

コンフィギュレーションが同期化されないことを示すエラー メッセージが表示されます。ただし、入力したコマンドは適用されます。

アクティブ モジュールにも同じコマンドを入力すれば、スタンバイ モジュールに複製され、スタンバイ モジュールでの変更が保持されます。

アクティブ モジュールに write standby コマンドを入力すると、スタンバイ モジュールに入力した新しいコマンドが消去されます。

アクティブ モジュールに copy running-config startup-config コマンドを入力すると、どうなりますか。

スタンバイ モジュールに copy running-config startup-config コマンドが複製され、コンフィギュレーションがフラッシュ メモリに書き込まれます。

セカンダリ モジュールのフラッシュ メモリのコンフィギュレーションがプライマリ モジュールのコンフィギュレーションと異なる場合、どうなりますか。

起動時にプライマリ モジュールのコンフィギュレーションがセカンダリ モジュールに送信されるので、セカンダリ モジュールの実行コンフィギュレーションは消去されます。ただし、セカンダリ モジュールのフラッシュ メモリ内のスタートアップ コンフィギュレーションは変更されません。

実行コンフィギュレーションとフラッシュ メモリのコンフィギュレーションは、どのように表示するのですか。

show running コマンド ― 実行コンフィギュレーションが表示されます。 write terminal コマンドを入力することもできます。

show config コマンド ― フラッシュ メモリ内のコンフィギュレーションが表示されます。

ディスク上のコンテキストは、スタンバイ モジュールのディスクに保存されますか。

保存されません。コンテキストはすべて実行メモリだけにロードされます。コンテキストのスタートアップ コンフィギュレーションは、プライマリ モジュールのディスク上に常時保管されます。コンテキストのコンフィギュレーションをスタンバイ モジュールにコピーしておけば、スタンバイ モジュールをアクティブ モジュールとして起動し、ディスクからコンテキストをロードできます。

モジュール全体ではなく、コンテキストだけのフェールオーバーはできますか。

できません。アクティブにできるFWSMは1台だけです。

基本的なフェールオーバーに関する質問

基本的なフェールオーバーについては、次の質問と回答を参照してください。

両方のモジュールを再起動した場合、どちらのモジュールがアクティブになりますか。

プライマリ モジュールです。

アクティブ モジュールに電源障害が発生した場合、どうなりますか。

helloメッセージの応答確認ができない場合、スタンバイ モジュールがアクティブになります。

フェールオーバー前のアクティブ モジュールが再びオンラインになった場合、どうなりますか。

フェールオーバーは実行されません。スタンバイ モードのままです。

障害検出までに、どれぐらいの時間がかかりますか。

ネットワーク エラーは、3回の連続するポーリング間隔(デフォルトでは15秒)の間に検出されます。ポーリング間隔の秒数は、 failover poll interface コマンドを使用して設定できます。

フェールオーバー通信エラーは、ユーザが設定した秒数(デフォルトは15秒)以内に検出されます。このポーリング時間は、 failover poll unit コマンドを使用して設定できます。

必要なメンテナンスは何ですか。

エラーまたは切り替えが発生すると、Syslogメッセージが生成されます。障害のあるモジュールを調べ、障害を回復するか、またはモジュールを交換してください。

両方のFWSMモジュールを同時にアクティブにすることはできますか。

次の状況の場合には可能です。

両方のモジュールのフラッシュ メモリにコンフィギュレーションが保存されている

両方のモジュールのフェールオーバーがイネーブルである

起動時にフェールオーバー リンクがダウンしている

または

スイッチ間のフェールオーバーが設定され、スイッチ間のトランクに障害がある場合

スタンバイ モジュールからトラフィックを転送できないのは、なぜですか。

FWSMのフェールオーバー機能では、スタンバイ モジュール宛てのトラフィック(helloメッセージ、Telnet[イネーブルの場合])だけが許可され、スタンバイ モジュールから他のモジュール宛てのトラフィックは廃棄されるからです。

ステートフル フェールオーバーに関する質問

ステートフル フェールオーバーについては、次の質問と回答を参照してください。

ステートフル フェールオーバーで、スタンバイのFWSMに複製されない情報は何ですか。

ユーザ認証(uauth)テーブル

ISAKMPおよびIPSec SAテーブル(管理アクセスのみ)

ARPテーブル

ルーティング情報

その他のUDP接続

ステート リンクのインターフェイスは、フェールオーバー リンクと共有できますか。

できます。ただし、個別のインターフェイスを使用することを推奨します。

フェールオーバー コンフィギュレーションの例

図 15-8に、スイッチ内のフェールオーバー コンフィギュレーションのネットワーク図を示します。スイッチ内とスイッチ間のフェールオーバー コンフィギュレーションの違いは、スイッチ上の相違だけです。FWSMの設定は同じです。

図 15-8 フェールオーバーの設定例

 

例15-1に、フェールオーバー コンフィギュレーションの一般的なコマンド例を示します。マルチコンテキスト モードの設定例と、1つのコンテキスト(adminコンテキスト)の例が示されています。シングルコンテキスト モードの場合には、単純に2つのコンフィギュレーションを組み合わせ、 admin-context コマンドと context コマンドを除外します。

例15-1 フェールオーバー コンフィギュレーション

システムのコンフィギュレーション:

hostname FWSM
enable password farscape
password crichton
admin-context adminctxt
context adminctxt
allocate-interface vlan200
allocate-interface vlan201
config-url disk:/adminctxt.cfg
failover lan interface faillink vlan 10
failover link statelink vlan 11
failover lan unit primary
failover interface ip faillink 192.168.253.1 255.255.255.252 standby 192.168.253.2
failover interface ip statelink 192.168.253.5 255.255.255.252 standby 192.168.253.6
failover interface-policy 1
failover replication http
failover
 

コンテキストのコンフィギュレーション:

nameif vlan200 outside security0
nameif vlan201 inside security100
enable password aeryn
password rygel
telnet 192.168.2.45 255.255.255.255 [コンテキスト ネットワーク上のホストは非表示]
ip address outside 209.165.201.1 255.255.255.224 standby 209.165.201.2
ip address inside 192.168.2.1 255.255.255.0 standby 192.168.2.2
monitor-interface inside
monitor-interface outside
global (outside) 1 209.165.201.3 netmask 255.255.255.224
nat (inside) 1 0.0.0.0 0.0.0.0 0 0
static (inside,outside) 209.165.201.5 192.168.2.5 netmask 255.255.255.255 0 0
access-list acl_out permit tcp any 209.165.201.5 eq 80
access-group acl_out in interface outside
route outside 0 0 209.165.201.4 1
 

例15-2に、セカンダリ モジュールのコンフィギュレーションを示します。

例15-2 フェールオーバー コンフィギュレーション:セカンダリ モジュール

failover lan interface faillink vlan 10
failover lan unit secondary
failover interface ip faillink 192.168.253.1 255.255.255.252 standby 192.168.253.2
failover