Deaktivieren Sie die Servicemodul-Überwachung auf ASA, um unerwünschte Failover-Ereignisse zu vermeiden (SFR/CX/IPS/CSC).

Download-Optionen

PDF (315.3 KB)
Mit Adobe Reader auf verschiedenen Geräten anzeigen
ePub (114.8 KB)
In verschiedenen Apps auf iPhone, iPad, Android, Sony Reader oder Windows Phone anzeigen
Mobi (Kindle) (121.3 KB)
Auf einem Kindle-Gerät oder einer Kindle-App auf mehreren Geräten anzeigen

Aktualisiert:30. Januar 2017

Dokument-ID:200944

Inklusive Sprache

In dem Dokumentationssatz für dieses Produkt wird die Verwendung inklusiver Sprache angestrebt. Für die Zwecke dieses Dokumentationssatzes wird Sprache als „inklusiv“ verstanden, wenn sie keine Diskriminierung aufgrund von Alter, körperlicher und/oder geistiger Behinderung, Geschlechtszugehörigkeit und -identität, ethnischer Identität, sexueller Orientierung, sozioökonomischem Status und Intersektionalität impliziert. Dennoch können in der Dokumentation stilistische Abweichungen von diesem Bemühen auftreten, wenn Text verwendet wird, der in Benutzeroberflächen der Produktsoftware fest codiert ist, auf RFP-Dokumentation basiert oder von einem genannten Drittanbieterprodukt verwendet wird. Hier erfahren Sie mehr darüber, wie Cisco inklusive Sprache verwendet.

Informationen zu dieser Übersetzung

Cisco hat dieses Dokument maschinell übersetzen und von einem menschlichen Übersetzer editieren und korrigieren lassen, um unseren Benutzern auf der ganzen Welt Support-Inhalte in ihrer eigenen Sprache zu bieten. Bitte beachten Sie, dass selbst die beste maschinelle Übersetzung nicht so genau ist wie eine von einem professionellen Übersetzer angefertigte. Cisco Systems, Inc. übernimmt keine Haftung für die Richtigkeit dieser Übersetzungen und empfiehlt, immer das englische Originaldokument (siehe bereitgestellter Link) heranzuziehen.

Inhalt

Einleitung

Anforderungen

Verwendete Komponenten

Hintergrundinformationen

Konfigurieren

Netzwerkdiagramm

Konfigurationen

Überprüfen Sie die aktuell überwachten Komponenten.

Prüfen Sie den Status des ASA-Servicemodule.

Überprüfen Sie die Richtlinie für den Servicemodul-Ausfallmodus:

Deaktivieren Sie die Servicemodul-Überwachung.

Überprüfung

Überprüfen Sie, ob die Servicemodul-Überwachung deaktiviert ist.

Zum Testen laden Sie das von der aktiven Einheit gehostete Modul neu.

Aktivieren Sie die Servicemodul-Überwachung.

Überprüfen Sie, ob das Servicemodul aktiviert ist.

Fehlerbehebung

Problem 1. ASAs führen weiterhin ein Failover aus, und die Meldung "Die Servicekarte in der anderen Einheit ist ausgefallen" wird angezeigt.

Lösung

Problem 2. Meine ASA unterstützt 9.3(1) nicht oder kann kein Upgrade durchführen. Wie kann ich Failover-Ereignisse vermeiden?

Lösung

Identifizieren Sie die verwendete Klassenzuordnung und Richtlinie.

Deaktivieren Sie die Umleitung des Datenverkehrs zum Modul.

Vergewissern Sie sich, dass die ASA-Umleitung zum Modul deaktiviert ist.

Aktivieren Sie die Umleitung des Datenverkehrs zum Modul.

Einleitung

In diesem Dokument wird beschrieben, wie die Überwachung in den Modulen SourceFire (SFR), Context Aware (CX), Intrusion Prevention System (IPS), Content Security and Control (CSC) in einer Adaptive Security Appliance (ASA)-Failover-Umgebung deaktiviert wird.

Ein Beitrag von Cesar Lopez, Cisco TAC Engineer.

Voraussetzungen

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:

Konfiguration der Adaptive Security Appliance.
Kenntnisse von ASA-Failover für Hochverfügbarkeit.

Ab Version 9.3(1) ist diese Funktion konfigurierbar. Vor der genannten Version ist das Modul immer zu überwachen. Für die in diesem Dokument beschriebenen Vorgängerversionen kann eine Problemumgehung verwendet werden.

Verwendete Komponenten

Dieses Dokument basiert auf den folgenden Software- und Hardwareversionen:

Cisco ASA Version 9.3(1) und höher
ASA 5500-X-Serie mit FirePOWER-Services, ASA CX Context-Aware Security- oder IPS-Modul

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

Hintergrundinformationen

Standardmäßig überwacht die ASA ein installiertes Servicemodul. Wenn im aktiven Einheitenmodul ein Fehler erkannt wird, wird der Appliance-Failover ausgelöst.

Es kann hilfreich sein, diesen Monitor zu deaktivieren, wenn ein geplanter Neustart eines Servicemoduls oder fortlaufende Modulfehler desselben auftreten, ohne dass ein ASA-Failover-Ereignis eintritt.

Anmerkung: Die ASA muss den Datenverkehr zum Modul umleiten, um durch den Failover-Prozess überwacht zu werden.

Konfigurieren

Netzwerkdiagramm

In diesem Dokument wird diese Konfiguration verwendet:

alt-tag-for-image

Konfigurationen

Diese Konfiguration wird in Übungsgeräten zur Demonstration der in diesem Dokument erwähnten Monitorfunktion verwendet. Es ist nur die entsprechende Konfiguration enthalten. Einige Zeilen dieser Ausgabe werden weggelassen.

ASA Version 9.3(3)
!
hostname ASA-FPWR
!
interface GigabitEthernet0/0
 nameif outside
 security-level 0
 ip address 10.88.247.5 255.255.255.224 standby 10.88.247.6
!
interface GigabitEthernet0/1
 nameif inside
 security-level 100
 ip address 192.168.10.111 255.255.255.0 standby 192.168.10.112
!
...
!
interface GigabitEthernet0/6
 description LAN Failover Interface
!
interface GigabitEthernet0/7
 description STATE Failover Interface
!
...

failover
failover lan unit primary
failover lan interface folink GigabitEthernet0/6
failover link statelink GigabitEthernet0/7
failover interface ip folink 1.1.1.1 255.255.255.0 standby 1.1.1.2
failover interface ip statelink 2.2.2.1 255.255.255.0 standby 2.2.2.2
!

...

!
class-map SFR
 match any
class-map inspection_default
 match default-inspection-traffic
!
!
policy-map type inspect dns migrated_dns_map_1
 parameters
 message-length maximum client auto
 message-length maximum 512
policy-map global_policy
 class inspection_default
 inspect dns migrated_dns_map_1
 inspect ftp
 inspect h323 h225
 inspect h323 ras
 inspect ip-options
 inspect netbios
 inspect rsh
 inspect rtsp
 inspect skinny
 inspect esmtp
 inspect sqlnet
 inspect sunrpc
 inspect tftp
 inspect sip
 inspect xdmcp
 class SFR
 sfr fail-open
!
service-policy global_policy global
prompt hostname context priority state
no call-home reporting anonymous
Cryptochecksum:b268e0095f175a26aa94d120e9041c29
: end

Überprüfen Sie die aktuell überwachten Komponenten.

Wenn sich die ASAs im Failover-Modus befinden, wird das installierte Servicemodul standardmäßig überwacht, genau wie die Appliance die Schnittstelle nutzt. Dieser Befehl kann verwendet werden, um festzustellen, welche aktuellen Komponenten überwacht werden:

ASA-FPWR/pri/act# show run all monitor-interface
monitor-interface outside
monitor-interface inside
monitor-interface service-module

Prüfen Sie den Status des ASA-Servicemodule.

Die Ausgabe von show failover zeigt den aktuellen Status der einzelnen Module an:

ASA-FPWR/pri/act# show failover
Failover On
Failover unit Primary
Failover LAN Interface: folink GigabitEthernet0/6 (up)
Reconnect timeout 0:00:00
Unit Poll frequency 1 seconds, holdtime 15 seconds
Interface Poll frequency 5 seconds, holdtime 25 seconds
Interface Policy 1
Monitored Interfaces 2 of 316 maximum
MAC Address Move Notification Interval not set
Version: Ours 9.3(3), Mate 9.3(3)
Last Failover at: 14:30:44 UTC Aug 6 2015
 This host: Primary - Active
 Active time: 85 (sec)
 slot 0: ASA5545 hw/sw rev (1.0/9.3(3)) status (Up Sys)
 Interface outside (10.88.247.5): Normal (Monitored)
 Interface inside (192.168.10.111): Normal (Monitored)
 slot 1: SFR5545 hw/sw rev (N/A/5.3.1-152) status (Up/Up)
 ASA FirePOWER, 5.3.1-152, Up
 Other host: Secondary - Standby Ready
 Active time: 396 (sec)
 slot 0: ASA5545 hw/sw rev (1.0/9.3(3)) status (Up Sys)
 Interface outside (10.88.247.6): Normal (Monitored)
 Interface inside (192.168.10.112): Normal (Monitored)
 slot 1: SFR5545 hw/sw rev (N/A/5.3.1-155) status (Up/Up)
 ASA FirePOWER, 5.3.1-155, Up

Wenn das Servicemodul einer aktiven Einheit ausfällt, tritt ein Failover-Ereignis auf. Das aktive Gerät wird zum Standby-Gerät, und das vorherige Standby-Gerät übernimmt die aktive Rolle. In einigen Szenarien führt dies dazu, dass einige Funktionen, die von einem Stateful Failover nicht unterstützt werden, wieder zusammengeführt werden.

Überprüfen Sie die Richtlinie für den Servicemodul-Ausfallmodus:

Wenn eine Fail-Open-Richtlinie zum Senden von Datenverkehr an das Modul verwendet wird, wird der Datenverkehr durch die ASA weitergeleitet, ohne an das Servicemodul gesendet zu werden. Dies kann eine transparentere Möglichkeit sein, einen erwarteten Ausfall des Moduls zu überwinden.

Warnung: Wenn eine Fail-Close-Richtlinie angewendet wurde, wird der gesamte Datenverkehr, der mit der Klassenzuordnung übereinstimmt, die zum Umleiten von Datenverkehr an das Modul verwendet wurde, von der ASA verworfen.

Um den verwendeten Richtlinienstatus zu erfahren, führen Sie den Befehl show service-policy [sfr|cx|ips|csc] aus.

ASA-FPWR/pri/act# show service-policy sfr

Global policy:
 Service-policy: global_policy
 Class-map: SFR
 SFR: card status Up, mode fail-open
 packet input 0, packet output 0, drop 0, reset-drop 0

Dasselbe lässt sich anhand der MPF-Konfiguration (Modular Policy Framework) feststellen:

ASA-FPWR/pri/act# show run policy-map
!
policy-map type inspect dns migrated_dns_map_1
 parameters
 message-length maximum client auto
 message-length maximum 512
policy-map global_policy
 class inspection_default
 inspect dns migrated_dns_map_1
 inspect ftp
 inspect h323 h225
 inspect h323 ras
 inspect ip-options
 inspect netbios
 inspect rsh
 inspect rtsp
 inspect skinny
 inspect esmtp
 inspect sqlnet
 inspect sunrpc
 inspect tftp
 inspect sip
 inspect xdmcp
 class SFR
 sfr fail-open
!
ASA-FPWR/pri/act#

Deaktivieren Sie die Servicemodul-Überwachung.

Mit diesem Befehl wird die Überwachung des Dienstmoduls durch den Failover-Prozess beendet. Alle geplanten Neustarts und Fehlerbehebungen können ohne Failover durchgeführt werden, falls das Modul ausfällt oder nicht reagiert.

no monitor-interface service-module

Überprüfung

Überprüfen Sie, ob die Servicemodul-Überwachung deaktiviert ist.

In der aktuellen Konfiguration wird der Befehl "monitor-interface" negiert.

ASA-FPWR/pri/act(config)# show run all monitor-interface
monitor-interface outside
monitor-interface inside
no monitor-interface service-module

Zum Testen laden Sie das von der aktiven Einheit gehostete Modul neu.

Zu Demonstrationszwecken wird das FirePOWER-Modul auf diesem Gerät neu geladen, um sicherzustellen, dass die aktive Failover-Einheit in dieser Rolle beibehalten wird.

Ausgabe des FirePOWER-Moduls in der primären/aktiven ASA-Einheit.

Sourcefire ASA5545 v5.3.1 (build 152)

Last login: Thu Aug 6 14:40:46 on ttyS1
>
> system reboot
This command will reboot the system. Continue?
Please enter 'YES' or 'NO': YES

Broadcast message from root (Thu Aug 6 14:40:59 2015):

The system is going down for reboot NOW!

Escape Sequence detected
Console session with module sfr terminated.

Ausgabe der primären/aktiven ASA-Einheit während des erneuten Ladens des Moduls.

Die Einheit behält die Rolle "Aktiv" bei.

ASA-FPWR/pri/act# show failover
Failover On
Failover unit Primary
Failover LAN Interface: folink GigabitEthernet0/6 (up)
Reconnect timeout 0:00:00
Unit Poll frequency 1 seconds, holdtime 15 seconds
Interface Poll frequency 5 seconds, holdtime 25 seconds
Interface Policy 1
Monitored Interfaces 2 of 316 maximum
MAC Address Move Notification Interval not set
Version: Ours 9.3(3), Mate 9.3(3)
Last Failover at: 14:30:44 UTC Aug 6 2015
 This host: Primary - Active
 Active time: 616 (sec)
 slot 0: ASA5545 hw/sw rev (1.0/9.3(3)) status (Up Sys)
 Interface outside (10.88.247.5): Normal (Monitored)
 Interface inside (192.168.10.111): Normal (Monitored)
 slot 1: SFR5545 hw/sw rev (N/A/5.3.1-152) status (Unresponsive/Down)
 ASA FirePOWER, 5.3.1-152, Not Applicable
 Other host: Secondary - Standby Ready
 Active time: 396 (sec)
 slot 0: ASA5545 hw/sw rev (1.0/9.3(3)) status (Up Sys)
 Interface outside (10.88.247.6): Normal (Monitored)
 Interface inside (192.168.10.112): Normal (Monitored)
 slot 1: SFR5545 hw/sw rev (N/A/5.3.1-155) status (Up/Up)
 ASA FirePOWER, 5.3.1-155, Up

Ausgabe der sekundären/Standby-ASA-Einheit beim Neuladen des Moduls:

Das Standby-Gerät erkennt diesen Status nicht als Fehler und übernimmt nicht die aktive Rolle.

ASA-FPWR/sec/stby# show failover
Failover On
Failover unit Secondary
Failover LAN Interface: folink GigabitEthernet0/6 (up)
Reconnect timeout 0:00:00
Unit Poll frequency 1 seconds, holdtime 15 seconds
Interface Poll frequency 5 seconds, holdtime 25 seconds
Interface Policy 1
Monitored Interfaces 2 of 316 maximum
MAC Address Move Notification Interval not set
Version: Ours 9.3(3), Mate 9.3(3)
Last Failover at: 14:30:59 UTC Aug 6 2015
 This host: Secondary - Standby Ready
 Active time: 396 (sec)
 slot 0: ASA5545 hw/sw rev (1.0/9.3(3)) status (Up Sys)
 Interface outside (10.88.247.6): Normal (Monitored)
 Interface inside (192.168.10.112): Normal (Monitored)
 slot 1: SFR5545 hw/sw rev (N/A/5.3.1-155) status (Up/Up)
 ASA FirePOWER, 5.3.1-155, Up
 Other host: Primary - Active
 Active time: 670 (sec)
 slot 0: ASA5545 hw/sw rev (1.0/9.3(3)) status (Up Sys)
 Interface outside (10.88.247.5): Normal (Monitored)
 Interface inside (192.168.10.111): Normal (Monitored)
 slot 1: SFR5545 hw/sw rev (N/A/5.3.1-152) status (Unresponsive/Down)
 ASA FirePOWER, 5.3.1-152, Not Applicable

Aktivieren Sie die Servicemodul-Überwachung.

Führen Sie den folgenden Befehl aus, um die Modulüberwachung zu aktivieren:

monitor-interface service-module

Überprüfen Sie, ob das Servicemodul aktiviert ist.

Der Dienstmodulbefehl wird nicht mehr negiert.

ASA-FPWR/pri/act(config)# show run all monitor-interface
monitor-interface outside
monitor-interface inside
monitor-interface service-module

Fehlerbehebung

Problem 1. ASAs führen weiterhin ein Failover aus, und die Meldung "Die Servicekarte in der anderen Einheit ist ausgefallen" wird angezeigt.

Wenn ein oder mehrere Failover-Ereignisse erkannt werden, kann der Befehl show failover history verwendet werden, um den möglichen Grund zu ermitteln.

ASA-FPWR/sec/act# show failover history
==========================================================================
From State To State Reason
==========================================================================
14:38:58 UTC Aug 5 2015
Bulk Sync Standby Ready Detected an Active mate

14:39:05 UTC Aug 5 2015
Standby Ready Bulk Sync No Error

14:39:17 UTC Aug 5 2015
Bulk Sync Standby Ready No Error

14:48:12 UTC Aug 6 2015
Standby Ready Just Active Service card in other unit has failed

14:48:12 UTC Aug 6 2015
Just Active Active Drain Service card in other unit has failed

14:48:12 UTC Aug 6 2015
Active Drain Active Applying Config Service card in other unit has failed

14:48:12 UTC Aug 6 2015
Active Applying Config Active Config Applied Service card in other unit has failed

14:48:12 UTC Aug 6 2015
Active Config Applied Active Service card in other unit has failed

Das jetzt im Standby-Modus befindliche Gerät zeigt folgende Meldung an:


14:47:56 UTC Aug 6 2015
Standby Ready Failed Detect service card failure

Wenn die Meldung "Service Card in other unit has failed" (Servicekarte in anderer Einheit ist ausgefallen) angezeigt wird, ist ein Failover aufgetreten, weil die aktive Einheit ihr eigenes Modul als nicht reagierend erkannt hat.

Wenn das Modul weiterhin den Status "Nicht reagiert" aufweist, befindet sich das betroffene ASA-Gerät weiterhin im Modus Fehler.

ASA-FPWR/sec/stby# Waiting for the earlier webvpn instance to terminate...
Previous instance shut down. Starting a new one.

 Switching to Active

ASA-FPWR/sec/act#
ASA-FPWR/sec/act# show failover
Failover On
Failover unit Secondary
Failover LAN Interface: folink GigabitEthernet0/6 (up)
Reconnect timeout 0:00:00
Unit Poll frequency 1 seconds, holdtime 15 seconds
Interface Poll frequency 5 seconds, holdtime 25 seconds
Interface Policy 1
Monitored Interfaces 2 of 316 maximum
MAC Address Move Notification Interval not set
Version: Ours 9.3(3), Mate 9.3(3)
Last Failover at: 14:24:23 UTC Aug 6 2015
 This host: Secondary - Active
 Active time: 38 (sec)
 slot 0: ASA5545 hw/sw rev (1.0/9.3(3)) status (Up Sys)
 Interface outside (10.88.247.5): Normal (Waiting)
 Interface inside (192.168.10.111): Normal (Waiting)
 slot 1: SFR5545 hw/sw rev (N/A/5.3.1-155) status (Up/Up)
 ASA FirePOWER, 5.3.1-155, Up
 Other host: Primary - Failed
 Active time: 182 (sec)
 slot 0: ASA5545 hw/sw rev (1.0/9.3(3)) status (Up Sys)
 Interface outside (10.88.247.6): Normal (Waiting)
 Interface inside (192.168.10.112): Normal (Waiting)
 slot 1: SFR5545 hw/sw rev (N/A/5.3.1-152) status (Unresponsive/Down)
 ASA FirePOWER, 5.3.1-152, Not Applicable

Lösung

Die Servicemodul-Überwachung kann deaktiviert werden, während weitere Schritte zur Fehlerbehebung durchgeführt werden können, um das Modul wiederherzustellen.

no monitor-interface service-module

Problem 2. Meine ASA unterstützt 9.3(1) nicht oder kann kein Upgrade durchführen. Wie kann ich Failover-Ereignisse vermeiden?

Ältere ASA 5500-Serien bieten keine Unterstützung für Version 9.3(1), und selbst wenn sie keine Softwaremodule unterstützen, verfügen einige von ihnen über Hardwaremodule wie CSC oder das IPS.

Selbst bei der neuen Serie ASA5500-X gibt es einige Appliances mit Versionen unterhalb der, die die Deaktivierung der Überwachung unterstützen.

Lösung

Die ASA überwacht das Modul nur, wenn eine Richtlinie für die Weiterleitung von Datenverkehr konfiguriert wurde. Um ein Failover zu vermeiden, kann die Modulrichtlinie daher entfernt werden.

Identifizieren Sie die verwendete Klassenzuordnung und Richtlinie.

In diesem Fall wird diese Konfiguration verwendet, um die Umleitung des Datenverkehrs eines FirePOWER-Moduls zu entfernen.

class-map SFR
 match any
class-map inspection_default
 match default-inspection-traffic
!
!
policy-map type inspect dns migrated_dns_map_1
 parameters
 message-length maximum client auto
 message-length maximum 512
policy-map global_policy
 class inspection_default
 inspect dns migrated_dns_map_1
 inspect ftp
 inspect h323 h225
 inspect h323 ras
 inspect ip-options
 inspect netbios
 inspect rsh
 inspect rtsp
 inspect skinny
 inspect esmtp
 inspect sqlnet
 inspect sunrpc
 inspect tftp
 inspect sip
 inspect xdmcp
 class SFR
 sfr fail-open
!

Mit dem Befehl show service-policy [csc|cxsc|ips|sfr] können die Klassenzuordnung und der aktuelle Status ermittelt werden.

ASA-FPWR/pri/act# show service-policy sfr

Global policy:
 Service-policy: global_policy
 Class-map: SFR
 SFR: card status Up, mode fail-open
 packet input 0, packet output 0, drop 0, reset-drop

Deaktivieren Sie die Umleitung des Datenverkehrs zum Modul.

Nachdem die Richtlinie entfernt wurde, wird kein weiterer Datenverkehr von der ASA an das Modul gesendet.

ASA-FPWR/pri/act# conf t
ASA-FPWR/pri/act(config)# policy-map global_policy
ASA-FPWR/pri/act(config-pmap)# class SFR
ASA-FPWR/pri/act(config-pmap-c)# no sfr fail-open
ASA-FPWR/pri/act(config-pmap-c)# end
ASA-FPWR/pri/act#

Vergewissern Sie sich, dass die ASA-Umleitung zum Modul deaktiviert ist.

Mit dem gleichen Befehl show kann überprüft werden, ob der Datenverkehr nicht mehr zum Modul geht. Die Ausgabe muss leer sein.

 ASA-FPWR/pri/act# show service-policy sfr
ASA-FPWR/pri/act#

Auch wenn das Modul nicht reagiert, bleibt die aktive Einheit in derselben Rolle.

ASA-FPWR/pri/act# show module sfr

Mod Card Type Model Serial No.
---- -------------------------------------------- ------------------ -----------
 sfr FirePOWER Services Software Module ASA5545 FCH18457CNM

Mod MAC Address Range Hw Version Fw Version Sw Version
---- --------------------------------- ------------ ------------ ---------------
 sfr 74a0.2fa4.6c7a to 74a0.2fa4.6c7a N/A N/A 5.3.1-152

Mod SSM Application Name Status SSM Application Version
---- ------------------------------ ---------------- --------------------------
 sfr ASA FirePOWER Not Applicable 5.3.1-152

Mod Status Data Plane Status Compatibility
---- ------------------ --------------------- -------------
 sfr Unresponsive Not Applicable

ASA-FPWR/pri/act# show failover
Failover On
Failover unit Primary
Failover LAN Interface: folink GigabitEthernet0/6 (up)
Reconnect timeout 0:00:00
Unit Poll frequency 1 seconds, holdtime 15 seconds
Interface Poll frequency 5 seconds, holdtime 25 seconds
Interface Policy 1
Monitored Interfaces 2 of 316 maximum
MAC Address Move Notification Interval not set
Version: Ours 9.3(3), Mate 9.3(3)
Last Failover at: 14:51:20 UTC Aug 6 2015
 This host: Primary - Active
 Active time: 428 (sec)
 slot 0: ASA5545 hw/sw rev (1.0/9.3(3)) status (Up Sys)
 Interface outside (10.88.247.5): Normal (Monitored)
 Interface inside (192.168.10.111): Normal (Monitored)
 slot 1: SFR5545 hw/sw rev (N/A/5.3.1-152) status (Unresponsive/Down)
 ASA FirePOWER, 5.3.1-152, Not Applicable
 Other host: Secondary - Standby Ready
 Active time: 204 (sec)
 slot 0: ASA5545 hw/sw rev (1.0/9.3(3)) status (Up Sys)
 Interface outside (10.88.247.6): Normal (Monitored)
 Interface inside (192.168.10.112): Normal (Monitored)
 slot 1: SFR5545 hw/sw rev (N/A/5.3.1-155) status (Up/Up)
 ASA FirePOWER, 5.3.1-155, Up

Aktivieren Sie die Umleitung des Datenverkehrs zum Modul.

Sobald der Datenverkehr zurück an das Modul gesendet werden muss, kann die Fail-Open- oder Fail-Close-Richtlinie wieder hinzugefügt werden.

ASA-FPWR/pri/act(config)# policy-map global_policy
ASA-FPWR/pri/act(config-pmap)# class SFR
ASA-FPWR/pri/act(config-pmap-c)# sfr fail-open
ASA-FPWR/pri/act(config-pmap-c)# end
ASA-FPWR/pri/act#