In dem Dokumentationssatz für dieses Produkt wird die Verwendung inklusiver Sprache angestrebt. Für die Zwecke dieses Dokumentationssatzes wird Sprache als „inklusiv“ verstanden, wenn sie keine Diskriminierung aufgrund von Alter, körperlicher und/oder geistiger Behinderung, Geschlechtszugehörigkeit und -identität, ethnischer Identität, sexueller Orientierung, sozioökonomischem Status und Intersektionalität impliziert. Dennoch können in der Dokumentation stilistische Abweichungen von diesem Bemühen auftreten, wenn Text verwendet wird, der in Benutzeroberflächen der Produktsoftware fest codiert ist, auf RFP-Dokumentation basiert oder von einem genannten Drittanbieterprodukt verwendet wird. Hier erfahren Sie mehr darüber, wie Cisco inklusive Sprache verwendet.
Cisco hat dieses Dokument maschinell übersetzen und von einem menschlichen Übersetzer editieren und korrigieren lassen, um unseren Benutzern auf der ganzen Welt Support-Inhalte in ihrer eigenen Sprache zu bieten. Bitte beachten Sie, dass selbst die beste maschinelle Übersetzung nicht so genau ist wie eine von einem professionellen Übersetzer angefertigte. Cisco Systems, Inc. übernimmt keine Haftung für die Richtigkeit dieser Übersetzungen und empfiehlt, immer das englische Originaldokument (siehe bereitgestellter Link) heranzuziehen.
Dieses Dokument beschreibt die Konfiguration und Verifizierung der PPPoE-Redundanz (hohe Verfügbarkeit oder HA) in ASA oder Secure Firewall Threat Defense (FTD).
Grundlegendes Produktwissen.
Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.
Die Informationen in diesem Dokument basierend auf folgenden Software- und Hardware-Versionen:
Die Firewall-Software unterstützt die Konfiguration mehrerer PPPoE-Sitzungen. In diesem Dokument werden 2 PPPoE-Sitzungen berücksichtigt, und "HA" oder "Redundanz" werden synonym verwendet.
In Kombination mit dem Service Layer Agreement (SLA) können Benutzer durch Nachverfolgung, Nachverfolgung und Routing unterschiedliche Redundanzmodi konfigurieren:
Beachten Sie, dass die Konfiguration des Routings auf Peer-Geräten nicht in diesem Artikel behandelt wird.
Weitere Informationen finden Sie in der folgenden Beispieltopologie:
Aktiv-Aktiv-Redundanz mit Lastverteilung
Wichtigste Punkte:
interface GigabitEthernet0/0
nameif outside
security-level 0
pppoe client vpdn group RTR1
ip address pppoe setroute
interface GigabitEthernet0/1
nameif outside2
security-level 0
pppoe client vpdn group RTR2
pppoe client route distance 10
ip address pppoe setroute
vpdn group RTR1 request dialout pppoe
vpdn group RTR1 localname pppoe
vpdn group RTR1 ppp authentication pap
vpdn group RTR2 request dialout pppoe
vpdn group RTR2 localname pppoe
vpdn username pppoe password *****
sla monitor 1
type echo protocol ipIcmpEcho 172.16.1.1 interface outside2
num-packets 2
timeout 5
frequency 5
sla monitor schedule 1 life forever start-time now
track 1 rtr 1 reachability
object network net-192.168.1.0
subnet 192.168.1.0 255.255.255.0
nat (inside,outside) source dynamic net-192.168.1.0 interface
nat (inside,outside2) source dynamic net-192.168.1.0 interface
route outside2 172.16.253.0 255.255.255.0 172.16.1.1 1 track 1
In diesem Abschnitt wird nur die FTD-spezifische PPPoE-Konfiguration behandelt. Dies ist der Vergleich der externen und der externen 2 Schnittstellen, die die PPPoE-Konfiguration auf FTD und die auf der Datenebene bereitgestellten Befehle nebeneinander ausführen:
Konfiguration der externen PPPoE-Schnittstelle auf der FMC-Benutzeroberfläche
outside2 PPPoE-Schnittstellenkonfiguration auf der FMC-Benutzeroberfläche
Statische Route mit Nachverfolgung:
Statische Route mit Nachverfolgung
Konfiguration des SLA-Überwachungsobjekts:
SLA-Konfiguration
Wichtigste Punkte:
Verifizierung
firewall# show vpdn session pppoe state
PPPoE Session Information (Total tunnels=2 sessions=1)
SessID TunID Intf State Last Chg
23 5 outside2 PADI_SENT 225 secs
14 4 outside SESSION_UP 150 secs
firewall# show vpdn pppinterface
PPP virtual interface id = 1
PPP authentication protocol is PAP
Server ip address is 10.10.1.1
Our ip address is 10.10.1.10
Transmitted Pkts: 33, Received Pkts: 33, Error Pkts: 0
MPPE key strength is None
MPPE_Encrypt_Pkts: 0, MPPE_Encrypt_Bytes: 0
MPPE_Decrypt_Pkts: 0, MPPE_Decrypt_Bytes: 0
Rcvd_Out_Of_Seq_MPPE_Pkts: 0
PPP virtual interface id = 2 was deleted and pending reuse
firewall# show route
…
S* 0.0.0.0 0.0.0.0 [1/0] via 10.10.1.1, outside
C 192.168.1.0 255.255.255.0 is directly connected, inside
L 192.168.1.1 255.255.255.255 is directly connected, inside
Syslogs:
Mar 15 2026 20:23:26: %ASA-6-305009: Built static translation from outside:0.0.0.0 to inside:0.0.0.0
Mar 15 2026 20:23:26: %ASA-6-603108: Built PPPOE Tunnel, tunnel_id = 4, remote_peer_ip = 10.10.1.1, ppp_virtual_interface_id = 1, client_dynamic_ip = 10.10.1.10, username = pppoe
Mar 15 2026 20:23:26: %ASA-6-317077: Added STATIC route 0.0.0.0 0.0.0.0 via 10.10.1.1 [1/0] on [outside] [G0/0] tableid [0
2. PPPoE-Sitzung mit RTR2 über die outside2-Schnittstelle wird aufgebaut:
firewall# show vpdn session pppoe state
PPPoE Session Information (Total tunnels=2 sessions=2)
SessID TunID Intf State Last Chg
24 5 outside2 SESSION_UP 76 secs
14 4 outside SESSION_UP 349 secs
firewall# show vpdn pppinterface
PPP virtual interface id = 1
PPP authentication protocol is PAP
Server ip address is 10.10.1.1
Our ip address is 10.10.1.10
Transmitted Pkts: 67, Received Pkts: 67, Error Pkts: 0
MPPE key strength is None
MPPE_Encrypt_Pkts: 0, MPPE_Encrypt_Bytes: 0
MPPE_Decrypt_Pkts: 0, MPPE_Decrypt_Bytes: 0
Rcvd_Out_Of_Seq_MPPE_Pkts: 0
PPP virtual interface id = 2
PPP authentication protocol is PAP
Server ip address is 172.16.1.1
Our ip address is 172.16.1.10
Transmitted Pkts: 54, Received Pkts: 54, Error Pkts: 0
MPPE key strength is None
MPPE_Encrypt_Pkts: 0, MPPE_Encrypt_Bytes: 0
MPPE_Decrypt_Pkts: 0, MPPE_Decrypt_Bytes: 0
Rcvd_Out_Of_Seq_MPPE_Pkts: 0
firewall# show route
Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
…
S* 0.0.0.0 0.0.0.0 [1/0] via 10.10.1.1, outside
S 172.16.253.0 255.255.255.0 [1/0] via 172.16.1.1, outside2
C 192.168.1.0 255.255.255.0 is directly connected, inside
L 192.168.1.1 255.255.255.255 is directly connected, inside
Syslogs:
Mar 15 2026 20:27:59: %ASA-6-317077: Added STATIC route 0.0.0.0 0.0.0.0 via 0.0.0.0 [10/0] on [outside2] [G0/1] tableid [0]
Mar 15 2026 20:27:59: %ASA-6-305009: Built static translation from outside2:0.0.0.0 to inside:0.0.0.0
Mar 15 2026 20:27:59: %ASA-6-603108: Built PPPOE Tunnel, tunnel_id = 5, remote_peer_ip = 172.16.1.1, ppp_virtual_interface_id = 2, client_dynamic_ip = 172.16.1.10, username = pppoe
Mar 15 2026 20:27:59: %ASA-6-305010: Teardown static translation from outside2:0.0.0.0 to inside:0.0.0.0 duration 0:06:08
Mar 15 2026 20:28:04: %ASA-6-622001: Adding tracked route 172.16.253.0 255.255.255.0 172.16.1.1, distance 1, table default, on interface outside2
Mar 15 2026 20:28:04: %ASA-6-317077: Added STATIC route 172.16.253.0 255.255.255.0 via 172.16.1.1 [1/0] on [outside2] [G0/1] tableid [0]
3. Pakete von der PC-IP-Adresse 192.168.1.2 bis 10.10.253.2 und 172.16.253.2 werden gesendet. Aufgrund von PAT zeigen die Aufnahmen capo und capo2 die IP-Adresse der Ausgangsschnittstelle (zugeordnete Adressen) an:
Mar 14 2026 23:13:13: %ASA-6-305011: Built dynamic ICMP translation from inside:192.168.1.2/2668 to outside:10.10.1.10/2668
Mar 14 2026 23:13:19: %ASA-6-305011: Built dynamic ICMP translation from inside:192.168.1.2/2669 to outside2:172.16.1.10/2669
firewall# show cap
capture capo type raw-data interface outside [Capturing - 456 bytes]
match icmp any host 10.10.253.2
capture capo2 type raw-data interface outside2 [Capturing - 456 bytes]
match icmp any host 172.16.253.2
firewall# show cap capo
4 packets captured
1: 23:13:13.409387 10.10.1.10 > 10.10.253.2 icmp: echo request
2: 23:13:13.417764 10.10.253.2 > 10.10.1.10 icmp: echo reply
3: 23:13:14.409799 10.10.1.10 > 10.10.253.2 icmp: echo request
4: 23:13:14.415978 10.10.253.2 > 10.10.1.10 icmp: echo reply
4 packets shown
firewall# show cap capo2
4 packets captured
1: 23:13:19.500584 172.16.1.10 > 172.16.253.2 icmp: echo request
2: 23:13:19.506321 172.16.253.2 > 172.16.1.10 icmp: echo reply
3: 23:13:20.502201 172.16.1.10 > 172.16.253.2 icmp: echo request
4: 23:13:20.508076 172.16.253.2 > 172.16.1.10 icmp: echo reply
4. Simulieren Sie den Ausfall einer Remote-Verbindung auf RTR1. Das Failover auf den Backup-Pfad über die outside2-Schnittstelle dauert ca. 1 Minute:
RTR1:
Mar 15 20:43:19.679: %LINEPROTO-5-UPDOWN: Line protocol on Interface GigabitEthernet0/1, changed state to down
Firewall:
Mar 15 2026 20:44:17: %ASA-3-403503: PPPoE:PPP link down:
Mar 15 2026 20:44:17: %ASA-3-403503: PPPoE:PPP link down:Peer not responding
Mar 15 2026 20:44:17: %ASA-3-403503: PPPoE:PPP link down:
Mar 15 2026 20:44:17: %ASA-3-403503: PPPoE:PPP link down:LCP down
Mar 15 2026 20:44:17: %ASA-6-603109: Teardown PPPOE Tunnel, tunnel_id = 4, remote_peer_ip = 10.10.1.1
Mar 15 2026 20:44:17: %ASA-6-305009: Built static translation from outside:0.0.0.0 to inside:0.0.0.0
Mar 15 2026 20:44:17: %ASA-6-317078: Deleted STATIC route 0.0.0.0 0.0.0.0 via 10.10.1.1 [1/0] on [outside] [G0/0] tableid [0]
Mar 15 2026 20:44:17: %ASA-7-110007: Del Entry:0.0.0.0/0.0.0.0 nh:10.10.1.1 nh_cnt:1 flags:0 timestamp:147 resolver_cnt:0 ifcout:outside result:1 incr_ts:1 vrfid:65535
Mar 15 2026 20:44:17: %ASA-6-317077: Added STATIC route 0.0.0.0 0.0.0.0 via 172.16.1.1 [10/0] on [outside2] [G0/1] tableid [0]
Mar 15 2026 20:44:17: %ASA-7-110006: Add Entry:0.0.0.0/0.0.0.0 nh:172.16.1.1 nh_cnt:1 flags:0 timestamp:151 resolver_cnt:0 ifcout:outside2 vrfid:1644313584 handle:103727 table:output route
Mar 15 2026 20:44:17: %ASA-6-305010: Teardown static translation from outside:0.0.0.0 to inside:0.0.0.0 duration 0:02:45
firewall# show route
…
S* 0.0.0.0 0.0.0.0 [10/0] via 172.16.1.1, outside2
Dieser Fall basiert auf der Aktiv-Aktiv-Redundanz mit Lastverteilung und erfordert zusätzlich die Bereitstellung des zusätzlichen Befehls track und pppoe client route track x unter der externen Schnittstelle mithilfe von FlexConfig.
Weitere Informationen finden Sie in der folgenden Beispieltopologie:
Aktiv-Aktiv-Redundanz mit Lastverteilung und PPPoE-Client-Routenverfolgung
Wichtigste Punkte:
interface GigabitEthernet0/0
nameif outside
security-level 0
pppoe client vpdn group RTR1
pppoe client route track 2
ip address pppoe setroute
interface GigabitEthernet0/1
nameif outside2
security-level 0
pppoe client vpdn group RTR2
pppoe client route distance 10
ip address pppoe setroute
vpdn group RTR1 request dialout pppoe
vpdn group RTR1 localname pppoe
vpdn group RTR1 ppp authentication pap
vpdn group RTR2 request dialout pppoe
vpdn group RTR2 localname pppoe
vpdn username pppoe password *****
sla monitor 2
type echo protocol ipIcmpEcho 10.10.1.1 interface outside
num-packets 2
timeout 5
frequency 5
sla monitor schedule 2 life forever start-time now
sla monitor 1
type echo protocol ipIcmpEcho 172.16.1.1 interface outside2
num-packets 2
timeout 5
frequency 5
sla monitor schedule 1 life forever start-time now
track 1 rtr 1 reachability
track 2 rtr 2 reachability
object network net-192.168.1.0
subnet 192.168.1.0 255.255.255.0
nat (inside,outside) source dynamic net-192.168.1.0 interface
nat (inside,outside2) source dynamic net-192.168.1.0 interface
route outside2 172.16.253.0 255.255.255.0 172.16.1.1 1 track 1
In diesem Abschnitt wird nur die FTD-spezifische PPPoE-Konfiguration behandelt. Die Konfigurationsschritte entsprechen der FTD-Konfiguration im Abschnitt "Aktiv-Aktiv-Redundanz mit Lastverteilung". Außerdem wird der Befehl pppoe client route track x unter der externen Schnittstelle bereitgestellt. Da die FMC-Benutzeroberfläche keine Tracks für die Client-Optionen unterstützt, muss FlexConfig verwendet werden.
Achten Sie auf folgende Punkte:
1. FlexConfig-Richtlinien enthalten absichtlich keine umfassende Eingabevalidierung. Sie müssen sicherstellen, dass die Konfigurationen in dieser FlexConfig-Richtlinie korrekt sind. Falsche Konfigurationen führen zu einer fehlerhaften Bereitstellung, die zu einer Netzwerkunterbrechung führen kann. Sie sollten die Bereitstellung auch isolieren, damit sie nur FlexConfig-Änderungen und keine anderen Richtlinienaktualisierungen umfasst.
2. Während der Bereitstellung entfernt FMC alle Spuren. von FlexConfig. Um die Persistenz sicherzustellen, müssen Sie die Bereitstellung des FlexConfig-Objekts auf Everytime festlegen und in einem separaten FlexConfig-Objekt bereitstellen.
Konfigurationsschritte bei FlexConfig
1. Erstellen Sie ein FlexConfig-Objekt für die Konfiguration von SLA- und PPPoE-Client-Konfigurationen für die externe Schnittstelle. Stellen Sie sicher, dass die Bereitstellung auf Einmal und Typ auf Anfügen festgelegt wird. In diesem Beispiel werden Track 2, SLA 2 verwendet. Beachten Sie, dass der Befehl zur Erreichbarkeit von Track 2 rtr 2 fehlt:
FlexConfig für SLA
2. Erstellen Sie ein weiteres FlexConfig-Objekt für die Konfiguration des Befehls track 2 rtr 2 reachability. Stellen Sie sicher, dass die Bereitstellung auf Jederzeit und Typ festgelegt ist, an den angehängt werden soll:
FlexConfig für Track
3. Fügen Sie der FlexConfig-Richtlinie Objekte hinzu. Stellen Sie sicher, dass das Objekt mit dem Befehl track 2 rtr 2 reachability am Ende (last) steht, und stellen Sie Richtlinien bereit:
FlexConfig-Richtlinie
Wichtigste Punkte:
Verifizierung
1. PPPoE-Sitzung mit RTR1 über die externe Schnittstelle wird aufgebaut:
firewall# show vpdn session pppoe state
PPPoE Session Information (Total tunnels=2 sessions=1)
SessID TunID Intf State Last Chg
12 3 outside SESSION_UP 80 secs
12 4 outside2 PADI_SENT 74 secs
firewall# show vpdn pppinterface
PPP virtual interface id = 1
PPP authentication protocol is PAP
Server ip address is 10.10.1.1
Our ip address is 10.10.1.10
Transmitted Pkts: 71, Received Pkts: 71, Error Pkts: 0
MPPE key strength is None
MPPE_Encrypt_Pkts: 0, MPPE_Encrypt_Bytes: 0
MPPE_Decrypt_Pkts: 0, MPPE_Decrypt_Bytes: 0
Rcvd_Out_Of_Seq_MPPE_Pkts: 0
PPP virtual interface id = 2 was deleted and pending reuse
firewall# show route
…
S* 0.0.0.0 0.0.0.0 [1/0] via 10.10.1.1, outside
C 192.168.1.0 255.255.255.0 is directly connected, inside
L 192.168.1.1 255.255.255.255 is directly connected, inside
Syslogs:
Mar 14 2026 22:54:46: %ASA-4-411001: Line protocol on Interface GigabitEthernet0/0, changed state to up
Mar 14 2026 22:54:50: %ASA-6-305009: Built static translation from outside:0.0.0.0 to inside:0.0.0.0
Mar 14 2026 22:54:50: %ASA-6-603108: Built PPPOE Tunnel, tunnel_id = 3, remote_peer_ip = 10.10.1.1, ppp_virtual_interface_id = 1, client_dynamic_ip = 10.10.1.10, username = pppoe
Mar 14 2026 22:54:51: %ASA-6-305010: Teardown static translation from outside:0.0.0.0 to inside:0.0.0.0 duration 0:00:25
Mar 14 2026 22:54:52: %ASA-6-622001: Adding tracked route 0.0.0.0 0.0.0.0 10.10.1.1, distance 1, table default, on interface outside
Mar 14 2026 22:54:52: %ASA-6-317077: Added STATIC route 0.0.0.0 0.0.0.0 via 10.10.1.1 [1/0] on [outside] [Gi0/0] tableid [0]
Mar 14 2026 22:54:52: %ASA-7-110006: Add Entry:0.0.0.0/0.0.0.0 nh:10.10.1.1 nh_cnt:1 flags:0 timestamp:328 resolver_cnt:0 ifcout:outside vrfid:0 handle:444749 table:output route
2. PPPoE-Sitzung mit RTR2 über die outside2-Schnittstelle wird aufgebaut:
firewall# show vpdn session pppoe state
PPPoE Session Information (Total tunnels=2 sessions=2)
SessID TunID Intf State Last Chg
12 3 outside SESSION_UP 412 secs
13 4 outside2 SESSION_UP 89 secs
firewall# show vpdn pppinterface
PPP virtual interface id = 1
PPP authentication protocol is PAP
Server ip address is 10.10.1.1
Our ip address is 10.10.1.10
Transmitted Pkts: 238, Received Pkts: 238, Error Pkts: 0
MPPE key strength is None
MPPE_Encrypt_Pkts: 0, MPPE_Encrypt_Bytes: 0
MPPE_Decrypt_Pkts: 0, MPPE_Decrypt_Bytes: 0
Rcvd_Out_Of_Seq_MPPE_Pkts: 0
PPP virtual interface id = 2
PPP authentication protocol is PAP
Server ip address is 172.16.1.1
Our ip address is 172.16.1.10
Transmitted Pkts: 56, Received Pkts: 56, Error Pkts: 0
MPPE key strength is None
MPPE_Encrypt_Pkts: 0, MPPE_Encrypt_Bytes: 0
MPPE_Decrypt_Pkts: 0, MPPE_Decrypt_Bytes: 0
Rcvd_Out_Of_Seq_MPPE_Pkts: 0
firewall# show route
Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
E1 - OSPF external type 1, E2 - OSPF external type 2, V - VPN
i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
ia - IS-IS inter area, * - candidate default, U - per-user static route
o - ODR, P - periodic downloaded static route, + - replicated route
SI - Static InterVRF, BI - BGP InterVRF
Gateway of last resort is 10.10.1.1 to network 0.0.0.0
S* 0.0.0.0 0.0.0.0 [1/0] via 10.10.1.1, outside
C 192.168.1.0 255.255.255.0 is directly connected, inside
L 192.168.1.1 255.255.255.255 is directly connected, inside
S 172.16.253.0 255.255.255.0 [1/0] via 172.16.1.1, outside2
Syslogs:
Mar 14 2026 22:59:45: %ASA-4-411001: Line protocol on Interface GigabitEthernet0/1, changed state to up
Mar 14 2026 23:00:13: %ASA-6-603108: Built PPPOE Tunnel, tunnel_id = 4, remote_peer_ip = 172.16.1.1, ppp_virtual_interface_id = 2, client_dynamic_ip = 172.16.1.10, username = pppoe
Mar 14 2026 23:00:14: %ASA-6-305010: Teardown static translation from outside2:0.0.0.0 to inside:0.0.0.0 duration 0:25:25
Mar 14 2026 23:00:18: %ASA-6-622001: Adding tracked route 172.16.253.0 255.255.255.0 172.16.1.1, distance 1, table default, on interface outside2
Mar 14 2026 23:00:18: %ASA-6-317077: Added STATIC route 172.16.253.0 255.255.255.0 via 172.16.1.1 [1/0] on [outside2] [Gi0/1] tableid [0]
Mar 14 2026 23:00:18: %ASA-7-110006: Add Entry:172.16.253.0/255.255.255.0 nh:172.16.1.1 nh_cnt:1 flags:0 timestamp:339 resolver_cnt:0 ifcout:outside2 vrfid:0 handle:458877 table:output route
3. Pakete von der PC-IP-Adresse 192.168.1.2 bis 10.10.253.2 und 172.16.253.2 werden gesendet. Aufgrund von PAT zeigen die Aufnahmen capo und capo2 die IP-Adresse der Ausgangsschnittstelle (zugeordnete Adressen) an:
Mar 14 2026 23:13:13: %ASA-6-305011: Built dynamic ICMP translation from inside:192.168.1.2/2668 to outside:10.10.1.10/2668
Mar 14 2026 23:13:19: %ASA-6-305011: Built dynamic ICMP translation from inside:192.168.1.2/2669 to outside2:172.16.1.10/2669
firewall# show cap
capture capo type raw-data interface outside [Capturing - 456 bytes]
match icmp any host 10.10.253.2
capture capo2 type raw-data interface outside2 [Capturing - 456 bytes]
match icmp any host 172.16.253.2
firewall# show cap capo
4 packets captured
1: 23:13:13.409387 10.10.1.10 > 10.10.253.2 icmp: echo request
2: 23:13:13.417764 10.10.253.2 > 10.10.1.10 icmp: echo reply
3: 23:13:14.409799 10.10.1.10 > 10.10.253.2 icmp: echo request
4: 23:13:14.415978 10.10.253.2 > 10.10.1.10 icmp: echo reply
4 packets shown
firewall# show cap capo2
4 packets captured
1: 23:13:19.500584 172.16.1.10 > 172.16.253.2 icmp: echo request
2: 23:13:19.506321 172.16.253.2 > 172.16.1.10 icmp: echo reply
3: 23:13:20.502201 172.16.1.10 > 172.16.253.2 icmp: echo request
4: 23:13:20.508076 172.16.253.2 > 172.16.1.10 icmp: echo reply
4. Simulieren Sie den Ausfall einer Remote-Verbindung auf RTR1. Das Failover auf den Backup-Pfad über die Schnittstelle outside2 hängt von den Timern von track1 ab:
RTR1:
Mar 15 21:06:11.608: %LINEPROTO-5-UPDOWN: Line protocol on Interface TenGigabitEthernet0/0/0, changed state to down
Firewall:
Mar 15 2026 21:06:14: %ASA-3-317012: Interface IP route counter negative - Ethernet1/2
Mar 15 2026 21:06:14: %ASA-6-622001: Removing tracked route 0.0.0.0 0.0.0.0 10.10.1.1, distance 1, table default, on interface outside
Mar 15 2026 21:06:14: %ASA-6-317078: Deleted STATIC route 0.0.0.0 0.0.0.0 via 10.10.1.1 [1/0] on [outside] [E1/2] tableid [0]
Mar 15 2026 21:06:14: %ASA-7-110007: Del Entry:0.0.0.0/0.0.0.0 nh:10.10.1.1 nh_cnt:1 flags:0 timestamp:199 resolver_cnt:0 ifcout:outside result:1 incr_ts:1 vrfid:0
Mar 15 2026 21:06:14: %ASA-6-317077: Added STATIC route 0.0.0.0 0.0.0.0 via 172.16.1.1 [10/0] on [outside2] [E1/3] tableid [0]
Mar 15 2026 21:06:14: %ASA-7-110006: Add Entry:0.0.0.0/0.0.0.0 nh:172.16.1.1 nh_cnt:1 flags:0 timestamp:203 resolver_cnt:0 ifcout:outside2 vrfid:1512689936 handle:117182335 table:output route
KSEC-CSF1210-1# show route
…
S* 0.0.0.0 0.0.0.0 [10/0] via 172.16.1.1, outside2
Anmerkung:
Die Routing-Änderungen werden nicht auf bestehende Verbindungen angewendet. Daher verwendet die bestehende Verbindung weiterhin den "alten" Pfad, auch wenn ein besserer Pfad verfügbar wird. Dies kann sich nach Routing-Änderungen negativ auswirken. Um die Firewall anzuweisen, den neuen Pfad zu verwenden, sollten Sie den Timer für Floating Conn aktivieren. Wenn der Timeout für Floating-Verbindungen aktiviert ist und auf einen Wert ungleich null gesetzt ist, können Verbindungen geschlossen werden, wenn eine bessere Route verfügbar wird. Auf diese Weise kann eine Verbindung wiederhergestellt werden, um die bessere Route zu verwenden. Weitere Informationen finden Sie in der Beschreibung von floating-conn unter https://www.cisco.com/c/en/us/td/docs/security/asa/asa-cli-reference/T-Z/asa-command-ref-T-Z/m_ta-tk.html.
In diesem Fall ist nur eine PPPoE-Sitzung aktiv, die andere ist inaktiv, bis der Titel für die aktive Sitzung ausfällt.
Der Befehl pppoe client second track x wird für die outside2 (backup) Schnittstelle verwendet.
Weitere Informationen finden Sie in der folgenden Beispieltopologie:
Aktive Standby-Topologie
Wichtigste Punkte:
interface GigabitEthernet0/0
nameif outside
security-level 0
pppoe client vpdn group RTR1
pppoe client route track 2
ip address pppoe setroute
interface GigabitEthernet0/1
nameif outside2
security-level 0
pppoe client vpdn group RTR2
pppoe client route distance 10
pppoe client secondary track 2
ip address pppoe setroute
vpdn group RTR1 request dialout pppoe
vpdn group RTR1 localname pppoe
vpdn group RTR1 ppp authentication pap
vpdn group RTR2 request dialout pppoe
vpdn group RTR2 localname pppoe
vpdn username pppoe password *****
sla monitor 2
type echo protocol ipIcmpEcho 10.10.1.1 interface outside
num-packets 2
timeout 5
frequency 5
sla monitor schedule 2 life forever start-time now
track 2 rtr 2 reachability
object network net-192.168.1.0
subnet 192.168.1.0 255.255.255.0
nat (inside,outside) source dynamic net-192.168.1.0 interface
nat (inside,outside2) source dynamic net-192.168.1.0 interface
In diesem Abschnitt wird die Konfiguration des sekundären x-Befehls pppoe client für die outside2-Schnittstelle (Backup) behandelt. Da die FMC-Benutzeroberfläche keine Tracks für die Client-Optionen unterstützt, muss FlexConfig verwendet werden.
Sie müssen sicherstellen, dass die restliche Konfiguration konfiguriert wird, einschließlich PPPoE-Konfiguration, Routing und andere.
Achten Sie auf folgende Punkte:
Konfigurationsschritte bei FlexConfig
1. Erstellen Sie ein FlexConfig-Objekt für die Konfiguration von SLA- und PPPoE-Client-Konfigurationen für die externe 2 (Backup)-Schnittstelle. Stellen Sie sicher, dass Deployment auf Once und Type auf Append festgelegt ist. In diesem Beispiel werden Track 2, SLA 2 verwendet. Beachten Sie, dass der Befehl track 2 rtr 2 reachability fehlt:
FlexConfig für SLA
2. Erstellen Sie ein weiteres FlexConfig-Objekt für die Konfiguration des Befehls track 2 rtr 2 reachability. Stellen Sie sicher, dass die Bereitstellung auf Jederzeit und Typ festgelegt ist, an den angehängt werden soll:
FlexConfig für Track
3. Fügen Sie der FlexConfig-Richtlinie Objekte hinzu. Stellen Sie sicher, dass das Objekt mit dem Befehl track 2 rtr 2 reachability am Ende (last) steht, und stellen Sie Richtlinien bereit:
FlexConfig-Richtlinie
Wichtigste Punkte:
Verifizierung
1. PPPoE-Session mit RTR1 über die externe Schnittstelle ist bereits aufgebaut. Die Sicherungssitzung ist inaktiv:
firewall# show vpdn session pppoe state
PPPoE Session Information (Total tunnels=1 sessions=1)
SessID TunID Intf State Last Chg
13 3 outside SESSION_UP 72 secs
firewall# show vpdn pppinterface
PPP virtual interface id = 1
PPP authentication protocol is PAP
Server ip address is 10.10.1.1
Our ip address is 10.10.1.10
Transmitted Pkts: 60, Received Pkts: 60, Error Pkts: 0
MPPE key strength is None
MPPE_Encrypt_Pkts: 0, MPPE_Encrypt_Bytes: 0
MPPE_Decrypt_Pkts: 0, MPPE_Decrypt_Bytes: 0
Rcvd_Out_Of_Seq_MPPE_Pkts: 0
PPP virtual interface id = 2 was deleted and pending reuse
2. Die PPPoE-Sitzung zu RTR1 über die externe Schnittstelle schlägt fehl (z. B. aufgrund eines physischen Schnittstellen- oder Verbindungsfehlers). Die PPPoE-Sitzung zu RTR2 über die outside2-Schnittstelle wird aufgebaut.
Syslogs:
Mar 14 2026 23:40:50: %ASA-3-403503: PPPoE:PPP link down:Peer not responding
Mar 14 2026 23:40:50: %ASA-3-403503: PPPoE:PPP link down:
Mar 14 2026 23:40:50: %ASA-3-403503: PPPoE:PPP link down:LCP down
Mar 14 2026 23:40:50: %ASA-6-603109: Teardown PPPOE Tunnel, tunnel_id = 3, remote_peer_ip = 10.10.1.1
Mar 14 2026 23:40:50: %ASA-6-305009: Built static translation from outside:0.0.0.0 to inside:0.0.0.0
Mar 14 2026 23:39:44: %ASA-4-411002: Line protocol on Interface GigabitEthernet0/0, changed state to down
Mar 14 2026 23:39:44: %ASA-7-713906: IKE Receiver: Interface 3(outside) going down
Mar 14 2026 23:39:44: %ASA-3-317012: Interface IP route counter negative - GigabitEthernet0/0
Mar 14 2026 23:39:44: %ASA-6-317078: Deleted STATIC route 0.0.0.0 0.0.0.0 via 10.10.1.1 [1/0] on [outside] [Gi0/0] tableid [0]
Mar 14 2026 23:39:44: %ASA-7-110007: Del Entry:0.0.0.0/0.0.0.0 nh:10.10.1.1 nh_cnt:1 flags:0 timestamp:451 resolver_cnt:0 ifcout:outside result:1 incr_ts:1 vrfid:0
Mar 14 2026 23:39:48: %ASA-6-622001: Removing tracked route 0.0.0.0 0.0.0.0 10.10.1.1, distance 1, table default, on interface outside
Mar 14 2026 23:39:48: %ASA-6-305009: Built static translation from outside2:0.0.0.0 to inside:0.0.0.0
Mar 14 2026 23:39:48: %ASA-6-603108: Built PPPOE Tunnel, tunnel_id = 4, remote_peer_ip = 172.16.1.1, ppp_virtual_interface_id = 2, client_dynamic_ip = 172.16.1.10, username = pppoe
Mar 14 2026 23:39:48: %ASA-6-317078: Deleted CONNECTED route 172.16.1.10 255.255.255.255 via 0.0.0.0 [0/0] on [outside2] [Gi0/1] tableid [0]
Mar 14 2026 23:39:48: %ASA-6-317077: Added STATIC route 0.0.0.0 0.0.0.0 via 172.16.1.1 [10/0] on [outside2] [Gi0/1] tableid [0]
Mar 14 2026 23:39:48: %ASA-7-110006: Add Entry:0.0.0.0/0.0.0.0 nh:172.16.1.1 nh_cnt:1 flags:0 timestamp:459 resolver_cnt:0 ifcout:outside2 vrfid:0 handle:610419 table:output route
firewall# show vpdn session pppoe state
PPPoE Session Information (Total tunnels=2 sessions=1)
SessID TunID Intf State Last Chg
13 3 outside PADI_SENT 0 secs
14 4 outside2 SESSION_UP 82 secs
firewall# show vpdn pppinterface
PPP virtual interface id = 1 was deleted and pending reuse
PPP virtual interface id = 2
PPP authentication protocol is PAP
Server ip address is 172.16.1.1
Our ip address is 172.16.1.10
Transmitted Pkts: 56, Received Pkts: 56, Error Pkts: 0
MPPE key strength is None
MPPE_Encrypt_Pkts: 0, MPPE_Encrypt_Bytes: 0
MPPE_Decrypt_Pkts: 0, MPPE_Decrypt_Bytes: 0
Rcvd_Out_Of_Seq_MPPE_Pkts: 0
firewall# show route
Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
E1 - OSPF external type 1, E2 - OSPF external type 2, V - VPN
i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
ia - IS-IS inter area, * - candidate default, U - per-user static route
o - ODR, P - periodic downloaded static route, + - replicated route
SI - Static InterVRF, BI - BGP InterVRF
Gateway of last resort is 172.16.1.1 to network 0.0.0.0
S* 0.0.0.0 0.0.0.0 [10/0] via 172.16.1.1, outside2
S 172.16.253.0 255.255.255.0 [1/0] via 172.16.1.1, outside2
C 192.168.1.0 255.255.255.0 is directly connected, inside
L 192.168.1.1 255.255.255.255 is directly connected, inside
3. Pakete von der PC-IP-Adresse 192.168.1.2 bis 10.10.253.2 und 172.16.253.2 werden gesendet. Aufgrund eines Ausfalls des Hauptpfads werden alle Pakete über die outside2-Schnittstelle gesendet. Aufgrund von PAT zeigt capture capo2 außerdem die IP-Adresse der Ausgangsschnittstelle an (zugeordnete Adressen):
Mar 14 2026 23:46:07: %ASA-6-305011: Built dynamic ICMP translation from inside:192.168.1.2/2677 to outside2:172.16.1.10/2677
Mar 14 2026 23:46:09: %ASA-6-305011: Built dynamic ICMP translation from inside:192.168.1.2/2678 to outside2:172.16.1.10/2678
firewall# show cap
capture capo type raw-data interface outside [Capturing - 0 bytes]
match icmp any host 10.10.253.2
capture capo2 type raw-data interface outside2 [Capturing - 912 bytes]
match icmp any host 172.16.253.2
match icmp any host 10.10.253.2
firewall# show cap capo2
8 packets captured
1: 23:46:07.533694 172.16.1.10 > 172.16.253.2 icmp: echo request
2: 23:46:07.541842 172.16.253.2 > 172.16.1.10 icmp: echo reply
3: 23:46:08.534075 172.16.1.10 > 172.16.253.2 icmp: echo request
4: 23:46:08.540621 172.16.253.2 > 172.16.1.10 icmp: echo reply
5: 23:46:09.773031 172.16.1.10 > 10.10.253.2 icmp: echo request
6: 23:46:09.780034 10.10.253.2 > 172.16.1.10 icmp: echo reply
7: 23:46:10.773946 172.16.1.10 > 10.10.253.2 icmp: echo request
8: 23:46:10.778569 10.10.253.2 > 172.16.1.10 icmp: echo reply
4. Pfad über die externe Schnittstelle wird wiederhergestellt, PPPoE-Sitzung zu RTR1 wird wiederhergestellt. Die Sitzung über die outside2-Schnittstelle wechselt in den Zustand "Ausstehende Wiederverwendung":
firewall# show vpdn session pppoe state
PPPoE Session Information (Total tunnels=1 sessions=1)
SessID TunID Intf State Last Chg
17 3 outside SESSION_UP 89 secs
firewall# show vpdn pppinterface
PPP virtual interface id = 1
PPP authentication protocol is PAP
Server ip address is 10.10.1.1
Our ip address is 10.10.1.10
Transmitted Pkts: 58, Received Pkts: 58, Error Pkts: 0
MPPE key strength is None
MPPE_Encrypt_Pkts: 0, MPPE_Encrypt_Bytes: 0
MPPE_Decrypt_Pkts: 0, MPPE_Decrypt_Bytes: 0
Rcvd_Out_Of_Seq_MPPE_Pkts: 0
PPP virtual interface id = 2 was deleted and pending reuse
firewall# show route
...
S* 0.0.0.0 0.0.0.0 [1/0] via 10.10.1.1, outside
C 192.168.1.0 255.255.255.0 is directly connected, inside
L 192.168.1.1 255.255.255.255 is directly connected, inside
Syslogs:
Mar 15 2026 00:04:36: %ASA-4-411001: Line protocol on Interface GigabitEthernet0/0, changed state to up
Mar 15 2026 00:05:27: %ASA-6-603108: Built PPPOE Tunnel, tunnel_id = 3, remote_peer_ip = 10.10.1.1, ppp_virtual_interface_id = 1, client_dynamic_ip = 10.10.1.10, username = pppoe
Mar 15 2026 00:05:35: %ASA-6-622001: Adding tracked route 0.0.0.0 0.0.0.0 10.10.1.1, distance 1, table default, on interface outside
Mar 15 2026 00:05:35: %ASA-6-603109: Teardown PPPOE Tunnel, tunnel_id = 4, remote_peer_ip = 172.16.1.1
Mar 15 2026 00:05:40: %ASA-6-622001: Removing tracked route 172.16.253.0 255.255.255.0 172.16.1.1, distance 1, table default, on interface outside2
Mar 15 2026 00:05:40: %ASA-6-317078: Deleted STATIC route 172.16.253.0 255.255.255.0 via 172.16.1.1 [1/0] on [outside2] [Gi0/1] tableid [0]
5. Pakete von PC-IP-Adresse 192.168.1.2 bis 10.10.253.2 und 172.16.253.2 werden über die externe Schnittstelle (Hauptpfad) gesendet. Aufgrund von PAT zeigt Capo außerdem die IP-Adresse der Ausgangsschnittstelle (mapped) Adressen):
Mar 15 2026 00:17:27: %ASA-6-305011: Built dynamic ICMP translation from inside:192.168.1.2/2685 to outside:10.10.1.10/2685
Mar 15 2026 00:17:29: %ASA-6-305011: Built dynamic ICMP translation from inside:192.168.1.2/2686 to outside:10.10.1.10/2686
firewall# show capture
capture capo type raw-data interface outside [Capturing - 912 bytes]
match icmp any host 10.10.253.2
match icmp any host 172.16.253.2
capture capo2 type raw-data interface outside2 [Capturing - 0 bytes]
match icmp any host 172.16.253.2
match icmp any host 10.10.253.2
firewall# show capture capo
8 packets captured
1: 00:17:27.680247 10.10.1.10 > 10.10.253.2 icmp: echo request
2: 00:17:27.688761 10.10.253.2 > 10.10.1.10 icmp: echo reply
3: 00:17:28.680415 10.10.1.10 > 10.10.253.2 icmp: echo request
4: 00:17:28.683405 10.10.253.2 > 10.10.1.10 icmp: echo reply
5: 00:17:29.732673 10.10.1.10 > 172.16.253.2 icmp: echo request
6: 00:17:29.739799 172.16.253.2 > 10.10.1.10 icmp: echo reply
7: 00:17:30.732979 10.10.1.10 > 172.16.253.2 icmp: echo request
8: 00:17:30.736656 172.16.253.2 > 10.10.1.10 icmp: echo reply
8 packets shown
Anmerkung:
Die Routing-Änderungen werden nicht auf bestehende Verbindungen angewendet. Daher verwendet die bestehende Verbindung weiterhin den "alten" Pfad, auch wenn ein besserer Pfad verfügbar wird. Dies kann sich nach Routing-Änderungen negativ auswirken. Um die Firewall anzuweisen, den neuen Pfad zu verwenden, sollten Sie den Timer für Floating Conn aktivieren. Wenn der Timeout für Floating-Verbindungen aktiviert ist, d. h. auf einen Wert ungleich null gesetzt ist, können Verbindungen geschlossen werden, wenn eine bessere Route verfügbar wird. Auf diese Weise kann eine Verbindung wiederhergestellt werden, um die bessere Route zu verwenden. Weitere Informationen finden Sie in der Beschreibung von floating-conn unter https://www.cisco.com/c/en/us/td/docs/security/asa/asa-cli-reference/T-Z/asa-command-ref-T-Z/m_ta-tk.html.
Wenn Sie eine von FlexConfig bereitgestellte Konfiguration entfernen oder deaktivieren möchten, müssen Sie folgende Schritte ausführen:
Beispiel für das Entfernen der Konfiguration für die Aktiv-Aktiv-Redundanz mit Lastverteilung und PPPoE-Client-Routenverfolgung:
Flexconfig-Entfernung 1
Beispiel für das Entfernen der Konfiguration, die für eine Aktiv/Standby-Redundanz ohne Lastverteilung bereitgestellt wurde:
Flexconfig-Entfernung 2
2. Fügen Sie das in Schritt 1 erstellte Negationsobjekt der FlexConfig-Richtlinie hinzu. Stellen Sie sicher, dass die Objekte zum Hinzufügen von PPPoE-Befehlen entfernt wurden und nicht in der Richtlinie vorhanden sind:
Richtlinie zum Entfernen von FlexConfig
3. Bereitstellen von Richtlinien und Überprüfen der Entfernung von Befehlen in der CLI
4. Entfernen Sie das in Schritt 1 erstellte Negationsobjekt aus der FlexConfig-Richtlinie, und stellen Sie es erneut bereit.
"ENH: Unterstützung der FTD-Schnittstelle für DHCP/PPPoE-Client-Konfigurationsbefehle und -Unterbefehle auf der FMC-Benutzeroberfläche"| Überarbeitung | Veröffentlichungsdatum | Kommentare |
|---|---|---|
1.0 |
17-Mar-2026
|
Erstveröffentlichung |
Feedback