Fehlerbehebung: Schnittstellenstatuskonflikt zwischen der FMC-GUI und der sekundären FTD-CLI in der Hochverfügbarkeitskonfiguration

Problem

Nach der Deaktivierung der Datenschnittstellen der Secure Firewall Threat Defense Virtual (FTDv) in Hochverfügbarkeits- (HA oder Failover) Konfiguration in der Secure Firewall Management Center (FMC) User Interface (UI) und der erfolgreichen Bereitstellung der Richtlinien werden folgende Symptome beobachtet:

1. Der Verwaltungsstatus der Schnittstelle stimmt nicht mit der FMC-Benutzeroberfläche und der FTD-CLI des sekundären/Standby-Geräts überein. Auf FMC-UI-Schnittstellen sind sie vom Administrator deaktiviert, während sie auf FTD-CLI aktiviert sind.

2. Der Verwaltungsstatus der Schnittstellen ist von HA-Einheiten verschieden: Die Schnittstellen werden administrativ auf der primären Einheit heruntergefahren, während auf der sekundären/Standby-Einheit die Schnittstellen administrativ aktiv sind:

> show failover
 
Failover On
Failover unit Secondary
Failover LAN Interface: FailoverLink GigabitEthernet0/7 (up)
Reconnect timeout 0:00:00
Unit Poll frequency 1 seconds, holdtime 15 seconds
Interface Poll frequency 5 seconds, holdtime 25 seconds
Interface Policy 1
Monitored Interfaces 8 of 311 maximum
MAC Address Move Notification Interval not set
failover replication http
Version: Ours 9.20(2)121, Mate 9.20(2)121
Serial Number: Ours ABC123, Mate DEF123
Last Failover at: 05:30:31 UTC Apr 7 2026
        This host: Secondary - Standby Ready
                Active time: 83 (sec)
                slot 0: ASAv hw/sw rev (/9.20(2)121) status (Up Sys)
                  Interface outside (192.168.1.1): Normal (Waiting) <-- No shutdown
                  Interface inside (192.168.2.1): Normal (Waiting)  <-- No shutdown
                  Interface DMZ (192.168.3.1): Normal (Waiting)     <-- No shutdown          
                slot 1: snort rev (1.0)  status (up)
                slot 2: diskstatus rev (1.0)  status (up)
        Other host: Primary - Active
                Active time: 188332 (sec)
                  Interface outside (192.168.1.1): Link Down (Shutdown) <-- Shutdown
                  Interface inside (192.168.2.1): Link Down (Shutdown)  <-- Shutdown
                  Interface DMZ (192.168.3.1): Link Down (Shutdown)     <-- Shutdown             
                slot 1: snort rev (1.0)  status (up)
                slot 2: diskstatus rev (1.0)  status (up)
...

Die Diskrepanz verhinderte eine erfolgreiche Migration der Firewalls.

Umwelt

• Von FMC verwaltete FTDv, Version 7.4.2.4 in HA. Auch andere Softwareversionen können betroffen sein.

• Die primäre Einheit ist aktiv, die sekundäre Einheit ist im Standby-Modus. Die Symptome sind für den aktiven/Standby-Zustand relevant, unabhängig von der primären/sekundären Rolle.

• Datenschnittstellen werden auf dem FMC deaktiviert, und Richtlinien werden bereitgestellt.

Auflösung

Die Symptome werden reproduziert und in der Cisco Bug-ID CSCwt99185 mit dokumentierten Workaround-Schritten dokumentiert.

Ursache

Die Diskrepanz beim Schnittstellenstatus ist auf den Cisco Bug CSCwt99185 zurückzuführen.

Verwandte Inhalte

• Cisco Bug-ID CSCwt99185.