Inhalt

Problem

Nach der Deaktivierung der Datenschnittstellen der Secure Firewall Threat Defense Virtual (FTDv) in Hochverfügbarkeits- (HA oder Failover) Konfiguration in der Secure Firewall Management Center (FMC) User Interface (UI) und der erfolgreichen Bereitstellung der Richtlinien werden folgende Symptome beobachtet:

1. Der Verwaltungsstatus der Schnittstelle stimmt nicht mit der FMC-Benutzeroberfläche und der FTD-CLI des sekundären/Standby-Geräts überein. Auf FMC-UI-Schnittstellen sind sie vom Administrator deaktiviert, während sie auf FTD-CLI aktiviert sind.

2. Der Verwaltungsstatus der Schnittstellen ist von HA-Einheiten verschieden: Die Schnittstellen werden administrativ auf der primären Einheit heruntergefahren, während auf der sekundären/Standby-Einheit die Schnittstellen administrativ aktiv sind:

> show failover

Failover On

Failover unit Secondary

Failover LAN Interface: FailoverLink GigabitEthernet0/7 (up)

Reconnect timeout 0:00:00

Unit Poll frequency 1 seconds, holdtime 15 seconds

Interface Poll frequency 5 seconds, holdtime 25 seconds

Interface Policy 1

Monitored Interfaces 8 of 311 maximum

MAC Address Move Notification Interval not set

failover replication http

Version: Ours 9.20(2)121, Mate 9.20(2)121

Serial Number: Ours ABC123, Mate DEF123

Last Failover at: 05:30:31 UTC Apr 7 2026

This host: Secondary - Standby Ready

Active time: 83 (sec)

slot 0: ASAv hw/sw rev (/9.20(2)121) status (Up Sys)

Interface outside (192.168.1.1): Normal (Waiting) <-- No shutdown

Interface inside (192.168.2.1): Normal (Waiting)  <-- No shutdown

Interface DMZ (192.168.3.1): Normal (Waiting)     <-- No shutdown

slot 1: snort rev (1.0)  status (up)

slot 2: diskstatus rev (1.0)  status (up)

Other host: Primary - Active

Active time: 188332 (sec)

Interface outside (192.168.1.1): Link Down (Shutdown) <-- Shutdown

Interface inside (192.168.2.1): Link Down (Shutdown)  <-- Shutdown

Interface DMZ (192.168.3.1): Link Down (Shutdown)     <-- Shutdown

slot 1: snort rev (1.0)  status (up)

slot 2: diskstatus rev (1.0)  status (up)

...

Die Diskrepanz verhinderte eine erfolgreiche Migration der Firewalls.

Umwelt

- Von FMC verwaltete FTDv, Version 7.4.2.4 in HA. Auch andere Softwareversionen können betroffen sein.

- Die primäre Einheit ist aktiv, die sekundäre Einheit ist im Standby-Modus. Die Symptome sind für den aktiven/Standby-Zustand relevant, unabhängig von der primären/sekundären Rolle.

- Datenschnittstellen werden auf dem FMC deaktiviert, und Richtlinien werden bereitgestellt.

Auflösung

Die Symptome werden reproduziert und in der Cisco Bug-ID CSCwt99185 mit dokumentierten Workaround-Schritten dokumentiert.

Ursache

Die Diskrepanz beim Schnittstellenstatus ist auf den Cisco Bug CSCwt99185 zurückzuführen.

Verwandte Inhalte

- Cisco Bug-ID CSCwt99185.