Desactive la supervisión del módulo de servicio en ASA para evitar eventos de conmutación por fallo no deseados (SFR/CX/IPS/CSC).

Introducción

Este documento describe cómo inhabilitar el monitoreo en los módulos SourceFire (SFR), Context Aware (CX), Intrusion Prevention System (IPS), Content Security and Control (CSC) en un entorno de failover de Adaptive Security Appliance (ASA). 

Colaboración de César López, ingeniero del TAC de Cisco.

Prerequisites

Requirements

Cisco recomienda que tenga conocimiento sobre estos temas:

• Configuración de Adaptive Security Appliance.
• Conocimiento de la conmutación por fallo de ASA para alta disponibilidad.

Desde la versión 9.3(1), esta función es configurable. Antes de la versión mencionada, el módulo debe ser siempre monitoreado. Se puede utilizar una solución alternativa para las versiones anteriores descritas en este documento.

Componentes Utilizados

Este documento se basa en las siguientes versiones de software y hardware:

• Cisco ASA Versión 9.3(1) y posterior.
• ASA serie 5500-X con FirePOWER Services, seguridad sensible al contexto ASA CX o módulo IPS.

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Antecedentes

De forma predeterminada, ASA supervisa un módulo de servicio instalado. Si se detecta un fallo en el módulo de la unidad activa, se activa la conmutación por fallo del dispositivo. 

Puede ser útil inhabilitar este monitor cuando hay una recarga programada del módulo de servicio o fallas continuas del módulo de la misma sin querer tener un evento de failover de ASA.

Nota: ASA debe desviar el tráfico al módulo para que el proceso de conmutación por fallas lo monitoree.

Configurar

Diagrama de la red

Este documento utiliza esta configuración:

Configuraciones

Esta configuración se utiliza en dispositivos de laboratorio para demostrar la función de monitoreo mencionada en este documento. Solo se incluye la configuración relevante. Algunas de las líneas de este resultado se omiten. 

ASA Version 9.3(3)
!
hostname ASA-FPWR
!
interface GigabitEthernet0/0
 nameif outside
 security-level 0
 ip address 10.88.247.5 255.255.255.224 standby 10.88.247.6
!
interface GigabitEthernet0/1
 nameif inside
 security-level 100
 ip address 192.168.10.111 255.255.255.0 standby 192.168.10.112
!
...
!
interface GigabitEthernet0/6
 description LAN Failover Interface
!
interface GigabitEthernet0/7
 description STATE Failover Interface
!
...

failover
failover lan unit primary
failover lan interface folink GigabitEthernet0/6
failover link statelink GigabitEthernet0/7
failover interface ip folink 1.1.1.1 255.255.255.0 standby 1.1.1.2
failover interface ip statelink 2.2.2.1 255.255.255.0 standby 2.2.2.2
!

...

!
class-map SFR
 match any
class-map inspection_default
 match default-inspection-traffic
!
!
policy-map type inspect dns migrated_dns_map_1
 parameters
 message-length maximum client auto
 message-length maximum 512
policy-map global_policy
 class inspection_default
 inspect dns migrated_dns_map_1
 inspect ftp
 inspect h323 h225
 inspect h323 ras
 inspect ip-options
 inspect netbios
 inspect rsh
 inspect rtsp
 inspect skinny
 inspect esmtp
 inspect sqlnet
 inspect sunrpc
 inspect tftp
 inspect sip
 inspect xdmcp
 class SFR
 sfr fail-open
!
service-policy global_policy global
prompt hostname context priority state
no call-home reporting anonymous
Cryptochecksum:b268e0095f175a26aa94d120e9041c29
: end

Compruebe los componentes supervisados actuales.

Cuando los ASA se encuentran en modo de conmutación por error, el módulo de servicio instalado se supervisa de forma predeterminada, al igual que la interfaz del dispositivo. Este comando se puede utilizar para ver qué componentes actuales se monitorean:

ASA-FPWR/pri/act# show run all monitor-interface
monitor-interface outside
monitor-interface inside
monitor-interface service-module

Compruebe el estado del módulo de servicio de las unidades ASA. 

El resultado de show failover muestra el estado actual de cada módulo de unidad:

ASA-FPWR/pri/act# show failover
Failover On
Failover unit Primary
Failover LAN Interface: folink GigabitEthernet0/6 (up)
Reconnect timeout 0:00:00
Unit Poll frequency 1 seconds, holdtime 15 seconds
Interface Poll frequency 5 seconds, holdtime 25 seconds
Interface Policy 1
Monitored Interfaces 2 of 316 maximum
MAC Address Move Notification Interval not set
Version: Ours 9.3(3), Mate 9.3(3)
Last Failover at: 14:30:44 UTC Aug 6 2015
 This host: Primary - Active
 Active time: 85 (sec)
 slot 0: ASA5545 hw/sw rev (1.0/9.3(3)) status (Up Sys)
 Interface outside (10.88.247.5): Normal (Monitored)
 Interface inside (192.168.10.111): Normal (Monitored)
 slot 1: SFR5545 hw/sw rev (N/A/5.3.1-152) status (Up/Up)
 ASA FirePOWER, 5.3.1-152, Up
 Other host: Secondary - Standby Ready
 Active time: 396 (sec)
 slot 0: ASA5545 hw/sw rev (1.0/9.3(3)) status (Up Sys)
 Interface outside (10.88.247.6): Normal (Monitored)
 Interface inside (192.168.10.112): Normal (Monitored)
 slot 1: SFR5545 hw/sw rev (N/A/5.3.1-155) status (Up/Up)
 ASA FirePOWER, 5.3.1-155, Up

Si el módulo de servicio de una unidad activa deja de funcionar, se produce un evento de failover. La unidad activa pasa a estar en espera y la unidad en espera anterior asume la función activa. En algunos escenarios, esto hace que algunas características que no son admitidas por una conmutación por fallas stateful, vuelvan a converger. 

Verifique la política de modo de falla del módulo de servicio:

Si se utiliza una política de fallo-apertura para enviar tráfico al módulo, el tráfico continúa pasando a través de ASA sin ser enviado al módulo de servicio. Esto puede ser una manera más transparente de superar un estado de inactividad esperado del módulo. 

Advertencia: Si se ha aplicado una política de cierre por error, ASA descarta todo el tráfico que coincida con el mapa de clase utilizado para desviar tráfico al módulo. 

Para conocer el estado de la política utilizada, ejecute el comando show service-policy [sfr|cx|ips|csc] .

ASA-FPWR/pri/act# show service-policy sfr

Global policy:
 Service-policy: global_policy
 Class-map: SFR
 SFR: card status Up, mode fail-open
 packet input 0, packet output 0, drop 0, reset-drop 0

 Lo mismo se puede observar al verificar la configuración del Marco de políticas modulares (MPF):

ASA-FPWR/pri/act# show run policy-map
!
policy-map type inspect dns migrated_dns_map_1
 parameters
 message-length maximum client auto
 message-length maximum 512
policy-map global_policy
 class inspection_default
 inspect dns migrated_dns_map_1
 inspect ftp
 inspect h323 h225
 inspect h323 ras
 inspect ip-options
 inspect netbios
 inspect rsh
 inspect rtsp
 inspect skinny
 inspect esmtp
 inspect sqlnet
 inspect sunrpc
 inspect tftp
 inspect sip
 inspect xdmcp
 class SFR
 sfr fail-open
!
ASA-FPWR/pri/act#

Desactive la supervisión del módulo de servicio.

Este comando hace que el proceso de failover detenga la supervisión del módulo de servicio. Cualquier recarga o solución de problemas planificada se puede realizar en el módulo sin una conmutación por fallas, en caso de que el módulo se "desactive" o "no responda".

no monitor-interface service-module

Verificación

Verifique que la supervisión del módulo de servicio esté inhabilitada.

En la configuración en ejecución, se niega el comando monitor-interface.  

ASA-FPWR/pri/act(config)# show run all monitor-interface
monitor-interface outside
monitor-interface inside
no monitor-interface service-module

Para probar, recargue el módulo alojado por la unidad activa.

A modo de demostración, el módulo FirePOWER de esta unidad se vuelve a cargar para confirmar si la unidad de conmutación por fallo activa permanece en esta función.

Salida del módulo FirePOWER en la unidad principal/activa de ASA.

Sourcefire ASA5545 v5.3.1 (build 152)

Last login: Thu Aug 6 14:40:46 on ttyS1
>
> system reboot
This command will reboot the system. Continue?
Please enter 'YES' or 'NO': YES

Broadcast message from root (Thu Aug 6 14:40:59 2015):

The system is going down for reboot NOW!

Escape Sequence detected
Console session with module sfr terminated.

Salida de la unidad principal/activa ASA mientras el módulo se recarga. 

La unidad permanece en el rol Activo. 

ASA-FPWR/pri/act# show failover
Failover On
Failover unit Primary
Failover LAN Interface: folink GigabitEthernet0/6 (up)
Reconnect timeout 0:00:00
Unit Poll frequency 1 seconds, holdtime 15 seconds
Interface Poll frequency 5 seconds, holdtime 25 seconds
Interface Policy 1
Monitored Interfaces 2 of 316 maximum
MAC Address Move Notification Interval not set
Version: Ours 9.3(3), Mate 9.3(3)
Last Failover at: 14:30:44 UTC Aug 6 2015
 This host: Primary - Active
 Active time: 616 (sec)
 slot 0: ASA5545 hw/sw rev (1.0/9.3(3)) status (Up Sys)
 Interface outside (10.88.247.5): Normal (Monitored)
 Interface inside (192.168.10.111): Normal (Monitored)
 slot 1: SFR5545 hw/sw rev (N/A/5.3.1-152) status (Unresponsive/Down)
 ASA FirePOWER, 5.3.1-152, Not Applicable
 Other host: Secondary - Standby Ready
 Active time: 396 (sec)
 slot 0: ASA5545 hw/sw rev (1.0/9.3(3)) status (Up Sys)
 Interface outside (10.88.247.6): Normal (Monitored)
 Interface inside (192.168.10.112): Normal (Monitored)
 slot 1: SFR5545 hw/sw rev (N/A/5.3.1-155) status (Up/Up)
 ASA FirePOWER, 5.3.1-155, Up

Salida de la unidad secundaria/en espera ASA mientras el módulo se recarga:

La unidad en espera no detecta este estado como una falla y no toma el rol activo.

ASA-FPWR/sec/stby# show failover
Failover On
Failover unit Secondary
Failover LAN Interface: folink GigabitEthernet0/6 (up)
Reconnect timeout 0:00:00
Unit Poll frequency 1 seconds, holdtime 15 seconds
Interface Poll frequency 5 seconds, holdtime 25 seconds
Interface Policy 1
Monitored Interfaces 2 of 316 maximum
MAC Address Move Notification Interval not set
Version: Ours 9.3(3), Mate 9.3(3)
Last Failover at: 14:30:59 UTC Aug 6 2015
 This host: Secondary - Standby Ready
 Active time: 396 (sec)
 slot 0: ASA5545 hw/sw rev (1.0/9.3(3)) status (Up Sys)
 Interface outside (10.88.247.6): Normal (Monitored)
 Interface inside (192.168.10.112): Normal (Monitored)
 slot 1: SFR5545 hw/sw rev (N/A/5.3.1-155) status (Up/Up)
 ASA FirePOWER, 5.3.1-155, Up
 Other host: Primary - Active
 Active time: 670 (sec)
 slot 0: ASA5545 hw/sw rev (1.0/9.3(3)) status (Up Sys)
 Interface outside (10.88.247.5): Normal (Monitored)
 Interface inside (192.168.10.111): Normal (Monitored)
 slot 1: SFR5545 hw/sw rev (N/A/5.3.1-152) status (Unresponsive/Down)
 ASA FirePOWER, 5.3.1-152, Not Applicable

Habilite la supervisión del módulo de servicio.

Para habilitar la supervisión de módulos, ejecute este comando:

monitor-interface service-module

Verifique que el módulo de servicio esté habilitado.

El comando del módulo de servicio ya no se niega.  

ASA-FPWR/pri/act(config)# show run all monitor-interface
monitor-interface outside
monitor-interface inside
monitor-interface service-module

Troubleshoot

Problema 1. Los ASA siguen fallando y se muestra este mensaje "La tarjeta de servicio en otra unidad ha fallado".

Si se detectan uno o varios eventos de failover, el comando show failover history se puede utilizar para conocer el motivo posible. 

ASA-FPWR/sec/act# show failover history
==========================================================================
From State To State Reason
==========================================================================
14:38:58 UTC Aug 5 2015
Bulk Sync Standby Ready Detected an Active mate

14:39:05 UTC Aug 5 2015
Standby Ready Bulk Sync No Error

14:39:17 UTC Aug 5 2015
Bulk Sync Standby Ready No Error

14:48:12 UTC Aug 6 2015
Standby Ready Just Active Service card in other unit has failed

14:48:12 UTC Aug 6 2015
Just Active Active Drain Service card in other unit has failed

14:48:12 UTC Aug 6 2015
Active Drain Active Applying Config Service card in other unit has failed

14:48:12 UTC Aug 6 2015
Active Applying Config Active Config Applied Service card in other unit has failed

14:48:12 UTC Aug 6 2015
Active Config Applied Active Service card in other unit has failed

La unidad en espera ahora muestra este mensaje:

14:47:56 UTC Aug 6 2015
Standby Ready Failed Detect service card failure

Si se ve el mensaje "La tarjeta de servicio en otra unidad ha fallado", la conmutación por fallas ocurrió porque la unidad activa detectó su propio módulo como no respondiendo. 

Si el módulo permanece en estado "Sin respuesta", el ASA afectado permanece en el modo Fallido.

ASA-FPWR/sec/stby# Waiting for the earlier webvpn instance to terminate...
Previous instance shut down. Starting a new one.

 Switching to Active

ASA-FPWR/sec/act#
ASA-FPWR/sec/act# show failover
Failover On
Failover unit Secondary
Failover LAN Interface: folink GigabitEthernet0/6 (up)
Reconnect timeout 0:00:00
Unit Poll frequency 1 seconds, holdtime 15 seconds
Interface Poll frequency 5 seconds, holdtime 25 seconds
Interface Policy 1
Monitored Interfaces 2 of 316 maximum
MAC Address Move Notification Interval not set
Version: Ours 9.3(3), Mate 9.3(3)
Last Failover at: 14:24:23 UTC Aug 6 2015
 This host: Secondary - Active
 Active time: 38 (sec)
 slot 0: ASA5545 hw/sw rev (1.0/9.3(3)) status (Up Sys)
 Interface outside (10.88.247.5): Normal (Waiting)
 Interface inside (192.168.10.111): Normal (Waiting)
 slot 1: SFR5545 hw/sw rev (N/A/5.3.1-155) status (Up/Up)
 ASA FirePOWER, 5.3.1-155, Up
 Other host: Primary - Failed
 Active time: 182 (sec)
 slot 0: ASA5545 hw/sw rev (1.0/9.3(3)) status (Up Sys)
 Interface outside (10.88.247.6): Normal (Waiting)
 Interface inside (192.168.10.112): Normal (Waiting)
 slot 1: SFR5545 hw/sw rev (N/A/5.3.1-152) status (Unresponsive/Down)
 ASA FirePOWER, 5.3.1-152, Not Applicable

Solución

La supervisión del módulo de servicio se puede inhabilitar mientras que se pueden realizar pasos adicionales para resolver el problema para recuperar el módulo.

no monitor-interface service-module

Problema 2. Mi ASA no admite 9.3(1) o no puedo actualizarlo. ¿Cómo puedo evitar los eventos de conmutación por fallo? 

La serie ASA5500 heredada no admite la versión 9.3(1) e, incluso si no admite módulos de software, algunos de ellos tienen módulos de hardware como CSC o IPS. 

Incluso con la nueva serie ASA5500-X, hay algunos dispositivos con versiones inferiores a la que admite la supervisión desactivada. 

Solución

El ASA sólo monitorea el módulo si hay una política configurada para pasar el tráfico a él.Por lo tanto, para evitar un failover, la política del módulo se puede quitar.

Identifique el mapa de clase y la política utilizada.

En este caso, esta configuración se utiliza para eliminar el desvío de tráfico de un módulo FirePOWER.

class-map SFR
 match any
class-map inspection_default
 match default-inspection-traffic
!
!
policy-map type inspect dns migrated_dns_map_1
 parameters
 message-length maximum client auto
 message-length maximum 512
policy-map global_policy
 class inspection_default
 inspect dns migrated_dns_map_1
 inspect ftp
 inspect h323 h225
 inspect h323 ras
 inspect ip-options
 inspect netbios
 inspect rsh
 inspect rtsp
 inspect skinny
 inspect esmtp
 inspect sqlnet
 inspect sunrpc
 inspect tftp
 inspect sip
 inspect xdmcp
 class SFR
 sfr fail-open
!

 El comando show service-policy [csc|cxsc|ips|sfr] se puede utilizar para detectar el mapa de clase y el estado actual.

ASA-FPWR/pri/act# show service-policy sfr

Global policy:
 Service-policy: global_policy
 Class-map: SFR
 SFR: card status Up, mode fail-open
 packet input 0, packet output 0, drop 0, reset-drop 

Inhabilite la redirección del tráfico al módulo.

Una vez eliminada la política, no se envía más tráfico del ASA al módulo. 

ASA-FPWR/pri/act# conf t
ASA-FPWR/pri/act(config)# policy-map global_policy
ASA-FPWR/pri/act(config-pmap)# class SFR
ASA-FPWR/pri/act(config-pmap-c)# no sfr fail-open
ASA-FPWR/pri/act(config-pmap-c)# end
ASA-FPWR/pri/act#

Verifique que la redirección de ASA al módulo esté inhabilitada.

 El mismo comando show se puede utilizar para verificar que el tráfico ya no va al módulo. El resultado debe estar vacío.

 ASA-FPWR/pri/act# show service-policy sfr
ASA-FPWR/pri/act#

 Incluso si el módulo no responde, la unidad activa permanece en la misma función. 

ASA-FPWR/pri/act# show module sfr

Mod Card Type Model Serial No.
---- -------------------------------------------- ------------------ -----------
 sfr FirePOWER Services Software Module ASA5545 FCH18457CNM

Mod MAC Address Range Hw Version Fw Version Sw Version
---- --------------------------------- ------------ ------------ ---------------
 sfr 74a0.2fa4.6c7a to 74a0.2fa4.6c7a N/A N/A 5.3.1-152

Mod SSM Application Name Status SSM Application Version
---- ------------------------------ ---------------- --------------------------
 sfr ASA FirePOWER Not Applicable 5.3.1-152

Mod Status Data Plane Status Compatibility
---- ------------------ --------------------- -------------
 sfr Unresponsive Not Applicable

ASA-FPWR/pri/act# show failover
Failover On
Failover unit Primary
Failover LAN Interface: folink GigabitEthernet0/6 (up)
Reconnect timeout 0:00:00
Unit Poll frequency 1 seconds, holdtime 15 seconds
Interface Poll frequency 5 seconds, holdtime 25 seconds
Interface Policy 1
Monitored Interfaces 2 of 316 maximum
MAC Address Move Notification Interval not set
Version: Ours 9.3(3), Mate 9.3(3)
Last Failover at: 14:51:20 UTC Aug 6 2015
 This host: Primary - Active
 Active time: 428 (sec)
 slot 0: ASA5545 hw/sw rev (1.0/9.3(3)) status (Up Sys)
 Interface outside (10.88.247.5): Normal (Monitored)
 Interface inside (192.168.10.111): Normal (Monitored)
 slot 1: SFR5545 hw/sw rev (N/A/5.3.1-152) status (Unresponsive/Down)
 ASA FirePOWER, 5.3.1-152, Not Applicable
 Other host: Secondary - Standby Ready
 Active time: 204 (sec)
 slot 0: ASA5545 hw/sw rev (1.0/9.3(3)) status (Up Sys)
 Interface outside (10.88.247.6): Normal (Monitored)
 Interface inside (192.168.10.112): Normal (Monitored)
 slot 1: SFR5545 hw/sw rev (N/A/5.3.1-155) status (Up/Up)
 ASA FirePOWER, 5.3.1-155, Up

Habilite la redirección del tráfico al módulo.

Una vez que el tráfico necesita ser enviado de vuelta al módulo, la política de fallo-apertura o fallo-cierre puede ser agregada de nuevo. 

ASA-FPWR/pri/act(config)# policy-map global_policy
ASA-FPWR/pri/act(config-pmap)# class SFR
ASA-FPWR/pri/act(config-pmap-c)# sfr fail-open
ASA-FPWR/pri/act(config-pmap-c)# end
ASA-FPWR/pri/act#