Dépannage des incohérences d'état d'interface entre l'interface utilisateur graphique FMC et l'interface de ligne de commande FTD secondaire dans la configuration haute disponibilité

Problème

Après la désactivation des interfaces de données de l'interface utilisateur (UI) de Secure Firewall Threat Defense Virtual (FTDv) dans une configuration haute disponibilité (HA, ou basculement) dans l'interface utilisateur de Secure Firewall Management Center (FMC) et le déploiement réussi des politiques, les symptômes suivants sont observés :

1. L’état administratif de l’interface ne correspond pas entre l’interface utilisateur FMC et l’interface de ligne de commande FTD secondaire/en veille. Sur l'interface utilisateur FMC, les interfaces sont désactivées administrativement, tandis que sur l'interface de ligne de commande FTD, elles sont activées.

2. L’état administratif des interfaces est différent entre les unités haute disponibilité : Les interfaces sont administrativement désactivées sur l'unité principale tandis que sur l'unité secondaire/de secours, les interfaces sont administrativement activées :

> show failover
 
Failover On
Failover unit Secondary
Failover LAN Interface: FailoverLink GigabitEthernet0/7 (up)
Reconnect timeout 0:00:00
Unit Poll frequency 1 seconds, holdtime 15 seconds
Interface Poll frequency 5 seconds, holdtime 25 seconds
Interface Policy 1
Monitored Interfaces 8 of 311 maximum
MAC Address Move Notification Interval not set
failover replication http
Version: Ours 9.20(2)121, Mate 9.20(2)121
Serial Number: Ours ABC123, Mate DEF123
Last Failover at: 05:30:31 UTC Apr 7 2026
        This host: Secondary - Standby Ready
                Active time: 83 (sec)
                slot 0: ASAv hw/sw rev (/9.20(2)121) status (Up Sys)
                  Interface outside (192.168.1.1): Normal (Waiting) <-- No shutdown
                  Interface inside (192.168.2.1): Normal (Waiting)  <-- No shutdown
                  Interface DMZ (192.168.3.1): Normal (Waiting)     <-- No shutdown          
                slot 1: snort rev (1.0)  status (up)
                slot 2: diskstatus rev (1.0)  status (up)
        Other host: Primary - Active
                Active time: 188332 (sec)
                  Interface outside (192.168.1.1): Link Down (Shutdown) <-- Shutdown
                  Interface inside (192.168.2.1): Link Down (Shutdown)  <-- Shutdown
                  Interface DMZ (192.168.3.1): Link Down (Shutdown)     <-- Shutdown             
                slot 1: snort rev (1.0)  status (up)
                slot 2: diskstatus rev (1.0)  status (up)
...

Cette différence a empêché la migration réussie des pare-feu.

Environnement

• FTDv version 7.4.2.4 gérée par FMC dans HA. D'autres versions logicielles peuvent également être affectées.

• L'unité principale est active, l'unité secondaire est en veille. Les symptômes sont pertinents pour l'état actif/veille, indépendamment du rôle principal/secondaire.

• Les interfaces de données sont arrêtées sur FMC et les stratégies sont déployées.

Résolution

Les symptômes sont reproduits et documentés dans l'ID de bogue Cisco CSCwt9185 avec des étapes de contournement documentées.

Motif

La différence d'état d'interface est due à l'ID de bogue Cisco CSCwt99185.

Autres informations utiles

• ID de bogue Cisco CSCwt99185.