La documentazione per questo prodotto è stata redatta cercando di utilizzare un linguaggio senza pregiudizi. Ai fini di questa documentazione, per linguaggio senza di pregiudizi si intende un linguaggio che non implica discriminazioni basate su età, disabilità, genere, identità razziale, identità etnica, orientamento sessuale, status socioeconomico e intersezionalità. Le eventuali eccezioni possono dipendere dal linguaggio codificato nelle interfacce utente del software del prodotto, dal linguaggio utilizzato nella documentazione RFP o dal linguaggio utilizzato in prodotti di terze parti a cui si fa riferimento. Scopri di più sul modo in cui Cisco utilizza il linguaggio inclusivo.
Cisco ha tradotto questo documento utilizzando una combinazione di tecnologie automatiche e umane per offrire ai nostri utenti in tutto il mondo contenuti di supporto nella propria lingua. Si noti che anche la migliore traduzione automatica non sarà mai accurata come quella fornita da un traduttore professionista. Cisco Systems, Inc. non si assume alcuna responsabilità per l’accuratezza di queste traduzioni e consiglia di consultare sempre il documento originale in inglese (disponibile al link fornito).
Questo documento descrive la configurazione e la verifica della ridondanza PPPoE (alta disponibilità o HA) in ASA o Secure Firewall Threat Defense (FTD).
Conoscenze base dei prodotti.
Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.
Le informazioni fornite in questo documento si basano sulle seguenti versioni software e hardware:
Il software firewall supporta la configurazione di più sessioni PPPoE. In questo documento vengono prese in considerazione due sessioni PPPoE e viene utilizzato in modo intercambiabile "HA" o "ridondanza".
In combinazione con lo SLA (Service Layer Agreement), la registrazione e il routing con la registrazione degli utenti possono configurare diverse modalità di ridondanza:
Notare che la configurazione del routing sui dispositivi peer non rientra nell'ambito di questo articolo.
Per ulteriori informazioni, fare riferimento all'esempio seguente:
Ridondanza attivo-attivo con condivisione del carico
Considerazioni principali:
interface GigabitEthernet0/0
nameif outside
security-level 0
pppoe client vpdn group RTR1
ip address pppoe setroute
interface GigabitEthernet0/1
nameif outside2
security-level 0
pppoe client vpdn group RTR2
pppoe client route distance 10
ip address pppoe setroute
vpdn group RTR1 request dialout pppoe
vpdn group RTR1 localname pppoe
vpdn group RTR1 ppp authentication pap
vpdn group RTR2 request dialout pppoe
vpdn group RTR2 localname pppoe
vpdn username pppoe password *****
sla monitor 1
type echo protocol ipIcmpEcho 172.16.1.1 interface outside2
num-packets 2
timeout 5
frequency 5
sla monitor schedule 1 life forever start-time now
track 1 rtr 1 reachability
object network net-192.168.1.0
subnet 192.168.1.0 255.255.255.0
nat (inside,outside) source dynamic net-192.168.1.0 interface
nat (inside,outside2) source dynamic net-192.168.1.0 interface
route outside2 172.16.253.0 255.255.255.0 172.16.1.1 1 track 1
In questa sezione viene illustrata solo la configurazione PPPoE specifica per FTD. Questo è il confronto side-by-side tra la configurazione PPPoE delle interfacce esterna e esterna2 su FTD e i comandi distribuiti sul piano dati:
configurazione dell'interfaccia PPPoE esterna sull'interfaccia utente di FMC
configurazione interfaccia PPPoE outside2 nell'interfaccia utente di FMC
Route statica con rilevamento:
Route statica con rilevamento
Configurazione oggetto monitoraggio contratto di servizio:
Configurazione SLA
Considerazioni principali:
Verifica
firewall# show vpdn session pppoe state
PPPoE Session Information (Total tunnels=2 sessions=1)
SessID TunID Intf State Last Chg
23 5 outside2 PADI_SENT 225 secs
14 4 outside SESSION_UP 150 secs
firewall# show vpdn pppinterface
PPP virtual interface id = 1
PPP authentication protocol is PAP
Server ip address is 10.10.1.1
Our ip address is 10.10.1.10
Transmitted Pkts: 33, Received Pkts: 33, Error Pkts: 0
MPPE key strength is None
MPPE_Encrypt_Pkts: 0, MPPE_Encrypt_Bytes: 0
MPPE_Decrypt_Pkts: 0, MPPE_Decrypt_Bytes: 0
Rcvd_Out_Of_Seq_MPPE_Pkts: 0
PPP virtual interface id = 2 was deleted and pending reuse
firewall# show route
…
S* 0.0.0.0 0.0.0.0 [1/0] via 10.10.1.1, outside
C 192.168.1.0 255.255.255.0 is directly connected, inside
L 192.168.1.1 255.255.255.255 is directly connected, inside
Registri di sistema:
Mar 15 2026 20:23:26: %ASA-6-305009: Built static translation from outside:0.0.0.0 to inside:0.0.0.0
Mar 15 2026 20:23:26: %ASA-6-603108: Built PPPOE Tunnel, tunnel_id = 4, remote_peer_ip = 10.10.1.1, ppp_virtual_interface_id = 1, client_dynamic_ip = 10.10.1.10, username = pppoe
Mar 15 2026 20:23:26: %ASA-6-317077: Added STATIC route 0.0.0.0 0.0.0.0 via 10.10.1.1 [1/0] on [outside] [G0/0] tableid [0
2. Viene stabilita una sessione PPPoE con RTR2 tramite l'interfaccia esterna2:
firewall# show vpdn session pppoe state
PPPoE Session Information (Total tunnels=2 sessions=2)
SessID TunID Intf State Last Chg
24 5 outside2 SESSION_UP 76 secs
14 4 outside SESSION_UP 349 secs
firewall# show vpdn pppinterface
PPP virtual interface id = 1
PPP authentication protocol is PAP
Server ip address is 10.10.1.1
Our ip address is 10.10.1.10
Transmitted Pkts: 67, Received Pkts: 67, Error Pkts: 0
MPPE key strength is None
MPPE_Encrypt_Pkts: 0, MPPE_Encrypt_Bytes: 0
MPPE_Decrypt_Pkts: 0, MPPE_Decrypt_Bytes: 0
Rcvd_Out_Of_Seq_MPPE_Pkts: 0
PPP virtual interface id = 2
PPP authentication protocol is PAP
Server ip address is 172.16.1.1
Our ip address is 172.16.1.10
Transmitted Pkts: 54, Received Pkts: 54, Error Pkts: 0
MPPE key strength is None
MPPE_Encrypt_Pkts: 0, MPPE_Encrypt_Bytes: 0
MPPE_Decrypt_Pkts: 0, MPPE_Decrypt_Bytes: 0
Rcvd_Out_Of_Seq_MPPE_Pkts: 0
firewall# show route
Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
…
S* 0.0.0.0 0.0.0.0 [1/0] via 10.10.1.1, outside
S 172.16.253.0 255.255.255.0 [1/0] via 172.16.1.1, outside2
C 192.168.1.0 255.255.255.0 is directly connected, inside
L 192.168.1.1 255.255.255.255 is directly connected, inside
Registri di sistema:
Mar 15 2026 20:27:59: %ASA-6-317077: Added STATIC route 0.0.0.0 0.0.0.0 via 0.0.0.0 [10/0] on [outside2] [G0/1] tableid [0]
Mar 15 2026 20:27:59: %ASA-6-305009: Built static translation from outside2:0.0.0.0 to inside:0.0.0.0
Mar 15 2026 20:27:59: %ASA-6-603108: Built PPPOE Tunnel, tunnel_id = 5, remote_peer_ip = 172.16.1.1, ppp_virtual_interface_id = 2, client_dynamic_ip = 172.16.1.10, username = pppoe
Mar 15 2026 20:27:59: %ASA-6-305010: Teardown static translation from outside2:0.0.0.0 to inside:0.0.0.0 duration 0:06:08
Mar 15 2026 20:28:04: %ASA-6-622001: Adding tracked route 172.16.253.0 255.255.255.0 172.16.1.1, distance 1, table default, on interface outside2
Mar 15 2026 20:28:04: %ASA-6-317077: Added STATIC route 172.16.253.0 255.255.255.0 via 172.16.1.1 [1/0] on [outside2] [G0/1] tableid [0]
3. Vengono inviati pacchetti dagli indirizzi IP del PC da 192.168.1.2 a 10.10.253.2 e 172.16.253.2. A causa di PAT, le clip capo e capo2 mostrano l'indirizzo IP dell'interfaccia in uscita (indirizzi mappati):
Mar 14 2026 23:13:13: %ASA-6-305011: Built dynamic ICMP translation from inside:192.168.1.2/2668 to outside:10.10.1.10/2668
Mar 14 2026 23:13:19: %ASA-6-305011: Built dynamic ICMP translation from inside:192.168.1.2/2669 to outside2:172.16.1.10/2669
firewall# show cap
capture capo type raw-data interface outside [Capturing - 456 bytes]
match icmp any host 10.10.253.2
capture capo2 type raw-data interface outside2 [Capturing - 456 bytes]
match icmp any host 172.16.253.2
firewall# show cap capo
4 packets captured
1: 23:13:13.409387 10.10.1.10 > 10.10.253.2 icmp: echo request
2: 23:13:13.417764 10.10.253.2 > 10.10.1.10 icmp: echo reply
3: 23:13:14.409799 10.10.1.10 > 10.10.253.2 icmp: echo request
4: 23:13:14.415978 10.10.253.2 > 10.10.1.10 icmp: echo reply
4 packets shown
firewall# show cap capo2
4 packets captured
1: 23:13:19.500584 172.16.1.10 > 172.16.253.2 icmp: echo request
2: 23:13:19.506321 172.16.253.2 > 172.16.1.10 icmp: echo reply
3: 23:13:20.502201 172.16.1.10 > 172.16.253.2 icmp: echo request
4: 23:13:20.508076 172.16.253.2 > 172.16.1.10 icmp: echo reply
4. Simulare un errore di collegamento remoto su RTR1. Il failover al percorso di backup tramite l'interfaccia esterna2 richiede circa 1 minuto:
RTR1
Mar 15 20:43:19.679: %LINEPROTO-5-UPDOWN: Line protocol on Interface GigabitEthernet0/1, changed state to down
Firewall
Mar 15 2026 20:44:17: %ASA-3-403503: PPPoE:PPP link down:
Mar 15 2026 20:44:17: %ASA-3-403503: PPPoE:PPP link down:Peer not responding
Mar 15 2026 20:44:17: %ASA-3-403503: PPPoE:PPP link down:
Mar 15 2026 20:44:17: %ASA-3-403503: PPPoE:PPP link down:LCP down
Mar 15 2026 20:44:17: %ASA-6-603109: Teardown PPPOE Tunnel, tunnel_id = 4, remote_peer_ip = 10.10.1.1
Mar 15 2026 20:44:17: %ASA-6-305009: Built static translation from outside:0.0.0.0 to inside:0.0.0.0
Mar 15 2026 20:44:17: %ASA-6-317078: Deleted STATIC route 0.0.0.0 0.0.0.0 via 10.10.1.1 [1/0] on [outside] [G0/0] tableid [0]
Mar 15 2026 20:44:17: %ASA-7-110007: Del Entry:0.0.0.0/0.0.0.0 nh:10.10.1.1 nh_cnt:1 flags:0 timestamp:147 resolver_cnt:0 ifcout:outside result:1 incr_ts:1 vrfid:65535
Mar 15 2026 20:44:17: %ASA-6-317077: Added STATIC route 0.0.0.0 0.0.0.0 via 172.16.1.1 [10/0] on [outside2] [G0/1] tableid [0]
Mar 15 2026 20:44:17: %ASA-7-110006: Add Entry:0.0.0.0/0.0.0.0 nh:172.16.1.1 nh_cnt:1 flags:0 timestamp:151 resolver_cnt:0 ifcout:outside2 vrfid:1644313584 handle:103727 table:output route
Mar 15 2026 20:44:17: %ASA-6-305010: Teardown static translation from outside:0.0.0.0 to inside:0.0.0.0 duration 0:02:45
firewall# show route
…
S* 0.0.0.0 0.0.0.0 [10/0] via 172.16.1.1, outside2
Questo caso si basa sulla ridondanza attivo-attivo con condivisione del carico e richiede inoltre l'implementazione del comando route track x e del client pppoe nell'interfaccia esterna tramite FlexConfig.
Per ulteriori informazioni, fare riferimento all'esempio seguente:
Ridondanza attivo-attivo con condivisione del carico e rilevamento route client PPPoE
Considerazioni principali:
interface GigabitEthernet0/0
nameif outside
security-level 0
pppoe client vpdn group RTR1
pppoe client route track 2
ip address pppoe setroute
interface GigabitEthernet0/1
nameif outside2
security-level 0
pppoe client vpdn group RTR2
pppoe client route distance 10
ip address pppoe setroute
vpdn group RTR1 request dialout pppoe
vpdn group RTR1 localname pppoe
vpdn group RTR1 ppp authentication pap
vpdn group RTR2 request dialout pppoe
vpdn group RTR2 localname pppoe
vpdn username pppoe password *****
sla monitor 2
type echo protocol ipIcmpEcho 10.10.1.1 interface outside
num-packets 2
timeout 5
frequency 5
sla monitor schedule 2 life forever start-time now
sla monitor 1
type echo protocol ipIcmpEcho 172.16.1.1 interface outside2
num-packets 2
timeout 5
frequency 5
sla monitor schedule 1 life forever start-time now
track 1 rtr 1 reachability
track 2 rtr 2 reachability
object network net-192.168.1.0
subnet 192.168.1.0 255.255.255.0
nat (inside,outside) source dynamic net-192.168.1.0 interface
nat (inside,outside2) source dynamic net-192.168.1.0 interface
route outside2 172.16.253.0 255.255.255.0 172.16.1.1 1 track 1
Questa sezione riguarda solo la configurazione PPPoE specifica per FTD. I passi di configurazione sono gli stessi della configurazione FTD nella sezione "Ridondanza attiva-attiva con condivisione del carico" con l'aggiunta della distribuzione del comando pppoe client route track x nell'interfaccia esterna. Poiché l'interfaccia utente di FMC non supporta i brani nativi per le opzioni client, è necessario utilizzare FlexConfig.
Tenere in considerazione i seguenti punti:
1. I criteri FlexConfig non contengono intenzionalmente una convalida di input estesa. È necessario verificare che le configurazioni in questo criterio FlexConfig siano corrette. Configurazioni non corrette determinano una distribuzione non riuscita che può causare un'interruzione della rete. È inoltre consigliabile isolare la distribuzione in modo che includa solo le modifiche di FlexConfig e nessun altro aggiornamento dei criteri.
2. Durante la distribuzione, il FMC rimuove qualsiasi traccia x.. distribuito da FlexConfig. Per la persistenza, è necessario impostare la distribuzione dell'oggetto FlexConfig su Everytime (Ogni volta) e la distribuzione in un oggetto FlexConfig separato.
Procedura di configurazione di FlexConfig
1. Creare un oggetto FlexConfig per la configurazione delle configurazioni client SLA e PPPoE per l'interfaccia esterna. Assicurarsi di impostare Deployment su Once e Type su Append. In questo esempio, vengono utilizzati il track 2, SLA 2. Notare che il comando track 2 rtr 2 reachability è mancante:
FlexConfig per SLA
2. Creare un altro oggetto FlexConfig per la configurazione del comando track 2 rtr 2 reachability. Assicurarsi di impostare Deployment su Everytime e Type su Append:
FlexConfig per traccia
3. Aggiungere oggetti al criterio FlexConfig. Verificare che l'oggetto con il comando track 2 rtr 2 reachability nella parte inferiore (ultimo) e distribuire i criteri:
Criteri FlexConfig
Considerazioni principali:
Verifica
1. Viene stabilita una sessione PPPoE con RTR1 tramite l'interfaccia esterna:
firewall# show vpdn session pppoe state
PPPoE Session Information (Total tunnels=2 sessions=1)
SessID TunID Intf State Last Chg
12 3 outside SESSION_UP 80 secs
12 4 outside2 PADI_SENT 74 secs
firewall# show vpdn pppinterface
PPP virtual interface id = 1
PPP authentication protocol is PAP
Server ip address is 10.10.1.1
Our ip address is 10.10.1.10
Transmitted Pkts: 71, Received Pkts: 71, Error Pkts: 0
MPPE key strength is None
MPPE_Encrypt_Pkts: 0, MPPE_Encrypt_Bytes: 0
MPPE_Decrypt_Pkts: 0, MPPE_Decrypt_Bytes: 0
Rcvd_Out_Of_Seq_MPPE_Pkts: 0
PPP virtual interface id = 2 was deleted and pending reuse
firewall# show route
…
S* 0.0.0.0 0.0.0.0 [1/0] via 10.10.1.1, outside
C 192.168.1.0 255.255.255.0 is directly connected, inside
L 192.168.1.1 255.255.255.255 is directly connected, inside
Registri di sistema:
Mar 14 2026 22:54:46: %ASA-4-411001: Line protocol on Interface GigabitEthernet0/0, changed state to up
Mar 14 2026 22:54:50: %ASA-6-305009: Built static translation from outside:0.0.0.0 to inside:0.0.0.0
Mar 14 2026 22:54:50: %ASA-6-603108: Built PPPOE Tunnel, tunnel_id = 3, remote_peer_ip = 10.10.1.1, ppp_virtual_interface_id = 1, client_dynamic_ip = 10.10.1.10, username = pppoe
Mar 14 2026 22:54:51: %ASA-6-305010: Teardown static translation from outside:0.0.0.0 to inside:0.0.0.0 duration 0:00:25
Mar 14 2026 22:54:52: %ASA-6-622001: Adding tracked route 0.0.0.0 0.0.0.0 10.10.1.1, distance 1, table default, on interface outside
Mar 14 2026 22:54:52: %ASA-6-317077: Added STATIC route 0.0.0.0 0.0.0.0 via 10.10.1.1 [1/0] on [outside] [Gi0/0] tableid [0]
Mar 14 2026 22:54:52: %ASA-7-110006: Add Entry:0.0.0.0/0.0.0.0 nh:10.10.1.1 nh_cnt:1 flags:0 timestamp:328 resolver_cnt:0 ifcout:outside vrfid:0 handle:444749 table:output route
2. Viene stabilita una sessione PPPoE con RTR2 tramite l'interfaccia esterna2:
firewall# show vpdn session pppoe state
PPPoE Session Information (Total tunnels=2 sessions=2)
SessID TunID Intf State Last Chg
12 3 outside SESSION_UP 412 secs
13 4 outside2 SESSION_UP 89 secs
firewall# show vpdn pppinterface
PPP virtual interface id = 1
PPP authentication protocol is PAP
Server ip address is 10.10.1.1
Our ip address is 10.10.1.10
Transmitted Pkts: 238, Received Pkts: 238, Error Pkts: 0
MPPE key strength is None
MPPE_Encrypt_Pkts: 0, MPPE_Encrypt_Bytes: 0
MPPE_Decrypt_Pkts: 0, MPPE_Decrypt_Bytes: 0
Rcvd_Out_Of_Seq_MPPE_Pkts: 0
PPP virtual interface id = 2
PPP authentication protocol is PAP
Server ip address is 172.16.1.1
Our ip address is 172.16.1.10
Transmitted Pkts: 56, Received Pkts: 56, Error Pkts: 0
MPPE key strength is None
MPPE_Encrypt_Pkts: 0, MPPE_Encrypt_Bytes: 0
MPPE_Decrypt_Pkts: 0, MPPE_Decrypt_Bytes: 0
Rcvd_Out_Of_Seq_MPPE_Pkts: 0
firewall# show route
Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
E1 - OSPF external type 1, E2 - OSPF external type 2, V - VPN
i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
ia - IS-IS inter area, * - candidate default, U - per-user static route
o - ODR, P - periodic downloaded static route, + - replicated route
SI - Static InterVRF, BI - BGP InterVRF
Gateway of last resort is 10.10.1.1 to network 0.0.0.0
S* 0.0.0.0 0.0.0.0 [1/0] via 10.10.1.1, outside
C 192.168.1.0 255.255.255.0 is directly connected, inside
L 192.168.1.1 255.255.255.255 is directly connected, inside
S 172.16.253.0 255.255.255.0 [1/0] via 172.16.1.1, outside2
Registri di sistema:
Mar 14 2026 22:59:45: %ASA-4-411001: Line protocol on Interface GigabitEthernet0/1, changed state to up
Mar 14 2026 23:00:13: %ASA-6-603108: Built PPPOE Tunnel, tunnel_id = 4, remote_peer_ip = 172.16.1.1, ppp_virtual_interface_id = 2, client_dynamic_ip = 172.16.1.10, username = pppoe
Mar 14 2026 23:00:14: %ASA-6-305010: Teardown static translation from outside2:0.0.0.0 to inside:0.0.0.0 duration 0:25:25
Mar 14 2026 23:00:18: %ASA-6-622001: Adding tracked route 172.16.253.0 255.255.255.0 172.16.1.1, distance 1, table default, on interface outside2
Mar 14 2026 23:00:18: %ASA-6-317077: Added STATIC route 172.16.253.0 255.255.255.0 via 172.16.1.1 [1/0] on [outside2] [Gi0/1] tableid [0]
Mar 14 2026 23:00:18: %ASA-7-110006: Add Entry:172.16.253.0/255.255.255.0 nh:172.16.1.1 nh_cnt:1 flags:0 timestamp:339 resolver_cnt:0 ifcout:outside2 vrfid:0 handle:458877 table:output route
3. Vengono inviati pacchetti dagli indirizzi IP del PC da 192.168.1.2 a 10.10.253.2 e 172.16.253.2. A causa di PAT, le clip capo e capo2 mostrano l'indirizzo IP dell'interfaccia di uscita (indirizzi mappati):
Mar 14 2026 23:13:13: %ASA-6-305011: Built dynamic ICMP translation from inside:192.168.1.2/2668 to outside:10.10.1.10/2668
Mar 14 2026 23:13:19: %ASA-6-305011: Built dynamic ICMP translation from inside:192.168.1.2/2669 to outside2:172.16.1.10/2669
firewall# show cap
capture capo type raw-data interface outside [Capturing - 456 bytes]
match icmp any host 10.10.253.2
capture capo2 type raw-data interface outside2 [Capturing - 456 bytes]
match icmp any host 172.16.253.2
firewall# show cap capo
4 packets captured
1: 23:13:13.409387 10.10.1.10 > 10.10.253.2 icmp: echo request
2: 23:13:13.417764 10.10.253.2 > 10.10.1.10 icmp: echo reply
3: 23:13:14.409799 10.10.1.10 > 10.10.253.2 icmp: echo request
4: 23:13:14.415978 10.10.253.2 > 10.10.1.10 icmp: echo reply
4 packets shown
firewall# show cap capo2
4 packets captured
1: 23:13:19.500584 172.16.1.10 > 172.16.253.2 icmp: echo request
2: 23:13:19.506321 172.16.253.2 > 172.16.1.10 icmp: echo reply
3: 23:13:20.502201 172.16.1.10 > 172.16.253.2 icmp: echo request
4: 23:13:20.508076 172.16.253.2 > 172.16.1.10 icmp: echo reply
4. Simulare l'errore del collegamento remoto su RTR1. Il failover al percorso di backup tramite l'interfaccia esterna2 dipende dai timer del brano1:
RTR1
Mar 15 21:06:11.608: %LINEPROTO-5-UPDOWN: Line protocol on Interface TenGigabitEthernet0/0/0, changed state to down
Firewall
Mar 15 2026 21:06:14: %ASA-3-317012: Interface IP route counter negative - Ethernet1/2
Mar 15 2026 21:06:14: %ASA-6-622001: Removing tracked route 0.0.0.0 0.0.0.0 10.10.1.1, distance 1, table default, on interface outside
Mar 15 2026 21:06:14: %ASA-6-317078: Deleted STATIC route 0.0.0.0 0.0.0.0 via 10.10.1.1 [1/0] on [outside] [E1/2] tableid [0]
Mar 15 2026 21:06:14: %ASA-7-110007: Del Entry:0.0.0.0/0.0.0.0 nh:10.10.1.1 nh_cnt:1 flags:0 timestamp:199 resolver_cnt:0 ifcout:outside result:1 incr_ts:1 vrfid:0
Mar 15 2026 21:06:14: %ASA-6-317077: Added STATIC route 0.0.0.0 0.0.0.0 via 172.16.1.1 [10/0] on [outside2] [E1/3] tableid [0]
Mar 15 2026 21:06:14: %ASA-7-110006: Add Entry:0.0.0.0/0.0.0.0 nh:172.16.1.1 nh_cnt:1 flags:0 timestamp:203 resolver_cnt:0 ifcout:outside2 vrfid:1512689936 handle:117182335 table:output route
KSEC-CSF1210-1# show route
…
S* 0.0.0.0 0.0.0.0 [10/0] via 172.16.1.1, outside2
Nota:
Le modifiche nel routing non vengono applicate alle connessioni esistenti. Pertanto, la connessione esistente continua a utilizzare il percorso "vecchio" anche se è disponibile un percorso migliore. Questo può effettivamente causare un impatto dopo le modifiche del routing. Per indicare al firewall di utilizzare il nuovo percorso, provare ad abilitare il timer conn mobile. Se il timeout della connessione mobile è abilitato ed è impostato su un valore diverso da zero, se diventa disponibile una route migliore, questo timeout consente di chiudere le connessioni in modo da ristabilire una connessione per utilizzare la route migliore. Fare riferimento alla descrizione di floating-conn in https://www.cisco.com/c/en/us/td/docs/security/asa/asa-cli-reference/T-Z/asa-command-ref-T-Z/m_ta-tk.html.
In questo caso, solo una sessione PPPoE è attiva, l'altra è inattiva fino a quando il brano per la sessione attiva non diventa inattivo.
il comando pppoe client secondary track x viene usato per l'interfaccia esterna2 (backup).
Per ulteriori informazioni, fare riferimento all'esempio seguente:
Topologia di standby attivo
Considerazioni principali:
interface GigabitEthernet0/0
nameif outside
security-level 0
pppoe client vpdn group RTR1
pppoe client route track 2
ip address pppoe setroute
interface GigabitEthernet0/1
nameif outside2
security-level 0
pppoe client vpdn group RTR2
pppoe client route distance 10
pppoe client secondary track 2
ip address pppoe setroute
vpdn group RTR1 request dialout pppoe
vpdn group RTR1 localname pppoe
vpdn group RTR1 ppp authentication pap
vpdn group RTR2 request dialout pppoe
vpdn group RTR2 localname pppoe
vpdn username pppoe password *****
sla monitor 2
type echo protocol ipIcmpEcho 10.10.1.1 interface outside
num-packets 2
timeout 5
frequency 5
sla monitor schedule 2 life forever start-time now
track 2 rtr 2 reachability
object network net-192.168.1.0
subnet 192.168.1.0 255.255.255.0
nat (inside,outside) source dynamic net-192.168.1.0 interface
nat (inside,outside2) source dynamic net-192.168.1.0 interface
In questa sezione viene descritta la configurazione del comando pppoe client secondary track x per l'interfaccia outside2 (backup). Poiché l'interfaccia utente di FMC non supporta i brani nativi per le opzioni client, è necessario utilizzare FlexConfig.
È necessario assicurarsi di configurare il resto della configurazione, inclusi la configurazione PPPoE, il routing e altri.
Tenere in considerazione i seguenti punti:
Procedura di configurazione di FlexConfig
1. Creare un oggetto FlexConfig per la configurazione delle configurazioni dei client SLA e PPPoE per l'interfaccia esterna2 (backup). Assicurarsi di impostare Deployment su Once e Type su Append. In questo esempio, vengono utilizzati il track 2, SLA 2. Notare che il comando track 2 rtr 2 reachability è mancante:
FlexConfig per SLA
2. Creare un altro oggetto FlexConfig per la configurazione del comando track 2 rtr 2 reachability. Assicurarsi di impostare Deployment su Everytime e Type su Append:
FlexConfig per traccia
3. Aggiungere oggetti al criterio FlexConfig. Verificare che l'oggetto con il comando track 2 rtr 2 reachability nella parte inferiore (ultimo) e distribuire i criteri:
Criteri FlexConfig
Considerazioni principali:
Verifica
1. Una sessione PPPoE con RTR1 tramite l'interfaccia esterna è già stabilita. Sessione di backup inattiva:
firewall# show vpdn session pppoe state
PPPoE Session Information (Total tunnels=1 sessions=1)
SessID TunID Intf State Last Chg
13 3 outside SESSION_UP 72 secs
firewall# show vpdn pppinterface
PPP virtual interface id = 1
PPP authentication protocol is PAP
Server ip address is 10.10.1.1
Our ip address is 10.10.1.10
Transmitted Pkts: 60, Received Pkts: 60, Error Pkts: 0
MPPE key strength is None
MPPE_Encrypt_Pkts: 0, MPPE_Encrypt_Bytes: 0
MPPE_Decrypt_Pkts: 0, MPPE_Decrypt_Bytes: 0
Rcvd_Out_Of_Seq_MPPE_Pkts: 0
PPP virtual interface id = 2 was deleted and pending reuse
2. La sessione PPPoE su RTR1 tramite l'interfaccia esterna non riesce (ad esempio a causa di un errore dell'interfaccia fisica o del collegamento). Viene stabilita la sessione PPPoE con RTR2 tramite l'interfaccia esterna2.
Registri di sistema:
Mar 14 2026 23:40:50: %ASA-3-403503: PPPoE:PPP link down:Peer not responding
Mar 14 2026 23:40:50: %ASA-3-403503: PPPoE:PPP link down:
Mar 14 2026 23:40:50: %ASA-3-403503: PPPoE:PPP link down:LCP down
Mar 14 2026 23:40:50: %ASA-6-603109: Teardown PPPOE Tunnel, tunnel_id = 3, remote_peer_ip = 10.10.1.1
Mar 14 2026 23:40:50: %ASA-6-305009: Built static translation from outside:0.0.0.0 to inside:0.0.0.0
Mar 14 2026 23:39:44: %ASA-4-411002: Line protocol on Interface GigabitEthernet0/0, changed state to down
Mar 14 2026 23:39:44: %ASA-7-713906: IKE Receiver: Interface 3(outside) going down
Mar 14 2026 23:39:44: %ASA-3-317012: Interface IP route counter negative - GigabitEthernet0/0
Mar 14 2026 23:39:44: %ASA-6-317078: Deleted STATIC route 0.0.0.0 0.0.0.0 via 10.10.1.1 [1/0] on [outside] [Gi0/0] tableid [0]
Mar 14 2026 23:39:44: %ASA-7-110007: Del Entry:0.0.0.0/0.0.0.0 nh:10.10.1.1 nh_cnt:1 flags:0 timestamp:451 resolver_cnt:0 ifcout:outside result:1 incr_ts:1 vrfid:0
Mar 14 2026 23:39:48: %ASA-6-622001: Removing tracked route 0.0.0.0 0.0.0.0 10.10.1.1, distance 1, table default, on interface outside
Mar 14 2026 23:39:48: %ASA-6-305009: Built static translation from outside2:0.0.0.0 to inside:0.0.0.0
Mar 14 2026 23:39:48: %ASA-6-603108: Built PPPOE Tunnel, tunnel_id = 4, remote_peer_ip = 172.16.1.1, ppp_virtual_interface_id = 2, client_dynamic_ip = 172.16.1.10, username = pppoe
Mar 14 2026 23:39:48: %ASA-6-317078: Deleted CONNECTED route 172.16.1.10 255.255.255.255 via 0.0.0.0 [0/0] on [outside2] [Gi0/1] tableid [0]
Mar 14 2026 23:39:48: %ASA-6-317077: Added STATIC route 0.0.0.0 0.0.0.0 via 172.16.1.1 [10/0] on [outside2] [Gi0/1] tableid [0]
Mar 14 2026 23:39:48: %ASA-7-110006: Add Entry:0.0.0.0/0.0.0.0 nh:172.16.1.1 nh_cnt:1 flags:0 timestamp:459 resolver_cnt:0 ifcout:outside2 vrfid:0 handle:610419 table:output route
firewall# show vpdn session pppoe state
PPPoE Session Information (Total tunnels=2 sessions=1)
SessID TunID Intf State Last Chg
13 3 outside PADI_SENT 0 secs
14 4 outside2 SESSION_UP 82 secs
firewall# show vpdn pppinterface
PPP virtual interface id = 1 was deleted and pending reuse
PPP virtual interface id = 2
PPP authentication protocol is PAP
Server ip address is 172.16.1.1
Our ip address is 172.16.1.10
Transmitted Pkts: 56, Received Pkts: 56, Error Pkts: 0
MPPE key strength is None
MPPE_Encrypt_Pkts: 0, MPPE_Encrypt_Bytes: 0
MPPE_Decrypt_Pkts: 0, MPPE_Decrypt_Bytes: 0
Rcvd_Out_Of_Seq_MPPE_Pkts: 0
firewall# show route
Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
E1 - OSPF external type 1, E2 - OSPF external type 2, V - VPN
i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
ia - IS-IS inter area, * - candidate default, U - per-user static route
o - ODR, P - periodic downloaded static route, + - replicated route
SI - Static InterVRF, BI - BGP InterVRF
Gateway of last resort is 172.16.1.1 to network 0.0.0.0
S* 0.0.0.0 0.0.0.0 [10/0] via 172.16.1.1, outside2
S 172.16.253.0 255.255.255.0 [1/0] via 172.16.1.1, outside2
C 192.168.1.0 255.255.255.0 is directly connected, inside
L 192.168.1.1 255.255.255.255 is directly connected, inside
3. Vengono inviati pacchetti dagli indirizzi IP del PC da 192.168.1.2 a 10.10.253.2 e 172.16.253.2. A causa di un errore del percorso principale, tutti i pacchetti vengono inviati tramite l'interfaccia external2. Inoltre, a causa di PAT, Capture capo2 mostra l'indirizzo IP dell'interfaccia di uscita (indirizzi mappati):
Mar 14 2026 23:46:07: %ASA-6-305011: Built dynamic ICMP translation from inside:192.168.1.2/2677 to outside2:172.16.1.10/2677
Mar 14 2026 23:46:09: %ASA-6-305011: Built dynamic ICMP translation from inside:192.168.1.2/2678 to outside2:172.16.1.10/2678
firewall# show cap
capture capo type raw-data interface outside [Capturing - 0 bytes]
match icmp any host 10.10.253.2
capture capo2 type raw-data interface outside2 [Capturing - 912 bytes]
match icmp any host 172.16.253.2
match icmp any host 10.10.253.2
firewall# show cap capo2
8 packets captured
1: 23:46:07.533694 172.16.1.10 > 172.16.253.2 icmp: echo request
2: 23:46:07.541842 172.16.253.2 > 172.16.1.10 icmp: echo reply
3: 23:46:08.534075 172.16.1.10 > 172.16.253.2 icmp: echo request
4: 23:46:08.540621 172.16.253.2 > 172.16.1.10 icmp: echo reply
5: 23:46:09.773031 172.16.1.10 > 10.10.253.2 icmp: echo request
6: 23:46:09.780034 10.10.253.2 > 172.16.1.10 icmp: echo reply
7: 23:46:10.773946 172.16.1.10 > 10.10.253.2 icmp: echo request
8: 23:46:10.778569 10.10.253.2 > 172.16.1.10 icmp: echo reply
4. Il percorso attraverso l'interfaccia esterna viene ripristinato, la sessione PPPoE con RTR1 viene ristabilita. La sessione tramite l'interfaccia external2 passa allo stato di riutilizzo in sospeso:
firewall# show vpdn session pppoe state
PPPoE Session Information (Total tunnels=1 sessions=1)
SessID TunID Intf State Last Chg
17 3 outside SESSION_UP 89 secs
firewall# show vpdn pppinterface
PPP virtual interface id = 1
PPP authentication protocol is PAP
Server ip address is 10.10.1.1
Our ip address is 10.10.1.10
Transmitted Pkts: 58, Received Pkts: 58, Error Pkts: 0
MPPE key strength is None
MPPE_Encrypt_Pkts: 0, MPPE_Encrypt_Bytes: 0
MPPE_Decrypt_Pkts: 0, MPPE_Decrypt_Bytes: 0
Rcvd_Out_Of_Seq_MPPE_Pkts: 0
PPP virtual interface id = 2 was deleted and pending reuse
firewall# show route
...
S* 0.0.0.0 0.0.0.0 [1/0] via 10.10.1.1, outside
C 192.168.1.0 255.255.255.0 is directly connected, inside
L 192.168.1.1 255.255.255.255 is directly connected, inside
Registri di sistema:
Mar 15 2026 00:04:36: %ASA-4-411001: Line protocol on Interface GigabitEthernet0/0, changed state to up
Mar 15 2026 00:05:27: %ASA-6-603108: Built PPPOE Tunnel, tunnel_id = 3, remote_peer_ip = 10.10.1.1, ppp_virtual_interface_id = 1, client_dynamic_ip = 10.10.1.10, username = pppoe
Mar 15 2026 00:05:35: %ASA-6-622001: Adding tracked route 0.0.0.0 0.0.0.0 10.10.1.1, distance 1, table default, on interface outside
Mar 15 2026 00:05:35: %ASA-6-603109: Teardown PPPOE Tunnel, tunnel_id = 4, remote_peer_ip = 172.16.1.1
Mar 15 2026 00:05:40: %ASA-6-622001: Removing tracked route 172.16.253.0 255.255.255.0 172.16.1.1, distance 1, table default, on interface outside2
Mar 15 2026 00:05:40: %ASA-6-317078: Deleted STATIC route 172.16.253.0 255.255.255.0 via 172.16.1.1 [1/0] on [outside2] [Gi0/1] tableid [0]
5. I pacchetti provenienti dagli indirizzi IP del PC da 192.168.1.2 a 10.10.253.2 e 172.16.253.2 vengono inviati tramite l'interfaccia esterna (percorso principale). Inoltre, a causa del protocollo PAT, il comando di acquisizione mostra l'indirizzo IP dell'interfaccia in uscita (indirizzi mappati):
Mar 15 2026 00:17:27: %ASA-6-305011: Built dynamic ICMP translation from inside:192.168.1.2/2685 to outside:10.10.1.10/2685
Mar 15 2026 00:17:29: %ASA-6-305011: Built dynamic ICMP translation from inside:192.168.1.2/2686 to outside:10.10.1.10/2686
firewall# show capture
capture capo type raw-data interface outside [Capturing - 912 bytes]
match icmp any host 10.10.253.2
match icmp any host 172.16.253.2
capture capo2 type raw-data interface outside2 [Capturing - 0 bytes]
match icmp any host 172.16.253.2
match icmp any host 10.10.253.2
firewall# show capture capo
8 packets captured
1: 00:17:27.680247 10.10.1.10 > 10.10.253.2 icmp: echo request
2: 00:17:27.688761 10.10.253.2 > 10.10.1.10 icmp: echo reply
3: 00:17:28.680415 10.10.1.10 > 10.10.253.2 icmp: echo request
4: 00:17:28.683405 10.10.253.2 > 10.10.1.10 icmp: echo reply
5: 00:17:29.732673 10.10.1.10 > 172.16.253.2 icmp: echo request
6: 00:17:29.739799 172.16.253.2 > 10.10.1.10 icmp: echo reply
7: 00:17:30.732979 10.10.1.10 > 172.16.253.2 icmp: echo request
8: 00:17:30.736656 172.16.253.2 > 10.10.1.10 icmp: echo reply
8 packets shown
Nota:
Le modifiche nel routing non vengono applicate alle connessioni esistenti. Pertanto, la connessione esistente continua a utilizzare il percorso "vecchio" anche se è disponibile un percorso migliore. Questo può effettivamente causare un impatto dopo le modifiche del routing. Per indicare al firewall di utilizzare il nuovo percorso, provare ad abilitare il timer conn mobile. Se il timeout della connessione mobile è abilitato, impostato su un valore diverso da zero, se diventa disponibile una route migliore, il timeout consente di chiudere le connessioni in modo da ristabilire una connessione per utilizzare la route migliore. Fare riferimento alla descrizione di floating-conn in https://www.cisco.com/c/en/us/td/docs/security/asa/asa-cli-reference/T-Z/asa-command-ref-T-Z/m_ta-tk.html.
Se si desidera rimuovere o negare la configurazione distribuita da FlexConfig, è necessario eseguire i seguenti passaggi:
Esempio di rimozione della configurazione distribuita per la ridondanza attivo-attivo con condivisione del carico e rilevamento route client PPPoE:
Rimozione configurazione flessibile 1
Esempio di rimozione della configurazione distribuita per la ridondanza in standby attivo senza condivisione del carico:
Rimozione configurazione flessibile 2
2. Aggiungere l'oggetto di negazione creato al passaggio 1 al criterio FlexConfig. Verificare che gli oggetti per l'aggiunta di comandi PPPoE vengano rimossi e non esistano nel criterio:
Criterio di rimozione di FlexConfig
3. Distribuire i criteri e verificare la rimozione dei comandi nella CLI.
4. Rimuovere l'oggetto di negazione creato al passaggio 1 dal criterio FlexConfig e ridistribuirlo.
"ENH: Supporta comandi e sottocomandi di configurazione client DHCP/PPPoE interfaccia FTD sull'interfaccia utente FMC"| Revisione | Data di pubblicazione | Commenti |
|---|---|---|
1.0 |
17-Mar-2026
|
Versione iniziale |
Feedback