Configurazione e verifica della ridondanza PPPoE/alta disponibilità in ASA/FTD

Introduzione

Questo documento descrive la configurazione e la verifica della ridondanza PPPoE (alta disponibilità o HA) in ASA o Secure Firewall Threat Defense (FTD).

Prerequisiti

Requisiti

Conoscenze base dei prodotti.

Componenti usati

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Le informazioni fornite in questo documento si basano sulle seguenti versioni software e hardware:

• Secure Firewall Threat Defense (FTD) versione 10.0.0 gestito dal Centro gestione firewall sicuro (FMC) versione 10.0.1.
• ASA versione 9.24.1.

Premesse

Il software firewall supporta la configurazione di più sessioni PPPoE. In questo documento vengono prese in considerazione due sessioni PPPoE e viene utilizzato in modo intercambiabile "HA" o "ridondanza".

 In combinazione con lo SLA (Service Layer Agreement), la registrazione e il routing con la registrazione degli utenti possono configurare diverse modalità di ridondanza:

• Ridondanza attiva-attiva con condivisione del carico
• Ridondanza attiva-attiva con condivisione del carico e tracciamento route client PPPoE
• Ridondanza in standby attivo senza condivisione del carico

Notare che la configurazione del routing sui dispositivi peer non rientra nell'ambito di questo articolo.

Ridondanza attivo-attivo con condivisione del carico

Per ulteriori informazioni, fare riferimento all'esempio seguente:

Ridondanza attivo-attivo con condivisione del carico

Considerazioni principali:

• Il protocollo PPPoE è configurato nelle interfacce firewall esterne ed esterne2.
• RTR1 e RTR2 sono server PPPoE.
• Il firewall installa il percorso predefinito tramite l'interfaccia esterna. Il percorso predefinito tramite l'interfaccia outside2 ha una distanza di routing più elevata, ossia è meno preferibile.
• Le route statiche con condivisione del carico a subnet specifiche vengono installate tramite l'interfaccia outside2. Le route vengono tracciate. L'avvicinamento è facoltativo; tuttavia, fornisce un failover più rapido sul percorso tramite l'interfaccia esterna in caso di guasto del percorso tramite l'interfaccia esterna2.
• Per semplicità, il protocollo PAT (Dynamic Port Address Translation) viene configurato tramite le interfacce esterna ed esterna2.

Configurazione ASA

interface GigabitEthernet0/0
 nameif outside
 security-level 0
 pppoe client vpdn group RTR1
ip address pppoe setroute

interface GigabitEthernet0/1
 nameif outside2
 security-level 0
 pppoe client vpdn group RTR2
 pppoe client route distance 10
 ip address pppoe setroute

vpdn group RTR1 request dialout pppoe
vpdn group RTR1 localname pppoe
vpdn group RTR1 ppp authentication pap
vpdn group RTR2 request dialout pppoe
vpdn group RTR2 localname pppoe
vpdn username pppoe password *****
sla monitor 1
 type echo protocol ipIcmpEcho 172.16.1.1 interface outside2
 num-packets 2
 timeout 5
 frequency 5

sla monitor schedule 1 life forever start-time now
track 1 rtr 1 reachability

object network net-192.168.1.0
 subnet 192.168.1.0 255.255.255.0

nat (inside,outside) source dynamic net-192.168.1.0 interface
nat (inside,outside2) source dynamic net-192.168.1.0 interface

route outside2 172.16.253.0 255.255.255.0 172.16.1.1 1 track 1

Configurazione FTD

In questa sezione viene illustrata solo la configurazione PPPoE specifica per FTD. Questo è il confronto side-by-side tra la configurazione PPPoE delle interfacce esterna e esterna2 su FTD e i comandi distribuiti sul piano dati:

configurazione dell'interfaccia PPPoE esterna sull'interfaccia utente di FMC           configurazione interfaccia PPPoE outside2 nell'interfaccia utente di FMC

Route statica con rilevamento:

Route statica con rilevamento

Configurazione oggetto monitoraggio contratto di servizio:

Configurazione SLA

Considerazioni principali:

• RTR1 e RTR2 sono due gruppi VPDN sulle interfacce G0/0 e G0/1 rispettivamente.
• Il Track 1/SLA1 tiene traccia della raggiungibilità a RTR2. L'oggetto Track viene utilizzato nella configurazione del percorso statico tramite l'interfaccia esterna2.
• Il comando pppoe client route distance 10 indica al firewall di applicare la distanza amministrativa di 10 al percorso predefinito ricevuto da RTR2 e quindi renderlo meno preferibile.
• Le route a subnet specifiche tramite l'interfaccia outside2 sono configurate con il rilevamento.
• Di conseguenza, entrambe le sessioni PPPoE diventano attive e il traffico proveniente dal PC viene condiviso in base alla configurazione di routing.

Verifica

1. Viene stabilita una sessione PPPoE con RTR1 tramite l'interfaccia esterna:

firewall# show vpdn session pppoe state 
PPPoE Session Information (Total tunnels=2 sessions=1)

SessID TunID Intf     State       Last Chg
   23      5 outside2   PADI_SENT  225 secs
   14      4 outside  SESSION_UP  150 secs

firewall# show vpdn pppinterface 

PPP virtual interface id = 1
PPP authentication protocol is PAP
Server ip address is 10.10.1.1
Our ip address is 10.10.1.10
Transmitted Pkts: 33, Received Pkts: 33, Error Pkts: 0
MPPE key strength is None
  MPPE_Encrypt_Pkts: 0,  MPPE_Encrypt_Bytes: 0
  MPPE_Decrypt_Pkts: 0,  MPPE_Decrypt_Bytes: 0
  Rcvd_Out_Of_Seq_MPPE_Pkts: 0

PPP virtual interface id = 2 was deleted and pending reuse

firewall# show route
…
S*       0.0.0.0 0.0.0.0 [1/0] via 10.10.1.1, outside
C        192.168.1.0 255.255.255.0 is directly connected, inside
L        192.168.1.1 255.255.255.255 is directly connected, inside

Registri di sistema:

Mar 15 2026 20:23:26: %ASA-6-305009: Built static translation from outside:0.0.0.0 to inside:0.0.0.0
Mar 15 2026 20:23:26: %ASA-6-603108: Built PPPOE Tunnel, tunnel_id = 4, remote_peer_ip = 10.10.1.1, ppp_virtual_interface_id = 1, client_dynamic_ip = 10.10.1.10, username = pppoe
Mar 15 2026 20:23:26: %ASA-6-317077: Added STATIC route 0.0.0.0 0.0.0.0 via 10.10.1.1 [1/0] on [outside] [G0/0] tableid [0

2. Viene stabilita una sessione PPPoE con RTR2 tramite l'interfaccia esterna2:

firewall# show vpdn session pppoe state 

PPPoE Session Information (Total tunnels=2 sessions=2)

SessID TunID Intf     State       Last Chg
   24      5 outside2  SESSION_UP  76 secs
   14      4 outside  SESSION_UP  349 secs

firewall# show vpdn pppinterface
PPP virtual interface id = 1
PPP authentication protocol is PAP
Server ip address is 10.10.1.1
Our ip address is 10.10.1.10
Transmitted Pkts: 67, Received Pkts: 67, Error Pkts: 0
MPPE key strength is None
  MPPE_Encrypt_Pkts: 0,  MPPE_Encrypt_Bytes: 0
  MPPE_Decrypt_Pkts: 0,  MPPE_Decrypt_Bytes: 0
  Rcvd_Out_Of_Seq_MPPE_Pkts: 0

PPP virtual interface id = 2
PPP authentication protocol is PAP
Server ip address is 172.16.1.1
Our ip address is 172.16.1.10
Transmitted Pkts: 54, Received Pkts: 54, Error Pkts: 0
MPPE key strength is None
  MPPE_Encrypt_Pkts: 0,  MPPE_Encrypt_Bytes: 0
  MPPE_Decrypt_Pkts: 0,  MPPE_Decrypt_Bytes: 0
  Rcvd_Out_Of_Seq_MPPE_Pkts: 0

firewall# show route 
Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
…
S*       0.0.0.0 0.0.0.0 [1/0] via 10.10.1.1, outside
S        172.16.253.0 255.255.255.0 [1/0] via 172.16.1.1, outside2
C        192.168.1.0 255.255.255.0 is directly connected, inside
L        192.168.1.1 255.255.255.255 is directly connected, inside

Registri di sistema:

Mar 15 2026 20:27:59: %ASA-6-317077: Added STATIC route 0.0.0.0 0.0.0.0 via 0.0.0.0 [10/0] on [outside2] [G0/1] tableid [0]
Mar 15 2026 20:27:59: %ASA-6-305009: Built static translation from outside2:0.0.0.0 to inside:0.0.0.0
Mar 15 2026 20:27:59: %ASA-6-603108: Built PPPOE Tunnel, tunnel_id = 5, remote_peer_ip = 172.16.1.1, ppp_virtual_interface_id = 2, client_dynamic_ip = 172.16.1.10, username = pppoe
Mar 15 2026 20:27:59: %ASA-6-305010: Teardown static translation from outside2:0.0.0.0 to inside:0.0.0.0 duration 0:06:08
Mar 15 2026 20:28:04: %ASA-6-622001: Adding tracked route 172.16.253.0 255.255.255.0 172.16.1.1, distance 1, table default, on interface outside2
Mar 15 2026 20:28:04: %ASA-6-317077: Added STATIC route 172.16.253.0 255.255.255.0 via 172.16.1.1 [1/0] on [outside2] [G0/1] tableid [0]

3. Vengono inviati pacchetti dagli indirizzi IP del PC da 192.168.1.2 a 10.10.253.2 e 172.16.253.2. A causa di PAT, le clip capo e capo2 mostrano l'indirizzo IP dell'interfaccia in uscita (indirizzi mappati):

Mar 14 2026 23:13:13: %ASA-6-305011: Built dynamic ICMP translation from inside:192.168.1.2/2668 to outside:10.10.1.10/2668
Mar 14 2026 23:13:19: %ASA-6-305011: Built dynamic ICMP translation from inside:192.168.1.2/2669 to outside2:172.16.1.10/2669

firewall# show cap
capture capo type raw-data interface outside [Capturing - 456 bytes]
  match icmp any host 10.10.253.2
capture capo2 type raw-data interface outside2 [Capturing - 456 bytes]
  match icmp any host 172.16.253.2

firewall# show cap capo
4 packets captured

   1: 23:13:13.409387       10.10.1.10 > 10.10.253.2 icmp: echo request
   2: 23:13:13.417764       10.10.253.2 > 10.10.1.10 icmp: echo reply 
   3: 23:13:14.409799       10.10.1.10 > 10.10.253.2 icmp: echo request
   4: 23:13:14.415978       10.10.253.2 > 10.10.1.10 icmp: echo reply

4 packets shown

firewall# show cap capo2
4 packets captured
   1: 23:13:19.500584       172.16.1.10 > 172.16.253.2 icmp: echo request
   2: 23:13:19.506321       172.16.253.2 > 172.16.1.10 icmp: echo reply
   3: 23:13:20.502201       172.16.1.10 > 172.16.253.2 icmp: echo request
   4: 23:13:20.508076       172.16.253.2 > 172.16.1.10 icmp: echo reply

4. Simulare un errore di collegamento remoto su RTR1. Il failover al percorso di backup tramite l'interfaccia esterna2 richiede circa 1 minuto:

RTR1

Mar 15 20:43:19.679: %LINEPROTO-5-UPDOWN: Line protocol on Interface GigabitEthernet0/1, changed state to down

Firewall

Mar 15 2026 20:44:17: %ASA-3-403503: PPPoE:PPP link down:
Mar 15 2026 20:44:17: %ASA-3-403503: PPPoE:PPP link down:Peer not responding
Mar 15 2026 20:44:17: %ASA-3-403503: PPPoE:PPP link down:
Mar 15 2026 20:44:17: %ASA-3-403503: PPPoE:PPP link down:LCP down
Mar 15 2026 20:44:17: %ASA-6-603109: Teardown PPPOE Tunnel, tunnel_id = 4, remote_peer_ip = 10.10.1.1
Mar 15 2026 20:44:17: %ASA-6-305009: Built static translation from outside:0.0.0.0 to inside:0.0.0.0
Mar 15 2026 20:44:17: %ASA-6-317078: Deleted STATIC route 0.0.0.0 0.0.0.0 via 10.10.1.1 [1/0] on [outside] [G0/0] tableid [0]
Mar 15 2026 20:44:17: %ASA-7-110007: Del Entry:0.0.0.0/0.0.0.0 nh:10.10.1.1 nh_cnt:1 flags:0 timestamp:147 resolver_cnt:0 ifcout:outside result:1 incr_ts:1 vrfid:65535
Mar 15 2026 20:44:17: %ASA-6-317077: Added STATIC route 0.0.0.0 0.0.0.0 via 172.16.1.1 [10/0] on [outside2] [G0/1] tableid [0]
Mar 15 2026 20:44:17: %ASA-7-110006: Add Entry:0.0.0.0/0.0.0.0 nh:172.16.1.1 nh_cnt:1 flags:0 timestamp:151 resolver_cnt:0 ifcout:outside2 vrfid:1644313584 handle:103727 table:output route
Mar 15 2026 20:44:17: %ASA-6-305010: Teardown static translation from outside:0.0.0.0 to inside:0.0.0.0 duration 0:02:45

firewall# show route 
…
S*       0.0.0.0 0.0.0.0 [10/0] via 172.16.1.1, outside2

Ridondanza attivo-attivo con condivisione del carico e rilevamento route client PPPoE

Questo caso si basa sulla ridondanza attivo-attivo con condivisione del carico e richiede inoltre l'implementazione del comando route track x e del client pppoe nell'interfaccia esterna tramite FlexConfig.  

Per ulteriori informazioni, fare riferimento all'esempio seguente:

Ridondanza attivo-attivo con condivisione del carico e rilevamento route client PPPoE

Considerazioni principali:

• Il protocollo PPPoE è configurato nelle interfacce firewall esterne ed esterne2.
• RTR1 e RTR2 sono server PPPoE.
• Utilizzando route-distance, il firewall installa il percorso predefinito tramite l'interfaccia esterna. Il percorso predefinito tramite l'interfaccia outside2 ha una distanza di routing maggiore ed è meno preferibile.
• Viene tracciato il percorso predefinito verso RTR1 tramite l'interfaccia esterna. È facoltativo, tuttavia, a seconda della frequenza dello SLA e dei valori di timeout, può fornire un failover più rapido al percorso tramite RTR2.
• Le route statiche con condivisione del carico a subnet specifiche vengono installate tramite l'interfaccia outside2. Le route vengono tracciate. L'avvicinamento è facoltativo; tuttavia, consente un failover più rapido sul percorso tramite RTR1.
• Per semplicità, il protocollo PAT (Dynamic Port Address Translation) viene configurato tramite le interfacce esterna ed esterna2.

Configurazione ASA

interface GigabitEthernet0/0
 nameif outside
 security-level 0
 pppoe client vpdn group RTR1
 pppoe client route track 2
 ip address pppoe setroute

interface GigabitEthernet0/1
 nameif outside2
 security-level 0
 pppoe client vpdn group RTR2
 pppoe client route distance 10
 ip address pppoe setroute

vpdn group RTR1 request dialout pppoe
vpdn group RTR1 localname pppoe
vpdn group RTR1 ppp authentication pap
vpdn group RTR2 request dialout pppoe
vpdn group RTR2 localname pppoe
vpdn username pppoe password *****

sla monitor 2
 type echo protocol ipIcmpEcho 10.10.1.1 interface outside
 num-packets 2
 timeout 5
 frequency 5

sla monitor schedule 2 life forever start-time now

sla monitor 1
 type echo protocol ipIcmpEcho 172.16.1.1 interface outside2
 num-packets 2
 timeout 5
 frequency 5
sla monitor schedule 1 life forever start-time now

track 1 rtr 1 reachability
track 2 rtr 2 reachability

object network net-192.168.1.0
 subnet 192.168.1.0 255.255.255.0
nat (inside,outside) source dynamic net-192.168.1.0 interface
nat (inside,outside2) source dynamic net-192.168.1.0 interface

route outside2 172.16.253.0 255.255.255.0 172.16.1.1 1 track 1

Configurazione FTD

Questa sezione riguarda solo la configurazione PPPoE specifica per FTD. I passi di configurazione sono gli stessi della configurazione FTD nella sezione "Ridondanza attiva-attiva con condivisione del carico" con l'aggiunta della distribuzione del comando pppoe client route track x nell'interfaccia esterna. Poiché l'interfaccia utente di FMC non supporta i brani nativi per le opzioni client, è necessario utilizzare FlexConfig.

Tenere in considerazione i seguenti punti:

1. I criteri FlexConfig non contengono intenzionalmente una convalida di input estesa. È necessario verificare che le configurazioni in questo criterio FlexConfig siano corrette. Configurazioni non corrette determinano una distribuzione non riuscita che può causare un'interruzione della rete. È inoltre consigliabile isolare la distribuzione in modo che includa solo le modifiche di FlexConfig e nessun altro aggiornamento dei criteri.

2. Durante la distribuzione, il FMC rimuove qualsiasi traccia x.. distribuito da FlexConfig. Per la persistenza, è necessario impostare la distribuzione dell'oggetto FlexConfig su Everytime (Ogni volta) e la distribuzione in un oggetto FlexConfig separato.

Procedura di configurazione di FlexConfig

1. Creare un oggetto FlexConfig per la configurazione delle configurazioni client SLA e PPPoE per l'interfaccia esterna. Assicurarsi di impostare Deployment su Once e Type su Append. In questo esempio, vengono utilizzati il track 2, SLA 2. Notare che il comando track 2 rtr 2 reachability è mancante:

FlexConfig per SLA

2. Creare un altro oggetto FlexConfig per la configurazione del comando track 2 rtr 2 reachability. Assicurarsi di impostare Deployment su Everytime e Type su Append:

FlexConfig per traccia

3. Aggiungere oggetti al criterio FlexConfig. Verificare che l'oggetto con il comando track 2 rtr 2 reachability nella parte inferiore (ultimo) e distribuire i criteri:

Criteri FlexConfig

Considerazioni principali:

• RTR1 e RTR2 sono due gruppi VPDN sulle interfacce G0/0 e G0/1 rispettivamente.
• Il Track 2/SLA2 tiene traccia della raggiungibilità a RTR1. Il comando pppoe client route track 2 indica al firewall di installare il percorso predefinito tramite l'interfaccia esterna se il Track 2 è attivo.
• Il Track 1/SLA1 tiene traccia della raggiungibilità a RTR2. L'oggetto Track viene utilizzato nella configurazione del percorso statico tramite l'interfaccia esterna2.
• Il comando pppoe client route distance 10 indica al firewall di applicare la distanza amministrativa di 10 al percorso predefinito ricevuto da RTR2 e quindi renderlo meno preferibile.
• Le route a subnet specifiche tramite l'interfaccia outside2 sono configurate con il rilevamento.
• Di conseguenza, entrambe le sessioni PPPoE diventano attive e il traffico proveniente dal PC viene condiviso in base alla configurazione di routing.

Verifica

1. Viene stabilita una sessione PPPoE con RTR1 tramite l'interfaccia esterna:

firewall# show vpdn session pppoe state
PPPoE Session Information (Total tunnels=2 sessions=1)


SessID TunID Intf     State       Last Chg
   12      3 outside  SESSION_UP  80 secs
   12      4 outside2   PADI_SENT  74 secs

firewall# show vpdn pppinterface       

PPP virtual interface id = 1
PPP authentication protocol is PAP
Server ip address is 10.10.1.1
Our ip address is 10.10.1.10
Transmitted Pkts: 71, Received Pkts: 71, Error Pkts: 0
MPPE key strength is None
  MPPE_Encrypt_Pkts: 0,  MPPE_Encrypt_Bytes: 0
  MPPE_Decrypt_Pkts: 0,  MPPE_Decrypt_Bytes: 0
  Rcvd_Out_Of_Seq_MPPE_Pkts: 0

PPP virtual interface id = 2 was deleted and pending reuse


firewall# show route 
…
S*       0.0.0.0 0.0.0.0 [1/0] via 10.10.1.1, outside
C        192.168.1.0 255.255.255.0 is directly connected, inside
L        192.168.1.1 255.255.255.255 is directly connected, inside

Registri di sistema:

Mar 14 2026 22:54:46: %ASA-4-411001: Line protocol on Interface GigabitEthernet0/0, changed state to up
Mar 14 2026 22:54:50: %ASA-6-305009: Built static translation from outside:0.0.0.0 to inside:0.0.0.0
Mar 14 2026 22:54:50: %ASA-6-603108: Built PPPOE Tunnel, tunnel_id = 3, remote_peer_ip = 10.10.1.1, ppp_virtual_interface_id = 1, client_dynamic_ip = 10.10.1.10, username = pppoe
Mar 14 2026 22:54:51: %ASA-6-305010: Teardown static translation from outside:0.0.0.0 to inside:0.0.0.0 duration 0:00:25
Mar 14 2026 22:54:52: %ASA-6-622001: Adding tracked route 0.0.0.0 0.0.0.0 10.10.1.1, distance 1, table default, on interface outside
Mar 14 2026 22:54:52: %ASA-6-317077: Added STATIC route 0.0.0.0 0.0.0.0 via 10.10.1.1 [1/0] on [outside] [Gi0/0] tableid [0]
Mar 14 2026 22:54:52: %ASA-7-110006: Add Entry:0.0.0.0/0.0.0.0 nh:10.10.1.1 nh_cnt:1 flags:0 timestamp:328 resolver_cnt:0 ifcout:outside vrfid:0 handle:444749 table:output route

2. Viene stabilita una sessione PPPoE con RTR2 tramite l'interfaccia esterna2:

firewall# show vpdn session pppoe state 
PPPoE Session Information (Total tunnels=2 sessions=2)
SessID TunID Intf     State       Last Chg
   12      3 outside  SESSION_UP  412 secs
   13      4 outside2  SESSION_UP  89 secs

firewall# show vpdn pppinterface       
PPP virtual interface id = 1
PPP authentication protocol is PAP
Server ip address is 10.10.1.1
Our ip address is 10.10.1.10
Transmitted Pkts: 238, Received Pkts: 238, Error Pkts: 0
MPPE key strength is None
  MPPE_Encrypt_Pkts: 0,  MPPE_Encrypt_Bytes: 0
  MPPE_Decrypt_Pkts: 0,  MPPE_Decrypt_Bytes: 0
  Rcvd_Out_Of_Seq_MPPE_Pkts: 0

PPP virtual interface id = 2
PPP authentication protocol is PAP
Server ip address is 172.16.1.1
Our ip address is 172.16.1.10
Transmitted Pkts: 56, Received Pkts: 56, Error Pkts: 0
MPPE key strength is None
  MPPE_Encrypt_Pkts: 0,  MPPE_Encrypt_Bytes: 0
  MPPE_Decrypt_Pkts: 0,  MPPE_Decrypt_Bytes: 0
  Rcvd_Out_Of_Seq_MPPE_Pkts: 0

firewall# show route 

Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
       D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
       N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
       E1 - OSPF external type 1, E2 - OSPF external type 2, V - VPN
       i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
       ia - IS-IS inter area, * - candidate default, U - per-user static route
       o - ODR, P - periodic downloaded static route, + - replicated route
       SI - Static InterVRF, BI - BGP InterVRF
Gateway of last resort is 10.10.1.1 to network 0.0.0.0

S*       0.0.0.0 0.0.0.0 [1/0] via 10.10.1.1, outside
C        192.168.1.0 255.255.255.0 is directly connected, inside
L        192.168.1.1 255.255.255.255 is directly connected, inside
S        172.16.253.0 255.255.255.0 [1/0] via 172.16.1.1, outside2

Registri di sistema:

Mar 14 2026 22:59:45: %ASA-4-411001: Line protocol on Interface GigabitEthernet0/1, changed state to up
Mar 14 2026 23:00:13: %ASA-6-603108: Built PPPOE Tunnel, tunnel_id = 4, remote_peer_ip = 172.16.1.1, ppp_virtual_interface_id = 2, client_dynamic_ip = 172.16.1.10, username = pppoe
Mar 14 2026 23:00:14: %ASA-6-305010: Teardown static translation from outside2:0.0.0.0 to inside:0.0.0.0 duration 0:25:25
Mar 14 2026 23:00:18: %ASA-6-622001: Adding tracked route 172.16.253.0 255.255.255.0 172.16.1.1, distance 1, table default, on interface outside2
Mar 14 2026 23:00:18: %ASA-6-317077: Added STATIC route 172.16.253.0 255.255.255.0 via 172.16.1.1 [1/0] on [outside2] [Gi0/1] tableid [0]
Mar 14 2026 23:00:18: %ASA-7-110006: Add Entry:172.16.253.0/255.255.255.0 nh:172.16.1.1 nh_cnt:1 flags:0 timestamp:339 resolver_cnt:0 ifcout:outside2 vrfid:0 handle:458877 table:output route

3. Vengono inviati pacchetti dagli indirizzi IP del PC da 192.168.1.2 a 10.10.253.2 e 172.16.253.2. A causa di PAT, le clip capo e capo2 mostrano l'indirizzo IP dell'interfaccia di uscita (indirizzi mappati):

Mar 14 2026 23:13:13: %ASA-6-305011: Built dynamic ICMP translation from inside:192.168.1.2/2668 to outside:10.10.1.10/2668
Mar 14 2026 23:13:19: %ASA-6-305011: Built dynamic ICMP translation from inside:192.168.1.2/2669 to outside2:172.16.1.10/2669

firewall# show cap
capture capo type raw-data interface outside [Capturing - 456 bytes]
  match icmp any host 10.10.253.2
capture capo2 type raw-data interface outside2 [Capturing - 456 bytes]
  match icmp any host 172.16.253.2

firewall# show cap capo
4 packets captured

   1: 23:13:13.409387       10.10.1.10 > 10.10.253.2 icmp: echo request
   2: 23:13:13.417764       10.10.253.2 > 10.10.1.10 icmp: echo reply 
   3: 23:13:14.409799       10.10.1.10 > 10.10.253.2 icmp: echo request
   4: 23:13:14.415978       10.10.253.2 > 10.10.1.10 icmp: echo reply

4 packets shown

firewall# show cap capo2
4 packets captured

   1: 23:13:19.500584       172.16.1.10 > 172.16.253.2 icmp: echo request
   2: 23:13:19.506321       172.16.253.2 > 172.16.1.10 icmp: echo reply
   3: 23:13:20.502201       172.16.1.10 > 172.16.253.2 icmp: echo request
   4: 23:13:20.508076       172.16.253.2 > 172.16.1.10 icmp: echo reply

4. Simulare l'errore del collegamento remoto su RTR1. Il failover al percorso di backup tramite l'interfaccia esterna2 dipende dai timer del brano1:

RTR1

Mar 15 21:06:11.608: %LINEPROTO-5-UPDOWN: Line protocol on Interface TenGigabitEthernet0/0/0, changed state to down

Firewall

Mar 15 2026 21:06:14: %ASA-3-317012: Interface IP route counter negative - Ethernet1/2
Mar 15 2026 21:06:14: %ASA-6-622001: Removing tracked route 0.0.0.0 0.0.0.0 10.10.1.1, distance 1, table default, on interface outside
Mar 15 2026 21:06:14: %ASA-6-317078: Deleted STATIC route 0.0.0.0 0.0.0.0 via 10.10.1.1 [1/0] on [outside] [E1/2] tableid [0]
Mar 15 2026 21:06:14: %ASA-7-110007: Del Entry:0.0.0.0/0.0.0.0 nh:10.10.1.1 nh_cnt:1 flags:0 timestamp:199 resolver_cnt:0 ifcout:outside result:1 incr_ts:1 vrfid:0
Mar 15 2026 21:06:14: %ASA-6-317077: Added STATIC route 0.0.0.0 0.0.0.0 via 172.16.1.1 [10/0] on [outside2] [E1/3] tableid [0]
Mar 15 2026 21:06:14: %ASA-7-110006: Add Entry:0.0.0.0/0.0.0.0 nh:172.16.1.1 nh_cnt:1 flags:0 timestamp:203 resolver_cnt:0 ifcout:outside2 vrfid:1512689936 handle:117182335 table:output route

KSEC-CSF1210-1# show route 
…
S*       0.0.0.0 0.0.0.0 [10/0] via 172.16.1.1, outside2

Nota:

Le modifiche nel routing non vengono applicate alle connessioni esistenti. Pertanto, la connessione esistente continua a utilizzare il percorso "vecchio" anche se è disponibile un percorso migliore. Questo può effettivamente causare un impatto dopo le modifiche del routing. Per indicare al firewall di utilizzare il nuovo percorso, provare ad abilitare il timer conn mobile.  Se il timeout della connessione mobile è abilitato ed è impostato su un valore diverso da zero, se diventa disponibile una route migliore, questo timeout consente di chiudere le connessioni in modo da ristabilire una connessione per utilizzare la route migliore. Fare riferimento alla descrizione di floating-conn in https://www.cisco.com/c/en/us/td/docs/security/asa/asa-cli-reference/T-Z/asa-command-ref-T-Z/m_ta-tk.html.

Ridondanza In Standby Attivo Senza Condivisione Del Carico

In questo caso, solo una sessione PPPoE è attiva, l'altra è inattiva fino a quando il brano per la sessione attiva non diventa inattivo. 

il comando pppoe client secondary track x viene usato per l'interfaccia esterna2 (backup).

Per ulteriori informazioni, fare riferimento all'esempio seguente:

Topologia di standby attivo

Considerazioni principali:

• Il protocollo PPPoE è configurato nelle interfacce firewall G0/0 e G0/1.
• RTR1 e RTR2 sono server PPPoE.
• Utilizzando route-distance, il firewall installa il percorso predefinito per RTR1 tramite l'interfaccia esterna. Il percorso predefinito verso RTR2 ha una distanza di routing maggiore ed è meno preferibile.
• Il percorso predefinito verso RTR1 tramite l'interfaccia esterna viene tracciato. È opzionale, ma consente un failover più rapido sul percorso tramite RTR2.
• La sessione PPPoE verso RTR2 tramite l'interfaccia esterna2 viene stabilita solo se il brano utilizzato per il percorso predefinito verso RTR1 tramite l'interfaccia esterna è inattivo.
• In un determinato momento è attiva solo una sessione PPPoE.
• Per semplicità, il protocollo PAT (Dynamic Port Address Translation) viene configurato tramite le interfacce esterna ed esterna2.

Configurazione ASA

interface GigabitEthernet0/0
 nameif outside
 security-level 0
 pppoe client vpdn group RTR1
 pppoe client route track 2
 ip address pppoe setroute

interface GigabitEthernet0/1
 nameif outside2
 security-level 0
 pppoe client vpdn group RTR2
 pppoe client route distance 10
 pppoe client secondary track 2
 ip address pppoe setroute

vpdn group RTR1 request dialout pppoe
vpdn group RTR1 localname pppoe
vpdn group RTR1 ppp authentication pap
vpdn group RTR2 request dialout pppoe
vpdn group RTR2 localname pppoe
vpdn username pppoe password *****

sla monitor 2
 type echo protocol ipIcmpEcho 10.10.1.1 interface outside
 num-packets 2
 timeout 5
 frequency 5
sla monitor schedule 2 life forever start-time now

track 2 rtr 2 reachability

object network net-192.168.1.0
 subnet 192.168.1.0 255.255.255.0
nat (inside,outside) source dynamic net-192.168.1.0 interface
nat (inside,outside2) source dynamic net-192.168.1.0 interface

Configurazione FTD

In questa sezione viene descritta la configurazione del comando pppoe client secondary track x per l'interfaccia outside2 (backup). Poiché l'interfaccia utente di FMC non supporta i brani nativi per le opzioni client, è necessario utilizzare FlexConfig.

È necessario assicurarsi di configurare il resto della configurazione, inclusi la configurazione PPPoE, il routing e altri.

Tenere in considerazione i seguenti punti:

1. I criteri FlexConfig non contengono intenzionalmente una convalida di input estesa. È necessario verificare che le configurazioni in questo criterio FlexConfig siano corrette. Configurazioni non corrette determinano una distribuzione non riuscita che può causare un'interruzione della rete. È inoltre consigliabile isolare la distribuzione in modo che includa solo le modifiche di FlexConfig e nessun altro aggiornamento dei criteri.
2. Durante la distribuzione, FMC rimuove qualsiasi traccia x. distribuito da FlexConfig. Per la persistenza, è necessario impostare la distribuzione dell'oggetto FlexConfig su Everytime (Ogni volta) e la distribuzione in un oggetto FlexConfig separato.

Procedura di configurazione di FlexConfig

1. Creare un oggetto FlexConfig per la configurazione delle configurazioni dei client SLA e PPPoE per l'interfaccia esterna2 (backup). Assicurarsi di impostare Deployment su Once e Type su Append. In questo esempio, vengono utilizzati il track 2, SLA 2. Notare che il comando track 2 rtr 2 reachability è mancante:

FlexConfig per SLA

2. Creare un altro oggetto FlexConfig per la configurazione del comando track 2 rtr 2 reachability. Assicurarsi di impostare Deployment su Everytime e Type su Append:

FlexConfig per traccia

3. Aggiungere oggetti al criterio FlexConfig. Verificare che l'oggetto con il comando track 2 rtr 2 reachability nella parte inferiore (ultimo) e distribuire i criteri:

Criteri FlexConfig

Considerazioni principali:

• Il comando pppoe client secondarie track 2 nell'interfaccia G0/1 indica al firewall di attivare la sessione PPPoE tramite l'interfaccia G0/1 solo se la traccia 2 non riesce. Il guasto della traccia 2 che tiene traccia della raggiungibilità tramite il percorso principale attiva il percorso di backup.
• Di conseguenza, è attiva solo una sessione PPPoE alla volta.

Verifica

1. Una sessione PPPoE con RTR1 tramite l'interfaccia esterna è già stabilita. Sessione di backup inattiva:

firewall# show vpdn session pppoe state 

PPPoE Session Information (Total tunnels=1 sessions=1)

SessID TunID Intf     State       Last Chg
   13      3 outside  SESSION_UP  72 secs


firewall# show vpdn pppinterface

PPP virtual interface id = 1
PPP authentication protocol is PAP
Server ip address is 10.10.1.1
Our ip address is 10.10.1.10
Transmitted Pkts: 60, Received Pkts: 60, Error Pkts: 0
MPPE key strength is None
  MPPE_Encrypt_Pkts: 0,  MPPE_Encrypt_Bytes: 0
  MPPE_Decrypt_Pkts: 0,  MPPE_Decrypt_Bytes: 0
  Rcvd_Out_Of_Seq_MPPE_Pkts: 0

PPP virtual interface id = 2 was deleted and pending reuse

2. La sessione PPPoE su RTR1 tramite l'interfaccia esterna non riesce (ad esempio a causa di un errore dell'interfaccia fisica o del collegamento). Viene stabilita la sessione PPPoE con RTR2 tramite l'interfaccia esterna2.

Registri di sistema:

Mar 14 2026 23:40:50: %ASA-3-403503: PPPoE:PPP link down:Peer not responding
Mar 14 2026 23:40:50: %ASA-3-403503: PPPoE:PPP link down:
Mar 14 2026 23:40:50: %ASA-3-403503: PPPoE:PPP link down:LCP down
Mar 14 2026 23:40:50: %ASA-6-603109: Teardown PPPOE Tunnel, tunnel_id = 3, remote_peer_ip = 10.10.1.1
Mar 14 2026 23:40:50: %ASA-6-305009: Built static translation from outside:0.0.0.0 to inside:0.0.0.0
Mar 14 2026 23:39:44: %ASA-4-411002: Line protocol on Interface GigabitEthernet0/0, changed state to down
Mar 14 2026 23:39:44: %ASA-7-713906: IKE Receiver: Interface 3(outside) going down
Mar 14 2026 23:39:44: %ASA-3-317012: Interface IP route counter negative - GigabitEthernet0/0
Mar 14 2026 23:39:44: %ASA-6-317078: Deleted STATIC route 0.0.0.0 0.0.0.0 via 10.10.1.1 [1/0] on [outside] [Gi0/0] tableid [0]
Mar 14 2026 23:39:44: %ASA-7-110007: Del Entry:0.0.0.0/0.0.0.0 nh:10.10.1.1 nh_cnt:1 flags:0 timestamp:451 resolver_cnt:0 ifcout:outside result:1 incr_ts:1 vrfid:0
Mar 14 2026 23:39:48: %ASA-6-622001: Removing tracked route 0.0.0.0 0.0.0.0 10.10.1.1, distance 1, table default, on interface outside
Mar 14 2026 23:39:48: %ASA-6-305009: Built static translation from outside2:0.0.0.0 to inside:0.0.0.0
Mar 14 2026 23:39:48: %ASA-6-603108: Built PPPOE Tunnel, tunnel_id = 4, remote_peer_ip = 172.16.1.1, ppp_virtual_interface_id = 2, client_dynamic_ip = 172.16.1.10, username = pppoe
Mar 14 2026 23:39:48: %ASA-6-317078: Deleted CONNECTED route 172.16.1.10 255.255.255.255 via 0.0.0.0 [0/0] on [outside2] [Gi0/1] tableid [0]
Mar 14 2026 23:39:48: %ASA-6-317077: Added STATIC route 0.0.0.0 0.0.0.0 via 172.16.1.1 [10/0] on [outside2] [Gi0/1] tableid [0]
Mar 14 2026 23:39:48: %ASA-7-110006: Add Entry:0.0.0.0/0.0.0.0 nh:172.16.1.1 nh_cnt:1 flags:0 timestamp:459 resolver_cnt:0 ifcout:outside2 vrfid:0 handle:610419 table:output route

firewall# show vpdn session pppoe state

PPPoE Session Information (Total tunnels=2 sessions=1)

SessID TunID Intf     State       Last Chg
   13      3 outside   PADI_SENT  0 secs
   14      4 outside2  SESSION_UP  82 secs


firewall# show vpdn pppinterface
PPP virtual interface id = 1 was deleted and pending reuse
PPP virtual interface id = 2
PPP authentication protocol is PAP
Server ip address is 172.16.1.1
Our ip address is 172.16.1.10
Transmitted Pkts: 56, Received Pkts: 56, Error Pkts: 0
MPPE key strength is None
  MPPE_Encrypt_Pkts: 0,  MPPE_Encrypt_Bytes: 0
  MPPE_Decrypt_Pkts: 0,  MPPE_Decrypt_Bytes: 0
  Rcvd_Out_Of_Seq_MPPE_Pkts: 0

firewall# show route 

Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
       D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
       N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
       E1 - OSPF external type 1, E2 - OSPF external type 2, V - VPN
       i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
       ia - IS-IS inter area, * - candidate default, U - per-user static route
       o - ODR, P - periodic downloaded static route, + - replicated route
       SI - Static InterVRF, BI - BGP InterVRF

Gateway of last resort is 172.16.1.1 to network 0.0.0.0

S*       0.0.0.0 0.0.0.0 [10/0] via 172.16.1.1, outside2
S        172.16.253.0 255.255.255.0 [1/0] via 172.16.1.1, outside2
C        192.168.1.0 255.255.255.0 is directly connected, inside
L        192.168.1.1 255.255.255.255 is directly connected, inside

3. Vengono inviati pacchetti dagli indirizzi IP del PC da 192.168.1.2 a 10.10.253.2 e 172.16.253.2. A causa di un errore del percorso principale, tutti i pacchetti vengono inviati tramite l'interfaccia external2. Inoltre, a causa di PAT, Capture capo2 mostra l'indirizzo IP dell'interfaccia di uscita (indirizzi mappati):

Mar 14 2026 23:46:07: %ASA-6-305011: Built dynamic ICMP translation from inside:192.168.1.2/2677 to outside2:172.16.1.10/2677
Mar 14 2026 23:46:09: %ASA-6-305011: Built dynamic ICMP translation from inside:192.168.1.2/2678 to outside2:172.16.1.10/2678

firewall# show cap
capture capo type raw-data interface outside [Capturing - 0 bytes]
  match icmp any host 10.10.253.2
capture capo2 type raw-data interface outside2 [Capturing - 912 bytes]
  match icmp any host 172.16.253.2
  match icmp any host 10.10.253.2

firewall# show cap capo2

8 packets captured

   1: 23:46:07.533694       172.16.1.10 > 172.16.253.2 icmp: echo request
   2: 23:46:07.541842       172.16.253.2 > 172.16.1.10 icmp: echo reply 
   3: 23:46:08.534075       172.16.1.10 > 172.16.253.2 icmp: echo request
   4: 23:46:08.540621       172.16.253.2 > 172.16.1.10 icmp: echo reply
   5: 23:46:09.773031       172.16.1.10 > 10.10.253.2 icmp: echo request
   6: 23:46:09.780034       10.10.253.2 > 172.16.1.10 icmp: echo reply 
   7: 23:46:10.773946       172.16.1.10 > 10.10.253.2 icmp: echo request
   8: 23:46:10.778569       10.10.253.2 > 172.16.1.10 icmp: echo reply

4. Il percorso attraverso l'interfaccia esterna viene ripristinato, la sessione PPPoE con RTR1 viene ristabilita. La sessione tramite l'interfaccia external2 passa allo stato di riutilizzo in sospeso:

firewall# show vpdn session pppoe state

PPPoE Session Information (Total tunnels=1 sessions=1)

SessID TunID Intf     State       Last Chg
   17      3 outside  SESSION_UP  89 secs

firewall# show vpdn pppinterface       
PPP virtual interface id = 1
PPP authentication protocol is PAP
Server ip address is 10.10.1.1
Our ip address is 10.10.1.10
Transmitted Pkts: 58, Received Pkts: 58, Error Pkts: 0
MPPE key strength is None
  MPPE_Encrypt_Pkts: 0,  MPPE_Encrypt_Bytes: 0
  MPPE_Decrypt_Pkts: 0,  MPPE_Decrypt_Bytes: 0
  Rcvd_Out_Of_Seq_MPPE_Pkts: 0

PPP virtual interface id = 2 was deleted and pending reuse


firewall# show route
...

S*       0.0.0.0 0.0.0.0 [1/0] via 10.10.1.1, outside
C        192.168.1.0 255.255.255.0 is directly connected, inside
L        192.168.1.1 255.255.255.255 is directly connected, inside

Registri di sistema:

Mar 15 2026 00:04:36: %ASA-4-411001: Line protocol on Interface GigabitEthernet0/0, changed state to up
Mar 15 2026 00:05:27: %ASA-6-603108: Built PPPOE Tunnel, tunnel_id = 3, remote_peer_ip = 10.10.1.1, ppp_virtual_interface_id = 1, client_dynamic_ip = 10.10.1.10, username = pppoe
Mar 15 2026 00:05:35: %ASA-6-622001: Adding tracked route 0.0.0.0 0.0.0.0 10.10.1.1, distance 1, table default, on interface outside
Mar 15 2026 00:05:35: %ASA-6-603109: Teardown PPPOE Tunnel, tunnel_id = 4, remote_peer_ip = 172.16.1.1
Mar 15 2026 00:05:40: %ASA-6-622001: Removing tracked route 172.16.253.0 255.255.255.0 172.16.1.1, distance 1, table default, on interface outside2
Mar 15 2026 00:05:40: %ASA-6-317078: Deleted STATIC route 172.16.253.0 255.255.255.0 via 172.16.1.1 [1/0] on [outside2] [Gi0/1] tableid [0]

5. I pacchetti provenienti dagli indirizzi IP del PC da 192.168.1.2 a 10.10.253.2 e 172.16.253.2 vengono inviati tramite l'interfaccia esterna (percorso principale). Inoltre, a causa del protocollo PAT, il comando di acquisizione mostra l'indirizzo IP dell'interfaccia in uscita (indirizzi mappati):

Mar 15 2026 00:17:27: %ASA-6-305011: Built dynamic ICMP translation from inside:192.168.1.2/2685 to outside:10.10.1.10/2685
Mar 15 2026 00:17:29: %ASA-6-305011: Built dynamic ICMP translation from inside:192.168.1.2/2686 to outside:10.10.1.10/2686


firewall# show capture
capture capo type raw-data interface outside [Capturing - 912 bytes]
  match icmp any host 10.10.253.2
  match icmp any host 172.16.253.2
capture capo2 type raw-data interface outside2 [Capturing - 0 bytes]
  match icmp any host 172.16.253.2
  match icmp any host 10.10.253.2

firewall# show capture  capo
8 packets captured

   1: 00:17:27.680247       10.10.1.10 > 10.10.253.2 icmp: echo request
   2: 00:17:27.688761       10.10.253.2 > 10.10.1.10 icmp: echo reply
   3: 00:17:28.680415       10.10.1.10 > 10.10.253.2 icmp: echo request
   4: 00:17:28.683405       10.10.253.2 > 10.10.1.10 icmp: echo reply
   5: 00:17:29.732673       10.10.1.10 > 172.16.253.2 icmp: echo request 
   6: 00:17:29.739799       172.16.253.2 > 10.10.1.10 icmp: echo reply
   7: 00:17:30.732979       10.10.1.10 > 172.16.253.2 icmp: echo request
   8: 00:17:30.736656       172.16.253.2 > 10.10.1.10 icmp: echo reply

8 packets shown

Nota:

Le modifiche nel routing non vengono applicate alle connessioni esistenti. Pertanto, la connessione esistente continua a utilizzare il percorso "vecchio" anche se è disponibile un percorso migliore. Questo può effettivamente causare un impatto dopo le modifiche del routing. Per indicare al firewall di utilizzare il nuovo percorso, provare ad abilitare il timer conn mobile.  Se il timeout della connessione mobile è abilitato, impostato su un valore diverso da zero, se diventa disponibile una route migliore, il timeout consente di chiudere le connessioni in modo da ristabilire una connessione per utilizzare la route migliore. Fare riferimento alla descrizione di floating-conn in https://www.cisco.com/c/en/us/td/docs/security/asa/asa-cli-reference/T-Z/asa-command-ref-T-Z/m_ta-tk.html.

Come rimuovere o negare i comandi distribuiti utilizzando FlexConfig?

Se si desidera rimuovere o negare la configurazione distribuita da FlexConfig, è necessario eseguire i seguenti passaggi:

1. Creare un FlexConfig con i comandi di negazione nell'ordine seguente e assicurarsi di impostare Type su Prepend:

• Rimozione del riferimento agli oggetti traccia
• Eliminazione degli oggetti traccia
• Eliminazione di oggetti contratto di servizio

Esempio di rimozione della configurazione distribuita per la ridondanza attivo-attivo con condivisione del carico e rilevamento route client PPPoE:

Rimozione configurazione flessibile 1

Esempio di rimozione della configurazione distribuita per la ridondanza in standby attivo senza condivisione del carico:

Rimozione configurazione flessibile 2

2. Aggiungere l'oggetto di negazione creato al passaggio 1 al criterio FlexConfig. Verificare che gli oggetti per l'aggiunta di comandi PPPoE vengano rimossi e non esistano nel criterio:

Criterio di rimozione di FlexConfig

3. Distribuire i criteri e verificare la rimozione dei comandi nella CLI.

4. Rimuovere l'oggetto di negazione creato al passaggio 1 dal criterio FlexConfig e ridistribuirlo.

Riferimenti

• ID bug Cisco CSCwt39430   "ENH: Supporta comandi e sottocomandi di configurazione client DHCP/PPPoE interfaccia FTD sull'interfaccia utente FMC"