内容

お問い合わせ内容

ハイアベイラビリティ(HA)ペアのFTDは、常に障害状態で表示されていました。ユニット間のIP接続が成功したにもかかわらず、HAピア間で設定の同期が完了しませんでした。この導入は、まだ実稼働していないCisco Secure Firewall Threat Defenseソフトウェアを実行する新しい実装でした。

この問題は、プライマリユニットを最終的な場所に移動し、最初にHAペアを解除せずに管理IPアドレスを変更した後に発生しました。HAプロセスが、モニタ対象のデータインターフェイスで失敗したインターフェイスチェックを検出しました。これにより、HA状態評価ロジックがトリガーされ、プライマリユニットが失敗ロールに配置されました。

環境

- FMCで管理されるセキュアファイアウォールFTD HA

- 移行アクティビティの新規導入（まだ実稼働環境に導入されていない）

解決策

この問題を解決するには、誤った障害の検出を防ぐために、選択したデータインターフェイスをHAインターフェイスモニタリング設定から削除する必要がありました。

実施されたトラブルシューティング手順

1：トラブルシューティングデータにより、監視対象のデータインターフェイスでHAインターフェイスチェックの障害が確認されましたが、HAピア接続（ハートビートおよびping）は機能し続けました。

device# show failover

Failover On

Failover unit Primary

Failover LAN Interface: FailOver Ethernet1/8 (up)

Reconnect timeout 0:00:00

Unit Poll frequency 1 seconds, holdtime 15 seconds

Interface Poll frequency 5 seconds, holdtime 25 seconds

Interface Policy 1

Monitored Interfaces 5 of 776 maximum

MAC Address Move Notification Interval not set

failover replication http

Version: Ours 9.20(2)121, Mate 9.20(2)121

Serial Number: Ours SERIAL#, Mate SERIAL#

Last Failover at: 17:14:25 UTC Mar 16 2026

This host: Primary - Failed

Active time: 0 (sec)

slot 0: FPR-1120 hw/sw rev (2.0/9.20(2)121) status (Up Sys)

Interface To-DC1-ACC (0.0.0.0): No Link (Waiting)

Interface To-DC1-WAN (0.0.0.0): No Link (Waiting)

Interface management (203.0.113.131/fe80::a610:b6ff:fe3d:e101): Normal (Monitored)

slot 1: snort rev (1.0)  status (up)

slot 2: diskstatus rev (1.0)  status (up)

Other host: Secondary - Active

Active time: 184688 (sec)

Interface To-DC1-ACC (0.0.0.0): No Link (Waiting)

Interface To-DC1-WAN (10.230.2.2): Normal (Waiting)

Interface management (203.0.113.130/fe80::6ae5:9eff:fee6:d681): Normal (Monitored)

slot 1: snort rev (1.0)  status (up)

slot 2: diskstatus rev (1.0)  status (up)

2:HA状態の遷移が、管理プレーンの接続の問題ではなく、インターフェイスの監視結果に基づいて発生していることを確認しました。

device# show failover history

17:16:51 UTC Mar 16 2026

Standby Ready              Failed                     Interface check

This host:2

single_vf: To-DC1-ACC

single_vf: To-DC1-WAN

Other host:1

single_vf: To-DC1-ACC

構成変更

1:HA設定が更新され、影響を受けるデータインターフェイスがインターフェイスのヘルスモニタリングから除外され、誤った障害検出が防止されました。

2：設定の変更後、プライマリFTDがStandby Readyステータスに正常に移行し、適切なHA同期と状態の安定性が確認されました。

3:HAフェールオーバーテストが正常に完了し、予期された結果が得られました。変更後のHA設定の安定性を検証します。

予想される動作の明確化

トラブルシューティング中に観察される次の動作は、予期される動作であり、設計上は次のとおりです。

- FTDピアでのホスト名の重複：アクティブユニットのホスト名はシステム全体で表示されるため(機能拡張要求CSCwe31354で追跡)、両方のユニットで同じホスト名が表示されることがFTD HAでは想定される動作です

- IPアドレスの所有：アクティブFTDのみがデータインターフェイス上のアクティブなIPアドレスを表示します。これは、スプリットブレイン状態を防ぐための設計上の動作です。インターフェイスのスタンバイIPアドレスが設定されていない場合、Standby Ready FTDのインターフェイスにはIPアドレスが設定されていないように見えます。

原因

プライマリFTDは、監視対象のデータインターフェイスでのハイアベイラビリティインターフェイスヘルスチェックの障害により、障害が発生したとマークされ、その結果、ピアでは動作しているインターフェイスの数が増え、アクティブのままになっています。この動作はFTD High Availabilityで設計されており、Cisco Secure Firewall HAのガイドラインに記載されています。HAプロセスが、モニタ対象のデータインターフェイスで失敗したインターフェイスチェックを検出しました。これにより、HA状態評価ロジックがトリガーされ、プライマリユニットが失敗ロールに配置されました。

関連コンテンツ

- Cisco Secure Firewall Device Managerコンフィギュレーションガイド – ハイアベイラビリティ（フェールオーバー）

- シスコのテクニカルサポートとダウンロード