アクティブ/スタンバイ フェールオーバーでは、障害が発生した装置の機能を、スタンバイ Threat Defense デバイス に引き継ぐことができます。アクティブ装置に障害が発生した場合、スタンバイ装置がアクティブ装置になります。

フェールオーバー リンクは 2 つの装置の間の専用接続です。ステートフル フェールオーバー リンクも専用接続ですが、1 つのフェールオーバー リンクをフェールオーバー リンクとステート リンクが組み合わされたものとして使用することも、個別の専用ステート リンクを作成することもできます。フェールオーバー リンクだけを使用する場合は、ステートフルな情報もそのリンクを経由し、ステートフル フェールオーバー機能は失われません。

デフォルトでは、フェールオーバー リンクおよびステートフル フェールオーバー リンク上の通信はプレーン テキスト（暗号化されない）です。IPsec 暗号キーを設定することにより、通信を暗号化してセキュリティを強化することができます。

ここでは、これらのインターフェイスについて詳しく説明するとともに、最良の結果を得るためのデバイスの配線方法に関する推奨事項を示します。

アクティブ装置は、接続状態情報をスタンバイ装置と共有します。これは、スタンバイ装置がユーザに影響を与えずに特定のタイプの接続を維持できることを意味します。

ただし、ステートフル フェールオーバーをサポートしないタイプの接続もあります。これらの接続については、フェールオーバーが発生した場合、ユーザが接続を再確立する必要があります。多くの場合、これは、接続で使用されているプロトコルの動作に基づいて自動的に実行されます。

ここでは、ステートフル フェールオーバーに関してサポートされる機能またはサポートされない機能について説明します。

高可用性モードで運用している場合は、アクティブ装置にのみ設定の変更を加えます。設定を展開すると、新しい変更はスタンバイ装置にも送信されます。

ただし、一部のプロパティはスタンバイ装置固有です。スタンバイ装置では次の設定を変更できます。

• 管理 IP アドレスとゲートウェイ。

• カスタマイズされたログイン ページ。

• CLI のみです。管理者ユーザアカウントや他のローカルユーザアカウントのパスワード。この変更を行うことができるのは CLI のみで、Device Manager で行うことはできません。すべてのローカルユーザは、両方のユニットで個別にパスワードを変更する必要があります。

さらに、スタンバイ デバイスでは次のアクションを実行できます。

• HA の一時停止、再開、リセット、解除などの高可用性アクションと、アクティブ モードとスタンバイ モードの切り替え。

• ダッシュボードとイベント データはデバイスごとに一意であり、同期されません。これには、イベント ビューアのカスタム ビューが含まれます。

• 監査ログ情報はデバイスごとに一意です。

• スマート ライセンシングの登録。ただし、アクティブ装置でオプションのライセンスを有効または無効にする必要があります。このアクションはスタンバイ装置と同期され、適切なライセンスが要求または解放されます。

• バックアップ（ただし復元ではない）。バックアップを復元するには装置で HA を解除する必要があります。バックアップに HA 設定が含まれている場合、装置は HA グループに再び参加します。

• ソフトウェア アップグレードのインストール。

• トラブルシューティング ログの生成。

• 地理位置情報データベースまたはセキュリティ インテリジェンス データベースの手動更新。これらのデータベースは、装置間で同期されません。更新スケジュールを作成する場合、装置は独立して一貫性を維持できます。

• [モニタリング（Monitoring）] > [セッション（Sessions）] ページからアクティブな Device Manager のユーザーセッションを表示したり、セッションを削除できます。

高可用性設定で 2 つのデバイスを結び付けるには、次のハードウェア要件を満たす必要があります。

• デバイスはまったく同じハードウェア モデルである必要があります。

  Firepower 9300 の場合、ハイ アベイラビリティは同じタイプのモジュール間でのみサポートされていますが、2 台のシャーシにモジュールを混在させることができます。たとえば、各シャーシに SM-36 および SM-44 がある場合、SM-36 モジュール間と SM-44 モジュール間に高可用性ペアを作成できます。

• デバイスは同じ数の同じタイプのインターフェイスを備えている必要があります。

  Firepower 4100/9300 シャーシの場合、HA を有効にする前に、すべてのインターフェイスを FXOS で同様に事前設定する必要があります。HA を有効にした後にインターフェイスを変更する場合は、スタンバイユニットの FXOS でそのインターフェイスを変更してから、アクティブユニットで同じ変更を行います。

• デバイスには同じモジュールが取り付けられている必要があります。たとえば、一方にオプションのネットワーク インターフェイス モジュールがある場合は、もう一方のデバイスに同じモジュールを取り付ける必要があります。

• Firepower 9300 のシャーシ内ハイアベイラビリティはサポートされません。同じ Firepower 9300 シャーシで別の論理デバイス間の HA を設定することはできません。

高可用性設定で 2 つのデバイスを結び付けるには、次のソフトウェア要件を満たす必要があります。

• デバイスは、まったく同じバージョンのソフトウェア（つまり、1 番目のメジャー番号、2 番目のマイナー番号、および 3 番目のメンテナンス番号が同じ）を実行する必要があります。バージョンは、Device Manager の [デバイス（Devices]） ページで確認できます。また、CLI で show version コマンドを使用して確認することもできます。異なるバージョンを実行するデバイスでも参加できますが、設定がスタンバイ装置にインポートされず、装置を同じソフトウェア バージョンにアップグレードしないとフェールオーバーは機能しません。

• 両方のデバイスがローカルマネージャモードになっている必要があります。つまり、Device Manager を使用して設定されている必要があります。両方のシステムで Device Manager にログインできる場合は、それらがローカルマネージャモードになっています。CLI で show managers コマンドを使用して確認することもできます。

• 各デバイスの初期セットアップ ウィザードを完了する必要があります。

• 各デバイスに固有の管理 IP アドレスが必要です。管理インターフェイスの設定は、デバイス間で同期されません。

• デバイスの NTP 設定が同じである必要があります。

• DHCP を使用してアドレスを取得するようにインターフェイスを設定することはできません。つまり、すべてのインターフェイスに静的 IP アドレスが必要です。

• クラウドサービスの場合は、両方のデバイスを同じリージョンに登録する必要があります。そうしないと、どちらのデバイスも登録できなくなります。複数のクラウドサービスの登録を組み合わせることはできません。

• ハイ アベイラビリティを設定する前に、保留中の変更を展開する必要があります。

高可用性を設定する前に、装置が同じ状態（両方とも Essentials ライセンスに登録されているか両方とも評価モードになっている）である必要があります。デバイスが登録されている場合は、それらを異なる Cisco Smart Software Manager アカウントに登録できますが、それらのアカウントは、エクスポート制御機能設定が同じ状態（両方有効または両方無効）である必要があります。ただし、装置ごとに異なるオプション ライセンスを有効にすることは可能です。両方のユニットを登録する場合は、デバイスに対して同じシスコ クラウド サービスのリージョンを選択する必要があります。

デバイスが登録されている場合は、スマートライセンスまたはパーマネントライセンス予約（PLR）のいずれかと同じモードを使用する必要があります。

運用時には、高可用性ペアの装置に同じライセンスが必要です。アクティブ装置で行ったライセンスの変更は、展開時にスタンバイ装置で繰り返されます。

高可用性設定には 2 つのスマート ライセンス権限付与（ペアの各デバイスに 1 つずつ）が必要です。各デバイスに適用するためにアカウントに十分なライセンスがあることを確認する必要があります。ライセンスが不足している場合は、一方のデバイスが準拠状態でも、もう一方のデバイスが非準拠になる可能性があります。

たとえば、アクティブデバイスに Essentials ライセンスと IPS が割り当てられており、スタンバイデバイスに Essentials ライセンスのみが割り当てられている場合、スタンバイ装置は Cisco Smart Software Manager と通信してアカウントから利用可能な IPS を取得します。スマート ライセンス アカウントに購入済みの十分な権限付与が含まれていない場合は、正しい数のライセンスが購入されるまで、アカウントがコンプライアンス適用外（そのため、アクティブ デバイスにコンプライアンスが適用されていてもスタンバイ デバイスはコンプライアンス適用外）になります。

（注）	輸出規制対象の機能の設定が異なるアカウントにデバイスを登録した場合、または 1 つの装置が登録済みで、もう 1 つが評価モードにある HA ペアを作成しようとした場合、HA の参加が失敗する可能性があります。輸出規制機能に関する設定が不整合な状態で IPsec 暗号化鍵を設定すると、HA を有効化した後に両方のデバイスがアクティブになります。これはサポートされているネットワーク セグメント上のルーティングに影響を与え、回復させるにはセカンダリ ユニットで HA を手動で中断する必要があります。

高可用性ペアの装置の設定を変更する場合は、アクティブ装置で設定を編集します。その後、変更を展開すると、アクティブ装置とスタンバイ装置の両方が新しい設定で更新されます。アクティブ装置がプライマリ デバイスであるかセカンダリ デバイスであるかは関係ありません。

ただし、未展開の変更は装置間で同期されません。未展開の変更は、変更を行った装置でのみ利用できます。

そのため、未展開の変更があるときにフェールオーバーが発生すると、その変更は新しいアクティブ装置で利用できません。ただし、現在のスタンバイになっている装置では、変更が保持されています。

未展開の変更を取得するには、モードを切り替えてフェールオーバーを強制的に実行し、そのもう一方の装置をアクティブ ステータスに戻す必要があります。新しくアクティブになった装置にログインすると、未展開の変更が利用可能になり、それらを展開できます。[高可用性（High Availability）] 設定の歯車メニュー（）から [モードの切り替え（Switch Modes）] コマンドを使用します。

次の点に注意してください。

• スタンバイ装置上に未展開の変更があるときにアクティブ装置から変更を展開すると、スタンバイ装置上の未展開の変更が削除されます。そのため、それらを取得できなくなります。

• スタンバイ装置が高可用性ペアに参加すると、そのスタンバイ装置上の未展開の変更が削除されます。装置がペアに参加または再参加するたびに、設定が同期されます。

• 未展開の変更を持つ装置に致命的な障害が発生し、その装置を置き換えたり再イメージ化する必要があった場合は、未展開の変更が完全に失われます。

高可用性ペアの装置は、ライセンスと登録ステータスが同じである必要があります。変更するには、次の手順に従います。

• アクティブ装置でオプションのライセンスを有効または無効にします。その後、設定を展開すると、スタンバイ装置が必要なライセンスを要求（または解放）します。ライセンスを有効にする際は、Cisco Smart Software Manager アカウントで十分な数のライセンスが使用可能であることを確認する必要があります。これを確認しないと、一方の装置が準拠、もう一方の装置が非準拠になる可能性があります。

• 装置を個別に登録または登録解除します。正しく機能させるには、両方の装置を評価モードにするか、両方の装置を登録する必要があります。装置を異なる Cisco Smart Software Manager アカウントに登録できますが、それらのアカウントは、エクスポート制御機能設定が同じ状態（両方有効または両方無効）である必要があります。装置の登録ステータスに一貫性がない場合は、設定の変更を展開できません。

フェールオーバー基準を変更するには、アクティブ装置にログインし、変更を加えて、それらを展開します。

ただし、フェールオーバー リンクで使用される IPsec 暗号キーを変更したり、フェールオーバーまたはステートフル フェールオーバー リンクのインターフェイスや IP アドレスを変更する必要がある場合は、まず HA 設定を解除する必要があります。その後、新しい暗号キーまたはフェールオーバー/ステートフル フェールオーバー リンク設定を使用してプライマリおよびセカンダリ装置を再設定できます。

高可用性設定の装置は、定期的なヘルス モニタリングによって、障害が発生した装置としてマーキングされる場合があります。この装置が正常である場合は、ヘルス モニタリング要件を再度満たすと正常なステータスに戻ります。正常なデバイスが、頻繁に、障害が発生したデバイスとしてマーキングされる場合は、ピア タイムアウトの値を増やしたり、重要性の低い特定のインターフェイスのモニタリングを停止したり、インターフェイスのモニタリング タイムアウトを変更することができます。

CLI から failover reset コマンドを入力することにより、障害が発生した装置を強制的に正常な装置として表示させることができます。このコマンドは、アクティブ装置から入力することをお勧めします。それにより、スタンバイ装置のステータスがリセットされます。show failover コマンドまたは show failover state コマンドを使用することにより、装置のフェールオーバーステータスを表示できます。

障害が発生した装置を障害のない状態に復元しても、その装置は自動的にはアクティブになりません。復元された装置は、（強制または通常の）フェールオーバーによってアクティブになるまではスタンバイ状態のままです。

デバイス ステータスをリセットしても、障害が発生したデバイスとしてマーキングされる原因となった問題は解決されません。問題に対処しなかったり、モニタリング タイムアウトを緩和したりすると、そのデバイスは、障害が発生したデバイスとして再びマーキングされます。

次の方法で、高可用性の全般的なステータスと履歴をモニタできます。

• [デバイス概要（Device Summary）]（[デバイス（Device）] クリック）の [高可用性（High Availability）] グループに装置のステータスが表示されます。

  
  

  

  
  

• [高可用性（High Availability）] ページ（[デバイス（Device）] > [高可用性（High Availability）] をクリック）に両方の装置のステータスが表示されます。失敗した場合は、直近の失敗理由（フェールオーバー履歴から）が表示されます。それらの間にある同期のアイコンをクリックすると、追加のステータスが表示されます。

  
  

  

  
  

• [ハイアベイラビリティ（High Availability）] ページで、ステータスの横にある [フェールオーバー履歴（Failover History）] リンクをクリックします。CLI コンソールが開き、show failover history details コマンドが実行されます。このコマンドを CLI または CLI コンソールに直接入力することもできます。

いずれかのインターフェイスのHAモニタリングを有効にしている場合は、CLIまたはCLIコンソールでshow monitor-interface コマンドを使用して、モニタ対象インターフェイスのステータスを確認できます。

> show monitor-interface
	This host: Primary - Active 
		Interface inside (192.168.1.13): Normal (Monitored)
		Interface outside (192.168.2.13): Normal (Monitored)
	Other host: Secondary - Standby Ready 
		Interface inside (192.168.1.14): Normal (Monitored)
		Interface outside (192.168.2.14): Normal (Monitored)

モニタ対象インターフェイスが持つステータスは次のとおりです。

• (Waiting)（Unknown (Waiting) などのように他のステータスと結合）：インターフェイスはピア装置上の対応するインターフェイスから hello パケットをまだ受信していません。

• Unknown：初期ステータスです。このステータスは、ステータスを特定できないことを意味する場合もあります。

• Normal：インターフェイスはトラフィックを受信しています。

• Testing：ポーリング 5 回の間、インターフェイスで hello メッセージが検出されていません。

• Link Down：インターフェイスまたは VLAN は管理のためにダウンしています。

• No Link：インターフェイスの物理リンクがダウンしています。

• Failed：インターフェイスではトラフィックを受信していませんが、ピア インターフェイスではトラフィックを検出しています。

システムは、深刻な状況を表すプライオリティ レベル 2 のフェールオーバーについて、複数の Syslog メッセージを発行します。フェールオーバー関連のメッセージ ID の範囲は 101xxx、102xxx、103xxx、104xxx、105xxx、210xxx、311xxx、709xxx、727xxx です。たとえば、105032 および 105043 はフェールオーバー リンクとの問題を示しています。Syslog メッセージの説明については、https://www.cisco.com/c/en/us/td/docs/security/firepower/Syslogs/b_fptd_syslog_guide.html にある『Cisco Threat Defense Syslog Messages』を参照してください。

（注）	フェールオーバー時には、システムが論理的にシャットダウンされた後にインターフェイスが起動し、Syslog メッセージ 411001 および 411002 が生成されます。これは通常のアクティビティです。

Syslog メッセージを表示するには、[デバイス（Device）] > [ロギング設定（Logging Settings）] で診断ロギングを設定する必要があります。メッセージを確実にモニタできるように、外部 Syslog サーバを設定してください。

CLI から failover exec コマンドを使用することにより、ピアにログインすることなく、ピア デバイスに show コマンドを入力できます。

failover exec { active | standby | mate} コマンド

コマンドを実行する装置（アクティブまたはスタンバイ）を指定するか、ログインしている装置ではない方の装置が応答するようにする場合は mate を入力します。

たとえば、ピアのインターフェイス設定と統計情報を表示するには、次のように入力します。

> failover exec mate show interface

 

configure コマンドは入力できません。この機能は、show コマンドで使用します。

（注）	アクティブ装置にログインしている場合は、failover reload-standby コマンドを使用してスタンバイ装置をリロードできます。

これらのコマンドは、Device Manager CLI コンソールからは入力できません。