De FTD in een High Availability (HA)-paar werd consistent weergegeven in een mislukte toestand. De configuratie-synchronisatie werd niet voltooid tussen de HA-peers, ondanks succesvolle IP-connectiviteit tussen de eenheden. De implementatie was een nieuwe implementatie met Cisco Secure Firewall Threat Defense-software, die nog niet in productie was.
Het probleem verscheen nadat de primaire eenheid naar de uiteindelijke locatie was verplaatst en het IP-adres van het beheer was gewijzigd zonder eerst het HA-paar te verbreken. Het HA-proces detecteerde mislukte interfacecontroles op bewaakte gegevensinterfaces, waardoor de evaluatielogica van de HA-status werd geactiveerd om de primaire eenheid in een mislukte rol te plaatsen.
Veilige firewall FTD HA beheerd door FMC
Nieuwe inzet van een migratieactiviteit, nog niet in productie
De resolutie betrof het verwijderen van geselecteerde data-interfaces uit de HA-interface monitoring configuratie om valse detectie van storingen te voorkomen.
1: De probleemoplossende gegevens bevestigden HA-interfacecontrolefouten op de bewaakte gegevensinterfaces, terwijl HA-peer-connectiviteit (hartslag en ping) functioneel bleef.
device# show failover Failover On Failover unit Primary Failover LAN Interface: FailOver Ethernet1/8 (up) Reconnect timeout 0:00:00 Unit Poll frequency 1 seconds, holdtime 15 seconds Interface Poll frequency 5 seconds, holdtime 25 seconds Interface Policy 1 Monitored Interfaces 5 of 776 maximum MAC Address Move Notification Interval not set failover replication http Version: Ours 9.20(2)121, Mate 9.20(2)121 Serial Number: Ours SERIAL#, Mate SERIAL# Last Failover at: 17:14:25 UTC Mar 16 2026 This host: Primary - Failed Active time: 0 (sec) slot 0: FPR-1120 hw/sw rev (2.0/9.20(2)121) status (Up Sys) Interface To-DC1-ACC (0.0.0.0): No Link (Waiting) Interface To-DC1-WAN (0.0.0.0): No Link (Waiting) Interface management (203.0.113.131/fe80::a610:b6ff:fe3d:e101): Normal (Monitored) slot 1: snort rev (1.0) status (up) slot 2: diskstatus rev (1.0) status (up) Other host: Secondary - Active Active time: 184688 (sec) Interface To-DC1-ACC (0.0.0.0): No Link (Waiting) Interface To-DC1-WAN (10.230.2.2): Normal (Waiting) Interface management (203.0.113.130/fe80::6ae5:9eff:fee6:d681): Normal (Monitored) slot 1: snort rev (1.0) status (up) slot 2: diskstatus rev (1.0) status (up)
2: Bevestigd dat HA-toestandsovergangen plaatsvonden op basis van interfacemonitoringresultaten, niet op basis van connectiviteitsproblemen met het management-plane.
device# show failover history
17:16:51 UTC Mar 16 2026
Standby Ready Failed Interface check
This host:2
single_vf: To-DC1-ACC
single_vf: To-DC1-WAN
Other host:1
single_vf: To-DC1-ACC
1: De HA-configuratie is bijgewerkt om de betreffende gegevensinterfaces uit te sluiten van de bewaking van de interfacestatus, waardoor detectie van fouten wordt voorkomen.
2: Nadat de configuratie is gewijzigd, is de primaire FTD met succes overgegaan naar de status Standby Ready, waarmee de juiste HA-synchronisatie en statusstabiliteit worden bevestigd.
3: HA failover testen werd succesvol afgerond met de verwachte resultaten, het valideren van de stabiliteit van de HA configuratie na de veranderingen.
Deze gedragingen die tijdens het oplossen van problemen worden waargenomen, worden verwacht en zijn ontworpen:
Dubbele hostnamen op FTD-peers: Beide eenheden die dezelfde hostnaam weergeven, worden geacht zich te gedragen in FTD HA, aangezien de hostnaam van de actieve eenheid systeembreed wordt gepresenteerd (bijgehouden onder verzoek om verbetering CSCwe31354)
Eigendom van IP-adressen: Alleen de Active FTD geeft actieve IP-adressen weer op gegevensinterfaces, wat verwacht wordt door het ontwerp om split-brain-aandoeningen te voorkomen. Als er geen stand-by IP-adressen voor de interface zijn geconfigureerd, wordt de stand-by Ready FTD weergegeven met geen IP-adressen geconfigureerd op de interfaces.
De primaire FTD werd gemarkeerd als Failed vanwege High Availability-interfacecontrolefouten op bewaakte gegevensinterfaces, waardoor de peer met meer operationele interfaces actief bleef. Dit gedrag is door het ontwerp in FTD High Availability en is gedocumenteerd in Cisco Secure Firewall HA richtlijnen. Het HA-proces detecteerde mislukte interfacecontroles op bewaakte gegevensinterfaces, waardoor de evaluatielogica van de HA-status werd geactiveerd om de primaire eenheid in een mislukte rol te plaatsen.
| Revisie | Publicatiedatum | Opmerkingen |
|---|---|---|
1.0 |
05-May-2026
|
Eerste vrijgave |