Configurar e verificar a redundância/alta disponibilidade de PPPoE no ASA/FTD

Atualizado:17 de março de 2026
ID do documento:225616

Linguagem imparcial

O conjunto de documentação deste produto faz o possível para usar uma linguagem imparcial. Para os fins deste conjunto de documentação, a imparcialidade é definida como uma linguagem que não implica em discriminação baseada em idade, deficiência, gênero, identidade racial, identidade étnica, orientação sexual, status socioeconômico e interseccionalidade. Pode haver exceções na documentação devido à linguagem codificada nas interfaces de usuário do software do produto, linguagem usada com base na documentação de RFP ou linguagem usada por um produto de terceiros referenciado. Saiba mais sobre como a Cisco está usando a linguagem inclusiva.

Sobre esta tradução

A Cisco traduziu este documento com a ajuda de tecnologias de tradução automática e humana para oferecer conteúdo de suporte aos seus usuários no seu próprio idioma, independentemente da localização. Observe que mesmo a melhor tradução automática não será tão precisa quanto as realizadas por um tradutor profissional. A Cisco Systems, Inc. não se responsabiliza pela precisão destas traduções e recomenda que o documento original em inglês (link fornecido) seja sempre consultado.

    Introdução

    Este documento descreve a configuração e a verificação da redundância PPPoE (alta disponibilidade ou HA) no ASA ou no Secure Firewall Threat Defense (FTD).

    Pré-requisitos

    Requisitos


    Conhecimento básico do produto.

    Componentes Utilizados


    As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

    As informações neste documento são baseadas nestas versões de software e hardware:

    • Secure Firewall Threat Defense (FTD) versão 10.0.0 gerenciado pelo Secure Firewall Management Center (FMC) versão 10.0.1.
    • ASA versão 9.24.1.

    Informações de Apoio

    O software de firewall suporta a configuração de várias sessões PPPoE. Neste documento, 2 sessões PPPoE são consideradas e "HA" ou "redundância" são usadas de forma intercambiável.

     Em combinação com o contrato de camada de serviço (SLA), o rastreamento e o roteamento com o rastreamento de usuários podem configurar diferentes modos de redundância:

    • Redundância ativa-ativa com compartilhamento de carga
    • Redundância ativa-ativa com compartilhamento de carga e rastreamento de rota de cliente PPPoE
    • Redundância ativa/standby sem compartilhamento de carga

    Observe que a configuração de roteamento em dispositivos pares está fora do escopo deste artigo.

    Redundância ativa-ativa com compartilhamento de carga

    Consulte este exemplo de topologia:

    Active-Active Redundancy with Load-SharingRedundância ativa-ativa com compartilhamento de carga

    Pontos principais:

    • O PPPoE é configurado nas interfaces de firewall externo e externo2.
    • RTR1 e RTR2 são servidores PPPoE.
    • O firewall instala a rota padrão através da interface externa. A rota padrão através da interface outside2 tem uma distância de roteamento mais alta, ou seja, menos preferível.
    • As rotas estáticas de compartilhamento de carga para sub-redes específicas são instaladas através da interface outside2. As rotas são rastreadas. O rastreamento é opcional; no entanto, ele fornece failover mais rápido para o caminho através da interface externa, caso o caminho através da interface externa2 falhe.
    • Por uma questão de simplicidade, a conversão dinâmica de endereço de porta (PAT) é configurada através das interfaces outside e outside2.

    Configuração do ASA

    interface GigabitEthernet0/0
     nameif outside
     security-level 0
     pppoe client vpdn group RTR1
    ip address pppoe setroute

    interface GigabitEthernet0/1
     nameif outside2
     security-level 0
     pppoe client vpdn group RTR2
     pppoe client route distance 10
     ip address pppoe setroute

    vpdn group RTR1 request dialout pppoe
    vpdn group RTR1 localname pppoe
    vpdn group RTR1 ppp authentication pap
    vpdn group RTR2 request dialout pppoe
    vpdn group RTR2 localname pppoe
    vpdn username pppoe password *****
    sla monitor 1
     type echo protocol ipIcmpEcho 172.16.1.1 interface outside2
     num-packets 2
     timeout 5
     frequency 5

    sla monitor schedule 1 life forever start-time now
    track 1 rtr 1 reachability

    object network net-192.168.1.0
     subnet 192.168.1.0 255.255.255.0

    nat (inside,outside) source dynamic net-192.168.1.0 interface
    nat (inside,outside2) source dynamic net-192.168.1.0 interface

    route outside2 172.16.253.0 255.255.255.0 172.16.1.1 1 track 1



    Configuração de FTD

    Esta seção abrange somente a configuração PPPoE específica do FTD. Esta é a comparação lado a lado da configuração de interface externa e externa2 do PPPoE no FTD e dos comandos implantados no plano de dados:

    outside PPPoE interface configuration on FMC UIconfiguração de interface PPPoE externa na interface do FMC           outside2 PPPoE interface configuration on FMC UIconfiguração de interface PPPoE externa2 na interface do FMC

    Rota estática com rastreamento:

    Static route with trackingRota estática com rastreamento

    Configuração do objeto do monitor de SLA:

    SLA configurationconfiguração de SLA

    Pontos principais:

    • RTR1 e RTR2 são dois grupos VPDN nas interfaces G0/0 e G0/1, respectivamente.
    • A trilha 1/SLA1 rastreia a acessibilidade para RTR2. O objeto de trilha é usado na configuração de rota estática através da interface outside2.
    • O comando pppoe client route distance 10 instrui o firewall a aplicar a distância administrativa de 10 à rota padrão recebida do RTR2 e, portanto, torná-la menos preferível.
    • As rotas para sub-redes específicas através da interface outside2 são configuradas com rastreamento.
    • Como resultado, ambas as sessões PPPoE se tornam ativas e o tráfego do PC é compartilhado por carga, dependendo da configuração de roteamento.

    Verificação

    1. A sessão PPPoE com RTR1 através da interface externa é estabelecida:
    firewall# show vpdn session pppoe state 
    PPPoE Session Information (Total tunnels=2 sessions=1)

    SessID TunID Intf     State       Last Chg
       23      5 outside2   PADI_SENT  225 secs
       14      4 outside  SESSION_UP  150 secs

    firewall# show vpdn pppinterface 

    PPP virtual interface id = 1
    PPP authentication protocol is PAP
    Server ip address is 10.10.1.1
    Our ip address is 10.10.1.10
    Transmitted Pkts: 33, Received Pkts: 33, Error Pkts: 0
    MPPE key strength is None
      MPPE_Encrypt_Pkts: 0,  MPPE_Encrypt_Bytes: 0
      MPPE_Decrypt_Pkts: 0,  MPPE_Decrypt_Bytes: 0
      Rcvd_Out_Of_Seq_MPPE_Pkts: 0

    PPP virtual interface id = 2 was deleted and pending reuse

    firewall# show route
    …
    S*       0.0.0.0 0.0.0.0 [1/0] via 10.10.1.1, outside
    C        192.168.1.0 255.255.255.0 is directly connected, inside
    L        192.168.1.1 255.255.255.255 is directly connected, inside

    Syslogs:

    Mar 15 2026 20:23:26: %ASA-6-305009: Built static translation from outside:0.0.0.0 to inside:0.0.0.0
    Mar 15 2026 20:23:26: %ASA-6-603108: Built PPPOE Tunnel, tunnel_id = 4, remote_peer_ip = 10.10.1.1, ppp_virtual_interface_id = 1, client_dynamic_ip = 10.10.1.10, username = pppoe
    Mar 15 2026 20:23:26: %ASA-6-317077: Added STATIC route 0.0.0.0 0.0.0.0 via 10.10.1.1 [1/0] on [outside] [G0/0] tableid [0


    2. A sessão PPPoE com RTR2 através da interface outside2 é estabelecida:

    firewall# show vpdn session pppoe state 

    PPPoE Session Information (Total tunnels=2 sessions=2)

    SessID TunID Intf     State       Last Chg
       24      5 outside2  SESSION_UP  76 secs
       14      4 outside  SESSION_UP  349 secs

    firewall# show vpdn pppinterface
    PPP virtual interface id = 1
    PPP authentication protocol is PAP
    Server ip address is 10.10.1.1
    Our ip address is 10.10.1.10
    Transmitted Pkts: 67, Received Pkts: 67, Error Pkts: 0
    MPPE key strength is None
      MPPE_Encrypt_Pkts: 0,  MPPE_Encrypt_Bytes: 0
      MPPE_Decrypt_Pkts: 0,  MPPE_Decrypt_Bytes: 0
      Rcvd_Out_Of_Seq_MPPE_Pkts: 0

    PPP virtual interface id = 2
    PPP authentication protocol is PAP
    Server ip address is 172.16.1.1
    Our ip address is 172.16.1.10
    Transmitted Pkts: 54, Received Pkts: 54, Error Pkts: 0
    MPPE key strength is None
      MPPE_Encrypt_Pkts: 0,  MPPE_Encrypt_Bytes: 0
      MPPE_Decrypt_Pkts: 0,  MPPE_Decrypt_Bytes: 0
      Rcvd_Out_Of_Seq_MPPE_Pkts: 0

    firewall# show route 
    Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
    …
    S*       0.0.0.0 0.0.0.0 [1/0] via 10.10.1.1, outside
    S        172.16.253.0 255.255.255.0 [1/0] via 172.16.1.1, outside2
    C        192.168.1.0 255.255.255.0 is directly connected, inside
    L        192.168.1.1 255.255.255.255 is directly connected, inside


    Syslogs:

    Mar 15 2026 20:27:59: %ASA-6-317077: Added STATIC route 0.0.0.0 0.0.0.0 via 0.0.0.0 [10/0] on [outside2] [G0/1] tableid [0]
    Mar 15 2026 20:27:59: %ASA-6-305009: Built static translation from outside2:0.0.0.0 to inside:0.0.0.0
    Mar 15 2026 20:27:59: %ASA-6-603108: Built PPPOE Tunnel, tunnel_id = 5, remote_peer_ip = 172.16.1.1, ppp_virtual_interface_id = 2, client_dynamic_ip = 172.16.1.10, username = pppoe
    Mar 15 2026 20:27:59: %ASA-6-305010: Teardown static translation from outside2:0.0.0.0 to inside:0.0.0.0 duration 0:06:08
    Mar 15 2026 20:28:04: %ASA-6-622001: Adding tracked route 172.16.253.0 255.255.255.0 172.16.1.1, distance 1, table default, on interface outside2
    Mar 15 2026 20:28:04: %ASA-6-317077: Added STATIC route 172.16.253.0 255.255.255.0 via 172.16.1.1 [1/0] on [outside2] [G0/1] tableid [0]


    3. Os pacotes do endereço IP do PC 192.168.1.2 a 10.10.253.2 e 172.16.253.2 são enviados. Devido ao PAT, as capturas capo e capo2 mostram o endereço IP da interface de saída (endereços mapeados):

    Mar 14 2026 23:13:13: %ASA-6-305011: Built dynamic ICMP translation from inside:192.168.1.2/2668 to outside:10.10.1.10/2668
    Mar 14 2026 23:13:19: %ASA-6-305011: Built dynamic ICMP translation from inside:192.168.1.2/2669 to outside2:172.16.1.10/2669

    firewall# show cap
    capture capo type raw-data interface outside [Capturing - 456 bytes]
      match icmp any host 10.10.253.2
    capture capo2 type raw-data interface outside2 [Capturing - 456 bytes]
      match icmp any host 172.16.253.2

    firewall# show cap capo
    4 packets captured

       1: 23:13:13.409387       10.10.1.10 > 10.10.253.2 icmp: echo request
       2: 23:13:13.417764       10.10.253.2 > 10.10.1.10 icmp: echo reply 
       3: 23:13:14.409799       10.10.1.10 > 10.10.253.2 icmp: echo request
       4: 23:13:14.415978       10.10.253.2 > 10.10.1.10 icmp: echo reply

    4 packets shown

    firewall# show cap capo2
    4 packets captured
       1: 23:13:19.500584       172.16.1.10 > 172.16.253.2 icmp: echo request
       2: 23:13:19.506321       172.16.253.2 > 172.16.1.10 icmp: echo reply
       3: 23:13:20.502201       172.16.1.10 > 172.16.253.2 icmp: echo request
       4: 23:13:20.508076       172.16.253.2 > 172.16.1.10 icmp: echo reply


    4. Simule uma falha de link remoto em RTR1. O failover para o caminho de backup através da interface outside2 leva em torno de 1 minuto:

    RTR1:

    Mar 15 20:43:19.679: %LINEPROTO-5-UPDOWN: Line protocol on Interface GigabitEthernet0/1, changed state to down

    Firewall:

    Mar 15 2026 20:44:17: %ASA-3-403503: PPPoE:PPP link down:
    Mar 15 2026 20:44:17: %ASA-3-403503: PPPoE:PPP link down:Peer not responding
    Mar 15 2026 20:44:17: %ASA-3-403503: PPPoE:PPP link down:
    Mar 15 2026 20:44:17: %ASA-3-403503: PPPoE:PPP link down:LCP down
    Mar 15 2026 20:44:17: %ASA-6-603109: Teardown PPPOE Tunnel, tunnel_id = 4, remote_peer_ip = 10.10.1.1
    Mar 15 2026 20:44:17: %ASA-6-305009: Built static translation from outside:0.0.0.0 to inside:0.0.0.0
    Mar 15 2026 20:44:17: %ASA-6-317078: Deleted STATIC route 0.0.0.0 0.0.0.0 via 10.10.1.1 [1/0] on [outside] [G0/0] tableid [0]
    Mar 15 2026 20:44:17: %ASA-7-110007: Del Entry:0.0.0.0/0.0.0.0 nh:10.10.1.1 nh_cnt:1 flags:0 timestamp:147 resolver_cnt:0 ifcout:outside result:1 incr_ts:1 vrfid:65535
    Mar 15 2026 20:44:17: %ASA-6-317077: Added STATIC route 0.0.0.0 0.0.0.0 via 172.16.1.1 [10/0] on [outside2] [G0/1] tableid [0]
    Mar 15 2026 20:44:17: %ASA-7-110006: Add Entry:0.0.0.0/0.0.0.0 nh:172.16.1.1 nh_cnt:1 flags:0 timestamp:151 resolver_cnt:0 ifcout:outside2 vrfid:1644313584 handle:103727 table:output route
    Mar 15 2026 20:44:17: %ASA-6-305010: Teardown static translation from outside:0.0.0.0 to inside:0.0.0.0 duration 0:02:45

    firewall# show route 
    …
    S*       0.0.0.0 0.0.0.0 [10/0] via 172.16.1.1, outside2



    Redundância ativa-ativa com compartilhamento de carga e rastreamento de rota de cliente PPPoE

    Esse caso é baseado na redundância ativa-ativa com compartilhamento de carga e, além disso, requer a implantação do comando track e pppoe client route track x adicionais na interface outside usando FlexConfig.  

    Consulte este exemplo de topologia:

    Active-Active Redundancy with Load-Sharing and PPPoE Client Route TrackingRedundância ativa-ativa com compartilhamento de carga e rastreamento de rota de cliente PPPoE

    Pontos principais:

    • O PPPoE é configurado nas interfaces de firewall externo e externo2.
    • RTR1 e RTR2 são servidores PPPoE.
    • Usando a distância da rota, o firewall instala a rota padrão através da interface externa. A rota padrão através da interface outside2 tem uma distância de roteamento mais alta e é menos preferível.
    • A rota padrão para RTR1 através da interface externa é rastreada. É opcional, no entanto, dependendo da frequência do SLA e dos valores de tempo limite, ele pode fornecer failover mais rápido para o caminho via RTR2.
    • As rotas estáticas de compartilhamento de carga para sub-redes específicas são instaladas através da interface outside2. As rotas são rastreadas. O rastreamento é opcional; no entanto, ele fornece failover mais rápido para o caminho via RTR1.
    • Por uma questão de simplicidade, a conversão dinâmica de endereço de porta (PAT) é configurada através das interfaces outside e outside2.

    Configuração do ASA

    interface GigabitEthernet0/0
     nameif outside
     security-level 0
     pppoe client vpdn group RTR1
     pppoe client route track 2
     ip address pppoe setroute

    interface GigabitEthernet0/1
     nameif outside2
     security-level 0
     pppoe client vpdn group RTR2
     pppoe client route distance 10
     ip address pppoe setroute

    vpdn group RTR1 request dialout pppoe
    vpdn group RTR1 localname pppoe
    vpdn group RTR1 ppp authentication pap
    vpdn group RTR2 request dialout pppoe
    vpdn group RTR2 localname pppoe
    vpdn username pppoe password *****

    sla monitor 2
     type echo protocol ipIcmpEcho 10.10.1.1 interface outside
     num-packets 2
     timeout 5
     frequency 5

    sla monitor schedule 2 life forever start-time now

    sla monitor 1
     type echo protocol ipIcmpEcho 172.16.1.1 interface outside2
     num-packets 2
     timeout 5
     frequency 5
    sla monitor schedule 1 life forever start-time now

    track 1 rtr 1 reachability
    track 2 rtr 2 reachability

    object network net-192.168.1.0
     subnet 192.168.1.0 255.255.255.0
    nat (inside,outside) source dynamic net-192.168.1.0 interface
    nat (inside,outside2) source dynamic net-192.168.1.0 interface

    route outside2 172.16.253.0 255.255.255.0 172.16.1.1 1 track 1


    Configuração de FTD

    Esta seção abrange somente a configuração PPPoE específica do FTD. As etapas de configuração são as mesmas que a configuração do FTD na seção "Redundância Ativa-Ativa com Compartilhamento de Carga" com a adição da implantação do comando pppoe client route track x na interface externa. Como a interface do usuário do FMC não oferece suporte nativo a trilhas para as opções do cliente, o FlexConfig deve ser usado.

    Considere estes pontos:

    1. As políticas FlexConfig intencionalmente não contêm validação de entrada extensiva. Você deve garantir que as configurações nesta política FlexConfig estejam corretas. Configurações incorretas resultam em uma implantação com falha que pode causar uma interrupção na rede. Além disso, considere isolar a implantação para que ela inclua apenas alterações de FlexConfig e nenhuma outra atualização de política.

    2. Durante a instalação, o CVP deve remover qualquer via x. implantado pelo FlexConfig. Para persistência, você deve definir a implantação do objeto FlexConfig como Everytime e implantar em um objeto FlexConfig separado.


    Etapas de configuração FlexConfig

    1. Crie um objeto FlexConfig para a configuração das configurações de cliente SLA e PPPoE para a interface externa. Certifique-se de definir Deployment como Once e Type como Append. Neste exemplo, a trilha 2, SLA 2 são usadas. Observe que o comando track 2 rtr 2 reachability está ausente:

    FlexConfig for SLAFlexConfig para SLA

    2. Crie outro objeto FlexConfig para a configuração do comando track 2 rtr 2 reachability. Certifique-se de definir Deployment como Everytime e Type como Append:

    FlexConfig for trackFlexConfig para controle

    3. Adicione objetos à política FlexConfig. Certifique-se de que o objeto com o comando track 2 rtr 2 reachability na parte inferior (último) e implante políticas:

    FlexConfig policyPolítica FlexConfig

    Pontos principais:

    • RTR1 e RTR2 são dois grupos VPDN nas interfaces G0/0 e G0/1, respectivamente.
    • A trilha 2/SLA2 rastreia a acessibilidade a RTR1. O comando pppoe client route track 2 instrui o firewall a instalar a rota padrão através da interface externa se a trilha 2 estiver ativa.
    • A trilha 1/SLA1 rastreia a acessibilidade para RTR2. O objeto de trilha é usado na configuração de rota estática através da interface outside2.
    • O comando pppoe client route distance 10 instrui o firewall a aplicar a distância administrativa de 10 à rota padrão recebida do RTR2 e, portanto, torná-la menos preferível.
    • As rotas para sub-redes específicas através da interface outside2 são configuradas com rastreamento.
    • Como resultado, ambas as sessões PPPoE se tornam ativas e o tráfego do PC é compartilhado por carga, dependendo da configuração de roteamento.

    Verificação


    1. É estabelecida uma sessão PPPoE com RTR1 através da interface externa:

    firewall# show vpdn session pppoe state
    PPPoE Session Information (Total tunnels=2 sessions=1)


    SessID TunID Intf     State       Last Chg
       12      3 outside  SESSION_UP  80 secs
       12      4 outside2   PADI_SENT  74 secs

    firewall# show vpdn pppinterface       

    PPP virtual interface id = 1
    PPP authentication protocol is PAP
    Server ip address is 10.10.1.1
    Our ip address is 10.10.1.10
    Transmitted Pkts: 71, Received Pkts: 71, Error Pkts: 0
    MPPE key strength is None
      MPPE_Encrypt_Pkts: 0,  MPPE_Encrypt_Bytes: 0
      MPPE_Decrypt_Pkts: 0,  MPPE_Decrypt_Bytes: 0
      Rcvd_Out_Of_Seq_MPPE_Pkts: 0

    PPP virtual interface id = 2 was deleted and pending reuse


    firewall# show route 
    …
    S*       0.0.0.0 0.0.0.0 [1/0] via 10.10.1.1, outside
    C        192.168.1.0 255.255.255.0 is directly connected, inside
    L        192.168.1.1 255.255.255.255 is directly connected, inside

    Syslogs:

    Mar 14 2026 22:54:46: %ASA-4-411001: Line protocol on Interface GigabitEthernet0/0, changed state to up
    Mar 14 2026 22:54:50: %ASA-6-305009: Built static translation from outside:0.0.0.0 to inside:0.0.0.0
    Mar 14 2026 22:54:50: %ASA-6-603108: Built PPPOE Tunnel, tunnel_id = 3, remote_peer_ip = 10.10.1.1, ppp_virtual_interface_id = 1, client_dynamic_ip = 10.10.1.10, username = pppoe
    Mar 14 2026 22:54:51: %ASA-6-305010: Teardown static translation from outside:0.0.0.0 to inside:0.0.0.0 duration 0:00:25
    Mar 14 2026 22:54:52: %ASA-6-622001: Adding tracked route 0.0.0.0 0.0.0.0 10.10.1.1, distance 1, table default, on interface outside
    Mar 14 2026 22:54:52: %ASA-6-317077: Added STATIC route 0.0.0.0 0.0.0.0 via 10.10.1.1 [1/0] on [outside] [Gi0/0] tableid [0]
    Mar 14 2026 22:54:52: %ASA-7-110006: Add Entry:0.0.0.0/0.0.0.0 nh:10.10.1.1 nh_cnt:1 flags:0 timestamp:328 resolver_cnt:0 ifcout:outside vrfid:0 handle:444749 table:output route

    2. A sessão PPPoE com RTR2 através da interface outside2 é estabelecida:

    firewall# show vpdn session pppoe state 
    PPPoE Session Information (Total tunnels=2 sessions=2)
    SessID TunID Intf     State       Last Chg
       12      3 outside  SESSION_UP  412 secs
       13      4 outside2  SESSION_UP  89 secs

    firewall# show vpdn pppinterface       
    PPP virtual interface id = 1
    PPP authentication protocol is PAP
    Server ip address is 10.10.1.1
    Our ip address is 10.10.1.10
    Transmitted Pkts: 238, Received Pkts: 238, Error Pkts: 0
    MPPE key strength is None
      MPPE_Encrypt_Pkts: 0,  MPPE_Encrypt_Bytes: 0
      MPPE_Decrypt_Pkts: 0,  MPPE_Decrypt_Bytes: 0
      Rcvd_Out_Of_Seq_MPPE_Pkts: 0

    PPP virtual interface id = 2
    PPP authentication protocol is PAP
    Server ip address is 172.16.1.1
    Our ip address is 172.16.1.10
    Transmitted Pkts: 56, Received Pkts: 56, Error Pkts: 0
    MPPE key strength is None
      MPPE_Encrypt_Pkts: 0,  MPPE_Encrypt_Bytes: 0
      MPPE_Decrypt_Pkts: 0,  MPPE_Decrypt_Bytes: 0
      Rcvd_Out_Of_Seq_MPPE_Pkts: 0

    firewall# show route 

    Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
           D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
           N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
           E1 - OSPF external type 1, E2 - OSPF external type 2, V - VPN
           i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
           ia - IS-IS inter area, * - candidate default, U - per-user static route
           o - ODR, P - periodic downloaded static route, + - replicated route
           SI - Static InterVRF, BI - BGP InterVRF
    Gateway of last resort is 10.10.1.1 to network 0.0.0.0

    S*       0.0.0.0 0.0.0.0 [1/0] via 10.10.1.1, outside
    C        192.168.1.0 255.255.255.0 is directly connected, inside
    L        192.168.1.1 255.255.255.255 is directly connected, inside
    S        172.16.253.0 255.255.255.0 [1/0] via 172.16.1.1, outside2

    Syslogs:

    Mar 14 2026 22:59:45: %ASA-4-411001: Line protocol on Interface GigabitEthernet0/1, changed state to up
    Mar 14 2026 23:00:13: %ASA-6-603108: Built PPPOE Tunnel, tunnel_id = 4, remote_peer_ip = 172.16.1.1, ppp_virtual_interface_id = 2, client_dynamic_ip = 172.16.1.10, username = pppoe
    Mar 14 2026 23:00:14: %ASA-6-305010: Teardown static translation from outside2:0.0.0.0 to inside:0.0.0.0 duration 0:25:25
    Mar 14 2026 23:00:18: %ASA-6-622001: Adding tracked route 172.16.253.0 255.255.255.0 172.16.1.1, distance 1, table default, on interface outside2
    Mar 14 2026 23:00:18: %ASA-6-317077: Added STATIC route 172.16.253.0 255.255.255.0 via 172.16.1.1 [1/0] on [outside2] [Gi0/1] tableid [0]
    Mar 14 2026 23:00:18: %ASA-7-110006: Add Entry:172.16.253.0/255.255.255.0 nh:172.16.1.1 nh_cnt:1 flags:0 timestamp:339 resolver_cnt:0 ifcout:outside2 vrfid:0 handle:458877 table:output route

    3. Os pacotes do endereço IP do PC 192.168.1.2 a 10.10.253.2 e 172.16.253.2 são enviados. Devido ao PAT, as capturas capo e capo2 mostram o endereço IP da interface de saída (endereços mapeados):

    Mar 14 2026 23:13:13: %ASA-6-305011: Built dynamic ICMP translation from inside:192.168.1.2/2668 to outside:10.10.1.10/2668
    Mar 14 2026 23:13:19: %ASA-6-305011: Built dynamic ICMP translation from inside:192.168.1.2/2669 to outside2:172.16.1.10/2669

    firewall# show cap
    capture capo type raw-data interface outside [Capturing - 456 bytes]
      match icmp any host 10.10.253.2
    capture capo2 type raw-data interface outside2 [Capturing - 456 bytes]
      match icmp any host 172.16.253.2

    firewall# show cap capo
    4 packets captured

       1: 23:13:13.409387       10.10.1.10 > 10.10.253.2 icmp: echo request
       2: 23:13:13.417764       10.10.253.2 > 10.10.1.10 icmp: echo reply 
       3: 23:13:14.409799       10.10.1.10 > 10.10.253.2 icmp: echo request
       4: 23:13:14.415978       10.10.253.2 > 10.10.1.10 icmp: echo reply

    4 packets shown

    firewall# show cap capo2
    4 packets captured

       1: 23:13:19.500584       172.16.1.10 > 172.16.253.2 icmp: echo request
       2: 23:13:19.506321       172.16.253.2 > 172.16.1.10 icmp: echo reply
       3: 23:13:20.502201       172.16.1.10 > 172.16.253.2 icmp: echo request
       4: 23:13:20.508076       172.16.253.2 > 172.16.1.10 icmp: echo reply

    4. Simule uma falha de link remoto em RTR1. O failover para o caminho de backup através da interface outside2 depende dos temporizadores de track1:

    RTR1:

    Mar 15 21:06:11.608: %LINEPROTO-5-UPDOWN: Line protocol on Interface TenGigabitEthernet0/0/0, changed state to down

    Firewall:

    Mar 15 2026 21:06:14: %ASA-3-317012: Interface IP route counter negative - Ethernet1/2
    Mar 15 2026 21:06:14: %ASA-6-622001: Removing tracked route 0.0.0.0 0.0.0.0 10.10.1.1, distance 1, table default, on interface outside
    Mar 15 2026 21:06:14: %ASA-6-317078: Deleted STATIC route 0.0.0.0 0.0.0.0 via 10.10.1.1 [1/0] on [outside] [E1/2] tableid [0]
    Mar 15 2026 21:06:14: %ASA-7-110007: Del Entry:0.0.0.0/0.0.0.0 nh:10.10.1.1 nh_cnt:1 flags:0 timestamp:199 resolver_cnt:0 ifcout:outside result:1 incr_ts:1 vrfid:0
    Mar 15 2026 21:06:14: %ASA-6-317077: Added STATIC route 0.0.0.0 0.0.0.0 via 172.16.1.1 [10/0] on [outside2] [E1/3] tableid [0]
    Mar 15 2026 21:06:14: %ASA-7-110006: Add Entry:0.0.0.0/0.0.0.0 nh:172.16.1.1 nh_cnt:1 flags:0 timestamp:203 resolver_cnt:0 ifcout:outside2 vrfid:1512689936 handle:117182335 table:output route

    KSEC-CSF1210-1# show route 
    …
    S*       0.0.0.0 0.0.0.0 [10/0] via 172.16.1.1, outside2


    Note:

    As alterações no roteamento não são aplicadas às conexões existentes. Portanto, a conexão existente continuará usando o caminho "antigo" mesmo que um caminho melhor se torne disponível. Efetivamente, isso pode causar impacto após as alterações de roteamento. Para instruir o firewall a usar o novo caminho, considere ativar o temporizador de conexão flutuante.  Se o timeout de conexão flutuante estiver ativado e for definido com um valor diferente de zero, se uma rota melhor se tornar disponível, esse timeout permitirá que as conexões sejam fechadas para que uma conexão possa ser restabelecida para usar a rota melhor. Consulte a descrição de floating-conn em https://www.cisco.com/c/en/us/td/docs/security/asa/asa-cli-reference/T-Z/asa-command-ref-T-Z/m_ta-tk.html.

    Redundância ativa em standby sem compartilhamento de carga

    Nesse caso, apenas 1 sessão PPPoE está ativa, a outra fica inativa até que o controle da sessão ativa fique inativo. 

    O comando pppoe client secondary track x é usado para a interface outside2 (backup).

    Consulte este exemplo de topologia:

    Active standby topologyTopologia ativa em standby

    Pontos principais:

    • O PPPoE é configurado nas interfaces G0/0 e G0/1 do firewall.
    • RTR1 e RTR2 são servidores PPPoE.
    • Usando route-distance, o firewall instala a rota padrão para RTR1 através da interface externa. A rota padrão para RTR2 tem uma distância de roteamento mais alta e é menos preferível.
    • A rota padrão para RTR1 através da interface externa é rastreada. É opcional, no entanto, fornece failover mais rápido para o caminho via RTR2.
    • A sessão PPPoE para RTR2 através da interface outside2 é estabelecida somente se a trilha usada para a rota padrão para RTR1 através da interface outside estiver inoperante.
    • Em um determinado momento, apenas uma sessão PPPoE está ativa.
    • Por uma questão de simplicidade, a conversão dinâmica de endereço de porta (PAT) é configurada através das interfaces outside e outside2.

    Configuração do ASA

    interface GigabitEthernet0/0
     nameif outside
     security-level 0
     pppoe client vpdn group RTR1
     pppoe client route track 2
     ip address pppoe setroute

    interface GigabitEthernet0/1
     nameif outside2
     security-level 0
     pppoe client vpdn group RTR2
     pppoe client route distance 10
     pppoe client secondary track 2
     ip address pppoe setroute

    vpdn group RTR1 request dialout pppoe
    vpdn group RTR1 localname pppoe
    vpdn group RTR1 ppp authentication pap
    vpdn group RTR2 request dialout pppoe
    vpdn group RTR2 localname pppoe
    vpdn username pppoe password *****

    sla monitor 2
     type echo protocol ipIcmpEcho 10.10.1.1 interface outside
     num-packets 2
     timeout 5
     frequency 5
    sla monitor schedule 2 life forever start-time now

    track 2 rtr 2 reachability

    object network net-192.168.1.0
     subnet 192.168.1.0 255.255.255.0
    nat (inside,outside) source dynamic net-192.168.1.0 interface
    nat (inside,outside2) source dynamic net-192.168.1.0 interface

    Configuração de FTD

    Esta seção aborda a configuração do comando pppoe client secondary track x para a interface outside2 (backup). Como a interface do usuário do FMC não oferece suporte nativo a trilhas para as opções do cliente, o FlexConfig deve ser usado.

    Você deve garantir a configuração do restante da configuração, incluindo a configuração PPPoE, o roteamento e outros.

    Considere estes pontos:

    1. As políticas FlexConfig intencionalmente não contêm validação de entrada extensiva. Você deve garantir que as configurações nesta política FlexConfig estejam corretas. Configurações incorretas resultam em uma implantação com falha que pode causar uma interrupção na rede. Além disso, considere isolar a implantação para que ela inclua apenas alterações de FlexConfig e nenhuma outra atualização de política.
    2. Durante a implantação, o FMC remove qualquer trilha x.. implantado pelo FlexConfig. Para persistência, você deve definir a implantação do objeto FlexConfig como Everytime e implantar em um objeto FlexConfig separado.

    Etapas de configuração FlexConfig

    1. Crie um objeto FlexConfig para a configuração das configurações de cliente SLA e PPPoE para a interface outside2 (backup). Certifique-se de definir Deployment como Once e Type como Append. Neste exemplo, a trilha 2, SLA 2 são usadas. Observe que o comando track 2 rtr 2 reachability está ausente:

    FlexConfig for SLAFlexConfig para SLA

    2. Crie outro objeto FlexConfig para a configuração do comando track 2 rtr 2 reachability. Certifique-se de definir Deployment como Everytime e Type como Append:

    FlexConfig for trackFlexConfig para controle

    3. Adicione objetos à política FlexConfig. Certifique-se de que o objeto com o comando track 2 rtr 2 reachability na parte inferior (último) e implante políticas:

    FlexConfig policyPolítica FlexConfig

    Pontos principais:

    • O comando pppoe client secondary track 2 na interface G0/1 instrui o firewall a ativar a sessão PPPoE através da interface G0/1 apenas se a faixa 2 falhar. Efetivamente, a falha da trilha 2 que rastreia a alcançabilidade através do caminho principal ativa o caminho de backup.
    • Como resultado, apenas 1 sessão PPPoE está ativa em um determinado momento.

    Verificação

    1. A sessão PPPoE com RTR1 através da interface externa já está estabelecida. A sessão de backup está ociosa:

    firewall# show vpdn session pppoe state 

    PPPoE Session Information (Total tunnels=1 sessions=1)

    SessID TunID Intf     State       Last Chg
       13      3 outside  SESSION_UP  72 secs


    firewall# show vpdn pppinterface

    PPP virtual interface id = 1
    PPP authentication protocol is PAP
    Server ip address is 10.10.1.1
    Our ip address is 10.10.1.10
    Transmitted Pkts: 60, Received Pkts: 60, Error Pkts: 0
    MPPE key strength is None
      MPPE_Encrypt_Pkts: 0,  MPPE_Encrypt_Bytes: 0
      MPPE_Decrypt_Pkts: 0,  MPPE_Decrypt_Bytes: 0
      Rcvd_Out_Of_Seq_MPPE_Pkts: 0

    PPP virtual interface id = 2 was deleted and pending reuse


    2. A sessão PPPoE para RTR1 através da interface externa falha (por exemplo, devido a uma falha na interface física ou no link). A sessão PPPoE para RTR2 através da interface outside2 é estabelecida.

    Syslogs:

    Mar 14 2026 23:40:50: %ASA-3-403503: PPPoE:PPP link down:Peer not responding
    Mar 14 2026 23:40:50: %ASA-3-403503: PPPoE:PPP link down:
    Mar 14 2026 23:40:50: %ASA-3-403503: PPPoE:PPP link down:LCP down
    Mar 14 2026 23:40:50: %ASA-6-603109: Teardown PPPOE Tunnel, tunnel_id = 3, remote_peer_ip = 10.10.1.1
    Mar 14 2026 23:40:50: %ASA-6-305009: Built static translation from outside:0.0.0.0 to inside:0.0.0.0
    Mar 14 2026 23:39:44: %ASA-4-411002: Line protocol on Interface GigabitEthernet0/0, changed state to down
    Mar 14 2026 23:39:44: %ASA-7-713906: IKE Receiver: Interface 3(outside) going down
    Mar 14 2026 23:39:44: %ASA-3-317012: Interface IP route counter negative - GigabitEthernet0/0
    Mar 14 2026 23:39:44: %ASA-6-317078: Deleted STATIC route 0.0.0.0 0.0.0.0 via 10.10.1.1 [1/0] on [outside] [Gi0/0] tableid [0]
    Mar 14 2026 23:39:44: %ASA-7-110007: Del Entry:0.0.0.0/0.0.0.0 nh:10.10.1.1 nh_cnt:1 flags:0 timestamp:451 resolver_cnt:0 ifcout:outside result:1 incr_ts:1 vrfid:0
    Mar 14 2026 23:39:48: %ASA-6-622001: Removing tracked route 0.0.0.0 0.0.0.0 10.10.1.1, distance 1, table default, on interface outside
    Mar 14 2026 23:39:48: %ASA-6-305009: Built static translation from outside2:0.0.0.0 to inside:0.0.0.0
    Mar 14 2026 23:39:48: %ASA-6-603108: Built PPPOE Tunnel, tunnel_id = 4, remote_peer_ip = 172.16.1.1, ppp_virtual_interface_id = 2, client_dynamic_ip = 172.16.1.10, username = pppoe
    Mar 14 2026 23:39:48: %ASA-6-317078: Deleted CONNECTED route 172.16.1.10 255.255.255.255 via 0.0.0.0 [0/0] on [outside2] [Gi0/1] tableid [0]
    Mar 14 2026 23:39:48: %ASA-6-317077: Added STATIC route 0.0.0.0 0.0.0.0 via 172.16.1.1 [10/0] on [outside2] [Gi0/1] tableid [0]
    Mar 14 2026 23:39:48: %ASA-7-110006: Add Entry:0.0.0.0/0.0.0.0 nh:172.16.1.1 nh_cnt:1 flags:0 timestamp:459 resolver_cnt:0 ifcout:outside2 vrfid:0 handle:610419 table:output route

    firewall# show vpdn session pppoe state

    PPPoE Session Information (Total tunnels=2 sessions=1)

    SessID TunID Intf     State       Last Chg
       13      3 outside   PADI_SENT  0 secs
       14      4 outside2  SESSION_UP  82 secs


    firewall# show vpdn pppinterface
    PPP virtual interface id = 1 was deleted and pending reuse
    PPP virtual interface id = 2
    PPP authentication protocol is PAP
    Server ip address is 172.16.1.1
    Our ip address is 172.16.1.10
    Transmitted Pkts: 56, Received Pkts: 56, Error Pkts: 0
    MPPE key strength is None
      MPPE_Encrypt_Pkts: 0,  MPPE_Encrypt_Bytes: 0
      MPPE_Decrypt_Pkts: 0,  MPPE_Decrypt_Bytes: 0
      Rcvd_Out_Of_Seq_MPPE_Pkts: 0

    firewall# show route 

    Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
           D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
           N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
           E1 - OSPF external type 1, E2 - OSPF external type 2, V - VPN
           i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
           ia - IS-IS inter area, * - candidate default, U - per-user static route
           o - ODR, P - periodic downloaded static route, + - replicated route
           SI - Static InterVRF, BI - BGP InterVRF

    Gateway of last resort is 172.16.1.1 to network 0.0.0.0

    S*       0.0.0.0 0.0.0.0 [10/0] via 172.16.1.1, outside2
    S        172.16.253.0 255.255.255.0 [1/0] via 172.16.1.1, outside2
    C        192.168.1.0 255.255.255.0 is directly connected, inside
    L        192.168.1.1 255.255.255.255 is directly connected, inside


    3. Os pacotes do endereço IP do PC 192.168.1.2 a 10.10.253.2 e 172.16.253.2 são enviados. Devido à falha do caminho principal, todos os pacotes são enviados através da interface outside2. Além disso, devido ao PAT, a captura capo2 mostra o endereço IP da interface de saída (endereços mapeados):

    Mar 14 2026 23:46:07: %ASA-6-305011: Built dynamic ICMP translation from inside:192.168.1.2/2677 to outside2:172.16.1.10/2677
    Mar 14 2026 23:46:09: %ASA-6-305011: Built dynamic ICMP translation from inside:192.168.1.2/2678 to outside2:172.16.1.10/2678

    firewall# show cap
    capture capo type raw-data interface outside [Capturing - 0 bytes]
      match icmp any host 10.10.253.2
    capture capo2 type raw-data interface outside2 [Capturing - 912 bytes]
      match icmp any host 172.16.253.2
      match icmp any host 10.10.253.2

    firewall# show cap capo2

    8 packets captured

       1: 23:46:07.533694       172.16.1.10 > 172.16.253.2 icmp: echo request
       2: 23:46:07.541842       172.16.253.2 > 172.16.1.10 icmp: echo reply 
       3: 23:46:08.534075       172.16.1.10 > 172.16.253.2 icmp: echo request
       4: 23:46:08.540621       172.16.253.2 > 172.16.1.10 icmp: echo reply
       5: 23:46:09.773031       172.16.1.10 > 10.10.253.2 icmp: echo request
       6: 23:46:09.780034       10.10.253.2 > 172.16.1.10 icmp: echo reply 
       7: 23:46:10.773946       172.16.1.10 > 10.10.253.2 icmp: echo request
       8: 23:46:10.778569       10.10.253.2 > 172.16.1.10 icmp: echo reply


    4. O caminho através da interface externa é recuperado, a sessão PPPoE para RTR1 é restabelecida. A sessão através da interface outside2 faz a transição para o estado de reutilização pendente:

    firewall# show vpdn session pppoe state

    PPPoE Session Information (Total tunnels=1 sessions=1)

    SessID TunID Intf     State       Last Chg
       17      3 outside  SESSION_UP  89 secs

    firewall# show vpdn pppinterface       
    PPP virtual interface id = 1
    PPP authentication protocol is PAP
    Server ip address is 10.10.1.1
    Our ip address is 10.10.1.10
    Transmitted Pkts: 58, Received Pkts: 58, Error Pkts: 0
    MPPE key strength is None
      MPPE_Encrypt_Pkts: 0,  MPPE_Encrypt_Bytes: 0
      MPPE_Decrypt_Pkts: 0,  MPPE_Decrypt_Bytes: 0
      Rcvd_Out_Of_Seq_MPPE_Pkts: 0

    PPP virtual interface id = 2 was deleted and pending reuse


    firewall# show route
    ...

    S*       0.0.0.0 0.0.0.0 [1/0] via 10.10.1.1, outside
    C        192.168.1.0 255.255.255.0 is directly connected, inside
    L        192.168.1.1 255.255.255.255 is directly connected, inside

    Syslogs:

    Mar 15 2026 00:04:36: %ASA-4-411001: Line protocol on Interface GigabitEthernet0/0, changed state to up
    Mar 15 2026 00:05:27: %ASA-6-603108: Built PPPOE Tunnel, tunnel_id = 3, remote_peer_ip = 10.10.1.1, ppp_virtual_interface_id = 1, client_dynamic_ip = 10.10.1.10, username = pppoe
    Mar 15 2026 00:05:35: %ASA-6-622001: Adding tracked route 0.0.0.0 0.0.0.0 10.10.1.1, distance 1, table default, on interface outside
    Mar 15 2026 00:05:35: %ASA-6-603109: Teardown PPPOE Tunnel, tunnel_id = 4, remote_peer_ip = 172.16.1.1
    Mar 15 2026 00:05:40: %ASA-6-622001: Removing tracked route 172.16.253.0 255.255.255.0 172.16.1.1, distance 1, table default, on interface outside2
    Mar 15 2026 00:05:40: %ASA-6-317078: Deleted STATIC route 172.16.253.0 255.255.255.0 via 172.16.1.1 [1/0] on [outside2] [Gi0/1] tableid [0]

    5. Os pacotes do endereço IP do PC 192.168.1.2 a 10.10.253.2 e 172.16.253.2 são enviados através da interface externa (caminho principal). Adicionalmente, devido ao PAT, a captura capo mostra o endereço IP da interface de saída (endereços mapeados):

    Mar 15 2026 00:17:27: %ASA-6-305011: Built dynamic ICMP translation from inside:192.168.1.2/2685 to outside:10.10.1.10/2685
    Mar 15 2026 00:17:29: %ASA-6-305011: Built dynamic ICMP translation from inside:192.168.1.2/2686 to outside:10.10.1.10/2686


    firewall# show capture
    capture capo type raw-data interface outside [Capturing - 912 bytes]
      match icmp any host 10.10.253.2
      match icmp any host 172.16.253.2
    capture capo2 type raw-data interface outside2 [Capturing - 0 bytes]
      match icmp any host 172.16.253.2
      match icmp any host 10.10.253.2

    firewall# show capture  capo
    8 packets captured

       1: 00:17:27.680247       10.10.1.10 > 10.10.253.2 icmp: echo request
       2: 00:17:27.688761       10.10.253.2 > 10.10.1.10 icmp: echo reply
       3: 00:17:28.680415       10.10.1.10 > 10.10.253.2 icmp: echo request
       4: 00:17:28.683405       10.10.253.2 > 10.10.1.10 icmp: echo reply
       5: 00:17:29.732673       10.10.1.10 > 172.16.253.2 icmp: echo request 
       6: 00:17:29.739799       172.16.253.2 > 10.10.1.10 icmp: echo reply
       7: 00:17:30.732979       10.10.1.10 > 172.16.253.2 icmp: echo request
       8: 00:17:30.736656       172.16.253.2 > 10.10.1.10 icmp: echo reply

    8 packets shown

    Note:

    As alterações no roteamento não são aplicadas às conexões existentes. Portanto, a conexão existente continuará usando o caminho "antigo" mesmo que um caminho melhor se torne disponível. Efetivamente, isso pode causar impacto após as alterações de roteamento. Para instruir o firewall a usar o novo caminho, considere ativar o temporizador de conexão flutuante.  Se o timeout de conexão flutuante estiver ativado, isto é, definido com um valor diferente de zero, então, se uma rota melhor se tornar disponível, então esse timeout permitirá que as conexões sejam fechadas para que uma conexão possa ser restabelecida para usar a rota melhor. Consulte a descrição de floating-conn em https://www.cisco.com/c/en/us/td/docs/security/asa/asa-cli-reference/T-Z/asa-command-ref-T-Z/m_ta-tk.html.

    Como remover ou negar comandos implantados com o uso do FlexConfig?

    Se quiser remover ou negar a configuração implantada pelo FlexConfig, você deverá executar estas etapas:

    1. Crie um FlexConfig com comandos de negação nesta ordem e assegure-se de definir Type como Prepend:
    • Remoção da referência a objetos de controle
    • Supressão de objetos de via
    • Exclusão de objetos de SLA

    Exemplo de remoção da configuração implantada para a redundância ativa-ativa com compartilhamento de carga e rastreamento de rota de cliente PPPoE:

    Flexonfig removal 1Remoção de Flexonfig 1

    Exemplo de remoção da configuração implantada para redundância ativa/standby sem compartilhamento de carga:

    Flexonfig removal 2Remoção Flexonfig 2

    2. Adicione o objeto de negação criado na etapa 1 à política FlexConfig. Certifique-se de que os objetos para a adição de comandos PPPoE sejam removidos e não existam na política:

    FlexConfig Removal PolicyPolítica de Remoção do FlexConfig

    3. Implante políticas e verifique a remoção de comandos na CLI.

    4. Remova o objeto de negação criado na etapa 1 da política FlexConfig e implante novamente.

    Referências

    • ID de bug da Cisco CSCwt39430   "ENH: Comandos e subcomandos de configuração do cliente DHCP/PPPoE da interface do FTD na interface do FMC"

    Histórico de revisões

    Revisão Data de publicação Comentários
    1.0
    17-Mar-2026
    Versão inicial
    TAC Authored

    Colaborado por engenheiros da Cisco

    • Ilkin Gasimov
      Engenheiro do Cisco TAC
    • Oleg Tipisov
      Engenheiro do Cisco TAC

    Este documento lhe foi útil?

    FeedbackFeedback

    Contate a Cisco

    Este documento se refere a estes produtos