Introdução

Este documento descreve a configuração e a verificação da redundância PPPoE (alta disponibilidade ou HA) no Secure Firewall ASA ou no Secure Firewall Threat Defense (FTD).

Pré-requisitos

Requisitos

Conhecimento básico do produto.

Componentes Utilizados

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

As informações neste documento são baseadas nestas versões de software e hardware:

- Secure Firewall Threat Defense (FTD) versão 10.0.0 gerenciado pelo Secure Firewall Management Center (FMC) versão 10.0.1.

- ASA versão 9.24.1.

Informações de Apoio

O software de firewall suporta a configuração de várias sessões PPPoE. Neste documento, 2 sessões PPPoE são consideradas e "HA" ou "redundância" são usadas de forma intercambiável.

Em combinação com o contrato de camada de serviço (SLA), o rastreamento e o roteamento com o rastreamento de usuários podem configurar diferentes modos de redundância:

- Redundância ativa-ativa com compartilhamento de carga

- Redundância ativa-ativa com compartilhamento de carga e rastreamento de rota de cliente PPPoE

- Redundância ativa/standby sem compartilhamento de carga

Observe que a configuração de roteamento em dispositivos pares está fora do escopo deste artigo.

Redundância ativa-ativa com compartilhamento de carga

Consulte este exemplo de topologia:

Redundância ativa-ativa com compartilhamento de carga

Pontos principais:

- O PPPoE é configurado nas interfaces de firewall externo e externo2.

- RTR1 e RTR2 são servidores PPPoE.

- O firewall instala a rota padrão através da interface externa. A rota padrão através da interface outside2 tem uma distância de roteamento mais alta, ou seja, menos preferível.

- As rotas estáticas de compartilhamento de carga para sub-redes específicas são instaladas através da interface outside2. As rotas são rastreadas. O rastreamento é opcional; no entanto, ele fornece failover mais rápido para o caminho através da interface externa, caso o caminho através da interface externa2 falhe.

- Por uma questão de simplicidade, a conversão dinâmica de endereço de porta (PAT) é configurada através das interfaces outside e outside2.

Configuração do ASA

interface GigabitEthernet0/0

nameif outside

security-level 0

pppoe client vpdn group RTR1

ip address pppoe setroute

interface GigabitEthernet0/1

nameif outside2

security-level 0

pppoe client vpdn group RTR2

pppoe client route distance 10

ip address pppoe setroute

vpdn group RTR1 request dialout pppoe

vpdn group RTR1 localname pppoe

vpdn group RTR1 ppp authentication pap

vpdn group RTR2 request dialout pppoe

vpdn group RTR2 localname pppoe

vpdn username pppoe password *****

sla monitor 1

type echo protocol ipIcmpEcho 172.16.1.1 interface outside2

num-packets 2

timeout 5

frequency 5

sla monitor schedule 1 life forever start-time now

track 1 rtr 1 reachability

object network net-192.168.1.0

subnet 192.168.1.0 255.255.255.0

nat (inside,outside) source dynamic net-192.168.1.0 interface

nat (inside,outside2) source dynamic net-192.168.1.0 interface

route outside2 172.16.253.0 255.255.255.0 172.16.1.1 1 track 1

Configuração de FTD

Esta seção abrange somente a configuração PPPoE específica do FTD. Esta é a comparação entre a configuração de exterior e as interfaces de exterior2 do PPPoE no FTD e os comandos implantados no plano de dados:

configuração de interface PPPoE externa na interface do FMC

configuração de interface PPPoE externa2 na interface do FMC

Rota estática com rastreamento:

Rota estática com rastreamento

Configuração do objeto do monitor de SLA:

configuração de SLA

Pontos principais:

- RTR1 e RTR2 são dois grupos VPDN nas interfaces G0/0 e G0/1, respectivamente.

- A trilha 1/SLA1 rastreia a acessibilidade para RTR2. O objeto de trilha é usado na configuração de rota estática através da interface outside2.

- O comando pppoe client route distance 10 instrui o firewall a aplicar a distância administrativa de 10 à rota padrão recebida do RTR2 e, portanto, torná-la menos preferível.

- As rotas para sub-redes específicas através da interface outside2 são configuradas com rastreamento.

- Como resultado, ambas as sessões PPPoE se tornam ativas e o tráfego do PC é compartilhado por carga, dependendo da configuração de roteamento.

Verificação

1. A sessão PPPoE com RTR1 através da interface externa é estabelecida:

firewall# show vpdn session pppoe state

PPPoE Session Information (Total tunnels=2 sessions=1)

SessID TunID Intf     State       Last Chg

23      5 outside2   PADI_SENT  225 secs

14      4 outside  SESSION_UP  150 secs

firewall# show vpdn pppinterface

PPP virtual interface id = 1

PPP authentication protocol is PAP

Server ip address is 10.10.1.1

Our ip address is 10.10.1.10

Transmitted Pkts: 33, Received Pkts: 33, Error Pkts: 0

MPPE key strength is None

MPPE_Encrypt_Pkts: 0,  MPPE_Encrypt_Bytes: 0

MPPE_Decrypt_Pkts: 0,  MPPE_Decrypt_Bytes: 0

Rcvd_Out_Of_Seq_MPPE_Pkts: 0

PPP virtual interface id = 2 was deleted and pending reuse

firewall# show route

…

S*       0.0.0.0 0.0.0.0 [1/0] via 10.10.1.1, outside

C        192.168.1.0 255.255.255.0 is directly connected, inside

L        192.168.1.1 255.255.255.255 is directly connected, inside

Syslogs:

Mar 15 2026 20:23:26: %ASA-6-305009: Built static translation from outside:0.0.0.0 to inside:0.0.0.0

Mar 15 2026 20:23:26: %ASA-6-603108: Built PPPOE Tunnel, tunnel_id = 4, remote_peer_ip = 10.10.1.1, ppp_virtual_interface_id = 1, client_dynamic_ip = 10.10.1.10, username = pppoe

Mar 15 2026 20:23:26: %ASA-6-317077: Added STATIC route 0.0.0.0 0.0.0.0 via 10.10.1.1 [1/0] on [outside] [G0/0] tableid [0

2. A sessão PPPoE com RTR2 através da interface outside2 é estabelecida:

firewall# show vpdn session pppoe state

PPPoE Session Information (Total tunnels=2 sessions=2)

SessID TunID Intf     State       Last Chg

24      5 outside2  SESSION_UP  76 secs

14      4 outside  SESSION_UP  349 secs

firewall# show vpdn pppinterface

PPP virtual interface id = 1

PPP authentication protocol is PAP

Server ip address is 10.10.1.1

Our ip address is 10.10.1.10

Transmitted Pkts: 67, Received Pkts: 67, Error Pkts: 0

MPPE key strength is None

MPPE_Encrypt_Pkts: 0,  MPPE_Encrypt_Bytes: 0

MPPE_Decrypt_Pkts: 0,  MPPE_Decrypt_Bytes: 0

Rcvd_Out_Of_Seq_MPPE_Pkts: 0

PPP virtual interface id = 2

PPP authentication protocol is PAP

Server ip address is 172.16.1.1

Our ip address is 172.16.1.10

Transmitted Pkts: 54, Received Pkts: 54, Error Pkts: 0

MPPE key strength is None

MPPE_Encrypt_Pkts: 0,  MPPE_Encrypt_Bytes: 0

MPPE_Decrypt_Pkts: 0,  MPPE_Decrypt_Bytes: 0

Rcvd_Out_Of_Seq_MPPE_Pkts: 0

firewall# show route

Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP

…

S*       0.0.0.0 0.0.0.0 [1/0] via 10.10.1.1, outside

S        172.16.253.0 255.255.255.0 [1/0] via 172.16.1.1, outside2

C        192.168.1.0 255.255.255.0 is directly connected, inside

L        192.168.1.1 255.255.255.255 is directly connected, inside

Syslogs:

Mar 15 2026 20:27:59: %ASA-6-317077: Added STATIC route 0.0.0.0 0.0.0.0 via 0.0.0.0 [10/0] on [outside2] [G0/1] tableid [0]

Mar 15 2026 20:27:59: %ASA-6-305009: Built static translation from outside2:0.0.0.0 to inside:0.0.0.0

Mar 15 2026 20:27:59: %ASA-6-603108: Built PPPOE Tunnel, tunnel_id = 5, remote_peer_ip = 172.16.1.1, ppp_virtual_interface_id = 2, client_dynamic_ip = 172.16.1.10, username = pppoe

Mar 15 2026 20:27:59: %ASA-6-305010: Teardown static translation from outside2:0.0.0.0 to inside:0.0.0.0 duration 0:06:08

Mar 15 2026 20:28:04: %ASA-6-622001: Adding tracked route 172.16.253.0 255.255.255.0 172.16.1.1, distance 1, table default, on interface outside2

Mar 15 2026 20:28:04: %ASA-6-317077: Added STATIC route 172.16.253.0 255.255.255.0 via 172.16.1.1 [1/0] on [outside2] [G0/1] tableid [0]

3. Os pacotes do endereço IP do PC 192.168.1.2 a 10.10.253.2 e 172.16.253.2 são enviados. Devido ao PAT, as capturas capo e capo2 mostram o endereço IP da interface de saída (endereços mapeados):

Mar 14 2026 23:13:13: %ASA-6-305011: Built dynamic ICMP translation from inside:192.168.1.2/2668 to outside:10.10.1.10/2668

Mar 14 2026 23:13:19: %ASA-6-305011: Built dynamic ICMP translation from inside:192.168.1.2/2669 to outside2:172.16.1.10/2669

firewall# show cap

capture capo type raw-data interface outside [Capturing - 456 bytes]

match icmp any host 10.10.253.2

capture capo2 type raw-data interface outside2 [Capturing - 456 bytes]

match icmp any host 172.16.253.2

firewall# show cap capo

4 packets captured

1: 23:13:13.409387       10.10.1.10 > 10.10.253.2 icmp: echo request

2: 23:13:13.417764       10.10.253.2 > 10.10.1.10 icmp: echo reply

3: 23:13:14.409799       10.10.1.10 > 10.10.253.2 icmp: echo request

4: 23:13:14.415978       10.10.253.2 > 10.10.1.10 icmp: echo reply

4 packets shown

firewall# show cap capo2

4 packets captured

1: 23:13:19.500584       172.16.1.10 > 172.16.253.2 icmp: echo request

2: 23:13:19.506321       172.16.253.2 > 172.16.1.10 icmp: echo reply

3: 23:13:20.502201       172.16.1.10 > 172.16.253.2 icmp: echo request

4: 23:13:20.508076       172.16.253.2 > 172.16.1.10 icmp: echo reply

4. Simule uma falha de link remoto em RTR1. O failover para o caminho de backup através da interface outside2 leva em torno de 1 minuto:

RTR1:

Mar 15 20:43:19.679: %LINEPROTO-5-UPDOWN: Line protocol on Interface GigabitEthernet0/1, changed state to down

Firewall:

Mar 15 2026 20:44:17: %ASA-3-403503: PPPoE:PPP link down:

Mar 15 2026 20:44:17: %ASA-3-403503: PPPoE:PPP link down:Peer not responding

Mar 15 2026 20:44:17: %ASA-3-403503: PPPoE:PPP link down:

Mar 15 2026 20:44:17: %ASA-3-403503: PPPoE:PPP link down:LCP down

Mar 15 2026 20:44:17: %ASA-6-603109: Teardown PPPOE Tunnel, tunnel_id = 4, remote_peer_ip = 10.10.1.1

Mar 15 2026 20:44:17: %ASA-6-305009: Built static translation from outside:0.0.0.0 to inside:0.0.0.0

Mar 15 2026 20:44:17: %ASA-6-317078: Deleted STATIC route 0.0.0.0 0.0.0.0 via 10.10.1.1 [1/0] on [outside] [G0/0] tableid [0]

Mar 15 2026 20:44:17: %ASA-7-110007: Del Entry:0.0.0.0/0.0.0.0 nh:10.10.1.1 nh_cnt:1 flags:0 timestamp:147 resolver_cnt:0 ifcout:outside result:1 incr_ts:1 vrfid:65535

Mar 15 2026 20:44:17: %ASA-6-317077: Added STATIC route 0.0.0.0 0.0.0.0 via 172.16.1.1 [10/0] on [outside2] [G0/1] tableid [0]

Mar 15 2026 20:44:17: %ASA-7-110006: Add Entry:0.0.0.0/0.0.0.0 nh:172.16.1.1 nh_cnt:1 flags:0 timestamp:151 resolver_cnt:0 ifcout:outside2 vrfid:1644313584 handle:103727 table:output route

Mar 15 2026 20:44:17: %ASA-6-305010: Teardown static translation from outside:0.0.0.0 to inside:0.0.0.0 duration 0:02:45

firewall# show route

…

S*       0.0.0.0 0.0.0.0 [10/0] via 172.16.1.1, outside2

Redundância ativa-ativa com compartilhamento de carga e rastreamento de rota de cliente PPPoE

Esse caso é baseado na redundância ativa-ativa com compartilhamento de carga e, além disso, requer a implantação do comando track e pppoe client route track x adicionais na interface outside usando FlexConfig.

Consulte este exemplo de topologia:

Redundância ativa-ativa com compartilhamento de carga e rastreamento de rota de cliente PPPoE

Pontos principais:

- O PPPoE é configurado nas interfaces de firewall externo e externo2.

- RTR1 e RTR2 são servidores PPPoE.

- Usando a distância da rota, o firewall instala a rota padrão através da interface externa. A rota padrão através da interface outside2 tem uma distância de roteamento mais alta e é menos preferível.

- A rota padrão para RTR1 através da interface externa é rastreada. É opcional, no entanto, dependendo da frequência do SLA e dos valores de tempo limite, ele pode fornecer failover mais rápido para o caminho via RTR2.

- As rotas estáticas de compartilhamento de carga para sub-redes específicas são instaladas através da interface outside2. As rotas são rastreadas. O rastreamento é opcional; no entanto, ele fornece failover mais rápido para o caminho via RTR1.

- Por uma questão de simplicidade, a conversão dinâmica de endereço de porta (PAT) é configurada através das interfaces outside e outside2.

Configuração do ASA

interface GigabitEthernet0/0

nameif outside

security-level 0

pppoe client vpdn group RTR1

pppoe client route track 2

ip address pppoe setroute

interface GigabitEthernet0/1

nameif outside2

security-level 0

pppoe client vpdn group RTR2

pppoe client route distance 10

ip address pppoe setroute

vpdn group RTR1 request dialout pppoe

vpdn group RTR1 localname pppoe

vpdn group RTR1 ppp authentication pap

vpdn group RTR2 request dialout pppoe

vpdn group RTR2 localname pppoe

vpdn username pppoe password *****

sla monitor 2

type echo protocol ipIcmpEcho 10.10.1.1 interface outside

num-packets 2

timeout 5

frequency 5

sla monitor schedule 2 life forever start-time now

sla monitor 1

type echo protocol ipIcmpEcho 172.16.1.1 interface outside2

num-packets 2

timeout 5

frequency 5

sla monitor schedule 1 life forever start-time now

track 1 rtr 1 reachability

track 2 rtr 2 reachability

object network net-192.168.1.0

subnet 192.168.1.0 255.255.255.0

nat (inside,outside) source dynamic net-192.168.1.0 interface

nat (inside,outside2) source dynamic net-192.168.1.0 interface

route outside2 172.16.253.0 255.255.255.0 172.16.1.1 1 track 1

Configuração de FTD

Esta seção abrange somente a configuração PPPoE específica do FTD. As etapas de configuração são as mesmas que a configuração do FTD na seção "Redundância Ativa-Ativa com Compartilhamento de Carga" com a adição da implantação do comando pppoe client route track x na interface externa. Como a interface do usuário do FMC não oferece suporte nativo a trilhas para as opções do cliente, o FlexConfig deve ser usado.

Considere estes pontos:

1. As políticas FlexConfig intencionalmente não contêm validação de entrada extensiva. Você deve garantir que as configurações nesta política FlexConfig estejam corretas. Configurações incorretas resultam em uma implantação com falha que pode causar uma interrupção na rede. Além disso, considere isolar a implantação para que ela inclua apenas alterações de FlexConfig e nenhuma outra atualização de política.

2. Durante a instalação, o CVP deve remover qualquer via x. implantado pelo FlexConfig. Para persistência, você deve definir a implantação do objeto FlexConfig como Everytime e implantar em um objeto FlexConfig separado.

Etapas de configuração FlexConfig

1. Crie um objeto FlexConfig para a configuração das configurações de cliente SLA e PPPoE para a interface externa. Certifique-se de definir Deployment como Once e Type como Append. Neste exemplo, a trilha 2, SLA 2 são usadas. Observe que o comando track 2 rtr 2 reachability está ausente:

FlexConfig para SLA

2. Crie outro objeto FlexConfig para a configuração do comando track 2 rtr 2 reachability. Certifique-se de definir Deployment como Everytime e Type como Append:

FlexConfig para controle

3. Adicione objetos à política FlexConfig. Certifique-se de que o objeto com o comando track 2 rtr 2 reachability na parte inferior (último) e implante políticas:

Política FlexConfig

Pontos principais:

- RTR1 e RTR2 são dois grupos VPDN nas interfaces G0/0 e G0/1, respectivamente.

- A trilha 2/SLA2 rastreia a acessibilidade a RTR1. O comando pppoe client route track 2 instrui o firewall a instalar a rota padrão através da interface externa se a trilha 2 estiver ativa.

- A trilha 1/SLA1 rastreia a acessibilidade para RTR2. O objeto de trilha é usado na configuração de rota estática através da interface outside2.

- O comando pppoe client route distance 10 instrui o firewall a aplicar a distância administrativa de 10 à rota padrão recebida do RTR2 e, portanto, torná-la menos preferível.

- As rotas para sub-redes específicas através da interface outside2 são configuradas com rastreamento.

- Como resultado, ambas as sessões PPPoE se tornam ativas e o tráfego do PC é compartilhado por carga, dependendo da configuração de roteamento.

Verificação

1. É estabelecida uma sessão PPPoE com RTR1 através da interface externa:

firewall# show vpdn session pppoe state

PPPoE Session Information (Total tunnels=2 sessions=1)

SessID TunID Intf     State       Last Chg

12      3 outside  SESSION_UP  80 secs

12      4 outside2   PADI_SENT  74 secs

firewall# show vpdn pppinterface

PPP virtual interface id = 1

PPP authentication protocol is PAP

Server ip address is 10.10.1.1

Our ip address is 10.10.1.10

Transmitted Pkts: 71, Received Pkts: 71, Error Pkts: 0

MPPE key strength is None

MPPE_Encrypt_Pkts: 0,  MPPE_Encrypt_Bytes: 0

MPPE_Decrypt_Pkts: 0,  MPPE_Decrypt_Bytes: 0

Rcvd_Out_Of_Seq_MPPE_Pkts: 0

PPP virtual interface id = 2 was deleted and pending reuse

firewall# show route

…

S*       0.0.0.0 0.0.0.0 [1/0] via 10.10.1.1, outside

C        192.168.1.0 255.255.255.0 is directly connected, inside

L        192.168.1.1 255.255.255.255 is directly connected, inside

Syslogs:

Mar 14 2026 22:54:46: %ASA-4-411001: Line protocol on Interface GigabitEthernet0/0, changed state to up

Mar 14 2026 22:54:50: %ASA-6-305009: Built static translation from outside:0.0.0.0 to inside:0.0.0.0

Mar 14 2026 22:54:50: %ASA-6-603108: Built PPPOE Tunnel, tunnel_id = 3, remote_peer_ip = 10.10.1.1, ppp_virtual_interface_id = 1, client_dynamic_ip = 10.10.1.10, username = pppoe

Mar 14 2026 22:54:51: %ASA-6-305010: Teardown static translation from outside:0.0.0.0 to inside:0.0.0.0 duration 0:00:25

Mar 14 2026 22:54:52: %ASA-6-622001: Adding tracked route 0.0.0.0 0.0.0.0 10.10.1.1, distance 1, table default, on interface outside

Mar 14 2026 22:54:52: %ASA-6-317077: Added STATIC route 0.0.0.0 0.0.0.0 via 10.10.1.1 [1/0] on [outside] [Gi0/0] tableid [0]

Mar 14 2026 22:54:52: %ASA-7-110006: Add Entry:0.0.0.0/0.0.0.0 nh:10.10.1.1 nh_cnt:1 flags:0 timestamp:328 resolver_cnt:0 ifcout:outside vrfid:0 handle:444749 table:output route

2. A sessão PPPoE com RTR2 através da interface outside2 é estabelecida:

firewall# show vpdn session pppoe state

PPPoE Session Information (Total tunnels=2 sessions=2)

SessID TunID Intf     State       Last Chg

12      3 outside  SESSION_UP  412 secs

13      4 outside2  SESSION_UP  89 secs

firewall# show vpdn pppinterface

PPP virtual interface id = 1

PPP authentication protocol is PAP

Server ip address is 10.10.1.1

Our ip address is 10.10.1.10

Transmitted Pkts: 238, Received Pkts: 238, Error Pkts: 0

MPPE key strength is None

MPPE_Encrypt_Pkts: 0,  MPPE_Encrypt_Bytes: 0

MPPE_Decrypt_Pkts: 0,  MPPE_Decrypt_Bytes: 0

Rcvd_Out_Of_Seq_MPPE_Pkts: 0

PPP virtual interface id = 2

PPP authentication protocol is PAP

Server ip address is 172.16.1.1

Our ip address is 172.16.1.10

Transmitted Pkts: 56, Received Pkts: 56, Error Pkts: 0

MPPE key strength is None

MPPE_Encrypt_Pkts: 0,  MPPE_Encrypt_Bytes: 0

MPPE_Decrypt_Pkts: 0,  MPPE_Decrypt_Bytes: 0

Rcvd_Out_Of_Seq_MPPE_Pkts: 0

firewall# show route

Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP

D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area

N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2

E1 - OSPF external type 1, E2 - OSPF external type 2, V - VPN

i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2

ia - IS-IS inter area, * - candidate default, U - per-user static route

o - ODR, P - periodic downloaded static route, + - replicated route

SI - Static InterVRF, BI - BGP InterVRF

Gateway of last resort is 10.10.1.1 to network 0.0.0.0

S*       0.0.0.0 0.0.0.0 [1/0] via 10.10.1.1, outside

C        192.168.1.0 255.255.255.0 is directly connected, inside

L        192.168.1.1 255.255.255.255 is directly connected, inside

S        172.16.253.0 255.255.255.0 [1/0] via 172.16.1.1, outside2

Syslogs:

Mar 14 2026 22:59:45: %ASA-4-411001: Line protocol on Interface GigabitEthernet0/1, changed state to up

Mar 14 2026 23:00:13: %ASA-6-603108: Built PPPOE Tunnel, tunnel_id = 4, remote_peer_ip = 172.16.1.1, ppp_virtual_interface_id = 2, client_dynamic_ip = 172.16.1.10, username = pppoe

Mar 14 2026 23:00:14: %ASA-6-305010: Teardown static translation from outside2:0.0.0.0 to inside:0.0.0.0 duration 0:25:25

Mar 14 2026 23:00:18: %ASA-6-622001: Adding tracked route 172.16.253.0 255.255.255.0 172.16.1.1, distance 1, table default, on interface outside2

Mar 14 2026 23:00:18: %ASA-6-317077: Added STATIC route 172.16.253.0 255.255.255.0 via 172.16.1.1 [1/0] on [outside2] [Gi0/1] tableid [0]

Mar 14 2026 23:00:18: %ASA-7-110006: Add Entry:172.16.253.0/255.255.255.0 nh:172.16.1.1 nh_cnt:1 flags:0 timestamp:339 resolver_cnt:0 ifcout:outside2 vrfid:0 handle:458877 table:output route

3. Os pacotes do endereço IP do PC 192.168.1.2 a 10.10.253.2 e 172.16.253.2 são enviados. Devido ao PAT, as capturas capo e capo2 mostram o endereço IP da interface de saída (endereços mapeados):

Mar 14 2026 23:13:13: %ASA-6-305011: Built dynamic ICMP translation from inside:192.168.1.2/2668 to outside:10.10.1.10/2668

Mar 14 2026 23:13:19: %ASA-6-305011: Built dynamic ICMP translation from inside:192.168.1.2/2669 to outside2:172.16.1.10/2669

firewall# show cap

capture capo type raw-data interface outside [Capturing - 456 bytes]

match icmp any host 10.10.253.2

capture capo2 type raw-data interface outside2 [Capturing - 456 bytes]

match icmp any host 172.16.253.2

firewall# show cap capo

4 packets captured

1: 23:13:13.409387       10.10.1.10 > 10.10.253.2 icmp: echo request

2: 23:13:13.417764       10.10.253.2 > 10.10.1.10 icmp: echo reply

3: 23:13:14.409799       10.10.1.10 > 10.10.253.2 icmp: echo request

4: 23:13:14.415978       10.10.253.2 > 10.10.1.10 icmp: echo reply

4 packets shown

firewall# show cap capo2

4 packets captured

1: 23:13:19.500584       172.16.1.10 > 172.16.253.2 icmp: echo request

2: 23:13:19.506321       172.16.253.2 > 172.16.1.10 icmp: echo reply

3: 23:13:20.502201       172.16.1.10 > 172.16.253.2 icmp: echo request

4: 23:13:20.508076       172.16.253.2 > 172.16.1.10 icmp: echo reply

4. Simule uma falha de link remoto em RTR1. O failover para o caminho de backup através da interface outside2 depende dos temporizadores de track1:

RTR1:

Mar 15 21:06:11.608: %LINEPROTO-5-UPDOWN: Line protocol on Interface TenGigabitEthernet0/0/0, changed state to down

Firewall:

Mar 15 2026 21:06:14: %ASA-3-317012: Interface IP route counter negative - Ethernet1/2

Mar 15 2026 21:06:14: %ASA-6-622001: Removing tracked route 0.0.0.0 0.0.0.0 10.10.1.1, distance 1, table default, on interface outside

Mar 15 2026 21:06:14: %ASA-6-317078: Deleted STATIC route 0.0.0.0 0.0.0.0 via 10.10.1.1 [1/0] on [outside] [E1/2] tableid [0]

Mar 15 2026 21:06:14: %ASA-7-110007: Del Entry:0.0.0.0/0.0.0.0 nh:10.10.1.1 nh_cnt:1 flags:0 timestamp:199 resolver_cnt:0 ifcout:outside result:1 incr_ts:1 vrfid:0

Mar 15 2026 21:06:14: %ASA-6-317077: Added STATIC route 0.0.0.0 0.0.0.0 via 172.16.1.1 [10/0] on [outside2] [E1/3] tableid [0]

Mar 15 2026 21:06:14: %ASA-7-110006: Add Entry:0.0.0.0/0.0.0.0 nh:172.16.1.1 nh_cnt:1 flags:0 timestamp:203 resolver_cnt:0 ifcout:outside2 vrfid:1512689936 handle:117182335 table:output route

KSEC-CSF1210-1# show route

…

S*       0.0.0.0 0.0.0.0 [10/0] via 172.16.1.1, outside2

Note:

As alterações no roteamento não são aplicadas às conexões existentes. Portanto, a conexão existente continuará usando o caminho "antigo" mesmo que um caminho melhor se torne disponível. Efetivamente, isso pode causar impacto após as alterações de roteamento. Para instruir o firewall a usar o novo caminho, considere ativar o temporizador de conexão flutuante.  Se o timeout de conexão flutuante estiver ativado e for definido com um valor diferente de zero, se uma rota melhor se tornar disponível, esse timeout permitirá que as conexões sejam fechadas para que uma conexão possa ser restabelecida para usar a rota melhor. Consulte a descrição de floating-conn em https://www.cisco.com/c/en/us/td/docs/security/asa/asa-cli-reference/T-Z/asa-command-ref-T-Z/m_ta-tk.html.

Redundância ativa em standby sem compartilhamento de carga

Nesse caso, apenas 1 sessão PPPoE está ativa, a outra fica inativa até que o controle da sessão ativa fique inativo.

O comando pppoe client secondary track x é usado para a interface outside2 (backup).

Consulte este exemplo de topologia:

Topologia ativa em standby

Pontos principais:

- O PPPoE é configurado nas interfaces G0/0 e G0/1 do firewall.

- RTR1 e RTR2 são servidores PPPoE.

- Usando route-distance, o firewall instala a rota padrão para RTR1 através da interface externa. A rota padrão para RTR2 tem uma distância de roteamento mais alta e é menos preferível.

- A rota padrão para RTR1 através da interface externa é rastreada. É opcional, no entanto, fornece failover mais rápido para o caminho via RTR2.

- A sessão PPPoE para RTR2 através da interface outside2 é estabelecida somente se a trilha usada para a rota padrão para RTR1 através da interface outside estiver inoperante.

- Em um determinado momento, apenas uma sessão PPPoE está ativa.

- Por uma questão de simplicidade, a conversão dinâmica de endereço de porta (PAT) é configurada através das interfaces outside e outside2.

Configuração do ASA

interface GigabitEthernet0/0

nameif outside

security-level 0

pppoe client vpdn group RTR1

pppoe client route track 2

ip address pppoe setroute

interface GigabitEthernet0/1

nameif outside2

security-level 0

pppoe client vpdn group RTR2

pppoe client route distance 10

pppoe client secondary track 2

ip address pppoe setroute

vpdn group RTR1 request dialout pppoe

vpdn group RTR1 localname pppoe

vpdn group RTR1 ppp authentication pap

vpdn group RTR2 request dialout pppoe

vpdn group RTR2 localname pppoe

vpdn username pppoe password *****

sla monitor 2

type echo protocol ipIcmpEcho 10.10.1.1 interface outside

num-packets 2

timeout 5

frequency 5

sla monitor schedule 2 life forever start-time now

track 2 rtr 2 reachability

object network net-192.168.1.0

subnet 192.168.1.0 255.255.255.0

nat (inside,outside) source dynamic net-192.168.1.0 interface

nat (inside,outside2) source dynamic net-192.168.1.0 interface

Configuração de FTD

Esta seção aborda a configuração do comando pppoe client secondary track x para a interface outside2 (backup). Como a interface do usuário do FMC não oferece suporte nativo a trilhas para as opções do cliente, o FlexConfig deve ser usado.

Você deve garantir a configuração do restante da configuração, incluindo a configuração PPPoE, o roteamento e outros.

Considere estes pontos:

1. As políticas FlexConfig intencionalmente não contêm validação de entrada extensiva. Você deve garantir que as configurações nesta política FlexConfig estejam corretas. Configurações incorretas resultam em uma implantação com falha que pode causar uma interrupção na rede. Além disso, considere isolar a implantação para que ela inclua apenas alterações de FlexConfig e nenhuma outra atualização de política.

2. Durante a implantação, o FMC remove qualquer trilha x.. implantado pelo FlexConfig. Para persistência, você deve definir a implantação do objeto FlexConfig como Everytime e implantar em um objeto FlexConfig separado.

Etapas de configuração FlexConfig

1. Crie um objeto FlexConfig para a configuração das configurações de cliente SLA e PPPoE para a interface outside2 (backup). Certifique-se de definir Deployment como Once e Type como Append. Neste exemplo, a trilha 2, SLA 2 são usadas. Observe que o comando track 2 rtr 2 reachability está ausente:

FlexConfig para SLA

2. Crie outro objeto FlexConfig para a configuração do comando track 2 rtr 2 reachability. Certifique-se de definir Deployment como Everytime e Type como Append:

FlexConfig para controle

3. Adicione objetos à política FlexConfig. Certifique-se de que o objeto com o comando track 2 rtr 2 reachability na parte inferior (último) e implante políticas:

Política FlexConfig

Pontos principais:

- O comando pppoe client secondary track 2 na interface G0/1 instrui o firewall a ativar a sessão PPPoE através da interface G0/1 apenas se a faixa 2 falhar. Efetivamente, a falha da trilha 2 que rastreia a alcançabilidade através do caminho principal ativa o caminho de backup.

- Como resultado, apenas 1 sessão PPPoE está ativa em um determinado momento.

Verificação

1. A sessão PPPoE com RTR1 através da interface externa já está estabelecida. A sessão de backup está ociosa:

firewall# show vpdn session pppoe state

PPPoE Session Information (Total tunnels=1 sessions=1)

SessID TunID Intf     State       Last Chg

13      3 outside  SESSION_UP  72 secs

firewall# show vpdn pppinterface

PPP virtual interface id = 1

PPP authentication protocol is PAP

Server ip address is 10.10.1.1

Our ip address is 10.10.1.10

Transmitted Pkts: 60, Received Pkts: 60, Error Pkts: 0

MPPE key strength is None

MPPE_Encrypt_Pkts: 0,  MPPE_Encrypt_Bytes: 0

MPPE_Decrypt_Pkts: 0,  MPPE_Decrypt_Bytes: 0

Rcvd_Out_Of_Seq_MPPE_Pkts: 0

PPP virtual interface id = 2 was deleted and pending reuse

2. A sessão PPPoE para RTR1 através da interface externa falha (por exemplo, devido a uma falha na interface física ou no link). A sessão PPPoE para RTR2 através da interface outside2 é estabelecida.

Syslogs:

Mar 14 2026 23:40:50: %ASA-3-403503: PPPoE:PPP link down:Peer not responding

Mar 14 2026 23:40:50: %ASA-3-403503: PPPoE:PPP link down:

Mar 14 2026 23:40:50: %ASA-3-403503: PPPoE:PPP link down:LCP down

Mar 14 2026 23:40:50: %ASA-6-603109: Teardown PPPOE Tunnel, tunnel_id = 3, remote_peer_ip = 10.10.1.1

Mar 14 2026 23:40:50: %ASA-6-305009: Built static translation from outside:0.0.0.0 to inside:0.0.0.0

Mar 14 2026 23:39:44: %ASA-4-411002: Line protocol on Interface GigabitEthernet0/0, changed state to down

Mar 14 2026 23:39:44: %ASA-7-713906: IKE Receiver: Interface 3(outside) going down

Mar 14 2026 23:39:44: %ASA-3-317012: Interface IP route counter negative - GigabitEthernet0/0

Mar 14 2026 23:39:44: %ASA-6-317078: Deleted STATIC route 0.0.0.0 0.0.0.0 via 10.10.1.1 [1/0] on [outside] [Gi0/0] tableid [0]

Mar 14 2026 23:39:44: %ASA-7-110007: Del Entry:0.0.0.0/0.0.0.0 nh:10.10.1.1 nh_cnt:1 flags:0 timestamp:451 resolver_cnt:0 ifcout:outside result:1 incr_ts:1 vrfid:0

Mar 14 2026 23:39:48: %ASA-6-622001: Removing tracked route 0.0.0.0 0.0.0.0 10.10.1.1, distance 1, table default, on interface outside

Mar 14 2026 23:39:48: %ASA-6-305009: Built static translation from outside2:0.0.0.0 to inside:0.0.0.0

Mar 14 2026 23:39:48: %ASA-6-603108: Built PPPOE Tunnel, tunnel_id = 4, remote_peer_ip = 172.16.1.1, ppp_virtual_interface_id = 2, client_dynamic_ip = 172.16.1.10, username = pppoe

Mar 14 2026 23:39:48: %ASA-6-317078: Deleted CONNECTED route 172.16.1.10 255.255.255.255 via 0.0.0.0 [0/0] on [outside2] [Gi0/1] tableid [0]

Mar 14 2026 23:39:48: %ASA-6-317077: Added STATIC route 0.0.0.0 0.0.0.0 via 172.16.1.1 [10/0] on [outside2] [Gi0/1] tableid [0]

Mar 14 2026 23:39:48: %ASA-7-110006: Add Entry:0.0.0.0/0.0.0.0 nh:172.16.1.1 nh_cnt:1 flags:0 timestamp:459 resolver_cnt:0 ifcout:outside2 vrfid:0 handle:610419 table:output route

firewall# show vpdn session pppoe state

PPPoE Session Information (Total tunnels=2 sessions=1)

SessID TunID Intf     State       Last Chg

13      3 outside   PADI_SENT  0 secs

14      4 outside2  SESSION_UP  82 secs

firewall# show vpdn pppinterface

PPP virtual interface id = 1 was deleted and pending reuse

PPP virtual interface id = 2

PPP authentication protocol is PAP

Server ip address is 172.16.1.1

Our ip address is 172.16.1.10

Transmitted Pkts: 56, Received Pkts: 56, Error Pkts: 0

MPPE key strength is None

MPPE_Encrypt_Pkts: 0,  MPPE_Encrypt_Bytes: 0

MPPE_Decrypt_Pkts: 0,  MPPE_Decrypt_Bytes: 0

Rcvd_Out_Of_Seq_MPPE_Pkts: 0

firewall# show route

Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP

D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area

N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2

E1 - OSPF external type 1, E2 - OSPF external type 2, V - VPN

i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2

ia - IS-IS inter area, * - candidate default, U - per-user static route

o - ODR, P - periodic downloaded static route, + - replicated route

SI - Static InterVRF, BI - BGP InterVRF

Gateway of last resort is 172.16.1.1 to network 0.0.0.0

S*       0.0.0.0 0.0.0.0 [10/0] via 172.16.1.1, outside2

S        172.16.253.0 255.255.255.0 [1/0] via 172.16.1.1, outside2

C        192.168.1.0 255.255.255.0 is directly connected, inside

L        192.168.1.1 255.255.255.255 is directly connected, inside

3. Os pacotes do endereço IP do PC 192.168.1.2 a 10.10.253.2 e 172.16.253.2 são enviados. Devido à falha do caminho principal, todos os pacotes são enviados através da interface outside2. Além disso, devido ao PAT, a captura capo2 mostra o endereço IP da interface de saída (endereços mapeados):

Mar 14 2026 23:46:07: %ASA-6-305011: Built dynamic ICMP translation from inside:192.168.1.2/2677 to outside2:172.16.1.10/2677

Mar 14 2026 23:46:09: %ASA-6-305011: Built dynamic ICMP translation from inside:192.168.1.2/2678 to outside2:172.16.1.10/2678

firewall# show cap

capture capo type raw-data interface outside [Capturing - 0 bytes]

match icmp any host 10.10.253.2

capture capo2 type raw-data interface outside2 [Capturing - 912 bytes]

match icmp any host 172.16.253.2

match icmp any host 10.10.253.2

firewall# show cap capo2

8 packets captured

1: 23:46:07.533694       172.16.1.10 > 172.16.253.2 icmp: echo request

2: 23:46:07.541842       172.16.253.2 > 172.16.1.10 icmp: echo reply

3: 23:46:08.534075       172.16.1.10 > 172.16.253.2 icmp: echo request

4: 23:46:08.540621       172.16.253.2 > 172.16.1.10 icmp: echo reply

5: 23:46:09.773031       172.16.1.10 > 10.10.253.2 icmp: echo request

6: 23:46:09.780034       10.10.253.2 > 172.16.1.10 icmp: echo reply

7: 23:46:10.773946       172.16.1.10 > 10.10.253.2 icmp: echo request

8: 23:46:10.778569       10.10.253.2 > 172.16.1.10 icmp: echo reply

4. O caminho através da interface externa é recuperado, a sessão PPPoE para RTR1 é restabelecida. A sessão através da interface outside2 faz a transição para o estado de reutilização pendente:

firewall# show vpdn session pppoe state

PPPoE Session Information (Total tunnels=1 sessions=1)

SessID TunID Intf     State       Last Chg

17      3 outside  SESSION_UP  89 secs

firewall# show vpdn pppinterface

PPP virtual interface id = 1

PPP authentication protocol is PAP

Server ip address is 10.10.1.1

Our ip address is 10.10.1.10

Transmitted Pkts: 58, Received Pkts: 58, Error Pkts: 0

MPPE key strength is None

MPPE_Encrypt_Pkts: 0,  MPPE_Encrypt_Bytes: 0

MPPE_Decrypt_Pkts: 0,  MPPE_Decrypt_Bytes: 0

Rcvd_Out_Of_Seq_MPPE_Pkts: 0

PPP virtual interface id = 2 was deleted and pending reuse

firewall# show route

...

S*       0.0.0.0 0.0.0.0 [1/0] via 10.10.1.1, outside

C        192.168.1.0 255.255.255.0 is directly connected, inside

L        192.168.1.1 255.255.255.255 is directly connected, inside

Syslogs:

Mar 15 2026 00:04:36: %ASA-4-411001: Line protocol on Interface GigabitEthernet0/0, changed state to up

Mar 15 2026 00:05:27: %ASA-6-603108: Built PPPOE Tunnel, tunnel_id = 3, remote_peer_ip = 10.10.1.1, ppp_virtual_interface_id = 1, client_dynamic_ip = 10.10.1.10, username = pppoe

Mar 15 2026 00:05:35: %ASA-6-622001: Adding tracked route 0.0.0.0 0.0.0.0 10.10.1.1, distance 1, table default, on interface outside

Mar 15 2026 00:05:35: %ASA-6-603109: Teardown PPPOE Tunnel, tunnel_id = 4, remote_peer_ip = 172.16.1.1

Mar 15 2026 00:05:40: %ASA-6-622001: Removing tracked route 172.16.253.0 255.255.255.0 172.16.1.1, distance 1, table default, on interface outside2

Mar 15 2026 00:05:40: %ASA-6-317078: Deleted STATIC route 172.16.253.0 255.255.255.0 via 172.16.1.1 [1/0] on [outside2] [Gi0/1] tableid [0]

5. Os pacotes do endereço IP do PC 192.168.1.2 a 10.10.253.2 e 172.16.253.2 são enviados através da interface externa (caminho principal). Adicionalmente, devido ao PAT, a captura capo mostra o endereço IP da interface de saída (endereços mapeados):

Mar 15 2026 00:17:27: %ASA-6-305011: Built dynamic ICMP translation from inside:192.168.1.2/2685 to outside:10.10.1.10/2685

Mar 15 2026 00:17:29: %ASA-6-305011: Built dynamic ICMP translation from inside:192.168.1.2/2686 to outside:10.10.1.10/2686

firewall# show capture

capture capo type raw-data interface outside [Capturing - 912 bytes]

match icmp any host 10.10.253.2

match icmp any host 172.16.253.2

capture capo2 type raw-data interface outside2 [Capturing - 0 bytes]

match icmp any host 172.16.253.2

match icmp any host 10.10.253.2

firewall# show capture  capo

8 packets captured

1: 00:17:27.680247       10.10.1.10 > 10.10.253.2 icmp: echo request

2: 00:17:27.688761       10.10.253.2 > 10.10.1.10 icmp: echo reply

3: 00:17:28.680415       10.10.1.10 > 10.10.253.2 icmp: echo request

4: 00:17:28.683405       10.10.253.2 > 10.10.1.10 icmp: echo reply

5: 00:17:29.732673       10.10.1.10 > 172.16.253.2 icmp: echo request

6: 00:17:29.739799       172.16.253.2 > 10.10.1.10 icmp: echo reply

7: 00:17:30.732979       10.10.1.10 > 172.16.253.2 icmp: echo request

8: 00:17:30.736656       172.16.253.2 > 10.10.1.10 icmp: echo reply

8 packets shown

Note:

As alterações no roteamento não são aplicadas às conexões existentes. Portanto, a conexão existente continuará usando o caminho "antigo" mesmo que um caminho melhor se torne disponível. Efetivamente, isso pode causar impacto após as alterações de roteamento. Para instruir o firewall a usar o novo caminho, considere ativar o temporizador de conexão flutuante.  Se o timeout de conexão flutuante estiver ativado, isto é, definido com um valor diferente de zero, então, se uma rota melhor se tornar disponível, então esse timeout permitirá que as conexões sejam fechadas para que uma conexão possa ser restabelecida para usar a rota melhor. Consulte a descrição de floating-conn em https://www.cisco.com/c/en/us/td/docs/security/asa/asa-cli-reference/T-Z/asa-command-ref-T-Z/m_ta-tk.html.

Como remover ou negar comandos implantados com o uso do FlexConfig?

Se quiser remover ou negar a configuração implantada pelo FlexConfig, você deverá executar estas etapas:

1. Crie um FlexConfig com comandos de negação nesta ordem e assegure-se de definir Type como Prepend:

- Remoção da referência a objetos de controle

- Supressão de objetos de via

- Exclusão de objetos de SLA

Exemplo de remoção da configuração implantada para a redundância ativa-ativa com compartilhamento de carga e rastreamento de rota de cliente PPPoE:

Remoção de Flexonfig 1

Exemplo de remoção da configuração implantada para redundância ativa/standby sem compartilhamento de carga:

Remoção Flexonfig 2

2. Adicione o objeto de negação criado na etapa 1 à política FlexConfig. Certifique-se de que os objetos para a adição de comandos PPPoE sejam removidos e não existam na política:

Política de Remoção do FlexConfig

3. Implante políticas e verifique a remoção de comandos na CLI.

4. Remova o objeto de negação criado na etapa 1 da política FlexConfig e implante novamente.

Referências

- ID de bug da Cisco CSCwt39430   "ENH: Comandos e subcomandos de configuração do cliente DHCP/PPPoE da interface do FTD na interface do FMC"