目录

简介

先决条件

要求

使用的组件

任务1.检验条件

任务2.在高可用性下配置Secure Firewall设备管理器

网络图

在主设备的安全防火墙设备管理器上启用高可用性

在辅助设备的安全防火墙设备管理器上启用高可用性

完成接口配置

任务3.验证FDM高可用性

任务4.切换故障切换角色

任务5.暂停或恢复高可用性

任务6.突破高可用性

相关信息

简介

本文档介绍如何在安全防火墙设备上配置和验证安全防火墙设备管理器(FDM)高可用性(HA)。

先决条件

要求

使用的组件

本文档中的信息基于以下软件和硬件版本：

- 2x思科安全防火墙2100安全设备

- 运行FDM版本7.0.5（内部版本72）

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您的网络处于活动状态，请确保您了解所有命令的潜在影响。

任务1.检验条件

任务要求：

验证两台FDM设备均符合注释要求，且可以配置为HA设备。

解决方案：

步骤1:使用SSH连接到设备管理IP并验证模块硬件。

使用show version命令验证主设备硬件和软件版本：

> show version

-------------------[ FPR2130-1 ]--------------------

Model : Cisco Firepower 2130 Threat Defense (77) Version 7.0.5 (Build 72)

UUID : 6197946e-2747-11ee-9b20-ead7c72f2631

VDB version : 338

----------------------------------------------------

验证辅助设备的硬件和软件版本：

> show version

-------------------[ FPR2130-2 ]--------------------

Model : Cisco Firepower 2130 Threat Defense (77) Version 7.0.5 (Build 72)

UUID : 6ba86648-2749-11ee-b7c9-c9e434a6c9ab

VDB version : 338

----------------------------------------------------

任务2.在高可用性下配置Secure Firewall设备管理器

网络图

根据下图配置主用/备用高可用性(HA):

在主设备的安全防火墙设备管理器上启用高可用性

步骤1:要配置FDM故障切换，请导航到Device，然后单击High Availability组旁边的Configure:

第二步：在High Availability页面上，点击Primary Device框：

警告：确保选择正确的设备作为主要设备。所选主设备上的所有配置都将复制到所选辅助FTD设备。通过复制，可以替换辅助设备上的当前配置。

第三步：配置故障切换链路和状态链路设置：

在本示例中，状态链路与故障切换链路具有相同的设置。

第四步：点击Activate HA

第五步：将HA配置复制到确认消息上的剪贴板，以将其粘贴到辅助设备上。

系统立即将配置部署到设备。您无需启动部署作业。如果您没有看到表明您的配置已保存且部署正在进行中的消息，请滚动到页面顶部查看错误消息。

配置也会复制到剪贴板。您可以使用副本快速配置辅助设备。为增强安全性，剪贴板副本中不包含加密密钥。

此时，您必须位于High Availability页面，并且设备状态必须为“Negotiating”。 即使在配置对等体之前，状态也必须转换到Active，在配置对等体之前，该状态必须显示为Failed。

在辅助设备的安全防火墙设备管理器上启用高可用性

将主设备配置为主用/备用高可用性后，必须配置辅助设备。登录该设备上的FDM并运行此过程。

步骤1:要配置FDM故障切换，请导航到Device，然后单击High Availability组旁边的Configure:

第二步：在High Availability页面上，点击Secondary Device框：

第三步：选择下列选项之一：

- Easy method — 单击“Paste from Clipboard”按钮，粘贴到配置中，然后单击OK。这会使用适当的值更新字段，然后您可以进行验证。

- 手动方法 — 直接配置故障切换和有状态故障切换链路。在辅助设备上输入与在主设备上输入的完全相同的设置。

第四步：点击Activate HA

系统立即将配置部署到设备。您无需启动部署作业。如果您没有看到表明您的配置已保存且部署正在进行中的消息，请滚动到页面顶部查看错误消息。

配置完成后，您将收到一条消息，表明您已配置HA。单击Got It以关闭消息。

此时，您必须位于High Availability页面，并且设备状态必须指示这是辅助设备。如果与主设备的加入成功，设备将与主设备同步，并且最终，模式必须为Standby，对等设备必须为Active。

完成接口配置

步骤1:要配置FDM接口，请导航到设备，然后单击查看所有接口：

第二步：选择并编辑接口设置，如图所示：

以太网1/5接口：

以太网1/6接口

第三步：配置更改后，单击Pending Changes 和Deploy Now。

任务3.验证FDM高可用性

任务要求：

从FDM GUI和FDM CLI验证高可用性设置。

解决方案：

步骤1:导航到设备并检查高可用性设置：

第二步：使用SSH连接到FDM主设备CLI，并使用show high-availability config命令进行验证：

> show high-availability config

Failover On

Failover unit Primary

Failover LAN Interface: failover-link Ethernet1/1 (up)

Reconnect timeout 0:00:00

Unit Poll frequency 1 seconds, holdtime 15 seconds

Interface Poll frequency 5 seconds, holdtime 25 seconds

Interface Policy 1

Monitored Interfaces 4 of 1293 maximum

MAC Address Move Notification Interval not set

failover replication http

Version: Ours 9.16(4)200, Mate 9.16(4)200

Serial Number: Ours JAD231510ZT, Mate JAD2315110V

Last Failover at: 00:01:29 UTC Jul 25 2023

This host: Primary - Active

Active time: 4927 (sec)

slot 0: FPR-2130 hw/sw rev (1.3/9.16(4)200) status (Up Sys)

Interface diagnostic (0.0.0.0): Normal (Waiting)

Interface eth2 (0.0.0.0): Link Down (Shutdown)

Interface inside (192.168.75.10): No Link (Waiting)

Interface outside (192.168.76.10): No Link (Waiting)

slot 1: snort rev (1.0)  status (up)

slot 2: diskstatus rev (1.0)  status (up)

Other host: Secondary - Standby Ready

Active time: 0 (sec)

slot 0: FPR-2130 hw/sw rev (1.3/9.16(4)200) status (Up Sys)

Interface diagnostic (0.0.0.0): Normal (Waiting)

Interface eth2 (0.0.0.0): Link Down (Shutdown)

Interface inside (192.168.75.11): No Link (Waiting)

Interface outside (192.168.76.11): No Link (Waiting)

slot 1: snort rev (1.0)  status (up)

slot 2: diskstatus rev (1.0)  status (up)

Stateful Failover Logical Update Statistics

Link : failover-link Ethernet1/1 (up)

Stateful Obj    xmit       xerr       rcv        rerr

General         189        0          188        0

sys cmd         188        0          188        0

up time         0          0          0          0

RPC services    0          0          0          0

TCP conn        0          0          0          0

UDP conn        0          0          0          0

ARP tbl         0          0          0          0

Xlate_Timeout   0          0          0          0

IPv6 ND tbl     0          0          0          0

VPN IKEv1 SA    0          0          0          0

VPN IKEv1 P2    0          0          0          0

VPN IKEv2 SA    0          0          0          0

VPN IKEv2 P2    0          0          0          0

VPN CTCP upd    0          0          0          0

VPN SDI upd     0          0          0          0

VPN DHCP upd    0          0          0          0

SIP Session     0          0          0          0

SIP Tx  0          0          0          0

SIP Pinhole     0          0          0          0

Route Session   0          0          0          0

Router ID       0          0          0          0

User-Identity   1          0          0          0

CTS SGTNAME     0          0          0          0

CTS PAC         0          0          0          0

TrustSec-SXP    0          0          0          0

IPv6 Route      0          0          0          0

STS Table       0          0          0          0

Rule DB B-Sync  0          0          0          0

Rule DB P-Sync  0          0          0          0

Rule DB Delete  0          0          0          0

Logical Update Queue Information

Cur     Max     Total

Recv Q:         0       10      188

Xmit Q:         0       11      957

第三步：在辅助设备上执行相同操作。

第四步：使用show failover state命令验证当前状态：

> show failover state

State          Last Failure Reason      Date/Time

This host  -   Primary

Active         None

Other host -   Secondary

Standby Ready  Comm Failure             00:01:45 UTC Jul 25 2023

====Configuration State===

Sync Done

====Communication State===

Mac set

第五步：使用show running-config failover和show running-config interface从主设备检验配置：

> show running-config failover

failover

failover lan unit primary

failover lan interface failover-link Ethernet1/1

failover replication http

failover link failover-link Ethernet1/1

failover interface ip failover-link 1.1.1.1 255.255.255.252 standby 1.1.1.2

> show running-config interface

!

interface Ethernet1/1

description LAN/STATE Failover Interface

ipv6 enable

!

interface Ethernet1/2

shutdown

no nameif

no security-level

no ip address

!

interface Ethernet1/3

shutdown

no nameif

no security-level

no ip address

!

interface Ethernet1/4

shutdown

no nameif

no security-level

no ip address

!

interface Ethernet1/5

nameif inside

security-level 0

ip address 192.168.75.10 255.255.255.0 standby 192.168.75.11

!

interface Ethernet1/6

nameif outside

security-level 0

ip address 192.168.76.10 255.255.255.0 standby 192.168.76.11

!

interface Ethernet1/7

shutdown

no nameif

no security-level

no ip address

!

interface Management1/1

management-only

nameif diagnostic

cts manual

propagate sgt preserve-untag

policy static sgt disabled trusted

security-level 0

no ip address

任务4.切换故障切换角色

任务要求：

在安全防火墙设备管理器图形界面中，将故障切换角色从主/主用、辅助/备用切换为主用/备用、辅助/主用

解决方案：

步骤1:点击Device

第二步：单击设备摘要右侧的High Availability链接。

第三步：从齿轮图标()，选择Switch Mode。

第四步：阅读确认消息，然后单击OK。

系统会强制进行故障切换，使主用设备成为备用设备，而备用设备成为新的主用设备。

第五步：如图所示验证结果：

第六步：也可以使用Failover History链接进行验证，CLI控制台弹出窗口必须显示以下结果：

==========================================================================

From State                 To State                   Reason

==========================================================================

21:55:37 UTC Jul 20 2023

Not Detected               Disabled                   No Error

00:00:43 UTC Jul 25 2023

Disabled                   Negotiation                Set by the config command

00:01:28 UTC Jul 25 2023

Negotiation                Just Active                No Active unit found

00:01:29 UTC Jul 25 2023

Just Active                Active Drain               No Active unit found

00:01:29 UTC Jul 25 2023

Active Drain               Active Applying Config     No Active unit found

00:01:29 UTC Jul 25 2023

Active Applying Config     Active Config Applied      No Active unit found

00:01:29 UTC Jul 25 2023

Active Config Applied      Active                     No Active unit found

18:51:40 UTC Jul 25 2023

Active                     Standby Ready              Set by the config command

==========================================================================

PEER History Collected at 18:55:08 UTC Jul 25 2023

===========================PEER-HISTORY===================================

From State                 To State                   Reason

===========================PEER-HISTORY===================================

22:00:18 UTC Jul 24 2023

Not Detected               Disabled                   No Error

00:52:08 UTC Jul 25 2023

Disabled                   Negotiation                Set by the config command

00:52:10 UTC Jul 25 2023

Negotiation                Cold Standby               Detected an Active mate

00:52:11 UTC Jul 25 2023

Cold Standby               App Sync                   Detected an Active mate

00:53:26 UTC Jul 25 2023

App Sync                   Sync Config                Detected an Active mate

01:00:12 UTC Jul 25 2023

Sync Config                Sync File System           Detected an Active mate

01:00:12 UTC Jul 25 2023

Sync File System           Bulk Sync                  Detected an Active mate

01:00:23 UTC Jul 25 2023

Bulk Sync                  Standby Ready              Detected an Active mate

18:45:01 UTC Jul 25 2023

Standby Ready              Just Active                Other unit wants me Active

18:45:02 UTC Jul 25 2023

Just Active                Active Drain               Other unit wants me Active

18:45:02 UTC Jul 25 2023

Active Drain               Active Applying Config     Other unit wants me Active

18:45:02 UTC Jul 25 2023

Active Applying Config     Active Config Applied      Other unit wants me Active

18:45:02 UTC Jul 25 2023

Active Config Applied      Active                     Other unit wants me Active

===========================PEER-HISTORY===================================

步骤 7.验证后，使主设备再次处于活动状态。

任务5.暂停或恢复高可用性

您可以在高可用性对中挂起设备。在以下情况下，这非常有用：

- 两台设备都处于“主用 — 主用”状态，修复故障切换链路上的通信无法解决问题。

- 您要排除主用或备用设备的故障，并且不要让这些设备在此期间进行故障转移。

- 您希望在备用设备上安装软件升级时防止故障转移。

挂起HA和中断HA之间的关键区别在于，在挂起HA设备上，保留高可用性配置。当您中断HA时，配置会被清除。因此，您可以选择在暂停的系统上恢复HA，这将启用现有配置并使两台设备再次作为故障切换对运行。

任务要求：

在安全防火墙设备管理器图形界面中，挂起主设备并在同一设备上恢复高可用性。

解决方案：

步骤1:单击Device。

第二步：单击设备摘要右侧的High Availability链接。

第三步：从齿轮图标()，选择Suspend HA。

第四步：阅读确认消息，然后单击OK。

第五步：如图所示验证结果：

第六步：要恢复高可用性，请从齿轮图标()，选择Resume HA。

步骤 7.阅读确认消息，然后单击OK。

第五步：如图所示验证结果：

任务6.突破高可用性

如果不再希望两台设备作为高可用性对运行，则可以中断HA配置。当您中断HA时，每台设备都会成为独立设备。其配置必须更改为：

- 主用设备会保留中断前的完整配置，并删除HA配置。

- 除了HA配置之外，备用设备还删除了所有接口配置。尽管子接口未禁用，但所有物理接口都处于禁用状态。管理接口保持活动状态，因此您可以登录设备并重新配置它。

任务要求：

从安全防火墙设备管理器图形界面中断高可用性对。

解决方案：

步骤1:单击Device。

第二步：单击设备摘要右侧的High Availability链接。

第三步：从齿轮图标()，选择中断HA。

第四步：阅读确认消息，决定是否选择禁用接口的选项，然后单击Break。

如果要从备用设备中断HA，必须选择禁用接口的选项。

系统会立即在此设备和对等设备上（如果可能）部署您的更改。每台设备上完成部署以及每台设备独立部署可能需要几分钟。

步骤5.检验结果，如图所示：

相关信息

- 所有版本的Cisco Secure Firewall Device Manager配置指南都可以在此处找到

https://www.cisco.com/c/en/us/support/security/firepower-ngfw/products-installation-and-configuration-guides-list.html

- 思科全球技术支持中心(TAC)强烈推荐此可视化指南，以了解有关Cisco Firepower下一代安全技术的深入实践知识：

https://www.ciscopress.com/store/cisco-firepower-threat-defense-ftd-configuration-and-9781587144806

- 有关Firepower技术的所有配置和故障排除技术说明

https://www.cisco.com/c/en/us/support/security/defense-center/series.html

- 技术支持和文档 - Cisco Systems