目录

问题

高可用性(HA)对中的FTD始终以Failed状态显示。HA对等体之间的配置同步未完成，尽管设备之间成功建立了IP连接。部署是运行思科安全防火墙威胁防御软件的新实施，尚未投入生产。

问题出现在主设备移动到其最终位置并且其管理IP地址已更改而不首先中断HA对之后。HA进程检测到受监控数据接口上的接口检查失败，这触发了HA状态评估逻辑将主设备置于“失败”角色中。

环境

- 安全防火墙FTD高可用性，由FMC管理

- 迁移活动的新部署，尚未投入生产

分辨率

解决方案涉及从HA接口监控配置中删除选定的数据接口，以防止错误故障检测。

执行的故障排除步骤

1:故障排除数据确认受监控数据接口上的HA接口检查失败，而HA对等体连接（心跳和ping）仍可正常工作。

device# show failover

Failover On

Failover unit Primary

Failover LAN Interface: FailOver Ethernet1/8 (up)

Reconnect timeout 0:00:00

Unit Poll frequency 1 seconds, holdtime 15 seconds

Interface Poll frequency 5 seconds, holdtime 25 seconds

Interface Policy 1

Monitored Interfaces 5 of 776 maximum

MAC Address Move Notification Interval not set

failover replication http

Version: Ours 9.20(2)121, Mate 9.20(2)121

Serial Number: Ours SERIAL#, Mate SERIAL#

Last Failover at: 17:14:25 UTC Mar 16 2026

This host: Primary - Failed

Active time: 0 (sec)

slot 0: FPR-1120 hw/sw rev (2.0/9.20(2)121) status (Up Sys)

Interface To-DC1-ACC (0.0.0.0): No Link (Waiting)

Interface To-DC1-WAN (0.0.0.0): No Link (Waiting)

Interface management (203.0.113.131/fe80::a610:b6ff:fe3d:e101): Normal (Monitored)

slot 1: snort rev (1.0)  status (up)

slot 2: diskstatus rev (1.0)  status (up)

Other host: Secondary - Active

Active time: 184688 (sec)

Interface To-DC1-ACC (0.0.0.0): No Link (Waiting)

Interface To-DC1-WAN (10.230.2.2): Normal (Waiting)

Interface management (203.0.113.130/fe80::6ae5:9eff:fee6:d681): Normal (Monitored)

slot 1: snort rev (1.0)  status (up)

slot 2: diskstatus rev (1.0)  status (up)

2:确认高可用性状态转换基于接口监控结果，而非管理平面连接问题。

device# show failover history

17:16:51 UTC Mar 16 2026

Standby Ready              Failed                     Interface check

This host:2

single_vf: To-DC1-ACC

single_vf: To-DC1-WAN

Other host:1

single_vf: To-DC1-ACC

配置更改

1:HA配置已更新为从接口运行状况监控中排除受影响的数据接口，从而防止错误故障检测。

2:配置更改后，主FTD成功转换为备用就绪状态，确认正确的HA同步和状态稳定性。

3:已成功完成HA故障转移测试，并获得了预期结果，从而在更改后验证HA配置的稳定性。

预期行为说明

根据设计，在故障排除期间观察到的以下行为是预期行为：

- FTD对等体上的主机名重复：显示相同主机名的两个设备在FTD HA中是预期行为，因为活动设备主机名在系统范围内显示(在增强请求CSCwe31354下跟踪)

- IP地址所有权：只有活动FTD在数据接口上显示活动IP地址，这是为防止大脑分裂而设计的预期行为。如果未配置任何接口备用IP地址，则Standby Ready FTD显示为未在其接口上配置IP地址。

原因

主FTD被标记为“由于高可用性接口运行状况检查失败导致受监控数据接口上的主FTD”，从而导致具有更多操作接口的对等体保持活动状态。此行为由FTD高可用性中的设计提供，并记录在思科安全防火墙HA指南中。HA进程检测到受监控数据接口上的接口检查失败，这触发了HA状态评估逻辑将主设备置于“失败”角色中。

相关内容

- Cisco Secure Firewall Device Manager配置指南 — 高可用性（故障转移）

- 思科技术支持和下载