高可用性选项

高可用性选项

分布式 VPN 集群、负载均衡和故障转移功能是工作方式不同并具有不同要求的高可用性功能。在某些情况下，您可能会在部署中使用多项功能。以下几节介绍了这些功能：有关分布式 VPN 和故障转移的详细信息，请参阅相应版本的《ASA 常规操作 ASDM 配置指南》。此处介绍了负载均衡的详细信息。

Secure Firewall eXtensible 操作系统 (FXOS) 机箱上的 VPN 和集群

ASA FXOS 集群支持站点间 VPN 两个相互排斥的模式之一，即集中式或分布式：

  • 集中式 VPN 模式。默认模式。在集中式模式下，仅与集群的控制设备建立 VPN 连接。

    VPN 功能仅限控制设备使用，且不能利用集群的高可用性功能。如果控制设备发生故障，所有现有的 VPN 连接都将断开，通过 VPN 连接的用户将遇到服务中断。选择新的控制设备后，必须重新建立 VPN 连接。

    将 VPN 隧道连接到跨接口地址时，连接会自动转移到控制设备。与 VPN 相关的密钥和证书将被复制到所有设备。

  • 分布式 VPN 模式。在此模式下，站点间 IPsec IKEv2 VPN 连接将跨 ASA 集群成员分布，从而提供可扩展性。在集群成员之间分布 VPN 连接可实现充分利用集群的容量和吞吐量，将 VPN 支持大幅扩展至集中式 VPN 功能之外。


注

集中式 VPN 集群模式支持站点间 IKEv1 和站点间 IKEv2。

分布式 VPN 集群模式仅支持站点间 IKEv2。

仅在 Firepower 9300 上支持分布式 VPN 集群模式。

集中式和分布式集群模式均不支持远程访问 VPN。

VPN 负载均衡

VPN 负载均衡是在 VPN 负载均衡组中的设备之间合理分配远程访问 VPN 流量的机制。它基于简单的流量分配，而不考虑吞吐量或其他因素。VPN 负载均衡组由两台或更多设备组成。一台设备是导向器，而其他设备是成员设备。组设备不需要是完全相同的类型，也不需要具有相同的软件版本和配置。

VPN 负载均衡组中的所有主用设备都会承载会话负载。VPN 负载均衡可以将流量定向至组中负载最低的设备，在所有设备之间分配负载。这样可以高效地利用系统资源，提供更高的性能和高可用性。

故障转移

故障转移配置需要通过专用故障转移链路和状态故障转移链路（后者可选）相互连接的两台相同 ASA。主用接口和设备的运行状况会受到监控，以便确定满足特定故障转移条件的时刻。如果这些条件得到满足，则会进行故障转移。故障转移同时支持 VPN 和防火墙配置。

ASA 支持两种故障转移配置：主用/主用故障转移和主用/备用故障转移。

使用主用/主用故障转移时，两台设备都可以传送网络流量。这不是真正的负载均衡，尽管看似具有相同的效果。发生故障转移时，剩下的那台主用设备会根据配置的参数接管合并流量的传送。因此，配置主用/主用故障转移时，您必须确保两台设备的合并流量在每台设备的容量之内。

使用主用/备用故障转移时，只有一台设备会传送流量，而另一台设备会在备用状态下进行等待，不会传送流量。主用/备用故障转移允许使用第二台 ASA 来接管故障设备的功能。当主用设备发生故障时，它将变为备用状态，而备用设备会变为主用状态。变为活动状态的设备会采用发生故障的设备的 IP 地址（或者，对于透明防火墙，管理 IP 地址）和 MAC 地址，并开始传送流量。此时，处于备用状态的设备会接管主用设备的备用 IP 地址。如果主用设备发生故障，则由备用设备接管，而且不会给客户端 VPN 隧道带来任何干扰。

VPN 负载均衡

关于 VPN 负载均衡

如果您拥有一个远程客户端配置，在该配置中使用连接至相同网络的两个或更多 ASA 来处理远程会话，则可以通过创建 VPN 负载均衡组来将这些设备配置为共享其会话负载。VPN 负载均衡会将会话流量定向至负载最低的设备，从而在所有设备之间分配负载。这样可以高效地利用系统资源，并提高性能和可用性。

VPN 负载均衡组中的所有设备都会承载会话负载。组中的一台设备，即导向器会将传入的连接请求定向至称为成员设备的其他设备。导向器会监控组中的所有设备、追踪每台设备的繁忙情况，然后相应地分配会话负载。导向器的角色不会与某台物理设备绑定；它可以在设备之间切换。例如，如果当前的导向器发生故障，该组的一台成员设备会接管该角色，立即成为新的导向器。

VPN 负载均衡组会对外部客户端显示为单个虚拟 IP 地址。此 IP 地址不与特定物理设备绑定。它属于当前导向器。VPN 客户端会尝试建立连接，先与虚拟 IP 地址连接。随后，导向器会将组中负载最低的可用主机的公用 IP 地址，发送回客户端。在第二个事务（对用户透明）中，客户端会直接连接至该主机。这样，VPN 负载均衡组导向器就能在资源之间均匀、高效地定向流量。

如果组中的一个 ASA 发生故障，终止的会话可以立即重新连接到虚拟 IP 地址。随后，导向器会将这些连接，定向至组中的另一活动设备。如果导向器发生故障，则组中的成员设备会立即自动接管，成为新的导向器。即便该组中的多台设备发生故障，只要该组中的任一设备正常运行，并且可用，用户仍然可以继续与该组连接。

对于每个 VPN 负载均衡集群设备，必须配置公共/外部 (lbpublic) 和专用/内部 (lbprivate) 接口。

  • 公共接口：设备的外部接口，用于与集群 IP 地址进行初始通信。此接口用于 Hello 握手。

  • 专用接口：用于在负载均衡集群成员之间进行消息传送的设备内部接口。这些消息包括与负载均衡相关的保持连接、拓扑消息和服务中断消息。

VPN 负载均衡算法

VPN 负载均衡组导向器会维护一个按 IP 地址升序排列的组成员列表。每个成员的负载计算为整数百分比（活动会话数）。Secure Client 非活动会话不会被计入 VPN 负载均衡的 SSL VPN 负载。导向器会将 IPsec 和 SSL VPN 隧道重定向至负载最低的设备，直到其百分比值比其余设备高出 1%。当所有成员都比导向器高 1% 时，导向器就会将流量重定向到自身。

例如，如果您有一个导向器和两个成员，则以下循环适用：


注

所有节点的百分比值都从 0% 开始，而且所有百分比值都会四舍五入。

  1. 如果所有成员的负载都比导向器高出 1%，则导向器会接受连接。

  2. 如果导向器没有接受连接，则哪台成员设备负载百分比值最低就由哪台备用设备接受会话。

  3. 如果所有成员的负载百分比值相同，则由会话数最少的成员获得会话。

  4. 如果所有成员的负载百分比值和会话数都相同，则由 IP 地址最少的成员获得会话。

VPN 负载均衡组配置

VPN 负载均衡组可由相同版本或混合版本的 ASA 组成，并会受到以下限制：

  • 包含两个相同版本 ASA 的 VPN 负载均衡组，可以为混合的 IPsec、Secure Client 和无客户端 SSL VPN 客户端会话进行 VPN 负载均衡。

  • 包含混合版本 ASA 的 VPN 负载均衡组可支持 IPsec 会话。不过，在这样的配置中，ASA 可能无法达到其最高 IPsec 容量。

组的主管会将会话请求分配给组的成员。ASA 会同等地对待所有会话（SSL VPN 或 IPsec 会话），并相应地分配它们。您可以配置允许的 IPsec 和 SSL VPN 会话的数量，可配置的数量最多为您的配置以及许可证允许的最大数量。

我们已测试过 VPN 负载均衡组中的最多 10 个节点。更大的组可能能够正常工作，但是我们不正式支持此类拓扑。

VPN 负载均衡导向器选举

导向器选举过程

虚拟集群中的每个非主设备都会维护一个本地拓扑数据库。每当集群的拓扑发生更改时，主设备都会更新该数据库。如果在最大重试次数后未收到主设备的 Hello 响应或未收到主设备的保持连接响应，则每个非主设备都会进入主设备选举状态。

成员在导向器选举期间执行以下功能：

  • 比较本地拓扑数据库中找到的每个负载均衡设备的优先级。

  • 如果找到两台具有相同优先级的设备，则选择具有较低 IP 地址的设备。

  • 如果成员本身当选，则它会申领虚拟 IP 地址。

  • 如果选举了其他成员之一，则该成员将向当选的主设备发送 Hello 请求。

  • 当两台成员设备尝试申领虚拟 IP 地址时，ARP 子系统会检测到重复的 IP 地址情况，并发送通知要求具有更高 MAC 地址的成员放弃导向器角色。

Hello 握手

每个成员会在启动时向外部接口上的虚拟集群 IP 地址发送 Hello 请求。如果收到 Hello 请求，主设备会向成员发送自己的 Hello 请求。非导向器成员在收到导向器的 Hello 请求后会返回 Hello 响应。Hello 握手到此结束。

完成 Hello 握手后，如果配置了加密，则会在内部接口上发起连接。如果在最大重试次数后成员仍未收到 Hello 响应，则该成员将进入主设备选举状态。

Keepalive 消息

在成员和导向器之间完成 Hello 握手后，每台成员设备都会定期向主设备发送保持连接请求及其负载信息。如果导向器没有未完成的保持连接响应，则在正常处理期间，成员设备会以一秒为间隔发送保持连接请求。这意味着只要收到来自上一个请求的保持连接响应，就会在下一秒发送下一个保持连接请求。如果成员未从导向器收到上一个保持连接请求的保持连接响应，则下一秒不会发送保持连接请求。相反，成员的保持连接超时逻辑将启动。

保持连接超时的工作原理如下：

  1. 如果成员正在等待导向器的未决保持连接响应，则该成员不会发送常规的一秒间隔保持连接请求。

  2. 成员将等待 3 秒，并在第 4 秒时发送保持连接请求。

  3. 只要导向器没有保持连接响应，成员就会重复五 (5) 次上述步骤 2。

  4. 然后，该成员宣布该导向器已消失，并开始新的导向器选举周期。

有关 VPN 负载均衡的常见问题

多情景模式

Q. 

在多情景模式下是否支持 VPN 负载均衡？

A. 

在多情景模式下，既不支持 VPN 负载均衡也不支持状态故障转移。

IP 地址池耗尽

Q. 

ASA 是否会将 IP 地址池耗尽视为其 VPN 负载均衡方法的一部分？

A. 

不会。如果远程访问 VPN 会话被定向至已耗尽其 IP 地址池的设备，则会话不会建立。负载均衡算法基于负载，会计算为每个成员提供的整数百分比（活动会话数和最大会话数）。

唯一 IP 地址池

Q. 

要实施 VPN 负载均衡，不同 ASA 上的 Secure Client或 IPsec 客户端的 IP 地址池必须是唯一的吗？

A. 

是的。IP 地址池对于每台设备必须是唯一的。

在相同设备上使用 VPN 负载均衡和故障转移

Q. 

一台设备可以同时使用 VPN 负载均衡和故障转移吗？

A. 

是。在此配置中，客户端连接至组的 IP 地址，然后被重定向至组中负载最低的 ASA。如果该设备发生故障，备用设备会立即接管，不会对 VPN 隧道产生任何影响。

多个接口上的 VPN 负载均衡

Q. 

如果我们在多个接口上启用 SSL VPN，是否可以为所有的这些接口实施 VPN 负载平衡？

A. 

只能定义一个接口作为公共接口加入 VPN 负载平衡组。这个想法是为了均衡 CPU 负载，多个接口会在相同 CPU 上融合，因此多个接口上的 VPN 负载均衡这个概念不会改善性能。

VPN 负载均衡集群的最大并行会话数

Q. 

请考虑有两台 Firepower 1150 的部署，每台设备均有一个 100 位用户的 SSL VPN 许可证。在 VPN 负载均衡组中，最大用户总数是允许 200 个并行会话还是仅允许 100 个并行会话？如果我们随后添加第三台设备，该设备有一个 100 位用户的许可证，我们此时能够支持 300 个并行会话吗？

A. 

使用 VPN 负载均衡的情况下，所有设备均处于活动状态，因此您的组可以支持的最大会话数为组中每台设备的会话数量的总和，在这种情况下为 300。

VPN 负载均衡的许可

VPN 负载均衡需要有效的 3DES/AES 许可证。ASA 会在启用 VPN 负载均衡前检查是否存在此加密许可证。如果没有检测到有效的 3DES 或 AES 许可证，ASA 会阻止启用 VPN 负载均衡，也会阻止 VPN 负载均衡系统进行 3DES 的内部配置，除非许可证允许此使用。

VPN 负载均衡的前提条件

另请参阅VPN 负载均衡准则和限制。

  • 默认情况下会禁用 VPN 负载均衡。您必须显式启用 VPN 负载均衡。

  • 必须先配置公共（外部）接口和专用（内部）接口。本节中的后续引用使用名称 outside 和 inside。

    要执行此配置，请依次转到配置 > 设备设置 > 接口设置 > 接口。

  • 您必须事先配置虚拟 IP 地址所引用的接口。建立组通用的虚拟 IP 地址、UDP 端口（如需要）和 IPsec 共享密钥。

  • 加入组的所有设备都必须共享同一个集群特定值：IP 地址、加密设置、加密密钥和端口。

  • 要使用 VPN 负载均衡组加密，请先使用 crypto ikev1 enable 命令在内部接口上启用 IKEv1，同时指定内部接口；否则，在尝试配置 VPN 负载均衡组加密时，您将收到错误消息。

  • 如果使用主用/主用状态故障转移或 VPN 负载均衡，则不支持本地 CA 功能。本地 CA 不能从属于另一 CA；它只能用作根 CA。

VPN 负载均衡准则和限制

符合条件的客户端

VPN 负载均衡仅在使用以下客户端发起的远程会话上有效：

  • 安全客户端（3.0 版本及更高版本）

  • ASA 5505（用作简易 VPN 客户端时）

  • Firepower 1010（用作简易 VPN 客户端时）

  • 支持 IKE 重定向的 IOS EZVPN 客户端设备 (IOS 831/871)

客户端注意事项

VPN 负载均衡可与 IPsec 客户端和 SSL VPN 客户端会话配合使用。包括 LAN 间连接在内的所有其他 VPN 连接类型（L2TP、PPTP、L2TP/IPsec）可以连接到在其上启用了 VPN 负载均衡的 ASA，但不能加入 VPN 负载均衡。

当多个 ASA 节点分组进行负载均衡并且 Secure Client连接需要使用组 URL 时，必须在各个 ASA 节点执行以下操作：

  • 使用每个 VPN 负载均衡虚拟地址（IPv4 和 IPv6）的组 URL 配置每个远程访问连接配置文件。

  • 为此节点的 VPN 负载均衡公共地址配置组 URL。

负载均衡组

ASA 支持每个 VPN 负载均衡组包含 10 台设备。

情景模式

多情景模式下不支持 VPN 负载均衡。

FIPS

FIPS 不支持集群加密。

证书验证

使用 Secure Client 为 VPN 负载均衡执行证书验证，并且该连接通过某个 IP 地址重定向时，该客户端通过此 IP 地址进行其所有的名称检查。请确保重定向 IP 地址已在证书公用名或主题备用名称中列出。如果 IP 地址没有出现在这些字段中，则该证书会被视为不可信。

遵循 RFC 2818 中定义的准则，如果证书中包含有主题备用名称，我们会仅将主题备用名称用于名称检查，并忽略公用名。请确保已在证书的主题备用名称中，定义提供证书的服务器的 IP 地址。

对于独立 ASA，IP 地址为该 ASA 的 IP。在 VPN 负载均衡组情况下，该地址取决于证书配置。如果该组使用一个证书，则该证书应该具有包含虚拟 IP 地址和组 FQDN 的 SAN 扩展，并应包含带每个 ASA 的 IP 和 FQDN 的使用者备用名称扩展。如果该组使用多个证书，则每个 ASA 的证书均应具有包含虚拟 IP、组 FQDN 和各 ASA 的 IP 地址和 FQDN 的 SAN 扩展。

地理 VPN 负载均衡

在定期更改 DNS 解析的 VPN 负载均衡环境中，必须谨慎考虑如何设置生存时间 (TTL) 值。要使 DNS 负载均衡配置与 Secure Client 成功配合使用，从选定 ASA 到隧道完全建立，ASA 的名称到地址映射都必须保持相同。如果在输入凭证前，经过的时间过长，查找将会重新启动，不同的 IP 地址可能会成为解析后的地址。如果在输入凭证前，DNS 映射变更至不同的 ASA，VPN 隧道会失效。

VPN 的地理负载均衡通常使用 Cisco Global Site Selector (GSS)。GSS 使用 DNS 进行负载均衡，并且 DNS 解析的生存时间 (TTL) 值默认为 20 秒。如果您提高 GSS 上的 TTL 值，则可以显著降低连接发送故障的可能性。当用户输入凭证并建立隧道时，增加为更高的值可以为身份验证阶段提供充足的时间。

要增加输入凭证的时间，您还可以考虑禁用 Connect on Start Up。

IKE/IPSec 安全关联

集群加密会话不会同步到 VPN 负载均衡器拓扑中的备用设备。

配置 VPN 负载均衡

如果您拥有一个远程客户端配置，在该配置中使用连接至相同网络的两个或更多 ASA 来处理远程会话，则可以将这些设备配置为共享其会话负载。此功能称为 VPN 负载均衡，它会将会话流量定向至负载最低的设备，从而在所有设备之间分配负载。VPN 负载均衡可以高效地利用系统资源，提供更高的性能和系统可用性。

要使用 VPN 负载均衡，请在组中的每台设备上执行以下操作：

  • 建立通用的 VPN 负载均衡组属性以配置 VPN 负载均衡组。这包括组的虚拟 IP 地址、UDP 端口（如需要）和 IPsec 共享密钥。除组内的设备优先级外，组中的所有参与者都必须具有相同的组配置。

  • 在设备上启用 VPN 负载均衡并定义设备特定属性（例如其公共和专有地址），从而配置加入的设备。这些值因设备而异。

使用高可用性和可扩展性向导配置 VPN 负载均衡

过程

步骤 1

依次选择向导 (Wizards) > 高可用性和可扩展性 (High Availability and Scalability)。

步骤 2

在“配置类型”(Configuration Type) 屏幕中，点击配置 VPN 集群负载均衡 (Configure VPN Cluster Load Balancing)，然后点击下一步 (Next)。

步骤 3

选择代表整个 VPN 负载均衡组的单一 IP 地址。在公共子网地址范围内，指定由组中所有 ASA 共享的 IP 地址。

步骤 4

为此设备要参与的 VPN 负载均衡组指定 UDP 端口。默认值为 9023。如果另一应用正使用此端口，输入您想要用于 VPN 负载均衡的 UDP 目标端口号。

步骤 5

要启用 IPSec 加密，并确保设备之间通信的所有 VPN 负载均衡信息会被加密，请选中启用 IPSec 加密 (Enable IPSec Encryption) 复选框。

步骤 6

指定并验证 IPsec 共享密钥。您输入的值会显示为连续的星号字符。

步骤 7

指定在组内分配给此设备的优先级。范围是从 1 到 10。该优先级指示，在启动或现有导向器发生故障时，设备成为组导向器设备的可能性。设置的优先级越高（例如 10），此设备就越有可能将会成为导向器。

注

 

如果 VPN 负载均衡组中的设备在不同时间加电，第一台加电的设备会承担导向器的角色。组中的每台设备都会在其通电时进行检查，以确保该组具有导向器。如果不存在主用设备，则该设备会承担此角色。启动并添加到组的设备稍后将成为组成员。如果在组中的所有设备同时加电，优先级设置最高的设备会成为导向器。如果在组中，两台或更多的设备同时加电，并且都拥有最高的优先级设置，则 IP 地址最小的设备会成为导向器。

步骤 8

选择此设备的公共接口 (Public Interface of This Device)。

步骤 9

选择此设备的专用接口 (Private Interface of This Device)。

步骤 10

选中重定向时向客户端发送 FQDN 而不是 IP 地址 (Send FQDN to client instead of an IP address when redirecting) 复选框，以便使导向器在将 VPN 客户端连接重定向至该设备时，发送使用设备的主机和域名的完全限定域名，而不是外部 IP 地址。

步骤 11

点击下一步 (Next)。请在 Summary 屏幕中审阅您的配置。

步骤 12

点击完成 (Finish)。

VPN 负载均衡组配置将被发送到 ASA。

下一步做什么

当多个 ASA 节点分组进行负载均衡并且 Secure Client连接需要使用组 URL 时，必须在各个 ASA 节点执行以下操作：

  • 使用每个 VPN 负载均衡虚拟地址（IPv4 和 IPv6）的组 URL 配置每个远程访问连接配置文件。

  • 为此节点的 VPN 负载均衡公共地址配置组 URL。

组 URL 可在配置 (Configuration) > 远程访问 VPN (Remote Access VPN) > 网络（客户端）访问 (Network [Client] Access) > Secure Client 连接配置文件 (Connection Profiles) > 连接配置文件名称 > 添加或编辑 (Add or Edit) > 高级 (Advanced) > 组别名/组 URL (Group Alias / Group URL) 窗格中配置。

配置 VPN 负载均衡（不使用向导）

过程

步骤 1

依次选择配置 (Configuration) > 远程访问 VPN (Remote Access VPN) > 负载均衡 (Load Balancing)。

步骤 2

选中 Participate in Load Balancing，以便指示此 ASA 是负载均衡集群的参与者。

您必须这样在参与负载均衡的每个 ASA 上，启用负载均衡。

步骤 3

在 VPN Cluster Configuration 区域中配置以下字段。对于整个虚拟集群，这些值都必须相同。该集群中的所有服务器都必须具有一致的集群配置。

  • Cluster IPv4 Address - 指定代表整个 IPv4 虚拟集群的单一 IPv4 地址。在公共子网地址范围内，选择由虚拟集群中所有 ASA 共享的 IP 地址。

    • UDP Port - 为此设备要参与的虚拟集群，指定 UDP 端口。默认值为 9023。如果另一应用正使用此端口，输入您想要用于负载均衡的 UDP 目标端口号。

  • 集群 IPv6 地址 - 指定代表整个 IPv6 虚拟集群的单一 IPv6 地址。在公共子网地址范围内，选择由虚拟集群中所有 ASA 共享的 IP 地址。使用 IPv6 地址的客户端可以通过 ASA 集群的公开 IPv6 地址，或者通过 GSS 服务器，进行 Secure Client 连接。同样地，使用 IPv6 地址的客户端可以通过 ASA 集群的公开 IPv4 地址，或者通过 GSS 服务器，进行 Secure Client VPN 连接。任何一种连接类型都可以在 ASA 集群内进行负载均衡。

    注

     

    如果您具有一个至少配置有一个 DNS 服务器的 DNS 服务器组，且在一个 ASA 接口上启用了 DNS 查找，则也可以在 Cluster IPv4 Address 和 Cluster IPv6 Address 字段中指定虚拟集群的完全限定域名。

  • Enable IPsec Encryption - 启用或禁用 IPsec 加密。如果您选中此复选框，则还必须指定并验证共享机密。虚拟集群中的 ASA 通过使用 IPsec 的 LAN 间隧道进行通信。要确保设备之间通信的所有负载均衡信息会被加密，请选中此复选框。

  • IPsec Shared Secret - 当您启用 IPsec 加密时，指定 IPsec 对等体之间的共享密钥。您在框中输入的值会显示为连续的星号字符。

  • Verify Secret - 重新输入共享机密。确认在 IPsec Shared Secret 框中输入的共享机密。

步骤 4

在 VPN Server Configuration 区域中为特定 ASA 配置以下字段：

  • Public Interface - 为该设备指定公用接口的名称或 IP 地址。

  • Private Interface - 为该设备指定专用接口的名称或 IP 地址。

  • Priority - 指定在集群内分配给此设备的优先级。范围是从 1 到 10。该优先级指示，此设备在启动或现有主用设备发生故障时，成为虚拟集群主用设备的可能性。设置的优先级越高（例如 10），此设备就越有可能成为虚拟集群主用设备。

    注

     

    如果虚拟集群中的设备在不同时间加电，第一台加电的设备会承担虚拟集群主用设备的角色。由于每个虚拟集群都需要一台主用设备，虚拟集群中的每台设备在其加电时都会进行检查，以确保该集群有一台虚拟主用设备。如果不存在主用设备，则该设备会承担此角色。后来加电并添加至该集群的设备，会成为备份设备。如果在虚拟集群中的所有设备同时加电，优先级设置最高的设备会成为虚拟集群主用设备。如果在虚拟集群中，两台或更多的设备同时加电，并且都拥有最高的优先级设置，则 IP 地址最小的设备会成为虚拟集群主用设备。

  • NAT Assigned IPv4 Address - 指定 NAT 会将此设备的 IP 地址转换为的 IP 地址。如果 NAT 未被使用（或者如果设备不在使用 NAT 的防火墙后面），将此字段留空。

  • NAT Assigned IPv6 Address - 指定 NAT 对此设备的 IP 地址进行转换得到的 IP 地址。如果 NAT 未被使用（或者如果设备不在使用 NAT 的防火墙后面），将此字段留空。

  • 将 FQDN 发送到客户端 (Send FQDN to client) - 选中此复选框，以便使 VPN 集群主用设备在将 VPN 客户端连接重定向至该集群设备时，发送使用集群设备的主机和域名的完全限定域名，而不是外部 IP 地址。

    认情况下，ASA 仅将负载均衡重定向中的 IP 地址发给客户端。如果使用的证书基于 DNS 名称，证书将在重定向至备用设备时变得无效。

    作为 VPN 集群主用设备，该 ASA 在将 VPN 客户端连接重定向至一个集群设备（集群中的另一 ASA）时，可以通过反向 DNS 查找发送此集群设备的完全限定域名 (FQDN)，而不是其外部 IP 地址。

    集群中的负载均衡设备上的所有外部和内部网络接口，都必须位于相同 IP 网络之上。

    注

     

    使用 IPv6，并将 FQDNS 向下发送至客户端时，这些名称必须都能够由 ASA 通过 DNS 进行解析。

下一步做什么

当多个 ASA 节点组成集群进行负载均衡并且 Secure Client连接需要使用组 URL 时，必须在各个 ASA 节点执行以下操作：

  • 使用每个负载均衡虚拟集群地址（IPv4 和 IPv6）的组 URL 配置每个远程访问连接配置文件。

  • 为此节点的 VPN 负载均衡公共地址配置组 URL。

组 URL 可在配置 (Configuration) > 远程访问 VPN (Remote Access VPN) > 网络（客户端）访问 (Network [Client] Access) > Secure Client 连接配置文件 (Connection Profiles) > 连接配置文件名称 > 添加或编辑 (Add or Edit) > 高级 (Advanced) > 组别名/组 URL (Group Alias / Group URL) 窗格中配置。

VPN 负载均衡的功能历史记录

功能名称

版本

功能信息

使用 SAML 的 VPN 负载均衡 9.17(1) ASA 现在支持使用 SAML 身份验证的 VPN 负载均衡。
VPN 负载均衡 7.2(1) 引入了此功能。