硬件要求规格

配置中的两台设备必须满足以下要求：

• 型号相同。 此外，对于容器实例，它们必须使用相同的资源配置文件属性。

  对于 Firepower 9300，仅在同类模块间支持高可用性。 但是，这两个机箱可以包含混合模块。例如，每个机箱都设有 SM-56、SM-48 和 SM-40。可以在 SM-56 模块之间、SM-48 模块之间和 SM-40 模块之间创建高可用性对。

  如果在将高可用性对添加到 防火墙管理中心 后更改资源配置文件，则稍后应在设备 > 设备管理 > 设备 > 系统 > 库存对话框上更新每个设备的库存。

  如果将不同的配置文件分配给已建立的高可用性对中的实例，这要求两台设备上的配置文件相同，则必须：

  1. 中断高可用性。

  2. 将新配置文件分配给两台设备。

  3. 重新建立高可用性。

• 拥有相同数量和类型的接口。

  对于平台模式下的Firepower 4100/9300 机箱，在启用之前，所有接口都必须在 FXOS 中进行相同的预配置。如果您在启用后更改接口，请在备用设备上的 FXOS 中更改接口，然后在主用设备上进行相同更改。

如果在 配置中使用闪存大小不同的设备，请确保闪存较小的设备具有足够的空间来容纳软件映像文件和配置文件。如果闪存较小的设备没有足够的空间，从闪存较大的设备向闪存较小的设备进行配置同步将会失败。

所需软件规格

配置中的两台设备必须满足以下要求：

• 处于相同的防火墙模式（路由或透明）。

• 具有相同的软件版本。

• 位于防火墙管理中心上的同一个域或组中。

• 具有相同的 NTP 配置。请参阅为威胁防御配置 NTP 时间同步。

• 在防火墙管理中心上完全部署且没有未提交的更改。

• 在其任一接口中都未配置 DHCP 或 PPPoE。

• （Firepower 4100/9300）具有相同的流量分流模式，同时启用或禁用。

许可证同步过程

高可用性配置中的两台 Firewall Threat Defense 设备必须具有相同的许可证。

高可用性配置需要两种许可证权利；对中的每个设备各一个。

在建立高可用性之前，将哪些许可证分配给辅助/备用设备并不重要。进行高可用性配置期间，防火墙管理中心 会释放分配给备用设备的所有不必要的许可证，并用分配给主/主用设备的相同许可证替换它们。例如，如果主用设备具有 基础版 许可证和 IPS 许可证，而备用设备只有 基础版 许可证， 防火墙管理中心 将与智能软件管理器通信，以从您的备用设备的账户获取可用 IPS 许可证。如果您的许可证帐户不包含足够的购买权利，则您的帐户将在您购买正确数量的许可证之前变得不符合要求。

状态链路配置要求

要使用有状态故障转移，必须配置有状态故障转移链路（也称为有状态链路），以便传送连接状态信息。

连接场景

我们建议，让故障转移链路和数据接口使用不同的路径，以便降低所有接口同时发生故障的可能性。如果故障转移链路断开，则故障转移操作会被暂停，直到故障转移链路恢复正常。

这些连接情景有助于设计具有弹性的故障转移网络。

情景 1 - 不推荐

如果单台交换机或一组交换机用于连接两台 Firewall Threat Defense设备之间的故障转移和数据接口，则交换机或交换机间链路发生故障时，两台 Firewall Threat Defense设备都将处于主用状态。因此，建议不要使用这些图中显示的 2 种连接方法。

情景 2 - 推荐

我们建议不要让故障转移链路和数据接口使用相同的交换机，而是应使用不同的交换机或使用直连电缆来连接故障转移链路，如下图所示。

情景 3 - 推荐

如果 Firewall Threat Defense数据接口连接到多台交换机，则故障转移链路可以连接到其中一台交换机，最好是处于网络的安全一侧（内部）的交换机，如下图所示。

状态信息类型

对于状态故障转移，这些状态信息将传至备用设备：

• NAT 转换表。

• TCP 和 UDP 连接和状态，包括 HTTP 连接状态。其他类型的 IP 协议和 ICMP 不会通过主用设备解析，因为它们是在新数据包到达时在新的主用设备上建立的。

• Snort 连接状态、检查结果和引脚信息，包括严格 TCP 实施。

• ARP 表

• 第 2 层网桥表（适用于桥接组）

• ISAKMP 和 IPsec SA 表

• GTP PDP 连接数据库

• SIP 信令会话和引脚。

• 静态和动态路由表 - 状态故障转移会参与动态路由协议（如 OSPF 和 EIGRP），因此通过主用设备上的动态路由协议获悉的路由，将会保留在备用设备的路由信息库 (RIB) 表中。发生故障转移事件时，数据包可以正常传输，并且只会对流量产生极小的影响，因为主用辅助设备一开始就具有镜像主设备的规则。进行故障转移后，新的主用设备上的重新融合计时器会立即启动。随后 RIB 表中的代编号将会增加。在重新融合期间，OSPF 和 EIGRP 路由将使用新的代编号进行更新。计时器到期后，过时的路由条目（由代编号确定）将从表中删除。于是 RIB 将包含新主用设备上的最新的路由协议转发信息。

  注	路由仅会因为主用设备上的链路打开或关闭事件而同步。如果备用设备上的链路打开或关闭，从主用设备发出的动态路由可能会丢失。这是预期的正常行为。

• DHCP 服务器 - 不会复制 DHCP 地址租用。但是，在接口上配置的 DHCP 服务器将发送 ping 命令，以确保在向 DHCP 客户端授予地址前不使用地址，使得服务不会受到影响。对于 DHCP 中继代理或 DDNS，状态信息不相关。

• 访问控制策略决策 - 在故障转移期间，会保留与流量匹配（包括 URL、URL 类别、地理位置等）、入侵检测、恶意软件和文件类型相关的决策。但是，对于在故障转移时评估的连接，有以下注意事项：

  • AVC - 系统会复制 App-ID 裁定，而不是检测状态。只要 App-ID 裁定是完整的，并且在发生故障转移之前完成同步，即可实现正确的同步。

  • 入侵检测状态 - 进行故障转移时，一旦出现拾取中间流的情况，新检测既已完成，但旧状态会丢失。

  • 文件恶意软件阻止 - 文件处置必须在故障转移之前变为可用。

  • 文件类型检测和阻止 - 文件类型必须在故障转移之前加以识别。如果在原始主用设备识别文件时发生故障转移，则文件类型不同步。即使文件策略阻止该文件类型，新的主用设备也会下载该文件。

• 身份策略中的用户身份决策，包括通过 ISE 会话目录被动收集的用户到 IP 地址映射以及通过强制网络门户进行的主动身份验证。发生故障转移时进行主动身份验证的用户，可能会被提示再次进行身份验证。

• 网络 AMP - 云查找独立于每台设备，因此故障转移通常不会影响此功能。具体包括：

  • 签名查找 - 如果在文件传输过程中发生故障转移，则不生成文件事件，也不进行检测。

  • 文件存储 - 如果在存储文件时发生故障转移，则文件将存储在原始主用设备上。如果在存储文件时原始主用设备关闭，则不存储文件。

  • 文件预分类（本地分析）- 如果在预分类期间发生故障转移，则检测失败。

  • 文件动态分析（连接至云）- 如果发生故障转移，则系统可能会将文件提交至云。

  • 存档文件支持 - 如果在分析期间发生故障转移，则系统可能会丢失对文件/存档的可视性。

  • 自定义阻止操作 - 如果发生故障转移，系统将不生成事件。

• 安全智能决策。但是，不会完成故障转移过程中发生的基于 DNS 的决策。

• RA VPN - 故障转移后，远程访问 VPN 终端用户不必对 VPN 会话重新进行身份验证，也不必重新连接。但是，在 VPN 连接上运行的应用，在故障转移过程中可能会丢失数据包，并且无法从数据包丢失中恢复。

• 在所有连接中，只有已建立的连接会在备用设备上复制。

状态信息限制

对于状态故障转移，以下状态信息不会传送至备用 Firewall Threat Defense：

• 明文隧道（例如 GRE 或 IP-in-IP）中的会话。不会复制隧道内部的会话，并且新的主动节点不能重复使用现有检测判定来匹配正确的策略规则。

• 已解密的 TLS/SSL 连接 - 解密状态不同步，如果主用设备发生故障，则系统会重置已解密的连接。需要与新的主用设备建立新连接。未解密的连接（也就是匹配TLS/SSL“不解密”规则操作的连接）不受影响，并且可以正确复制。

• 组播路由。

设备运行状况监控行为

Firewall Threat Defense 设备会通过 Hello 消息监控故障转移链路，进而确定其他设备的运行状况。如果设备在故障转移链路上没有收到三条连续的 hello 消息，则设备会在每个数据接口（包括故障转移链路）上发送 LANTEST 消息，以验证对等体是否响应。Firewall Threat Defense 设备采取的操作取决于来自其他设备的响应。可能的操作如下：

• 如果 Firewall Threat Defense 设备在故障转移链路上收到响应，则不会进行故障转移。

• 如果 Firewall Threat Defense 设备在故障转移链路上未收到响应，但在数据接口上收到响应，则设备不会进行故障转移。故障转移链路会标记为发生故障。您应尽快恢复故障转移链路，因为当故障转移切换发生故障时，设备无法故障转移到备用设备。

• 如果 Firewall Threat Defense 设备未在任何接口上收到响应，则备用设备会切换至主用模式，并会将另一台设备分类为故障设备。

注	在高可用性故障转移事件期间， Firewall Threat Defense 设备 的运行状况监控控制面板中可能会短暂显示为 离线 (Offline) 。发生这种情况是因为运行状况警报会在此过程中被清除，并且仅在该过程完成后才会更新。等待故障切换操作完成。

心跳模块冗余行为

HA 中的每个单元定期通过故障转移链路发送广播保活心跳数据包。如果控制平面忙于处理流量，有时心跳数据包无法到达对等体，或者对等体由于 CPU 过载而无法处理心跳数据包。当对等体无法在可配置的超时期限内传达保持连接状态时，会发生错误的故障转移或裂脑场景。

数据平面中的心跳模块有助于避免由于控制平面中的流量拥塞而发生错误的故障转移或裂脑。

• 附加心跳模块的工作原理与控制平面模块类似，但使用数据平面传输基础设施发送和接收心跳消息。

• 当对等体在数据平面中收到心跳数据包时，计数器会递增。

• 如果控制平面中的心跳传输失败，则节点会检查数据平面中的心跳计数器。如果计数器递增，则表示对等体处于活动状态，并且集群在这种情况下不会执行故障转移。

注	每当启用 HA 时，都会默认启用额外的心跳模块。您不必为数据平面中的其他心跳模块设置轮询间隔。此模块使用您为控制平面设置的相同心跳间隔。

接口监控操作

当设备在 15 个秒，未在受监控的接口上收到 hello 消息时，将运行接口测试。如果对于某个接口，其中一个接口测试失败，但在另一设备上的此接口继续成功传送流量，则此接口会被视为发生故障， 设备停止运行测试。

如果满足您为故障接口数量定义的阈值 （请参阅 设备 > 设备管理，然后 高可用性 > 故障转移触发条件），并且主用设备的故障接口数量多于备用设备，则会发生故障转移。 如果某个接口在两个单元上都失败，则这两个接口会进入“Unknown”状态，并且不会计入由故障转移接口政策制定的故障转移限制。

如果接口收到任何流量，则该接口会再次变为正常工作状态。如果不再满足接口故障阈值，发生故障的 设备会回到备用模式。

如果接口上配置了 IPv4 和 IPv6 地址， 设备会使用 IPv4 地址执行运行状况监控。如果接口上仅配置了 IPv6 地址，则 设备会使用 IPv6 邻居发现，而不是 ARP 来执行运行状况监控测试。对于广播 Ping 测试， 设备会使用所有的 IPv6 节点地址 (FE02::1)。

主设备与辅设备的差异

当设置主用/备用故障转移时，需要将一台设备配置为主设备，将另一台配置为辅助设备。配置过程中，主设备的策略将同步到辅助设备。此时，两台设备将作为单台设备进行设备和策略配置。但对于事件、控制面板、报告和运行状况监控，它们仍显示为单独的设备。

在故障转移对中这两台设备之间的主要区别是哪台是主用设备，哪台是备用设备，即要使用哪些 IP 地址以及哪台设备积极传递流量。

但是，设备之间还存在一些取决于哪一设备为主设备（在配置中指定），哪一设备为辅助设备的差别：

• 如果两台设备同一时间启动（并且运行状况相同），则主设备总是会成为主用设备。

• 主设备 MAC 地址始终与主用 IP 地址相匹配。此规则的例外是，当辅助设备成为主用设备并且无法通过故障转移链路获取主设备 MAC 时。在这种情况下，会使用辅助设备的 MAC 地址。

故障转移事件策略和操作

此表显示各故障事件的故障转移操作。对于每种故障事件，该表显示了故障转移策略（故障转移或禁用故障转移）、主用设备执行的操作、备用设备执行的操作，以及有关故障转移条件和操作的所有特别说明。