ASA双主Failover配置操作
ASA Active/Acitve FO
注：以下理论部分摘自百度文库：
ASA状态化的FO配置，要在物理设备起用多模式，必须创建子防火墙。在每个物理设备上配置两个Failover组（failover group），且最多配置两个。
Failover特性是Cisco安全产品高可用性的一个解决方案，目的是为了提供不间断的服务，当主设备down掉的时候，备用设备能够马上接管主设备的工作，进而保持通信的连通性；Failover配置要求两个进行Failover的设备通过专用的failover线缆和可选的Stateful Failover线缆互相连接；活动设备的接口被monitor，用于发现是否要进行Failover切换Failover分为failover和Stateful Failover，即故障切换和带状态的故障切换。
不带状态的failover在进行切换的时候，所有活动的连接信息都会丢失，所有Client都需要重新建立连接信息，那么这会导致流量的间断。
带状态的failover，主设备将配置信息拷贝给备用设备的同时，也会把自己的连接状态信息拷贝给备用设备，那么当主的设备down的时候，由于备用设备上保存有连接信息，因此Client不需要重新建立连接，那么也就不会导致流量的中断。
Failover link
两个failover设备频繁的在failover link上进行通信，进而检测对等体的状态。以下信息是通过failover link通信的信息：
●设备状态（active or standby）；
●电源状态（只用于基于线缆的failover；）
●Hello messages （keep-alives）；
●Network link 状态；
●MAC地址交换；
●配置的复制和同步；
（Note ：所有通过failover 和stateful failover线缆的信息都是以明文传送的，除非你使用failover key来对信息进行加密；）
Stateful link
在stateful link上，拷贝给备用设备的连接状态信息有：
●NAT 转换表；
●TCP连接状态；
●UDP连接状态；
●ARP表
●2层转发表（运行在透明模式的时候）
●HTTP连接状态信息（如果启用了HTTP复制）
●ISAKMP和IPSec SA表
●GTP PDP连接数据库
以下信息不会拷贝给备用设备：
●HTTP连接状态信息（除非启用了HTTP复制）
●用户认证表（uauth）
●路由表
●DHCP服务器地址租期
Failover包括LAN-Based Failover和Cable-Based Failover；对于PIX设备，只支持基于线缆（Cable-Based）的Failover；
Failover link
LAN-Based Failover link 可以使用未使用的接口来作为failover link。不能够使用配置过名字的接口做为failover接口，并且，failover接口的IP地址不能够直接配置到接口上；应使用专门的命令对其进行配置；该接口仅仅用于failover通信；两个failover接口之间必须使用专用的路径，如，使用专用的交换机，该交换机上不连接任何其他设备；或者使用正常交换机的时候，划一个VLAN，并且仅仅将failover接口划分到该VLAN中；
Cable-Based Failover link 这种failover对两个failover设备的距离有要求，要求距离不能超过6英尺；并且使用的线缆也是failover线缆，该线缆的一端标记“Primary”，另一端标记“Secondary”并且设备的角色是通过线缆指定的，连接在Primary端的设备被指定为主，连接在Secondary端的设备被指定为备；该线缆传送数据的速率为115Kbps；因此同步配置的速度相比LAN-Base的failover会慢；
Stateful Failover Link 如果使用带状态的Failover，那么就需要配置一个用于传送状态信息的线缆，你可以选用以下三种线中的一种作为stateful failover link：
●用专用的接口连接Stateful failover Link；
●使用LAN-Based failover，你也可以使用failover link作为stateful failover
link，即failover和stateful failover使用同一个线缆；——要求该接口是
fastest Ethernet；
●你也可以使用数据接口作为Stateful Failover接口，比如inside interface。
但是不推荐这样做；
每种failover又包含有Active/Active（以后简写为，A/A）和Active/Standby （以后简写为A/S）两类；
A/A failover，两个设备可以同时传送流量。这可以让你实现负载均衡。A/A failover只能运行在多虚拟防火墙模式下。
A/S failover，同一时间，只能有一个设备传输流量，另一个设备作为备份用，A/S failover即可以运行在single模式下，又能够运行在多模式下；
运行failover的两个设备，在硬件配置上要完全一样，比如必须要有相同的模块，相同的接口类型和接口数，相同的flash memory以及相同的RAM等；在软件上，两个设备要运行在相同的模式下面，必须有相同的主软件版本等；对于许可证，要求至少有一个设备要是UR版的许可证；
Active/Standby Failover
Active/Standby Failover（A/S）中，一个设备为活动设备，转发流量，另一个设备作为备份，当主设备down的时候，备份设备开始接管流量；备用设备接管以后，会继承主IP地址和MAC地址，继续转发流量；
Primary/Secondary status and Active/Standby Status
做FO的两台设备，必须指定一台为Primary，另一台为Secondary。Primary 和Secondary是一个物理概念，不会改变。
Failover设备之间，主要的不同就是角色问题，即哪个设备为active哪个设备
为standby，同时也决定了哪个IP地址以及哪个设备转发流量；
如果两个设备同时启动，那么配置为primary的设备为active；
Primary设备的MAC地址总是和active IP地址绑定在一起。唯一的例外就是当standby设备变为active后，不能够通过failover link上获得primary设备的MAC 地址，那么这时候就使用secondary设备的MAC地址；
设备的初始化和配置同步
当Failover设备启动的时候，配置才会同步，配置信息总是从active同步到standby设备；当standby设备完成初始化以后，它就清除自己的running configure （除了failover命令以外，因为这些命令需要和active进行failover通信）；
Active选举设备是根据以下情况决定的：
●设备启动后，如果检测到对等体已经存在为active，那么它自己将为
standby
●如果没有检测到对等体存在，那么它将成为active；如果此时有另外一
个active设备连接了进来，那么这两个active设备将重新协商谁来做
active。
●如果设备同时启动，那么根据配置中指定的primary和secondary来决定
设备的角色是active还是standby；
假设A被指定为primary，B被指定为secondary；当B启动后，没有检测到A的存在，那么B将为Active，它使用自己的MAC地址和active IP做绑定。然而，当primary启动可用后，secondary设备将会用primary设备的MAC地址和active IP绑定，这可能会导致流量的中断；避免方法是可以配置failover 虚拟MAC地址；
#failover mac address Inside 0000.0000.0001 0000.0000.0002
（注：0000.0000.000.1是activer的MAC，0000.0000.0002是standby的MAC，只能在A/S的配置下使用此命令，A/A不适合）
Failover的触发
以下任何一个事件发生时，都会触发Failover：
●设备发生硬件失败或电源故障；
●设备出现软件失败；
●太多的monitored接口fail；
●No failover active命令在active设备上被输入或在standby设备上输入
failover active命令；
Active/Active Failover
A/A failover只能工作在多虚拟防火墙模式下，在A/A failover模式下，两个设备都可以转发流量；在A/A failover下，你可以将虚拟防火墙划分到failover group 中，一个failover group是一个或多个虚拟防火墙集合，在防火墙上最多只支持2个failover group，admin context总是属于failover group 1，任何未分配的虚拟防火墙默认下也属于failover group 1；
Failover group是A/A failover的基本单元，failover group失败的时候，物理设
备不一定失败；failover组在一个设备上fail了，在另外一个设备上就会active，另外设备上的该组就会继续转发流量；
在A/A failover中，primary/secondary决定以下两个事情：
当两个设备同时启动的时候，决定哪个设备提供配置文件信息；
当两个设备同时启动的时候，决定哪个设备上的哪个failover group为active。每个failover group也会被配置一个primary或secondary，当两个failover group 在同一个设备同时为active的时候，那么另一个设备也就为备用设备；
每个failover group是否为active，由以下几种情况决定：
当设备启动的时候，没有检测到对等体，那么两个failover group在这个设备上都为active；
当设备启动后，检测到对等体为active（两个failover group都在active状态），除非以下情况发生，否则active设备上的两个failover group仍为active状态：——failover 发生；
——使用no failover active命令进行手工切换；
——配置failover group中带有preempt（抢占）命令；
当两个设备同时启动，在配置同步后，每个failover group在相应的设备中正常为active；
Failover Health Monitoring
ASA监视整个设备的health和接口的health情况，下面分别对这两种监视进行描述；
●设备health监视
安全设备通过monitor failover link来决定对等设备是否health。如果设备在failover link上没有收到3个连续的hello报文的时候，那么就在所有接口上发送ARP请求，包括failover 接口。设备下一步所采取的行为，取决于以下的响应情况：
如果设备在failover 接口收到了响应，那么就不发生failover；
如果设备在failover接口没有收到响应，而在其他接口上收到了响应，那么不发生failover，设备会将failover 接口标记为failed。
如果设备没有在任何接口上收到响应，那么发生failover 你可以配置发送hello包的间隔和发生failover的hold time值，时间越短；
●接口health监视
你可以最多monitor 250个接口，如果一个设备在一半的hold time时仍没有从monitor接口上收到hello报文，那么它将进行以下的test：
Link Up/Down 测试——测试接口的状态。在开始每个测试之前，设备会清掉这个接口上收到包的计数器的值，然后设备看在该接口上是否收到了包，如果收到了，则说明接口是好的，那么就开始network test；
Network Activity test——网络活动行测试。设备计数5秒内，该接口收到的所有的包，如果5秒内收到包了，那么说明接口和网络连接正常，并停止这个阶段的测试。如果没有收到流量，那么ARP test开始；
ARP test——读取ARP缓寸中的2个最近的ARP请求条目。然后向这些设备再次发送ARP请求，发出请求后，设备会计数5秒内收到的流量，如果收到了流量，那么就认为接口运行正常；如果没有任何流量收到，那么就向第二个设备发送ARP请求，如果仍没有流量收到，那么就进行pingtest；
广播Ping测试——设备发出ping包，然后开始计数5秒内收到的包，如果5秒内收到了ping响应包，那么认为接口正常并停止测试；如果以上测试都失败，那么该接口就failover，就发生failover；
以下实验，拓扑如下：
说明：图中连接ISP和Inside的路由器的交换机要划分出几个vlan，具体可参照图中。
两个物理防火墙ASA-1，和ASA-2，分别在每个防火墙上虚拟出两个子防火墙c1和c2。每个子防火墙关联物理防火墙的两个物理接口。
两个物理防火墙的Gi 4和Gi 5口分别做FO链路口和Stateful链路口。
ISP和Inside路由器和两个PC的IP如下（PC的IP自动获得，在Inside路由
PC1发起的流量全部经过c1子防火墙nat出去；
PC2发起的流量全部经过c2子防火墙nat出去；
两个物理防火墙做高可用性FO，当一个物理设备防火墙或者一个failover 组有故障的时候，流量全部转移到另一个物理防火墙的的failover组。
配置：
1. Inside 路由器做DHCP Server并且抓取相应的源做PBR。
#ipdhcp pool 1
network 10.1.1.0 255.255.255.0
default-router 10.1.1.254
#ipdhcp pool 2
network 10.1.2.0 255.255.255.0
default-router 10.1.2.254
#access-list 101 permit ip 10.1.1.0 0.0.0.255 any
#route-map 1 permit 10
matchip address 101
setip next-hop 192.168.1.10
（抓取源地址，并设定它的下一跳是192.168.1.10）
#interface FastEthernet0/0
ip address 10.1.1.254 255.255.255.0
ip policy route-map 1（接口调用）
#interface FastEthernet0/1
ip address 10.1.2.254 255.255.255.0
#interface FastEthernet1/0
ip address 192.168.1.1 255.255.255.0
#interface FastEthernet2/0
ip address 192.168.2.1 255.255.255.0
#ip route 0.0.0.0 0.0.0.0 192.168.2.10（其他走默认路由）
ISP路由器的配置：
#interface FastEthernet1/0
ip address 200.100.1.1 255.255.255.0
#interface FastEthernet2/0
ip address 200.100.2.1 255.255.255.0
#ip route 10.1.1.0 255.255.255.0 200.100.1.10
#ip route 10.1.2.0 255.255.255.0 200.100.2.10
2. ASA的FO和状态化链路配置
ASA-1:
#mode multiple （切换防火墙到多模式，才可以配置虚拟子防火墙）#interface GigabitEthernet0（将所有要关联到子防火墙的接口no no shutdown shutdown，这里只列举一个）#failover group 1 （配置failover 组1）
primary（组1在primary物理设备为上开启抢占功能，优先成active.
preempt当发生failover，原来由active状态变为standby状态，若此时将failover组或者设备变为正常，primary设备上的加入到组1的子防火墙抢占变为active（这里是c1）。最多创建两个failover group）
#failover group 2
secondary（组2在secondary的物理设备上开启抢占功能，优先
preempt成为active）
#admin-context admin（配置管理子防火墙，后面的admin可随便写，admin-context意思是创建管理子防火墙）
#context admin（进入admin子防火墙配置）
config-url disk0:/admin.cfg（配置文件存储目录）
#context c1（配置子防火墙，命令名c1）
config-url disk0:/c1.cfg（配置文件储存目录）
allocate-interface GigabitEthernet0 （关联物理接口G0.G1到子墙，这样在子墙里才能看到有接口，下同）
allocate-interface GigabitEthernet1
join-failover-group 1 （将c1子墙加入到failover group 1）#context c2 （配置子防火墙，命令为c2）
config-url disk0:/c2.cfg（配置c2子墙的文件储存目录）
allocate-interface GigabitEthernet2（关联物理接口到子墙）
allocate-interface GigabitEthernet3
join-failover-group 2 （将c2子墙加入到failover group 2）#failover lan interface FO gigabitethernet4 （设定gi4物理接口为FO
接口，并且命名为FO（名称随便写））
#failover interface ip FO 172.16.1.1 255.255.255.0 standby 172.16.1.2（配置FO链路IP address）
#failover link Stateful GigabitEthernet5 （设定gi5接品为状态化链路接口，命名为Stateful）
#failover interface ip Stateful 172.16.2.1 255.255.255.0 standby 172.16.2.2（配置状态化链路ip address）
#failover lan unit primary （配置此物理设备为primary）
#failover key 123456 （可选，配置failover认证密码，）
#failover（开启failover功能）
以上为ASA-1物理设备上的配置。接下来配置ASA-2物理设备上的FO,只需
要配置failover相关内容，其他会自动从ASA-1上同步。
ASA-2配置：
#show model（查看防火墙是在多模式下还是单模式下）
#mode multiple （改变防火墙到多模式下工作）
#failoverlan interface FO gigabitethernet4
#failover interface ip FO 172.16.1.1 255.255.255.0 standby 172.16.1.2
#failover link Stateful GigabitEthernet5
#failover interface ip Stateful 172.16.2.1 255.255.255.0 standby 172.16.2.2
#failover lanunit secondary
#failover key 123456
#failover
ASA-2配置完成，完成这些步骤后，两台ASA开始选举各自的Active还是Standby。选举完成后ASA-1的c1子墙成为Active状态，c2子墙成为Standby状态，ASA-2的c1子墙成为Standby状态，c2子墙成为Active状态。所有的配置将在Active角色的子墙上配置，Standby状态的子墙只能查看配置和同步Active的配置，并检测Active健康状态，做好切换的准备。
当FO的连接线出现故障的时候，则此时两个ASA的两个子防火墙c1和c2都为Active。
在ASA-1上#show failover
This host: Primary
Group 1 State: Active
Active time: 297 (sec)
Group 2 State: Active
Active time: 6 (sec)
Other host: Secondary
Group 1 State: Failed
Active time: 169 (sec)
Group 2 State: Failed
Active time: 455 (sec)
在ASA-2上#show failover
This host: Secondary
Group 1 State: Active
Active time: 197 (sec)
Group 2 State: Active
Active time: 498 (sec)
Other host: Primary
Group 1 State: Failed
Active time: 276 (sec)
Group 2 State: Failed
Active time: 0 (sec)
当FO链路恢复正常时再通过抢占恢复各自的是active还是standby。
3. 配置c1，c2子防火墙的IP和路由，均要在处于Active状态的子防火墙上配置，处于Standby状态的不能做任何配置。
ASA-1(config)# prompt hostname priority state context（修改“#”前
面的显示字符，在物理设备下配置，这样便于查看）
#changeto context c1（切换到c1子防火墙进行配置）
#interface GigabitEthernet0
nameif Inside
security-level 100
ip address 192.168.1.10 255.255.255.0 standby 192.168.1.20 #interface GigabitEthernet1
nameif Outside
security-level 0
ip address 200.100.1.10 255.255.255.0 standby 200.100.1.20 #object network net1
subnet 10.1.1.0 255.255.255.0
nat (Inside,Outside) dynamic 200.100.1.100 （做NAT转换，将内部网络为10.1.1.0/24的主机要访问外部转换为200.100.1.100这个IP，且是PAT转换）
#route Inside 10.1.1.0 255.255.255.0 192.168.1.1 （通往内部网络10.1.1.0/24的路由）
在另外一台FO设备上：
#changeto context c2 （切换到c2防火墙进行配置）
#interface GigabitEthernet2
nameif Inside
security-level 100
ip address 192.168.2.10 255.255.255.0 standby 192.168.2.20
#interface GigabitEthernet3
nameif Outside
security-level 0
ip address 200.100.2.10 255.255.255.0 standby 200.100.2.20
#object network net2
subnet 10.1.2.0 255.255.255.0
nat (Inside,Outside) dynamic 200.100.2.100 （做PAT地址转换）
#route Inside 10.1.2.0 255.255.255.0 192.168.2.1 （通往内部网络10.1.2.0/24的路由）
以上配置完成后，我们来看两个客户端PC1和PC2去访问Outside的路由器ISP，用telnet测试，看是否能正常telnet上去。
在PC1上telnet 200.100.1.1
在PC2上telnet 200.100.2.1：
均可以正常访问外部路由器。那么如何知道负载分担的情况？我们来测试一下。
4. 在PC上用tracert来测试路由。
在c1子防火墙上配置：ASA防火墙默认的接口IP不出现tracert中，所以要做如下配置，让asa的接口IP在tracert过程中显示出来。
#access-list 101 extended permit udp 10.1.1.0 255.255.255.0 any gt 33433 （tracert用的端口是UDP大于33433的端口，需要特别放行）
#access-list 101 extended permit ip 10.1.1.0 255.255.255.0 any （这里只做测试，范围放在很大）
#class-map tracert
match access-list 101
#policy-map global_policy
class tracert
set connection decrement-ttl
#access-group 101 in interface Inside
在PC1上查看：
同样在c2子防火墙上配置
#access-list tra extended permit udp any any gt 33433
#access-list tra extended permit ip any any
#access-group tra in interface Inside
#class-map tracert
match access-list tra
# policy-map global_policy
class tracert
set connection decrement-ttl
在PC2上查看：
测试FO切换，将上面拓扑的Fa0/13口shutdown
在Primary设备上查看
#show failover
This host: Primary
Group 1 State: Failed （为failed，原为Active）
Active time: 11724 (sec)
Group 2 State: Standby Ready
Active time: 1083 (sec)
c1 Interface Outside (200.100.1.20): Failed (Waiting)
c1 Interface Inside (192.168.1.20): Normal (Waiting)
c2 Interface Inside (192.168.2.20): Normal (Monitored)
c2 Interface Outside (200.100.2.20): Normal (Monitored) Other host: Secondary
Group 1 State: Active （为Active，原为Standby）Active time: 1752 (sec)
Group 2 State: Active
Active time: 12400 (sec)
FO切换成功。再将Fa0/13端口no shutdown
This host: Primary
Group 1 State: Active （又变为active状态）
Active time: 11734 (sec)
Group 2 State: Standby Ready
Active time: 1083 (sec)
c1 Interface Outside (200.100.1.10): Normal (Waiting)
c1 Interface Inside (192.168.1.10): Normal (Waiting)
c2 Interface Inside (192.168.2.20): Normal (Monitored)
c2 Interface Outside (200.100.2.20): Normal (Monitored) Other host: Secondary
Group 1 State: Standby Ready （又变为standby状态）Active time: 1952 (sec)
Group 2 State: Active
Active time: 12610 (sec)
以上FO配置完成！
Oracle数据库连接的failover配置
Failover的连接配置 刘伟 以下内容参考了官方文档。这里的failover，是指应用发起一个数据库连接以后，如果工作过程中该连接所连到的实例发生了故障，连接可以自动切换到正常节点，从而最小化对业务的影响。 根据Oracle的介绍，我们有两种连接方式可以实现数据库连接的failover: TAF和FCF 1. TAF TAF的全称是Transparent Application Failover，即透明应用故障切换。 按照官方文档的描述，TAF让Oracle Net将一个失效的连接从故障点转移到另一个监听上，用户能使用这个新的连接来继续未完成的工作。 TAF可以配置为使用client端的(Transparent Network Substrate)TNS连接字符串来连接，或者使用server端的服务。如果两种方式同时使用，则使用server端的服务配置。 TAF可以工作在两种模式下：session failover和select failover。前者在failover时会重建失败的连接，后者则能够继续进程中未完成的查询(如果failover前一个session正在从一个游标中获取数据，则新的session将在相同的snapshot下重新运行select语句，并返回余下的行)。如果failover时，session执行了DML操作且未提交，则failover后，若不执行rollback 回滚而执行新的操作，将会收到一条错误信息ORA-25402: transaction must roll back TAF在dataguard中使用，可以自动进行failover 一个典型的使用了TAF的TNS连接串如下： NEWSDB = (DESCRIPTION = (ADDRESS = (PROTOCOL = TCP)(HOST = rac1-vip)(PORT = 1521)) (ADDRESS = (PROTOCOL = TCP)(HOST = rac2-vip)(PORT = 1521)) (LOAD_BALANCE = yes) (CONNECT_DATA = (SERVER = DEDICATED) (SERVICE_NAME = dyora) (FAILOVER_MODE = (TYPE = SELECT) (METHOD = BASIC) (RETRIES = 180) (DELAY = 5) ) ) )
华三华为交换机路由器配置常用命令汇总定稿版
华三华为交换机路由器 配置常用命令汇总 HUA system office room 【HUA16H-TTMS2A-HUAS8Q8-HUAH1688】
H3C交换机配置命令大全1、system-view 进入系统视图模式 2、sysname 为设备命名 3、display current-configuration 当前配置情况 4、 language-mode Chinese|English 中英文切换 5、interface Ethernet 1/0/1 进入以太网端口视图 6、 port link-type Access|Trunk|Hybrid 设置端口访问模式 7、 undo shutdown 打开以太网端口 8、 shutdown 关闭以太网端口
9、 quit 退出当前视图模式 10、 vlan 10 创建VLAN 10并进入VLAN 10的视图模式 11、 port access vlan 10 在端口模式下将当前端口加入到vlan 10中 12、port E1/0/2 to E1/0/5 在VLAN模式下将指定端口加入到当前vlan中 13、port trunk permit vlan all 允许所有的vlan通过 H3C路由器配置命令大全华为交换机常用配置实例 H3C交换机路由器telnet和console口登录配置 2009年11月09日星期一 10:00
级别说明 Level 名称 命令 参观 ping、tracert、telnet 1 监控 display、debugging 2 配置 所有配置命令（管理级的命令除外）
实验三 交换机配置方式及基本命令的熟悉文档
实验三交换机配置方式及基本命令的熟悉 【实验目的】 通过对交换机设备的几种配置手段、配置模式和基本配置命令的认识，获得交换机的基本使用能力。 【实验任务】 1、认识交换机的配置方式。 2、按照给出的参考拓扑图构建逻辑拓扑图。 3、按照给出的配置参数表配置各个设备。 4、练习交换机的一些基本命令。 建议实验学时：2学时。 【实验背景】 在前面的实验中我们已经接触了Cisco的路由器运行的Cisco互联网络操作系统（ISO，Internetwork Operating System）,熟悉了Cisco IOS软件内置的命令行界面（CLI，command-line interface）。同样，交换机可以通过一个菜单驱动程序的界面，或者通过命令行界面（CLI），或者在交换机配置了IP地址后通过Telnet远程登录、web登录的方式对交换机来进行配置。 交换机除了可以通过Console端口与计算机直接连接外，还可以通过交换机的普通端口进行连接。如果是堆叠型的，也可以把几台交换机一起进行配置，因为实际上这个时候它们是一个整体，这时通过普通端口对交换机进行管理时，就不再使用超级终端了，而是以Telnet 虚拟终端或Web浏览器的方式实现与被管理交换机的通信。前提是在本地配置方式中已为交换机配置好了IP地址，我们可通过IP地址与交换机进行通信，不过要注意，只有是网管型的交换机才具有这种管理功能。实际上最常用的Catalyst交换机OS被称为Catalyst OS、CatOS,其最大的特点是基于set 命令。但我们常用的是与路由器的IOS相类似的基于IOS 的Catalyst OS。下面简单介绍交换机的各种命令模式以及各种常用的命令。 表4.1交换机的各种命令模式的访问方式、提示符、退出方法及其描述
天融信版本防火墙常用功能配置手册v
天融信版本防火墙常用功能配置手册 北京天融信南京分公司 2008年5月
目录
一、前言 我们制作本安装手册的目的是使工程技术人员在配置天融信网络卫士防火墙（在本安装手册中简称为“天融信防火墙”）时，可以通过此安装手册完成对天融信防火墙基本功能的实现和应用。 二、天融信版本防火墙配置概述 天融信防火墙作为专业的网络安全设备，可以支持各种复杂网络环境中的网络安全应用需求。在配置天融信防火墙之前我们通常需要先了解用户现有网络的规划情况和用户对防火墙配置及实现功能的诸多要求，建议参照以下思路和步骤对天融信防火墙进行配置和管理。 1、根据网络环境考虑防火墙部署模式（路由模式、透明模式、混合模式），根据确定好的防火墙的工作模式给防火墙分配合理的IP地址。 2、防火墙接口IP配置 3、区域和缺省访问权限配置 4、防火墙管理权限配置 5、路由表配置 6、定义对象（地址对象、服务对象、时间对象） 7、制定地址转换策略（包括四种地址转换策略：源地址转换、目的地址转换、双向转换、不做转换） 8、制定访问控制策略 9、其他特殊应用配置 10、配置保存 11、配置文件备份 ?提示：每次修改配置前，建议首先备份防火墙再修改配置，避免防火墙配置不当造成网络长时间中断。
三、天融信防火墙一些基本概念 接口：和防火墙的物理端口一一对应，如Eth0、Eth1 等。 区域：可以把区域看作是一段具有相似安全属性的网络空间。在区域的划分上，防火墙的区域和接口并不是一一对应的，也就是说一个区域可以包括多个接口。在安装防火墙前，首先要对整个受控网络进行分析，并根据网络设备，如主机、服务器等所需要的安全保护等级来划分区域。 对象:防火墙大多数的功能配置都是基于对象的。如访问控制策略、地址转换策略、服务器负载均衡策略、认证管理等。可以说，定义各种类型的对象是管理员在对防火墙进行配置前首先要做的工作之一。对象概念的使用大大简化了管理员对防火墙的管理工作。当某个对象的属性发生变化时，管理员只需要修改对象本身的属性即可，而无需修改所有涉及到这个对象的策略或规则。防火墙中，用户可定义的对象类型包括：区域、地址、地址组、服务、服务组、以及时间等。 ?提示：对象名称不允许出现的特殊字符：空格、“'”、“"”、“\”、“/”、“;”、“"”、“$”、“&”、“<”、“>”、“#”、“+”。 ?提示：防火墙所有需要引用对象的配置，请先定义对象，才能引用。四、防火墙管理 防火墙缺省管理接口为eth0口，管理地址为，缺省登录管理员帐号：用户名superman，口令talent。 防火墙出厂配置如下：
Cisco ASA5505防火墙详细配置教程及实际配置案例
Cisco ASA5505防火墙详细配置教程及实际配置案例 interface Vlan2 nameif outside ----------------------------------------对端口命名外端口security-level 0 ----------------------------------------设置端口等级 ip address X.X.X.X 255.255.255.224 --------------------调试外网地址! interface Vlan3 nameif inside ----------------------------------------对端口命名内端口 security-level 100 ----------------------------------------调试外网地址ip address 192.168.1.1 255.255.255.0 --------------------设置端口等级! interface Ethernet0/0 switchport access vlan 2 ----------------------------------------设置端口VLAN与VLAN2绑定 ! interface Ethernet0/1 switchport access vlan 3 ----------------------------------------设置端口VLAN与VLAN3绑定 ! interface Ethernet0/2 shutdown ! interface Ethernet0/3 shutdown ! interface Ethernet0/4 shutdown ! interface Ethernet0/5 shutdown ! interface Ethernet0/6 shutdown ! interface Ethernet0/7 shutdown ! passwd 2KFQnbNIdI.2KYOU encrypted ftp mode passive dns domain-lookup inside dns server-group DefaultDNS
配置H3C交换机常用命令
H3C交换机常用步骤和命令 1.进入命令行sys 2.给交换机命名: sysname fuwuqi2 3.创建所属vlan: vlan 114 4.描述vlan 114 及分配情况: description fuwuqi2 5.把24个口划分到vlan114中: port e 1/0/1 to e 1/0/24 6.退出: quit 7.进入vlan 114: vlan 114 8.查看千兆口信息: dis int g 9.把25,26两个千兆口加到vlan 114中: port g 1/0/25 to g 1/0/26 10.退出: quit 11.进入vlan114 : int vlan 114 12.查看本接口信息dis this 13.退出quit 14.进入vlan 114虚接口下（可以配置管理地址）：interface vlan-interface 114 15.配置管理地址ip address 111.115.76.98 27 16.查看信息dis this 17.退出quit 18.配置默认路由ip route-static 0.0.0.0 0.0.0.0 111.115.76.97（分别是目 的地址子网掩码网关） 19.建立一个登陆交换机的用户名local-user fuwuqi2 20.设置登陆密码password cipher fuwuqi2_2918 21.设置用户管理等级0-3,3是超级管理员authorization-attribute level 3 22.设置用“telnet”方式登陆service-type telnet 23.退出quit 24.打开telnet服务telnet server enable 25.设置0-5共6个用户可同时远程登陆user-interface vty 0 5 26.设置用户登陆方式，scheme是用户名+密码authentication-mode scheme 27.查看当前配置信息dis this 28.查看当前所有配置dis cur 29.保存配置信息save 30.查看交换机上有哪些VLAN dis vlan 31.查看各交换机端口状态及vlan情况: dis brief int 32.将某个端口加入到某个vlan中：sys Vlan 111 Port eth 1/0/1 33.查看当前各端口流量情况: dis int 34.查看交换机上mac地址：dis mac-address 物理地址 35.查看CPU占用：dis cup 36.静态IP与MAC地址绑定(不与端口绑定）： sys arp static 192.168.11.204 0005-5d02-f2b3 查询：dis arp 192.168.11.204 取消：undo arp 192.168.11.204
防火墙配置中必备的六个主要命令解析
防火墙配置中必备的六个主要命令解析 防火墙的基本功能，是通过六个命令来完成的。一般情况下，除非有特殊的安全需求，这个六个命令基本上可以搞定防火墙的配置。下面笔者就结合CISCO的防火墙，来谈谈防火墙的基本配置，希望能够给大家一点参考。 第一个命令：interface Interface是防火墙配置中最基本的命令之一，他主要的功能就是开启关闭接口、配置接口的速度、对接口进行命名等等。在买来防火墙的时候，防火墙的各个端都都是关闭的，所以，防火墙买来后，若不进行任何的配置，防止在企业的网络上，则防火墙根本无法工作，而且，还会导致企业网络不同。 1、配置接口速度 在防火墙中，配置接口速度的方法有两种，一种是手工配置，另外一种是自动配置。手工配置就是需要用户手工的指定防火墙接口的通信速度;而自动配置的话，则是指防火墙接口会自动根据所连接的设备，来决定所需要的通信速度。 如：interface ethernet0 auto --为接口配置“自动设置连接速度” Interface ethernet2 100ful --为接口2手工指定连接速度，100MBIT/S。 这里，参数ethernet0或者etnernet2则表示防火墙的接口，而后面的参数表示具体的速度。 笔者建议 在配置接口速度的时候，要注意两个问题。 一是若采用手工指定接口速度的话，则指定的速度必须跟他所连接的设备的速度相同，否则的话，会出现一些意外的错误。如在防火墙上，若连接了一个交换机的话，则交换机的端口速度必须跟防火墙这里设置的速度相匹配。 二是虽然防火墙提供了自动设置接口速度的功能，不过，在实际工作中，作者还是不建议大家采用这个功能。因为这个自动配置接口速度，会影响防火墙的性能。而且，其有时候也会判断失误，给网络造成通信故障。所以，在一般情况下，无论是笔者，还是思科的官方资料，都建议大家采用手工配置接口速度。 2、关闭与开启接口 防火墙上有多个接口，为了安全起见，打开的接口不用的话，则需要及时的进行关闭。一般可用shutdown命令来关闭防火墙的接口。但是这里跟思科的IOS 软件有一个不同，就是如果要打开这个接口的话，则不用采用no shutdown命令。在防火墙的配置命令中，没有这一条。而应该采用不带参数的shutdown命令，来把一个接口设置为管理模式。
路由器配置常用命令汇总
Access-enable允许路由器在动态访问列表中创建临时访问列表入口 Access-group把访问控制列表(ACL)应用到接口上 Access-list定义一个标准的IP ACL Access-template在连接的路由器上手动替换临时访问列表入口 Appn向APPN子系统发送命令 Atmsig执行ATM信令命令 B 手动引导操作系统 Bandwidth 设置接口的带宽 Banner motd 指定日期信息标语 Bfe 设置突发事件手册模式 Boot system 指定路由器启动时加载的系统映像 Calendar 设置硬件日历 Cd 更改路径 Cdp enable 允许接口运行CDP协议 Clear 复位功能 Clear counters 清除接口计数器 Clear interface 重新启动接口上的件逻辑 Clockrate 设置串口硬件连接的时钟速率，如网络接口模块和接口处理器能接受的速率Cmt 开启/关闭FDDI连接管理功能 Config-register 修改配置寄存器设置 Configure 允许进入存在的配置模式，在中心站点上维护并保存配置信息 Configure memory 从NVRAM加载配置信息 Configure terminal 从终端进行手动配置 Connect 打开一个终端连接
Copy 复制配置或映像数据 Copy flash tftp 备份系统映像文件到TFTP服务器 Copy running-config startup-config 将RAM中的当前配置存储到NVRAM Copy running-config tftp 将RAM中的当前配置存储到网络TFTP服务器上 Copy tftp flash 从TFTP服务器上下载新映像到Flash Copy tftp running-config 从TFTP服务器上下载配置文件 Debug 使用调试功能 Debug dialer 显示接口在拨什么号及诸如此类的信息 Debug ip rip 显示RIP路由选择更新数据 Debug ipx routing activity 显示关于路由选择协议(RIP)更新数据包的信息 Debug ipx sap 显示关于SAP（业务通告协议）更新数据包信息 Debug isdn q921 显示在路由器D通道ISDN接口上发生的数据链路层（第2层）的访问过程 Debug ppp 显示在实施PPP中发生的业务和交换信息 Delete 删除文件 Deny 为一个已命名的IP ACL设置条件 Dialer idle-timeout 规定线路断开前的空闲时间的长度 Dialer map 设置一个串行接口来呼叫一个或多个地点 Dialer wait-for-carrier-time 规定花多长时间等待一个载体 Dialer-group 通过对属于一个特定拨号组的接口进行配置来访问控制 Dialer-list protocol 定义一个数字数据接受器（DDR）拨号表以通过协议或ACL与协议的组合来控制控制拨号 Dir 显示给定设备上的文件 Disable 关闭特许模式 Disconnect 断开已建立的连接
华为交换机常用命令配置介绍
华为交换机配置命令 华为QuidWay交换机配置命令手册： 1、开始 建立本地配置环境，将主机的串口通过配置电缆与以太网交换机的Console口连接。 在主机上运行终端仿真程序（如Windows的超级终端等），设置终端通信参数为：波特率为9600bit/s、8位数据位、1位停止位、无校验和无流控，并选择终端类型为VT100。 以太网交换机上电，终端上显示以太网交换机自检信息，自检结束后提示用户键入回车，之后将出现命令行提示符（如
实验：防火墙基本配置
实验七交换机基本配置 一、实验目的 （1）使用R2611模块化路由器进行网络安全策略配置学习使用路由器进行初步的网络运行配置和网络管理，行能根据需要进行简单网络的规划和设计。 实验设备与器材 熟悉交换机开机界面； （2）掌握Quidway S系列中低端交换机几种常用配置方法； （3）掌握Quidway S系列中低端交换机基本配置命令。 二、实验环境 Quidway R2611模块化路由器、交换机、Console配置线缆、双绞线、PC。 交换机，标准Console配置线。 三、实验内容 学习使用Quidway R2611模块化路由器的访问控制列表（ACL）进行防火墙实验。 预备知识 1、防火墙 防火墙作为Internet访问控制的基本技术，其主要作用是监视和过滤通过它的数据包，根据自身所配置的访问控制策略决定该包应当被转发还是应当被抛弃，以拒绝非法用户访问网络并保障合法用户正常工作。 2、包过滤技术 一般情况下，包过滤是指对转发IP数据包的过滤。对路由器需要转发的数据包，先获取包头信息，包括IP层所承载的上层协议的协议号、数据包的源地址、目的地址、源端口号和目的端口号等，然后与设定的规则进行比较，根据比较的结果对数据包进行转发或者丢弃。 3、访问控制列表 路由器为了过滤数据包，需要配置一系列的规则，以决定什么样的数据包能够通过，这些规则就是通过访问控制列表ACL（Access Control List）定义的。
访问控制列表是由permit | deny语句组成的一系列有顺序的规则，这些规则根据数据包的源地址、目的地址、端口号等来描述。ACL通过这些规则对数据包进行分类，这些规则应用到路由器接口上，路由器根据这些规则判断哪些数据包可以接收，哪些数据包需要拒绝。 访问控制列表(Access Control List )的作用 访问控制列表可以用于防火墙； 访问控制列表可用于Qos（Quality of Service），对数据流量进行控制； 访问控制列表还可以用于地址转换； 在配置路由策略时，可以利用访问控制列表来作路由信息的过滤。 一个IP数据包如下图所示（图中IP所承载的上层协议为TCP） ACL示意图 ACL的分类 按照访问控制列表的用途，可以分为四类： ●基本的访问控制列表（basic acl） ●高级的访问控制列表（advanced acl） ●基于接口的访问控制列表（interface-based acl） ●基于MAC的访问控制列表（mac-based acl） 访问控制列表的使用用途是依靠数字的范围来指定的，1000～1999是基于接口的访问控制列表，2000～2999范围的数字型访问控制列表是基本的访问控制列表，3000～3999范围的数字型访问控制列表是高级的访问控制列表，4000～4999范围的数字型访问控制列表是基于MAC地址访问控制列表。 4、防火墙的配置项目 防火墙的配置包括：
ASA双主Failover配置操作
ASA Active/Acitve FO 注：以下理论部分摘自百度文库： ASA状态化的FO配置，要在物理设备起用多模式，必须创建子防火墙。在每个物理设备上配置两个Failover组（failover group），且最多配置两个。 Failover特性是Cisco安全产品高可用性的一个解决方案，目的是为了提供不间断的服务，当主设备down掉的时候，备用设备能够马上接管主设备的工作，进而保持通信的连通性；Failover配置要求两个进行Failover的设备通过专用的failover线缆和可选的Stateful Failover线缆互相连接；活动设备的接口被monitor，用于发现是否要进行Failover切换Failover分为failover和Stateful Failover，即故障切换和带状态的故障切换。 不带状态的failover在进行切换的时候，所有活动的连接信息都会丢失，所有Client都需要重新建立连接信息，那么这会导致流量的间断。 带状态的failover，主设备将配置信息拷贝给备用设备的同时，也会把自己的连接状态信息拷贝给备用设备，那么当主的设备down的时候，由于备用设备上保存有连接信息，因此Client不需要重新建立连接，那么也就不会导致流量的中断。 Failover link 两个failover设备频繁的在failover link上进行通信，进而检测对等体的状态。以下信息是通过failover link通信的信息： ●设备状态（active or standby）； ●电源状态（只用于基于线缆的failover；） ●Hello messages （keep-alives）； ●Network link 状态； ●MAC地址交换； ●配置的复制和同步； （Note ：所有通过failover 和stateful failover线缆的信息都是以明文传送的，除非你使用failover key来对信息进行加密；） Stateful link 在stateful link上，拷贝给备用设备的连接状态信息有： ●NAT 转换表； ●TCP连接状态； ●UDP连接状态； ●ARP表 ●2层转发表（运行在透明模式的时候） ●HTTP连接状态信息（如果启用了HTTP复制） ●ISAKMP和IPSec SA表 ●GTP PDP连接数据库 以下信息不会拷贝给备用设备： ●HTTP连接状态信息（除非启用了HTTP复制） ●用户认证表（uauth） ●路由表
路由器常用命令
cisco路由器常用命令 1：三大模式 router> 用户模式 router > enable 进入特权模式 router # router > enable 进入全局配置模式 router #configure terminal router (conf)# 2：其它模式 Router(config)#interface f1/0 进入接口配置模式Router(config-if)# Router(config)#interface f1/0.1 进入子接口配置模式Router(config-subif)# Router(config)#line console 0 进入line模式Router(config-line)# Router(config)#router rip 进入路由模式Router(config-router)# 3：路由器命名 hostname routera，以routerA为例 router > enable router #configure terminal router(conf)#hostname routerA routera (conf)# 4：配置各类密码 配置特权模式密码（使能口令） enable password cisco，以cisco为例 router > enable router #configure terminal router(conf)#hostname routerA routerA (conf)# enable password cisco 设置VTY(虚拟终端接口)密码 Router(config)#line vty 0 1
H C交换机常用配置命令
H3C交换机常用配置命令 一、用户配置
防火墙配置中必备的六个主要命令解析
防火墙配置中必备地六个主要命令解析 防火墙地基本功能，是通过六个命令来完成地.一般情况下，除非有特殊地安全需求，这个六个命令基本上可以搞定防火墙地配置.下面笔者就结合地防火墙，来谈谈防火墙地基本配置，希望能够给大家一点参考. 第一个命令： 是防火墙配置中最基本地命令之一，他主要地功能就是开启关闭接口、配置接口地速度、对接口进行命名等等.在买来防火墙地时候，防火墙地各个端都都是关闭地，所以，防火墙买来后，若不进行任何地配置，防止在企业地网络上，则防火墙根本无法工作，而且，还会导致企业网络不同.文档来自于网络搜索 、配置接口速度 在防火墙中，配置接口速度地方法有两种，一种是手工配置，另外一种是自动配置.手工配置就是需要用户手工地指定防火墙接口地通信速度;而自动配置地话，则是指防火墙接口会自动根据所连接地设备，来决定所需要地通信速度.文档来自于网络搜索如：为接口配置“自动设置连接速度” 为接口手工指定连接速度，.文档来自于网络搜索 这里，参数或者则表示防火墙地接口，而后面地参数表示具体地速度. 笔者建议 在配置接口速度地时候，要注意两个问题. 一是若采用手工指定接口速度地话，则指定地速度必须跟他所连接地设备地速度相同，否则地话，会出现一些意外地错误.如在防火墙上，若连接了一个交换机地话，则交换机地端口速度必须跟防火墙这里设置地速度相匹配.文档来自于网络搜索 二是虽然防火墙提供了自动设置接口速度地功能，不过，在实际工作中，作者还是不建议大家采用这个功能.因为这个自动配置接口速度，会影响防火墙地性能.而且，其有时候也会判断失误，给网络造成通信故障.所以，在一般情况下，无论是笔者，还是思科地官方资料，都建议大家采用手工配置接口速度.文档来自于网络搜索 、关闭与开启接口 防火墙上有多个接口，为了安全起见，打开地接口不用地话，则需要及时地进行关闭.一般可用命令来关闭防火墙地接口.但是这里跟思科地软件有一个不同，就是如果要打开这个接口地话，则不用采用命令.在防火墙地配置命令中，没有这一条.而应该采用不带参数地命令，来把一个接口设置为管理模式.文档来自于网络搜索 笔者建议 在防火墙配置地时候，不要把所有地接口都打开，需要用到几个接口，就打开几个接口.若把所有地接口都打开地话，会影响防火墙地运行效率，而且，对企业网络地安全也会有影响.或者说，他会降低防火墙对于企业网络地控制强度.文档来自于网络搜索第二个命令： 一般防火墙出厂地时候，思科也会为防火墙配置名字，如等等，也就是说，防火墙地物理位置跟接口地名字是相同地.但是，很明显，这对于我们地管理是不利地，我们不能够从名字直观地看到，这个接口到底是用来做什么地，是连接企业地内部网络接口，还是连接企业地外部网络接口.所以，网络管理员，希望能够重命令这个接口地名字，利用比较直观地名字来描述接口地用途，如利用命令来表示这个接口是用来连接外部网络;而利用命令来描述这个接口是用来连接内部网络.同时，在给端口进行命名地时候，还可以指定这个接口地安全等级.文档来自于网络搜索 命令基本格式如下
DHCP FAILOVER 细节
DHCP Failover的实现细节 RFC 2131的工作机制 RFC 2131定义了三种类型的服务器到服务器的信号：服务器租用同步信号、操作状态信号（问候包）及“我回来了”信号（主服务器从死机状态恢复）。 冗余DHCP服务器遵循RFC 2131 DHCP故障恢复草案通过服务器租用同步信号彼此交流租用信息。当两台服务器工作正常时，主、次服务器间会有连续的信息流。用来交流租用信息的信号有三种： 添加信号，当主服务器分发出一个新租约时，主服务器发送到次服务器的信号；刷新信号，当租约有变化时（如更新/扩充），每台服务器发送的信号； 删除信号，当租约期满，地址又成为可用的了，服务器发送的信号。 在所有情况下，接收方服务器以肯定或否定的认可信号来响应。这些信号只有在请求DHCP客户处理完毕后才发送给另一台服务器。 除了维护当前的租用信息数据库外，次服务器还必须留意主服务器，以便得知何时取代租用的分发。这一功能由监视两台服务器的TCP连接来实现。次服务器使用三个标准以确定它和主服务器的连接是否满意： 1.必须能建立TCP连接； 2.必须接收到主服务器发送的连接信号，并以连接认可响应； 3.必须接收到主服务器发出的状态信号，用它来确定自己的操作状态。 failover协议允许两台DHCP服务器（不能多于2台）共享一个公共的地址池。在任何时刻，每台服务器都拥有地址池中一半的可用地址用来分配给客户端。如果其中一台服务器失效，另一台服务器在与失效的服务器通讯之前会继续从池中renew地址，并且会从它拥有的那一半可用地址中分发新地址给客户端。 如果一台服务器启动时没有预先通知它的failover伙伴, 那么在它对外提供服务以前必须与failover伙伴建立通讯，并且进行同步。这个过程当你首次
华三华为交换机-路由器配置常用命令汇总
H3C交换机配置命令大全 1、system-view 进入系统视图模式 2、sysname 为设备命名 3、display current-configuration 当前配置情况 4、language-mode Chinese|English 中英文切换 5、interface Ethernet 1/0/1 进入以太网端口视图 6、port link-type Access|Trunk|Hybrid 设置端口访问模式 7、undo shutdown 打开以太网端口 8、shutdown 关闭以太网端口 9、quit 退出当前视图模式 10、vlan 10 创建VLAN 10并进入VLAN 10的视图模式 11、port access vlan 10 在端口模式下将当前端口加入到vlan 10中 12、port E1/0/2 to E1/0/5 在VLAN模式下将指定端口加入到当前vlan中 13、port trunk permit vlan all 允许所有的vlan通过 H3C路由器配置命令大全 1、system-view 进入系统视图模式 2、sysname R1 为设备命名为R1 3、display ip routing-table 显示当前路由表 4、language-mode Chinese|English 中英文切换 5、interface Ethernet 0/0 进入以太网端口视图 6、ip address 192.168.1.1 255.255.255.0 配置IP地址和子网掩码 7、undo shutdown 打开以太网端口 8、shutdown 关闭以太网端口
路由器防火墙基本命令手册
一、access-list 用于创建访问规则。 （1）创建标准访问列表 access-list [ normal | special ] listnumber1 { permit | deny } source-addr [ source-mask ] （2）创建<-- Script Filtered/n/n-->扩展访问列表 access-list [ normal | special ] listnumber2 { permit | deny } protocol source-addr source-mask [ operator port1 [ port2 ] ] dest-addr dest-mask [ operator port1 [ port2 ] | icmp-type [ icmp-code ] ] [ log ] （3）删除访问列表 no access-list { normal | special } { all | listnumber [ subitem ] } 【参数说明】 normal 指定规则加入普通时间段。 special 指定规则加入特殊时间段。 listnumber1 是1到99之间的一个数值，表示规则是标准访问列表规则。 listnumber2 是100到199之间的一个数值，表示规则是扩展访问列表规则。 permit 表明允许满足条件的报文通过。 deny 表明禁止满足条件的报文通过。 protocol 为协议类型，支持ICMP、TCP、UDP等，其它的协议也支持，此时没有端口比较的概念；为IP时有特殊含义，代表所有的IP协议。 source-addr 为源地址。 source-mask 为源地址通配位，在标准访问列表中是可选项，不输入则代表通配位为 0.0.0.0。 dest-addr 为目的地址。 dest-mask 为目的地址通配位。
CiscoASAFailover防火墙冗余
Failover Failover是思科防火墙一种高可用技术，能在防火墙发生故障时数秒内转移配置到另一台设备，使网络保持畅通，达到设备级冗余的目的。 原理 前提需要两台设备型号一样（型号、内存、接口等），通过一条链路连接到对端（这个连接也叫）。该技术用到的两台设备分为Active设备（Primary）和Stanby设备（Secondary）,这种冗余也可以叫AS模式。活跃机器处于在线工作状态，备用处于实时监控活跃设备是否正常。当主用设备发生故障后（接口down，设备断电），备用设备可及时替换，替换为Avtive的角色。Failover启用后，Primary 设备会同步配置文件文件到Secondary设备，这个时候也不能在Scondary添加配置，配置必须在Active进行。远程管理Failover设备时，登录的始终是active设备这一点一定要注意，可以通过命令（show failover）查看当时所登录的物理机器。目前启用failover技术不是所有状态化信息都可以同步，比如NAT转换需要再次建立。 配置Active设备： interface Ethernet0 nameif outside security-level 0 ip address standby //standby为备份设备地址
interface Ethernet1 nameif inside security-level 100 ip address standby ASA1(config)# failover lan unit primary //指定设备的角色主 ASA1(config)# failover lan interface failover Ethernet2 //Failover接口名，可自定义 ASA1(config)# failover link Fover Ethernet2//状态信息同步接口ASA1(config)# failover interface ip failover stan //配置Failover IP地址,该网段可使用私网地址 ASA1(config)# failover lan key xxxx //配置Failover 认证对端 ASA1(config)# failover //启用Failover；注意，此命令一定要先在Active上输入，否则会引起配置拷错； 将一个接口指定为failover 接口后，再show inter 的时候，该接口就显示为：interface Ethernet3 description LAN Failover Interface //确保接口up 配置standby设备： ASA2(config)# inte Ethernet3 ASA2(configif)# no shutdown ASA2(configif)# exit
- Cisco ASA 5505 防火墙常用配置案例
- Failover的切换以及注意事项的理解
- Cisco failover
- Cisco ASA5505防火墙详细配置教程及实际配置案例
- ESRP配置案例
- HA 配置的一个实例
- ASA Active Standby Failover实验
- SQL Server 2008故障转移集群+数据库镜像配置实例
- ASA配置failover实例
- DHCP FAILOVER 细节
- ASA FAILOVER实验配置
- ASA配置failover实例
- Cisco-ASA-Failover防火墙冗余
- Oracle数据库连接的failover配置
- ASA双主Failover配置操作
- ASA双主 Failover配置操作
- cisco asa 5520配置实例
- asa5520防火墙透明模式的配置例子
- 故障转移群集安装和配置
- ASA双主Failover配置操作