配置PIX Failover------基于LAN的Failover

配置基于LAN的Failover

　　从PixOS 6.2开始支持基于LAN的Failover，这样，就不再需要Fairover电缆了。基于LAN的Fairover突破了Failover的6英尺的距离限制。

　　注意　要配置基于LAN的Failover，每台PIX需要一个单独的以太接口，并且必须接在一台交换的交换机或一个单独的VLAN上。不能使用交叉线将两台PIX直接连接起来。

　　在基于LAN的Failover中，Fairover消息通过LAN进行传输，所有相关的安全性要低于基于Failover电缆的做法，在PIX os 6.2中提供了一种使用手工预先设置共享密码的加密与认证机制。

配置步骤：

　　第一步　在活动的PIX上面用Clock set命令设置时钟

　　第二步　将主、从PIX上除用于LAN Fairover以外的所有配置了IP地址的所有接口的网线都接好。

　　第三步　如果连接了Fairover电缆，把它给拨掉。

　　第四步　只配置主PIX.在主PIX上使用write mem命令时，配置会自动写到备用PIX的FLASH中。

注意　在系统提示可以打开备用Pix前，不要给备用PIX上电。

　　第五步　使用conf t命令进入配置模式

　　第六步　确认在配置的任何一个interface命令中都没有使用auto或1000auto选项，要查看interface命令，可以使用wr term。如果有使用auto选项的则需要重新输入。确认每条链路两端的。

注意　如果使用Stateful Failover,在使用一条交换线直接连接两台PIX时，一要要注意在interface命令中使用100full或1000sxfull选项，而且在Stateful Failover连接上的MTU一定要设置为1500或更大。

　　Stateful Failover所使用的接口卡的速度和总线速度必须大于等于工作中的其它接口的接口速度和总线速度，例如，inside和outside使用的安装在总线0上的PIX-1GE-66卡，则Failover连接必须也使用PIX-1GE-66卡，并安装在总线1上，在这种情况不，不能使用Pix-1GE或PIX-1FE的卡，也不能在总线2或使用一个更慢的卡共享总线1的。

　　第七步　在interface配置正确后使用clear xlate命令.

　　第八步　正确配置接口的IP地址。配置完后可以使用show ip address命令查看：

show ip address
System IP Addresses:
ip address outside 192.168.1.1 255.255.255.0
ip address inside 10.1.1.1 255.255.255.0
ip address intf2 192.168.2.1 255.255.255.0
ip address intf3 192.168.3.1 255.255.255.0
ip address 4th 172.16.1.1 255.255.255.0
Current IP Addresses:
ip address outside 192.168.1.1 255.255.255.0
ip address inside 10.1.1.1 255.255.255.0
ip address intf2 192.168.2.1 255.255.255.0
ip address intf3 192.168.3.1 255.255.255.0
ip address 4th 172.16.1.1 255.255.255.0

　　当主PIX处于活动状态时，Current IP Addresses和System IP Addresses相同，当主PIX得失效状态时，Current IP Addresses会变成备用PIX的IP地址.

　　第九步　在主PIX上使用failover命令启用Failover。

　　第十步　使用show failover验证状态，输出如下：

show failover
Failover On
Cable status: Other side powered off
Reconnect timeout 0:00:00
Poll frequency 15 seconds
This host: primary - Active
Active time: 225 (sec)
Interface 4th (172.16.1.1): Normal (Waiting)
Interface intf3 (192.168.3.1): Normal (Waiting)
Interface intf2 (192.168.2.1): Normal (Waiting)
Interface outside (192.168.1.1): Normal (Waiting)
Interface inside (10.1.1.1): Normal (Waiting)
Other host: secondary - Standby
Active time: 0 (sec)
Interface 4th (0.0.0.0): Unknown (Waiting)
Interface intf3 (0.0.0.0): Unknown (Waiting)
Interface intf2 (0.0.0.0): Unknown (Waiting)
Interface outside (0.0.0.0): Unknown (Waiting)
Interface inside (0.0.0.0): Unknown (Waiting)

show failover命令输出的cable状态可能有如下值:

My side not connected—标志着在使用show failover命令时failover电缆未正确连接。 Normal—标志主从pix都操作正常. Other side is not connected—标志对端未正确连接failover电缆。 Other side powered off—标志对端没开电。

　　在接口IP地址右边的标志有如下类型：

Failed—接口失效. Link Down—接口链路层协议 Normal—正常 Shut Down—该接口被手工停用了（在interfac命令中使用了shutown参数） Unknown—该接口未配置IP地 Waiting—还没有开始监视对端的接口状态。

　　第十一步　使用failover ip address命令声明备用PIX的每一个接口的地址，只需要在主pix上配置，该地址不能和主PIX的地址相当，但每一个接口的地址都可以在同一个子网内。如下例年示：

failover ip address inside 10.1.1.2
failover ip address outside 192.168.1.2
failover ip address intf2 192.168.2.2
failover ip address intf3 192.168.3.2
failover ip address 4th 172.16.1.2

　　配置后，再show failover的输出如下：

show failover
Failover On
Cable status: Other side powered off
Reconnect timeout 0:00:00
Poll frequency 15 seconds
This host: primary - Active
Active time: 510 (sec)
Interface 4th (172.16.1.1): Normal (Waiting)
Interface intf3 (192.168.3.1): Normal (Waiting)
Interface intf2 (192.168.2.1): Normal (Waiting)
Interface outside (192.168.1.1): Normal (Waiting)
Interface inside (10.1.1.1): Normal (Waiting)
Other host: secondary - Standby
Active time: 0 (sec)
Interface 4th (172.16.1.2): Unknown (Waiting)
Interface intf3 (192.168.3.2): Unknown (Waiting)
Interface intf2 (192.168.2.2): Unknown (Waiting)
Interface outside (192.168.1.2): Unknown (Waiting)
Interface inside (10.1.1.2): Unknown (Waiting)

　　第十二步　将用于LAN Fairover的接口接入网络，然后在主PIX上配置：

no failover
failover lan unit primary
failover lan interface intf3
failover lan key 1234567
failover lan enable
failover

　　第十三步　如果要配置Stateful Failover,使用failover link命令来定义要使用哪一个接口来传输状态信息，在本例中使用4th，命令如下：

　　failover link 4th

　　第十四步　启用Stateful Failover,show failover命令的输出如下：

show failover

Failover On
Cable status: Unknown
Reconnect timeout 0:00:00
Poll frequency 15 seconds
This host: primary - Active
Active time: 510 (sec)
Interface 4th (172.16.1.1): Normal (Waiting)
Interface intf2 (192.168.2.1): Normal (Waiting)
Interface outside (192.168.1.1): Normal (Waiting)
Interface inside (10.1.1.1): Normal (Waiting)
Other host: secondary - Standby
Active time: 0 (sec)
Interface 4th (172.16.1.2): Unknown (Waiting)
Interface intf2 (192.168.2.2): Unknown (Waiting)
Interface outside (192.168.1.2): Unknown (Waiting)
Interface inside (10.1.1.2): Unknown (Waiting)
Stateful Failover Logical Update Statistics
Link : 4th
Stateful Obj xmit xerr rcv rerr
General 0 0 0 0
sys cmd 0 0 0 0
up time 0 0 0 0
xlate 0 0 0 0
tcp conn 0 0 0 0
udp conn 0 0 0 0
ARP tbl 0 0 0 0
RIP Tbl 0 0 0 0
Logical Update Queue Information
Cur Max Total
Recv Q: 0 0 0
Xmit Q: 0 0 0
Lan Based Failover is Active
Interface intf3 (192.168.3.1): Normal, peer (192.168.3.2) Unknown

　　在"Stateful Failover Logical Update Statistics"一段中的各部分的意义如下：

Stateful Obj—PIX　stateful对象 xmit—传送到另一台设备的包数量 xerr—在传送过程中出现的错误包的数量 rcv—收以的包数量 rerr—收到的错误包的数量

　　每一行的状态对象定义如下:

General—所有的状态对象汇总 sys cmd—系统命令，例LOGIN和Stay Alive up time—启用时间 xlate—转换信息 tcp conn—CTCP连接信息 udp conn—动态UDP连接信息 ARP tbl—动态ARP表信息 RIF Tbl—动态路由表信息

　　第十五步　如果需要将轮询时间改得小于15秒，以保证正常工作，可以使用Failover poll seconds命令，缺省值为15秒，最小3秒，最大15秒。将轮询时间改小，会更快的检测到失效，但也也由于临时的拥塞和导致不必要的切换。

　　第十六步  在不接用于Fairover电缆的情况下打开备用pix电源，然后进行如下配置：

nameif ethernet3 intf3 security40
interface ethernet3 100full
ip address intf3 192.168.3.1 255.255.255.0
failover ip address intf3 192.168.3.2
failover lan unit secondary <--optional
failover lan interface intf3
failover lan key 1234567
failover lan enable
failover
wr mem
reload

　　第十七步　备用PIX启动后，将它上面用于做Failover的接口接入网络，然后使用show Failover命令验证Failover状态：

show failover

Failover On
Cable status: Unknown
Reconnect timeout 0:00:00
Poll frequency 15 seconds
This host: primary - Active
Active time: 510 (sec)
Interface 4th (172.16.1.1): Norml
Interface intf2 (192.168.2.1): Normal
Interface outside (192.168.1.1): Normal
Interface inside (10.1.1.1): Normal
Other host: secondary - Standby
Active time: 0 (sec)
Interface 4th (172.16.1.2): Normal
Interface intf2 (192.168.2.2): Normal
Interface outside (192.168.1.2): Normal
Interface inside (10.1.1.2): Normal
Stateful Failover Logical Update Statistics
Link : 4th
Stateful Obj xmit xerr rcv rerr
General 0 0 0 0
sys cmd 0 0 0 0
up time 0 0 0 0
xlate 0 0 0 0
tcp conn 0 0 0 0
udp conn 0 0 0 0
ARP tbl 0 0 0 0
RIP Tbl 0 0 0 0
Logical Update Queue Information
Cur Max Total
Recv Q: 0 0 0
Xmit Q: 0 0 0
Lan Based Failover is Active
Interface intf3 (192.168.3.1): Normal, peer (192.168.3.2) Normal

第十八步　使用wr mem命令将配置写到Flash Memmory中。

基于Failover电缆转换到基于LAN的Failover

　　第一步　使用如下命令关闭Failover

no failover

　　第二步　将用于LAN Fairover的接口接入网络，然后在主PIX上配置：

failover lan interface intf3
failover lan key 1234567
failover lan enable
failover

　　第三步　使用show Fail命令显示Failover状态:

Failover On

Cable status: Unknown
Reconnect timeout 0:00:00
Poll frequency 15 seconds
This host: primary - Active
Active time: 510 (sec)
Interface 4th (172.16.1.1): Normal (Waiting)
Interface intf2 (192.168.2.1): Normal (Waiting)
Interface outside (192.168.1.1): Normal (Waiting)
Interface inside (10.1.1.1): Normal (Waiting)
Other host: secondary - Standby
Active time: 0 (sec)
Interface 4th (172.16.1.2): Unknown (Waiting)
Interface intf2 (192.168.2.2): Unknown (Waiting)
Interface outside (192.168.1.2): Unknown (Waiting)
Interface inside (10.1.1.2): Unknown (Waiting)
Stateful Failover Logical Update Statistics

        Link : 4th          Stateful Obj    xmit       xerr       rcv        rerr          General         0          0          0          0          sys cmd         0          0          0          0          up time         0          0          0          0          xlate           0          0          0          0          tcp conn        0          0          0          0          udp conn        0          0          0          0          ARP tbl         0          0          0          0          RIP Tbl         0          0          0          0 Logical Update Queue Information Cur     Max     Total          Recv Q:         0       0       0          Xmit Q:         0       0       0 Lan Based Failover is Active Interface intf3 (192.168.3.1): Normal, peer (192.168.3.2) Down

　　第四步　在从PIX上，输入下列命令：

failover lan unit secondary <--- optional
failover lan interface intf3
failover lan key 12345678
failover lan enable
failover
wr mem
reload

　　在从PIX启动后，使用Show Failover命令验证基于LAN的Failover是不是开始正常工作了，命令输出如下：

show failover
Failover On
Cable status: Unknown
Reconnect timeout 0:00:00
Poll frequency 15 seconds
This host: primary - Active
Active time: 510 (sec)
Interface 4th (172.16.1.1): Norml
Interface intf2 (192.168.2.1): Normal
Interface outside (192.168.1.1): Normal
Interface inside (10.1.1.1): Normal
Other host: secondary - Standby
Active time: 0 (sec)
Interface 4th (172.16.1.2): Normal
Interface intf2 (192.168.2.2): Normal
Interface outside (192.168.1.2): Normal
Interface inside (10.1.1.2): Normal
Stateful Failover Logical Update Statistics
Link : 4th
Stateful Obj xmit xerr rcv rerr
General 0 0 0 0
sys cmd 0 0 0 0
up time 0 0 0 0
xlate 0 0 0 0
tcp conn 0 0 0 0
udp conn 0 0 0 0
ARP tbl 0 0 0 0
RIP Tbl 0 0 0 0

Stateful Failover Logical Update Statistics          Link : 4th          Stateful Obj    xmit       xerr       rcv        rerr          General         0          0          0          0          sys cmd         0          0          0          0          up time         0          0          0          0          xlate           0          0          0          0          tcp conn        0          0          0          0          udp conn        0          0          0          0          ARP tbl         0          0          0          0          RIP Tbl         0          0          0          0          Logical Update Queue Information Cur     Max     Total          Recv Q:         0       0       0          Xmit Q:         0       0       0 Lan Based Failover is Active Interface intf3 (192.168.3.1): Normal, peer (192.168.3.2) Normal

　　第五步　使用write memory命令保存配置.