ASA配置failover实例

《ASA配置failover实例》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、案列：某公司使用一台ASA5520作为内外网安全设备及互联网出口，现网还有一台ASA5520也放置于出口，但两台设备没有形成HA，并没有配置failover。出于提升网络安全性和冗余的考虑，现对设备进行failover配置。整个配置过程内容如下：前提条件要实现failover，两台设备需要满足以下的一些条件：1.相同的设备型号和硬件配置：设备模块、接口类型，接口数量，CPU，内存，flash闪存等2.相同的软件版本号，此处即指ASA的IOS版本，IOS版本需要高于7.03.相同的FW模式，必须同为路由模式或者透明模式4.相同的特性集，如支

2、持的加密同为DES或者3DES5.合适的licensing，两台设备的license符合基本要求，能支持相同的failover    除了以上的几点之外，两台ASA实现失效转移failover还需要按照情况制作对应的failover/stateful心跳线，可以是交叉网线。经过比对两台ASA5520的以上相关信息，发现目前两台ASA防火墙的IOS版本不一致，ASA-A是“asa804-3-k8.bin，SoftwareVersion8.0(4)3”，ASA-B是“asa821-k8.bin，SoftwareVersion8.2(1)”。通

3、过比对还发现，两台ASA支持的Licensefeatures虽并不一致，但事实上，实现failover不需要licensefeatures完全一致，只要关键的几个特性如支持failover类型相同即可。所以，此两台设备如果要实现failover，则必须首先要做的就是使用ASA-B的升级ASA-A的IOS至8.2(1)，或者将ASA-B的IOS降低至8.0（4）3版本，不推荐使用降级IOS的方式，所以下面的小节将给出实现failover前升级ASA-A的IOS具体操作过程（命令脚本）。   升级IOS方案此以升级ASA-A的IOS到8.2(

4、1)版本来说明。降级OS的操作步骤类似。说明：因为两台ASA5520的硬件配置一样，所以8.2(1)版本的IOS是可以支持所有ASA-A的功能及软硬件配置的。所以，升级方案是完全兼容现有硬件的。 首先，将需要把ASA-B的IOS镜像文件以及ASDM镜像文件拷出来。1.asa-b(config)#dir//显示文件目录2.#copydisk0:/asa821-k8.bintftp:拷贝ASA-B的IOS镜像到TFTP服务器3.#copydisk0:/asdm-621.bintftp:拷贝ASA-B的ASDM镜像到TFTP服务器 接下来的就是

5、升级过程了1.asa(config)#dir     //显示文件目录2.copydisk0:/asa804-3-k8.bintftp:      //将原有IOS文件备份到TFTP服务器上3.copydisk0:/asdm-615.bintftp:         //将原有asdm文件备份到TFTP服务器上4.copytftp:disk0:      //将新的IOS文件从TFTP服务器上拷贝到ASA中，需要指定TFTP上的镜像文件名asa821-k8.bin5.copytftp:disk0:       //将新的ASDM镜像文件从

6、TFTP服务器上拷贝到ASA中，指定ASDM镜像名asdm-621.bin6.asa(config)#dir          //再次显示目录，检查文件是否拷贝成功7.asa(config)#nobootsystemdisk0:/asa804-3-k8.bin                          //取消原来的启动文件关联8.asa(config)#dirasa(config)#bootsystemdisk0:/asa821-k8.binasa(config)#asdmimagedisk0:/asdm-621.bin   

7、                              //设置IOS文件及ASDM文件的关联DeviceManagerimageset,butnotavalidimagefiledisk0:/asdm-603.bin//由于新的IOS文件在重新启动前并未生效，所以会提示新的ASDM镜像在设置关联的时候会提示无效。asa(config)#exit9.asa#wr                        //保存配置10.asa#reload                                             

8、                    重启ASA-A，使设置生效   至此，IOS升级完毕，通过showtech查看ASA-A的信息是否与ASA-B一致，如果没有问题，就可以进行正式的fai