思科ASA防火墙双机热备综合实验

一、实验背景：
Failover特性是Cisco安全产品高可用性的一个解决方案，目的是为了提供不间断的服务，当主设备down掉的时候，备用设备能够马上接管主设备的工作，进而保持通信的连通性；Failover配置要求两个进行Failover的设备通过专用的failover线缆和可选的Stateful Failover线缆互相连接；活动设备的接口被monitor，用于发现是否要进行Failover，切换Failover分为failover和Stateful Failover，即故障切换和带状态的故障切换。
不带状态的failover在进行切换的时候，所有活动的连接信息都会丢失，所有Client都需要重新建立连接信息，那么这会导致流量的间断。
带状态的failover，主设备将配置信息拷贝给备用设备的同时，也会把自己的连接状态信息拷贝给备用设备，那么当主的设备down的时候，由于备用设备上保存有连接信息，因此Client不需要重新建立连接，那么也就不会导致流量的中断。
Failover link
两个failover设备频繁的在failover link上进行通信，进而检测对等体的状态。以下信息是通过failover link通信的信息：
设备状态（active or standby）；
电源状态（只用于基于线缆的failover；）
Hello messages （keep-alives）；
Network link 状态；
MAC地址交换；
配置的复制和同步；
（Note ：所有通过failover 和stateful failover线缆的信息都是以明文传送的，除非你使用failover key来对信息进行加密；）
Stateful link
在stateful link上，拷贝给备用设备的连接状态信息有：
NAT 转换表；
TCP连接状态；
UDP连接状态；
ARP表
2层转发表（运行在透明模式的时候）
HTTP连接状态信息（如果启用了HTTP复制）
ISAKMP和IPSec SA表
GTP PDP连接数据库
以下信息不会拷贝给备用设备：
HTTP连接状态信息（除非启用了HTTP复制）
用户认证表（uauth）
路由表

二、实验拓扑：

三、实验目标
1、在主墙上增加策略，配置和会话可同步到备墙，且只可以在主墙上增加策略，备墙无法增加配置和策略
2、实现双机热备的功能，关闭主防火墙，备墙切换为主状态，业务恢复
3、关闭IPS上联的e0/1口，此时主防火墙的Gi0/1状态仍为UP，实现主备墙的切换
四、实验环境
1、基于EVE-NG模拟器
2、防火墙使用ASA型号，版本为Version 9.8(1)
3、交换机使用二层交换机镜像
4、IPS为透明模式，使用交换机的镜像模拟，工作在二层
五、开始配置
1、交换机
SW1：
Vlan 2
vlan 4
interface Ethernet0/0
switchport access vlan 2
switchport mode access
interface Ethernet0/1
switchport access vlan 4
switchport mode access
interface Ethernet0/3
switchport trunk encapsulation dot1q
switchport mode trunk
interface Vlan2
ip address 12.1.1.4 255.255.255.0
vrrp 2 ip 12.1.1.6
vrrp 2 priority 120
interface Vlan4
ip address 14.1.1.1 255.255.255.0
vrrp 4 ip 14.1.1.3
vrrp 4 priority 120
!
ip route 0.0.0.0 0.0.0.0 12.1.1.1
SW2：
interface Ethernet0/0
switchport access vlan 2
switchport mode access
interface Ethernet0/1
switchport access vlan 4
switchport mode access
interface Ethernet0/3
switchport trunk encapsulation dot1q