Tip Configurar Cisco ASA como HA (cluster)

[giovannid]

Como configurar cluster HA en dispositivos ASA.

Primero se deben configurar las interfaces.

interface Ethernet0/0
 nameif outside
 security-level 0
 ip address 172.22.1.252 255.255.255.0 standby 172.22.1.253
 no shut
 !
 interface Ethernet0/1
 nameif inside
 security-level 100
 ip address 10.10.10.10 255.255.255.0 standby 10.10.10.11
 no shut
 !
 interface Ethernet0/2
 nameif dmz
 security-level 50
 ip address 192.168.60.1 255.255.255.0 standby 192.168.60.2
 no shut

Standby IP que sera asignada al equipo secundario en esa misma interfaz.

 Equipo primario
 failover
 failover lan unit primary
 failover lan interface failover Ethernet0/3
 failover key *****
 failover link failover Ethernet0/3
 failover interface ip failover 192.168.55.1 255.255.255.0 standby 192.168.55.2

Donde

Failover: habilita el failover
Failover lan unit primary: indica que este sera el equipo Primario
Failover lan interface failover xx: indica que interfaz se utilizara para la sincronizacion de los equipos.
Failover key xxx: se debe especificar una clave se encriptación para la sincronización.
Failover link failover xx: Se especifica que interfaz funcionara como stateful, cargando los datos de las sesiones activas al otro equipo en caso de que conmuten.
Failover interface ip failover xxx: especifica las IP que tendra la interfaz se sincronización.

Equipo secundario
 failover
 failover lan unit secondary
 failover lan interface failover Ethernet0/3
 failover key *****
 failover interface ip failover 192.168.55.1 255.255.255.0 standby 192.168.55.2

Es lo mismo que el primario excepto, failover lan unit secondary que especifica que este equipo sera el secundario.

Luego conectamos los equipos y se sincronizaran con la configuración que tenga el equipo primario. El secundario no necesita tener nada configurado excepto la lineas para el failover.

PD: Los equipos deben ser identicos y con el mismo IOS. Para evitar complicaciones de compatibilidad en la configuración.

saludos!

[mariano]

Genial che muchas gracias por compartir esto. Me viene barbaro justo
Una pregunta ya que estamos.
La sincro la hace cuando exactamente? Apenas conecte los dos equipos y levanto el failover se sincronizan ahi?
Y como puedo forzar la synchro si por ejemplo hago un cambio de config en un equipo? O cuando guardo la config del primario lo replica automaticamente en el secundario?

Muchas gracias

[giovannid]

Lo recomendable seria configurar el primario (que puede estar en produccion), luego el secundario y despues conectar los cables. Ahi se haria la sincronizacion donde el primario le pasara la configuracion al secundario. Eso para mi seria la opcion ideal.
Pero si tienes los equipos conectados seria casi igual y siempre configura primero el primario, cuando este listo el secundario se realizara la sincronizacion.
Si no hacen nada prueba levantar la interfaces de sincro (no shut)
Cada vez que hagas un cambio y guardes se pasara la configuracion el secundario. Ojo que lo cambios los debes realizar en el equipo que este activo.

PD: perdon por la tildes, estoy en el celu y no puedo ponerlas...

Saludos!

[mariano]

Joya gracias che, muy util.

jjajaa las tildes yo las uso en el laburo nomas :P
Salu2