アクティブ/スタンバイ フェールオーバーでは、障害が発生した装置の機能を、スタンバイ Firepower Threat Defense デバイス に引き継ぐことができます。アクティブ装置に障害が発生した場合、スタンバイ装置がアクティブ装置になります。

フェールオーバー リンクは 2 つの装置の間の専用接続です。ステートフル フェールオーバー リンクも専用接続ですが、1 つのフェールオーバー リンクをフェールオーバー リンクとステート リンクが組み合わされたものとして使用することも、個別の専用ステート リンクを作成することもできます。フェールオーバー リンクだけを使用する場合は、ステートフルな情報もそのリンクを経由し、ステートフル フェールオーバー機能は失われません。

デフォルトでは、フェールオーバー リンクおよびステートフル フェールオーバー リンク上の通信はプレーン テキスト（暗号化されない）です。IPsec 暗号キーを設定することにより、通信を暗号化してセキュリティを強化できます。

ここでは、これらのインターフェイスについて詳しく説明するとともに、最良の結果を得るためのデバイスの配線方法に関する推奨事項を示します。

アクティブ装置は、接続状態情報をスタンバイ装置と共有します。これは、スタンバイ装置がユーザに影響を与えずに特定のタイプの接続を維持できることを意味します。

ただし、ステートフル フェールオーバーをサポートしないタイプの接続もあります。これらの接続については、フェールオーバーが発生した場合、ユーザが接続を再確立する必要があります。多くの場合、これは、接続で使用されているプロトコルの動作に基づいて自動的に実行されます。

ここでは、ステートフル フェールオーバーに関してサポートされる機能またはサポートされない機能について説明します。

ハイ アベイラビリティ モードで運用している場合は、アクティブ装置にのみ設定の変更を加えます。設定を展開すると、新しい変更はスタンバイ装置にも送信されます。

ただし、一部のプロパティはスタンバイ装置固有です。スタンバイ装置では次の設定を変更できます。

• 管理 IP アドレスとゲートウェイ。

• （CLI のみ）管理ユーザアカウントのパスワード。この変更を行うことができるのは CLI のみで、FDM で行うことはできません。

さらに、スタンバイデバイスでは次のアクションを実行できます。

• HA の一時停止、再開、リセット、解除などのハイ アベイラビリティ アクションと、アクティブ モードとスタンバイ モードの切り替え。

• ダッシュボードとイベントデータはデバイスごとに一意であり、同期されません。これには、イベントビューアのカスタムビューが含まれます。

• 監査ログ情報はデバイスごとに一意です。

• スマート ライセンスの登録。ただし、アクティブ装置でオプションのライセンスを有効または無効にする必要があります。このアクションはスタンバイ装置と同期され、適切なライセンスが要求または解放されます。

• バックアップ（ただし復元ではない）。バックアップを復元するには装置で HA を解除する必要があります。バックアップに HA 設定が含まれている場合、装置は HA グループに再び参加します。

• ソフトウェアアップグレードのインストール。

• トラブルシューティングログの生成。

• 地理位置情報データベースまたはセキュリティ インテリジェンス データベースの手動更新。これらのデータベースは、装置間で同期されません。更新スケジュールを作成する場合、装置は独立して一貫性を維持できます。

• [モニタリング（Monitoring）] > [セッション（Sessions）] ページからアクティブな Firepower Device Manager のユーザ セッションを表示したり、セッションを削除できます。

高可用性設定で 2 つのデバイスを結び付けるには、次のハードウェア要件を満たす必要があります。

• デバイスはまったく同じハードウェア モデルである必要があります。

  Firepower 9300 の場合、ハイ アベイラビリティは同じタイプのモジュール間でのみサポートされていますが、2 台のシャーシにモジュールを混在させることができます。たとえば、各シャーシには SM-36 および SM-44 があります。SM-36 モジュール間および SM-44 モジュール間でハイ アベイラビリティ ペアを作成できます。

• デバイスは同じ数の同じタイプのインターフェイスを備えている必要があります。

  Firepower 4100/9300 シャーシの場合は、HA を有効にする前に、FXOS ですべてのインターフェイスをまったく同じになるように事前に設定する必要があります。HA を有効にした後でインターフェイスを変更する場合は、スタンバイ ユニットの FXOS でインターフェイスを変更し、アクティブ ユニットで同じ変更を行います。

• デバイスには同じモジュールが取り付けられている必要があります。たとえば、一方にオプションのネットワーク インターフェイス モジュールがある場合は、もう一方のデバイスに同じモジュールを取り付ける必要があります。

高可用性設定で 2 つのデバイスを結び付けるには、次のソフトウェア要件を満たす必要があります。

• デバイスは、まったく同じバージョンのソフトウェア（つまり、1 番目のメジャー番号、2 番目のマイナー番号、および 3 番目のメンテナンス番号が同じ）を実行する必要があります。バージョンは、Firepower Device Manager の [Devices] ページで確認できます。また、CLI で show version コマンドを使用して確認することもできます。異なるバージョンを実行するデバイスでも参加できますが、設定がスタンバイ装置にインポートされず、装置を同じソフトウェア バージョンにアップグレードしないとフェールオーバーは機能しません。

• 両方のデバイスがローカル マネージャ モードになっている（つまり、Firepower Device Manager を使用して設定されている）必要があります。両方のシステムで Firepower Device Manager にログインできる場合は、それらがローカル マネージャ モードになっています。CLI で show managers コマンドを使用して確認することもできます。

• 各デバイスの初期セットアップ ウィザードを完了する必要があります。

• 各デバイスに固有の管理 IP アドレスが必要です。管理インターフェイスの設定は、デバイス間で同期されません。

• デバイスの NTP 設定が同じである必要があります。

• DHCP を使用してアドレスを取得するようにインターフェイスを設定することはできません。つまり、すべてのインターフェイスに静的 IP アドレスが必要です。

• Cisco Defense Orchestrator への登録ステータスが両方のデバイスで同じである必要があります（両方登録済みまたは両方未登録）。

• 次のクラウドサービスでは、プライマリデバイスとセカンダリデバイスの両方を有効にするか、セカンダリが有効になっている間はプライマリを無効にすることができます（セカンダリは HA 結合後に無効になります）。

  • Cisco Success Network

  • Cisco Threat Response

• ハイ アベイラビリティを設定する前に、保留中の変更を展開する必要があります。

高可用性を設定する前に、装置が同じ状態（両方とも基本ライセンスに登録されているか両方とも評価モードになっている）である必要があります。デバイスが登録されている場合は、それらを異なる Cisco Smart Software Manager アカウントに登録できますが、それらのアカウントは、エクスポート制御機能設定が同じ状態（両方有効または両方無効）である必要があります。ただし、装置ごとに異なるオプション ライセンスを有効にすることは可能です。両方のユニットを登録する場合は、デバイスに対して同じシスコ クラウドサービスのリージョンを選択する必要があります。

運用時には、ハイ アベイラビリティ ペアの装置に同じライセンスが必要です。アクティブ装置で行ったライセンスの変更は、展開時にスタンバイ装置で繰り返されます。

ハイ アベイラビリティ構成には、2 つのスマート ライセンス資格（ペアを構成するデバイスごとに 1 つ）が必要です。各デバイスに適用するためにアカウントに十分なライセンスがあることを確認する必要があります。ライセンスが不足している場合は、一方のデバイスが準拠状態でも、もう一方のデバイスが非準拠になる可能性があります。

たとえば、アクティブ デバイスに基本ライセンスと脅威ライセンスが割り当てられており、スタンバイ デバイスに基本ライセンスのみが割り当てられている場合、スタンバイ装置は Cisco Smart Software Manager と通信してアカウントから利用可能な脅威ライセンスを取得します。スマート ライセンス アカウントに購入済みの十分な権限付与が含まれていない場合は、正しい数のライセンスが購入されるまで、アカウントがコンプライアンス適用外（そのため、アクティブ デバイスにコンプライアンスが適用されていてもスタンバイ デバイスはコンプライアンス適用外）になります。

（注）	輸出規制対象の機能の設定が異なるアカウントに各デバイスを登録した場合、または 1 つの装置が登録済みで、もう 1 つが評価モードになっている HA ペアを作成しようすると、HA の結合に失敗する可能性があります。輸出規制機能に関する設定が不整合な状態で IPsec 暗号化鍵を設定すると、HA を有効化した後に両方のデバイスがアクティブになります。これはサポートされているネットワーク セグメント上のルーティングに影響を与え、回復させるにはセカンダリ装置で HA を手動で中断する必要があります。

ハイ アベイラビリティ ペアの装置の設定を変更する場合は、アクティブ装置で設定を編集します。その後、変更を展開すると、アクティブ装置とスタンバイ装置の両方が新しい設定で更新されます。アクティブ装置がプライマリデバイスであるかセカンダリデバイスであるかは関係ありません。

ただし、未展開の変更は装置間で同期されません。未展開の変更は、変更を行った装置でのみ利用できます。

そのため、未展開の変更があるときにフェールオーバーが発生すると、その変更は新しいアクティブ装置で利用できません。ただし、現在のスタンバイになっている装置では、変更が保持されています。

未展開の変更を取得するには、モードを切り替えてフェールオーバーを強制的に実行し、そのもう一方の装置をアクティブステータスに戻す必要があります。新しくアクティブになった装置にログインすると、未展開の変更が利用可能になり、それらを展開できます。[ハイアベイラビリティ（High Availability）] 設定の歯車メニュー（）から [モードの切り替え（Switch Modes）] コマンドを使用します。

次の点に注意してください。

• スタンバイ装置上に未展開の変更があるときにアクティブ装置から変更を展開すると、スタンバイ装置上の未展開の変更が削除されます。そのため、それらを取得できなくなります。

• スタンバイ装置がハイアベイラビリティペアに参加すると、そのスタンバイ装置上の未展開の変更が削除されます。装置がペアに参加または再参加するたびに、設定が同期されます。

• 未展開の変更を持つ装置に致命的な障害が発生し、その装置を置き換えたり再イメージ化する必要があった場合は、未展開の変更が完全に失われます。

ハイ アベイラビリティ ペアの装置は、ライセンスと登録ステータスが同じである必要があります。変更するには、次の手順に従います。

• アクティブ装置でオプションのライセンスを有効または無効にします。その後、設定を展開すると、スタンバイ装置が必要なライセンスを要求（または解放）します。ライセンスを有効にする際は、Cisco Smart Software Manager アカウントで十分な数のライセンスが使用可能であることを確認する必要があります。これを確認しないと、一方の装置が準拠、もう一方の装置が非準拠になる可能性があります。

• 装置を個別に登録または登録解除します。正しく機能させるには、両方の装置を評価モードにするか、両方の装置を登録する必要があります。装置を異なる Cisco Smart Software Manager アカウントに登録できますが、それらのアカウントは、エクスポート制御機能設定が同じ状態（両方有効または両方無効）である必要があります。装置の登録ステータスに一貫性がない場合は、設定の変更を展開できません。

フェールオーバー基準を変更するには、アクティブ装置にログインし、変更を加えて、それらを展開します。

ただし、フェールオーバーリンクで使用される IPsec 暗号キーを変更したり、フェールオーバーまたはステートフル フェールオーバー リンクのインターフェイスや IP アドレスを変更する必要がある場合は、まず HA 設定を解除する必要があります。その後、新しい暗号キーまたはフェールオーバー/ステートフル フェールオーバー リンク設定を使用してプライマリおよびセカンダリ装置を再設定できます。

ハイ アベイラビリティ設定の装置は、定期的なヘルス モニタリングによって、障害が発生した装置としてマーキングされる場合があります。この装置が正常である場合は、ヘルスモニタリング要件を再度満たすと正常なステータスに戻ります。正常なデバイスが、頻繁に、障害が発生したデバイスとしてマーキングされる場合は、ピアタイムアウトの値を増やしたり、重要性の低い特定のインターフェイスのモニタリングを停止したり、インターフェイスのモニタリングタイムアウトを変更することができます。

CLI から failover reset コマンドを入力することにより、障害が発生した装置を強制的に正常な装置として表示させることができます。このコマンドは、アクティブ装置から入力することをお勧めします。それにより、スタンバイ装置のステータスがリセットされます。show failover コマンドまたは show failover state コマンドを使用することにより、装置のフェールオーバーステータスを表示できます。

障害が発生した装置を障害のない状態に復元しても、その装置は自動的にはアクティブになりません。復元された装置は、（強制または通常の）フェールオーバーによってアクティブになるまではスタンバイ状態のままです。

デバイスステータスをリセットしても、障害が発生したデバイスとしてマーキングされる原因となった問題は解決されません。問題に対処しなかったり、モニタリング タイムアウトを緩和したりすると、そのデバイスは、障害が発生したデバイスとして再びマーキングされます。

次の方法で、高可用性の全般的なステータスと履歴をモニタできます。

• [デバイス概要（Device Summary）]（[デバイス（Device）] をクリック）の [ハイアベイラビリティ（High Availability）] グループに装置のステータスが表示されます。

  
  

  

  
  

• [ハイアベイラビリティ（High Availability）] ページ（[デバイス（Device）] > [ハイアベイラビリティ（High Availability）] をクリック）に両方の装置のステータスが表示されます。それらの間にある同期のアイコンをクリックすると、追加のステータスが表示されます。

  
  

  

  
  

• [ハイアベイラビリティ（High Availability）] ページで、ステータスの横にある [フェールオーバー履歴（Failover History）] リンクをクリックします。CLI コンソールが開き、show failover history details コマンドが実行されます。このコマンドを CLI または CLI コンソールに直接入力することもできます。

いずれかのインターフェイスの HA モニタリングを有効にしている場合は、CLI または CLI コンソールで show monitor-interface コマンドを使用して、モニタ対象インターフェイスのステータスを確認できます。

> show monitor-interface
	This host: Primary - Active 
		Interface inside (192.168.1.13): Normal (Monitored)
		Interface outside (192.168.2.13): Normal (Monitored)
	Other host: Secondary - Standby Ready 
		Interface inside (192.168.1.14): Normal (Monitored)
		Interface outside (192.168.2.14): Normal (Monitored)

モニタ対象のインターフェイスには、次のステータスがあります。

• (Waiting)（Unknown (Waiting) などのように他のステータスと結合）：インターフェイスはピア装置上の対応するインターフェイスから hello パケットをまだ受信していません。

• Unknown：初期ステータスです。このステータスは、ステータスを特定できないことを意味する場合もあります。

• Normal：インターフェイスはトラフィックを受信しています。

• Testing：ポーリング 5 回の間、インターフェイスで hello メッセージが検出されていません。

• Link Down：インターフェイスまたは VLAN は管理上ダウンしています。

• No Link：インターフェイスの物理リンクがダウンしています。

• Failed：インターフェイスではトラフィックを受信していませんが、ピア インターフェイスではトラフィックを検出しています。

システムは、深刻な状況を表すプライオリティレベル 2 のフェールオーバーについて、複数の Syslog メッセージを発行します。フェールオーバーに関連付けられているメッセージ ID の範囲は次のとおりです：101xxx、102xxx、103xxx、104xxx、105xxx、210xxx、311xxx、709xxx、727xxx。たとえば、105032 および 105043 はフェールオーバー リンクとの問題を示しています。Syslogメッセージの説明については、https://www.cisco.com/c/en/us/td/docs/security/firepower/Syslogs/b_fptd_syslog_guide.html にある『Cisco Firepower Threat Defense Syslog Messages』を参照してください。

（注）	フェールオーバー時には、システムが論理的にシャットダウンされた後にインターフェイスが起動し、Syslog メッセージ 411001 および 411002 が生成されます。これは通常のアクティビティです。

Syslog メッセージを表示するには、[デバイス（Device）] > [ロギング設定（Logging Settings）] で診断ロギングを設定する必要があります。メッセージを確実にモニタできるように、外部 Syslog サーバを設定してください。

CLI から failover exec コマンドを使用することにより、ピアにログインすることなく、ピアデバイスに show コマンドを入力できます。

failover exec { active | standby | mate} コマンド

コマンドを実行する装置（active または standby のどちらか）を指定するか、「ログインしている装置ではない方の装置が応答する」ことを指定する mate を入力します。

たとえば、ピアのインターフェイス設定と統計情報を表示するには、次のように入力します。

> failover exec mate show interface

 

configure コマンドを入力することはできません。この機能は show コマンドと一緒に使用します。

（注）	アクティブ装置にログインしている場合は、failover reload-standby コマンドを使用してスタンバイ装置をリロードできます。

これらのコマンドは、Firepower Device Manager CLI コンソールからは入力できません。