Contents

Introduction

Requirements

Componentes Utilizados

Informações de Apoio

Configurar

Diagrama de Rede

Configurações

Verifique os componentes monitorados atuais.

Verifique o status do módulo de serviço das unidades ASA.

Verifique a política de modo de falha do módulo de serviço:

Desative o monitoramento do módulo de serviço.

Verificar

Verifique se a monitoração do módulo de serviço está desabilitada.

Para testar a recarga do módulo hospedado pela unidade ativa.

Ative o monitoramento de módulo de serviço.

Verifique se o módulo de serviço está ativado.

Troubleshoot

Problema 1. Os ASAs continuam fazendo failover, e esta mensagem "O cartão de serviço em outra unidade falhou" é exibida.

Solução

Problema 2. Meu ASA não é compatível com 9.3(1) ou não posso atualizá-lo. Como posso evitar eventos de failover?

Solução

Identificar o mapa de classes e a política usada.

Desative o redirecionamento de tráfego para o módulo.

Verifique se o redirecionamento do ASA para o módulo está desabilitado.

Ative o redirecionamento de tráfego para o módulo.

Introduction

Este documento descreve como desativar a monitoração nos módulos SourceFire (SFR), Context Aware (CX), Intrusion Prevention System (IPS), Content Security and Control (CSC) em um ambiente de failover Adaptive Security Appliance (ASA).

Contribuído por Cesar Lopez, engenheiro do TAC da Cisco.

Prerequisites

Requirements

A Cisco recomenda que você conheça os seguintes tópicos:

- Configuração do Adaptive Security Appliance.

- Conhecimento de failover do ASA para alta disponibilidade.

Na versão 9.3(1), esse recurso é configurável. Antes da versão mencionada, o módulo será sempre monitorado. Uma solução alternativa pode ser usada para versões anteriores descritas neste documento.

Componentes Utilizados

Este documento é baseado nas seguintes versões de software e hardware:

- Cisco ASA versão 9.3(1) e posteriores.

- ASA 5500-X Series com FirePOWER Services, ASA CX Context-Aware Security ou módulo IPS.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Se a sua rede estiver ativa, entenda o possível impacto de todos os comandos

Informações de Apoio

Por padrão, o ASA monitora um módulo de serviço instalado. Se uma falha for detectada no módulo da unidade ativa, o failover do aplicativo será acionado.

Pode ser útil desativar esse monitor quando houver uma recarga de módulo de serviço agendado ou falhas de módulo contínuo do mesmo sem querer ter um evento de failover do ASA.

Note: O ASA precisa estar encaminhando o tráfego para o módulo para ser monitorado pelo processo de failover.

Configurar

Diagrama de Rede

Este documento usa esta configuração:

Configurações

Essa configuração é usada em dispositivos de laboratório para demonstrar o recurso de monitor mencionado neste documento. Somente a configuração relevante está incluída. Algumas das linhas desta saída são omitidas.

ASA Version 9.3(3)

!

hostname ASA-FPWR

!

interface GigabitEthernet0/0

nameif outside

security-level 0

ip address 10.88.247.5 255.255.255.224 standby 10.88.247.6

!

interface GigabitEthernet0/1

nameif inside

security-level 100

ip address 192.168.10.111 255.255.255.0 standby 192.168.10.112

!

...

!

interface GigabitEthernet0/6

description LAN Failover Interface

!

interface GigabitEthernet0/7

description STATE Failover Interface

!

...

failover

failover lan unit primary

failover lan interface folink GigabitEthernet0/6

failover link statelink GigabitEthernet0/7

failover interface ip folink 1.1.1.1 255.255.255.0 standby 1.1.1.2

failover interface ip statelink 2.2.2.1 255.255.255.0 standby 2.2.2.2

!

...

!

class-map SFR

match any

class-map inspection_default

match default-inspection-traffic

!

!

policy-map type inspect dns migrated_dns_map_1

parameters

message-length maximum client auto

message-length maximum 512

policy-map global_policy

class inspection_default

inspect dns migrated_dns_map_1

inspect ftp

inspect h323 h225

inspect h323 ras

inspect ip-options

inspect netbios

inspect rsh

inspect rtsp

inspect skinny

inspect esmtp

inspect sqlnet

inspect sunrpc

inspect tftp

inspect sip

inspect xdmcp

class SFR

sfr fail-open

!

service-policy global_policy global

prompt hostname context priority state

no call-home reporting anonymous

Cryptochecksum:b268e0095f175a26aa94d120e9041c29

: end

Verifique os componentes monitorados atuais.

Quando os ASAs estão no modo de failover, o módulo de serviço instalado é monitorado por padrão, assim como as interfaces do dispositivo. Esse comando pode ser usado para ver quais componentes atuais são monitorados:

ASA-FPWR/pri/act# show run all monitor-interface

monitor-interface outside

monitor-interface inside

monitor-interface service-module

Verifique o status do módulo de serviço das unidades ASA.

A saída show failover mostra o status atual de cada módulo de unidade:

ASA-FPWR/pri/act# show failover

Failover On

Failover unit Primary

Failover LAN Interface: folink GigabitEthernet0/6 (up)

Reconnect timeout 0:00:00

Unit Poll frequency 1 seconds, holdtime 15 seconds

Interface Poll frequency 5 seconds, holdtime 25 seconds

Interface Policy 1

Monitored Interfaces 2 of 316 maximum

MAC Address Move Notification Interval not set

Version: Ours 9.3(3), Mate 9.3(3)

Last Failover at: 14:30:44 UTC Aug 6 2015

This host: Primary - Active

Active time: 85 (sec)

slot 0: ASA5545 hw/sw rev (1.0/9.3(3)) status (Up Sys)

Interface outside (10.88.247.5): Normal (Monitored)

Interface inside (192.168.10.111): Normal (Monitored)

slot 1: SFR5545 hw/sw rev (N/A/5.3.1-152) status (Up/Up)

ASA FirePOWER, 5.3.1-152, Up

Other host: Secondary - Standby Ready

Active time: 396 (sec)

slot 0: ASA5545 hw/sw rev (1.0/9.3(3)) status (Up Sys)

Interface outside (10.88.247.6): Normal (Monitored)

Interface inside (192.168.10.112): Normal (Monitored)

slot 1: SFR5545 hw/sw rev (N/A/5.3.1-155) status (Up/Up)

ASA FirePOWER, 5.3.1-155, Up

Se o módulo de serviço de uma unidade ativa for desativado, ocorrerá um evento de failover. A unidade ativa torna-se em standby e a unidade em standby anterior assume a função ativa. Em alguns cenários, isso faz com que alguns recursos que não são suportados por um failover stateful sejam reconvergidos.

Verifique a política de modo de falha do módulo de serviço:

Se uma política de abertura de falha for usada para enviar tráfego para o módulo, o tráfego continua passando pelo ASA sem ser enviado para o módulo de serviço. Essa pode ser uma maneira mais transparente de superar um status de inatividade esperado do módulo.

aviso: Se uma política de fechamento de falha tiver sido aplicada, todo o tráfego correspondente ao mapa de classe usado para encaminhar o tráfego para o módulo será descartado pelo ASA.

Para saber o status da política usada, execute o comando show service-policy [sfr|cx|ips|csc] .

ASA-FPWR/pri/act# show service-policy sfr

Global policy:

Service-policy: global_policy

Class-map: SFR

SFR: card status Up, mode fail-open

packet input 0, packet output 0, drop 0, reset-drop 0

O mesmo pode ser visto verificando-se a configuração do Modular Policy Framework (MPF):

ASA-FPWR/pri/act# show run policy-map

!

policy-map type inspect dns migrated_dns_map_1

parameters

message-length maximum client auto

message-length maximum 512

policy-map global_policy

class inspection_default

inspect dns migrated_dns_map_1

inspect ftp

inspect h323 h225

inspect h323 ras

inspect ip-options

inspect netbios

inspect rsh

inspect rtsp

inspect skinny

inspect esmtp

inspect sqlnet

inspect sunrpc

inspect tftp

inspect sip

inspect xdmcp

class SFR

sfr fail-open

!

ASA-FPWR/pri/act#

Desative o monitoramento do módulo de serviço.

Esse comando faz com que o processo de failover pare o monitoramento do módulo de serviço. Qualquer recarga planejada ou solução de problemas pode ser feita no módulo sem um failover, no caso do módulo ficar "inativo" ou "sem resposta".

no monitor-interface service-module

Verificar

Verifique se a monitoração do módulo de serviço está desabilitada.

Na configuração atual, o comando monitor-interface é negado.

ASA-FPWR/pri/act(config)# show run all monitor-interface

monitor-interface outside

monitor-interface inside

no monitor-interface service-module

Para testar a recarga do módulo hospedado pela unidade ativa.

Para fins de demonstração, o módulo FirePOWER nessa unidade é recarregado para confirmar se a unidade de failover ativo permanece nessa função.

Saída do módulo FirePOWER na unidade primária/ativa do ASA.

Sourcefire ASA5545 v5.3.1 (build 152)

Last login: Thu Aug 6 14:40:46 on ttyS1

>

> system reboot

This command will reboot the system. Continue?

Please enter 'YES' or 'NO': YES

Broadcast message from root (Thu Aug 6 14:40:59 2015):

The system is going down for reboot NOW!

Escape Sequence detected

Console session with module sfr terminated.

Saída da unidade principal/ativa do ASA enquanto o módulo é recarregado.

A unidade permanece na função Ativa.

ASA-FPWR/pri/act# show failover

Failover On

Failover unit Primary

Failover LAN Interface: folink GigabitEthernet0/6 (up)

Reconnect timeout 0:00:00

Unit Poll frequency 1 seconds, holdtime 15 seconds

Interface Poll frequency 5 seconds, holdtime 25 seconds

Interface Policy 1

Monitored Interfaces 2 of 316 maximum

MAC Address Move Notification Interval not set

Version: Ours 9.3(3), Mate 9.3(3)

Last Failover at: 14:30:44 UTC Aug 6 2015

This host: Primary - Active

Active time: 616 (sec)

slot 0: ASA5545 hw/sw rev (1.0/9.3(3)) status (Up Sys)

Interface outside (10.88.247.5): Normal (Monitored)

Interface inside (192.168.10.111): Normal (Monitored)

slot 1: SFR5545 hw/sw rev (N/A/5.3.1-152) status (Unresponsive/Down)

ASA FirePOWER, 5.3.1-152, Not Applicable

Other host: Secondary - Standby Ready

Active time: 396 (sec)

slot 0: ASA5545 hw/sw rev (1.0/9.3(3)) status (Up Sys)

Interface outside (10.88.247.6): Normal (Monitored)

Interface inside (192.168.10.112): Normal (Monitored)

slot 1: SFR5545 hw/sw rev (N/A/5.3.1-155) status (Up/Up)

ASA FirePOWER, 5.3.1-155, Up

Saída da unidade secundária/de espera do ASA enquanto o módulo é recarregado:

A unidade de standby não detecta esse status como uma falha e não assume a função ativa.

ASA-FPWR/sec/stby# show failover

Failover On

Failover unit Secondary

Failover LAN Interface: folink GigabitEthernet0/6 (up)

Reconnect timeout 0:00:00

Unit Poll frequency 1 seconds, holdtime 15 seconds

Interface Poll frequency 5 seconds, holdtime 25 seconds

Interface Policy 1

Monitored Interfaces 2 of 316 maximum

MAC Address Move Notification Interval not set

Version: Ours 9.3(3), Mate 9.3(3)

Last Failover at: 14:30:59 UTC Aug 6 2015

This host: Secondary - Standby Ready

Active time: 396 (sec)

slot 0: ASA5545 hw/sw rev (1.0/9.3(3)) status (Up Sys)

Interface outside (10.88.247.6): Normal (Monitored)

Interface inside (192.168.10.112): Normal (Monitored)

slot 1: SFR5545 hw/sw rev (N/A/5.3.1-155) status (Up/Up)

ASA FirePOWER, 5.3.1-155, Up

Other host: Primary - Active

Active time: 670 (sec)

slot 0: ASA5545 hw/sw rev (1.0/9.3(3)) status (Up Sys)

Interface outside (10.88.247.5): Normal (Monitored)

Interface inside (192.168.10.111): Normal (Monitored)

slot 1: SFR5545 hw/sw rev (N/A/5.3.1-152) status (Unresponsive/Down)

ASA FirePOWER, 5.3.1-152, Not Applicable

Ative o monitoramento de módulo de serviço.

Para habilitar o monitoramento do módulo, execute este comando:

monitor-interface service-module

Verifique se o módulo de serviço está ativado.

O comando do módulo de serviço não é mais negado.

ASA-FPWR/pri/act(config)# show run all monitor-interface

monitor-interface outside

monitor-interface inside

monitor-interface service-module

Troubleshoot

Problema 1. Os ASAs continuam fazendo failover, e esta mensagem "O cartão de serviço em outra unidade falhou" é exibida.

Se um ou vários eventos de failover forem detectados, o show failover history poderá ser usado para saber o possível motivo.

ASA-FPWR/sec/act# show failover history

==========================================================================

From State To State Reason

==========================================================================

14:38:58 UTC Aug 5 2015

Bulk Sync Standby Ready Detected an Active mate

14:39:05 UTC Aug 5 2015

Standby Ready Bulk Sync No Error

14:39:17 UTC Aug 5 2015

Bulk Sync Standby Ready No Error

14:48:12 UTC Aug 6 2015

Standby Ready Just Active Service card in other unit has failed

14:48:12 UTC Aug 6 2015

Just Active Active Drain Service card in other unit has failed

14:48:12 UTC Aug 6 2015

Active Drain Active Applying Config Service card in other unit has failed

14:48:12 UTC Aug 6 2015

Active Applying Config Active Config Applied Service card in other unit has failed

14:48:12 UTC Aug 6 2015

Active Config Applied Active Service card in other unit has failed

A unidade de espera agora mostra esta mensagem:

14:47:56 UTC Aug 6 2015

Standby Ready Failed Detect service card failure

Se a mensagem "Service card in other unit has failed" (A placa de serviço em outra unidade falhou) for exibida, o failover ocorreu porque a unidade ativa detectou seu próprio módulo como não respondendo.

Se o módulo permanecer no status "Não responsivo", o ASA afetado permanece no modo Falha.

ASA-FPWR/sec/stby# Waiting for the earlier webvpn instance to terminate...

Previous instance shut down. Starting a new one.

Switching to Active

ASA-FPWR/sec/act#

ASA-FPWR/sec/act# show failover

Failover On

Failover unit Secondary

Failover LAN Interface: folink GigabitEthernet0/6 (up)

Reconnect timeout 0:00:00

Unit Poll frequency 1 seconds, holdtime 15 seconds

Interface Poll frequency 5 seconds, holdtime 25 seconds

Interface Policy 1

Monitored Interfaces 2 of 316 maximum

MAC Address Move Notification Interval not set

Version: Ours 9.3(3), Mate 9.3(3)

Last Failover at: 14:24:23 UTC Aug 6 2015

This host: Secondary - Active

Active time: 38 (sec)

slot 0: ASA5545 hw/sw rev (1.0/9.3(3)) status (Up Sys)

Interface outside (10.88.247.5): Normal (Waiting)

Interface inside (192.168.10.111): Normal (Waiting)

slot 1: SFR5545 hw/sw rev (N/A/5.3.1-155) status (Up/Up)

ASA FirePOWER, 5.3.1-155, Up

Other host: Primary - Failed

Active time: 182 (sec)

slot 0: ASA5545 hw/sw rev (1.0/9.3(3)) status (Up Sys)

Interface outside (10.88.247.6): Normal (Waiting)

Interface inside (192.168.10.112): Normal (Waiting)

slot 1: SFR5545 hw/sw rev (N/A/5.3.1-152) status (Unresponsive/Down)

ASA FirePOWER, 5.3.1-152, Not Applicable

Solução

A monitoração do módulo de serviço pode ser desabilitada enquanto outras etapas para solucionar o problema podem ser feitas para recuperar o módulo.

no monitor-interface service-module

Problema 2. Meu ASA não é compatível com 9.3(1) ou não posso atualizá-lo. Como posso evitar eventos de failover?

O ASA5500 Series antigo não oferece suporte à versão 9.3(1) e, mesmo que não ofereça suporte a módulos de software, alguns deles possuem módulos de hardware como CSC ou IPS.

Mesmo com o novo ASA5500-X Series, há alguns dispositivos com versões abaixo daquele que suporta o monitoramento de desativação.

Solução

O ASA monitora o módulo somente se houver uma política configurada para passar o tráfego para ele. Assim, para evitar um failover, a política do módulo pode ser removida.

Identificar o mapa de classes e a política usada.

Nesse caso, essa configuração é usada para remover o desvio de tráfego de um módulo FirePOWER.

class-map SFR

match any

class-map inspection_default

match default-inspection-traffic

!

!

policy-map type inspect dns migrated_dns_map_1

parameters

message-length maximum client auto

message-length maximum 512

policy-map global_policy

class inspection_default

inspect dns migrated_dns_map_1

inspect ftp

inspect h323 h225

inspect h323 ras

inspect ip-options

inspect netbios

inspect rsh

inspect rtsp

inspect skinny

inspect esmtp

inspect sqlnet

inspect sunrpc

inspect tftp

inspect sip

inspect xdmcp

class SFR

sfr fail-open

!

O comando show service-policy [csc|cxsc|ips|sfr] pode ser usado para detectar o mapa de classe e o status atual.

ASA-FPWR/pri/act# show service-policy sfr

Global policy:

Service-policy: global_policy

Class-map: SFR

SFR: card status Up, mode fail-open

packet input 0, packet output 0, drop 0, reset-drop

Desative o redirecionamento de tráfego para o módulo.

Depois que a política é removida, nenhum tráfego adicional é enviado do ASA para o módulo.

ASA-FPWR/pri/act# conf t

ASA-FPWR/pri/act(config)# policy-map global_policy

ASA-FPWR/pri/act(config-pmap)# class SFR

ASA-FPWR/pri/act(config-pmap-c)# no sfr fail-open

ASA-FPWR/pri/act(config-pmap-c)# end

ASA-FPWR/pri/act#

Verifique se o redirecionamento do ASA para o módulo está desabilitado.

O mesmo comando show pode ser usado para verificar se o tráfego não está mais indo para o módulo. A saída deve estar vazia.

ASA-FPWR/pri/act# show service-policy sfr

ASA-FPWR/pri/act#

Mesmo que o módulo não responda, a unidade ativa permanece na mesma função.

ASA-FPWR/pri/act# show module sfr

Mod Card Type Model Serial No.

---- -------------------------------------------- ------------------ -----------

sfr FirePOWER Services Software Module ASA5545 FCH18457CNM

Mod MAC Address Range Hw Version Fw Version Sw Version

---- --------------------------------- ------------ ------------ ---------------

sfr 74a0.2fa4.6c7a to 74a0.2fa4.6c7a N/A N/A 5.3.1-152

Mod SSM Application Name Status SSM Application Version

---- ------------------------------ ---------------- --------------------------

sfr ASA FirePOWER Not Applicable 5.3.1-152

Mod Status Data Plane Status Compatibility

---- ------------------ --------------------- -------------

sfr Unresponsive Not Applicable

ASA-FPWR/pri/act# show failover

Failover On

Failover unit Primary

Failover LAN Interface: folink GigabitEthernet0/6 (up)

Reconnect timeout 0:00:00

Unit Poll frequency 1 seconds, holdtime 15 seconds

Interface Poll frequency 5 seconds, holdtime 25 seconds

Interface Policy 1

Monitored Interfaces 2 of 316 maximum

MAC Address Move Notification Interval not set

Version: Ours 9.3(3), Mate 9.3(3)

Last Failover at: 14:51:20 UTC Aug 6 2015

This host: Primary - Active

Active time: 428 (sec)

slot 0: ASA5545 hw/sw rev (1.0/9.3(3)) status (Up Sys)

Interface outside (10.88.247.5): Normal (Monitored)

Interface inside (192.168.10.111): Normal (Monitored)

slot 1: SFR5545 hw/sw rev (N/A/5.3.1-152) status (Unresponsive/Down)

ASA FirePOWER, 5.3.1-152, Not Applicable

Other host: Secondary - Standby Ready

Active time: 204 (sec)

slot 0: ASA5545 hw/sw rev (1.0/9.3(3)) status (Up Sys)

Interface outside (10.88.247.6): Normal (Monitored)

Interface inside (192.168.10.112): Normal (Monitored)

slot 1: SFR5545 hw/sw rev (N/A/5.3.1-155) status (Up/Up)

ASA FirePOWER, 5.3.1-155, Up

Ative o redirecionamento de tráfego para o módulo.

Quando o tráfego precisar ser enviado de volta ao módulo, a política fail-open ou fail-close poderá ser adicionada novamente.

ASA-FPWR/pri/act(config)# policy-map global_policy

ASA-FPWR/pri/act(config-pmap)# class SFR

ASA-FPWR/pri/act(config-pmap-c)# sfr fail-open

ASA-FPWR/pri/act(config-pmap-c)# end

ASA-FPWR/pri/act#