Configurar Alta Disponibilidade de FTD Usando FDM

Introdução

Este documento descreve como configurar um par de HA (High Availability, alta disponibilidade) ativo/standby de FTD (Secure Firewall Threat Defense, defesa contra ameaças de firewall) gerenciado localmente.

Pré-requisitos

Requisitos

Recomenda-se ter conhecimento destes tópicos:

• Configuração inicial do Cisco Secure Firewall Threat Defense via GUI e/ou shell.

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software e hardware:

• FPR2110 versão 7.2.5 gerenciado localmente pelo Firepower Device Manager (FDM)

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Topologia de rede

Observação: o exemplo descrito neste documento é um dos vários projetos de rede recomendados. Consulte o guia de configuração Como evitar failover interrompido e links de dados para obter mais opções.

Configurar

Configurar a Unidade Principal para Alta Disponibilidade

Etapa 1. Clique em Device e pressione o botão Configure no canto superior direito, ao lado do status High Availability (Alta disponibilidade).

Etapa 2. Na página High Availability (Alta disponibilidade), clique na caixa Primary Device.

Etapa 3. Configure as propriedades do Link de Failover.

Selecione a interface conectada diretamente ao firewall secundário e defina o endereço IP primário e secundário, bem como a sub-rede Netmask.

Marque a caixa de seleção Usar a mesma interface que o link de failover para o link de failover stateful.

Desmarque a caixa Chave de criptografia IPSec e clique em Ativar HA para salvar as alterações.

Dica: use uma sub-rede de máscara pequena, dedicada ao tráfego de failover somente para evitar violações de segurança e/ou problemas de rede o máximo possível.

Aviso: o sistema implanta imediatamente a configuração no dispositivo. Não é necessário iniciar um trabalho de implantação. Se você não vir uma mensagem informando que sua configuração foi salva e a implantação está em andamento, role para a parte superior da página para ver as mensagens de erro. A configuração também é copiada para a área de transferência. Você pode usar a cópia para configurar rapidamente a unidade secundária. Para maior segurança, a chave de criptografia (se você definir uma) não é incluída na cópia da área de transferência.

Etapa 4. Após a conclusão da configuração, você receberá uma mensagem explicando as próximas etapas. Depois de ler as informações, clique em Got It. 

Configurar a unidade secundária para alta disponibilidade

Etapa 1. Clique em Device e pressione o botão Configure no canto superior direito, ao lado do status High Availability (Alta disponibilidade).

Etapa 2. Na página Alta disponibilidade, clique na caixa Dispositivo secundário.

Etapa 3. Configure as propriedades do Link de Failover. Você pode colar as configurações armazenadas na área de transferência após configurar o FTD primário ou pode continuar manualmente.

Etapa 3.1. Para colar da área de transferência, basta clicar no botão Colar da área de transferência, colar na configuração (pressione as teclas Ctrl+v simultaneamente) e clicar em OK.

Etapa 3.2. Para continuar manualmente, selecione a interface conectada diretamente ao firewall secundário e defina o endereço IP primário e secundário, bem como a sub-rede Netmask. Marque a caixa de seleção Usar a mesma interface que o link de failover para o link de failover stateful.

Etapa 4. Desmarque a caixa Chave de criptografia IPSec e clique em Ativar HA para salvar as alterações.

Aviso: o sistema implanta imediatamente a configuração no dispositivo. Não é necessário iniciar um trabalho de implantação. Se você não vir uma mensagem informando que sua configuração foi salva e a implantação está em andamento, role para a parte superior da página para ver as mensagens de erro.

Etapa 5. Após a conclusão da configuração, você receberá uma mensagem explicando as próximas etapas que devem ser executadas. Depois de ler as informações, clique em Got It. 

Verificar

• Nesse ponto, a maioria dos status do dispositivo indica que esse é o dispositivo secundário na página Alta disponibilidade. Se a junção com o dispositivo primário foi bem-sucedida, o dispositivo começa a sincronizar com o primário e, eventualmente, o modo é alterado para Standby e o peer para Ative.

• O FTD Principal também deve mostrar o status de Alta Disponibilidade, mas como Ativo e Par: Em Espera.

• Abra uma sessão SSH para o FTD principal e emita o comando show running-config failover para verificar a configuração.

• Valide o status atual do dispositivo com o comando show failover state.