在主用/备份故障转移中，故障转移会在设备级别进行。下表显示了每个故障事件的故障转移操作。对于每种故障事件，该表显示了故障转移策略（故障转移或禁用故障转移）、主用设备执行的操作、备份设备执行的操作，以及有关故障转移条件和操作的所有特别说明。

本节包括此功能的准则和限制。

公共云中的高可用性ASA Virtual 故障转移

为确保冗余，您可以在公共云环境中部署采用主用/备份高可用性 (HA) 配置的 ASA virtual 。

• 仅在 Microsoft Azure 公共云上受支持；配置 ASA virtual VM 时，支持的最大数量 Vcpu 为 8；支持的最大内存为 64GB RAM。有关受支持实例的详细列表，请参阅 ASA virtual 入门指南。

• 实施无状态主用/备份解决方案，允许主用 ASA virtual 故障触发系统自动执行故障转移以切换到备份 ASA virtual。

限制

• 故障转移按秒级别而不是毫秒级别执行。

• 高可用性角色的确定和以高可用性设备角色参与部署的能力取决于高可用性对等体之间以及高可用性设备与 Azure 基础设施之间的 TCP 连接。有几种情况下， ASA virtual 将无法以高可用性设备角色参与部署：

  • 无法建立到其高可用性对等体的故障转移连接。

  • 无法从 Azure 检索身份验证令牌。

  • 无法与 Azure 进行身份验证。

• 没有从主用设备到备份设备的配置同步。每台设备必须单独配置相似的配置，用于处理故障转移流量。

• 故障转移路由表限制

  关于公共云中 HA 的路由表：

  • 您最多可以配置 16 个路由表。

  • 在路由表中，最多可以配置 64 个路由。

  在每种情况下，系统都会在达到限制时向您发出警报，并建议删除路由表或路由并重试。

• 无 ASDM 支持

• 没有 IPSec 远程访问 VPN 支持。

  注	有关公共云中受支持的 VPN 拓扑的信息，请参阅《思科自适应安全虚拟设备 (ASAv) 快速入门指南 》。

• ASA Virtual 虚拟机实例必须在同一可用性集中。如果您是 Azure 中的当前 ASA virtual 用户，您将无法从现有部署升级到高可用性部署。您必须删除您的实例，然后部署 Azure 市场提供的 ASA virtual 4 NIC 高可用性产品。

要监控故障转移状态，请输入以下其中一个命令：

• show failover

  显示有关设备的故障转移状态的信息。尚未配置的配置元素的值将显示未配置 。

  仅显示主用设备的路由更新信息。

• show failover history

  显示故障转移事件历史记录与时间戳、严重性级别、事件类型和事件文本。

故障转移系统日志消息

ASA 在优先级别 2 发出大量与故障转移有关的系统日志消息，级别 2 表示一种关键情况。要查看这些消息，请参阅系统日志消息指南。系统日志消息的范围是 1045xx 到 1055xx 之间。

注	故障转移期间，ASA 按照逻辑先关闭接口，再启动接口，从而生成系统日志消息。这是正常活动。

以下是在切换期间生成的系统日志示例：

%ASA-3-105509: (Primary) Error sending Hello message to peer unit 10.22.3.5, error: Unknown error
%ASA-1-104500: (Primary) Switching to ACTIVE - switch reason: Unable to send message to Active unit
%ASA-5-105522: (Primary) Updating route-table wc-rt-inside
%ASA-5-105523: (Primary) Updated route-table wc-rt-inside
%ASA-5-105522: (Primary) Updating route-table wc-rt-outside
%ASA-5-105523: (Primary) Updated route-table wc-rt-outside
%ASA-5-105542: (Primary) Enabling load balancer probe responses
%ASA-5-105503: (Primary) Internal state changed from Backup to Active no peer
%ASA-5-105520: (Primary) Responding to Azure Load Balancer probes

每个与公共云部署相关的系统日志均以设备角色：(Primary) 或 (Secondary) 作为前缀。

故障转移调试消息

要查看调试消息，请输入 debug fover 命令。有关更多信息，请参阅命令参考。

注	由于调试输出在 CPU 进程中分配的高优先级，它可能会极大地影响系统性能。为此，应仅在对特定问题进行故障排除或与思科 TAC 进行故障排除会话过程中使用 debug fover 命令。

SNMP 故障转移陷阱

要接收故障转移的 SNMP 系统日志陷阱，请将 SNMP 代理配置为发送 SNMP 陷阱到 SNMP 管理站、定义系统日志主机，并将思科系统日志 MIB 汇集到 SNMP 管理站中。