主用/备用故障切换允许您使用备用 Firepower 威胁防御设备来接管故障设备的功能。当主用设备发生故障时，备用设备将变为主用设备。

故障切换链路是两台设备之间的专用连接。状态故障切换链路也是专用连接，不过，您可以使用一个故障切换链路作为组合的故障切换/状态链路，也可以创建单独的专用状态链路。如果仅使用故障切换链路，状态信息也会通过该链路：状态故障切换功能不会受到影响。

默认情况下，故障切换和状态故障切换链路上的通信是纯文本通信（不加密）。为了增强安全性，您可以通过配置 IPsec 加密密钥对通信加密。

以下主题更加详细地介绍了这些接口，并就如何连接设备以获得最佳效果给出了建议。

主用设备与备用设备共享连接状态信息。这意味着，备用设备可以保持某些类型的连接，而不会影响用户。

但是，有一些类型的连接不支持状态故障切换。对于这些连接，如果发生故障切换，用户需要重新建立连接。通常，连接会根据连接中所用协议的行为自动进行。

以下主题介绍状态故障切换支持或不支持的功能。

当设备在高可用性模式下运行时，仅需要对主用设备进行配置更改。部署配置时，新的更改也会传输到备用设备。

但某些属性是备用设备所特有的。您可以在备用设备上更改以下属性：

• 管理 IP 地址和网关。

• （仅限于 CLI。）管理员用户账户的密码。此更改只能在 CLI 中进行，不可以在 FDM 中进行。

此外，您还可以在备用设备上执行以下操作。

• 高可用性操作（例如暂停，恢复、重置和中断 HA）以及在主用设备和备用设备之间进行模式切换。

• 每个设备的控制面板和事件数据是唯一的，并且是不同步的。这包括事件查看器中的自定义视图。

• 每个设备的审核日志信息是唯一的。

• 智能许可注册。前提是，您必须启用或禁用主用设备上的可选许可证，并且该操作是与备用设备同步的，用于请求或释放相应的许可证。

• 备份，但不进行恢复。要恢复备份，您必须中断设备上的 HA。如果备份包括 HA 配置，设备将重新加入高可用性组。

• 软件升级安装。

• 生成故障排除日志。

• 手动更新地理位置或安全情报数据库。这些数据库在设备之间不同步。如果您创建更新计划，设备可以独立地保持一致。

• 您可以从监控 > 会话页面查看活动 Firepower 设备管理器用户会话，并删除会话。

要将高可用性配置中的两台设备链接在一起，必须满足以下硬件要求。

• 设备的硬件型号必须完全相同。

• 设备接口的数量和类型必须相同。

• 设备安装的模块必须相同。例如，如果具有可选的网络接口模块，则必须在另一台设备中安装相同的模块。

要将两台设备链接到高可用性配置，必须满足以下软件要求。

• 设备必须运行完全相同的软件版本，也即，版本号的大（第一个）、小（第二个）以及维护（第三个）数字均必须相同。您可以在 Firepower 设备管理器的设备页面或者 CLI 中使用 show version 命令找到版本信息。允许连接具有不同版本的设备，但配置不会导入备用设备且故障切换无法使用，直到您将设备升级到同一软件版本。

• 两台设备必须在本地管理器模式下运行，也即，使用 Firepower 设备管理器配置设备。如果您可以在两个系统上登录 Firepower 设备管理器，则表示这两台设备是本地管理器模式。您还可以在 CLI 中使用 show managers 命令进行验证。

• 必须在每台设备中完成初始设置向导。

• 每台设备都必须有自己的管理 IP 地址。管理接口的配置在两台设备之间未同步。

• 设备必须具有相同的 NTP 配置。

• 不能配置任何接口使用 DHCP 获取地址。也就是说，所有接口都必须有静态 IP 地址。

• 两台设备必须具有与思科防御协调器相同的注册状态：要么均注册，要么均未注册。

• 对于以下云服务，必须启用主设备和辅助设备，或在辅助设备启用后禁用主设备（辅助设备在 HA 加入后将被禁用）。

  • 思科成功网络

• 在配置高可用性之前，必须先部署任何待处理更改。

在配置高可用性之前，设备必须处于相同的状态：两台设备均注册基本许可证，或均处于评估模式。如果设备已注册，可以将其注册到不同的思科智能软件管理器账户，但这些账户的出口控制功能设置的状态必须相同，要么都启用这类设置，要么都禁用。但是，如果您已在设备上启用不同的可选许可证，上述设置便不再重要。

在运行过程中，高可用性对中的设备必须具有相同的许可证。在部署过程中，主用设备进行的任何许可证更改都会在备用设备上重复进行。

高可用性配置需要两种智能许可证权利；对中的每个设备各一个。您必须确保您的账户中有足够的许可证，可应用到每个设备。如果没有足够的许可证，可能会出现一台设备合规，另一台设备不合规的情况。

例如，如果主用设备具有基本许可证和威胁许可证，而备用设备只有基本许可证，备用设备将与思科智能软件管理器通信，以从您的账户获取可用威胁许可证。如果您的智能许可证账户没有足够的已购授权，您的账户将不合规（且备用设备也将不合规，即使主用设备合规），直到您购买正确数量的许可证。

注	如果将用户注册到存在不同导出受控功能设置的账户，或者尝试创建一个 HA 对，注册其中的一台设备，而将另外一台设备设置为评估模式，则 HA 加入可能会失败。对于受出口控制的功能，如果您使用不一致的设置配置 IPSec 加密密钥，当您激活 HA 后，两个设备都将变为主用状态。这会影响受支持网段上的路由，且您必须手动断开辅助设备上的 HA 才能消除影响。

对高可用性对中的设备进行配置更改时，需要在主用设备上编辑配置。然后部署更改，即可使用新配置同时更新主用和备用设备。主用设备是主设备还是辅助设备并不重要。

但是，未部署的更改不会在设备之间同步。任何未部署的更改仅在您做出这些更改的设备上可用。

因此，如果在有未部署更改的情况下进行故障切换，这些更改在新主用设备上不可用。但是，这些更改仍保留在现为备用状态的设备上。

要检索未部署的更改，您必须切换模式以强制进行故障切换，将另一台设备恢复为主用状态。当您登录到新主用设备时，未部署的更改可用，可以部署这些更改。从高可用性设置齿轮菜单 () 使用模式切换命令。

记住以下几点：

• 如果从主用设备部署更改时备用设备上存在未部署的更改，备用设备上未部的署更改将被清除。这些更改无法检索。

• 当备用设备加入高可用性对时，备用设备上任何未部署的更改将被清除。每当设备加入或重新加入高可用性对时，都会同步配置。

• 如果包含未部署更改的设备发生灾难性的故障，并且您必须更换或重新映像该设备，未部署的更改会永久丢失。

高可用性对中的设备必须具有相同的许可证和注册状态。要进行更改，请执行以下操作：

• 启用或禁用主用设备上的可选许可证。然后，部署配置，备用设备会请求（或释放）必要的许可证。启用许可证时，必须确保思科智能软件管理器账户具有足够的许可证，否则可能会造成一台设备合规，而另一台设备不合规。

• 单独注册或取消注册设备。两台设备必须均处于评估模式，或均已注册，才能正常使用。可以将设备注册到不同的思科智能软件管理器账户，但这些账户的出口控制功能设置的状态必须相同，要么都为启用，要么都为禁用。如果设备的注册状态不一致，将无法部署配置更改。

您可以通过登录到主用设备、进行更改并部署更改来更改任何故障切换条件。

但如果需要更改故障切换链路上使用的 IPsec 加密密钥，或更改故障切换链路或状态故障切换链路的接口或 IP 地址，则必须先中断 HA 配置。然后，可以使用新的加密密钥或故障切换/状态故障切换链路设置重新配置主设备和辅助设备。

在常规运行状况监控过程中，高可用性配置中的设备可能会被标记为发生故障。如果设备运行状况正常，再次满足运行状况监控要求时，设备将恢复正常状态。如果您发现运行状况正常的设备频繁发生故障，您可能需要增加对等设备超时，停止监控相对不重要的特定接口，或更改接口监控超时。

可以从 CLI 输入 failover reset 命令，强制将故障设备视为正常设备。我们建议您在主用设备上输入此命令，重置备用设备的状态。可以使用 show failover 或 show failover state 命令显示设备的故障切换状态。

将故障设备恢复到非故障状态不会自动将其设为主用设备。恢复后的设备仍处于备用状态，直到由于故障切换（强制或自然）变成主用设备。

重置设备状态不能解决导致设备被标记为故障设备的问题。如果您没有解决问题，或放宽监控超时，设备可能会被再次标记为故障设备。

您可以使用以下方法监控常规高可用性状态和历史记录：

• 在“设备摘要”上（点击设备），高可用性组会显示设备状态。

  
  

  

  
  

• 在“高可用性”页面上（依次点击设备 > 高可用性），您可以看到两台设备的状态。点击两台设备之间的同步图标了解更多状态。

  
  

  

  
  

• 从“高可用性”页面，点击状态旁边的故障切换历史记录链接。系统将打开 CLI 控制台并执行 show failover history details 命令。您还可以直接在 CLI 或 CLI 控制台中输入此命令。

如果对任何接口启用了高可用性监控，您可以使用 show monitor-interface 命令在 CLI 或 CLI 控制台中查看受监控接口的状态。

> show monitor-interface
	This host: Primary - Active 
		Interface inside (192.168.1.13): Normal (Monitored)
		Interface outside (192.168.2.13): Normal (Monitored)
	Other host: Secondary - Standby Ready 
		Interface inside (192.168.1.14): Normal (Monitored)
		Interface outside (192.168.2.14): Normal (Monitored)

受监控接口可以具有以下状态：

• (Waiting) 并显示任何其他状态（例如 Unknown ）(Waiting) - 接口尚未从对等设备上的相应接口收到呼叫数据包。

• Unknown - 初始状态。此状态也可能意味着状态无法确定。

• Normal - 接口正在接收流量。

• Testing - 接口上有 5 个轮询时间未收听到 Hello 消息。

• Link Down - 接口或 VLAN 通过管理方式关闭。

• No Link - 接口的物理链路关闭。

• Failed - 在接口上没有收到流量，但在对等体接口上收听到流量。

系统在优先级别 2 发出大量与故障切换有关的系统日志消息，级别 2 表示一种关键情况。与故障切换关联的消息 ID 的范围是：101xxx、102xxx、103xxx、104xxx、105xxx、210xxx、311xxx、709xxx 和 727xxx。例如，105032 和 105043 表示故障切换链路存在问题。有关系统日志消息的说明，请参阅思科 Firepower 威胁防御系统日志消息指南 (https://www.cisco.com/c/en/us/td/docs/security/firepower/Syslogs/b_fptd_syslog_guide.html)。

注	故障切换期间，系统按照逻辑先关闭接口，再启动接口，从而生成日志消息 411001 和 411002。这是正常活动。

必须先在设备 > 日志记录设置上配置诊断日志记录，才能查看系统日志消息。设置外部系统日志服务器，以便您可以稳定持续地监控消息。

在 CLI 中，您可以使用 failover exec 命令在对等设备上输入 show 命令，无需登录到对等设备。

failover exec { active | standby | mate} 命令

必须指明哪一台设备应执行命令，主用设备还是备用设备，或输入 mate ，如果您想要另一台设备而非您登录的设备响应。

例如，如果您想要查看对等设备的接口配置和统计信息，可以输入：

> failover exec mate show interface

 

您不能输入 configure 命令。此功能与 show 命令搭配使用。

注	如果您登录到主用设备，可以使用 failover reload-standby 命令重新加载备用设备。

不能通过 Firepower 设备管理器 CLI 控制台输入这些命令。