高可用性配置中的两台设备必须：

• 型号相同。 此外，对于容器实例，它们必须使用相同的资源配置文件属性。

  对于 Firepower 9300，高可用性仅在同种类型模块之间受支持；但是两个机箱可以包含混合模块。例如，每个机箱都设有 SM-56、SM-48 和 SM-40。可以在 SM-56 模块之间、SM-48 模块之间和 SM-40 模块之间创建高可用性对。

  如果在将高可用性对添加到 管理中心 后更改资源配置文件，则稍后应在设备 (Devices) > 设备管理 (Device Management) > 设备 (Device) > 系统 (System) > 清单 (Inventory)对话框中更新每个设备的库存。

  如果将不同的配置文件分配给已建立的高可用性对中的实例，这要求两台设备上的配置文件相同，则必须：

  1. 中断高可用性。

  2. 将新配置文件分配给两台设备。

  3. 重新建立高可用性。

• 拥有相同数量和类型的接口。

  对于平台模式下的Firepower 4100/9300 机箱，在启用之前，所有接口都必须在 FXOS 中进行相同的预配置。高可用性如果您在启用高可用性后更改接口，请在备用设备上的 FXOS 中更改接口，然后在主用设备上进行相同更改。

如果在 高可用性 配置中使用闪存大小不同的设备，请确保闪存较小的设备具有足够的空间来容纳软件映像文件和配置文件。如果闪存较小的设备没有足够的空间，从闪存较大的设备向闪存较小的设备进行配置同步将会失败。

高可用性 配置中的两台设备必须：

• 处于相同的防火墙模式（路由或透明）。

• 具有相同的软件版本。

• 位于管理中心上的同一个域或组中。

• 具有相同的 NTP 配置。请参阅为威胁防御配置 NTP 时间同步。

• 在管理中心上完全部署且没有未提交的更改。

• 在其任一接口中都未配置 DHCP 或 PPPoE。

• （Firepower 4100/9300）具有相同的流量分流模式，同时启用或禁用。

故障转移对中的两台设备会不断地通过故障转移链路进行通信，以便确定每台设备的运行状态。

要使用有状态故障转移，必须配置有状态故障转移链路（也称为有状态链路），以便传送连接状态信息。

我们建议，让故障转移链路和数据接口使用不同的路径，以便降低所有接口同时发生故障的可能性。如果故障转移链路发生故障，威胁防御设备可使用数据接口来确定是否需要进行故障转移。随后，故障转移操作会被暂停，直到故障转移链路恢复正常。

请参阅以下连接情景，以设计具有弹性的故障转移网络。

情景 1 - 不推荐

如果单台交换机或一组交换机用于连接两台 威胁防御设备之间的故障转移和数据接口，则交换机或交换机间链路发生故障时，两台 威胁防御设备都将处于主用状态。因此，建议不要使用下图中显示的 2 种连接方法。

情景 2 - 推荐

我们建议不要让故障转移链路和数据接口使用相同的交换机，而是应使用不同的交换机或使用直连电缆来连接故障转移链路，如下图所示。

情景 3 - 推荐

如果 威胁防御数据接口连接到多台交换机，则故障转移链路可以连接到其中一台交换机，最好是处于网络的安全一侧（内部）的交换机，如下图所示。

情景 4 - 推荐

最可靠的故障转移配置使用故障转移链路上的冗余接口，如下图所示。

对于状态故障转移，以下状态信息会传送至备用 威胁防御设备：

• NAT 转换表。

• TCP 和 UDP 连接和状态，包括 HTTP 连接状态。其他类型的 IP 协议和 ICMP 不会通过主用设备解析，因为它们是在新数据包到达时在新的主用设备上建立的。

• Snort 连接状态、检查结果和引脚信息，包括严格 TCP 实施。

• ARP 表

• 第 2 层网桥表（适用于桥接组）

• ISAKMP 和 IPsec SA 表

• GTP PDP 连接数据库

• SIP 信令会话和引脚。

• 静态和动态路由表 - 状态故障转移会参与动态路由协议（如 OSPF 和 EIGRP），因此通过主用设备上的动态路由协议获悉的路由，将会保留在备用设备的路由信息库 (RIB) 表中。发生故障转移事件时，数据包可以正常传输，并且只会对流量产生极小的影响，因为主用辅助设备一开始就具有镜像主设备的规则。进行故障转移后，新的主用设备上的重新融合计时器会立即启动。随后 RIB 表中的代编号将会增加。在重新融合期间，OSPF 和 EIGRP 路由将使用新的代编号进行更新。计时器到期后，过时的路由条目（由代编号确定）将从表中删除。于是 RIB 将包含新主用设备上的最新的路由协议转发信息。

  注	路由仅会因为主用设备上的链路打开或关闭事件而同步。如果备用设备上的链路打开或关闭，从主用设备发出的动态路由可能会丢失。这是预期的正常行为。

• DHCP 服务器 - 不会复制 DHCP 地址租用。但是，在接口上配置的 DHCP 服务器将发送 ping 命令，以确保在向 DHCP 客户端授予地址前不使用地址，使得服务不会受到影响。对于 DHCP 中继代理或 DDNS，状态信息不相关。

• 访问控制策略决策 - 在故障转移期间，会保留与流量匹配（包括 URL、URL 类别、地理位置等）、入侵检测、恶意软件和文件类型相关的决策。但是，对于在故障转移时评估的连接，有以下注意事项：

  • AVC - 系统会复制 App-ID 裁定，而不是检测状态。只要 App-ID 裁定是完整的，并且在发生故障转移之前完成同步，即可实现正确的同步。

  • 入侵检测状态 - 进行故障转移时，一旦出现拾取中间流的情况，新检测既已完成，但旧状态会丢失。

  • 文件恶意软件阻止 - 文件处置必须在故障转移之前变为可用。

  • 文件类型检测和阻止 - 文件类型必须在故障转移之前加以识别。如果在原始主用设备识别文件时发生故障转移，则文件类型不同步。即使文件策略阻止该文件类型，新的主用设备也会下载该文件。

• 身份策略中的用户身份决策，包括通过 ISE 会话目录被动收集的用户到 IP 地址映射以及通过强制网络门户进行的主动身份验证。发生故障转移时进行主动身份验证的用户，可能会被提示再次进行身份验证。

• 网络 AMP - 云查找独立于每台设备，因此故障转移通常不会影响此功能。具体包括：

  • 签名查找 - 如果在文件传输过程中发生故障转移，则不生成文件事件，也不进行检测。

  • 文件存储 - 如果在存储文件时发生故障转移，则文件将存储在原始主用设备上。如果在存储文件时原始主用设备关闭，则不存储文件。

  • 文件预分类（本地分析）- 如果在预分类期间发生故障转移，则检测失败。

  • 文件动态分析（连接至云）- 如果发生故障转移，则系统可能会将文件提交至云。

  • 存档文件支持 - 如果在分析期间发生故障转移，则系统可能会丢失对文件/存档的可视性。

  • 自定义阻止操作 - 如果发生故障转移，系统将不生成事件。

• 安全智能决策。但是，不会完成故障转移过程中发生的基于 DNS 的决策。

• RA VPN - 故障转移后，远程访问 VPN 终端用户不必对 VPN 会话重新进行身份验证，也不必重新连接。但是，在 VPN 连接上运行的应用，在故障转移过程中可能会丢失数据包，并且无法从数据包丢失中恢复。

• 在所有连接中，只有已建立的连接会复制到备用 ASA 上。

对于状态故障转移，以下状态信息不会传送至备用 威胁防御设备：

• 明文隧道（例如 GRE 或 IP-in-IP）中的会话。不会复制隧道内部的会话，并且新的主动节点不能重复使用现有检测判定来匹配正确的策略规则。

• 已解密的 TLS/SSL 连接 - 解密状态不同步，如果主用设备发生故障，则系统会重置已解密的连接。需要与新的主用设备建立新连接。未解密的连接（也就是匹配TLS/SSL“不解密”规则操作的连接）不受影响，并且可以正确复制。

• TCP 状态绕行连接

• 组播路由。

威胁防御 设备会通过 Hello 消息监控故障转移链路，进而确定其他设备的运行状况。当设备在故障转移链路上没有收到三条连续的 Hello 消息时，设备将在每个数据接口（包括故障转移链路）上发送接口 LANTEST 消息，来验证对等体是否响应。威胁防御 设备采取的操作取决于来自其他设备的响应。请参阅以下可以执行的操作：

• 如果 威胁防御 设备在故障转移链路上收到响应，则不会进行故障转移。

• 如果 威胁防御 设备在故障转移链路上未收到响应，但在数据接口上收到响应，则设备不会进行故障转移。故障转移链路会标记为发生故障。您应尽快恢复故障转移链路，因为当故障转移切换发生故障时，设备无法故障转移到备用设备。

• 如果 威胁防御 设备未在任何接口上收到响应，则备用设备会切换至主用模式，并会将另一台设备分类为故障设备。

每个高可用性单位通过集群控制链路定期发送广播保持连接心跳数据包。如果控制平面忙于处理流量，有时心跳数据包无法到达对等体，或者对等体由于 CPU 过载而无法处理心跳数据包。当对等体无法在可配置的超时期限内传达保持连接状态时，会发生错误的故障转移或裂脑场景。

数据平面中的心跳模块有助于避免由于控制平面中的流量拥塞而发生错误的故障转移或裂脑。

• 附加心跳模块的工作原理与控制平面模块类似，但使用数据平面传输基础设施发送和接收心跳消息。

• 当对等体在数据平面中收到心跳数据包时，计数器会递增。

• 如果控制平面中的心跳传输失败，则节点会检查数据平面中的心跳计数器。如果计数器递增，则表示对等体处于活动状态，并且集群在这种情况下不会执行故障转移。

注	每当启用 HA 时，都会默认启用额外的心跳模块。您不必为数据平面中的其他心跳模块设置轮询间隔。此模块使用您为控制平面设置的相同心跳间隔。

当设备在 15 个秒，未在受监控的接口上收到 hello 消息时，将运行接口测试。如果对于某个接口，其中一个接口测试失败，但在另一设备上的此接口继续成功传送流量，则此接口会被视为发生故障， 设备停止运行测试。

如果满足为故障接口数量定义的阈值（请参阅命令，或者对于主用/主用故障转移，请使用命令）（请参阅配置设备管理高可用性和可扩展性故障转移标准接口策略）（请参阅设备设备管理高可用性故障转移）触发条件（Trigger Criteria）），并且主用设备的故障接口比备用设备多，则发生故障转移。 > > > 如果某个接口在两个单元上都失败，则这两个接口会进入“Unknown”状态，并且不会计入由故障转移接口政策制定的故障转移限制。

如果接口收到任何流量，则该接口会再次变为正常工作状态。如果不再满足接口故障阈值，发生故障的 设备会回到备用模式。

如果接口上配置了 IPv4 和 IPv6 地址， 设备会使用 IPv4 地址执行运行状况监控。如果接口上仅配置了 IPv6 地址，则 设备会使用 IPv6 邻居发现，而不是 ARP 来执行运行状况监控测试。对于广播 Ping 测试， 设备会使用所有的 IPv6 节点地址 (FE02::1)。

当设置主用/备用故障转移时，需要将一台设备配置为主设备，将另一台配置为辅助设备。配置过程中，主设备的策略将同步到辅助设备。此时，两台设备将作为单台设备进行设备和策略配置。但对于事件、控制面板、报告和运行状况监控，它们仍显示为单独的设备。

在故障转移对中这两台设备之间的主要区别是哪台是主用设备，哪台是备用设备，即要使用哪些 IP 地址以及哪台设备积极传递流量。

但是，设备之间还存在一些取决于哪一设备为主设备（在配置中指定），哪一设备为辅助设备的差别：

• 如果两台设备同一时间启动（并且运行状况相同），则主设备总是会成为主用设备。

• 主设备 MAC 地址始终与主用 IP 地址相匹配。此规则的例外是，当辅助设备成为主用设备并且无法通过故障转移链路获取主设备 MAC 时。在这种情况下，会使用辅助设备的 MAC 地址。

主用设备按以下方式确定：

• 如果某台设备启动，并检测到对等体已作为主用设备运行，则该设备会成为备用设备。

• 如果某台设备启动，并且未检测到对等体，则该设备会成为主用设备。

• 如果两台设备同时启动，则主设备成为主用设备，辅助设备成为备用设备。

在主用/备用故障转移中，故障转移会在设备级别进行。

下表显示了每个故障事件的故障转移操作。对于每种故障事件，该表显示了故障转移策略（故障转移或禁用故障转移）、主用设备执行的操作、备用设备执行的操作，以及有关故障转移条件和操作的所有特别说明。