ASA防火墙双ISP接入问题解决方案

1、双isp接入，防火墙active/active failover加非对称路由问题的解决有一家企业，对外提供服务，客户遍布全国，客户可能使用电信链路，可能使用网通链路，所以这家企业申请了两条链路，一条电信，一条网络，希望客户选择合适的链路来访问服务。使用了两台cisco防火墙分别连接电信和网通。后面连接整个内部网络，对外提供服务的服务器也在其中。原则：1.两条链路能够使用同时使用2.外部用户（不管使用哪条链路），都能正确访问注：大体上是需要从哪条链路进来的数据包，返回的数据包也要从这条链路回去。在防火墙上，非对称路由很可能会有问题的。3.如果能做到负载均衡那更加好。方法考虑：1.active/s

2、tandby failover两条链路配置在不同的防火墙上面（接口ip地址不一样），而a/s failover要求两台防火墙配置一样，所以这个方案行不通。其中一台配置配置成active，两条链路同时接在上面，另外一台standby。这样的配置问题有很多：一台防火墙上面不能同时配置两条默认路由；即使其中一条链路写了明晰路由（如把网通主要的的路由写出来），在一台防火墙上面，也涉及到非对称路由的问题；方案1完全否决2.active/active failover两条链路可以同时使用，而且可以接在不同的防火墙上面。因为两台防火墙各有两个context（虚拟防火墙），这四台防火墙两两互备，可以实现负载均

3、衡。而且使用了2对虚拟防火墙，两对虚拟防火墙配置独立，这样就有两套路由表，所以在上面分别写默认路由一点问题都没有，默认路由问题解决。似乎这个方式很好，但是还有一个问题没有解决，那就是非对称路由的问题。从虚拟防火墙1进来的数据包，进入到内网，返回的时候，如果经过了虚拟防火墙2，这个时候如果是tcp数据包，那因为这不是一个syn数据包，那2就可能丢弃掉这个数据包。在负载均衡上面做的不错，但是非对称路由没有解决，需要再改进，不然还是不能解决问题3.防火墙独立使用加链路负载均衡设备两台防火墙各接一条链路，然后都接到一台链路负载均衡设备上面去。负载均衡设备的作用就是，从哪台设备过来的数据，相应的返回数据

4、，也从这从这个接口出去。这里使用了一台负载均衡设备，解决了非对称路由的问题，这个解决方式比较简单，不管是配置和连线。缺点就是2台防火墙之间没有做failover，还有一个大的问题，就是需要额外添加一台链路负载均衡设备，不小的开销。但是这个方式已经达到了可用的目的了。前面2种方式，外部用户无法正常访问。4.方式2+链路负载均衡设备这种方式，一是解决了设备之间的负载均衡问题，二是解决了非对称路由的问题。但是还是需要哪台链路负载均衡设备。5.active/active failover 和cisco防火墙对非对称路由的解决a/a已经说过了，这里就不赘述了。这里主要谈谈cisco防火墙对非对称路由的解

5、决办法。前面说过，在非对称路由的网络里，防火墙对数据包处理很可能会出现问题。cisco防火墙工作原理，是基于状态话的监测。非对称路由的数据包，可能在防火墙上面不能形成正确的状态，导致防火墙丢弃数据包，具体见cisco防火墙工作原理的介绍。在cisco防火墙新版本的os里面（fwsm是3.1版本，pix/asa应该是7.2，但是没有测试过），可以通过一些特殊的设置，让非对称路由正常工作。具体配置：cat6513两台， ios 12.2(18)fwsm模块2块，os 3.1(4)cat3560一台，ios 12.2(25)active/active failover + asr-group技术看点

6、：active/active failove 两条链路同时使用，设备之间的负载均衡asr-group 解决非对称路由问题网络拓扑见最下面。这个是大体的配置：Switch 1:Firewall vlan-group 10 2-6Firewall module 13 vlan-group 10Firewall autostateFWSM 1 system:首先先改变当前模式：mode multiple然后重起interface Vlan6description LAN/STATE Failover Interfacefailoverfailover lan unit primaryfailover

7、 lan interface forever Vlan6failover link forever Vlan6failover interface ip forever 172.16.1.1 255.255.255.0 standby 172.16.1.2failover group 1primaryfailover group 2secondaryadmin-context admincontext adminconfig-url disk:/admin.cfgcontext context1allocate-interface vlan2allocate-interface vlan3co

8、nfig-url disk:/context1.cfgjoin-failover-group 1context context2allocate-interface vlan4allocate-interface vlan5config-url disk:/context2.cfgjoin-failover-group 2FWSM 1 context1:Inter vlan 2Nameif insideSecurity-level 100Ip addr 192.168.10.1 255.255.255.0 standby 192.168.10.2Inter vlan 3Nameif outsi

9、deSecurity-level 0Ip addr 10.1.10.1 255.255.255.0 standby 10.1.10.2Inter vlan2-加入到一个组里面Asr-group 1Inter vlan3Asr-group 2-加入到另外一个组当中Monitor-interface insideMonitor-interface outsideFWSM 1 context2:Inter vlan 4Nameif insideSecurity-level 100Ip addr 192.168.11.1 255.255.255.0 standby 192.168.11.2Inter

10、vlan 3Nameif outsideSecurity-level 0Ip addr 10.1.11.1 255.255.255.0 standby 10.1.10.2Monitor-interface insideMonitor-interface outside   Switch 2:Firewall vlan-group 10 2-6Firewall module 13 vlan-group 10Firewall autostateFWSM 2 system:首先先改变当前模式：mode multiple然后重起interface Vlan6description

11、LAN/STATE Failover Interfacefailoverfailover lan unit secondaryfailover lan interface forever Vlan6failover link forever Vlan6failover interface ip forever 172.16.1.1 255.255.255.0 standby 172.16.1.2failover group 1secondaryfailover group 2primaryadmin-context admincontext adminconfig-url disk:/admi

12、n.cfgcontext context1allocate-interface vlan2allocate-interface vlan3config-url disk:/context1.cfgjoin-failover-group 1context context2allocate-interface vlan4allocate-interface vlan5config-url disk:/context2.cfgjoin-failover-group 2FWSM 2 context1:Inter vlan 2Nameif insideSecurity-level 100Ip addr

13、192.168.10.1 255.255.255.0 standby 192.168.10.2Inter vlan 3Nameif outsideSecurity-level 0Ip addr 10.1.10.1 255.255.255.0 standby 10.1.10.2Monitor-interface insideMonitor-interface outsideFWSM 2 context2:Inter vlan 4Nameif insideSecurity-level 100Ip addr 192.168.11.1 255.255.255.0 standby 192.168.11.

14、2Inter vlan 5Nameif outsideSecurity-level 0Ip addr 10.1.11.1 255.255.255.0 standby 10.1.11.2Monitor-interface insideMonitor-interface outsideInter vlan 4Asr-group 1Inter vlan 5Asr-group 23560 switch：vlan 3name context1vlan 5name context2inter vlan 3ip addr 10.1.10.3 255.255.255.0inter vlan 5ip addr

15、10.1.11.3 255.255.255.0ip route 192.168.10.0 255.255.255.0 10.1.11.1msfc1:vlan 2name context1vlan 4name context2inter vlan2ip addr 192.168.10.3 255.255.255.0standby 2 ip 192.168.10.5standby 2 priority 105standby 2 preemptinter vlan4ip addr 192.168.11.3 255.255.255.0standby 4 ip 192.168.11.5standby 4

16、 priority 105standby 4 preemptip route 10.1.10.0 255.255.255.0 192.168.10.1msfc2:vlan 2name context1vlan 4name context2inter vlan2ip addr 192.168.10.4 255.255.255.0standby 2 ip 192.168.10.5standby 2 preemptinter vlan4ip addr 192.168.11.4 255.255.255.0standby 4 ip 192.168.11.5standby 4 preemptasr-gro

17、up的一个拓扑解释，见最下面。在处理非对称路由的时候，防火墙还有一种处理方式，就是tcp bypass这是tcp bypass的配置，这样处理tcp的时候，就像处理udp一样。当收到一个非syn的tcp数据包的时候（如非对称路由引起的），这个时候再fast-path里面没有记录，然后fw查看acl，如果允许，就让这个数据包通过。然后记录下来状态。下次再有同一个流的数据包过来的话，就直接通过了，因为fast-path里面有其状态。hostname(config)# access-list tcp_bypass extended permit tcp 10.1.1.0 255.255.255.0 10.2.1.0 255.255.255.0 |access-list tcp_bypass extended permit tcp any anyhostname(config)# class-map tcp_bypasshostname(config-cmap)# description "TCP traffic that bypasses stateful firewall"hostname(config-cmap)# mat