第五课故障切换

第五课故障切换第一页，共六十七页，编辑于2023年，星期四第五章：故障恢复蓝狐网络技术培训学校故障恢复产生背景故障恢复功能简介故障恢复技术特点故障恢复组网应用故障恢复详细配置第二页，共六十七页，编辑于2023年，星期四5.1故障恢复产生背景在当今网络中，用户对一些重要业务入口或接入点的可靠性要求越来越高，如何保证网络避免单点故障，保证网络的不间断传输，成为网络急需解决的一个问题蓝狐网络技术培训学校第三页，共六十七页，编辑于2023年，星期四5.1故障恢复产生背景传统备份组网方案适用于接入点是路由器等转发设备的情况。因为经过设备的每个报文都是查找转发表进行转发，链路切换后，后续报文的转发不受影响。但是当接入点是状态防火墙等设备时，由于状态防火墙是基于连接状态的，当用户发起会话时，状态防火墙只会对会话的首包进行检查，如果首包允许通过则会建立一个会话表项（表项里包括源IP、源端口、目的IP、目的端口等信息），只有匹配该会话表项的后续报文（包括返回报文）才能够通过防火墙。如果链路切换后，后续报文找不到正确的表项，会导致当前业务中断。蓝狐网络技术培训学校第四页，共六十七页，编辑于2023年，星期四故障恢复蓝狐网络技术培训学校故障恢复产生背景故障恢复功能简介故障恢复技术特点故障恢复组网应用故障恢复详细配置第五页，共六十七页，编辑于2023年，星期四蓝狐网络技术培训学校Primary:Active

SecurityApplianceInternetSecondary:Standby

SecurityApplianceSerialCable

failover功能简介安全设备支持两种故障恢复类型：常规故障恢复和状态故障恢复HardwarefailoverStatefulfailover第六页，共六十七页，编辑于2023年，星期四5.2故障恢复简介安全设备支持两种故障恢复类型：常规故障恢复和状态故障恢复Hardwarefailover连接都被丢弃.客户端应用程序必须重新连接提供硬件冗余提供serial-based或者LAN-basedfailoverStatefulfailoverTCP连接保持活跃状态客户端应用程序不需要重新连接.提供冗余和状态连接通过statefullink.提供蓝狐网络技术培训学校第七页，共六十七页，编辑于2023年，星期四5.2故障恢复简介状态链路接口用于传递从主动单元到备用单元所有已经建立连接的状态。在每一个状态故障恢复设置中，传递到备用单元的信息包含如下内容蓝狐网络技术培训学校NAT的转换表TCP连接UDP的连接状态ARP条目在透明防火墙模式运行下的第2层桥接表HTTP链路状态（如启用HTTP复制）Internet安全关联和密钥管理协议（ISAKMP）IPSEC的SA服务表第八页，共六十七页，编辑于2023年，星期四故障恢复蓝狐网络技术培训学校故障恢复产生背景故障恢复功能简介故障恢复技术特点故障恢复组网应用故障恢复详细配置第九页，共六十七页，编辑于2023年，星期四故障恢复技术特点蓝狐网络技术培训学校故障恢复设备要求故障恢复工作方式故障恢复工作模式故障恢复健康监测第十页，共六十七页，编辑于2023年，星期四5.3故障恢复设备要求故障恢复对其中的两个安全设备必须完全相同，并且通过专用故障恢复链路（接口）连接。若启用安全设备上的故障恢复特性，则设备需要满足下列条件：蓝狐网络技术培训学校具有相同数量的模块和硬件配置；具有相同的接口号和类型；具有相同的内存容量和RAM容量；处于相同的操作模式（路由或透明，单一或多环境）；具有相同的软件版本；(主、次版本必须一致)具有相同的特性：（DES或3DES）;合适的licensing第十一页，共六十七页，编辑于2023年，星期四故障恢复技术特点蓝狐网络技术培训学校故障恢复设备要求故障恢复工作方式故障恢复工作模式故障恢复健康监测第十二页，共六十七页，编辑于2023年，星期四故障恢复工作方式蓝狐网络技术培训学校基于cable的工作方式基于LAN的工作方式第十三页，共六十七页，编辑于2023年，星期四5.4故障恢复链路类型

蓝狐网络技术培训学校Cable-BasedSecondarySecurityAppliancePrimarySecurityAppliance/24.1e0e0/24e1e1.11InternetCable-BasedLAN-Basede2e2LAN-Basede3e3StatefulLinkStateful第十四页，共六十七页，编辑于2023年，星期四5.4.1故障恢复链路类型串行电缆的故障恢复链路（仅PIX500系列支持）：蓝狐网络技术培训学校

此电缆是一个专用串行电缆，能提供较快的收敛。安全设备可以感知对等体单元的功率损耗。

故障切换中的两个单元通过故障切换电缆连通.故障切换电缆是一个改良长6英尺的RS-232系列链路电缆,以115kbit/s的速度传输数据

故障切换电缆每端都有标签,一端标为”主要”,应该连接到主要单元.另一端则标为”辅助”连接到辅助单元.对备用单元的改变永远不会复制到活跃单元.第十五页，共六十七页，编辑于2023年，星期四5.4.2基于cable的工作方式

蓝狐网络技术培训学校Primary

SecurityApplianceSecondary

SecurityAppliancePrimaryLabeledConnectorSecondaryLabeledConnector基于Cable:专用的线缆，仅限于PIX,ASA没有；专用的Cable线能快速检测对等体电源失效；备份设备不用配置，不用占有以太接口；主备关系由电缆决定；Primary和Secondary；备份设备不需要任何配置，通电即可距离限制,Cable线只有6feet；拷贝速度慢，115kb/s；第十六页，共六十七页，编辑于2023年，星期四故障恢复工作方式蓝狐网络技术培训学校基于cable的工作方式基于LAN的工作方式第十七页，共六十七页，编辑于2023年，星期四5.4.1故障恢复链路类型基于LAN的故障恢复链路：Statfulfailover线：蓝狐网络技术培训学校.使用以太网接口来做故障恢复，它应该使用一个专用交换机或放进一个专用VLAN,或使用一个交叉以太网电缆连接.优点是单元的物理距离可以大于6英尺，而且具有更快的传输复制速度，缺点是收敛较慢；安全设备不能立即检测对方的功率损耗.时刻传递状态信息从主到次；如conn、xlate等信息；.接该线的接口必须大于等于用户数据接口的速率（inside、outside接口）；第十八页，共六十七页，编辑于2023年，星期四5.4.3基于LAN的工作方式

蓝狐网络技术培训学校PrimaryactiveSecondary

standbyE4E3internet第十九页，共六十七页，编辑于2023年，星期四5.4.3基于LAN的工作方式基于LAN:使用以太网互联传递FO信息：配置信息等；为了FO线是活动的，需要在FW间加交换机；禁用交换机的DTP、Pagp等协议，手工配置access、portfast等；切换时，Failover线不交换IP、mac;距离不受限制；SW单点故障；如果没有距离限制的话，也可以直接用以太网交叉线将两个防火墙直连蓝狐网络技术培训学校第二十页，共六十七页，编辑于2023年，星期四故障恢复技术特点蓝狐网络技术培训学校故障恢复设备要求故障恢复工作方式故障恢复工作模式故障恢复健康监测第二十一页，共六十七页，编辑于2023年，星期四故障恢复工作模式蓝狐网络技术培训学校主备模式A/S负载均衡模式A/A第二十二页，共六十七页，编辑于2023年，星期四5.5.1主备模式:Active/Standby

蓝狐网络技术培训学校Primary:ActiveInternetSecondary:StandbyFailover:Active/StandbyPrimary:FailedInternetSecondary:ActiveFailover:Active/Standby第二十三页，共六十七页，编辑于2023年，星期四主备模式A/S主备模式下的两台防火墙，其中一台作为主设备，另一台作为备份设备。主设备处理所有业务，并将产生的会话信息传送到备份设备进行备份；备份设备不处理业务，只用做备份蓝狐网络技术培训学校第二十四页，共六十七页，编辑于2023年，星期四故障恢复工作模式蓝狐网络技术培训学校主备模式A/S负载均衡模式A/A第二十五页，共六十七页，编辑于2023年，星期四5.5.2负载均衡模式:Active/Active

蓝狐网络技术培训学校12Internet21Secondary:Primary:Internet221ContextsActive/StandbyStandby/Active1Secondary:Primary:Failed/StandbyActive/Active第二十六页，共六十七页，编辑于2023年，星期四故障恢复技术特点蓝狐网络技术培训学校故障恢复设备要求故障恢复工作方式故障恢复工作模式故障恢复健康监测第二十七页，共六十七页，编辑于2023年，星期四5.6.1故障恢复健康监测防火墙监控每一个安全单元的整体健康和端口健康，可以分为：单元健康监测防火墙确定另外一个单元的健康是通过监测failover链路，当防火墙在failover链路上连续三个hello时间都没有收到对方的hello包时，它开始在单元所有端口发送ARP请求。包括failover端口。防火墙依据从对等单元收到的回应执行相应的动作：蓝狐网络技术培训学校

单元健康监测；端口健康监测；第二十八页，共六十七页，编辑于2023年，星期四5.6.1单元健康监测如果防火墙在failover端口上收到一个响应，那么不会发生故障切换如果防火墙没有在failover端口收到响应，但从其他端口收到响应，那么也不会发生故障切换。但failover链路被标记为Failed。你应该尽快恢复failover链路。因为当failover链路出现故障时，并不会发生故障切换如果防火墙在任何端口均没有收到回应，那么备份单元切换到active模式，并标记其他单元为Failed

你可以调整hello消息的周期时间和hlodtime时间。更快的查询周期和更短的holdtime时间能加速检测单元故障。但也有可能在网络拥塞而导致hello包延迟时，产生假的故障消息蓝狐网络技术培训学校第二十九页，共六十七页，编辑于2023年，星期四5.6.2端口健康监测当单元设备在监控端口超过一半的holdtime时间仍没有收到hello消息时，它运行下列的测试检测端口健康链路连接/关闭测试:这是用来测试网络端口自己本身的.如果一个端口网卡没有插入到网络,那么它被认为是有故障的.例如,HUB或者交换机出现故障,或者线缆没有被插入.如果这个测试没有发现任何问题,那么网络活动测试开始.

网络活动测试:防火墙单元直到5秒钟时间内计算所有收到的分组.如果在此间隔中的任何时间内收到任何分组,接口被认为是在运行的.如果没有收到任何的流量,开始进行ARP测试.蓝狐网络技术培训学校第三十页，共六十七页，编辑于2023年，星期四5.6.2端口健康监测

ARP测试:ARP测试包括评估最近获得的10个防火墙单元的ARP缓存内的条目.防火墙发送ARP请求到缓存中条目对应的设备,以试图触发网络流量.在每以次请求之后,防火墙计算5秒时间内收到的流量,如果收到流量,端口被认为是运行的,如果没有收到任何流量,ARP请求被发送到下一个机器.如果到列表末尾还没有收到任何流量,那么PING测试开始.

PING测试:这个测试是由发送广播式PING请求组成的.然后防火墙单元在5秒中内计算所有接受到的分组.如果在次间隔内的任何时间接受到分组,接口被认为是在运行的.测试终止.如果没有接受到流量.那么端口被认为出现了故障蓝狐网络技术培训学校第三十一页，共六十七页，编辑于2023年，星期四5.6.2端口健康监测主和备份防火墙在15秒间隔内(默认情况下),通过向所有网络端口发送出特定的failoverhello包,以确定一切都在正常工作.

当一个故障出现,而故障并不是由断电所引起的时候.failover开始一系列的测试。这些测试的目的是,产生网络流量以用来测试是哪个防火墙出现故障.在每一个测试开始之前,每一个防火墙都会清除端口所有收到的数据包.在每一个测试结束时,每一个防火墙查看是否有收到的任何流量.如果有,那么端口被认为是运行的.如果一个防火墙收到了测试的流量,而另外一个防火墙没有,那么没有收到测试流量的防火墙被认为出现了故障,如果都收到了流量`那么测试继续.蓝狐网络技术培训学校第三十二页，共六十七页，编辑于2023年，星期四故障恢复蓝狐网络技术培训学校故障恢复产生背景故障恢复功能简介故障恢复技术特点故障恢复组网应用故障恢复详细配置第三十三页，共六十七页，编辑于2023年，星期四故障恢复详细配置蓝狐网络技术培训学校基于Cable故障恢复配置基于LAN的故障恢复配置第三十四页，共六十七页，编辑于2023年，星期四5.7.1串行线Active/Standby故障切换

蓝狐网络技术培训学校Primary:Active

SecurityApplianceInternetPrimary:Failed

SecurityApplianceInternetSecondary:Active

SecurityApplianceSecondary:Standby

SecurityApplianceFailoverSerialCableSerialCable第三十五页，共六十七页，编辑于2023年，星期四步骤一：连接备份防火墙

蓝狐网络技术培训学校Internet.7Secondary

SecurityAppliance.1.2.7Primary

SecurityAppliance第三十六页，共六十七页，编辑于2023年，星期四步骤二：连接FailoverCable

蓝狐网络技术培训学校Primary

SecurityApplianceSecondary

SecurityAppliancePrimaryLabeledConnector第三十七页，共六十七页，编辑于2023年，星期四步骤三：配置主防火墙

蓝狐网络技术培训学校Internet.7Secondary

SecurityAppliance.1.2.7fw2(config)#failoverfw2(config)#interfaceethernet0fw2(config-if)#ipaddressstandbyfw2(config)#interfaceethernet1fw2(config-if)#ipaddressstandbyfw2(config)#failoverpolltimeunit10Failovercable在主防火墙上开启failover在主防火墙上配置active和standbyip地址(可选)配置failover,hello时间第三十八页，共六十七页，编辑于2023年，星期四showfailover命令：备份防火墙Poweroff

蓝狐网络技术培训学校fw2#showfailoverFailoverOnCablestatus:OthersidenotconnectedFailoverunitPrimaryFailoverLANInterface:N/A-Serial-basedfailoverenabledUnitPollfrequency15seconds,holdtime45secondsInterfacePollfrequency15secondsInterfacePolicy1MonitoredInterfaces3of250maximumLastFailoverat:13:21:38UTCDec102004Thishost:Primary-ActiveActivetime:200(sec)Interfaceoutside():Normal(Waiting)Interfaceinside():Normal(Waiting)Interfacedmz():Normal(Waiting)Otherhost:Secondary–NotdetectedActivetime:0(sec)Interfaceoutside():Unknown(Waiting)Interfaceinside():Unknown(Waiting)Interfacedmz():Unknown(Waiting)StatefulFailoverLogicalUpdateStatisticsLink:Unconfigured第三十九页，共六十七页，编辑于2023年，星期四步骤四：备份防火墙加电

蓝狐网络技术培训学校复制主防火墙配置到辅助防火墙Internet.7Secondary

SecurityAppliance.1.2.7ReplicationDetectedanactivemateBeginningconfigurationreplicationtomate.Endconfigurationreplicationtomate.PowerOn第四十页，共六十七页，编辑于2023年，星期四showfailover

蓝狐网络技术培训学校DetectedanactivemateBeginningconfigurationreplicationtomate.Endconfigurationreplicationtomate.fw2#showfailoverFailoverOnCablestatus:NormalFailoverunitPrimaryFailoverLANInterface:N/A-Serial-basedfailoverenabledUnitPollfrequency15seconds,holdtime45secondsInterfacePollfrequency15secondsInterfacePolicy1MonitoredInterfaces3of250maximumLastFailoverat:13:21:38UTCDec102004Thishost:Primary-ActiveActivetime:300(sec)Interfaceoutside():NormalInterfaceinside():NormalInterfacedmz():NormalOtherhost:Secondary–StandbyReadyActivetime:0(sec)Interfaceoutside():NormalInterfaceinside():NormalInterfacedmz():NormalStatefulFailoverLogicalUpdateStatisticsLink:Unconfigured第四十一页，共六十七页，编辑于2023年，星期四强制切换

蓝狐网络技术培训学校Primary:StandbyActive

fw1InternetSecondary:ActiveStandby

fw2fw2(config)#failoveractive强制将防火墙设备切换到active状态failoveractivefw1(config)#第四十二页，共六十七页，编辑于2023年，星期四故障恢复详细配置蓝狐网络技术培训学校基于Cable故障恢复配置基于LAN的故障恢复配置第四十三页，共六十七页，编辑于2023年，星期四5.7.2基于LAN的故障恢复配置蓝狐网络技术培训学校主备模式A/S配置负载均衡模式A/A配置第四十四页，共六十七页，编辑于2023年，星期四LAN-BasedFailover配置步骤

蓝狐网络技术培训学校CompletethefollowingtaskstoconfigureLAN-basedfailover:InstallaLAN-basedfailoverconnectionbetweenprimaryandsecondarysecurityappliances.Configuretheprimarysecurityappliance.Configuretheprimarysecurityapplianceforstatefulfailover.SavetheprimarysecurityapplianceconfigurationtoFlashmemory.Poweronthesecondarysecurityappliance.ConfigurethesecondarysecurityappliancewiththeminimumfailoverLANcommandset.SavethesecondarysecurityapplianceconfigurationtoFlashmemory.ConnectthesecondaryunitLANfailoverinterfacetothenetwork.Rebootthesecondarysecurityappliance.第四十五页，共六十七页，编辑于2023年，星期四以太网failover连线

蓝狐网络技术培训学校Primary

SecurityApplianceInternete0Secondary

SecurityAppliancee1e0e1e2e2LANFailover第四十六页，共六十七页，编辑于2023年，星期四Lan-based:配置主和辅助地址

蓝狐网络技术培训学校fw1(config)#interfaceethernet0fw1(config-if)#ipaddressstandbyfw1(config)#interfaceethernet1fw1(config-if)#ipaddressstandbyfw1(config)#interfaceethernet2fw1(config-if)#ipaddressstandbyPrimary

fw1Internet.7Secondary

SecurityAppliance.1.2.7.1.7第四十七页，共六十七页，编辑于2023年，星期四Lan-based:配置primary

蓝狐网络技术培训学校fw2(config)#interfaceethernet3fw2(config-if)#noshutfw2(config)#failoverlaninterfaceLANFAILethernet3fw2(config)#failoverinterfaceipLANFAILstandby

fw2(config)#failoverlanenablefw2(config)#failoverlanunitprimaryfw2(config)#failoverkey1234567fw2(config)#failoverPrimary

fw1Internet.7Secondary

SecurityAppliance.1.2.7.1.7第四十八页，共六十七页，编辑于2023年，星期四状态型故障切换

蓝狐网络技术培训学校failoverlinkif_name[phy_if]fwfirewall(config)#fw2(config)#failoverlinkLANFAILSpecifiesthenameofthededicatedinterfaceusedforstatefulfailover.Primary

fw1Internet.2Secondary

SecurityAppliance.1.1.2Statefulfailovere2e2第四十九页，共六十七页，编辑于2023年，星期四LANFailover配置:Secondary

蓝狐网络技术培训学校Primary

fw1Internet.2Secondary

fw2.1.1.2.1.7fw2(config)#interfaceethernet3fw2(config-if)#noshutfw2(config)#failoverlaninterfaceLANFAILethernet3fw2(config)#failoverinterfaceipLANFAILstandby

fw2(config)#failoverlanunitsecondaryfw2(config)#failoverlankey1234567fw2(config)#failoverlanenablefw2(config)#failover第五十页，共六十七页，编辑于2023年，星期四主备复制

蓝狐网络技术培训学校FailoverLANbecameokaySwitchoverenabledDetectedanActivemateBeginningconfigurationreplicationsendingtomate.Endconfigurationreplicationtomate.fw2#shfailhistory==========================================================================FromStateToStateReason==========================================================================StandbyReady JustActive OtherunitwantmeActiveJustActive ActiveDrain OtherunitwantmeActiveActiveDrain ActiveApplyingConfig OtherunitwantmeActiveActiveApplyingConfig ActiveConfigApplied OtherunitwantmeActiveActiveConfigApplied Active OtherunitwantmeActive==========================================================================Primary

fw1InternetSecondary

fw2第五十一页，共六十七页，编辑于2023年，星期四showfailover命令

蓝狐网络技术培训学校fw2(config)#shfailFailoverOnCablestatus:N/A-LAN-basedfailoverenabledFailoverunitSecondaryFailoverLANInterface:lanfailEthernet3(up)UnitPollfrequency15seconds,holdtime45secondsInterfacePollfrequency15secondsInterfacePolicy1MonitoredInterfaces3of250maximumLastFailoverat:18:03:38UTCNov122004Thishost:Primary-activeActivetime:375(sec)Interfaceoutside():Normal(Waiting)Interfaceinside():Normal(Waiting)Interfacedmz():Normal(Waiting)Otherhost:Secondary–StandbyReadyActivetime:3795(sec)Interfaceoutside():Normal(Waiting)Interfaceinside():Normal(Waiting)Interfacedmz():Normal(Waiting)第五十二页，共六十七页，编辑于2023年，星期四failovermacaddress

蓝狐网络技术培训学校failover

macaddressmif_nameact_macstn_macfw1(config)#fw2(config)#failovermacaddressethernt000a0.c989.e48100a0.c969.c7f1fw2(config)#failovermacaddressethernet100a0.c976.cde500a0.c922.9176EnablesyoutoconfigureavirtualMACaddressforasecurityappliancefailoverpair.Primary

fw1Internet.2.1.1.2InsideMACaddressAct-00a0.c976.cde5Stby-00a0.c922.9176OutsideMACaddressAct-00a0.c989.e481Stby-00a0.c969.c7f1第五十三页，共六十七页，编辑于2023年，星期四基于LAN的故障恢复配置蓝狐网络技术培训学校主备模式A/S配置负载均衡模式A/A配置第五十四页，共六十七页，编辑于2023年，星期四5.7.3Active/ActiveFailover

蓝狐网络技术培训学校Active/activefailover需要使用contexts.例如上图,每个防火墙均创建了2个contextCTX1CTX2通过如同配置,每一个防火墙拥有一个activecontext和standbycontext.Activecontext处理流量

Standbycontext在对等体防火墙中.Active/ActiveFailoverInternet21CTX1-ActiveCTX2-StandbyCTX1-StandbyCTX2-Activee0e3e1e4e2e0e3e1e4e212TrafficTrafficUnitBActive/StandbyUnitAActive/Standby第五十五页，共六十七页，编辑于2023年，星期四Active/ActiveFailover(Cont.)

蓝狐网络技术培训学校在Failed的情况下,单元A检测到CTX1的outside接口e0出现故障

CTX1被置为failed状态.

单元A拥有一个failed和一个standbycontext.

在单元B上,CTX1变为active.

单元B拥有两个activecontexts.

两个activecontexts都处理流量.Failovercanbecontext-basedorunit-based.Internet2CTX1-ActiveCTX2-Activee0e3e1e4e212TrafficTrafficCTX2-Standbye3e4e2UnitB:Active/ActiveUnitA:Failed/StandbyCTX1-Failede1e01第五十六页，共六十七页，编辑于2023年，星期四配置failover连接

蓝狐网络技术培训学校fw2(config)#interfaceethernet2fw2(config-if)#noshutfw2(config)#failoverlaninterfaceLANFAILethernet2fw2(config)#failoverinterfaceipLANFAILstandbyfw2(config)#failoverlanenablefw2(config)#failoverlinkLANFAILethernet2fw2(config)#failoverlankey1234567CTX1-Group1CTX2-Group2e0e1CTX1-Group1CTX2-Group2e0e12112FailoverLinke2e3e4e3e4e2第五十七页，共六十七页，编辑于2023年，星期四FailoverGroup

蓝狐网络技术培训学校Active/activefailoveraddssupportforfailovergroup.Failoverisperformedonaunitorgrouplevel.Agroupiscomprisedofoneormorecontexts.Eachfailovergroupcontainsseparatestatemachinestokeeptrackofthegroupfailoverstate.fw2(config)#failovergroup1fw2(config-fover-group)#primaryfw2(config)#failovergroup2fw2(config-fover-group)#secondaryCTX1-Group1CTX2-Group2e0e1e2CTX1-Group1CTX2-Group2e0e1e22112Group1e3e4e3e4PrimarySecondary第五十八页，共六十七页，编辑于2023年，星期四安全环境配置

蓝狐网络技术培训学校fw2(config)#contextctx1fw2(config-ctx)#allocate-interfaceethernet0fw2(config-ctx)#allocate-interfaceethernet1fw2(config-ctx)#config-urlflash:/ctx1.cfgfw2(config-ctx)#join-failover-group1

fw2(config)#contextctx2fw2(config-ctx)#allocate-interfaceethernet3fw2(config-ctx)#allocate-interfaceethernet4fw2(config-ctx)#config-urlflash:/ctx2.cfgfw2(config-ctx)#join-failover-group2

Internet21CTX1-Group1CTX2-Group2e0e1CTX1-Group1CTX2-Group2e0e112e3e4e3e4Associateinterfacesandagrouptoacontext第五十九页，共六十七页，编辑于2023年，星期四安全环境配置:配置端口

蓝狐网络技术培训学校fw2(config)#changetocontextctx1fw2/ctx1(config)#interfaceethernet0fw2/ctx1(config-if)#ipaddressstandbyfw2/ctx1(config-if)#nameifoutsidefw2/ctx1(config-if)#exitfw2/ctx1(config)#interfaceethernet1fw2/ctx1(config-if)#ipaddressstandbyfw2/ctx1(config-if)#nameifinsidefw2/ctx1(config-if)#exitContext1Interfacee0IPaddressStandbyInterfacee1IPAddressStandbyContext2Interfacee3IPaddressStandbyInterfacee4IPaddressStandbyCTX1-Group1ActiveCTX2-Group2StandbyInternet21e0e3e1e4e2第六十页，共六十七页，编辑于2023年，星期四Showfailover:part1

蓝狐网络技术培训学校fx2#showfailoverFailoverOnCablestatus:N/A-LAN-basedfailoverenabledFailoverunitPrimaryFailoverLANInterface:lanfailEthernet2(up)UnitPollfrequency15seconds,holdtime45secondsInterfacePollfrequency15secondsInterfacePolicy1MonitoredInterfaces4of250maximumGroup1lastfailoverat:15:54:49UTCDec142004Group2lastfailoverat:15:55:00UTCDec142004Internet21CTX1-Group1ActiveCTX2-Group2Standbye0e1e2CTX1-Group1StandbyCTX2-Group2Activee0e1e212Primarye3e4e3e4第六十一页，共六十七页，编辑于2023年，星期四ShowFailover:Part2

蓝狐网络技术培训学校fx2#showfailover………….Thishost:PrimaryGroup1State:ActiveActivetime:63015(sec)Group2State:StandbyReadyActivetime:0(sec)ctx1Interfaceoutside():Normalctx1Interfaceinside():Normal