フェールオーバー時の動作について

[yamauchi]

皆様

ASA5500シリーズの実機や検証機を持っておられる方がおりましたら

HAのフェールオーバー時の動きについて教えてください。

【1】ACTIVE/ACTIVE構成の際、Primary機に障害が発生し、フェールオーバーで切り替わりが発生しても

　 通信断は発生しないという認識で宜しいでしょうか。

【2】フェールオーバーの時間について

　　フェールオーバーが発生した際、ACTIVE→STANDBYへの切り替わりの時間を教えてください。

　　また、障害/手動の発生時のトリガーによって収束に差が出るか教えてください。

【3】ACTIVE/ACTIVE構成にて通信を行っており、フェールオーバー発生時にタイミングによって通信の断やタイムアウトが

　　発生しないか教えてください。タイミングは下記となります。

　　1)inside側の端末がoutside側端末(またはその逆)にTCPのSYNを出したタイミングでフェールオーバが発生した場合

　　2)inside側の端末がoutside側端末(またはその逆)にTCPのACKを返したタイミングでフェールオーバが発生した場合

　　→ACTIVE/ACTIVEの場合、TCPの確立中のホストが障害を起こした際に逆の系に確立中のセッション情報も

　　　完全に同期されていれば何も通信に影響がないと考えております。

また、上記三点マニュアルに載っていればどこか教えてください。ASAを導入したいのですが

どこにも載っておらず資料が揃わずに困っています！

宜しくお願い致します。

[Akira Muranaka · Accepted solution]

こんにちわ！既にご解決済みかもしれないのですが、以下がご参考になれば幸いです！

>>【1】ACTIVE/ACTIVE構成の際、Primary機に障害が発生し、フェールオーバーで切り替わりが発生しても
>> 通信断は発生しないという認識で宜しいでしょうか。

どのような障害が発生したかにもよりますが、ステートフル フェールオーバーが有効な場合ですと、例えばリンクダウン時は、Failoverユニットが完全に切り替わるまでの間（長くても数秒）は パケットロスが発生します。しかし、HTTP/HTTPSやSMTP/POP3といったTCP通信は、コネクション型通信ですので、失われたパケットは再送により補完されます。したがって、極短期間のパケットドロップでは、ユーザエンド様で気付くような通信影響は無いように思います。ユーザエンドがほぼ気付かないという意味では、通信影響（コネクション切断による通信断）はほぼ無いといって問題無いかと思います。

なお、ASAのステートフル フェールオーバーで保護できない通信！もありますので、ご注意ください・・。
http://www.cisco.com/cisco/web/support/JP/docs/SEC/Firewall/ASA5500AdaptiveSecurAppli/CG/003/ha_overview.html?bid=0900e4b1830d7ae6#pgfId-1078941

>>【2】フェールオーバーの時間について
>> フェールオーバーが発生した際、ACTIVE→STANDBYへの切り替わりの時間を教えてください。
>> また、障害/手動の発生時のトリガーによって収束に差が出るか教えてください。

経験的に、数秒以内に収束します。

手動で切り替えられたほうが、以下の障害検知を待たないで良いので、より高速で安全です！
http://www.cisco.com/cisco/web/support/JP/docs/SEC/Firewall/ASA5500AdaptiveSecurAppli/CG/003/ha_active_active.html?bid=0900e4b1830d7ae6#pgfId-1080183

各障害パターン毎のフェールオーバー時間については以下もご参考に・・
http://www.cisco.com/cisco/web/support/JP/docs/SEC/Firewall/ASA5500AdaptiveSecurAppli/CG/003/ha_overview.html?bid=0900e4b1830d7ae6#pgfId-1079158

>>【3】ACTIVE/ACTIVE構成にて通信を行っており、フェールオーバー発生時にタイミングによって通信の断やタイムアウトが
>> 発生しないか教えてください。タイミングは下記となります。
>>
>> 1)inside側の端末がoutside側端末(またはその逆)にTCPのSYNを出したタイミングでフェールオーバが発生した場合
>> 2)inside側の端末がoutside側端末(またはその逆)にTCPのACKを返したタイミングでフェールオーバが発生した場合
>>
>> →ACTIVE/ACTIVEの場合、TCPの確立中のホストが障害を起こした際に逆の系に確立中のセッション情報も
>> 完全に同期されていれば何も通信に影響がないと考えております。

以下URLの通り、ステートフル フェールオーバー有効化時は TCPコネクションのステートが同期されますが、それ以上のCiscoさん公開情報は見たことがないです・・。2)は問題無いはずですが、1)が気になる場合は検証されたほうが良いかもしれません。。

Stateful Failover
http://www.cisco.com/c/en/us/td/docs/security/asa/asa90/configuration/guide/asa_90_cli_config/ha_overview.html#77337

The following state information is passed to the standby ASA when Stateful Failover is enabled:
    TCP connection states