ASA5515 HSRP问题

[seasonli72658]

本帖最后由 seasonli72658 于 2020-4-16 11:24 编辑

上面是现在的拓扑图，公司想把两台ASA5515做HSRP协议可以让一台坏了自动切换到另一台上
现在我们的核心交换是做了堆叠的，核心交换到两个防火墙分别做了Port-channel，如果在加上HSRP会不会有什么影响呢，还有就是ASA防火墙支持HSRP协议吗？

[YilinChen]

ASA5515可以实现HA（A/A 或 A/S），具体要看设备license，不建议搞HSRP，印象中9.x版本后是支持VRRP，个人建议还是能堆叠就堆叠

[ghkjobs]

本帖最后由 ghkjobs@163.com 于 2020-4-16 09:30 编辑
你的上网行为是串联的看图应该是三层模式吧，想做failover 先把网康串进来。然后两台asa 做主备的failover。但是你的asa是在网络的出口，outside 是两个地址，AS 模式也不太合适。根据你们现网的实际情况，搞一下AA的failover 。看看两台设备的license。是不是支持再说吧

[seasonli72658]

YilinChen 发表于 2020-4-16 09:10
ASA5515可以实现HA（A/A 或 A/S），具体要看设备license，不建议搞HSRP，印象中9.x版本后是支持VRRP，个人 ...

我把防火墙的license上传到上面了，这个要看哪项呢，支持A/A还是A/S,因为不想花钱所以要用这个，我在网上看说HSRP出故障的概率比较高，顺便在问一下VRRP这个相对HSRP是不是好一些我的防火墙版本是9.X后的

[ghkjobs]

本帖最后由 ghkjobs@163.com 于 2020-4-16 10:11 编辑
支持AAfailover的，但是你的context 授权只有两个。你要自己规划一下。主要是你的上网行为管理这个玩意，看看怎么部署进来。设备重要信息注意打码保护一下

[seasonli72658]

ghkjobs@163.com 发表于 2020-4-16 10:08
支持AAfailover的，但是你的context 授权只有两个。你要自己规划一下。主要是你的上网行为管理这个玩意，看 ...

这个忘记打码了哈，我的网康是用的穿透功能，这个对HSRP应当没什么影响吧，还有我想问一下context授权是做什么用的呢，我不太懂这个

[seasonli72658]

ghkjobs@163.com 发表于 2020-4-16 10:08
支持AAfailover的，但是你的context 授权只有两个。你要自己规划一下。主要是你的上网行为管理这个玩意，看 ...

是不是最多可以虚拟出2个防火墙呢

[ghkjobs]

一般ASA的热备技术，使用vrrp 或者hsrp的都比较少。现在主要是failover 和cluster技术。context你可以想象成，把一个物理fw 分割成不同的虚拟防火墙。通过asa 的failover 功能实现hsrp的功能。

[ghkjobs]

给你参考一下，类似这种模式。

[seasonli72658]

ghkjobs@163.com 发表于 2020-4-16 10:27
给你参考一下，类似这种模式。

有failover 的配置案例可以给我参考一下吗，我没配置过这个。可以加一下你的Q吗

[ghkjobs]

我私信你了

[YilinChen]

看来可以做AA，说白了这2台防火墙也堆叠在一起，从其它设备的角度来看，是一台防火墙设备；

[seasonli72658]

YilinChen 发表于 2020-4-16 13:36
看来可以做AA，说白了这2台防火墙也堆叠在一起，从其它设备的角度来看，是一台防火墙设备；

好的我先了解一下，非常感谢解答

[seasonli72658]

YilinChen 发表于 2020-4-16 13:36
看来可以做AA，说白了这2台防火墙也堆叠在一起，从其它设备的角度来看，是一台防火墙设备；

问一下如果做AA是不是我整个拓扑就要变了呢，我核心和防火墙的端口聚合channnel也要拿 掉了

[seasonli72658]

YilinChen 发表于 2020-4-16 13:36
看来可以做AA，说白了这2台防火墙也堆叠在一起，从其它设备的角度来看，是一台防火墙设备；

可以帮我看一下，我的路由器和行为管理器怎么接进来才好吗？路由器是不是得留出来四个口才可以