はじめに
ASA 9.18.1 / FTD 7.2リリースより追加された設定同期の最適化(HA Config Sync Optimization)により、アクティブユニットと参加ユニットの両方で計算されたハッシュが一致する場合、参加ユニットは完全な設定同期をスキップして HA に再参加します。この機能により、さらに迅速な HA ピアリングが可能になり、メンテナンスウィンドウとアップグレード時間が短縮されます。
変更点
以前まで
- 一台目の機器が起動し、HAピアは検出しないため、当該機器はACTIVEとなります。
- 次にもう一台の機器がスタートアップコンフィグを読み込み起動し、HAピアを検出すると読み込んだコンフィグをクリアし、アクティブ機のコンフィグの同期を実行します。
変更後
- 上記の2.の手順において、二台目の機器の起動後、HAピア両機にてコンフィグのハッシュ値の交換を実施し、コンフィグ内容の差異の有無につき確認を行います。
- コンフィグのハッシュ値が一致した場合、コンフィグのクリアおよびアクティブ機からのコンフィグ同期の実施をスキップします。
利点
- ACL、NAT 処理スレッドであるtmatch コンパイルプロセス負荷の軽減
- HA ピアリングの高速化
- アップグレード等のメンテナンスウィンドウ時間の短縮
制限事項
- ASA バージョン 9.18.1 以降では、デフォルトで有効になっています。
- ASA のマルチコンテキストモードは、設定同期最適化機能をサポートしています。
- パスフレーズとフェールオーバー IPsec キーを設定すると、設定同期最適化機能の効果を得られません。
- ダイナミック ACL または SNMPv3 を設定すると、設定同期最適化機能の効果を得られません。
- アクティブユニットとスタンバイユニット間のフェールオーバー フラッピングの間、設定同期最適化機能はトリガーされず、完全な設定同期が実行されます。
シスログ、トラブルシューティング
追加されたシスログ
709009 Configuration on Active and Standby is matching. No Config Sync
709010 Configuration between units doesn't match. Going for config sync
709011 Total time to decide config sync or skip %u ms(milliseconds)
709012 Total time to sync the config %u ms(milliseconds)
709013 Skip configuration replication from mate as configuration on Active and Standby is matching
例1: コンフィグが合致しない場合にセカンダリ機より出力されるシスログ
%ASA-5-709010: Configuration between units doesn't match. Going for config sync (1)
%ASA-6-709011: Total time to decide config sync or skip 60080 ms
%ASA-6-709012: Total time to sync the config 357030
例2: コンフィグが合致する場合にセカンダリ機より出力されるシスログ
%ASA-5-709009: (Secondary) Configuration on Active and Standby is matching. No config sync
%ASA-6-709011: Total time to decide config sync or skip 17000 msConfiguration on Active and Standby is matching.
%ASA-1-709013: Skip configuration replication from mate as configuration on Active and Standby is matching
設定同期の最適化の無効・有効化の設定方法
debug menu fover12 {1: Enable | 2: Disable}
asa# debug menu fover12 1
asa# show failover config-sync status
Config Sync Optimization is enable
asa# debug menu fover12 2
asa# show failover config-sync status
Config Sync Optimization is disabled
参考情報
