Cisco: ASA + Etherchannel + Failover + Multicontext

Сразу ремарка: IP SLA, Route Tracking в режиме Multicontext НЕ РАБОТАЕТ. Функционал давно запрошен (требует логин), но «воз и ныне там». Проверяйте документацию. На момент написания статьи в софте версии 9.8 данного функционала не было. Если нужно переключение между провайдерами внутри контекста, используйте протокол маршрутизации.

Начнем.

Схема физическая:

Имеем некий пограничный коммутатор. В него подключено 2 провайдера, DMZ, локальная сеть. Все это «хозяйство» VLAN’ами спускается по etherchannel на 2 Cisco ASA, объединенные в active/standby failover. Между Cisco ASA также настроен etherchannel.

Схема логическая:

Здесь ASA имеет соседа в EIGRP и получает от него анонс внутренней сети 10.10.10.0/24. Также ASA имеет соседей в OSPF в виде провайдерских шлюзов и получает от них анонсы маршрута по-умолчанию.

CTX-ADMIN, CTX-MAINGW — названия административного и рабочего контекстов.

В данном примере выбор и настройка протоколов маршрутизации имеет цель показать, что без пиринга с провайдерами не реализовать переключение между ними. В наличии у меня была ASA OS версии 9.1.5, поэтому использовал то, что имелось на борту — EIGRP и OSPF. BGP внедрили в более поздних версиях.

Задачу по настройке Cisco ASA разделим на 3 последовательных этапа:
1) настройка etherchannel’ов;
2) настройка failover’а;
3) настройка административного и рабочего контекстов.

Настройка EtherChannel.

Настраиваем ASAv_9.15-1.

— Удаляем старые настройки и переводим Cisco ASA в режим поддержки контекстов безопасности:

write erase
mode multiple

(перезагрузка)

— Создаем etherchannel’ы в сторону пограничного коммутатора и в сторону ASAv_9.15-2 для организации failover линка.

interface ethernet 0 
 channel-group 1 mode on
 interface ethernet 1         
 channel-group 1 mode on
interface port-channel 1
 description TRUNK_TO_BORDER_SW
 sh
 no sh

interface ethernet 6
 channel-group 2 mode on             
 interface ethernet 7          
 channel-group 2 mode on
interface port-channel 2
 description FAILOVER_LINK
 sh                      
 no sh

Настраиваем ASAv_9.15-2.

Настройка абсолютно идентична ASAv_9.15-1.

Настройка Active/Standby Failover’а.

Настраиваем ASAv_9.15-1.

Данная Cisco ASA будет первичной в failover’е.

failover lan unit primary
failover lan interface FAILOVER_IF Port-channel2
failover interface ip FAILOVER_IF 192.168.0.1 255.255.255.252 standby 192.168.0.2
! Линк для statefull failover. Не рекомендуется использовать низкоскоростные линки.
! Если не настраивать - получим stateless failover.
failover link FAILOVER_IF Port-channel2
! включаем failover
failover

Настраиваем ASAv_9.15-2.

Настройка почти идентична за исключением роли в failover’е — secondary.

failover lan unit secondary 
failover lan interface FAILOVER_IF Port-channel2
failover interface ip FAILOVER_IF 192.168.0.1 255.255.255.252 standby 192.168.0.2
! Линк для statefull failover. Не рекомендуется использовать низкоскоростные линки.
! Если не настраивать - получим stateless failover.
failover link FAILOVER_IF Port-channel2
! включаем failover
failover

Failover у нас собран, настройки между unit primary и unit secondary синхронизировались.
Все дальнейшие настройки производим только на ASAv_9.15-1.

Настройка контекстов безопасности.

— Для удобства изменим отображение имени устройства в консоли:

ciscoasa(config)# prompt hostname context priority state 
ciscoasa/pri/act(config)# 

— Перейдем в системные настройки.

changeto system

— Разберем на сабинтерфейсы теги VLAN’ов, приходящих по etherchannel с пограничного коммутатора.

int port-channel 1.100
 vlan 100
 description WAN_ISP_1
 no sh

int port-channel 1.200
 vlan 200
 description WAN_ISP_2
 no sh

int port-channel 1.300
 vlan 300
 description DMZ
 no sh

int port-channel 1.400
 vlan 400
 description LAN
 no sh

— Укажем генерировать автоматически уникальные МАК адреса интерфейсов контекстов безопасности для классификации пакетов, между shared интерфейсами.

mac-address auto

Настраиваем административный контекст.

Данный контекст будем использовать исключительно для управления, заниматься передачей трафика он не будет.

! переходим в системные настройки
changeto system

admin-context CTX-ADMIN 
context CTX-ADMIN
 config-url flash:/CTX-ADMIN.CFG
 allocate-interface port-channel1.400 LAN_IF

LAN_IF — название интерфейса под которым он будет виден внутри контекста.

Проверяем:

# sh context 
Context Name      Class      Interfaces           Mode         URL
*CTX-ADMIN        default    Port-channel1.400    Routed       disk0:/CTX-ADMIN.CFG

Total active Security Contexts: 1

— Перейдем внутрь административного контекста и настроим SSH.

changeto context CTX-ADMIN

interface LAN_IF 
 nameif LAN
 security-level 100
 ip address 10.18.0.11 255.255.255.0 standby 10.18.0.12

! заводим пользователя
username cisco password cisco privilege 15

! аутентифицировать пользователей SSH  в локальной базе Cisco ASA
aaa authentication ssh console LOCAL 

! генерация ключа SSH
domain-name HQ.CORP
crypto key generate rsa modulus 2048

ssh 10.0.0.0 255.0.0.0 LAN 
ssh version 2
ssh key-exchange group dh-group14-sha1 

! дефолт в сторону LAN_CORE_GW
route LAN 0 0 10.18.0.3

Настраиваем рабочий контекст.

— Создадим контекст CTX-MAINGW.

! переходим в системные настройки
changeto system 

context CTX-MAINGW
 config-url flash:/CTX-MAINGW.CFG
 allocate-interface Port-channel1.100 WAN_ISP1_IF  
 allocate-interface Port-channel1.200 WAN_ISP2_IF  
 allocate-interface Port-channel1.300 DMZ_IF
 allocate-interface Port-channel1.400 LAN_IF

Проверяем:

ciscoasa/pri/act# sh context 
Context Name      Class      Interfaces           Mode         URL
*CTX-ADMIN        default    Port-channel1.400    Routed       disk0:/CTX-ADMIN.CFG
 CTX-MAINGW       default    Port-channel1.100,   Routed       disk0:/CTX-MAINGW.CFG
                             200,300,400         

Total active Security Contexts: 2

— Настроим интерфейсы внутри контекста CTX-MAINGW.

changeto context CTX-MAINGW

interface LAN_IF
 nameif LAN
 security-level 100
 ip address 10.18.0.1 255.255.255.0 standby 10.18.0.2

interface WAN_ISP1_IF
 nameif WAN_ISP1
 security-level 0
 ip address 1.1.1.2 255.255.255.252

interface WAN_ISP2_IF
 nameif WAN_ISP2
 security-level 0
 ip address 2.2.2.2 255.255.255.252

interface DMZ_IF
 nameif DMZ
 security-level 50
 ip address 10.200.200.1 255.255.255.0 standby 10.200.200.2

— Настраиваем маршрутизацию контекста CTX-MAINGW с провайдерами.

router ospf 1
 network 1.1.1.0 255.255.255.252 area 0
 network 2.2.2.0 255.255.255.252 area 0
 log-adj-changes

! основной провайдер
interface WAN_ISP1_IF
 ospf cost 10

! резервный провайдер
interface WAN_ISP2_IF
 ospf cost 20

Проверяем соседей:

ciscoasa/CTX-MAINGW/pri/act# sh ospf neighbor 

Neighbor ID     Pri   State           Dead Time   Address         Interface
1.1.1.1           1   FULL/BDR        0:00:35     1.1.1.1         WAN_ISP1
2.2.2.1           1   FULL/BDR        0:00:26     2.2.2.1         WAN_ISP2

Проверяем пришел ли дефолт:

ciscoasa/CTX-MAINGW/pri/act# sh route 

Gateway of last resort is 1.1.1.1 to network 0.0.0.0

C    1.1.1.0 255.255.255.252 is directly connected, WAN_ISP1
C    2.2.2.0 255.255.255.252 is directly connected, WAN_ISP2
C    10.200.200.0 255.255.255.0 is directly connected, DMZ
C    10.18.0.0 255.255.255.0 is directly connected, LAN
O*E2 0.0.0.0 0.0.0.0 [110/1] via 1.1.1.1, 0:00:57, WAN_ISP1

— Настраиваем внутреннюю маршрутизацию.

router eigrp 1
 no auto-summary
 network 10.18.0.0 255.255.255.0
 passive-interface default
 no passive-interface LAN
 ! редистрибьюция дефолта внутрь
 redistribute ospf 1 metric 1 1 1 1 1500

Проверяем соседей:

ciscoasa/CTX-MAINGW/pri/act# sh eigrp neighbors 
EIGRP-IPv4 neighbors for process 1
H   Address                 Interface       Hold Uptime   SRTT   RTO  Q  Seq
                                            (sec)         (ms)       Cnt Num
0   10.18.0.3               LAN              9   00:03:12 82   492   0   4

Маршрутизация:

ciscoasa/CTX-MAINGW/pri/act# sh route

Gateway of last resort is 1.1.1.1 to network 0.0.0.0

C    1.1.1.0 255.255.255.252 is directly connected, WAN_ISP1
C    2.2.2.0 255.255.255.252 is directly connected, WAN_ISP2
D    10.10.10.0 255.255.255.0 [90/153600] via 10.18.0.3, 0:03:36, LAN
C    10.200.200.0 255.255.255.0 is directly connected, DMZ
C    10.18.0.0 255.255.255.0 is directly connected, LAN
O*E2 0.0.0.0 0.0.0.0 [110/1] via 1.1.1.1, 0:10:19, WAN_ISP1

Настройка оборудования лабораторного стенда.