Cisco ASA Failover (Active standby) probleem

[peterbr]

Hallo Allemaal,

We zitten met een probleem waar ik het hele internet voor het afgezocht maar nog geen antwoord heb kunnen vinden.
Het probleem is. We hebben 2 Cisco ASA 5512-x apparaten die geconfigureerd staan in een Failover (Active Standby).
De configuratie werkt goed en bij een failover merk je niets. alleen nu is het probleem dat de outside interfaces zitten aangesloten op twee routers
Cisco A gaat naar Router A en Cisco B gaat naar Router B.
Als 1 Router of ASA uitvalt werkt de Failover perfect. Alleen het laatste jaar is het twee keer voor gekomen dat een router een probleem had met het doorgeven van het internet alleen op de ASA's was geen failover omdat de poort van de router nog steeds online was.
nadat we de poort op de router een shutdown hadden gegeven was er een failover en werkte het internet weer
Lang verhaal maar nu is mijn vraag. is het mogelijk om een soort ping uit te voeren op de ASA (zoals op een back-up IPS verbinding) waarbij als er geen ping is een failover plaats vind.

Alvast bedankt voor het mee denken

Peter

[dujour]

Ik zou eens kijken naar "interface monitoring".
Dit op de uplink interface instellen.

http://www.cisco.com/c/en...a_overview.html#wp1079010

[_-= Erikje =-_]

tracking is wat je wilt

[winux]

Tracking van een public IP-adres bijv. 8.8.8.8 verhelpt dit.
Op routers is dit IP SLA maar weet niet zeker of dit ook op ASA hetzelfde is.

[Barreljan]

Ik zou dan wel tracking doen naar de gateway, ipv een host op Internet.

[_-= Erikje =-_]

tracking naar het ip dat 1 hop verder ligt dan je eigen router/modem. Op die manier check je of je router/modem nog verbinding heeft. Het is altijd lastig om een (ver weg) gelegen hop te kiezen, je kan immers ook problemen aan de andere kant hebben.

[winux]

_-= Erikje =-_ schreef op donderdag 11 augustus 2016 @ 11:20:
tracking naar het ip dat 1 hop verder ligt dan je eigen router/modem. Op die manier check je of je router/modem nog verbinding heeft. Het is altijd lastig om een (ver weg) gelegen hop te kiezen, je kan immers ook problemen aan de andere kant hebben.

Opzich helemaal mee eens. Alleen omdat TS aangaf dat de port online blijft, vraag ik met af of de gateway dan wel down gaat (ik begrijp dat deze 2 technisch los staan van elkaar), of dat het probleem zich daarachter bevind bij de ISP.

Vandaar ook 8.8.8.8 aangezien deze (voor zover ik niet weet) niet tot nauwelijks problemen geeft.

Maar in de regel ben ik het helemaal met je eens Erik.

[Bl@ckbird]

Failover van de ASA's en failover van de connectie naar internet zijn natuurlijk twee verschillende dingen.

Check even de best practices in:
http://www.cisco.com/c/en...ver.html#ID-2107-00000076

Static Route Tracking op de ASA:
http://www.cisco.com/c/en...tic.html#ID-2105-00000029

Als de DNS servers van Google ( 8.8.8.8 ) of van OpenDNS Cisco ( 208.67.222.222 ) uitvallen, zijn er wel grotere problemen dan een ASA die er uit ligt. ( Nuclear meltdown, komeet inslag, zombies )

[peterbr]

Allemaal bedankt voor de reacties. Alleen het Tracking mechanisme werkt volgens mijn alleen voor een dual IP verbinding (Back-up line) ik weet dat je dan naar b.v. 8.8.8.8 kan "pingen" en als dat niet werkt gaat de ASA over op de Back-up IPS verbinding. Maar bij deze opstelling is er 1 ISP met twee routers met hetzelfde "gateway" adres. Dus bij een tracking moet deze niet overschakelen naar een twee ISP maar naar een twee ASA en volgens mijn kan dat niet.

[peterbr]

dujour schreef op donderdag 11 augustus 2016 @ 07:46:
Ik zou eens kijken naar "interface monitoring".
Dit op de uplink interface instellen.

http://www.cisco.com/c/en...a_overview.html#wp1079010

Even dit zitten door te nemen en dit is een zeer interessante optie om uit te zoek.

Als ik het zo lees is het mogelijk om te testen of er wel verkeer overheen gaat. waar ik naar opzoek ben.

Interface is up dus geen standaard failover maar er gaat geen verkeer meer over heen dan moet er ook een failover plaats vinden.

[_Hades_]

Of anders je config anders maken, door de 2 internet routers intern een ander IP adres te geven, en deze met beide ASA's te connecteren. Dan heb je op de active ASA al tracking en hoef je alleen failover te doen van je ASA's als er 1 klapt .

[Fabian]

Wanneer wij een dergelijke setup maken dan hangt er altijd een switch (of twee switches als je meer redundantie wil) tussen de WAN routers en de ASA failover setup. Zo kun je ISP failover doen middels tracking en ASA failover middels de standaard failover config.

In een ideale wereld heb je dan ook van beide ISP's een subnetje zodat je de fallback ASA een standby kunt geven voor beide ISP's, maar dit is geen vereiste.

[vso]

ik heb dit ooit bij een klant gehad ..monitor op de eerste beste hop NA de router .. of dns van de provider .. in iedergeval niet op google of andere meuk ..het is namelijk ook voorgekomen dat een failover getriggerd word en ga dan maar eens zoeken naar ..

En geloof me je wilt dat als iemand maar kijkt naar de ASA ze de waarschuwing moeten lezen dat je monitored voor failover van internet op x.y.z .. want over 3 jaar vergeet je het en dan valt internet uit en zoek je je een ongeluk !

Overgens je kan ook via routes de internet belasting verdelen over beide ASA's ,, doe verkeer x via ASA A en de rest via ASA B ofzo ..
wil je dat niet monitor via een monitoring tool die via een sms gateway je informeert over de zooi ..
sms een manuel locatie en als "test" sms dit elke maand naar jou en je manager ofzo .. (want je bent op vakantie en ...) sms forward lekker