1 背景
here we got 2 cisco firepower 2140 hardware appliance
we’re planning to run ASA on it. and config failover for Primary Unit and Secondary Unit
现场2台Cisco firepower 2140防火墙, 运行ASA模式, 双机组HA,心跳线使用E1/11, E1/12, 配置port-channel
先看看FPR2140物理外观长啥样?
左上角的是 管理口
左下角是console
然后就是数据接口了,12个千兆电口,4个万兆SFP+,另外最右侧还有个扩展卡,可以插万兆的SFP+子卡。
** 话说怎么管理FPR2140 ?
FPR2140面板 左上角的那个电口就是管理口,而FDM和里面跑的ASA的管理都是复用这一个管理接口
而FPR4000系列就有所不同,FXOS的管理是面板上的,ASA的管理是需要使用另外的接口。
那么这2个管理IP有啥要求?
这2个IP必须是在同一网段。
怎么设置管理口IP
以管理IP为10.248.1.211/24 ,网关为10.248.1.254为例
firepower-2110# scope system
firepower-2110 /system # scope services
firepower-2110 /system/services # disable dhcp-server
firepower-2110 /system/services* # commit-buffer
firepower-2110# scope fabric-interconnect a
firepower-2110 /fabric-interconnect #
firepower-2110 /fabric-interconnect # set out-of-band static ip 10.248.1.211 netmask 255.255.255.0 10.248.1.254
Warning: When committed, this change may disconnect the current CLI session
firepower-2110 /fabric-interconnect # commit-buffer
配置完成后,查看生效的管理IP
firepower-2140 /fabric-interconnect # show
Fire Power:
ID OOB IP Addr OOB Netmask OOB Gateway OOB IPv6 Address Prefix OOB IPv6 Gateway Operability
---- --------------- --------------- --------------- ---------------- ------ ---------------- -----------
A 10.248.1.211 255.255.255.0 10.248.1.254 :: 64 :: Operable
firepower-2140 /fabric-interconnect #
配置完成后,就可以网页 https://10.248.1.211打开GUI界面了
2 配置步骤
2.1创建互联的port-channel
FPR2100系列在ASA里面可创建不了port-channel,ASA上根本没这命令,奇葩吧
需要在FPR2100的FDM管理页面上创建 (FDM全称: Firepower Device Manager, 即firepower自带的管理平台)
长这个样子
2.1.1 interfaces —> Add Portchannel
2.1.2 指定ID及接口
另一台FPR2140也同样操作配置port-channel
2.2 进入ASA
firepower-2140# conn asa
Attaching to ASA CLI ... Press 'Ctrl+a then d' to detach.
Type help or '?' for a list of available commands.
FW-2140-1/pri/act#
2.3 查看port-channel接口
FW-2140-1/pri/act# show int ip brief
Interface IP-Address OK?