集群设备数量看授权
整体性能小于单个设备累加
广播选举 优先级1-100 选举完成 不抢占
集群状态 master、standby
接口模式 Spanned EtherChannel、IndividualInterface
心跳线 control link。 数据、控制层面
集群脑裂之后 设备需要手动加入集群
连接的三个角色：owner 处理数据 状态信息备份到director forwarder收到流量询问director谁是owner并转发到owner
条件：设备的软件硬件完全一样
拓扑
配置
SW
vlan 8,9,10,150
!
interface Port-channel1switchport trunk allowed vlan 8-10switchport trunk encapsulation dot1qswitchport mode trunk
!
interface GigabitEthernet0/0switchport access vlan 8switchport mode access
!
interface GigabitEthernet0/1switchport access vlan 10switchport mode access
!
interface GigabitEthernet0/2switchport access vlan 9switchport mode access
!
interface GigabitEthernet1/0switchport trunk allowed vlan 8-10switchport trunk encapsulation dot1qswitchport mode trunkchannel-group 1 mode on
!
interface GigabitEthernet1/1switchport trunk allowed vlan 8-10switchport trunk encapsulation dot1qswitchport mode trunkchannel-group 1 mode on
!
interface GigabitEthernet1/3switchport access vlan 150switchport mode access
!
interface GigabitEthernet2/0switchport trunk allowed vlan 8-10switchport trunk encapsulation dot1qswitchport mode trunkchannel-group 1 mode on
!
interface GigabitEthernet2/1switchport trunk allowed vlan 8-10switchport trunk encapsulation dot1qswitchport mode trunkchannel-group 1 mode on
！
interface GigabitEthernet2/3switchport access vlan 150switchport mode access
！ASA3
#no shutdown 所需接口
mode multiple
!
cluster interface-mode spanned
!
interface Port-channel1port-channel span-cluster
!
interface Port-channel1.8vlan 8
!
interface Port-channel1.9vlan 9
!
interface Port-channel1.10vlan 10
!
interface Ethernet0channel-group 1 mode on
!
interface Ethernet1channel-group 1 mode onadmin-context admin
context adminallocate-interface Ethernet3 allocate-interface Port-channel1.8-Port-channel1.10 config-url disk0:/tcluster group ccielocal-unit ASA3cluster-interface Ethernet2 ip 10.100.203.1 255.255.255.0priority 1health-check holdtime 3clacp system-mac auto system-priority 1enable子墙配置
ip local pool mgmt-pool 150.1.7.60-150.1.7.61
！
interface Ethernet3management-onlynameif mgmtsecurity-level 100ip address 150.1.7.59 255.255.255.0 cluster-pool mgmt-pool
!
interface Port-channel1.8mac-address 0008.0008.0008nameif insidesecurity-level 100ip address 10.100.8.1 255.255.255.0
!
interface Port-channel1.9mac-address 0009.0009.0009nameif outsidesecurity-level 0ip address 10.100.9.1 255.255.255.0
!
interface Port-channel1.10mac-address 0010.0010.0010nameif dmzsecurity-level 50ip address 10.100.10.1 255.255.255.0
!
policy-map global_policyclass inspection_defaultinspect icmp
!
ASA4
cluster interface-mode spanned
cluster group ccielocal-unit ASA4cluster-interface Ethernet2 ip 10.100.203.2 255.255.255.0priority 2enable验证：
端口聚合
A/AFailover介绍
1.安全设备可以成对搭配成A/A的FO来提供设备级的余和负载分担
2.两个设备在彼此互为备份同时，也能同时转发流量（负载均衡）.注意：负载均衡是通过相邻的路由器来实现的
3.使用虚拟子防火墙是必须的.子防火墙被归为两个FO组
4.一个物理防火墙只会在一个FO组中成为active
A/A Failover对负载的处理
1.负载分担不相干的流量A/AFO不同的子防火墙有不同的安全功能，而且设计和实验都不是很复杂每一个物理设备都有一个这样的active子防火墙（转发流量）路由指向active的子防火墙，这些子防火墙分布在两个物理设备Physical Device
2.负载分担相关流量AVAFO不同的子防火墙有相同的安全功能，在这种情况下，设计起来比较复杂.每一个物理设备都有一个这样的active子防火墙（转发流量）在邻近的路由设备上必须分割流量到两个物理设备上的两个active子防火墙上返回流量必须特殊处理
Active context的选举
当一个安全设备启动后，它开始一个FO选举过程
当在FO接口检查到一个正在协商的设备，本地FO组配置的Primary设备将成为active。
如果它检测到一个设备在两个组里都是active，那么它在两个FO组将变为standby.
如果它没有检测到设备，它在两个FO组将变为active.
这些输出结果是假设安全设备在FO组里都是健康的，如果不是，那么健康的子墙在一个FO组里将变成active.
Failover的切换事件
FO出现在设备或子防火墙级别上
当一个物理防火墙的一个组内的active成员出现故障，另一个物理防火墙的standby成员将变为active.
安全设备单元的优先级不会改变（primary/secondary是物理概念）切换发生后，IP和MAC地址在组成回到标被交换
链路类型和AS一样
部署方针和AS一样 license 需要AA
A/AFO的异步路由问题
在一个负载均衡的方案中，邻接的路由器使用ECLB静态路由和PBR来实现负载分
担数据包不从始发的设备返回，这就叫做异步路由
设备收到一个数据包，但是没有这个包的状态信息这个包被丢弃
在这种环境，必须做出配置来支持异步路由的包
把发生异步路由成员的接口指派到相同的ASR组
安全设备检查其他FO组的状态化表项
假如在其他FO组的状态化信息表项中发现这个包的状态化信息，则2层信息被重写并且包将发送给其他设备
包通过其他设备转发
ASR-Group工作细节
1.一个oubound会话穿越ASA1.它的出接口为202.100.1.10。
2.因为互联网出现了异步路由，返回流量从ASA2的61.128.1.10返回
3.正常情况这个返回流量因为在61.128.1.10这个接口无法找到会话信息，应该被丢弃。然而这个接口使用命令（asr-group1）放入了asr-group，这个单元就会查找配置相同asrgroupID接口的会话信息。
4.会话信息在接口202.100.1.20上被查找到，这个接口属于C1的备用单元。这些状态化信息是从ASA1通过StatefulFO复制到了ASA2。
5.防火墙改写数据包二层头部，修改目的MAC为202.100.1.10.并且重定向数据从202.100.1.20这个接口发出，这样流量就从发起的接口202.100.1.10返回了，保障了在异步路由情况下的正常工作。
outbound流量 在 将outside接口加入asr-group组 反之
Failover对软件的支持
处于FO配置的设备，应该具有相同的主要和次要的软件版本
在软件升级的过程当中，你可以在每台设备上运行不同的版本，并且仍然维持FO.
零停机时间升级OS步骤
下载新的软件到两个设备并且指定加载新的镜像
重启备用单元
强迫active单元切换到standby单元
重启前任active单元
恢复原active单元到active状态
