「エキスパートに質問」：ファイアウォールについて

[CiscoJapanModerator]

シスコのプロフェッショナルと質疑応答ができる「エキスパートに質問」にようこそ！

ここでは、シスコのエキスパートから、専門的でかつ最新の情報が得られる貴重な機会となるでしょう。

テーマ：「ファイアウォールについて」

担当エキスパート：「秦 昭 （シン ショウ）」

ディスカッション開始日：2010年11月15日

「秦 昭」は、2008年カスタマーサポートエンジニアとしてシスコに入社しました。ルータとスイッチのサポートを半年間経験した後、ファイヤウォール（ASA、CSC-SSM、FWSM 及び IOS Firewall）や VPN（ASA/IOS 上の VPN、Windows 上の VPN Client など）他のセキュリティーテクノロジーをサポートするチームに入り、現在に至ります。Routing & Switching および Security トラックのCCIE（CCIE# 22796）資格を保有しております。

担当エキスパートがすべての質問に返信できないかもしれませんが、返信が得られずに開催期間が終了して残ってしまった質問については、シスコのモデレータが他のディスカッション フォーラムへ再掲載し、有用な情報の展開へとつなげていきます。返信が得られた質問については、適切な情報が得られたかどうかがエキスパートに伝わるよう、評価機能もぜひ利用してください。

あなたからの質問だけでなく、他コミュニティのメンバーから寄せられた質問がどう発展したかをのぞきに、ぜひこのフォーラムへ再度訪問されることをお待ちしております！

[snakayama]

いつもお世話になっております。

ASA で冗長構成を組む場合ですが、

http://www.cisco.com/en/US/products/hw/vpndevc/ps2030/products_configuration_example09186a00807dac5f.shtml#lanbas

に

---
Instead of using a crossover Ethernet cable to directly link the units, Cisco recommends that you use a dedicated switch between the primary and secondary units.
---

と書かれており、ASA 間に L2 スイッチを置くことが推奨されております。

また、ASA 8.0 Configuration Guide の Configuring Failover には、

Connect the LAN failover link in one of the following two ways:

•Using a switch, with no other device on the same network segment (broadcast domain or VLAN) as the LAN failover interfaces of the ASA.

•Using a crossover Ethernet cable to connect the appliances directly, without the need for an external switch.

-------------------------------------------------------------------------------
Note When you use a crossover cable for the LAN failover link, if the LAN interface fails, the link is brought down on both peers. This condition may hamper troubleshooting efforts because you cannot easily determine which interface failed and caused the link to come down.

と書かれております。

ASA 間に L2 スイッチを置く理由は、ASA と接続されている L2 スイッチのポートを portfast にすることにより、障害発生時に冗長構成の ASA のうち、どちらの ASA に問題があるか等、トラブルシューティングを容易にするということがあると思いますが、Cisco TAC 殿のサポート受ける場合に、ASA の間に L2 スイッチが挟まれていることが必須となりますでしょうか。あるいは、ASA 間をクロスケーブルで接続した場合でも Cisco TAC 殿のサポートを受けることはできると考えてよろしいでしょうか。

よろしくお願いいたします。

[zhaqin · Accepted solution]

Failover 構成を組むときに、L2 スイッチを ASA 間に置くことはご確認いただいた理由で推奨されていますが、サポートを受けるための必須条件ではありません。Best Practice と理解していただければと思います。

クロスケーブルで接続した場合でもサポートを受けられます。

[snakayama]

承知しました。早速の回答、有難うございました。