配置PIX双机failover的要点

　　1，搞清关于“主”“备”的几个概念：

　　Failover Link

　　Failover Link用于设备间相互沟通彼此的工作状态，Failover link上传递的信息包括：

　　o 设备的当前状态 (active和standby)

　　o 电源状态 (基于专用failover电缆的才有)

　　o Hello信息包 (也通过所有其它端口发送)

　　o Active设备向Standby设备传递配置(称为配置同步)

　　Failover link可以使用两种介质（构成不同的failover形式）

　　o 基于专用电缆 ("cable-based failover")—两设备间距离不超过6英尺(约1.83米)时，建议使用这种方式。因为设备可以通过此电缆感知对方的电源状态，而且能分辨出是设备断电还是根本没插电源线。Failover电缆是一种改进的RS-232串行电缆(115 Kbps)，一端标有"Primary" 用以连接 primary设备，另一端标有 "Secondary" 用以连接secondary 设备。

　　o 基于以太网 ("LAN-based failover")—可以使用设备上任意未占用的以太口，当两设备间距离超过6英尺(约1.83米)时，请用这种方式。注意，此方式一定要通过交换机（推荐使用单独的交换机）进行连接，而不能通过交叉线直接连接两机的以太口。

　　基于以太网的Failover Link的缺点主要有：

　　• 当电源故障时，需要更长的时间才能failover

　　• standby设备的配置需要单独设置（在cable-based failover中，standby设备可以不用enable任何端口或不用设置IP地址的时候就跟active设备通讯，并从active设备接受整个的配置信息。）

　　• 两设备间用于Failover Link的交换机会成为另一个硬件的故障点

　　• 占用以太网端口

　　基于以太网的Failover Link的优点：

　　• 设备之间可以相距6英尺以上

　　• 配置同步的速度快

　　（在LAN-based failover中，如果Failover Link断开，会自动使用其它端口查看对方状态。）

　　Primary 、Secondary及Active 、Standby

　　前者是物理概念，后者是逻辑概念。

　　当前负责转发网络流量的设备就是Active设备，另一台是Standby设备。

　　在cable-based failover中，其电缆的Primary端连接的就是Primary设备；Secondary端连接的PIX就称为Sencondary设备；在LAN-based failover中，Primary和Sencondary设备是在配置文件中设定的。

　　当两台设备同时启动，而且都处于健康状态时，Primary设备就是Active设备；当Primary设备产生故障时，发生failover事件，Seconary设备就成为Active设备。