Казалось бы, для интерфейса «аварийного переключения» нужен только резервный адрес. Это задается, например, следующей командой:
failover interface ip failover_link 10.99.99.253 255.255.255.252 standby 10.99.99.254
В большинстве примеров конфигурации, на которые я смотрю, внешний int также имеет резервный адрес:
Interface ethernet0
Nameif outside
Ip address 10.5.1.1 255.255.255.0 standby 10.5.1.2
Зачем внешнему интерфейсу нужен резервный адрес, если при аварийном переключении он будет использовать IP от основного ASA?
Вам не обязательно нужен резервный IP-адрес, вы правы. Такой способ настройки брандмауэра может оказаться полезным, если публичные IP-адреса имеют большое значение. Наличие IP-адреса на каждом интерфейсе наиболее полезно для мониторинга работоспособности каждого интерфейса, и, конечно же, для резервного сервера полезно иметь хотя бы один собственный адрес, чтобы вы могли подключаться к нему для управления.
Обычно я даю резервные адреса всем интерфейсам в порядке хорошей практики.
Для использования функции мониторинга требуются резервные адреса.
Если вы не собираетесь использовать индивидуальный мониторинг интерфейса, зачем вообще запускать отработку отказа?
В отличие от вышеизложенного, адрес аварийного переключения для внутри является абсолютно важным, иначе вы не сможете получить доступ к пассивному ящику.
Вообще.
(Да, конечно, вы всегда можете подключить консольный кабель - получайте удовольствие, когда коробка находится в центре обработки данных за 5000 миль ...)