Межсетевой экран Cisco ASA 5506-X ASA5506-K8

Межсетевой экран Cisco ASA 5506-X с FirePOWER Services (ASA5506-K8): характеристики и производительность

Cisco ASA 5506-X (ASA5506-K8) — межсетевой экран следующего поколения для малого офиса и филиала. Устройство объединяет классический межсетевой экран ASA со встроенным модулем FirePOWER для контроля приложений и IPS. Восемь гигабитных портов 1GE покрывают задачи сегментации сети малого предприятия.

Какие задачи решает Cisco ASA 5506-X в сети малого офиса

Cisco ASA 5506-X совмещает межсетевой экран ASA с модулем FirePOWER на отдельном SSD. Контроль приложений (AVC) распознаёт более 3000 приложений и свыше 80 категорий URL, что позволяет ограничивать трафик по приложениям, а не только по портам.

• Если требуется контроль приложений, то модуль FirePOWER обеспечивает инспекцию до 125 Мбит/с с включёнными AVC и IPS.
• Если нужна сегментация сети, то восемь портов 1GE позволяют выделить зоны WAN, LAN и DMZ без внешнего коммутатора.
• Если нужен удалённый доступ, то устройство поддерживает IPsec VPN со скоростью до 100 Мбит/с и клиентские сессии AnyConnect при наличии соответствующей лицензии.
• Если планируется отказоустойчивость, то пара устройств с лицензией Security Plus работает в режиме Active/Standby.

Чем вариант ASA5506-K8 отличается от ASA5506-K9

Обозначение K8 означает поставку без предустановленной лицензии сильного шифрования 3DES/AES: базово доступен только DES. Аппаратно оба варианта идентичны, включая модуль FirePOWER.

• Лицензия 3DES/AES предоставляется бесплатно зарегистрированным пользователям из стран, не подпадающих под экспортные ограничения США.
• Без лицензии 3DES/AES недоступны ASDM и ряд функций, использующих сильное шифрование.
• Для K8-лицензий TLS proxy-сессии ограничены 1000, SRTP-сессии — 250; у K9 таких лимитов нет.

Сравнение Cisco ASA 5506-X с моделями линейки 5500-X

ASA 5506-X — младшая модель серии с фиксированным набором из восьми портов 1GE и без слотов расширения.

• ASA 5508-X: удвоенная производительность — 500 Мбит/с мультипротокольного firewall throughput и 100 000 одновременных сессий против 300 Мбит/с и 50 000 у 5506-X.
• ASA 5506H-X: та же платформа в промышленном исполнении — рабочий диапазон -20…+60 °C, четыре порта вместо восьми, питание 22 Вт.
• Естественная замена: Cisco официально определяет миграцию ASA5506 на серию Firepower 1010.

Чего не поддерживает Cisco ASA 5506-X и типичные ошибки при выборе

Cisco ASA 5506-X не поддерживает Active/Active-резервирование и кластеризацию, а также не имеет слотов расширения интерфейсов. Функции IPS модуля FirePOWER требуют платной подписки — базовая лицензия Control её не включает.

• Нет поддержки Active/Active и кластеров: доступен только режим Active/Standby и только с лицензией Security Plus на обоих устройствах.
• Нет слотов расширения: набор из восьми портов 1GE фиксирован, в отличие от старших моделей 5525-X/5545-X.
• IPS и контроль вредоносной активности работают только при наличии подписки (например, L-ASA5506-TA); без неё доступен лишь классический межсетевой экран ASA.
• Рабочая температура 0…+40 °C исключает установку в неотапливаемых помещениях и уличных шкафах — для этого существует модель 5506H-X.
• Типичная ошибка: покупка варианта K8 без последующего запроса бесплатной лицензии 3DES/AES — ASDM и часть функций шифрования недоступны.
• Продажи модели прекращены 2 августа 2021 года; официальная замена — серия Firepower 1000.

Достоинства и недостатки Cisco ASA 5506-X

Cisco ASA 5506-X — NGFW начального уровня для малых сетей. Ниже приведены ключевые технические факты, определяющие выбор.

Кому подойдёт Cisco ASA 5506-X

Cisco ASA 5506-X подходит для периметра малых сетей с каналом до 100 Мбит/с. Устройство не предназначено для сценариев с полной NGFW-инспекцией широких каналов или промышленных условий эксплуатации.

Часто задаваемые вопросы

• Чем ASA5506-K8 отличается от ASA5506-K9?

  Ответ: Только наличием предустановленной бесплатной лицензии сильного шифрования 3DES/AES. Аппаратно и функционально это одно и то же устройство.

  Обоснование: K8 поставляется с базовым шифрованием DES; лицензию 3DES/AES можно бесплатно запросить через Cisco Software Central. Для K8 TLS proxy ограничен 1000 сессиями, SRTP — 250 сессиями.

• Что выбрать вместо снятого с производства ASA 5506-X?

  Ответ: Официальная замена от Cisco — межсетевой экран Firepower 1010 серии Firepower 1000.

  Обоснование: Продажи ASA5506 прекращены 2 августа 2021 года, последняя поставка — 31 октября 2021 года. Firepower 1010 позиционируется Cisco как замена ASA 5505 и ASA 5506-X с восемью портами и PoE+ на двух портах.

• Чего не поддерживает Cisco ASA 5506-X?

  Ответ: Устройство не поддерживает Active/Active-резервирование, кластеризацию, слоты расширения и PoE-питание портов.

  Обоснование: Доступен только режим Active/Standby при наличии лицензии Security Plus на обоих узлах. Набор интерфейсов фиксирован — 8 × 1GE без возможности расширения.

• Работает ли IPS на ASA 5506-X без дополнительных лицензий?

  Ответ: Нет, функции IPS модуля FirePOWER требуют платной подписки; предустановлена только базовая лицензия Control.

  Обоснование: Подписки доступны сроком на 1, 3 или 5 лет (например, L-ASA5506-TA-1Y). Без подписки работает классический межсетевой экран ASA со скоростью до 300 Мбит/с на мультипротокольном трафике.

• Можно ли использовать ASA 5506-X для отказоустойчивой пары?

  Ответ: Да, но только в режиме Active/Standby и при наличии лицензии Security Plus на каждом устройстве пары.

  Обоснование: Базовая лицензия резервирования не поддерживает. Шифровые лицензии на обоих устройствах должны совпадать.

• Как настроить Cisco ASA 5506-X при первом подключении?

  Ответ: Подключите консоль RJ-45 или Mini USB, назначьте интерфейсы и управляющий адрес, затем управляйте через ASDM по HTTPS или через CLI.

  Обоснование: Управляющий порт — shared, то есть используется один из восьми портов данных. Модуль FirePOWER управляется через ASDM либо централизованно через Firepower Management Center.

• Каковы главные достоинства и недостатки Cisco ASA 5506-X?

  Ответ: Главное достоинство — восемь гигабитных портов и встроенный модуль FirePOWER в компактном бесшумном корпусе. Главный недостаток — падение производительности до 125 Мбит/с при полной NGFW-инспекции.

  Обоснование: Firewall throughput составляет 750 Мбит/с максимум и 300 Мбит/с на мультипротокольном трафике; включение AVC и IPS снижает значение до 125 Мбит/с (1024B).

Ключевые факты о Cisco ASA 5506-X

• Cisco ASA 5506-X (ASA5506-K8) — межсетевой экран следующего поколения с модулем FirePOWER Services.
• Cisco ASA 5506-X имеет восемь гигабитных портов 1GE без слотов расширения.
• Cisco ASA 5506-X обеспечивает firewall throughput до 750 Мбит/с и 125 Мбит/с с AVC и IPS.
• Cisco ASA 5506-X поддерживает до 50 000 одновременных сессий с лицензией Security Plus.
• Cisco ASA 5506-X питается от внешнего блока 12 В / 60 Вт и охлаждается пассивно (0 дБА).
• Cisco ASA 5506-X снята с производства; официальная замена — Cisco Firepower 1010.