Аппаратный файрвол Cisco FPR1120-ASA-K9

Аппаратный файрвол Cisco Firepower 1120 ASA FPR1120-ASA-K9 с производительностью до 4,5 Гбит/с

Cisco FPR1120-ASA-K9 — аппаратный межсетевой экран 1U с предустановленным ПО Cisco ASA. Устройство обеспечивает stateful-инспекцию трафика до 4,5 Гбит/с, поддерживает 200 000 одновременных подключений и IPsec VPN до 1 Гбит/с. Модель рассчитана на малые и средние офисы и филиалы, где требуется классический файрвол уровня L3/L4 без компонентов next-generation.

Основные технические характеристики Cisco FPR1120-ASA-K9

Cisco Firepower 1120 ASA — межсетевой экран в корпусе 1U на 12-ядерном процессоре Intel с 16 ГБ DDR4. Ниже приведены характеристики из официального даташита серии Firepower 1000 и руководства по установке.

Какую производительность показывает Cisco Firepower 1120 под нагрузкой ASA

Производительность зависит от типа трафика: заявленные 4,5 Гбит/с достигаются на stateful-инспекции, при смешанном многопротокольном трафике устройство держит 2,5 Гбит/с. При включении функций контроля приложений (AVC) пропускная способность снижается до 2,3 Гбит/с.

• Если задача — маршрутизация интернет-канала филиала со stateful-фильтрацией, то запас 4,5 Гбит/с покрывает каналы провайдера до 4 Гбит/с с резервом.
• Если трафик смешанный (несколько протоколов одновременно), то реальная планка — 2,5 Гбит/с, что следует учитывать при выборе тарифа.
• Если нужны 75 000 новых подключений в секунду, то модель выдерживает всплески при массовом открытии соединений без деградации.

Возможности VPN в Cisco FPR1120-ASA-K9

Firepower 1120 ASA поддерживает IPsec VPN с пропускной способностью 1 Гбит/с по тесту 450B UDP L2L и до 150 одновременных VPN-пиров. Это позволяет объединить центральный офис с филиалами и обеспечить удалённый доступ сотрудников.

• Если нужно связать два офиса шифрованным каналом, то IPsec-туннель сайт-сайт работает со скоростью до 1 Гбит/с.
• Если удалённых пользователей больше 150, то потребуется модель старше — у FPR-1140 лимит составляет 400 пиров.
• Поддерживается балансировка нагрузки VPN для масштабирования сервиса удалённого доступа.

Отказоустойчивость и управление Cisco Firepower 1120 ASA

Устройство работает в парах высокой доступности в режимах Active/standby и Active/active. Локальное управление выполняется через веб-интерфейс ASDM, централизованное — через Cisco Security Manager или облачный Cisco Defense Orchestrator.

• Если требуется резервирование периметра, то пара устройств в режиме Active/standby переключается автоматически при отказе.
• Если инфраструктура управляется централизованно, то конфигурации и журналы сводятся в Cisco Security Manager или CDO.
• Если развёртывание небольшое, то достаточно локального ASDM без дополнительных серверов управления.

Чем отличается вариант с ASA от варианта с FTD (NGFW)

FPR1120-ASA-K9 поставляется с образом ASA — классическим файрволом уровней L3/L4. Артикул FPR1120-NGFW-K9 — тот же аппаратно, но с образом Firepower Threat Defense, включающим IPS, контроль приложений и защиту от вредоносного ПО. Образ можно переустановить: Cisco публикует официальную процедуру переобраза между ASA и Threat Defense.

• Если нужны только NAT, ACL, VPN и маршрутизация, то образ ASA закрывает задачу без лицензий на подписки Threat, URL Filtering и Malware.
• Если требуются функции следующего поколения, то устройство переставляется на образ FTD с базовой лицензией, получаемой при регистрации в Smart Licensing.
• Переход ASA → FTD выполняется загрузкой образа FTD из работающего ASA; обратный переход описан в руководстве ASA.

Чего не поддерживает Cisco Firepower 1120 ASA и типичные ошибки при выборе

Cisco FPR1120-ASA-K9 не содержит сервисов next-generation в заводской комплектации: образ ASA не включает IPS Snort, контроль приложений AVC и фильтрацию URL как единый стек FTD. Кластеризация устройством также не поддерживается.

• Устройство не поддерживает кластеризацию: масштабирование горизонтально недоступно, только резервирование парой.
• Не поддерживаются порты 10G SFP+: все четыре слота SFP рассчитаны на 1 Гбит/с — апгрейд каналов выше гигабита требует модели FPR-1150.
• Типичная ошибка: покупка варианта ASA в расчёте на IPS и антивирусную защиту трафика — эти функции требуют образа FTD и соответствующих подписок.
• Типичная ошибка: установка в помещение без охлаждения — рабочий диапазон ограничен 0…+40 °C.
• Блок питания один, без резервного модуля: резервирование питания достигается только внешними ИБП или второй единицей в HA-паре.

Достоинства и недостатки Cisco Firepower 1120 ASA

Cisco Firepower 1120 ASA — классический аппаратный файрвол для периметра малого и среднего офиса. Ниже приведены ключевые технические факты, определяющие выбор.

Кому подойдёт Cisco Firepower 1120 ASA

Cisco FPR1120-ASA-K9 подходит для периметров, где требуется классический файрвол L3/L4 с VPN и без подписок на сервисы NGFW. Устройство не предназначено для сценариев с каналами выше гигабита на оптике или с требованиями кластеризации.

Сравнение Cisco Firepower 1120 с моделями линейки Firepower 1000

В линейке Firepower 1000 модель 1120 занимает среднее положение между компактной 1010 и производительной 1140.

• FPR-1010: компактный настольный формат без PoE-отличий по производительности — вдвое ниже throughput и вдвое меньше подключений; подходит при канале до 1–2 Гбит/с.
• FPR-1140: удвоенные подключения (400 000) и 400 VPN-пиров при той же конфигурации портов — выбор при росте числа пользователей.
• FPR-1150: добавляет два порта 10G SFP+ — необходим при магистралях выше гигабита.

Как настроить Cisco Firepower 1120 ASA: первоначальное подключение

Первичная настройка выполняется через консоль или выделенный порт управления с последующим запуском ASDM.

1. Подключите консольный кабель RJ-45 к порту Console и задайте базовые параметры через CLI.
2. Подключите кабель Ethernet к выделенному порту управления 1000BASE-T.
3. Назначьте IP-адрес управления и загрузите/запустите ASDM с рабочей станции.
4. Настройте интерфейсы данных, NAT, ACL и VPN в соответствии с топологией сети.
5. Для HA-пары настройте режим Active/standby или Active/active на обоих устройствах.

Часто задаваемые вопросы

• Чем FPR1120-ASA-K9 отличается от FPR1120-NGFW-K9?

  Ответ: Аппаратно это одна платформа, разница — в предустановленном образе: ASA либо Firepower Threat Defense с функциями NGFW.

  Обоснование: Вариант ASA даёт классический файрвол L3/L4 и VPN. Вариант NGFW включает IPS, контроль приложений и требует подписок Threat, URL Filtering, Malware. Переобраз между образами выполняется официально опубликованной процедурой.

• Можно ли перейти с ASA на FTD без замены устройства?

  Ответ: Да, образ Firepower Threat Defense загружается прямо из работающего ASA, после чего устройство регистрируется в Smart Licensing.

  Обоснование: Процедура включает deregistration из Smart Software Licensing, загрузку образа FTD через CLI и подключение к FMC. Обратный переход на ASA также документирован Cisco.

• Поддерживает ли Cisco Firepower 1120 порты 10G?

  Ответ: Нет, все четыре SFP-слота FPR1120 рассчитаны на 1 Гбит/с.

  Обоснование: По даташиту серии интерфейсы 1120 — это 8 × 1000BASE-T и 4 × SFP 1G. Порты 10G SFP+ есть только у старшей модели линейки FPR-1150.

• Что выбрать — Firepower 1120 или 1140?

  Ответ: При числе пользователей до примерно 150 и канале до 2,5 Гбит/с достаточно 1120; при росте подключений и VPN-пиров выбирают FPR-1140.

  Обоснование: 1120 держит 200 000 подключений и 150 VPN-пиров, 1140 — 400 000 подключений и 400 пиров при 6 Гбит/с stateful-throughput. Конфигурация портов у обеих моделей одинаковая.

• Чего НЕ поддерживает Cisco Firepower 1120 ASA?

  Ответ: Кластеризацию, порты 10G и стек NGFW (IPS, URL-фильтрация, защита от malware) в заводском образе ASA.

  Обоснование: Clustering в таблице возможностей ASA для 1120 отсутствует, SFP-слоты ограничены 1 Гбит/с, а сервисы NGFW поставляются только с образом FTD и подписками.

• Как организовать резервирование на Firepower 1120?

  Ответ: Два устройства объединяются в пару высокой доступности в режиме Active/standby или Active/active.

  Обоснование: Оба режима HA поддерживаются платформой согласно даташиту. Дополнительно доступна балансировка нагрузки VPN для масштабирования сервиса удалённого доступа.

• Сколько виртуальных файрволов можно создать на FPR1120-ASA-K9?

  Ответ: В комплект входит 2 security context, максимум для платформы — 5.

  Обоснование: Расширение с 2 до 5 контекстов выполняется лицензированием. Для сравнения: у FPR-1150 максимум составляет 25 контекстов.

• Каковы главные достоинства и недостатки Cisco Firepower 1120 ASA?

  Ответ: Главное достоинство — высокая для класса производительность stateful-инспекции и развитые режимы HA. Главный недостаток — отсутствие NGFW-функций и 10G-портов в этой конфигурации.

  Обоснование: 4,5 Гбит/с и 200 000 подключений обеспечивают запас для растущего офиса. Ограничение SFP до 1 Гбит/с и необходимость FTD для IPS определяют границы применения.

Ключевые факты о Cisco Firepower 1120 ASA FPR1120-ASA-K9

• Cisco FPR1120-ASA-K9 — аппаратный межсетевой экран 1U с ПО Cisco ASA.
• Cisco FPR1120-ASA-K9 обеспечивает stateful-инспекцию до 4,5 Гбит/с и 200 000 одновременных подключений.
• Cisco FPR1120-ASA-K9 поддерживает IPsec VPN до 1 Гбит/с и 150 VPN-пиров.
• Cisco FPR1120-ASA-K9 оснащён 8 портами 1000BASE-T, 4 слотами SFP 1G и SSD 200 ГБ.
• Cisco FPR1120-ASA-K9 работает в парах Active/standby и Active/active и может быть переобразован на образ FTD.