Cisco ASA 2130 Güvenlik Duvarı Boyutlandırma ve Firepower Geçişi (VDI için)

Cisco ASA 2130 Güvenlik Duvarı Boyutlandırma ve Firepower Geçişi (VDI için)

Güvenlik Duvarı Engellerini Ortadan Kaldırmak

Modern sanallaştırılmış veri merkezlerinde sınırlayıcı faktör olarak ortaya çıkan Cisco ASA 2130'u nasıl tanımlayacağınızı, boyutlandıracağınızı ve ortadan kaldıracağınızı öğrenin.

Güvenlik Duvarı Engellerini Ortadan Kaldırmak
  • Yoğun VM ve VDI çiftlikleri büyüdükçe, birçok veri merkezi Cisco ASA 2130'un işlem gücü veya depolama kapasitesinden çok önce bir kısıtlama noktası haline geldiğini keşfeder. Doğu-batı yönlü trafik artışı, öngörülemeyen ani artış modelleri ve artan şifreli oturumlar, oturum kapasitesi, verimlilik ve denetim performansındaki sınırları ortaya çıkararak, bir zamanlar yeterli olan güvenlik duvarını kullanıcı deneyimi ve kritik uygulamalar için darboğaz haline getirebilir.

    Aşağıdaki bölümler, bir sonraki aşama güvenlik duvarlarının boyutlandırılmasına ve ASA 2130'dan modern Cisco Secure Firewall ve Firepower platformlarına net bir geçiş yolunun tanımlanmasına odaklanmaktadır. VM ve VDI yoğunluğunun verimlilik ve eşzamanlılık gereksinimleriyle eşleştirilmesine, 2100 Serisi, 3100 veya 4100 seçeneklerine ne zaman geçileceğine karar verilmesine ve mevcut ASA merkezli politikalar ve operasyonlarla uyumlu, riski en aza indiren aşamalı bir geçişin yapılandırılmasına vurgu yapılmaktadır.

Yoğun Sanal Makine ve VDI Ortamlarında ASA 2130 Sınırları

ASA 2130 sanallaştırılmış kullanıcı ve doğu-batı trafiği için darboğaz haline geldiğinde, güvenlik duvarı kapasitesi, gecikme süresi ve geçiş riski arasında denge kurmak zorlaşır.

Yoğun Sanal Makine ve VDI Ortamlarında ASA 2130 Sınırları
  • Oturum ölçeği ve gecikme sınırları

    VDI ve yoğun VM doğu-batı akışları, ASA 2130 oturum ve verim sınırlarını kolayca aşarak gecikme artışlarına ve kullanıcı deneyimi sorunlarına yol açar.

  • Belirsiz göç ve boyutlandırma seçenekleri

    İş yükleri, büyüme ve lisanslama modelleri belirsiz olduğunda, kademeli Firepower yükseltmeleri ile daha büyük kasa yenilemeleri arasında seçim yapmak karmaşık bir hal alır.

  • Eski politika ve platforma bağımlılık

    Mevcut ASA politikaları, kümeleme ve araçları, geçiş seçeneklerini kısıtlamakta ve platform değişiklikleri sırasında kesinti veya yapılandırma sapması riskini artırmaktadır.

Yoğun VM ve VDI için güvenlik duvarı yolları

Sanallaştırılmış veri merkezlerinde ASA 2130'un önünü açmak ve doğru Firepower yükseltme yolunu seçmek için önemli kararlar.

Gerçek darboğazları belirleyin

Yeniden tasarım öncesinde VM/VDI akışlarını, oturum sayılarını ve gecikme sürelerini ASA 2130 sınırlarına göre eşleştirin.

Doğru Boyutta Ateş Gücü

FPR 2100 ve 3100/4100 seçeneklerini sanal makine yoğunluğunuz, VDI eşzamanlılığınız ve büyümenizle uyumlu hale getirin.

Düşük riskli göçü planlayın

Çalışma sürekliliğini ve politika tutarlılığını korumak için ASA'dan Firepower'a aşamalı geçişler kullanın.

Yoğun Sanal Makine/VDI için ASA 2130 ve Firepower Karşılaştırması

Yoğun VM/VDI veri merkezleri için ASA 2130'da kalmayı, eski ASA'yı ölçeklendirmeyi veya Firepower'a geçmeyi karşılaştırın.

Özellik Cisco ASA 2130 Mevcut Durumu Legacy High-End ASA Scale-Out
Firepower 2100/4100 Geçişi (sıcak)
İş Etkisi
Görevlendirmeye uygunluk Daha önceki, düşük yoğunluklu VM/VDI yerleşim birimleri için boyutlandırılmıştır; hızlı doğu-batı yönlü büyüme için sınırlı alan mevcuttur. Daha fazla ASA 5585 düğümü veya çifti ekler; mevcut ASA merkezli tasarımı daha yüksek kapasitelerle korur. Yoğun VM/VDI ağları için özel olarak tasarlanmış, daha az sayıda ancak daha yüksek kapasiteli FPR 2100/4100 cihazlarında birleşme sağlar. Sanal makine/sanal altyapı (VM/VDI) ayak izi genişledikçe güvenlik duvarı katmanının korunması, genişletilmesi veya modernize edilmesi gerekip gerekmediğini açıklığa kavuşturur.
Veri işleme kapasitesi ve oturum ölçeği Yoğun VM/VDI eşzamanlılığı, mikro segmentasyon ve SSL denetimi yükleri altında darboğaz haline gelir. Daha yüksek verim ve oturum sınırları, ancak ölçeklenebilirlik esas olarak daha fazla donanım düğümü eklenerek sağlanır. Modern donanım ve ASIC hızlandırmasıyla düğüm başına önemli ölçüde daha yüksek verim, oturum sayısı ve VPN ölçeklenebilirliği. Performans artışının daha fazla kutudan mı yoksa cihaz başına kapasite ve verimlilikten mi kaynaklandığını belirler.
Doğu-batı ve mikro segmentasyon Ev sahibi ülkeler ve segmentler arasında yoğun doğu-batı denetimi için sınırlı kapasite; politika yayılma riski. Daha fazla ASA 5585 cihazı eklenebilir, ancak doğu-batı yolları ve politika kümeleri çoğaldıkça karmaşıklık artar. Daha iyi politika soyutlama ve segmentasyon özellikleriyle yüksek yoğunluklu doğu-batı denetimi için tasarlanmıştır. Güvenlik duvarı altyapısını aşırı yüklemeden ince taneli segmentasyonu ne kadar kolay destekleyebileceğinizi etkiler.
Gecikme süresi, kullanıcı deneyimi Yoğun VDI kullanımı sırasında gecikme sürelerinde artış ve ara sıra yaşanan bağlantı kopmaları; kullanıcı deneyimini tutarsız hale getiriyor. Performans payını artırır, ancak ölçeklendirilmiş ASA düğümleri arasındaki ekstra atlamalar karmaşıklığı ve gecikmeyi artırabilir. Düğüm başına daha yüksek kapasite, çekişmeyi azaltır ve yük altında VDI oturum gecikmesini öngörülebilir tutar. Algılanan VDI performansını, oturum istikrarını ve daha fazla uzaktan/şube kullanıcısını destekleme yeteneğini etkiler.
Operasyonel karmaşıklık Tek veya az sayıda darboğaz noktası; basit ama kırılgan—herhangi bir aşırı yüklenme veya arıza geniş çapta hissedilir. Daha fazla düğüm, daha fazla yük devretme çifti ve daha fazla kural tabanı; yükseltmeler ve sorun giderme daha zor hale gelir. Daha az sayıda, daha yetenekli platformlar ve daha merkezi politika, kayıt tutma ve yaşam döngüsü yönetimi. İkinci gün operasyonlarını, olay müdahale hızını ve güvenlik durumunu korumak için gereken çabayı etkiler.
Yatırım ve yaşam döngüsü Başlangıç ​​maliyeti düşük, ancak kullanım ömrü sınırlı ve gelecekteki VM/VDI ve SSL büyümesi için uygun değil. ASA yatırımını uzatır ancak sizi azalan ekosisteme ve özellik yol haritasına sahip eski bir teknoloji yığınına kilitler. Daha iyi yol haritası, destek ve SecureX/analitik ile entegrasyona sahip yeni nesil platforma yönelik harcamaları uyumlu hale getirir. Mevcut varlıkları değerlendirmek, mirası devam ettirmek veya gelecekteki girişimleri destekleyen bir platforma yatırım yapmak konusunda yol gösterir.
Güvenlik ve denetim derinliği ASA'nın temel özellikleri; kısıtlı işlemci gücü, sürekli açık gelişmiş denetimi büyük ölçekte zorlaştırıyor. Daha detaylı inceleme için bir miktar alan mevcut, ancak bu alan eski ASA özellik seti ve donanım tasarımıyla sınırlı. Sanal veri merkezlerinde daha yüksek verimliliği korurken derinlemesine inceleme (TLS, IPS, uygulama kimliği) için optimize edilmiştir. VM/VDI iş yükleri için SLA'ları ihlal etmeden daha güçlü denetim politikaları uygulayıp uygulayamayacağınızı belirler.
Göç riski ve geleceğe hazırlık Şu an için herhangi bir geçiş söz konusu değil, ancak yük arttıkça planlanmamış kesintiler ve acil yükseltmeler riski mevcut. Aşamalı bir değişiklik ancak hala eski ASA koduna ve destek zaman çizelgelerine bağlı; gelecekteki geçişler ertelendi. Planlı geçiş yolu, daha sonra tam NGFW ve politika hizmetlerini benimseme seçeneklerini de içermektedir. Bu durum, kısa vadeli riskleri kabul edip etmeyeceğinizi veya evrimleşebilecek bir mimariye yönelik yapılandırılmış bir geçiş planlayıp planlamayacağınızı şekillendirir.

Yardıma mı ihtiyacınız var? Teknik Uzmanlarımız Hemen Hizmetinizde.

  • +1-626-655-0998 (ABD)
    UTC 15:00-00:00
  • +852-2592-5389 (Hong Kong)
    UTC 00:00-09:00
  • +852-2592-5411 (Hong Kong)
    UTC 06:00-15:00
Yardıma mı ihtiyacınız var? Teknik Uzmanlarımız Hemen Hizmetinizde.

İdeal Dağıtım Senaryoları

ASA 2130'un darboğaz oluşturduğu ve yeni nesil Cisco Güvenli Güvenlik Duvarlarına geçişin istikrarlı VM ve VDI performansı sağladığı en uygun ortamlar.

Konsolide Veri Merkezlerinde Yoğun VDI Çiftlikleri

Konsolide Veri Merkezlerinde Yoğun VDI Çiftlikleri

  • ASA 2130'un eşzamanlı oturumları, TLS verimliliğini ve bağlantı kurulum hızlarını artık destekleyemediği durumlarda, binlerce kalıcı ve geçici VDI oturumunu destekleyin.
  • Özel bölgeler ve daha yüksek kapasiteli Firepower 2100/3100 güvenlik duvarları kullanarak VDI yönetim, kullanıcı ve depolama ağlarını bölümlere ayırın ve güvenliğini sağlayın.
  • VPN, SSL şifre çözme ve kullanıcı kimliği doğrulama işlemlerini daha ölçeklenebilir yeni nesil bir güvenlik duvarı platformuna aktararak VDI kullanıcıları için sıfır güven erişimini sağlayın.
Sanallaştırılmış Sunucu ve Mikrohizmet Kümeleri

Sanallaştırılmış Sunucu ve Mikrohizmet Kümeleri

  • ASA 2130'un gecikme ve verimlilik darboğazı haline geldiği yoğun sanal makine kümeleri ve kapsayıcılaştırılmış iş yükleri arasındaki doğu-batı trafiğini koruyun.
  • Veri merkezi güvenlik duvarı katmanı olarak Firepower 2100/4100 kullanarak, daha yüksek kural sayısı ve uygulama görünürlüğü ile mikro segmentasyon politikaları uygulayın.
  • Geçiş öncesinde ASA 5585 ve Firepower performans verilerini karşılaştırarak mikro hizmetler, API'ler ve servis ağı trafiği için güvenlik duvarı kapasitesini ölçeklendirin.
Hibrit Bulut ve Uzaktan Masaüstü Erişim Merkezleri

Hibrit Bulut ve Uzaktan Masaüstü Erişim Merkezleri

  • ASA 2130 oturum ve kripto limitlerinin uzak masaüstü ve VDI trafiğini kısıtladığı, giderek artan SSL VPN ve AnyConnect kullanıcı popülasyonlarını yönetin.
  • Eski ASA düğümlerinin yerini alan daha yüksek verimliliğe sahip Firepower cihazlarıyla, şirket içi veri merkezleri ve genel bulut VDI veya DaaS platformları arasındaki trafiği güvenli hale getirin.
  • Hibrit erişim için politika tutarlılığını korurken, birden fazla ASA VPN yoğunlaştırıcıyı daha az sayıda, daha güçlü Firepower 2100/3100 cihazında birleştirin.
Büyük İşletme Çekirdek ve Dağıtım Segmentasyonu

Büyük İşletme Çekirdek ve Dağıtım Segmentasyonu

  • Kampüs veya veri merkezi çekirdeklerinde, VDI, VoIP ve SaaS trafiğinin birleştiği ve mevcut bant genişliğini aştığı durumlarda aşırı yüklenmiş ASA 2130 güvenlik duvarlarının yükünü hafifletin.
  • Uygun boyutlarda Firepower 2100/4100 platformları kullanarak kullanıcı erişimi, dağıtım ve veri merkezi katmanları arasında hiyerarşik bir segmentasyon oluşturun.
  • Yeni güvenlik duvarı katmanlarını planlamak için eski ASA 5585 performans temellerini kullanarak sanal makine yoğunluğundaki, doğu-batı akışlarındaki ve şube birleştirmelerindeki gelecekteki büyümeyi destekleyin.
Hizmet Sağlayıcı ve Yönetilen VDI Barındırma Platformları

Hizmet Sağlayıcı ve Yönetilen VDI Barındırma Platformları

  • ASA 2130'un abone yoğunluğunu sınırladığı ve aşırı abonelik oranlarını muhafazakar bir şekilde belirlediği çok kullanıcılı VDI ve barındırılan masaüstü platformlarının güvenliği.
  • Barındırılan VDI müşterileri için ölçeklenebilir, kiracı bazlı politika alanları sağlamak üzere yüksek performanslı Firepower 4100 cihazlarını paylaşımlı güvenlik duvarı kümeleri olarak dağıtın.
  • ASA 5585 to Firepower geçiş boyutlandırma özelliğini kullanarak, gecikme ve çalışma süresi konusunda katı SLA'lara sahip ISP ve MSP veri merkezleri için dayanıklı, aktif-aktif kümeler tasarlayın.

Sıkça Sorulan Sorular

Yoğun sanal makine veya VDI ortamım için Cisco ASA 2130'un yetersiz kaldığını nasıl anlarım?

  • Yaygın göstergeler arasında, VDI oturumlarında ani artış olduğunda ASA'da sürekli yüksek CPU kullanımı, önyükleme fırtınaları sırasında artan paket kayıpları ve mikro segmentasyon kuralları uygulandıktan sonra gerekli verimliliğin korunmasında yaşanan zorluk yer almaktadır.
  • Sık sık yeni sanal makineler veya VDI havuzları ekliyorsanız ve politika değişikliklerinin fark edilir gecikmelere neden olduğunu görüyorsanız, zaten aşırı yüklenmiş bir ASA 2130'u tekrar tekrar ayarlamak yerine Firepower 2100 veya 4100 serisine geçişi önceden planlamak genellikle daha uygun maliyetlidir.
  • Pratik bir yaklaşım, mevcut en yüksek trafik, eşzamanlı oturumlar ve gelecekteki sanal makine büyümesini temel alarak, bu sayıları yalnızca eşitlik sağlamak yerine daha fazla kapasite için FPR2140-ASA-K9 veya FPR4112-ASA-K9 gibi Cisco Güvenli Güvenlik Duvarı seçenekleriyle eşleştirmektir.

Sanallaştırılmış bir veri merkezinde ASA 2130'u değiştirirken hangi Firepower veya ASA modelini seçmeliyim?

  • Benzer form faktörü ve çalışma modeline sahip kademeli genişleme için, FPR2140-ASA-K9 veya FPR2130-ASA-K9-CAP gibi Cisco Firepower 2100 Serisi, yoğun VM ve VDI kullanım senaryolarında ASA 2130'un sınırlarından sonraki ilk adım olarak sıklıkla tercih edilir.
  • Ortamınızda doğu-batı yönlü trafiğin artması, daha fazla VDI kullanıcısı veya birden fazla kiracı pod'u için satır içi denetim gibi durumlar söz konusuysa, yakın vadede başka bir yükseltme ihtiyacını önlemek için CIS:FPR3130-ASA-K9 veya CIS:FPR4115-ASA-K9 gibi daha yüksek performanslı 3100 ve 4100 serisi modelleri değerlendirmelisiniz.
  • Eski ASA5585 yüksek performanslı platformlar hala boyutlandırma referansı olarak kullanılabilir (örneğin, ASA5585-S40P40SK9 veya ASA5585-S60P60SK9), ancak yeni yatırımlar için çoğu alıcı daha uzun yaşam döngüsü ve yazılım yol haritası nedeniyle Firepower NGFW'yi tercih etmektedir.

ASA 2130'dan Firepower 2100 veya 4100'e geçiş yaparken mevcut ASA politikalarını, arayüzlerini ve yüksek kullanılabilirlik (HA) tasarımını yeniden kullanabilir miyim?

  • Firepower 2100 veya 4100'ü ASA modunda (ASA yazılım görüntüsü) dağıtırsanız, güvenlik bölgeleri, ACL'ler, NAT ve IP adresleme stratejileri gibi temel yapıların çoğu minimum yeniden çalışma ile yeniden kullanılabilir; ancak arayüz adlandırması ve performansla ilgili ayarlamaların doğrulanması gerekecektir.
  • Aktif/yedek veya aktif/aktif gibi yüksek kullanılabilirlik kavramları geçerliliğini koruyor, ancak ASA 2130 ve Firepower modellerinden oluşan karma çiftler önerilmiyor; öngörülebilir arıza durumunda devralma davranışı için platform nesli başına birebir kümeleme planlayın.
  • Yoğun VDI pod'ları için birden fazla ASA 2130 çiftini daha az sayıda Firepower 4100 düğümüne birleştirirken, geçişler sırasında beklenmedik oturum kayıplarını önlemek için verimlilik dağılımına, kümeleme tasarımına ve arıza durumunda devreye girme zamanlayıcılarındaki olası değişikliklere dikkat edin.

Mevcut sanal makine ve sanal masaüstü altyapılarına yeni Firepower güvenlik duvarları eklerken hangi dağıtım risklerini göz önünde bulundurmalıyım?

  • Yoğun sanallaştırılmış ortamlarda, asıl risk, özellikle VDI oturum açma fırtınaları sırasında ESXi veya KVM sunucuları arasındaki doğu-batı yönlü trafik artışlarını hafife almaktır; bu durum, CIS:FPR4112-ASA-K9 veya CIS:FPR4145-ASA-K9 gibi daha yüksek kapasiteli bir güvenlik duvarı eklendiğinde gizli darboğazları ortaya çıkarabilir.
  • Geçiş aşamalarında paralel çalışırken parçalanmış oturumları veya tutarsız paket incelemesini önlemek için eski ASA ve yeni Firepower düğümleri arasındaki MTU ayarlarını ve asimetrik yönlendirme yollarını dikkatlice doğrulayın.
  • Üretim havuzlarını taşımadan önce, oturum sürekliliği ve yeniden bağlantı davranışının anlaşılması ve geçiş planınızda dikkate alınması için sentetik VDI yükleriyle arıza durumunda devralma ve bakım pencerelerinin test edilmesi de önemlidir.

Nasıl Router-switch.com ASA ve Firepower yükseltmeleri için stok, teslim süresi ve sevkiyat işlemlerini nasıl yönetirsiniz?

  • FPR2140-ASA-K9, CIS:FPR3130-ASA-K9 ve Cisco ASA5585 varyantları gibi modellerin stok durumu değişiklik gösterebilir; teslimat süreleri her zaman sipariş anındaki ürün bulunabilirliğine, coğrafi bölgeye ve tedarikçi tedarik zincirine bağlıdır.
  • Stokta bulunan ürünler için, küresel lojistik ortaklarımız aracılığıyla gönderim seçenekleri sunulmaktadır; ancak, gerçek teslimat süreleri taşıyıcı programlarına, gümrük işlemlerine ve tam varış noktanıza bağlı olacaktır. Tipik seçenekleri ve süreçleri aşağıdaki bağlantı üzerinden inceleyebilirsiniz. gönderim yöntemlerimiz sayfası.
  • Vergiler ve gümrük vergileri yerel düzenlemelere uygun olarak ele alınır ve alıcılar ithalat sorumluluklarını kendi iç tedarik ekipleriyle teyit etmelidir; tipik senaryolara ilişkin bir genel bakış şu adreste mevcuttur: Vergi ve gümrük vergileri rehberimiz.

ASA 2130'u Firepower modelleriyle değiştirirken hangi destek, garanti ve kullanım ömrü hususları geçerlidir?

  • ASA 2130 değiştirme planlaması yapılırken, birçok müşteri satış sonu ve destek sonu aşamalarını doğrulamak için aşağıdaki gibi araçlar kullanmaktadır: EOL / EOSL denetleyicisi Hangi veri merkezi güvenlik duvarlarının öncelikli olarak yenilenmesi gerektiğini belirlemek.
  • Router-switch.com Ürün durumu ve bölgeye göre düzenlenmiş garanti kapsamıyla, yeni ve yenilenmiş donanımlar da dahil olmak üzere çoklu tedarikçi seçenekleri sunabilir; özet şartlar aşağıda açıklanmıştır. garanti politikamız sayfası.
  • Yoğun VM ve VDI ortamlarında ASA'dan Firepower'a geçişlerin tasarım doğrulaması için, ekibimizden uzman desteği talep edebilirsiniz. ücretsiz CCIE desteğiÖzellikle Firepower 2100 ve 4100 serisi gibi modeller arasında boyutlandırma yaparken dikkat edin: Belirli garanti koşulları ve destek hizmetleri ürüne ve bölgeye göre değişiklik gösterebilir. Ayrıntılı bilgi için lütfen resmi bilgilere bakın. Daha fazla bilgi için lütfen iletişime geçin: router-switch.com.

Diğer Çözümler

Beyond Bandwidth: The 100G+ Data Center Architecture

Bant Genişliğinin Ötesinde: 100G+ Veri Merkezi Mimarisi

Sahip olunması gereken 100G temeli - Yapay zekaya hazır büyüme, sıfır gecikmeli performans

Veri Merkezi
Enterprise SASE Security Architecture Guide

Kurumsal SASE Güvenlik Mimarisi Kılavuzu

SASE'nin SD-WAN ve bulut güvenliğini bir araya getirerek işletme giderlerinde %40-60 oranında tasarruf sağlamayı ve dağıtık işletmeler için birleşik Sıfır Güven erişimi sunmayı nasıl başardığını öğrenin.

ALTI
Copper vs Fiber vs DAC/AOC Interconnects Guide

Bakır, Fiber ve DAC/AOC Bağlantı Rehberi

Bakır, fiber, DAC ve AOC'nin gecikme, erişim, maliyet ve 10G/25G/100G/400G dağıtım uygunluğu açısından tam bir karşılaştırması.

Kablolama ve Alıcı-Vericiler