Cisco ASA 5500系列自适应安全设备

Cisco® ASA 5500 系列自适应安全设备是一个强大的安全套件，为中小企业(SMB)、大型企业和电信运营商提供了高度集成的市场领先安全服务。此外，它还带来了前所未有的服务灵活性、模块化可扩展性、特性广泛性、以及更低的部署和运营成本。

Cisco ASA 5500 系列自适应安全设备是专用解决方案，在一个统一平台中集成了世界一流的防火墙、统一通信安全、VPN、入侵防御(IPS)功能和内容安全服务。该系列产品汇聚了在Cisco PIX® 500 系列安全设备、Cisco IPS 4200 系列传感器和Cisco VPN 3000 系列集中器中久经考验的先进技术。

Cisco ASA 5500 系列自适应安全设备是思科自我防御网络的一个关键组成部分。Cisco ASA 5500 系列产品提供了智能威胁防御功能，能够阻止攻击以避免其穿透网络边界，并控制网络和应用活动，同时还能够提供安全远程接入和站点间连接。所有这些特性造就出一个强大的多功能网络安全设备系列，能够带来深入、广泛、精确的安全保护，保障各种规模企业网络的安全，同时降低实施全面的多层安全功能相关的总体部署和运营成本。

图1. Cisco ASA 5500 系列自适应安全设备

Cisco ASA 5500 系列产品能够帮助企业更加经济高效地保护其网络和应用的安全，同时通过以下组成要素提供卓越的投资保护：
● 业经市场验证的安全功能——Cisco ASA 5500系列产品集成了多项全特性、高性能安全服务，包括应用感知防火墙、SSL和IPsec VPN、IPS、防病毒、防垃圾邮件、防网络钓鱼和Web过滤服务等。这些技术可带来诸多优势，包括强大的网络与应用层安全性、基于用户的接入控制、蠕虫防范、恶意软件防护、改进的员工工作效率、即时讯息和对等控制、以及安全远程用户和站点连接等。
● 广泛的集成服务架构——Cisco ASA 5500系列产品凭借自身独特的软硬件可扩展性组合以及强大的模块化策略框架(MPF)，为企业提供了强大的自适应保护能力，能够有效防御威胁层出不穷的环境。Cisco ASA 5500系列独具创新的广泛多处理器设计和软件架构，使企业能够通过安全业务模块(SSM)轻松部署更多的高性能安全服务。这可为企业带来卓越的投资保护，同时使他们能够随着自身安全和性能需求的增长，扩展其Cisco ASA 5500系列的安全服务范围。所有这些服务均可通过强大的思科模块化策略框架来轻松进行管理。这一模块化策略框架可支持企业创建出高度定制的安全策略，并轻松向其现有策略中增加新的安全和网络服务。
● 降低的部署与运营成本——Cisco ASA 5500系列可支持在单一平台上实现标准化，从而降低总体安全运营成本。通用的配置环境可以简化管理并降低人员培训成本，同时该系列产品的通用硬件平台还可降低备件成本。此外，通过部署集成能力，并减少连接单独解决方案所需的复杂设计需求，企业还可进一步提高效率。
● 全面的管理接口——图形化思科自适应安全设备管理器(ASDM)、全面的命令行界面(CLI)、详细的系统日志和简单网络管理协议(SNMP)支持构成了一个完善的管理选件组合。多单元部署能够极大受益于思科安全管理器平台，它能管理5到5000台设备的分布式部署。屡获殊荣的思科安全监控、分析和响应系统(Cisco Security MARS)能够识别并关联真正的网络攻击，然后快速确定如何予以阻止，从而通过减少误报和简化审计制度，降低管理开销。

Cisco ASA 5500系列产品

Cisco ASA 5500 系列产品包括Cisco ASA 5505、5510、5520、5540、5550 和5580 自适应安全设备。作为专用的高性能安全解决方案，该系列产品充分利用了思科在开发行业领先且屡获殊荣的安全和VPN 解决方案方面积累的专业知识。通过思科MPF，Cisco ASA 5500 系列产品为应用和网络提供了全新水平的安全和策略控制功能。MPF 支持针对应用要求量身打造的高度定制化特定流安全策略。Cisco ASA 5500 系列产品的性能和可扩展性能够通过用户可安装的SSM，得到进一步增强。这一自适应架构使企业能够根据需要随时随地快速部署安全服务，例如针对特定应用和用户需求定制检测技术，或者增加额外入侵防御和内容安全服务，如那些由自适应检测与防御(AIP)和内容安全与控制(CSC) SSM 提供的服务等。此外，Cisco ASA 5500 系列模块化硬件架构结合强大的MPF，还能够灵活地满足未来的网络和安全要求，进一步扩展Cisco ASA 5500 系列产品的卓越投资保护能力，使企业能够针对新兴的威胁快速调整其网络防御功能。

所有Cisco ASA 5500 系列设备均可在基础系统上支持最大IPsec VPN 用户数；SSL VPN 需要单独购买和获得许可。通过将SSL 和IPsec VPN 服务与全面的威胁防御技术完美融合，Cisco ASA 5500 系列产品能够提供高度可定制的、精细网络接入，以满足广泛部署环境的特殊要求，同时提供先进的端点和网络级安全性。

Cisco ASA 5505 自适应安全设备是下一代功能全面的安全设备，专门用于小型企业、分支机构和大型企业远程办公人员环境。Cisco ASA 5505 在模块化“即插即用”的设备中，提供了高性能防火墙、SSL 和IPsec VPN、以及丰富的网络服务。利用集成的思科ASDM，Cisco ASA 5505 能够进行快速部署和轻松管理，从而使企业能够最大限度地降低运营成本。Cisco ASA 5505 具有一个灵活的8 端口10/100 快速以太网交换机，该交换机的端口能够动态组合，创建出多达三个独立的VLAN 来支持家庭、企业和互联网流量，从而改进网络分段和安全性。Cisco ASA 5505 提供有两个以太网供电(PoE)端口，支持通过零接触安全IP 语音(VoIP)功能简化思科IP 电话的部署，同时还支持部署外部无线接入点来进一步扩展网络移动性。Cisco ASA 5505 采用类似于其它Cisco ASA 5500 系列产品的模块化设计，具有外部扩展插槽和多个USB 端口，支持在未来增添服务，从而提供了卓越的可扩展性和投资保护功能。

随着业务需求的增长，客户可以安装一个Security Plus 升级许可，使Cisco ASA 5505 能够扩展以支持更高的连接容量和多达25 个IPsec VPN 用户，以及增添全面的DMZ 支持，并通过VLAN 中断支持集成到交换网络中。此外，该升级许可还能够通过支持冗余ISP 连接和无状态主动/被动高可用性服务，最大限度地提高业务连续性。
企业也能通过支持SSL VPN 远程接入来支持不同的移动员工和业务合作伙伴，以进一步扩展Cisco ASA 5505 的VPN 服务。思科安全远程接入解决方案部署可通过安装SSL VPN 升级许可，将每个Cisco ASA 5505 上的SSL VPN 并发用户数扩展到多达25 人。

Cisco ASA 5505 集市场领先的安全性与VPN 服务、高级网络特性、灵活远程管理能力和未来可扩展性于一身，为那些需要一流的小型企业、分支机构或大型企业远程办公人员安全解决方案的企业带来了出色的选择。

表1 列出了Cisco ASA 5505 的特性。
表1. Cisco ASA 5505 自适应安全设备平台功能和容量

* 单独许可特性；基础系统包括两个特性。
** Cisco ASA 5505 Security Plus 许可支持升级

Cisco ASA 5510自适应安全设备

Cisco ASA 5510 自适应安全设备可在易于部署、经济高效的设备中，为中小企业和大型企业远程办事处/分支机构提供先进的安全与网络服务。这些服务能够通过集成的思科ASDM 应用轻松进行管理和监控，从而在提供高水平安全性的同时，降低总体部署和运营成本。Cisco ASA 5510 自适应安全设备提供了高性能防火墙和VPN 服务，以及五个集成的10/100 快速以太网接口。它可以选择通过AIP SSM 提供高性能入侵防御和蠕虫防范服务，或者通过CSC SSM 提供全面的恶意软件防护服务。这一基于单一平台的独特服务组合，使Cisco ASA 5510 成为了一款经济高效、可扩展、且支持DMZ 的安全解决方案，能够全面满足企业的需求

随着业务需求的增长，客户可以部署Security Plus 许可，将其中的两个Cisco ASA 5510 自适应安全设备接口升级到千兆以太网，并通过VLAN 支持集成到交换网络环境中。此升级许可支持主动/主动和主动/被动高可用性服务，从而可最大限度地提高业务连续性。利用Cisco ASA 5510 自适应安全设备的可选安全上下文能力，企业能够在一台设备中部署多达5 个虚拟防火墙，支持实现部门级安全策略隔离控制。这一虚拟化可增强安全性，降低总体管理和支持成本，并可将多台安全设备整合到单一设备中。企业可扩展其SSL 和IPsec VPN 容量，以支持大量移动员工、远程站点和业务合作伙伴。企业通过安装SSL VPN 升级许可，可在每个Cisco ASA 5510 上扩展支持多达250 个SSL VPN peer；基础平台最多可支持250 个IPsec VPN peer。

通过使用Cisco ASA 5510 的集成VPN 集群和负载平衡能力（随Security Plus 许可提供），VPN 容量和永续性还可得到进一步提高。Cisco ASA 5510 在一个集群中可支持多达10 台设备，提供最高每集群2500 个SSL VPN peer 或2500 个IPsec VPN peer。在业务连续性和事件规划方面，Cisco ASA 5510还可受益于Cisco VPN FLEX 许可。该许可使管理员能够应对或规划最长2 个月的短期猝发并发SSL VPN 远程接入用户。
表2 列出了Cisco ASA 5510 的特性。
表2. Cisco ASA 5510 自适应安全设备平台功能和容量

 
单独许可特性；基础系统包括两个特性
** 单独授权的特性；包括两个随Cisco ASA 5510 Security Plus 许可提供的特性
*** Cisco ASA 5510 Security Plus 许可支持升级
****可用于防火墙特性集

Cisco ASA 5520自适应安全设备

Cisco ASA 5520 自适应安全设备采用模块化高性能设计，可为中型企业网络提供安全服务、以及主动/主动高可用性和千兆以太网连接。凭借四个千兆以太网接口和多达100 个VLAN 支持，企业可以轻松将Cisco ASA 5520 部署到其网络中的多个区域。Cisco ASA 5520 自适应安全设备能够随着企业网络安全要求的增长而不断扩展，从而可带来强大的投资保护能力。

企业可扩展其SSL 和IPsec VPN 容量，以支持大量移动员工、远程站点和业务合作伙伴。企业通过安装SSL VPN 升级许可，可在每个Cisco ASA 5520 上扩展支持多达750 个SSL VPN peer；基础平台最多可支持750 个IPsec VPN peer。通过使用Cisco ASA 5520 的集成VPN 集群和负载平衡能力，VPN容量和永续性还可得到进一步提高。Cisco ASA 5520 在一个集群中可支持多达10 台设备，提供最高每集群7500 个SSL VPN peer 或7500 个IPsec VPN peer。在业务连续性和事件规划方面，Cisco ASA 5520 还可受益于Cisco VPN FLEX 许可。该许可使管理员能够应对或规划最长2 个月的短期猝发并发SSL VPN 远程接入用户。

通过部署AIP SSM 的高性能入侵防御和蠕虫防范功能，或者CSC SSM 全面的恶意软件防护功能，可进一步扩展Cisco ASA 5520 的先进应用层安全性和内容安全防御能力。利用Cisco ASA 5520 自适应安全设备的可选安全上下文能力，企业能够在一台设备中部署多达20 个虚拟防火墙，支持实现部门级安全策略隔离控制。这一虚拟化可增强安全性，降低总体管理和支持成本，并可将多台安全设备整合到单一设备中。

表3 列出了Cisco ASA 5520 的特性。

表3. Cisco ASA 5520 自适应安全设备平台功能和容量

* 单独许可特性；基础系统包括两个特性
**可用于防火墙特性集

Cisco ASA 5540自适应安全设备

Cisco ASA 5540 自适应安全设备采用可靠的模块化设计，能为大中型企业和电信运营商网络提供主动/主动高可用性和千兆以太网连接，从而提供高性能、高密度安全服务。凭借四个千兆以太网接口和多达100 个VLAN，企业可以使用Cisco ASA 5540 将其网络划分为多个区域，以提高安全性。Cisco ASA 5540 自适应安全设备能够随着企业网络安全要求的增长而不断扩展，从而可带来卓越的投资保护能力和出色的服务可扩展性。通过部署AIP SSM 来提供高性能入侵防御和蠕虫防范，可以进一步扩展Cisco ASA 5540 自适应安全设备带来的先进网络和应用层安全服务与内容安全防御能力。

企业可扩展其SSL 和IPsec VPN 容量，以支持大量移动员工、远程站点和业务合作伙伴。企业通过安装SSL VPN 升级许可，可在每个Cisco ASA 5540 上扩展支持多达2500 个SSL VPN peer；基础平台最多可支持5000 个IPsec VPN peer。通过使用Cisco ASA 5540 的集成VPN 集群和负载平衡能力，VPN 容量和永续性还可得到进一步提高。Cisco ASA 5540 在一个集群中可支持多达10 台设备，支持最高每集群25,000 个SSL VPN peer 或50,000 个IPsec VPN peer。在业务连续性和事件规划方面，ASA 5540 还可受益于Cisco VPN FLEX 许可。该许可使管理员能够应对或规划最长2 个月的短期猝发并发SSL VPN 远程接入用户。

利用Cisco ASA 5540 自适应安全设备的可选安全上下文能力，企业能够在一台设备中部署多达50 个虚拟防火墙，针对每个部门或每个客户提供隔离控制，并降低总体管理和支持成本。

表4 列出了Cisco ASA 5540 的特性。

表4. Cisco ASA 5540 自适应安全设备平台功能和容量

单独许可特性；基础系统包括两个特性
**可用于防火墙特性集

Cisco ASA 5550自适应安全设备

Cisco ASA 5550 自适应安全设备采用可靠的1 机柜单元封装设计，能为大型企业和电信运营商网络提供主动/主动高可用性和光纤及千兆以太网连接，进而可提供千兆位级安全服务。凭借8 个千兆以太网接口、4 个小封装可热挺拔(SFP)光纤接口*、以及多达200 个VLAN 支持，企业能够将其网络划分成若干个高性能区域，以提高安全性。

Cisco ASA 5550 自适应安全设备能够随着企业网络安全要求的增长而不断扩展，从而可带来卓越的投资保护能力和出色的服务可扩展性。企业可扩展其SSL 和IPsec VPN 容量，以支持大量移动员工、远程站点和业务合作伙伴。企业通过安装SSL VPN 升级许可，可在每个Cisco ASA 5550 上扩展支持多达5000 个SSL VPN peer；基础平台最多可支持5000 个IPsec VPN peer。通过使用Cisco ASA 5550 的集成VPN 集群和负载平衡能力，VPN 容量和永续性还可进一步提高。Cisco ASA 5550 在一个集群中可支持多达10 台设备，支持最高每集群50,000 个SSL VPN peer 或50,000 个IPsec VPN peer。在业务连续性和事件规划方面，ASA 5550 还可受益于Cisco VPN FLEX 许可。该许可使管理员能够应对或规划最长2 个月的短期猝发并发SSL VPN 远程接入用户。

利用Cisco ASA 5550 自适应安全设备的可选安全上下文能力，企业能够在一台设备中部署多达50 个虚拟防火墙，针对每个部门或每个客户提供隔离控制，并降低总体管理和支持成本。

注：该系统总共可提供12 个千兆以太网端口，其中只有8 个可以同时投入使用。企业可以选择铜线或光纤连接，支持灵活建立数据中心、园区或企业边缘连接。

表5 列出了Cisco ASA 5550 的特性。

表5. Cisco ASA 5550 自适应安全设备平台功能和容量

*单独许可特性；基础系统包括两个特性
**可用于防火墙特性集

Cisco ASA 5580自适应安全设备

Cisco ASA 5580-20 和5580-40 自适应安全设备采用强大的4 机柜单元封装设计，可为大型企业、数据中心和电信运营商网络提供多千兆位安全服务。Cisco ASA 5580 采用高密度铜线和光纤接口，能够从快速以太网扩展到万兆以太网，从而可带来无与伦比的安全性与部署灵活性。Cisco ASA 5580 自适应安全设备包括六个接口卡扩展插槽，支持多达24 个千兆以太网接口或多达12 个万兆以太网接口，可全面简化配置并支持园区分区。此外，这一高密度设计还支持安全虚拟化，同时保留了托管安全与基础设施整合应用所需的物理分区功能。

Cisco ASA 5580 系列产品提供有两个性能级别：具备5 Gbps 实际防火墙性能的Cisco ASA 5580-20，以及具备10 Gbps 实际防火墙性能的高端Cisco ASA 5580-40。其多核、多处理器架构，可为大多数要求严苛的网络安全和VPN 集中应用提供出色的可扩展性。凭借极低的延迟、较高的并发会话数、以及快速连接设置速率，Cisco ASA 5580 系列产品能够以透明的方式确保实时应用的安全。

企业可扩展其SSL 和IPsec VPN 容量，以支持大量移动员工、远程站点和业务合作伙伴。企业通过安装SSL VPN 升级许可，可在每个Cisco ASA 5550 上扩展支持多达10,000 个SSL VPN peer；基础平台最多可支持10,000 个IPsec VPN peer。Cisco ASA 5580 自适应安全设备还可进行集群，以提供增强的可靠性和可扩展性，当在一个集群中部署10 台设备时，可支持多达100,000 个SSL 或IPsec 远程接入客户端。在业务连续性和事件规划方面，ASA 5580 还可受益于Cisco VPN FLEX 许可。该许可使管理员能够应对或规划最长2 个月的短期猝发并发SSL VPN 远程接入用户。

同时它还提供有额外特性，包括通过使用安全上下文和VLAN 支持安全虚拟化等，可提高服务速度，同时降低运营和管理开销。

表6 列出了Cisco ASA 5580 安全设备的特性。

表6. Cisco ASA 5580 自适应安全设备平台功能和容量

*单独许可特性；基础系统包括两个特性
****可用于防火墙特性集

规格

表7 和表8 对比了Cisco ASA 5505、5510、5520、5540、5550 和5580 自适应安全设备。

表7. Cisco ASA 5500 系列自适应安全设备的特性

通过升级许可后可用
表8. Cisco ASA 5580 系列自适应安全设备的特性

* 通过升级许可后可用

安全服务模块

Cisco ASA 5500 系列产品凭借自身独特的AIM 服务和多处理器硬件架构，为网络带来了全新水平的集成安全性能。该架构允许企业调整和扩展Cisco ASA 5500 系列产品的高性能安全服务配置。客户可以利用安全服务模块和专用安全协处理器，添加额外的高性能服务，同时还可使用高度灵活的策略柜架，定制流特定策略。该自适应架构支持企业根据需要随时随地部署新的安全服务，例如添加由AIP SSM 带来的广泛入侵防御和高级防蠕虫服务，或者CSC SSM 支持的全面恶意软件防范和邮件安全安全服务。

此外，该架构还支持思科引入新服务来解决新的威胁，从而为使用Cisco ASA 5500 系列产品的企业用户提供了出色的投资保护。

Cisco ASA 5500系列高级检测与防御模块

Cisco ASA 5500 系列AIP SSM 是基于网络的内嵌解决方案，能够准确识别、分类和阻止IPv4、IPv6、以及IPv6 与IPv4 混合网络中的恶意流量，避免其影响到业务连续性。它将内嵌防御服务与创新技术完美结合在一起，能够为所部署的IPS 解决方案提供全面的保护，而不必担心合法流量被阻止。AIP SSM还具备与其它网络安全资源协作，提供前瞻性网络保护方法的独特功能，从而可提供全面的网络保护。它采用准确的内嵌防御技术，使用户能够充满信心地针对更广泛的威胁采取防御措施，而不必担心合法流量被阻止。这些独特的技术能够对数据进行智能、自动化的上下文分析，并帮助确保企业能够充分发挥其入侵防御解决方案的作用。此外，AIP SSM 还使用多重矢量威胁辨识技术，通过详细检测2 到7 层的流量，保护网络免遭违反策略、漏洞利用和异常活动的攻击。

表9 详细说明了当前可用的三个AIP SSM 型号，及其各自的性能和物理特性。

表9. Cisco ASA 5500 系列AIP SSM 的特性.

Cisco ASA 5500系列内容安全和控制模块
Cisco ASA 5500 系列CSC SSM 在互联网边缘提供行业领先的威胁防护和内容控制能力，通过一款易于管理的解决方案带来了全面的防病毒、防间谍软件、文件阻止、防垃圾邮件、防网络钓鱼、URL 阻止和过滤、以及内容过滤服务。CSC SSM 支持Cisco ASA 5500 系列产品强大的安全能力，使客户能够更好地保护和控制其业务通信的内容。该模块为运行和部署Cisco ASA 5500 系列设备提供了更出色的灵活性和更广泛的选择。许可选项具备高级内容服务和更高用户容量等特性，使企业能够根据各部门的需要定制特性和功能。CSC SSM 在发运时配备默认特性集，提供防病毒、防间谍软件和文件阻止服务。针对每个CSC SSM，还可额外付费购买加强版（Plus）许可，以获得诸如防垃圾邮件、防网络钓鱼、URL 阻止和过滤、以及内容控制服务等功能。企业通过购买和安装额外用户许可，可以扩展CSC SSM的用户容量。表10 和CSC SSM 产品简介中显示了这些选项的详细列表。

表10. Cisco ASA 5500 系列CSC SSM 的特性

Cisco ASA 5500系列4端口千兆以太网模块

Cisco ASA 4 端口千兆以太网SSM 使企业能够更好地将网络流量划分到不同的安全区，为其网络环境提供更精细的安全保障。这些区域范围涵盖互联网到内部企业部门/站点，再到DMZ。该高性能模块包含4 个10/100/1000 铜线RJ-45 端口和4 个SFP 端口，可同时支持铜线和光纤连接选件。企业可以为这4 个端口分别选择铜线或者光纤连接，从而为数据中心、园区或企业边缘连接带来出色的灵活性（最多同时使用4 个端口）。该模块可扩展Cisco ASA 5500 系列产品的I/O 配置，能够在Cisco ASA 5510 上提供总共5 个快速以太网和4 个千兆以太网端口，在Cisco ASA 5520 和5540 设备上提供8 个千兆以太网端口和1 个快速以太网端口（如表11 所示）。

表 11. Cisco ASA 5500 系列4 端口千兆以太网SSM 的特性

Cisco ASA 5580安全设备接口卡

Cisco ASA 5580 自适应安全设备采用独特设计，可实现最高接口灵活性和密度。它带有六个接口卡扩展插槽，可支持多达24 个千兆以太网端口；12 个万兆以太网端口；或者二者的组合。这些出色的接口密度可支持高级安全应用，包括全网状网可用性、多个DMZ、虚拟防火墙、以及托管安全性等。4 端口铜线或光纤配置支持千兆以太网接口，2 端口光纤配置支持万兆以太网。千兆以太网和万兆以太网光纤接口采用了集成的短距离光纤(SR)和一个LC 连接器（表12）。

表12. Cisco ASA 5580 系列接口卡的特性

订购信息

如需订购产品，请访问思科订购主页。表13 提供了Cisco ASA 5500 系列产品的订购信息。

表13. 订购信息

如需下载该软件

请访问思科软件中心下载Cisco ASA 软件。

服务与支持

思科服务能够帮助您保护网络投资、优化网络运营，并使您的网络为支持新应用做好准备，从而能够进一步扩展网络智能，增强您的业务能力。

该服务生命周期的“运营”阶段包括：Cisco Security Intellishield Alert Manager Service、Cisco SMARTnet®、Service Provider Base 和Cisco Services for IPS。这些服务适用于企业、商用和信运
营商客户。

Cisco Security Intellishield Alert Manager Service 提供了基于Web 的可定制威胁和漏洞告警服务使企业能够轻松获得关于其所在环境中潜在漏洞的及时、准确、可信的信息。

Cisco Services for IPS 支持具备IPS 功能的模块、平台和平台与模块的捆绑。Cisco SMARTnet and Service Provider Base 支持该系列的其他产品。