Cisco ASA 5505 - 需要更多站点到站点 VPN

Question

我在主机托管设施中使用Cisco ASA 5505 50 用户防火墙。此位置的系统正在执行对其他远程站点（也运行 Pix 或 ASA 设备）的监控。我已经建立了站点到站点隧道，但在其当前许可方案下达到了设备的硬限制。ASA 5505 型号仅限于 10 个同步 IPsec 隧道。

我很好奇我在这里的选择。理想情况下，我希望能够处理 15-20 个连接。根据研究，我似乎可以添加额外的Security Plus许可证以扩展到 25 个 VPN 隧道。另一个选项似乎是转向 Cisco ASA 5510。

鉴于我在 colo 拥有少量系统，是否只是为了获得额外的 VPN 功能而迁移到 ASA 5510？将 ASA 5505 升级到 25-VPN 选项是否有任何缺点（硬件/性能/等）？还有其他我错过的选择吗？

Answer 1

如果您可以想象可能需要超过 25 个隧道的情况，请选择 5510；如果从长远来看不能满足您的需求，那么将额外的钱投入 5505 安全加许可证是没有意义的。

也就是说，如果您只需要 15-20 个，那么获得许可证升级会更具成本效益。

思科对设备的限制非常随意。它们与 ASA 的性能限制几乎没有关系，而与存在大量虚假障碍以迫使您使用更昂贵的设备有关。我不希望 5505 出现任何性能问题，除非您使那些 100mb 接口饱和。

Answer 2

升级到 5510 只是为了 VPN 隧道是矫枉过正，是的。

但是，您将来可能希望拥有一些选项，只有 ASA5510 及更高版本可以支持：

• 有状态故障转移（主动/主动或主动/被动，后者变得非常流行）
• 5510 上的连接数为 125.000，而 5505 上的连接数为 25.000
• 网络吞吐量的 3 倍。也许有一天您想在 ASA 上添加另一个网络/vlan，而 VLAN 内的速度需要比 100mbit/s 快一点？这种情况我遇到过好几次了。。
• 内容安全、反恶意软件、防病毒等（SSM 模块）
• 以太网通道支持 - 如果您使用堆叠交换机（如 3750）作为主干，则非常有用
• 双风扇散热更好。这对您来说可能非常重要，具体取决于它们运行的​​环境。

我希望这对您有所帮助，尽管我知道定价存在很大差异。