Как выбрать Cisco ASA 5500-X серии?

Брандмауэры Cisco ASA принято считать лучшим выбором для корпоративных сетей. Если вы владеете небольшим бизнесом, в этом семействе найдутся варианты, которые смогут удовлетворить ваши потребности. Но имейте в виду, что их функции обычно несколько ограничены по сравнению с более поздними версиями. Нижеприведённая таблица не включает все модели из серии 5500-X. Мы включили только те, которые, по нашему мнению, стали бы наиболее подходящим выбором в сравнении с "нижними" моделями, учитывая при этом цену и функционал.

Спецификации оборудования для Cisco ASA 5500-x series

Функционал

Серия межсетевых экранов ASA 5500-X от Cisco предлагает множество функций. Однако многие из них требуют дополнительного лицензирования. Обратите внимание, что в следующей таблице перечислены только ключевые функции. Если вы хотите узнать о лицензировании более подробно, то ознакомьтесь с подробными сведениями о лицензировании Cisco для получения полного списка того, что предлагает каждое устройство, либо обратитесь в нашу службу поддержки. 

Так или иначе, эта таблица содержит основную информацию:

Примечание. Дополнительные лицензии, перечисленные выше, являются отдельными для каждой функции. Например, AnyConnect и IPS требуют отдельной дополнительной лицензии для включения этих функций.

Если вы собираетесь платить за ASA, вы действительно должны использовать эти дополнительные функции. Мы же не будем углубляться в описание каждой из них.

BotNet фильтрация 

Используя нетехнические термины, BotNet похож на армию зомби-компьютеров, управляемую злоумышленником. Они часто используются в атаках DDoS (Distributed Denial of Service) и могут навредить нормальной работе сети. Эти роботы перегружают вашу сеть трафиком до такой степени, что полезный трафик просто таки теряется. Конечно же они, в основном, ориентированы на "профильные" веб-серверы, но не стоит недооценивать уровень угрозы и для обычных корпоративных сетей. То есть никто не даст гарантии, что вы не станете жертвой DDoS-атаки только потому, что вы являетесь "всего лишь" небольшой компанией.

Отказоустойчивость

Поддержка отказоустойчивости довольно проста.
У вас есть один из двух сценариев:

•  В сценарии Active/Standby один ASA филонит без дела пока активный ASA не упадёт от усталости, и уж тогда-то первый друг автоматически включается в работу за себя и за того неисправного парня. 
•  Вы также можете настроить сценарий Active/Active, где каждый брандмауэр имеет свою собственную задачу, но если кто-то не справляется, другой выполняет оба задания. То есть, формируется так называемая избыточность. Она важна в сети, требующей высокого уровня доступности и отказоустойчивости. Другими словами, она должна позволять вам вести бизнес как будто ничего не случилось, пока ваши техники не выведут неисправное устройство в рабочий режим.

IPS

IPS (Intrusion Prevention System - система предотвращения вторжений) - это программное обеспечение, которое постоянно мониторит сетевой трафик на признаки злонамеренной деятельности. IPS не только отслеживает признаки этой деятельности, но и может остановить ее. Система может отбросить злобный трафик, заблокировать IP-адрес злоумышленника, отправить предупреждение системным администраторам и просто сбросить соединение. Угрозы обнаруживаются сложными механизмами: посредством сравнения сигнатур, аномалий или анализа состояния протокола. Это еще один механизм безопасности, который уменьшает вероятность того, что вам придётся ломать голову для решения проблем, связанных с нарушением безопасности.

Как вы можете видеть, эти дополнительные функции брандмауэра Cisco весьма и весьма ценны. Не стоит экономить на них, если они находятся в рамках вашего бюджета. Устранение нарушений безопасности сети - это ещё более ресурсоёмкий процесс, который отнимет много времени и средств вашей компании.

Выбор межсетевого экрана

Для начала просмотрите именно свою сеть. Вы навряд ли захотите сравнивать все эти модели, правда? Проще будет выбрать одну, а затем выяснить совместим ли он с вашим гипервизором или вашими коммутаторами. Поскольку эта информация уж очень обширна, мы просто таки обязаны направить вас к документации Cisco по совместимости . Ну или опять же — вы всегда можете посоветоваться с нашей технической службой. Далее просто: обнаружили что-то несовместимое и можете либо удалить несовместимые устройства в вашей сети, либо рассмотреть другой вариант брандмауэра.

Затем вам нужно определиться с бюджетом. В нашем магазине купить брандмауэр Cisco, конечно же, дешевле, чем где либо ещё, но это лишь в относительных величинах. В абсолютных показателях стоимости они не дешевы, и некоторые функции, которые возможно вам понадобятся вполне могут быть и вне вашего ценового диапазона. В этом случае вы можете изучить альтернативы оборудованию Cisco или (что лучше всего) попытаться переработать бюджет.

Вы также должны учитывать масштабируемость. Нижние модели, которые не поддерживают кластеризацию, могут впоследствии стать головной болью для ваших администраторов, поскольку они должны будут настроить каждый межсетевой экран ASA индивидуально. Имейте в виду, что перечисленные здесь брандмауэры Cisco, из тех, что могут поддерживать кластеризацию, способны группировать только два устройства. Если вам требуется больше, вам нужно посмотреть в сторону моделей 5580 и 5585-X.

И ещё одна вещь, которую вам нужно учитывать, - это расходы на лицензирование. У этих устройств много функций, но за их использование вам придется платить. Обязательно получите информацию от своей IT-группы о том, что, по их мнению, будет работать лучше всего, прежде чем принимать решение о покупке. 
Ну а если у вас есть вопросы, а IT-группы нет, то обращайтесь к нам по любому из каналов связи.
Мы надеемся, что после прочтения нашей  статьи, выбор аппаратного межсетевого экрана для вас будет совсем простым.