Cisco ASA 5506, 5508, 5525 còn dùng được không và thay bằng gì?
Nhiều hệ thống vẫn chạy tường lửa Cisco ASA 5500-X. Bài viết nêu tình trạng các mã ASA5506, ASA5508, ASA5512, ASA5525 và các bản FirePOWER, giải thích rủi ro khi tiếp tục dùng thiết bị hết hỗ trợ, và đường thay thế sang dòng Firepower theo từng mức thông lượng.
Nội dung bài viết
Dòng Cisco ASA 5500-X từng là tường lửa phổ biến nhất ở doanh nghiệp Việt Nam. Nhiều hệ thống vẫn chạy các mã ASA5506, ASA5508, ASA5512, ASA5525 tới hôm nay, và câu hỏi đặt ra là nên giữ hay thay.
Các mã ASA tại Thiết Bị Mạng
| Mã | Vai trò trước đây | Tình trạng |
|---|---|---|
| ASA5506-K9, ASA5506-K9 | Văn phòng nhỏ | Dòng đời cũ |
| ASA5508-K9 | Doanh nghiệp nhỏ | Dòng đời cũ |
| ASA5512-K9 | Doanh nghiệp vừa | Dòng đời cũ |
| ASA5525-K9 | Doanh nghiệp vừa | Dòng đời cũ |
| ASA5516-FPWR-K9 | Bản kèm dịch vụ FirePOWER | Dòng đời cũ |
| ASA5525-FPWR-K9, ASA5545-FPWR-K9 | Bản kèm dịch vụ FirePOWER | Dòng đời cũ |
| ASA5555-FPWR-K9 | Bản cao nhất trong nhóm | Dòng đời cũ |
Rủi ro khi tiếp tục dùng thiết bị hết hỗ trợ
- Không còn bản vá: tường lửa là thiết bị nằm ở ranh giới mạng, chạy phần mềm không được vá là rủi ro lớn nhất trong hệ thống.
- Không cập nhật chữ ký: các dịch vụ ngăn xâm nhập, lọc web phụ thuộc thuê bao; hết hạn thì tác dụng giảm dần.
- Không thay được khi hỏng: hết hỗ trợ nghĩa là không đổi trả được thiết bị lỗi.
- Thông lượng không theo kịp: đường Internet doanh nghiệp hiện nay thường vượt khả năng xử lý của thiết bị đời cũ khi bật đủ tính năng bảo mật.
- Thiếu tính năng hiện đại: kiểm tra lưu lượng mã hoá, nhận diện ứng dụng, tích hợp với hệ thống quản lý mối đe doạ.
Đường thay thế
| Thiết bị cũ | Thay bằng | Ghi chú | Giá |
|---|---|---|---|
| ASA5506-K9 | FPR1010-NGFW-K9 hoặc FPR1010-ASA-K9 | 650 Mbps, 8 cổng RJ-45 | 11.300.000 đ |
| ASA5508-K9 | FPR1010 hoặc FPR1120-ASA-K9 | Tuỳ thông lượng cần | Báo giá |
| ASA5512-K9 | FPR1120-ASA-K9 | Dòng 1100 | Báo giá |
| ASA5525-K9 | FPR2110-NGFW-K9, FPR2110-ASA-K9 | Dòng 2100 | 106.220.000 đ |
| ASA5545-FPWR-K9 | FPR2130-NGFW-K9 | Dòng 2100 bản cao | Báo giá |
| ASA5555-FPWR-K9 | FPR2140-NGFW-K9 | Dòng 2100 bản cao nhất | Báo giá |
Chuyển đổi: những gì cần chuẩn bị
- Xuất cấu hình hiện tại: danh sách luật tường lửa, NAT, VPN, đối tượng mạng.
- Rà lại luật: hệ thống chạy nhiều năm thường tích tụ luật không còn dùng; đây là cơ hội dọn dẹp.
- Danh sách dịch vụ phụ thuộc: VPN chi nhánh, VPN người dùng từ xa, luật cho máy chủ công khai, dịch vụ thư điện tử.
- Chọn bản NGFW hay ASA: nếu muốn giữ cách quản trị quen thuộc thì chọn bản ASA của dòng Firepower.
- Kế hoạch cắt chuyển: làm ngoài giờ, giữ thiết bị cũ tại chỗ vài ngày làm đường lùi, thông báo trước cho người dùng VPN.
Giữ ASA cũ trong trường hợp nào
- Dùng trong phòng lab để thử nghiệm, không nối ra Internet.
- Làm thiết bị dự phòng nguội cho hệ thống chưa kịp thay.
- Làm thiết bị đầu cuối VPN cho một chi nhánh nhỏ, nội bộ, trong thời gian ngắn chờ thay.
Trong mọi trường hợp, thiết bị hết hỗ trợ không nên đặt ở vị trí chắn giữa mạng nội bộ và Internet của hệ thống chính.
Xem nhóm Firewall Cisco, Firewall Fortinet và bài thông số dòng Firepower, kiểm tra vòng đời thiết bị Cisco.
Câu hỏi thường gặp
ASA 5506, 5508, 5525 còn dùng được không?
Vẫn chạy nhưng đã hết vòng đời; không nên đặt ở vị trí chắn giữa mạng nội bộ và Internet của hệ thống chính.
Rủi ro lớn nhất khi dùng ASA hết hỗ trợ là gì?
Không còn bản vá phần mềm, trong khi tường lửa là thiết bị nằm ngay ranh giới mạng.
ASA5506 thay bằng model nào?
FPR1010 bản NGFW hoặc bản ASA, thông lượng 650 Mbps, giá 11.300.000 đ chưa VAT.
ASA5525 thay bằng gì?
Dòng Firepower 2100, ví dụ FPR2110 bản NGFW hoặc bản ASA.
Chuyển đổi tường lửa cần chuẩn bị gì?
Xuất cấu hình, rà lại luật cũ, liệt kê dịch vụ phụ thuộc như VPN, chọn bản NGFW hay ASA và lập kế hoạch cắt chuyển ngoài giờ.
