思科自适应安全虚拟设备 (ASAv) 快速入门 指南

关于 Microsoft Azure 云上的 ASAv 部署

Microsoft Azure 是一个使用专用 Microsoft Hyper V 虚拟机监控程序的公共云环境。ASAv 在 Hyper V 虚拟机监控程序的 Microsoft Azure 环境中充当访客。Microsoft Azure 上的 ASAv 支持一个实例类型，即标准 D3。标准 D3 可支持 4 个 vCPU、14 GB 内存和 4 个接口。

您可以采用以下两种方式之一在 Microsoft Azure 上部署 ASAv：使用 Azure 资源管理器部署为独立防火墙，或使用 Azure 安全中心部署为集成的合作伙伴解决方案。请参阅在 Microsoft Azure 上部署 ASAv。

ASAv 和 Azure 的先决条件和系统要求

• 在 Azure.com 上创建帐户。

在 Microsoft Azure 上创建帐户后，您可以登录并在 Microsoft Azure Marketplace 中选择 ASAv，然后部署 ASAv。

• 许可 ASAv。

在您许可 ASAv 之前，ASAv 将在降级模式下运行，此模式仅支持 100 个连接和 100 Kbps 的吞吐量。请参阅 适用于 ASAv 的智能软件许可 。

• 接口要求：

您必须在四个网络上使用四个接口部署 ASAv。

–管理界面

注意： 对于边缘防火墙配置，管理接口也用作“外部”(outside) 接口。

注意： 在 Azure 中，最先定义的接口始终是管理接口。该接口是唯一一个具有关联的 Azure 公共 IP 地址的接口。由于这个原因，Azure 中的 ASAv 允许管理接口上存在直通数据流量。因此，管理接口的初始配置不包括 management-only 设置。

–内部和外部接口

–其他子网 (Additional subnet)（DMZ 或您选择的任何网络）

• 通信路径：

–管理接口 (Management interface) - 用于 SSH 访问以及将 ASAv 连接到 ASDM。

–内部接口 (Inside interface)（必需）- 用于将 ASAv 连接到内部主机。

–外部接口 (Outside interface)（必需）- 用于将 ASAv 连接到公共网络。

–DMZ 接口 (DMZ interface)（可选）- 在使用 Standard_D3 接口时，用于将 ASAv 连接到 DMZ 网络。

• 有关 ASAv 的系统要求，请参阅 思科 ASA 兼容性矩阵 。

ASAv 和 Azure 的准则和限制

支持的功能

• 从 Microsoft Azure 云进行部署
• 每个实例最多四个 vCPU
• 第 3 层网络的用户部署

注意：Azure 不提供可配置的第 2 层 vSwitch 功能。

• 路由防火墙模式（默认）

注意：在路由防火墙模式下，ASAv 是网络中的传统第 3 层边界。此模式要求每个接口具有一个 IP 地址。由于 Azure 不支持 VLAN 标记的接口，因此必须在非标记、非中继的接口上配置 IP 地址。

不支持的功能

• 控制台访问（使用 SSH 或 ASDM 通过网络接口执行管理操作）
• IPv6
• 用户实例接口上的 VLAN 标记
• 巨帧
• 设备不拥有的 IP 地址的代理 ARP（从 Azure 的角度看）
• 任何接口上的公共 IP 地址

只有“Management 0/0”接口可以具有关联的公共 IP 地址。

• 混合模式（不支持嗅探或透明模式防火墙）

注意：Azure 策略阻止 ASAv 在透明防火墙模式下运行，因为它不允许接口在混合模式下运行。

• 多情景模式
• 集群
• ASAv 本地高可用性
• 虚拟机导入/导出
• 默认情况下，Azure 云中运行的 ASAv 上未启用 FIPS 模式。

小心： 如果您启用 FIPS 模式，则必须使用 ssh key-exchange group dh-group14-sha1 命令将 Diffie-Helman 密钥交换组更改为更强的密钥。如果您不更改 Diffie-Helman 组，将无法通过 SSH 连接到 ASAv，而这是初始管理 ASAv 的唯一方式。

Azure 上的 ASAv 网络拓扑示例

图 1 显示了在路由防火墙模式下建议用于 ASAv 的网络拓扑，在 Azure 中配置了三个子网（管理、内部、DMZ）。图中未显示第四个必需的接口（外部）。

图 1 Azure 上的 ASAv 部署示例

在部署期间创建的资源

在 Azure 中部署 ASAv 时，会创建以下资源：

• ASAv 虚拟机 (VM)
• 资源组（除非您选择了现有的资源组）

ASAv 资源组必须是虚拟网络和存储帐户使用的相同资源组。

• 四个 NIC，分别名为 vm name -Nic0、 vm name -Nic1、 vm name -Nic2 和 vm name -Nic3

这些 NIC 分别映射到 ASAv 接口“Management 0/0”、“GigabitEthernet 0/0”、“GigabitEthernet 0/1”和“GigabitEthernet 0/2”。

• 一个名为 vm name -SSH-SecurityGroup 的安全组

安全组将附加到虚拟机的 Nic0，该 NIC 映射到 ASAv Management 0/0。

安全组包括允许将 SSH 和 UDP 端口 500 和 UDP 4500 用于 VPN 的规则。您可以在部署后修改这些值。

• 公共 IP 地址（根据您在部署期间选择的值命名）

公共 IP 地址与虚拟机 Nic0 相关联，该 NIC 映射到 Management 0/0。Azure 仅允许一个公共 IP 地址与第一个 NIC 相关联。

注意： 您必须选择公共 IP 地址（新地址或现有地址）；不支持“无”(NONE) 选项。

• 一个具有四个子网的虚拟网络（除非您选择了现有的网络）
• 每个子网的路由表（如果已存在，则相应更新）

表命名为 subnet name -ASAv-RouteTable。

每个路由表包含通往其他三个子网的路由，ASAv IP 地址作为下一跳。如果流量需要到达其他子网或互联网，您可以选择添加默认路由。

• 所选存储帐户中的启动诊断文件

启动诊断文件将在 Blobs（二进制大对象）中。

• 所选存储帐户中位于 Blobs 和容器 VHD 下的两个文件，名为 vm name -disk.vhd 和 vm name -<uuid>.status
• 一个存储帐户（除非您选择了现有的存储帐户）

注意：在删除虚拟机时，必须逐个删除每个资源（您要保留的任何资源除外）。

Azure 路由

Azure 虚拟网络中的路由取决于虚拟网络的有效路由表。有效路由表是现有的系统路由表与用户定义路由表的组合。

注意： 您目前无法查看有效路由表和系统路由表。

您可以查看和编辑用户定义路由表。如果有效路由表是由系统表与用户定义表组合而成，系统会优先使用最具体的路由，并关联至用户定义路由表。系统路由表包括指向 Azure 虚拟网络互联网网关的默认路由 (0.0.0.0/0)。系统路由表还包括通往其他已定义子网的具体路由（下一跳指向 Azure 的虚拟网络基础设施网关）。

为了通过 ASAv 路由流量，ASAv 部署流程会在每个子网上添加通往其他三个子网的路由（将 ASAv 用作下一跳）。您可能还需要添加一个指向子网上的 ASAv 接口的默认路由 (0.0.0.0/0)。如果执行此操作，将通过 ASAv 发送来自子网的所有流量，这可能需要提前配置 ASAv 策略，以处理该流量（可能使用 NAT/PAT）。

由于系统路由表中存在现有的具体路由，因此您必须将具体的路由添加到用户定义路由表，以指向作为下一跳的 ASAv。否则，用户定义表中的默认路由将让步于系统路由表中更具体的路由，并且流量将绕过 ASAv。

虚拟网络中虚拟机的路由配置

Azure 虚拟网络中的路由取决于有效路由表，而非客户端上的特定网关设置。系统可能通过 DHCP 为虚拟网络中运行的客户端提供路由，即各个子网上最后一位为.1 的地址。这是一个占位符，仅用于将数据包传送到虚拟网络的基础设施虚拟网关。一旦数据包离开虚拟机，系统会根据有效路由表（由用户定义表修改）对数据包进行路由。有效路由表确定下一跳，无论客户端是具有配置为.1 还是 ASAv 地址的网关。

Azure 虚拟机 ARP 表将为所有已知主机显示相同的 MAC 地址 (1234.5678.9abc)。这可确保所有离开 Azure 虚拟机的数据包都将到达 Azure 网关，其中有效路由表将用于确定数据包的路径。

IP 地址

以下信息适用于 Azure 中的 IP 地址：

• 系统会为 ASAv 上的第一个 NIC（映射到 Management 0/0）提供其附加到的子网中的私有 IP 地址。

公共 IP 地址可能与此私有 IP 地址相关联，Azure 互联网网关将处理 NAT 转换。

• 只有虚拟机上的第一个 NIC 才可以附加公共 IP 地址。
• 动态的公共 IP 地址在 Azure 停止/启动周期期间可能发生变化。但是，这些地址在 Azure 重新启动期间和 ASAv 重新加载期间保持不变。
• 静态的公共 IP 地址不会发生变化，除非您在 Azure 中进行更改。
• ASAv 接口可使用 DHCP 设置其 IP 地址。Azure 基础设施可确保为 ASAv 接口分配 Azure 中设置的 IP 地址。

DNS

所有 Azure 虚拟网络都可以访问地址为 168.63.129.16 的内置 DNS 服务器，您可以按以下所述使用该服务器：

如果您配置智能许可，并且未设置您自己的 DNS 服务器，则可以使用此配置。

在 Microsoft Azure 上部署 ASAv

您可以采用以下两种方式之一在 Microsoft Azure 上部署 ASAv：

• 使用 Azure 资源管理器将 ASAv 部署为独立防火墙。请参阅在 Azure 资源管理器中部署 ASAv。
• 在 Azure 内使用 Azure 安全中心将 ASAv 部署为集成的合作伙伴解决方案。向有安全意识的客户提供 ASAv，作为保护 Azure 工作负载的防火墙选项。从单个集成控制面板中监控安全和运行状况事件。请参阅在 Azure 安全中心部署 ASAv。