スマートライセンスのガイドライン

• サポートされる vCPU の最大数は 16 です。AWS と OCI 以外のすべてのプラットフォームに展開された ASA 仮想の場合、サポートされる最大メモリは 64GB です。AWS および OCI に展開された ASA 仮想の場合、サポートされる最大メモリは 128GB です。すべての ASA 仮想 ライセンスを、サポートされているすべての ASA 仮想 vCPU/メモリ構成で使用できます。

• ライセンスされた機能およびライセンスされていないプラットフォーム機能のセッション制限は、VM メモリの量に基づいて設定されます。

• セキュアクライアント および TLS プロキシのセッション制限は、ASA 仮想 プラットフォームの権限付与によって決定されます。セッション制限は、ASA 仮想 モデルタイプ（ASAv5/10/30/50/100/ASAvU）に関連付けられなくなりました。

• セッション制限には最小メモリ要件があります。VM メモリが最小要件を下回っている場合、セッション制限はそのメモリ量でサポートされる最大数に設定されます。

• 既存の権限付与に変更はありません。権限付与 SKU と表示名には、引き続きモデル番号（ASAv5/10/30/50/100/ASAvU）が含まれます。

• 権限付与は、レート制限を介して最大スループットを設定します。

• ASAvU の権限付与を使用すると、レート制限が削除されます。

• お客様の発注プロセスに変更はありません。

ディスク ストレージ

ASA 仮想 は、デフォルトで最大 8 GB の仮想ディスクをサポートします。ディスクサイズを 8 GB を超えて増やすことはできません。VM リソースをプロビジョニングする場合は、この点に注意してください。

コンテキスト モードのガイドライン

シングル コンテキスト モードでだけサポートされます。マルチ コンテキスト モードをサポートしません。

ハイ アベイラビリティ ガイドラインのためのフェールオーバー

フェールオーバー配置の場合は、スタンバイ装置が同じライセンス権限付与を備えていることを確認してください（たとえば、両方の装置が 2Gbps の権限付与であることなど）。

重要

ASA 仮想 を使用して高可用性（HA）ペアを作成する場合は、データインターフェイスを各 ASA 仮想 に同じ順序で追加する必要があります。完全に同じインターフェイスが異なる順序で各 ASA 仮想 に追加されると、ASA 仮想 コンソールにエラーが表示されることがあります。また、フェールオーバー機能にも影響が出ることがあります。 リソースが一致していなくても、2 つの ASA virtual インスタンス間の HA を設定できます（例：一方のインスタンスが 8GB RAM でもう一方のインスタンスが 16GB RAM の場合など）。この構成は、ヒットレスアップグレードを容易にするためにサポートされています。ただし、リソース割り当ての変更が完了するまでに必要な期間を超えて、リソースが一致しない状態で HA を実行することは推奨されません。

サポートしない ASA 機能

ASA 仮想 は、次の ASA 機能をサポートしません。

• クラスタリング（ AWS、KVM と VMware を除くすべての権限付与）

• マルチ コンテキスト モード

• アクティブ/アクティブ フェールオーバー

• EtherChannel

• AnyConnect Premium（共有）ライセンス

制限事項

• ASA 仮想 は、x710 NIC の 1.9.5 i40en ホストドライバと互換性がありません。これより古いバージョンまたは新しいバージョンのドライバは動作します。（VMware のみ）

パフォーマンスのガイドライン

• 9 つ以上の設定済み e1000 インターフェイスを使用した 1 GB プラットフォームのジャンボフレーム予約によって、デバイスがリロードされる場合があります。ジャンボ フレーム予約が有効になっている場合は、インターフェイスの数を 8 つ以下に減らしてください。インターフェイスの正確な数は、その他の構成済み機能の操作で必要となるメモリの量によって異なりますが、8 つより少なくすることはできます。

パフォーマンスのガイドライン

• 集約トラフィックで 10 Gbps がサポートされます。

• ASA 仮想 のパフォーマンスを向上させるために、次のプラクティスがサポートされています。

  • NUMA ノード

  • 複数の RX キュー

  • SR-IOV プロビジョニング

  • 詳細については、パフォーマンスの調整およびパフォーマンスの調整を参照してください。

• フルスループットレートを実現するため、CPU ピンニングを推奨します。ESXi 構成でのパフォーマンスの向上およびKVM 構成でのパフォーマンスの向上を参照してください。

• ジャンボフレーム予約で e1000 インターフェイスと i40e-vf インターフェイスが混在していると、i40e-vf インターフェイスがダウン状態のままになる場合があります。ジャンボ フレーム予約が有効になっている場合は、e1000 ドライバと i40e-vf ドライバを使用するインターフェイスのタイプが混在しないようにしてください。

制限事項

• トランスペアレント モードはサポートされていません。

• ASA 仮想 は、x710 NIC の 1.9.5 i40en ホストドライバと互換性がありません。これより古いバージョンまたは新しいバージョンのドライバは動作します。（VMware のみ）

• Hyper-V ではサポートされていません。

パフォーマンスのガイドライン

• 集約トラフィックで 20 Gbps がサポートされます。

• ASA 仮想 のパフォーマンスを向上させるために、次のプラクティスがサポートされています。

  • NUMA ノード

  • 複数の RX キュー

  • SR-IOV プロビジョニング

  • 詳細については、パフォーマンスの調整およびパフォーマンスの調整を参照してください。

• フルスループットレートを実現するため、CPU ピンニングを推奨します。ESXi 構成でのパフォーマンスの向上およびKVM 構成でのパフォーマンスの向上を参照してください。

制限事項

• ASA 仮想 は、x710 NIC の 1.9.5 i40en ホストドライバと互換性がありません。これより古いバージョンまたは新しいバージョンのドライバは動作します。（VMware のみ）

• トランスペアレント モードはサポートされていません。

• Amazon Web Services（AWS）および Hyper-V ではサポートされません。

パフォーマンスのガイドライン

• レート制限が削除されます。

• VMware および KVM プライベートクラウドの展開でサポートされます。

• ハイ アベイラビリティのサポート

• 個別モードとスパンドモードで最大 16 ノードのクラスタリングをサポート

• 最適なパフォーマンスを得るには、Intel E810 イーサネット ネットワーク アダプタ シリーズ、または多数のキューをサポートする同様のイーサネット ネットワーク アダプタを使用することをお勧めします。Intel X710 イーサネット ネットワーク アダプタ シリーズでは、キューからコアへのマッピングの問題により、パフォーマンスレベルが低下します。

• ASA Virtual のパフォーマンスを向上させる方法については、「KVM でのパフォーマンス調整」および「VMware でのパフォーマンス調整」を参照してください。

• フルスループットレートを実現するため、CPU ピンニングを推奨します。ESXi 構成でのパフォーマンスの向上およびKVM 構成でのパフォーマンスの向上を参照してください。

ASA 仮想 は、次のギガビット イーサネット インターフェイスがあります。

• Management 0/0

  AWS と Azure の場合は、Management 0/0 をトラフィック伝送用の「外部」インターフェイスにすることができます。

• GigabitEthernet 0/0 ～ 0/8。ASA 仮想 をフェールオーバー ペアの一部として展開する場合は GigabitEthernet 0/8 がフェールオーバー リンクに使用されることに注意してください。

  （注）	構成を簡単に移行できるように、Ten GigabitEthernet（VMXNET3 ドライバで使用可能なインターフェイスなど）には GigabitEthernet というラベルが付いています。これは表面的なものであり、実際のインターフェイス速度には影響しません。 ASA 仮想 では、E1000 ドライバを 1 Gbps リンクとして使用してギガビット イーサネット インターフェイスが定義されます。VMware では E1000 ドライバの使用が推奨されなくなっていることに注意してください。

• Hyper-V は最大 8 つのインターフェイスをサポートします。Management 0/0 および GigabitEthernet 0/0 ～ 0/6。フェールオーバー リンクとして GigabitEthernet 0/6 を使用できます。

ASA 仮想 では次の vNIC がサポートされています。同じ ASA 仮想 での vNIC の混在（e1000 と vmxnet3 など）はサポートされていません。

VMware および VMXNET3 の LRO を無効にします

Large Receive Offload（LRO）は、CPU オーバーヘッドを削減することによって、高帯域幅ネットワーク接続のインバウンドスループットを向上させる手法です。これは、1 つのストリームからの複数の着信パケットを大きなバッファに集約してから、ネットワークスタックの上位に渡されるようにすることによって、処理する必要があるパケットの数を減らすことによって機能します。ただし、LRO は、ネットワークパケット配信のフローが一貫せず、輻輳しているネットワークで「バースト」する可能性がある場合に、TCP パフォーマンスの問題を引き起こす可能性があります。

重要	VMware は、デフォルトで LRO を有効にして、全体的なスループットを向上させます。したがって、このプラットフォームで ASA 仮想 導入の LRO を無効にする必要があります。

ASA 仮想 マシンで LRO を直接無効化できます。設定変更を行う前に、仮想マシンの電源をオフにします。

1. vSphere Web Client インベントリで ASA 仮想 マシンを検索します。

   1. 仮想マシンを検索するには、データセンター、フォルダ、クラスタ、リソースプール、またはホストを選択します。

   2. [Related Objects] タブをクリックし、[Virtual Machines] タブをクリックします。

2. 仮想マシンを右クリックして、[Edit Settings] をクリックします。

3. [VM Options] をクリックします。

4. [Advanced] を展開します。

5. [Configuration Parameters] の下で、[Edit Configuration] ボタンをクリックします。

6. [Add Parameter] をクリックし、LRO パラメータの名前と値を入力します。

   • Net.VmxnetSwLROSL | 0

   • Net.Vmxnet3SwLRO | 0

   • Net.Vmxnet3HwLRO | 0

   • Net.Vmxnet2SwLRO | 0

   • Net.Vmxnet2HwLRO | 0

   （注）	オプションで、LRO パラメータが存在する場合は、値を調べて必要に応じて変更できます。パラメータが 1 に等しい場合、LRO は有効です。0 に等しい場合、LRO は無効です。

7. [OK] をクリックして変更を保存し、[Configuration Parameters] ダイアログボックスを終了します。

8. [保存（Save）] をクリックします。

詳細については、次の VMware サポート記事を参照してください。

• VMware KB 1027511

• VMware KB 2055140

ASA 仮想 の導入に使用する具体的なハードウェアは、サイズや使用要件によって異なります。ASA 仮想 のライセンス には、さまざまな ASA 仮想 プラットフォームに関するライセンスの権限付与条件に準拠するリソースシナリオが説明されています。加えて、SR-IOV 仮想機能には特定のシステム リソースが必要です。

ホスト オペレーティング システムとハイパーバイザ サポート

SR-IOV サポートと VF ドライバは、以下で使用できます。

• Linux 2.6.30 カーネル以降

SR-IOV インターフェイスを備えた ASA 仮想 は、現在、次のハイパーバイザでサポートされています。

• VMware vSphere/ESXi

• QEMU/KVM

• AWS

ハードウェア プラットフォーム サポート

（注）	サポートされている仮想化プラットフォームを実行できる任意のサーバークラスの x86 CPU デバイスに ASA 仮想 を導入する必要があります。

このセクションでは、SR-IOV インターフェイスに関するハードウェア ガイドラインについて説明します。以下はガイドラインであって要件ではありませんが、このガイドラインに従っていないハードウェアを使用すると、機能の問題や性能の低下につながる可能性があります。

SR-IOV をサポートしており、SR-IOV 対応 PCIe アダプタを搭載したサーバーが必要です。以下のハードウェア検討事項に留意する必要があります。

• 使用可能な VF の数を含む SR-IOV NIC の機能は、ベンダーやデバイスによって異なります。

• すべての PCIe スロットが SR-IOV をサポートしているわけではありません。

• SR-IOV 対応 PCIe スロットは機能が異なる場合があります。

  （注）	メーカーのマニュアルで、お使いのシステムの SR-IOV サポートを確認する必要があります。

• VT-d 対応のチップセット、マザーボード、および CPU については、『virtualization-capable IOMMU supporting hardware』を参照してください。VT-d は、SR-IOV システムに必須の BIOS 設定です。

• VMware の場合は、オンラインの『Compatibility Guide』で SR-IOV サポートを検索できます。

• KVM の場合は、『CPU compatibility』を確認できます。KVM 上の ASA 仮想 では、x86 ハードウェアしかサポートされないことに注意してください。

  （注）	シスコでは、ASA 仮想 を Cisco UCS C シリーズ ラックサーバーでテストしました。Cisco UCS-B サーバーは ixgbe-vf vNIC をサポートしていないことに注意してください。

SR-IOV でサポートされている NIC

• Intel イーサネット ネットワーク アダプタ X710

  注目	ASA 仮想 は、x710 NIC の 1.9.5 i40en ホストドライバと互換性がありません。これより古いバージョンまたは新しいバージョンのドライバは動作します。（VMware のみ）

• Intel Ethernet Server Adapter X520 - DA2

CPU

• x86_64 マルチコア CPU

  Intel Sandy Bridge 以降（推奨）

  （注）	シスコでは、ASA 仮想 を 2.3GHz の Intel Broadwell CPU（E5-2699-v4）でテストしました。

• コア

  • CPU ソケットあたり 8 個以上の物理コア

  • 単一のソケット上で 8 コアにする必要があります。

  （注）	CPU ピンニングは、ASAv50 および ASAv100 上でフルスループットレートを実現するために推奨されています。ESXi 構成でのパフォーマンスの向上とKVM 構成でのパフォーマンスの向上を参照してください。

BIOS 設定

SR-IOV は、BIOS だけでなく、ハードウェアで実行しているオペレーティング システム インスタンスまたはハイパーバイザのサポートも必要です。システム BIOS で次の設定をチェックします。

• SR-IOV が有効になっている。

• VT-x（仮想化テクノロジー）が有効になっている。

• VT-d が有効になっている。

• （オプション）ハイパースレッディングが無効になっている。

システムごとに BIOS 設定にアクセスして変更する方法が異なるため、ベンダーのマニュアルでプロセスを確認することをお勧めします。

制限事項

ixgbe-vf インターフェイスを使用する場合、次の制限事項があります。

• ゲスト VM では、VF を無差別モードに設定できません。そのため、ixgbe-vf の使用時はトランスペアレント モードがサポートされません。

• ゲスト VM では、VF 上で MAC アドレスを設定できません。そのため、HA 中は MAC アドレスが転送されません。他の ASA プラットフォームや他のインターフェイス タイプを使用した場合は転送されます。HA フェールオーバーは、IP アドレスをアクティブからスタンバイに移行することによって機能します。

  （注）	この制限は、i40e-vf インターフェイスにも適用されます。

• Cisco UCSB サーバーは ixgbe-vf の vNIC をサポートしません。

• フェールオーバー セットアップでは、ペアになっている ASA 仮想（プライマリ装置）に障害が発生すると、スタンバイ ASA 仮想 装置がプライマリ装置のロールを引き継ぎ、そのインターフェイス IP アドレスがスタンバイ ASA 仮想 装置の新しい MAC アドレスで更新されます。その後、ASA 仮想 は Gratuitous Address Resolution Protocol（ARP）更新を送信して、インターフェイス IP アドレスの MAC アドレスの変更を同じネットワーク上の他のデバイスに通知します。ただし、インターフェイスタイプの非互換性により、Gratuitous ARP 更新は、インターフェイス IP アドレスをグローバル IP アドレスに変換するための NAT または PAT ステートメントで定義されているグローバル IP アドレスに送信されません。