• 内部和外部子网 - 输入 VPC 和子网的名称。

• 互联网网关 - 输入互联网网关的名称。它支持通过互联网进行的直接连接。

• 外部表 - 添加条目以启用发送到互联网的出站流量（将 0.0.0.0/0 添加到互联网网关）。

• 选择您的 AMI（例如 Ubuntu Server 14.04 LTS）。

  使用您的映像传送通知中确定的 AMI。

• 选择 ASA virtual支持的实例类型（例如 c3.large）。

• 配置实例（CPU 和内存是固定的）。

• 展开高级详细信息 (Advanced Details) 部分，然后在用户数据 (User data) 字段中，您可以选择输入 Day 0 配置，即文本输入，其中包含启动 ASA virtual时应用的 ASA virtual 配置。有关使用更多信息配置 Day 0 的详细信息，例如智能许可，请参阅 准备 Day 0 配置文件。

  • 管理接口：如果您选择提供 Day 0 配置的详细信息，则 必须 提供管理接口详细信息，应将其配置为使用 DHCP。

  • 数据接口：仅当您在 Day 0 配置中提供该信息时才会分配和配置数据接口的 IP 地址。可以将数据接口配置为使用 DHCP；或者，如果要连接的网络接口已创建且 IP 地址已知，则可以在 Day 0 配置中提供 IP 地址详细信息。

  • 没有 Day 0 配置时：如果在不提供 Day 0 配置的情况下部署 ASA virtual，则 ASA virtual将应用默认 ASA virtual配置，在该配置中从 AWS 元数据服务器获取连接接口的 IP 地址并分配 IP 地址（数据接口将获取 IP 地址分配，但 ENI 将关闭）。管理 0/0 接口将启用，并获取使用 DHCP 地址配置的 IP 地址。有关 Amazon EC2 和 Amazon VPC IP 寻址的信息，请参阅 VPC 中的 IP 寻址。

    Day 0 配置示例 -

    
    ! ASA Version 9.x.1.200
    !
    interface management0/0
    management-only
    nameif management
    security-level 100
    ip address dhcp setroute
    ipv6 enable
    ipv6 address dhcp default
    no shutdown
    !
    !
    GWLB facing VTEP interface
    interface TenGigabitEthernet0/0
    nameif data-interface-in
    security-level 100
    ip address dhcp
    no shut
    
    !
    Internet-facing outside interface 
    interface TenGigabitEthernet0/1
    nameif data-interface-out
    security-level 0
    ip address dhcp
    no shut
    
    nve 1
    encapsulation geneve
    source-interface data-interface-in
    interface vni1
    proxy dual-arm
    nameif vni-in
    security-level 0
    vtep-nve 1
    ! NAT for internet-bound traffic
    nat (vni-in, data-interface-out) source dynamic any interface
    !Default route to internet gateway= 10.1.200.1 (Outside gateway)
    !Route East-West traffic (Application subnet CIDR) back to vni interface (U-turn)
    route data-interface-out 0.0.0.0 0.0.0.0 10.1.200.1 
    route vni-in 192.168.1.0 255.255.255.0 10.1.100.1 1
    !
    mtu data-interface-in 1826
    jumbo-frame reservation
    same-security-traffic permit inter-interface
    same-security-traffic permit intra-interface
    
    
    crypto key generate rsa modulus 2048
    ssh 0 0 management
    ssh ::/0 management
    ssh timeout 60
    ssh version 2
    username admin password Q1w2e3r4 privilege 15
    username admin attributes
    service-type admin
    aaa authentication ssh console LOCAL
    !
    same-security-traffic permit inter-interface
    same-security-traffic permit intra-interface
    access-list allow-all extended permit ip any any
    access-list allow-all extended permit ip any6 any6
    access-group allow-all global
    !
    interface G0/0
    nameif outside
    ip address dhcp setroute
    ipv6 enable
    ipv6 address dhcp default
    no shutdown
    !
    interface G0/1
    nameif inside
    ip address dhcp
    ipv6 enable
    ipv6 address dhcp default
    no shutdown
    !

• 存储：保留默认值。

• 标签实例：您可以创建许多标签，对您的设备进行分类。为设备命名有助于轻松找到它们。

• 安全组：创建安全组并为其命名。安全组是供实例控制入站流量和出站流量的虚拟防火墙。

  默认情况下，安全组对所有地址开放。请更改规则，以便仅允许从用于访问 ASA virtual的地址通过 SSH 入站。

  有关安全组如何控制流量的信息，请参阅 AWS 文档 - 使用安全组控制流向 AWS 资源的流量。

• 展开高级详细信息 (Advanced Details) 部分，然后在用户数据 (User data) 字段中，您可以选择输入 Day 0 配置，即文本输入，其中包含启动 ASA virtual时应用的 ASA virtual配置。有关使用更多信息（例如智能许可）配置 Day 0 配置的详细信息，请参阅准备 Day 0 配置文件。

  • 管理接口 - 如果您选择提供 Day 0 配置，则必须提供管理接口详细信息，应将其配置为使用 DHCP。

  • 数据接口 - 仅当您在 Day 0 配置中提供该信息时才会分配和配置数据接口的 IP 地址。可以将数据接口配置为使用 DHCP；或者，如果要连接的网络接口已创建且 IP 地址已知，则可以在 Day 0 配置中提供 IP 详细信息。

  • 没有 Day 0 配置时 - 如果在不提供 Day 0 配置的情况下部署 ASA virtual，则 ASA virtual将应用默认 ASA virtual配置，在该配置中从 AWS 元数据服务器获取连接接口的 IP 并分配 IP 地址（数据接口将获取 IP 分配，但 ENI 将关闭）。管理 0/0 接口将启用，并获取使用 DHCP 地址配置的 IP。有关 Amazon EC2 和 Amazon VPC IP 寻址的信息，请参阅 VPC 中的 IP 寻址。

  • 在高级详细信息下方，添加默认的登录信息。修改以下示例，以满足设备名称和密码要求。

  • 在高级详细信息 (Advanced Details) 下，启用 IMDSv2 元数据：

    1. 从元数据可访问 (Metadata accessible) 下拉列表中选择启用 (Enabled)。

    2. 从元数据版本 (Metadata version) 下拉列表中选择 仅 V2（需要令牌）(V2 only [token required]) 。

    您还可以通过执行以下操作来从 AWS CLI 启用 IMDSv2：

  • 打开 AWS CLI 控制台并添加以下参数以启用“IMDSv2 必需”模式 --metadata-options "HttpEndpoint=enabled,HttpTokens=required”

    示例 IMDSv2 配置：

    
    aws ec2 run-instances \,
    --image-id ami-0abcdef1234567890 \
    --instance-type c5x.large \
    ...	
    --metadata-options "HttpEndpoint=enabled,HttpTokens=required"
    

• 检查您的配置，然后点击启动 (Launch)。

AWS 默认设置仅允许实例接收其 IP 地址（IPv4 和 IPv6）的流量，并且仅允许实例从其自己的 IP 地址（IPv4 和 IPv6）发送流量。要使 ASA virtual能够作为路由跳点，必须在每个 ASA virtual的流量接口（内部、外部和 DMZ）上禁用源/目标检查。

• Cisco Secure Firewall ASA virtual 配置文件：asav-config-input.ini

• Lambda 层 zip 文件：asav-gd-lambda-layer.zip

• Lambda 函数 zip 文件：asav-gd-lambda.zip

• 输出报告文件：<deployment-name>-report.txt