30、思科ASA防火墙虚拟化技术深度解析

思科ASA防火墙虚拟化技术深度解析

1. 虚拟化概述

虚拟防火墙技术能将物理防火墙划分为多个独立的防火墙，每个独立防火墙都有自己的配置、接口、安全策略、路由表和管理员，在思科ASA中，这些虚拟防火墙也被称为安全上下文。以下是一些安全上下文在网络部署中发挥作用的场景：
- 作为服务提供商，想为客户提供防火墙服务，但不想为每个客户购买额外的物理防火墙。
- 管理教育机构，希望在使用一台物理安全设备的同时，将学生网络与教师网络隔离以提高安全性。
- 管理大型企业的不同部门，每个部门都想实施自己的安全策略。
- 组织内存在重叠网络，想为所有这些网络提供防火墙服务而不改变地址方案。
- 目前管理多个物理防火墙，想将所有防火墙的安全策略集成到一个物理防火墙中。
- 管理数据中心环境，希望提供端到端虚拟化以降低运营成本并提高效率。

需要注意的是，虚拟防火墙功能在思科ASA 5510到思科ASA 5580上受支持，目前思科ASA 5505不支持该功能，并且如果思科ASA 5510加载了基本许可证，也不支持该功能。

2. 架构概述

在虚拟防火墙环境中，思科安全设备可分为以下三种类型：
- 系统执行空间
- 管理上下文
- 一个或多个用户上下文（也称为客户上下文）

所有上下文都必须正确配置才能正常运行。尽管这些上下文是独立的虚拟防火墙，但有时一个虚拟防火墙可能会影响另一个的功能和性能。

2.1 系统执行空间

与其他上下文不同，系统执行空间没有任何二层或三层接口或网络设置，主要用于定义其他安全上下文的属性和设置。在系统执行空间