ASA 仮想 は、物理 ASA と同じソフトウェアを実行して、仮想フォームファクタにおいて実証済みのセキュリティ機能を提供します。ASA 仮想 は、パブリック AWS クラウドに導入できます。その後設定を行うことで、時間の経過とともにロケーションを展開、契約、またはシフトする仮想および物理データセンターのワークロードを保護できます。

ASA 仮想 は、次の AWS インスタンスタイプをサポートしています。

ヒント	M4 または C4 インスタンスタイプを使用している場合は、パフォーマンスを向上させるために、Nitro ハイパーバイザと Elastic Network Adapter（ENA）インターフェイスドライバを使用する C5 または M5 インスタンスタイプに移行することを推奨します。

AWS にアカウントを作成し、AWS ウィザードを使用して ASA 仮想 をセットアップして、Amazon Machine Image（AMI）を選択します。AMI は、インスタンスを起動するために必要なソフトウェア構成を含むテンプレートです。

重要	AMI イメージは AWS 環境の外部ではダウンロードできません。

• aws.amazon.com でアカウントを作成します。

• ASA 仮想 へのライセンス付与。ASA 仮想 にライセンスを付与するまでは、100 回の接続と 100 Kbps のスループットのみが許可される縮退モードで実行されます。「ASA 仮想 のライセンス」を参照してください。

• インターフェイスの要件：

  • 管理インターフェイス

  • 内部および外部インターフェイス

  • （任意）追加のサブネット（DMZ）

• 通信パス：

  • 管理インターフェイス：ASDM に ASA 仮想 を接続するために使用され、トラフィックの通過には使用できません。

  • 内部インターフェイス（必須）：内部ホストに ASA 仮想 を接続するために使用されます。

  • 外部インターフェイス（必須）：ASA 仮想 をパブリック ネットワークに接続するために使用されます。

  • DMZ インターフェイス（任意）：c3.xlarge インターフェイスを使用する場合、DMZ ネットワークに ASA 仮想 を接続するために使用されます。

• ASA 仮想 システム要件については、Cisco Secure Firewall ASA の互換性 [英語] を参照してください。

サポートされる機能

AWS 上の ASA 仮想 は、次の機能をサポートしています。

• 次世代の Amazon EC2 Compute Optimized インスタンスファミリである Amazon EC2 C5 インスタンスのサポート

• 仮想プライベート クラウド（VPC）への展開

• 拡張ネットワーク（SR-IOV）（使用可能な場合）

• Amazon マーケットプレイスからの展開

• L3 ネットワークのユーザー展開

• ルーテッド モード（デフォルト）

• Amazon CloudWatch

サポートされない機能

AWS 上の ASA 仮想 は、以下の機能をサポートしていません。

• コンソール アクセス（管理は、ネットワーク インターフェイスを介して SSH または ASDM を使用して実行される）

• VLAN

• 無差別モード（スニファなし、またはトランスペアレント モードのファイアウォールのサポート）

• マルチ コンテキスト モード

• クラスタ

• ASA 仮想 ネイティブ HA

• EtherChannel は、ダイレクト物理インターフェイスのみでサポートされる

• VM のインポート/エクスポート

• ハイパーバイザに非依存のパッケージ

• VMware ESXi

• ブロードキャスト/マルチキャスト メッセージ

  これらのメッセージは AWS 内で伝播されないため、ブロードキャスト/マルチキャストを必要とするルーティング プロトコルは AWS で予期どおりに機能しません。VXLAN はスタティック ピアでのみ動作できます。

• Gratuitous/非要請 ARP

  これらの ARPS は AWS 内では受け入れられないため、Gratuitous ARP または非要請 ARP を必要とする NAT 設定は期待どおりに機能しません。

• IPv6

SSH 公開キー認証使用時のアップグレードの影響：SSH 認証が更新されることにより、SSH 公開キー認証を有効にするための新たな設定が必要となります。そのため、アップグレード後は、公開キー認証を使用した既存の SSH 設定は機能しません。公開キー認証は、Amazon Web Services（AWS）の ASA 仮想 のデフォルトであるため、AWS ユーザーにはこの問題が表示されます。SSH 接続を失なう問題を避けるには、アップグレードの前に設定を更新します。または（ASDM アクセスが有効になっている場合）アップグレード後に ASDM を使用して設定を修正できます。

次は、ユーザー名「admin」の元の設定例です。

username admin nopassword privilege 15
username admin attributes
  ssh authentication publickey 55:06:47:eb:13:75:fc:5c:a8:c1:2c:bb:
  07:80:3a:fc:d9:08:a9:1f:34:76:31:ed:ab:bd:3a:9e:03:14:1e:1b hashed

ssh authentication コマンドを使用するには、アップグレードの前に次のコマンドを入力します。

aaa authentication ssh console LOCAL
username admin password <password> privilege 15

nopassword キーワードが存在している場合、これを維持するのではなく、代わりにユーザー名に対応したパスワードを設定することを推奨します。nopassword キーワードは、パスワードは入力不可を意味するのではなく、任意のパスワードを入力できます。9.6(2) より前のバージョンでは、aaa コマンドは SSH 公開キー認証に必須ではありませんでした。このため、nopassword キーワードはトリガーされませんでした。9.6(2) では aaa コマンドが必須となり、password（または nopassword）キーワードが存在する場合、自動的に username の通常のパスワード認証を許可するようになりました。

アップグレード後は、 username コマンドに対する password または nopassword キーワードの指定は任意となり、ユーザーがパスワードを入力できなくするよう指定できるようになります。よって、公開キー認証のみを強制的に使用する場合は、username コマンドを入力しなおします。

username admin privilege 15

次の図は、ASA 仮想 用に AWS 内で設定された 4 つのサブネット（管理、内部、外部、および DMZ）を備えたルーテッド ファイアウォール モードの ASA 仮想 の推奨トポロジを示しています。