思科自适应安全虚拟设备 (ASAv) 快速启动指南，9.12

非歧视性语言

此产品的文档集力求使用非歧视性语言。在本文档集中，非歧视性语言是指不隐含针对年龄、残障、性别、种族身份、族群身份、性取向、社会经济地位和交叉性的歧视的语言。由于产品软件的用户界面中使用的硬编码语言、基于 RFP 文档使用的语言或引用的第三方产品使用的语言，文档中可能无法确保完全使用非歧视性语言。 深入了解思科如何使用包容性语言。

当地语言翻译版本说明

思科可能会在某些地方提供本内容的当地语言翻译版本。请注意，翻译版本仅供参考，如有任何不一致之处，以本内容的英文版本为准。

Book Contents
Find Matches in This Book
语言选择
Download Options

Book Title

思科自适应安全虚拟设备 (ASAv) 快速启动指南，9.12

Chapter Title

思科 ASAv 简介

Results

已更新:
2020年6月16日

Chapter: 思科 ASAv 简介

思科 ASAv 简介

思科自适应安全虚拟设备 (ASAv) 可为虚拟环境提供完整的防火墙功能，从而确保数据中心流量和多租户环境的安全。

您可以使用 ASDM 或 CLI 来管理和监控 ASAv。其他管理选项也可能可用。

虚拟机监控程序支持

有关虚拟机监控程序支持的信息，请参阅思科 ASA 兼容性。

ASAv 的许可

ASAv 使用思科智能软件许可。有关完整信息，请参阅智能软件许可（ASAv，ASA 在 Firepower 上）。


注
您必须在 ASAv 上安装智能许可证。在安装许可证之前，吞吐量限制为 100 kbps，以便您可以执行初步连接测试。需要安装智能许可证才能正常运行。

有关支持的私有和公共部署目标的 ASAv 许可授权和资源规格，请参阅以下各节。

ASAv 的许可

有关 ASAv 许可授权、许可状态、所需资源和型号规范的信息，请参阅以下表格：

  • 智能许可证授权 — 显示与 ASAv 平台的许可证授权相匹配的合规资源方案。


    注
    ASAv 使用思科智能软件许可。需要安装智能许可证才能正常运行。在安装许可证之前，吞吐量限制为 100 kbps，以便您可以执行初步连接测试。

  • ASAv 许可状态 - 显示与 ASAv 资源和授权相关的 ASAv 状态和消息。

  • ASAv 型号说明和规范 - 显示 ASAv 型号和相关规范、资源要求以及限制。

智能许可证授权

ASAv 使用思科智能软件许可。有关详细信息，请参阅适用于 ASAv 和 ASA 的智能软件许可。


注
您必须在 ASAv 上安装智能许可证。在安装许可证之前，吞吐量限制为 100 kbps，以便您可以执行初步连接测试。需要安装智能许可证才能正常运行。
表 1. ASAv 智能许可证授权

许可证授权

vCPU/RAM

吞吐量

实施速率限制器

实验室版本模式（无许可证）

所有平台

100Kbps

是

ASAv5 (100M)

1vCPU/1 GB 至 1.5 GB

100Mbps

是

ASAv10 (1 GB)

1vCPU/2 GB

1Gbps

是

ASAv30 (2 GB)

4vCPU/8 GB

2Gbps

是

ASAv50 (10 GB)

8vCPU/16 GB

10Gbps

是

许可状态

表 2. ASAv 许可状态

状态

资源与授权比较

操作和消息

合规

资源 = 授权限制

（vCPU、RAM GB 数）

设备的资源配备处于最佳状态

ASAv5（1vCPU、1G）、ASAv10（1vCPU、2G）、ASAv30 （4vCPU、8G）、ASAv50（8vCPU、16G）

无操作、无消息

资源 < 授权限制

调配不足

不执行任何操作，但是系统会记录关于 ASAv 无法以许可吞吐量运行的警告消息。

不合规

资源 > 授权限制

过度调配

ASAv 速率限制器参与限制性能并记录控制台上的警告消息。

ASAv10、ASAv30 和 ASAv50 在记录控制台上的错误消息后重新启动。

型号说明和规范

表 3. ASAv 型号说明和规范

型号

许可证要求

ASAv5

智能许可证

请参阅以下规范：

  • 100 Mbps 吞吐量

  • 1 个 vCPU

  • 1 GB RAM（可调至 1.5 GB）

  • 50,000 个并行防火墙连接

  • 不支持 AWS

  • 在 Azure 中支持标准 D3 和标准 D3_v2 实例

ASAv10

智能许可证

请参阅以下规范：

  • 1 Gbps 吞吐量

  • 1 个 vCPU

  • 2 GB RAM

  • 100,000 个并行防火墙连接

  • 在 c3.large、c4.large 和 m4.large 实例中支持 AWS

  • 在 Azure 中支持标准 D3 和标准 D3_v2 实例

ASAv30

智能许可证

请参阅以下规范：

  • 2 Gbps 吞吐量

  • 4 个 vCPU

  • 8 GB RAM

  • 500,000 个并行防火墙连接

  • 在 c3.xlarge、c4.xlarge 和 m4.xlarge 实例中支持 AWS

  • 在 Azure 中支持标准 D3 和标准 D3_v2 实例

ASAv50

智能许可证

请参阅以下规范：

  • 10 Gbps 吞吐量

  • 8 个 vCPU（要求每个 CPU 插槽至少 8 个物理核心；不能跨多个 CPU 插槽调配）

  • 16 GB RAM

  • 2,000,000 个并行防火墙连接

  • 不支持 AWS、Microsoft Azure 或 Hyper-V

准则和限制

ASAv 防火墙功能与思科 ASA 硬件防火墙非常相似，但存在以下准则和限制。

ASAv（所有型号）准则和限制

情景模式准则

仅支持单情景模式。不支持多情景模式。

通过故障切换实现高可用性准则

对于故障切换部署，请确保备用设备具有相同型号的许可证；例如，两台设备均应为 ASAv30。


重要

使用 ASAv 创建高可用性对时，需要按相同顺序将数据接口添加到每个 ASAv。如果将完全相同的接口添加到每个 ASAv，但顺序不同，ASAv 控制台上可能会显示错误。故障切换功能可能也会受到影响。

不支持的 ASA 功能

ASAv 不支持以下 ASA 功能：

  • 群集

  • 多情景模式

  • 主用/主用故障切换

  • EtherChannel

  • 共享 AnyConnect 高级许可证

ASAv5 准则和限制

性能准则

  • 支持每秒 8000 个连接、最多 25 个 VLAN、50,000 个并行会话和 50 个 VPN 会话。

  • 从 9.5(1.200) 开始，AVAv5 的内存要求降低为 1GB。但是，系统不支持将 ASAv5 的可用内存从 2GB 降级至 1GB。要以 1 GB 内存运行，必须使用版本 9.5(1.200) 或更高版本重新部署 ASAv5 VM。同样，如果尝试降级到低于 9.5(1.200) 的版本，则必须将内存增加至 2 GB。

  • 在某些情况下，ASAv5 可能会遇到内存耗尽。在资源繁重的某些应用中可能会出现这种情况，例如启用 AnyConnect 或下载文件时。内存耗尽的症状包括出现有关自发重启的控制台消息或有关内存使用率的严重级别系统日志。在这些情况下，您可以将 ASAv5 部署到具备 1.5 GB 内存的 VM 中。要从 1GB 更改为 1.5 GB，请关闭 VM 电源、修改内存，然后重新打开该 VM。

  • 在达到 100 Mbps 的阈值之后不久，ASAv5 将开始丢弃数据包（存在一些空余空间，以便您可以获得完整的 100 Mbps）。ASAv5 适用于要求内存占用较少且吞吐量较小的用户，使用户可以部署大量 ASAv5，而无需使用不必要的内存。

限制

  • 巨帧不受支持。

  • 不支持 Amazon Web 服务 (AWS)。

ASAv10的准则和限制

性能准则

  • 在配置了 9 个或更多 e1000 接口的 ASAv10 上，巨帧预留可能会导致设备重新加载。如果启用巨帧预留，请将接口数量减到 8 个或更少。接口的确切数量取决于已配置的其他功能正常工作所需的内存，可以少于 8 个。

ASAv50 权限的准则和限制

性能准则

  • 支持 10Gbps 的汇聚流量。

  • 仅支持 ESXi 和 KVM。

  • 建议通过 CPU 固定来实现完整的吞吐量速率；请参阅提高 ESXi 配置的性能和提高 KVM 配置的性能。

  • 支持自动 ASP 负载均衡；请参阅“ASAv 自动负载均衡”，第 79 页。

  • 提供对 SR-IOV 接口的 ixgbe-vf 和 i40e-vf vNIC 支持；请参阅 ASAv 和 SR-IOV 接口调配。

  • 混合使用 e1000 和 i40e-vf 接口的巨帧预留可能会导致 i40e-vf 接口保持关闭。如果启用巨帧预留，请不要混合使用 e1000 和 i40e-vf 驱动程序的接口类型。

限制

  • 不支持透明模式。

  • 不支持 Amazon Web 服务 (AWS)、Microsoft Azure 和 Hyper-V。

  • 此版本不支持 ixgbe NIC。

ASAv 接口和虚拟 NIC

作为虚拟化平台上的访客，ASAv 使用底层物理平台的网络接口。每个 ASAv 接口映射到一个虚拟 NIC (vNIC)。

  • ASAv 接口

  • 支持的 vNIC

ASAv 接口

ASAv 包括以下千兆以太网接口：

  • Management 0/0

    对于 AWS 和 Azure，Management 0/0 可以是传输流量的“外部”接口。

  • GigabitEthernet 0/0 到 0/8。请注意，如果将 ASAv 部署为故障切换对的成员，则 GigabitEthernet 0/8 将用于故障切换链路。

  • ASAv50 上的 TenGigabitEthernet 0/0 到 0/8。请注意，如果将 ASAv50 部署为故障切换对的成员，则 TenGigabitEthernet 0/8 将用于故障切换链路。

  • Hyper-V 最多支持八个接口。Management 0/0 和 GigabitEthernet 0/0 至 0/6。您可以将 GigabitEthernet 0/6 用作故障切换链路。

支持的 vNIC

ASAv 支持以下 vNIC：

表 4. 支持的 vNIC
表 5. 支持的 vNIC

vNIC 类型

虚拟机监控程序支持

ASAv 版本

备注

VMware

KVM

e1000

支持

支持

9.2(1) 及更高版本

VMware 默认值

virtio

不支持

支持

9.3(2.200) 及更高版本

KVM 默认值

ixgbe-vf

支持

支持

9.8(1) 及更高版本

AWS 默认值；对 SR-IOV 的 ESXi 和 KVM 支持

vmxnet3

支持

不支持

9.9(2) 及更高版本

如果使用 vmxnet3，则需要禁用 Large Receive Offload (LRO)，以免 TCP 性能不佳。请参阅以下有关 VMware 支持的文章:

http://kb.vmware.com/selfservice/microsites/search.do?cm d=displayKC&externalId=1027511

http://kb.vmware.com/selfservice/microsites/search.do?cm d=displayKC&externalId=2055140

i40e-vf

不支持

支持

9.10(1) 及更高版本

对 SR-IOV 的 KVM 支持

ASAv 和 SR-IOV 接口调配

单一根 I/O 虚拟化 (SR-IOV) 允许运行各种访客操作系统的多个 VM 共享主机服务器内的单个 PCIe 网络适配器。SR-IOV 允许 VM 在网络适配器中绕过虚拟机监控程序而直接移入或移出数据，从而提高网络吞吐量及降低服务器 CPU 负担。最新的 x86 服务器处理器包括芯片组增强功能（例如 Intel VT-d 技术），它们可促进 SR-IOV 所需的直接内存传输及其他操作。

SR-IOV 规范定义了两种设备类型：

  • 物理功能 (PF) - 实质上属于静态 NIC，PF 是完整的 PCIe 设备，包括 SR-IOV 功能。PF 按正常 PCIe 设备的方式进行发现、管理和配置。使用单个 PF 可为一组虚拟功能 (VF) 提供管理和配置。

  • 虚拟功能 (VF) - 类似于动态 vNIC，VF 是完整或轻型虚拟 PCIe 设备，至少提供必要的数据移动资源。VF 并非直接进行管理，而是通过 PF 进行获取和管理。可以为一台 VM 分配一个或多个 VF。

SR-IOV 由外围组件互联专业组 (PCI SIG) 定义和维护，该行业组织负责开发和管理 PCI 标准。有关 SR-IOV 的详细信息, 请参阅《PCI-SIG SR-IOV 入门：SR-IOV 技术简介》。

要在 ASAv 上调配 SR-IOV 接口，需要从适当的操作系统级别、硬件和 CPU、适配器类型及适配器设置等开始进行一些规划。

SR-IOV 接口准则和限制

根据规模和使用要求，用于 ASAv 部署的具体硬件可能不尽相同。ASAv 的许可说明了与不同 ASAv 平台的许可证授权相匹配的合规资源方案。此外，SR-IOV 虚拟功能还需要特定的系统资源。

主机操作系统和虚拟机监控程序支持

SR-IOV 支持和 VF 驱动程序可用于：

  • Linux 2.6.30 内核或更高版本

以下虚拟机管理程序目前支持带 SR-IOV 接口的 ASAv：

  • VMware vSphere/ESXi

  • QEMU/KVM

  • AWS

硬件平台支持

本节介绍 SR-IOV 接口的硬件准则。尽管这些只是准则而不是要求，但使用不符合这些准则的硬件可能会导致功能问题或性能不佳。

需要一台支持 SR-IOV 并配备了支持 SR-IOV 的 PCIe 适配器的服务器。您必须了解以下硬件注意事项：

  • 不同供应商和设备的 SR-IOV NIC 功能有所不同，包括可用的 VF 数量。

  • 并非所有 PCIe 插槽都支持 SR-IOV。

  • 支持 SR-IOV 的 PCIe 插槽可能具有不同的功能。


    注
    请查阅制造商的文档，以了解系统对 SR-IOV 的支持情况。

SR-IOV 支持的 NIC

CPU

  • X86_64 多核 CPU

    Intel 沙桥或更高版本（推荐）


    注
    我们在 Intel 的 Broadwell CPU (E5-2699-v4) 上以 2.3Ghz 的频率对 ASAv 进行了测试。

  • 核心

    • 每个 CPU 插槽至少 8 个物理核心

    • 8 个核心必须位于一个插槽中。


    注
    建议在 ASAv50 上通过 CPU 固定功能来实现最高吞吐量速率；请参阅提高 ESXi 配置的性能和提高 KVM 配置的性能。

BIOS 设置

SR-IOV 需要 BIOS 以及硬件上运行的操作系统实例或虚拟机监控程序方面的支持。检查系统 BIOS 中的以下设置：

  • 已启用 SR-IOV

  • 已启用 VT-x（虚拟化技术）

  • 已启用 VT-d

  • （可选）已禁用超线程

我们建议您通过供应商文档验证该过程，因为不同的系统使用不同的方法来访问和更改 BIOS 设置。

限制

使用 ixgbe-vf 接口时，请注意以下限制：

  • 禁止访客 VM 将 VF 设置为混合模式。因此，使用 ixgbe-vf 时不支持透明模式。

  • 禁止访客 VM 在 VF 上设置 MAC 地址。因此，在 HA 期间不会像在其他 ASA 平台上和使用其他接口类型那样传输 MAC 地址。HA 故障切换通过从主用设备向备用设备传送 IP 地址的方式运行。

  • 思科 UCS-B 服务器不支持 ixgbe-vf vNIC。

此文档是否有帮助?

Feedback反馈

联系我们