ASA 虚拟 运行与物理 ASA 相同的软件，以虚拟形式提供成熟的安全功能。ASA 虚拟可以部署在公有 AWS 云中。然后，可以对其进行配置，以保护在一段时间内扩展、收缩或转换其位置的虚拟和物理数据中心工作负载。

系统支持以下 ASA 虚拟实例类型。

提示	如果您使用的是 M4 或 C4 实例类型，我们建议您迁移到使用 Nitro 虚拟机监控程序和弹性网络适配器 (ENA) 接口驱动程序的 C5 或 M5 实例类型，以便提高性能。

您可以在 AWS 上创建一个帐户，使用“AWS 向导”(AWS Wizard) 设置 ASA 虚拟，并选择“Amazon 机器映像 (AMI)”(Amazon Machine Image [AMI])。AMI 是一种模板，其中包含启动您的实例所需的软件配置。

重要	AMI 映像在 AWS 环境之外不可下载。

• 在 aws.amazon.com 上创建帐户。

• 许可 ASA 虚拟。在您许可 ASA 虚拟之前，ASAv 将在降级模式下运行，此模式仅支持 100 个连接和 100 Kbps 的吞吐量。请参阅许可 ASA 虚拟。

• 接口要求：

  • 管理接口

  • 内部和外部接口

  • （可选）其他子网 (DMZ)

• 通信路径：

  • 管理接口 - 用于将 ASA 虚拟连接到 ASDM；不能用于直通流量。

  • 内部接口（必需）- 用于将 ASA 虚拟连接到内部主机。

  • 外部接口（必需）- 用于将 ASA 虚拟连接到公共网络。

  • DMZ 接口（可选）- 在使用 c3.xlarge 接口时，用于将 ASA 虚拟连接到 DMZ 网络。

• 有关 ASA 虚拟 系统要求，请参阅思科 Cisco Secure Firewall ASA 兼容性。

支持的功能

AWS 上的 ASA 虚拟支持以下功能：

• 对 Amazon EC2 C5 实例的支持，下一代 Amazon EC2 计算优化的实例系列。

• 虚拟私有云 (VPC) 中的部署

• 增强型联网 (SR-IOV) - 在可用的情况下

• 从 Amazon Marketplace 部署

• 第 3 层网络的用户部署

• 路由模式（默认）

• Amazon CloudWatch

不支持的功能

AWS 上的 ASA 虚拟不支持以下功能：

• 控制台访问（使用 SSH 或 ASDM 通过网络接口执行管理操作）

• VLAN

• 混合模式（不支持嗅探或透明模式防火墙）

• 多情景模式

• 集群

• ASA 虚拟 本地 HA

• 只有直接物理接口上支持 EtherChannel

• VM 导入/导出

• 独立于虚拟机监控程序的包装

• VMware ESXi

• 广播/组播消息

  这些消息不会在 AWS 内传播，因此需要使用广播/组播的路由协议无法在 AWS 中按预期工作。VXLAN 只能使用静态对等体运行 。

• 免费/未经请求的 ARP

  AWS 中不接受这些 ARP，因此需要免费 ARP 或未经请求的 ARP 的 NAT 配置无法按预期工作。

• IPv6

使用 SSH 公共密钥身份验证时的升级影响 - 由于更新 SSH 身份验证，因此必须进行额外的配置才能启用 SSH 公共密钥身份验证；所以，使用公共密钥身份验证的现有 SSH 配置在升级后将不再有效。公共密钥身份验证是 Amazon Web 服务 (AWS) 上的 ASA 虚拟的默认设置，因此，AWS 用户将看到此问题。为了避免 SSH 连接丢失，您可以在升级之前更新配置。或者，您可以在升级之后使用 ASDM（如果您启用了 ASDM 访问）修复配置。

以下是用户名“admin”的原始配置示例：

username admin nopassword privilege 15
username admin attributes
  ssh authentication publickey 55:06:47:eb:13:75:fc:5c:a8:c1:2c:bb:
  07:80:3a:fc:d9:08:a9:1f:34:76:31:ed:ab:bd:3a:9e:03:14:1e:1b hashed

要在升级之前使用 ssh authentication 命令，请输入以下命令：

aaa authentication ssh console LOCAL
username admin password <password> privilege 15

我们建议为该用户名设置一个密码，而不是保留 nopassword 关键字（如果存在）。nopassword 关键字表示可以输入任何密码，而不是表示不能输入任何密码。在 9.6(2) 之前，SSH 公共密钥身份验证不需要 aaa 命令，因此未触发 nopassword 关键字。现在，由于需要 aaa 命令，因此如果已经有 password（或 nopassword 关键字），它会自动允许对 username进行常规密码身份验证。

在升级之后，username 命令不再需要 password 或 nopassword 关键字；您可以要求用户不能输入密码。因此，要仅强制公共密钥身份验证，请重新输入 username 命令：

username admin privilege 15

下图显示了在路由防火墙模式下建议用于 ASA 虚拟的网络拓扑，在 AWS 中为 ASA 虚拟配置了四个子网（管理、内部、外部和 DMZ）。