• 配置所有接口参数，包括名称、IP 地址和安全级别。注意，安全级别必须匹配区域中的所有接口。您应根据带宽和其他第 2 层属性计划同类接口的集合。

• 配置以下服务以便在所有区域接口上匹配：

  • 访问规则 - 将同一访问规则应用到所有区域成员接口，或者使用全局访问规则。

    例如：

    
    access-list ZONE1 extended permit tcp any host WEBSERVER1 eq 80
    access-group ZONE1 in interface outside1
    access-group ZONE1 in interface outside2
    access-group ZONE1 in interface outside3
    
    

  • NAT - 在区域的所有成员接口上配置相同的 NAT 策略，或者使用全局 NAT 规则（换句话说，使用“any”表示 NAT 规则中的区域接口）。

    不支持接口 PAT。

    例如：

    
    object network WEBSERVER1
      host 10.9.9.9 255.255.255.255
      nat (inside,any) static 209.165.201.9
    
    

    注	使用接口特定 NAT 和 PAT 池时，ASA 无法在原始接口发生故障的情况下切换连接。 如果使用的是接口特定 PAT 池，则来自同一主机的多个连接可能会对不同接口进行负载均衡，并使用不同的映射 IP 地址。在此情况下，使用多个并发连接的互联网服务或许无法正确工作。

  • 服务规则 - 使用全局服务策略，或向区域中的每个接口分配相同策略。

    不支持 QoS 流量管制。

    例如：

    
    service-policy outside_policy interface outside1
    service-policy outside_policy interface outside2
    service-policy outside_policy interface outside3
    
    

    注	对于 VoIP 检测，区域负载均衡会造成无序数据包增加。发生这种情况的原因是，后面的数据包可能先于前面的采用不同路径的数据包到达 ASA。无序数据包的特征包括： 中间节点（防火墙和 IDS）和接收端节点（如果使用查询）上的内存利用率更高。 视频或语音质量差。 为减少这些影响，我们建议 IP 地址仅用于 VoIP 流量的负载分配。

• 配置路由时着眼于 ECMP 区域功能。

防火墙模式

仅支持路由防火墙模式。不支持透明防火墙模式或路由模式下的网桥组接口。

故障转移

• 您不能将故障转移或状态链路添加到区域。

• 在主用/主用故障转移模式下，您可以在每个情景中将接口分配给非对称路由 (ASR) 组。此服务允许在对等设备上的类似接口返回的流量恢复到原始设备。您无法在一个情景中同时配置 ASR 组和流量区域。如果在情景中配置一个区域，任何情景接口都不能属于 ASR 组。有关 ASR 组的详细信息，请参阅配置非对称路由数据包支持（主用/主用模式）。

• 仅将每个连接的主接口复制到备用设备；不复制当前接口。如果备用设备变为主用状态，它将根据需要分配一个新的当前接口。

集群

• 您不能将集群控制链路添加到区域。

型号准则

不能将 Firepower 1010 交换机端口和 VLAN 接口添加到区域。

其他准则

• 您最多可以创建 256 个区域。

• 您可以将以下类型的接口添加到区域：

  • 物理

  • VLAN

  • EtherChannel

• 您不能添加以下类型的接口：

  • 管理专用

  • 管理访问

  • 故障转移或状态链路

  • 集群控制链路

  • EtherChannel中的成员接口

  • VNI；此外，如果常规数据接口被标记为 nve-only，它不能成为区域的成员。

  • BVI，或网桥组成员接口。

• 接口只能是一个区域的成员。

• 每个区域最多可包含 8 个接口。

• 对于 ECMP，在所有区域接口上，每个区域最多可以添加 8 个等价路由。您也可以将单个接口上的多个路由配置为 8 路由限制的一部分。

• 在向区域添加接口时，将删除这些接口的所有静态路由。

• 不能在区域的接口上启用 DHCP 中继。

• 对于负载均衡到单独接口的片段，ASA 不支持分段的数据包重组；这些片段将被丢弃。

• 区域中的接口上不支持 PIM/IGMP 组播路由。