在 OpenStack 上部署 ASA Virtual

您可以在 OpenStack 上部署 ASA virtual。

概述

您可以在 OpenStack 环境中部署 ASA virtual。OpenStack 是一套用于构建和管理适用于公共云和私有云的云计算平台的软件工具，并且与 KVM 虚拟机监控程序紧密集成。

通过为 ASA virtual启用 OpenStack 平台支持，您可以在开放源码云平台上运行 ASA virtual。OpenStack 使用 KVM 虚拟机监控程序来管理虚拟资源。 KVM 虚拟机监控程序已支持 ASA virtual设备。因此，无需额外添加内核软件包或驱动程序即可启用 OpenStack 支持。

ASA Virtual和 OpenStack 的前提条件

从 software.cisco.com 下载 ASA virtual qcow2 文件并将其放在 Linux 主机上：

http://www.cisco.com/go/asa-software
ASA virtual支持在开放源码 OpenStack 环境和思科 VIM 托管 OpenStack 环境中进行部署。

根据 OpenStack 准则来设置 OpenStack 环境。
- 请参阅开放源码 OpenStack 文档：
  
  Stein 版本 - https://docs.openstack.org/project-deploy-guide/openstack-ansible/stein/overview.html
  
  Queens 版本 - https://docs.openstack.org/project-deploy-guide/openstack-ansible/queens/overview.html
- 请参阅思科虚拟化基础设施管理器 (VIM) OpenStack文档：思科虚拟化基础设施管理器文档，3.4.3 至 3.4.5
许可 ASA virtual。在您许可 ASA virtual之前，ASAv 将在降级模式下运行，此模式仅支持 100 个连接和 100 Kbps 的吞吐量。请参阅许可证：智能软件许可。
接口要求：
- 管理接口
- 内部和外部接口
通信路径：
- 管理接口 - 用于将 ASA virtual连接到 ASDM；不能用于流量。
- 内部接口（必需）- 用于将 ASA virtual连接到内部主机。
- 外部接口（必需）- 用于将 ASA virtual连接到公共网络。
通信路径：
- 用于访问 ASA virtual 的浮动 IP。
最低支持的 ASA virtual 版本：
- ASA 9.16.1
有关 OpenStack 要求，请参阅 OpenStack 要求。
有关 ASA virtual 系统要求，请参阅思科安全防火墙 ASA 兼容性。

准则和限制

支持的功能

OpenStack 上的 ASA virtual 支持以下功能：

在 OpenStack 环境中在计算节点上运行的 KVM 虚拟机监控程序上部署 ASA virtual。
OpenStack CLI
基于 Heat 模板的部署
OpenStack Horizon 控制面板
路由模式（默认）
许可 - 仅支持 BYOL
使用 CLI 和 ASDM 管理 ASA virtual
驱动程序 - VIRTIO、VPP 和 SRIOV
IPv6（9.19 及更高版本）

不支持的功能

OpenStack 上的 ASA virtual 不支持以下各项：

自动缩放
OpenStack 版本，而不是 OpenStack Stein 和 Queens 版本
Ubuntu 18.04 版本和 Red Hat Enterprise Linux (RHEL) 7.6 之外的操作系统

系统要求

OpenStack 环境必须符合以下支持的硬件和软件要求。

表 1. 硬件和软件要求
类别	支持的版本	说明
服务器	UCS C240 M5	建议使用 2 台 UCS 服务器，分别用于 os-controller 和 os-compute 节点。
驱动程序	VIRTIO、IXGBE、I40E	这些是支持的驱动程序。
操作系统	Ubuntu Server 18.04	这是 UCS 服务器上的建议操作系统。
OpenStack 版本	Stein 版本	有关各种 OpenStack 版本的详细信息，请访问： https://releases.openstack.org/

表 2. 思科 VIM 托管 OpenStack 的硬件和软件要求
类别	支持的版本	说明
服务器硬件	UCS C220-M5/UCS C240-M4	建议使用 5 台 UCS 服务器，其中 3 台用于 os-controller，两台或更多用于 os-compute 节点。
驱动因素	VIRTIO、SRIOV 和 VPP	这些是支持的驱动程序。
思科 VIM 版本	思科 VIM 3.4.4 支持的型号：操作系统 - Red Hat Enterprise Linux 7.6 OpenStack 版本 - OpenStack 13.0（Queens 版本）	有关详细信息，请参阅思科虚拟化基础设施管理器文档 3.4.3 至 3.4.5。有关各种 OpenStack 版本的详细信息，请访问 https://releases.openstack.org/。
思科 VIM 版本	Cisco VIM 4.2.1 支持的型号：操作系统 - Red Hat Enterprise Linux 8.2 OpenStack 版本 - OpenStack 16.1（培训版本）	有关详细信息，请参阅思科虚拟化基础设施管理器文档 4.2.1。有关各种 OpenStack 版本的详细信息，请访问 https://releases.openstack.org/。

网络拓扑示例

下图显示了在路由防火墙模式下建议用于 ASA virtual 的网络拓扑，在 OpenStack 中为 ASA virtual 配置了 3 个子网（管理、内部和外部）。

部署 ASA Virtual

思科提供用于部署 ASA virtual 的示例 Heat 模板。创建 OpenStack 基础设施资源的步骤汇总在 Heat 热模板 (Deploy_os_infra.yaml) 文件中，以创建网络、子网和路由器接口。总体而言，ASA virtual 部署步骤分为以下几个部分。

将 ASA virtual qcow2 映像上传到 OpenStack Glance 服务。
创建网络基础设施。
- 网络
- 子网
- 路由器接口
创建 ASA virtual 实例。
- 类型
- 安全组
- 浮动 IP
- 实例

您可以按照以下步骤在 OpenStack 上部署 ASA virtual。

将 ASA Virtual映像上传到 OpenStack

将 qcow2 映像 (asav-<version>.qcow2) 复制到 OpenStack 控制器节点，然后将映像上传到 OpenStack Glance 服务。

开始之前

从 Cisco.com 下载 ASA virtual qcow2 文件并将其放在 Linux 主机上：

http://www.cisco.com/go/asa-software

注	需要 Cisco.com 登录信息和思科服务合同。

过程

步骤 1

将 qcow2 映像文件复制到 OpenStack 控制器节点。

步骤 2

将 ASA virtual 映像上传到 OpenStack Glance 服务。

root@ucs-os-controller:$ openstack image create <image_name> --public --disk-
format qcow2 --container-format bare --file ./<asav_qcow2_file>

步骤 3

验证 ASA virtual 映像上传是否成功。

root@ucs-os-controller:$ openstack 映像列表

示例:

root@ucs-os-controller:$ openstack image list+--------------------------------------+-------------------+--------+
| ID                                   | Name              | Status |+--------------------------------------+-------------------+--------+
| 06dd7975-0b6e-45b8-810a-4ff98546a39d | asav-<version>-image | active |+--------------------------------------+-------------------+--------+

系统将显示已上传的映像及其状态。

下一步做什么

使用 deploy_os_infra.yaml 模板来创建网络基础设施。

为 OpenStack 和 ASA Virtual创建网络基础设施

开始之前

需要使用 Heat 模板文件来创建网络基础设施和 ASA virtual 所需的组件，例如终端、网络、子网、路由器接口和安全组规则：

deploy_os_infra.yaml
env.yaml

您的 ASA virtual 版本的模板可从 GitHub 存储库获取：

https://github.com/CiscoDevNet/cisco-asav

重要	请注意，思科提供的模板作为开源示例提供，不在常规思科 TAC 支持范围内。定期检查 GitHub 以了解更新和自述文件说明。

过程

步骤 1

部署基础设施 Heat 模板文件。

root@ucs-os-controller:$ openstack stack create <stack-name> -e <environment files name> -t <deployment file name>

示例:

root@ucs-os-controller:$ openstack stack create infra-stack -e env.yaml -t deploy_os_infra.yaml

步骤 2

验证是否已成功创建基础设施堆栈。

root@ucs-os-controller:$ openstack stack list

下一步做什么

在 OpenStack 上创建 ASA virtual 实例。

在 OpenStack 上创建 ASA Virtual 实例

使用示例 ASA virtual Heat 模板在 OpenStack 上部署 ASA virtual。

开始之前

在 OpenStack上部署 ASA virtual 需要 Heat 模板：

deploy_asav.yaml

您的 ASA virtual 版本的模板可从 GitHub 存储库获取：

https://github.com/CiscoDevNet/cisco-asav

重要	请注意，思科提供的模板作为开源示例提供，不在常规思科 TAC 支持范围内。定期检查 GitHub 以了解更新和自述文件说明。

过程

步骤 1

部署 ASA virtual Heat 模板文件 (deploy_asav.yaml) 以创建 ASA virtual 实例。

root@ucs-os-controller:$ openstack stack create asav-stack -e env.yaml-t deploy_asav.yaml

示例:

+---------------------+--------------------------------------+
| Field               | Value                                |
+---------------------+--------------------------------------+
| id                  | 14624af1-e5fa-4096-bd86-c453bc2928ae |
| stack_name          | asav-stack                           |
| description         | ASAvtemplate                         |
| creation_time       | 2020-12-07T14:55:05Z                 |
| updated_time        | None                                 |
| stack_status        | CREATE_IN_PROGRESS                   |
| stack_status_reason | Stack CREATE started                 |
+---------------------+--------------------------------------+

步骤 2

验证是否已成功创建 ASA virtual 堆栈。

root@ucs-os-controller:$ openstack stack list

示例:

+--------------------------------------+-------------+----------------------------------+-----------------+----------------------+------+
| ID                                   | Stack Name  | Project                          | Stack Status    | Creation Time    | Updated Time |
+--------------------------------------+-------------+----------------------------------+-----------------+----------------------+--------------+
| 14624af1-e5fa-4096-bd86-c453bc2928ae | asav-stack  | 13206e49b48740fdafca83796c6f4ad5 | CREATE_COMPLETE | 2020-12-07T14:55:05Z | None         |
| 198336cb-1186-45ab-858f-15ccd3b909c8 | infra-stack | 13206e49b48740fdafca83796c6f4ad5 | CREATE_COMPLETE | 2020-12-03T10:46:50Z | None         |
+--------------------------------------+-------------+----------------------------------+-----------------+----------------------+--------------+

Cisco Secure Firewall ASA Virtual 入门指南，9.19

非歧视性语言

当地语言翻译版本说明

Book Title

Cisco Secure Firewall ASA Virtual 入门指南，9.19

Chapter Title