关于多情景模式

您可以将安装在物理设备上的单个 ASA 划分为多个逻辑设备（也被称为情景）。在多情景模式下配置的 ASA 中会使用三种配置：

• 安全情景 (Security Context)

• 管理情景

• 系统配置

关于安全情景

每个安全情景都可以作为独立设备，拥有自己的安全策略、接口和管理员。多安全情景类似于拥有多台独立设备。安全情景并非安装在私有云基础设施中的虚拟机映像意义上的虚拟 ASA。在硬件设备上安装的 ASA 上配置安全情景。每个情景都会在该设备的物理接口上进行配置。

有关多情景模式的详细信息，请参阅《ASA CLI 和 ASDM 配置指南》。

CDO 会将每个安全情景作为单独的 ASA 来载入，并将其作为单独的 ASA 来管理。

关于管理情景

管理情景就像一个安全情景，而不同之处在于，当用户登录到管理情景时，该用户将具有系统管理员权限并可访问系统和所有其他情景。管理情景在任何情况下都不受限制，可用作常规情景。但是，由于登录到管理情景会授予用户针对所有情景的管理员权限，因此可能需要将对管理情景的访问限定于适当的用户。

CDO 会将每个管理情景作为单独的 ASA 来载入，并将其作为单独的 ASA 来管理。在设备上升级 ASA 和 ASDM 软件时，CDO 也会使用管理员情景。

关于系统配置

系统管理员通过在系统配置（与单模式配置类似的启动配置）中配置每个情景配置位置、分配的接口以及其他情景运行参数，从而添加并管理情景。系统配置可标识 ASA 的基本设置。系统配置本身并不包含任何网络接口或网络设置；相反，当系统需要访问网络资源（例如，从服务器下载情景）时，它使用指定为管理情景的某个情景。

CDO 不会载入系统配置。

安全和管理情景的载入必备条件

载入安全和管理员情景的必备条件与载入任何其他 ASA 的必备条件相同。有关必备条件的列表，请参阅将 ASA 设备载入 CDO。

要了解哪些思科设备在多情景模式下支持 ASA，请参阅《CLI 手册 1：思科 ASA 系列常规操作 CLI 配置指南》中适用于您所运行的任何 ASA 软件版本的“多情景模式”一章。

对于作为单情景防火墙运行的 ASA 和多情景防火墙的管理情景，很多不同的端口号都可以用于 ASDM 和 CDO 访问。但对于安全情景，ASDM 和 CDO 访问端口会固定为端口 443。这是 ASA 的一项限制。

载入 ASA 安全和管理情景

载入安全情景或管理情景的方法与载入任何其他 ASA 的方法相同。有关载入说明，请参阅将 ASA 设备载入 CDO或批量载入 ASA。

升级安全情景

CDO 将多情景 ASA 的每个安全和管理情景均视为单独的 ASA，并且每个情景都会单独载入。但是，多情景 ASA 的所有安全和管理情景都会运行设备上安装的相同版本的 ASA 软件。

要升级 ASA 安全情景使用的 ASA 和 ASDM 版本，请载入管理情景并在该情景上执行升级。有关详细信息，请参阅在单个 ASA 上升级 ASA 和 ASDM 映像或批量 ASA 和 ASDM 升级 批量 ASA 和 ASDM 升级。

所有 ASA 的配置前提条件

• 需要在 ASA 上启用 DNS。

• 如果您使用 CDO 的映像存储库中的升级映像，ASA 应该能够访问互联网。

• 确保 ASA 和存储库 FQDN 之间是 HTTPS 连接。

• ASA 已成功载入 CDO。

• ASA 已同步到 CDO。

• ASA 在线。

• 对于自定义 URL 升级：

  • 使用思科 ASA 升级指南确定与您的 ASA 兼容的 ASA 和 ASDM 版本。

  • 将 ASA 和 ASDM 映像下载到映像存储库。

  • 确保 ASA 有权访问您的映像存储库。

  • 确保 ASA 上有足够的磁盘空间用于 ASA 和 ASDM 映像。

  • 有关 URL 语法信息，请参阅自定义 URL 升级。

Firepower 1000 和 Firepower 2100 系列设备的配置前提条件

• 必须为设备模式配置 Firepower 2100 系列设备的 FXOS 模式。有关详细信息，请参阅将 Firepower 2100 设置为设备或平台模式。

• 设备必须运行 ASA 版本 9.13(1) 或更高版本。

• 在升级 ASA 软件之前，必须先升级 FXOS 捆绑包。有关详细信息，请参阅 Firepower 2100 ASA 和 FXOS 兼容性。

运行 ASA 的 Firepower 4100 和 Firepower 9300 系列设备

CDO 不支持 Firepower 4100 或 Firepower 9300 系列设备的升级。您必须在 CDO 之外升级这些设备。

升级指南

• CDO 可以升级配置为主用/备用“故障转移”对的 ASA。CDO 无法升级主用/主用“集群”对中配置的 ASA。

软件和硬件必备条件

可从中升级的最低 ASA 和 ASDM 版本：

• ASA：ASA 9.1.2

• ASDM：没有最低版本要求。

支持的硬件版本

• 请参阅硬件和软件支持。

前提条件

• 查看 ASA 和 ASDM 升级必备条件 ，了解要求以及有关升级 ASA 和 ASDM 映像的重要信息。

• 在主用/备用故障切换模式下配置主（主用）和辅助（备用）ASA。

• 主 ASA 是主用/备用对中的主用设备。如果主 ASA 处于非活动状态，CDO 将不会执行升级。

• 主要和辅助 ASA 软件版本相同。

URL 语法示例

以下是 ASA 复制命令的 URL 语法示例。对于这些 URL 示例，假设如下：

• 映像存储库地址：10.10.10.10

• 访问映像存储库的用户名：admin

• 密码：adminpass

• 路径：images/asa

• 映像文件名：asa991-smp-k8.bin

http[s]:// [[ user [ : password ] @ ] server [ : port ] / [ path / ] filename ]

https://admin:adminpass@10.10.10.10:8080/images/asa/asa991-smp-k8.bin 
HTTP[s] example without a username and password: 
https://10.10.10.10:8080/images/asa/asa991-smp-k8.bin 

ftp://[[user[:password]@]server[:port]/[path/]filename[;type=xx]] - type可以是这些关键字的其中一个：ap（ASCII 被动模式）、an（ASCII 正常模式）、ip（默认 - 二进制被动模式）、in（二进制正常模式）。

ftp://admin:adminpass@10.10.10.10:20/images/asa/asa991-smp-k8.bin 
FTP example without a username and password: 
ftp://10.10.10.10:20/images/asa/asa991-smp-k8.bin 

tftp:// [[ user [ : password ] @ ] server [ : port ] / [ path / ] filename [ ;int= interface_name ]]

tftp://admin:adminpass@10.10.10.10/images/asa/asa991-smp-k8.bin outside 
TFTP example without a username and password: 
tftp://10.10.10.10/images/asa/asa991-smp-k8.bin outside 

Note	路径名不能包含空格。如果路径名有空格，则在 tftp-server 命令而不是 复制 tftp 命令中设置路径。;int= interface 选项会绕过路由查找并始终使用指定接口来访问 TFTP 服务器。

smb:/[[path/]filename] - 指示 UNIX 服务器本地文件系统。

smb:/images/asa/asa991-smp-k8.bin 

[[user[:password]@] server[/path]/filename[;int=interface_name]]- ;int=interface选项会绕过路由查找并始终使用指定接口来访问安全复制 (SCP) 服务器。

 scp://admin:adminpass@10.10.10.10:8080/images/asa/asa991-smp-k8.bin outside 
SCP example without a username and password: 
scp://10.10.10.10:8080/images/asa/asa991-smp-k8.bin outside 

思科 ASA 系列命令参考，A-H 命令指南中包含了 URL 语法的完整 copy 命令。

有关使用自定义 URL 升级 ASA 和 ASDM 映像的详细信息，请参阅 ASA 和 ASDM 升级必备条件。