Cisco ASA 5506, 5508, 5525 còn dùng được không và thay bằng gì?

Dòng Cisco ASA 5500-X từng là tường lửa phổ biến nhất ở doanh nghiệp Việt Nam. Nhiều hệ thống vẫn chạy các mã ASA5506, ASA5508, ASA5512, ASA5525 tới hôm nay, và câu hỏi đặt ra là nên giữ hay thay.

Các mã ASA tại Thiết Bị Mạng

Rủi ro khi tiếp tục dùng thiết bị hết hỗ trợ

1. Không còn bản vá: tường lửa là thiết bị nằm ở ranh giới mạng, chạy phần mềm không được vá là rủi ro lớn nhất trong hệ thống.
2. Không cập nhật chữ ký: các dịch vụ ngăn xâm nhập, lọc web phụ thuộc thuê bao; hết hạn thì tác dụng giảm dần.
3. Không thay được khi hỏng: hết hỗ trợ nghĩa là không đổi trả được thiết bị lỗi.
4. Thông lượng không theo kịp: đường Internet doanh nghiệp hiện nay thường vượt khả năng xử lý của thiết bị đời cũ khi bật đủ tính năng bảo mật.
5. Thiếu tính năng hiện đại: kiểm tra lưu lượng mã hoá, nhận diện ứng dụng, tích hợp với hệ thống quản lý mối đe doạ.

Đường thay thế

Chuyển đổi: những gì cần chuẩn bị

1. Xuất cấu hình hiện tại: danh sách luật tường lửa, NAT, VPN, đối tượng mạng.
2. Rà lại luật: hệ thống chạy nhiều năm thường tích tụ luật không còn dùng; đây là cơ hội dọn dẹp.
3. Danh sách dịch vụ phụ thuộc: VPN chi nhánh, VPN người dùng từ xa, luật cho máy chủ công khai, dịch vụ thư điện tử.
4. Chọn bản NGFW hay ASA: nếu muốn giữ cách quản trị quen thuộc thì chọn bản ASA của dòng Firepower.
5. Kế hoạch cắt chuyển: làm ngoài giờ, giữ thiết bị cũ tại chỗ vài ngày làm đường lùi, thông báo trước cho người dùng VPN.

Giữ ASA cũ trong trường hợp nào

• Dùng trong phòng lab để thử nghiệm, không nối ra Internet.
• Làm thiết bị dự phòng nguội cho hệ thống chưa kịp thay.
• Làm thiết bị đầu cuối VPN cho một chi nhánh nhỏ, nội bộ, trong thời gian ngắn chờ thay.

Trong mọi trường hợp, thiết bị hết hỗ trợ không nên đặt ở vị trí chắn giữa mạng nội bộ và Internet của hệ thống chính.

Xem nhóm Firewall Cisco, Firewall Fortinet và bài thông số dòng Firepower, kiểm tra vòng đời thiết bị Cisco.