![Cisco ASA 5505:: 限制消耗主机的技术(基本许可证最多 10 个)](https://linux22.com/image/565434/Cisco%20ASA%205505%3A%3A%20%E9%99%90%E5%88%B6%E6%B6%88%E8%80%97%E4%B8%BB%E6%9C%BA%E7%9A%84%E6%8A%80%E6%9C%AF%EF%BC%88%E5%9F%BA%E6%9C%AC%E8%AE%B8%E5%8F%AF%E8%AF%81%E6%9C%80%E5%A4%9A%2010%20%E4%B8%AA%EF%BC%89.png)
不知道 ASA 5505 基本许可证将并发主机数量限制为 10 个(RTFM,我知道)。运行“show local-host”时,我看到我的主机数量为 8 个,对于位于 ASA 后面的生产 Web 服务器来说,这个数字有点太接近了。
进一步调查后,我发现有几台主机被限制只能通过 VPN 访问,这让我很惊讶,因为这些是内部主机,既不接收也不发起与外部的通信。或者说,我是这样认为的,这 2 台内部主机(Linux 机器)似乎会定期通过端口 123 向外部 NTP 服务器发送单个 UDP 数据包,以保持正确的系统时间。这有点严重,不是吗?单个数据包算作一台主机,哎哟。
无论如何,我认为我可以通过利用其中一个可公开访问的服务器作为 NTP 服务器来保留这两个主机,而不是到外面的公共 NTP 服务器获取当前时间。基本上,我希望主机计数与以下情况相反:
1)我们的 2 个名称服务器 2)生产 Web 服务器接受 4 个 NAT 的公共到 DMZ IP
而不是针对只需要更新系统时间的私人服务器。
另外,需要澄清的是,主机数是基于任何接收/发起来自外部流量的内部接口的?换句话说,没有与外部连接的私有 10.1.xx 上的服务器不算作主机。
目前,我需要保持在基本许可证 10 个主机限制内,但随着容量需求的增加,显然会升级到 50 个用户许可证。
答案1
这不是很好,但是在 ASA 和内部网络之间放置 NAT 路由器将限制 ASA 计数的主机数量,因为它只会计算 NAT 路由器,而不会将其后面的任何内容计为主机。
根据我的经验,升级到更高的号码并不是那么昂贵 - 可能比处理内部网络 NAT 的麻烦更值得。
根据我的经验,思科需要很长时间才能发布升级密钥 - 因此请确保及时下订单。当我在现场访问期间发现 10 台主机问题时,我使用 NAT 技巧来启动并运行远程(金沙萨的远程)网络。这帮我们度过了难关,直到思科为我们升级,我们才可以重新配置 ASA。
您可能不必使用 NAT - 我认为只要有一个路由子网就可能有效,但我还没有尝试过。
答案2
问题本质上是:不升级的情况下,可以采用什么技术来节省主机使用率。@dunxd 是最接近的,所以他得到了认可,尽管在 ASA 和服务器之间安装路由器的费用高于升级费用(在托管设施中设置,每月每 U 支付 $$)
对于未来的 ASA 新手,10 个主机限制适用于任何发起或接收来自外部流量的内部接口(dmz 或私有)。因此,在我的例子中,我在 DMZ 接口 172.16.xx 上设置了一个 Web 服务器 NIC,并带有 5 个别名 x.2、x.3 等。主机数为 6。我在 DMZ 上还有 2 个名称服务器,使主机数达到 8。这很好,符合许可条款。但是,请看一下:
如果您通过 VPN 接入 ASA,然后通过 SSH 接入私有接口上的 1 个内部服务器,那么这也会增加您的主机数。在我看来,这有点可疑,当我通过 ssh 接入 10.1.xx NIC(私有接口)上的 dmz web 服务器时,该服务器算作一个主机(在同一台机器上,dmz 接口的主机数已经是 6 倍)。无论如何,VPN 访问不被视为本地访问,即使您绕过适用于“真正”外部用户的任何访问列表,并且有效地在内部工作。
对于后一点,思科 TAC 没有什么可说的,但是,抱歉,“无法对此发表评论”,就像,是的,我同意,但我喜欢我的工作。
最后你不得不升级。在预算托管设置中很难证明这笔费用是合理的——这就像在经济衰退期间增加穷人的税收。思科采用他们最便宜的设备,然后对其使用施加限制,使其无法用于最简单的用例之外的任何用途。哎呀,抱怨结束了 ;-) 希望这对未来的新手有所帮助...
答案3
300 美元可升级您的许可证。这可能是更好的长期解决方案。