Cisco Firewall Arquitecture, enfocado en 3 diseños, 3 tipos de modelos disponibles tanto en hardware y software. ¿Cuál es mejor?
Con Cisco cuentas con 3 opciones de firewalls disponibles. Si lo examinamos a nivel físico o hardware, existen 2 alternativas, ya que ASA y FTD comparten los mismos modelos. Desde un punto de vista de software o sistemas operativos, existen 3 alternativas (ASA, FTD y MX).
Aunque el mismo hardware esta disponible para ASA y Firepower (FTD), Cisco se esta enfocando en FTD, y poco a poco esta dejanda atras el clasico Software ASA, rescatando lo mas importante de este. Asi por ejemplo, la serie 3100 aun ofrece ambos (ASA y FTD) pero recomendando e impulsando todas nuevas funciones con FTD.
Con estas opciones Cisco ha unificado los nombres para referirse a todos sus Firewalls como Cisco Secure Firewall.
Por su parte el Meraki MX tiene un sistema operativo completamente distinto de ASA / FTD y es 100% administrable desde la nube
Cisco Firewall Architecture. Diseño 1 con ASA
Podemos implementar Cisco ASA con hardware de las series 1100, 1200, 3100, 4200, 9300 y tambien virtuales para entornos de Centro de Datos donde se gestionan maquinas virtuales (VM) y son necesarias protegerlas con un Firewall.
Para esta opcion se propone el siguiente uso de ASA:
El hardware para las sucursales son modelos de la serie 1000, con Software ASA
El hardware para el central o sitio principal tambien usa la serie 1000, con un modelo mas potente, capaz de soportar mas trafico, conexiones VPN, etc. Con Software ASA
Administracion individual de cada Firewall desde ASDM y CLI
Se dirige a redes pequeñas con una cantidad de sitios dispersos de hasta 5
Beneficios:
Administradores de red con mayor experiencia y conocimiento en ASA, podras encontrar y contratar con mas facilidad al personal.
Las licencias para funciones esenciales son permanentes, nunca venceran.
Sin necesidad de instalar mas herramientas para una gestion centralizada.
Desventajas:
Las licencias de seguridad adicional (IPS, AMP, URL) no están disponibles debido a que no son directamente compatibles con el Software ASA.
Seguridad limitada debido a que no se contara con funciones robustas de IPS, AMP, Umbrella, etc
Administracion individual, cada Firewall puede ser gestionado por CLI y ASDM, despliegue de politicas hacia toda la organizacion no sera posible.
Reportes basicos de uso de recursos, amenazas, etc no estan disponibles
Mal uso de los recursos del hardware, ya que los modelos de la serie 1000 fueron diseñados para ofrecer tecnología de vanguardia, proporcionada con Software FTD y no ASA.
Cisco Firewall Architecture. Diseño 2 conFTD
La 2da opcion de Cisco Firewall Architecture es utilizando los mismos modelos de las serie 1000 con sistema operativo FTD.
Para esta opcion se propone el siguiente uso de FTD:
El hardware para las sucursales son modelos de la serie 1000, con Software FTD
Se dirige a redes medianas con una cantidad de sitios dispersos a partir de 6
El equipo para sitio principal también utiliza la serie 1000, con un modelo más potente que puede manejar más tráfico, conexiones VPN, entre otros. Utilizando el Software FTD.
Beneficios:
Las licencias para funciones avanzadas estan disponibles (IPS, AMP, URL Filtering) estas se deben adquirir por separado en una suscripcion anual, o por el tiempo deseado.
Sin necesidad de instalar mas herramientas para una gestion centralizada.
