了解CISCO安全产品PIX和ASA之间的区别,    思科ASA和PIX防火墙配置手册

2005年5月，Cisco推出了一个新的产品——适应性安全产品（ASA，Adaptive Security Appliance）。很多年来，Cisco PIX一直都是Cisco确定的防火墙，不过PIX还依旧可用。我已听到很多人在多次询问这两个产品线之间的差异到底是什么。让我们来看一看。

Cisco PIX是什么？
Cisco PIX是一种专用的硬件防火墙。 所有版本的Cisco PIX都有500系列的产品号码。最常见的家用和小型网络用产品是PIX 501；而许多中型企业则使用PIX 515作为企业防火墙。

PIX防火墙使用PIX操作系统。虽然PIX操作系统和Cisco IOS看起来非常的接近，但是对那些非常熟悉IOS的用户来说，还是有足够的差异性弄得他们头昏脑胀。

PIX系列的防火墙使用PDM（PIX设备管理器，PIX Device Manager）作为图形接口。该图形界面系统是一个通过网页浏览器下载的Java程序。

一般情况下，一台PIX防火墙有个外向接口，用来连到一台Internet路由器中，这台路由器再连到Internet上。同时，PIX也有一个内向接口，用来连到一台局域网交换机上，该交换机连入内部网络。

Cisco ASA是什么？
而ASA是Cisco系列中全新的防火墙和反恶意软件安全用具。（不要把这个产品和用于静态数据包过滤的PIX搞混了）

ASA系列产品都是5500系列。企业版包括4种：Firewall，IPS，Anti-X，以及VPN。而对小型和中型公司来说，还有商业版本。

总体来说，Cisco一共有5种型号。所有型号均使用ASA 7.2.2版本的软件，接口也非常近似Cisco PIX。Cisco PIX和ASA在性能方面有很大的差异，但是，即使是ASA最低的型号，其所提供的性能也比基础的PIX高得多。

和PIX类似，ASA也提供诸如入侵防护系统（IPS，intrusion prevention system），以及VPN集中器。实际上，ASA可以取代三种独立设备——Cisco PIX防火墙，Cisco VPN 3000系列集中器，以及Cisco IPS 4000系列传感器。

现在，我们已经看过了两种安全工具各自的基本情况，下面我们来看看他们互相比较的结果。

PIX对ASA
虽然PIX是一款非常优秀的防火墙，但是安全方面的情况却在日新月异。仅仅使用一台静态数据包过滤防火墙来对你的网络进行保护已远远不够了。对网络而言，新的威胁层出不穷——包括病毒，蠕虫，多余软件（比如P2P软件，游戏，即时通讯软件），网络欺诈，以及应用程序层面的攻击等等。

如果一台设备可以应付多种威胁，我们就称其提供了“anti-X”能力，或者说它提供了“多重威胁（multi-threat）”防护。但PIX恰恰无法提供这种层次的防护。

绝大多数公司不希望采用安装一台PIX进行静态防火墙过滤，同时再使用一些其他的工具来防护其他威胁的办法。他们更希望采用一台“集所有功能于一身”的设备——或是采用一台UTM（统一威胁管理）设备。

而ASA恰好针对这些不同类型的攻击提供了防护。它甚至比一台UTM设备更厉害——不过，要成为一台真正的UTM，它还需要装一个CSC-SSM模块（CSC-SSM，内容安全以及控制安全服务，Content Security and Control Security Service）才行。该模块在ASA中提供anti-X功能。如果没有CSC-SSM，那ASA的功能看起来会更像一台PIX。

那么，到底哪一个才适合你的企业呢？正如我们通常所说的，这要看你企业的需求而定。不过，我还是倾向于优先选择ASA，而后才是PIX。首先，一台ASA的价格要比同样功能的PIX要低。除去成本的原因不谈，至少从逻辑上来说，选择ASA就意味着选择了更新更好的技术。

对于那些已经在使用Cisco PIX的人来说，Cisco已经提供了一个迁移指南，以解决如何从Cisco PIX迁移到ASA上的问题。就我观点而言，我觉得这起码预示了一点，就是Cisco终止PIX的日子正离我们越来越近。虽然Cisco公司尚未明确宣布这一点，但是我认为这只是一个时间问题罢了。

要记住，面对Internet上五花八门的不同威胁，我们无法再简单地像以往那样有了一套防火墙就万事大吉了；对完整的防护措施而言，一个多重防护的方法必不可少。虽然ASA的确是很好的一个选择，但是这也并不意味着它是你的唯一选项。许多生产商都提供了很好的产品，在你最终选择ASA之前，建议你不妨对它们多了解了解。