在建立小型分公司時(shí)，你是否遇到過需要在自適應(yīng)安全設(shè)備(ASA)和思科基于網(wǎng)際操作系統(tǒng)(IOS)的路由器間進(jìn)行選擇的情況?聽起來，這像是一件非常簡(jiǎn)單的事，但實(shí)際情況卻并非如此。在這種情況下，ASA設(shè)備有可能屬于非常合適的選擇。不過，同樣的情況也可能出現(xiàn)在思科IOS路由器上。因此，問題到最后經(jīng)常就變成了管理員更習(xí)慣使用哪種設(shè)備的情況。在本文中，我將對(duì)盡管屬于ASA的鐵桿支持者，但自己為什么還是會(huì)選擇路由器的原因進(jìn)行說明。

注意事項(xiàng)：為了簡(jiǎn)單起見，我將僅僅對(duì)思科891集成多業(yè)務(wù)路由器與思科ASA 5505自適應(yīng)安全設(shè)備進(jìn)行比較，但所討論到的大部分功能在運(yùn)行思科IOS 12.4以上或15.x版本的分支路由器上都已經(jīng)具備。

端口配置情況

首先，讓我們來比較一下端口配置。思科891路由器配備了包含八個(gè)10/100兆快速以太網(wǎng)端口的可管理交換機(jī)，并且可以支持虛擬局域網(wǎng)，以及四個(gè)支持以太網(wǎng)供電(PoE)(屬于可選擇功能)的IP電話或外部接入點(diǎn)端口。而思科ASA 5505配備的是八個(gè)10/100兆交換機(jī)端口，并且只有2個(gè)PoE端口。

思科891路由器可以支持城域以太網(wǎng)，并且包含了一個(gè)1000BASE-T千兆以太網(wǎng)廣域網(wǎng)端口，一個(gè)10/100Base-T快速以太網(wǎng)廣域網(wǎng)端口，以及一個(gè)可以來建立廣域網(wǎng)連接的單端口千兆以太網(wǎng)(GE)小型可插拔(SFP)接口;不過，需要注意的是，1000BASE-T千兆以太網(wǎng)廣域網(wǎng)或SFP不能同時(shí)運(yùn)行。

思科ASA 5505不支持任何此類功能，所以，在這一輪對(duì)比中，思科891獲得勝利。

服務(wù)質(zhì)量

接下來，我們要比較的就是服務(wù)質(zhì)量方面。在服務(wù)質(zhì)量功能配置方面，思科ASA采用的是可配置模塊化策略框架。這其中包括了輸入和輸出控制策略，采用了可設(shè)置優(yōu)先級(jí)別的單獨(dú)隊(duì)列模式。不過，在思科ASA操作系統(tǒng)中，相關(guān)的匹配能力仍然不成熟。而思科891在服務(wù)質(zhì)量方面的控制功能非常全面，包括了多分類模式、多隊(duì)列模式、流量控制、流量整形，以及服務(wù)質(zhì)量自動(dòng)設(shè)置功能。因此，在服務(wù)質(zhì)量領(lǐng)域，思科891再次獲勝。

思科891可以支持與城域以太網(wǎng)相關(guān)的大量協(xié)議，不過，由于ASA并不提供任何此類支持;因此，提及它們也沒有什么意義。

思科891還可以支持基于802.11n標(biāo)準(zhǔn)草案的802.11a/g/n集成安全無線接入點(diǎn)，以及采用基于自主或者思科統(tǒng)一無線局域網(wǎng)架構(gòu)的雙頻道無線電設(shè)備的特性。這是思科ASA 5505不能企及的另一個(gè)領(lǐng)域。

在作出類似決定之前，應(yīng)該考慮到的還有路由功能方面的差別。實(shí)際上，ASA 5505確實(shí)可以支持路由協(xié)議的應(yīng)用，但這里指的決不是思科網(wǎng)際操作系統(tǒng)提供的路由功能。

由于5505的專長(zhǎng)是安全，所以在這方面的比較可能更令人關(guān)注一些。盡管，5505屬于一個(gè)功能非常全面的防火墻;但在思科網(wǎng)際操作系統(tǒng)中，也提供一個(gè)“不那么常見”的功能。它被叫著基于區(qū)域的防火墻。它也是一個(gè)更能非常豐富的防火墻工具。利用基于區(qū)域的防火墻所做的事情，幾乎可以和ASA能提供的一樣多。

最后，讓我們回到虛擬專用網(wǎng)絡(luò)，在這里，思科路由器又一次獲得了勝利。造成這種情況的主要原因是動(dòng)態(tài)多點(diǎn)虛擬專用網(wǎng)絡(luò)(DMVPN)的應(yīng)用。ASA不能為DMVPN提供支持，原因可能是不兼容通用路由封裝(GRE)隧道。而作為一個(gè)功能強(qiáng)大的解決方案，DMVPN可以將總部站點(diǎn)作為集線器，僅在分公司需要的時(shí)間建立隧道快速進(jìn)行傳輸。而對(duì)于ASA來說，隧道必須一直保持連接，否則在使用發(fā)夾功能時(shí)間，你將不得不連接總部站點(diǎn)進(jìn)行大量的配置。

因此，盡管我明確表明自己屬于思科ASA平臺(tái)的鐵桿支持者，但在遇到分公司選擇相關(guān)應(yīng)用的時(shí)間，還是會(huì)毫不猶豫地購買思科路由器。你會(huì)利用什么樣的標(biāo)準(zhǔn)對(duì)類似決定進(jìn)行衡量的?