Firepower 1000 thay ASA 5508-X và 5516-X: bảng tương đương, hiệu năng và cách chuyển cấu hình
Cisco ngừng nhận đơn ASA 5508-X và 5516-X từ 06/11/2025. Dòng cùng phân khúc hiện hành là Firepower 1000 (1010, 1120, 1140, 1150), chạy được phần mềm Threat Defense hoặc chính phần mềm ASA. Bài này đưa số liệu datasheet để chọn đúng model và nêu hai đường chuyển cấu hình.
Theo thông báo ngày 08/05/2025 trên cisco.com, Cisco ngừng nhận đơn ASA 5508-X và ASA 5516-X cùng các gói thuê bao đi kèm từ 06/11/2025; ASA 5525-X, 5545-X, 5555-X đã ngừng từ 02/09/2022. Thiết bị còn hợp đồng vẫn được hỗ trợ tới mốc ghi trong thông báo, nhưng dự án mới và thay thế nên nhìn sang dòng Cisco Firepower 1000, là dòng tường lửa 1U cho doanh nghiệp vừa và chi nhánh trong danh mục hiện hành. Số liệu dưới đây lấy từ Cisco Firepower 1000 Series Data Sheet.
Bốn model Firepower 1000 và hiệu năng với phần mềm Threat Defense
| Chỉ số (Threat Defense) | FPR 1010 | FPR 1120 | FPR 1140 | FPR 1150 |
|---|---|---|---|---|
| Thông lượng tường lửa + kiểm soát ứng dụng (AVC) | 890 Mbps | 2,3 Gbps | 3,3 Gbps | 5,3 Gbps |
| Thông lượng FW + AVC + IPS | 880 Mbps | 2,3 Gbps | 3,3 Gbps | 4,9 Gbps |
| Phiên đồng thời tối đa (có AVC) | 100.000 | 200.000 | 400.000 | 600.000 |
| Kết nối mới mỗi giây | 6.000 | 15.000 | 22.000 | 28.000 |
| Giải mã TLS | 195 Mbps | 850 Mbps | 1,2 Gbps | 1,4 Gbps |
| Thông lượng NGIPS (gói 1024 byte) | 900 Mbps | 2,6 Gbps | 3,5 Gbps | 6,1 Gbps |
| Thông lượng IPsec VPN (1024 byte) | 400 Mbps | 1,2 Gbps | 1,4 Gbps | 2,4 Gbps |
| Số VPN peer tối đa | 75 | 150 | 400 | 800 |
Cùng phần cứng, chạy phần mềm ASA
Điểm nhiều người chưa biết: Firepower 1000 chạy được phần mềm ASA thay vì Threat Defense, tức là giữ nguyên cách cấu hình và quản trị ASDM đang dùng trên 5508-X. Datasheet có bảng riêng cho chế độ này:
| Chỉ số (phần mềm ASA) | FPR 1010 | FPR 1120 | FPR 1140 | FPR 1150 |
|---|---|---|---|---|
| Thông lượng tường lửa stateful (gói lớn) | 2 Gbps | 4,5 Gbps | 6 Gbps | 7,5 Gbps |
| Thông lượng tường lửa stateful (multiprotocol) | 1,4 Gbps | 2,5 Gbps | 3,5 Gbps | 4,5 Gbps |
| Kết nối đồng thời | 100.000 | 200.000 | 400.000 | 600.000 |
| Kết nối mới mỗi giây | 25.000 | 75.000 | 100.000 | 150.000 |
| IPsec VPN (450 byte UDP) | 500 Mbps | 1 Gbps | 1,2 Gbps | 1,7 Gbps |
| Security context (kèm; tối đa) | Không | 2; 5 | 2; 5 | 2; 25 |
| Dự phòng | Active/standby | Active/active và active/standby | Active/active và active/standby | Active/active và active/standby |
Phần cứng: cổng, kích thước, nguồn
| Phần cứng | FPR 1010 | FPR 1120 | FPR 1140 | FPR 1150 |
|---|---|---|---|---|
| Kiểu dáng | Để bàn, treo tường | Rack 1U | Rack 1U | Rack 1U |
| Cổng mạng | 8x 1000BASE-T (2 cổng PoE+ trên 1010) | 8x 1000BASE-T + 4x SFP | 8x RJ-45 + 4x SFP | 8x RJ-45 + 2x SFP + 2x SFP+ 10G |
| Quản trị | 1x 1000BASE-T, console | 1x 1000BASE-T, console | 1x 1000BASE-T, console | 1x 1000BASE-T, console |
| Lưu trữ | 200 GB | 200 GB | 200 GB | 200 GB |
| Nguồn | Adapter ngoài, 115 W | Tích hợp, 100 W | Tích hợp, 100 W | Tích hợp, 100 W |
| Quạt, độ ồn | Không quạt, 0 dBA | 1 quạt, 31,7 dBA ở 25°C | 1 quạt, 34,2 dBA ở 25°C | 1 quạt, 34,2 dBA ở 25°C |
Bảng tương đương gợi ý khi thay ASA 5500-X
| Đang dùng | Gợi ý thay (Thiết Bị Mạng Cisco) | Căn cứ |
|---|---|---|
| ASA 5506-X | Firepower 1010 | Cùng lớp để bàn 8 cổng, không quạt |
| ASA 5508-X | Firepower 1120 | 1U, 8 cổng đồng + 4 SFP, FW+AVC 2,3 Gbps |
| ASA 5516-X | Firepower 1140 | 1U, 400.000 phiên, IPS 3,5 Gbps |
| ASA 5525-X | Firepower 1150 hoặc Firepower 2110 | Có 2 cổng SFP+ 10G, 600.000 phiên |
Cisco không ghi mã thay thế trực tiếp trong bảng của thông báo mà chỉ dẫn tới mục Product Migration Options; bảng trên là gợi ý của chúng tôi theo hiệu năng và cổng trong datasheet. Nếu đường Internet trên 1 Gbps và bật đủ IPS, lọc URL, chống mã độc, chọn theo dòng "FW + AVC + IPS" chứ không theo thông lượng tường lửa thuần.
Hai cách chuyển cấu hình từ ASA
- Giữ phần mềm ASA: cài image ASA lên Firepower 1000, chuyển cấu hình chạy (running-config) sang với chỉnh sửa tên giao diện. Phù hợp khi đội vận hành quen ASDM và chưa cần tính năng NGFW. Hạn chế: không có IPS Snort, AMP, lọc URL của Threat Defense.
- Chuyển sang Threat Defense: dùng công cụ di trú của Cisco để đưa đối tượng, ACL, NAT, VPN từ cấu hình ASA vào Firepower Management Center hoặc Device Manager, rồi bổ sung chính sách IPS, lọc URL, chống mã độc. Phù hợp khi mua Firepower 1000 để lấy đủ tính năng tường lửa thế hệ mới.
Cả hai cách đều cần kiểm tra giấy phép: Threat Defense bán theo gói tính năng (Threat, Malware Defense, URL Filtering) theo năm; phần mềm ASA theo giấy phép nền tảng. Gửi cấu hình ASA hiện tại (đã che thông tin nhạy cảm) để chúng tôi ước lượng thời gian chuyển và tính đủ giấy phép trước khi báo giá.
Nguồn số liệu: Cisco Firepower 1000 Series Data Sheet (cập nhật 23/10/2023); thông báo End-of-Sale ASA5508 and ASA5516 (08/05/2025) và ASA5525/5545/5555 (02/03/2022) trên cisco.com.
- Nexus 93180YC-FX3 cho phòng máy chủ doanh nghiệp: khi nào cần switch leaf 25G thay vì Catalyst
- Điện thoại IP Cisco 7800 và 8800: chọn model theo nhu cầu, công suất PoE và tổng đài tương thích
- Router Catalyst 8200, 8300 và ISR 4000 cũ: chọn mã nâng cấp và dùng lại module NIM thế nào
- So sánh Cisco Catalyst 1200, 1300 và 9200L: chọn switch nào cho văn phòng 20 đến 200 người
- Catalyst 9300, 9300L và 9300X khác nhau ở đâu? Khi nào cần UPOE và cổng mGig
- Wi-Fi 6E cho doanh nghiệp: Catalyst 9166 so với 9120 và 9115, cần switch PoE nào để chạy đủ tính năng
- Cisco Catalyst 9200 và 9200L khác nhau thế nào? Cách chọn đúng dòng
- Uplink SFP, SFP+ và 10G: chọn switch có uplink nào cho đúng
- So sánh Cisco Catalyst 1000, 1200 và 1300: chọn dòng nào cho doanh nghiệp
- Switch Cisco Small Business 350 sự lựa chọn cho các doanh nghiệp vừa và nhỏ
