了解思科PIX和ASA之间的不同(2)

PIX对ASA

虽然PIX是一款非常优秀的防火墙，但是安全方面的情况却在日新月异。仅仅使用一台静态数据包过滤防火墙来对你的网络进行保护已远远不够了。对网络而言，新的威胁层出不穷——包括病毒，蠕虫，多余软件（比如P2P软件，游戏，即时通讯软件），网络欺诈，以及应用程序层面的攻击等等。

如果一台设备可以应付多种威胁，我们就称其提供了“anti-X”能力，或者说它提供了“多重威胁（multi-threat）”防护。但PIX恰恰无法提供这种层次的防护。

绝大多数公司不希望采用安装一台PIX进行静态防火墙过滤，同时再使用一些其他的工具来防护其他威胁的办法。他们更希望采用一台“集所有功能于一身”的设备——或是采用一台UTM（统一威胁管理）设备。

而ASA恰好针对这些不同类型的攻击提供了防护。它甚至比一台UTM设备更厉害——不过，要成为一台真正的UTM，它还需要装一个CSC-SSM模块（CSC-SSM，内容安全以及控制安全服务，Content Security and Control Security Service）才行。该模块在ASA中提供anti-X功能。如果没有CSC-SSM，那ASA的功能看起来会更像一台PIX。

那么，到底哪一个才适合你的企业呢？正如我们通常所说的，这要看你企业的需求而定。不过，我还是倾向于优先选择ASA，而后才是PIX。首先，一台ASA的价格要比同样功能的PIX要低。除去成本的原因不谈，至少从逻辑上来说，选择ASA就意味着选择了更新更好的技术。

对于那些已经在使用Cisco PIX的人来说，Cisco已经提供了一个迁移指南，以解决如何从Cisco PIX迁移到ASA上的问题。就我观点而言，我觉得这起码预示了一点，就是Cisco终止PIX的日子正离我们越来越近。虽然Cisco公司尚未明确宣布这一点，但是我认为这只是一个时间问题罢了。

要记住，面对Internet上五花八门的不同威胁，我们无法再简单地像以往那样有了一套防火墙就万事大吉了；对完整的防护措施而言，一个多重防护的方法必不可少。虽然ASA的确是很好的一个选择，但是这也并不意味着它是你的唯一选项。许多生产商都提供了很好的产品，在你最终选择ASA之前，建议你不妨对它们多了解了解。