在建立小型分公司時，你是否遇到過需要在自適應安全設備(ASA)和思科基于網(wǎng)際操作系統(tǒng)(IOS)的路由器間進行選擇的情況?聽起來，這像是一件非常簡單的事，但實際情況卻并非如此。在這種情況下，ASA設備有可能屬于非常合適的選擇。不過，同樣的情況也可能出現(xiàn)在思科IOS路由器上。因此，問題到最后經(jīng)常就變成了管理員更習慣使用哪種設備的情況。在本文中，我將對盡管屬于ASA的鐵桿支持者，但自己為什么還是會選擇路由器的原因進行說明。

注意事項：為了簡單起見，我將僅僅對思科891集成多業(yè)務路由器與思科ASA 5505自適應安全設備進行比較，但所討論到的大部分功能在運行思科IOS 12.4以上或15.x版本的分支路由器上都已經(jīng)具備。

端口配置情況

首先，讓我們來比較一下端口配置。思科891路由器配備了包含八個10/100兆快速以太網(wǎng)端口的可管理交換機，并且可以支持虛擬局域網(wǎng)，以及四個支持以太網(wǎng)供電(PoE)(屬于可選擇功能)的IP電話或外部接入點端口。而思科ASA 5505配備的是八個10/100兆交換機端口，并且只有2個PoE端口。

思科891路由器可以支持城域以太網(wǎng)，并且包含了一個1000BASE-T千兆以太網(wǎng)廣域網(wǎng)端口，一個10/100Base-T快速以太網(wǎng)廣域網(wǎng)端口，以及一個可以來建立廣域網(wǎng)連接的單端口千兆以太網(wǎng)(GE)小型可插拔(SFP)接口;不過，需要注意的是，1000BASE-T千兆以太網(wǎng)廣域網(wǎng)或SFP不能同時運行。

思科ASA 5505不支持任何此類功能，所以，在這一輪對比中，思科891獲得勝利。

服務質(zhì)量

接下來，我們要比較的就是服務質(zhì)量方面。在服務質(zhì)量功能配置方面，思科ASA采用的是可配置模塊化策略框架。這其中包括了輸入和輸出控制策略，采用了可設置優(yōu)先級別的單獨隊列模式。不過，在思科ASA操作系統(tǒng)中，相關(guān)的匹配能力仍然不成熟。而思科891在服務質(zhì)量方面的控制功能非常全面，包括了多分類模式、多隊列模式、流量控制、流量整形，以及服務質(zhì)量自動設置功能。因此，在服務質(zhì)量領(lǐng)域，思科891再次獲勝。

思科891可以支持與城域以太網(wǎng)相關(guān)的大量協(xié)議，不過，由于ASA并不提供任何此類支持;因此，提及它們也沒有什么意義。

思科891還可以支持基于802.11n標準草案的802.11a/g/n集成安全無線接入點，以及采用基于自主或者思科統(tǒng)一無線局域網(wǎng)架構(gòu)的雙頻道無線電設備的特性。這是思科ASA 5505不能企及的另一個領(lǐng)域。

在作出類似決定之前，應該考慮到的還有路由功能方面的差別。實際上，ASA 5505確實可以支持路由協(xié)議的應用，但這里指的決不是思科網(wǎng)際操作系統(tǒng)提供的路由功能。

由于5505的專長是安全，所以在這方面的比較可能更令人關(guān)注一些。盡管，5505屬于一個功能非常全面的防火墻;但在思科網(wǎng)際操作系統(tǒng)中，也提供一個“不那么常見”的功能。它被叫著基于區(qū)域的防火墻。它也是一個更能非常豐富的防火墻工具。利用基于區(qū)域的防火墻所做的事情，幾乎可以和ASA能提供的一樣多。

最后，讓我們回到虛擬專用網(wǎng)絡，在這里，思科路由器又一次獲得了勝利。造成這種情況的主要原因是動態(tài)多點虛擬專用網(wǎng)絡(DMVPN)的應用。ASA不能為DMVPN提供支持，原因可能是不兼容通用路由封裝(GRE)隧道。而作為一個功能強大的解決方案，DMVPN可以將總部站點作為集線器，僅在分公司需要的時間建立隧道快速進行傳輸。而對于ASA來說，隧道必須一直保持連接，否則在使用發(fā)夾功能時間，你將不得不連接總部站點進行大量的配置。

因此，盡管我明確表明自己屬于思科ASA平臺的鐵桿支持者，但在遇到分公司選擇相關(guān)應用的時間，還是會毫不猶豫地購買思科路由器。你會利用什么樣的標準對類似決定進行衡量的?