ASA防火墙K8与K9的区别

ASA防火墙K8与K9的区别

1:K8与K9的区别

Cisco ASA 5500防火墙，K8和K9，从硬件到IOS，都是完全一样的，价钱确相差较大，

唯一的区别在于K8的VPN-3DES-AES：disable，K9的VPN-3DES-AES：enable。也就是说K8只支持vpn使用DES加密，不支持3DES加密；K9可以同时支持VPN的DES、3DES和AES加密方式。具有更高的安全性能。

VPN（Virtual Private Network ，虚拟专用网），是通过一个公用网络（通常是因特网）

建立一个临时的、安全的连接，是一条穿过混乱的公用网络的安全、稳定的隧道。当数据离开发送者所在的局域网时，该数据首先被用户湍连接到互联网上的防火墙进行硬件加密，数据在互联网上是以加密的形式传送的，当达到目的LAN的路由器时，该路由器就会对数据进行解密，这样目的LAN中的用户就可以看到真正的信息了。在这个加解密过程中，就产生了使用DES算法和3DES算法的区别。

DES算法：（Data Encryption Algorithm数据加密算法），采用64位密钥技术（有效

密钥为56位，有8位校验位），1977年被美国政府正式采纳。

3DES算法：（即Triple DES）是DES的一个更安全的变形。它以DES为基本

模块，通过组合分组方法设计出分组加密算法，简单的说就是加密过程就对明文使用des执行加密→解密→再加密的过程，连续使用3次DES算法，这样3DES就可以采用192为密钥（有效密钥位为168位）进行加密，安全性能大幅提升。

AES：（Advanced Encryption Standard，），是美国政府采用的新的密码标准，采

用对称分组密码体制，密钥长度的最少支持为128、192、256，分组长度128位。相对DES具有更高的可靠性。

2：K8与K9区分方法

由于K8与K9从硬件到软件版本完全相同，只能通过是否支持3DES和AES加

密的方式来区分。

在ASA上执行:show activation-key

如图：VPN-3DES-AES : Disabled，所以为K8系列，

K9显示为VPN-3DES-AES : Enable

有防火墙的VPN-3DES-AES是ENABLE的了，软件还显示K8的，或者设备包装上显示为ASA5520-BUN-K9,但内部软件显示为K8。这是因为美国禁止出口128位以上的加密技术。所以非美国本土的ASA5500的K9版本防火墙都是授权版本的K9防火墙。所以显示的BIN文件，仍旧是K8版的BIN。但是产品本身的功能确实是K9版本的功能，和美国本土的K9产品是一样的。

所以， K8 &K9 不是看IOS名字 而是看 VPN 3DES 是否开启才能正确区分。

3：K8升级到K9的方法

K8和K9的软硬件版本都相同，所以从K8升级到K9只需要去cisco官网申请相关license

即可。

① 登陆cisco license网站：http://www.cisco.com/go/license，进入Cisco ASA 3DES/AES

License。

② 输入我们ASA里面的序列号。将“Click here if you accept the conditions of the

End-User License Agreement”这个选中，并填写正确的邮箱地址。

③ 接收cisco的邮件，有一个与机器的序列号后面对应的一串十六进制的数就是你的

激活码。

④ 在ASA上执行CiscoASA(config)# activation-key xxxxxxxx xxxxxxxx xxxxxxxx

xxxxxxxx xxxxxxxx(xxxx为邮件中的授权码，和设备序列号绑定) ⑤ 升级完成。