Trong quá khứ, firewall thường là một thiết bị độc lập, được đặt ở biên mạng (perimeter) để kiểm soát lưu lượng đi vào/ra. Tuy nhiên, trong các hệ thống hiện đại – đặc biệt là môi trường OT, công nghiệp hoặc campus lớn – tấn công thường lan truyền theo chiều ngang (east-west) giữa các user, camera, IP phone, cảm biến, PLC... Do đó, firewall cần tiến sâu hơn, được triển khai sát với thiết bị đầu cuối (endpoint).
ASAc (ASA Container) là phiên bản ảo hóa của tường lửa Cisco ASA, chạy dưới dạng container ngay trên switch Catalyst 9300. Không cần thêm thiết bị phần cứng, không cần thay đổi thiết kế mạng hiện tại – nhưng vẫn triển khai được bảo mật sát tầng truy cập (access layer).
Tiết kiệm chi phí đầu tư: Không cần mua thêm thiết bị firewall riêng biệt.
Dễ triển khai: Không làm gián đoạn kiến trúc mạng đang vận hành.
Bảo vệ thiết bị OT: Đặt firewall ngay tại switch kết nối camera, sensor, robot, PLC,...
Hỗ trợ phân đoạn mạng (micro-segmentation): Giúp hạn chế lan truyền tấn công lateral.
Quản lý tập trung: Qua Cisco Catalyst Center hoặc Cisco Defense Orchestrator (CDO).
Stateful Inspection cho lưu lượng nội bộ (east-west traffic).
Distributed Firewall Architecture: Tường lửa phân tán, giảm độ trễ và cải thiện hiệu năng.
Tách biệt vai trò quản trị: Quản trị mạng (NetOps) và quản trị bảo mật (SecOps) độc lập.
Lifecycle Management tự động: Tự động cập nhật, backup, policy deployment thông qua Catalyst Center.
Chính sách bảo mật tập trung: Quản lý rule-set cho nhiều switch cùng lúc.
Một nhà máy sản xuất có hàng trăm thiết bị IoT như camera IP, cảm biến, PLC... Họ không thể triển khai firewall vật lý cho từng khu vực. Thay vào đó, ASAc được triển khai ngay trên switch Catalyst 9300 tại các tủ mạng IDF. Nhờ đó, các policy chặn truy cập trái phép được thực thi ngay tại tầng edge, không cần truyền lưu lượng về firewall trung tâm.
Đây là một minh chứng cho xu hướng “Security Service Insertion” – nhúng bảo mật trực tiếp vào lớp mạng thay vì đặt tại biên. Với các kiến trúc Zero Trust, SD-Access, hay môi trường OT công nghiệp, việc đưa tường lửa đến sát endpoint thay vì dồn hết về trung tâm sẽ giúp:
Giảm thiểu lateral movement của attacker
Tăng hiệu năng xử lý
Đơn giản hóa việc mở rộng mạng và chính sách bảo mật
Bạn đã sẵn sàng thiết kế hệ thống mà tường lửa không nằm ở giữa mạng, mà nằm bên trong từng switch chưa?
Gợi ý: Nếu bạn đang học CCNP ENCOR hoặc CCIE Security, hãy đưa ASAc vào lab demo để hiểu rõ cách hoạt động, cấu hình và tích hợp nó trong kiến trúc thực tế.
