FirepowerのASA ソフトウェアのSuggested Releaseについて

[athirano1]

こんにちは、Firepower 4125の導入を検討しております。
使い方としてはASA Firewallと同等の使い方です。（Firewall + NAT程度）

ASAソフトウェアのバージョン選定について質問があります。（ベンダーにも相談する予定ですが）
どなたか、回答いただけますでしょうか。（ASA OSが決まったら、互換性のあるFX OSを選定します）

Software Lifecycle Support Statement - Next Generation Firewall (NGFW)
https://www.cisco.com/c/en/us/products/collateral/security/firewalls/bulletin-c25-743178.html
などにもある通り、偶数トレインが安定性重視の長期サポート版で、
9.12, 9.16 のように偶数トレインの２回のうち１回がExtra Long Term Releases (XLTR) になります。

Software Downloadサイトを見ると、9.20系はリリース済ですが、
Suggested Releaseの指定があるものは、（この投稿時点で）9.18(4)系のみです。
9.20系はまだSuggested Releaseには含まれていません。
https://software.cisco.com/download/home/286323349/type/280775065/release/9.20.3

これは、9.20系が、リリースからまだ日が浅いのが原因であり、
9.20系が近いうちにSuggested Releaseに加わり、XLTRにもなるのは、ほぼ確実、という理解でよろしいでしょうか。
（9.20系のうち、どのモデルもサポートする最初のバージョンである9.20(2)がリリースされたのは、2023/9のようです）

また、9.20系がSuggested ReleaseやXLTRに含まれるのはいつ頃でしょうか？
よろしくお願いします。

[Akira Muranaka · Accepted solution]

こんにちは！

ナンバリング上は 9.20 は XTLR と考えて問題ないと思います。ASA 9.20とペアで同時リリースの FTD 7.4 もXTLRのためです。（ちなみに、FTD OSは、ASA と Snort を合体したOSになり、ASAと共同開発されてます。）

ただ、FTD 7.4もまだ Suggested Release は出ておりませんし、ASA 9.20ももうしばらく先なのでは？と個人的に思っています。 過去の経験上、リリース後 1.5年前後でSuggstedになるケースが多いと思うので、今年の秋～冬くらいに Suggsetd 認定されるのではないかな？という気がしてます。

なお、Suggsetd 認定は、シスコさんの「オススメ」だけでなく、「利用実績」と「安定性」も考慮し決定されるため、世の中である程度広く使われ、安定性が認められないと Suggseted になりません。 ASA 9.20 や FTD 7.4 はまだ使い始めのOSのため、その点からも Suggseted 化はもう少し後では、と思います。春頃に、シスコさんに各OSの利用実績を見せていただきましたが ASA 9.20 や FTD 7.4 はそこまで利用ユーザーはまだ多くなかったです。

特に ASA 9.20 の新機能で利用したいものがなく、実績や安定性重視の環境の場合は、9.18のSuggested の 最新Interimバージョンの利用がよろしいのではと思います。 

https://www.cisco.com/c/ja_jp/td/docs/security/asa/asa920/release/notes/asarn920.html#id_28545

ASA 9.20 の新機能例
・Secure Firewall 4200 シリーズのサポート
・Control Point 高負荷時のFailover の安定化
・IPv6での証明書失効管理、など

[athirano1]

Akira Muranakaさん
回答ありがとうございます。
> 特に ASA 9.20 の新機能で利用したいものがなく、実績や安定性重視の環境の場合は、9.18のSuggested の 最新Interimバージョンの利用がよろしいのではと思います。
はい、新機能は使わないので、9.18(4)の最新Interim版を第一候補として準備をしたいと思います。