CCSP自學(xué)指南：安全Cisco IOS網(wǎng)絡(luò)（SECUR）

第1章  網(wǎng)絡(luò)安全簡(jiǎn)介  1
1.1  目標(biāo)  2
1.1.1  一個(gè)封閉的網(wǎng)絡(luò)  2
1.1.2  現(xiàn)代網(wǎng)絡(luò)  3
1.1.3  威脅的能力——更危險(xiǎn)更容易  4
1.1.4  安全角色的轉(zhuǎn)變  4
1.1.5  電子商務(wù)的挑戰(zhàn)  5
1.1.6  法律和政策的問(wèn)題  5
1.2  Cisco SAFE Blueprint  6
1.2.1  路由器目標(biāo)  7
1.2.2  交換機(jī)目標(biāo)  7
1.2.3  主機(jī)目標(biāo)  7
1.2.4  網(wǎng)絡(luò)目標(biāo)  7
1.2.5  應(yīng)用目標(biāo)  8
1.2.6  安全的管理和報(bào)告  8
1.3  網(wǎng)絡(luò)攻擊類型  9
1.3.1  網(wǎng)絡(luò)安全威脅  9
1.3.2  網(wǎng)絡(luò)攻擊類型  10
1.4  網(wǎng)絡(luò)安全策略  22
1.5  Cisco網(wǎng)絡(luò)安全產(chǎn)品  23
1.6  Cisco管理軟件  23
1.6.1  Cisco VPN設(shè)備管理器  23
1.6.2  Cisco PIX設(shè)備管理器  23
1.6.3  Cisco VPN方案中心  24
1.6.4  CiscoWorks VPN/安全管理方案  24
1.7  管理協(xié)議和功能  25
1.7.1  Telnet  25
1.7.2  簡(jiǎn)單網(wǎng)絡(luò)管理協(xié)議  25
1.7.3  Syslog  26
1.7.4  簡(jiǎn)單文件傳輸協(xié)議  26
1.7.5  網(wǎng)絡(luò)時(shí)間協(xié)議  26
1.8  NAT和NAT穿透  27
1.9  本章小結(jié)  28
1.10  本章復(fù)習(xí)題  29
第2章  Cisco路由器安全基礎(chǔ)  31
2.1  Cisco IOS防火墻特性  31
2.1.1  Cisco IOS防火墻價(jià)值  32
2.1.2  Cisco IOS防火墻特點(diǎn)  32
2.2  安全的Cisco路由器安裝  33
2.2.1  對(duì)安裝進(jìn)行風(fēng)險(xiǎn)評(píng)估  33
2.2.2  Cisco路由器和交換機(jī)物理安裝常見(jiàn)威脅  34
2.3  安全的Cisco路由器管理訪問(wèn)  36
2.3.1  連接路由器控制臺(tái)端口  36
2.3.2  口令創(chuàng)建規(guī)則  37
2.3.3  初始化配置對(duì)話  37
2.3.4  配置最小口令長(zhǎng)度  38
2.3.5  配置Enable Secret口令  38
2.3.6  配置控制臺(tái)端口用戶級(jí)口令  39
2.3.7  配置一個(gè)vty用戶級(jí)口令  40
2.3.8  配置一個(gè)AUX用戶級(jí)口令  41
2.3.9  用service password-encryption命令加密口令  41
2.3.10  增強(qiáng)用戶名口令安全  42
2.3.11  用no service password-recovery保護(hù)ROMMON  43
2.3.12  記錄認(rèn)證失敗率  44
2.3.13  設(shè)置路由器鏈路超時(shí)  44
2.3.14  設(shè)置特權(quán)級(jí)別  45
2.3.15  配置旗標(biāo)消息  46
2.3.16  安全的SNMP訪問(wèn)  47
2.4  Cisco路由器AAA介紹  57
2.4.1  AAA模型：網(wǎng)絡(luò)安全結(jié)構(gòu)  57
2.4.2  實(shí)施AAA  58
2.4.3  用本地服務(wù)實(shí)施AAA  59
2.4.4  用外部服務(wù)實(shí)施AAA  59
2.4.5  TACACS+和RADIUS AAA協(xié)議  60
2.4.6  認(rèn)證方法和易用性  61
2.5  為Cisco邊界路由器配置AAA  65
2.5.1  認(rèn)證邊界路由器訪問(wèn)  65
2.5.2  邊界路由器AAA配置過(guò)程  66
2.5.3  對(duì)特權(quán)EXEC和配置模式進(jìn)行安全訪問(wèn)  66
2.5.4  用aaa new-model命令啟用AAA  67
2.5.5  aaa authentication命令  67
2.5.6  aaa authorization命令  70
2.5.7  aaa accounting命令  72
2.6  AAA排障  73
2.6.1  debug aaa authentication命令  73
2.6.2  debug aaa authorization命令  74
2.6.3  debug aaa accounting命令  75
2.7  本章小結(jié)  76
2.8  Cisco IOS命令回顧  76
2.9  本章復(fù)習(xí)題  76
2.10  案例研究  76
2.10.1  未來(lái)公司  77
2.10.2  安全策略符合性  78
2.10.3  解決方案  79
第3章  Cisco路由器網(wǎng)絡(luò)高級(jí)AAA安全  83
3.1  Cisco Secure ACS介紹  83
3.1.1  Cisco Secure ACS for Windows  84
3.1.2  Cisco Secure ACS for UNIX(Solaris)  94
3.2  安裝Cisco Secure ACS 3.0 forWindows 2000/NT服務(wù)器  95
3.2.1  配置服務(wù)器  96
3.2.2  校驗(yàn)Windows服務(wù)器和其他網(wǎng)絡(luò)設(shè)備間的連接  96
3.2.3  在服務(wù)器上安裝Cisco SecureACS for Windows  96
3.2.4  用Web瀏覽器配置CiscoSecure ACS for Windows  96
3.2.5  為AAA配置其余設(shè)備  97
3.2.6  校驗(yàn)正確安裝和操作  97
3.3  Cisco Secure ACS for Windows管理和排障  97
3.3.1  認(rèn)證失敗  99
3.3.2  授權(quán)失敗  100
3.3.3  記帳失敗  100
3.3.4  撥入PC問(wèn)題排障  100
3.3.5  使用Cisco IOS命令排障  101
3.4  TACACS+概述  101
3.4.1  一般特性  101
3.4.2  配置TACACS+  102
3.4.3  校驗(yàn)TACACS+  105
3.5  RADIUS概述  107
3.5.1  客戶端/服務(wù)器模型  108
3.5.2  網(wǎng)絡(luò)安全  108
3.5.3  靈活的認(rèn)證機(jī)制  108
3.5.4  配置RADIUS  108
3.5.5  RADIUS增強(qiáng)屬性  110
3.6  Kerberos概述  111
3.7  本章小結(jié)  112
3.8  Cisco IOS命令回顧  112
3.9  本章復(fù)習(xí)題  112
3.10  案例研究  113
3.10.1  場(chǎng)景  114
3.10.2  解決方案  114
第4章  Cisco路由器威脅對(duì)策  117
4.1  用路由器來(lái)保護(hù)網(wǎng)絡(luò)  117
4.1.1  單個(gè)邊界路由器  117
4.1.2  邊界路由器和防火墻  118
4.1.3  集成防火墻的邊界路由器  118
4.1.4  邊界路由器、防火墻和內(nèi)部路由器  119
4.2  加強(qiáng)路由器服務(wù)和接口的安全性  119
4.2.1  關(guān)閉BOOTP服務(wù)器  120
4.2.2  關(guān)閉CDP服務(wù)  120
4.2.3  關(guān)閉配置自動(dòng)加載服務(wù)  121
4.2.4  限制DNS服務(wù)  122
4.2.5  關(guān)閉FTP服務(wù)器  122
4.2.6  關(guān)閉Finger服務(wù)  123
4.2.7  關(guān)閉無(wú)根據(jù)ARP  124
4.2.8  關(guān)閉HTTP服務(wù)  125
4.2.9  關(guān)閉IP無(wú)類別路由選擇服務(wù)  125
4.2.10  關(guān)閉IP定向廣播  126
4.2.11  關(guān)閉IP鑒別  126
4.2.12  關(guān)閉ICMP掩碼應(yīng)答  127
4.2.13  關(guān)閉ICMP重定向  127
4.2.14  關(guān)閉IP源路由選擇  128
4.2.15  關(guān)閉ICMP不可達(dá)消息  128
4.2.16  關(guān)閉MOP服務(wù)  129
4.2.17  關(guān)閉NTP服務(wù)  129
4.2.18  關(guān)閉PAD服務(wù)  130
4.2.19  關(guān)閉代理ARP  131
4.2.20  關(guān)閉SNMP服務(wù)  132
4.2.21  關(guān)閉小型服務(wù)器  133
4.2.22  啟用TCP Keepalive  134
4.2.23  關(guān)閉TFTP服務(wù)器  135
4.3  關(guān)閉不用的路由器接口  136
4.4  實(shí)施Cisco訪問(wèn)控制列表  137
4.4.1  識(shí)別訪問(wèn)控制列表  137
4.4.2  IP訪問(wèn)控制列表類型  138
4.4.3  注釋IP ACL條款  143
4.4.4  開(kāi)發(fā)ACL規(guī)則  143
4.4.5  ACL定向過(guò)濾  143
4.4.6  將ACL應(yīng)用到接口  144
4.4.7  顯示ACL  144
4.4.8  啟用Turbo ACL  145
4.4.9  增強(qiáng)ACL  146
4.5  用ACL來(lái)應(yīng)對(duì)安全威脅  147
4.5.1  流量過(guò)濾  148
4.5.2  理論網(wǎng)絡(luò)  149
4.6  過(guò)濾路由器服務(wù)流量  150
4.6.1  Telnet服務(wù)  150
4.6.2  SNMP服務(wù)  150
4.6.3  路由選擇協(xié)議  151
4.7  過(guò)濾網(wǎng)絡(luò)流量  151
4.7.1  IP地址欺騙對(duì)策  152
4.7.2  DoS TCP SYN攻擊對(duì)策  153
4.7.3  DoS Smurf攻擊對(duì)策  153
4.7.4  過(guò)濾ICMP消息  154
4.8  DDoS對(duì)策  155
4.8.1  TRIN00  155
4.8.2  Stacheldraht  156
4.8.3  Trinity V3  156
4.8.4  Subseven  156
4.9  路由器配置示例  157
4.10  實(shí)施Syslog日志  158
4.10.1  Syslog系統(tǒng)  159
4.10.2  Cisco日志安全級(jí)別  159
4.10.3  日志消息格式  160
4.10.4  Syslog路由器命令  161
4.11  為企業(yè)網(wǎng)絡(luò)設(shè)計(jì)安全的管理和報(bào)告系統(tǒng)  162
4.11.1  SAFE結(jié)構(gòu)通覽  163
4.11.2  信息路徑  164
4.11.3  帶外管理一般指南  165
4.11.4  日志和報(bào)告  166
4.11.5  配置SSH服務(wù)器  167
4.11.6  安全的SNMP訪問(wèn)  168
4.12  用AutoSecure加強(qiáng)Cisco路由器安全  172
4.12.1  起點(diǎn)  172
4.12.2  接口選擇  173
4.12.3  安全的Management層面服務(wù)  173
4.12.4  創(chuàng)建安全旗標(biāo)  174
4.12.5  配置口令、AAA、SSH 服務(wù)器和域名  175
4.12.6  配置特定接口服務(wù)  175
4.12.7  配置Cisco Express Forwarding和入口過(guò)濾  176
4.12.8  配置入口過(guò)濾和CBAC  176
4.12.9  檢查配置并應(yīng)用于運(yùn)行配置中  177
4.12.10  例子：使用AutoSecure之前典型的路由器配置  184
4.12.11  例子：使用AutoSecure之后典型的路由器配置  185
4.13  本章小結(jié)  190
4.14  Cisco IOS命令回顧  190
4.15  本章復(fù)習(xí)題  190
4.16  案例研究  191
4.16.1  場(chǎng)景  192
4.16.2  解決方案  192
第5章  Cisco IOS防火墻基于上下文訪問(wèn)控制的配置  197
5.1  Cisco IOS防火墻介紹  197
5.1.1  Cisco IOS防火墻特征集  198
5.1.2  理解CBAC  198
5.1.3  理解認(rèn)證代理  199
5.1.4  理解入侵檢測(cè)  199
5.2  用CBAC保護(hù)用戶免受攻擊  200
5.2.1  Cisco IOS訪問(wèn)控制列表  200
5.2.2  CBAC是如何工作的  200
5.2.3  支持的協(xié)議  202
5.2.4  告警和審計(jì)跟蹤  202
5.3  配置CBAC  203
5.3.1  打開(kāi)審計(jì)跟蹤和告警  203
5.3.2  全局超時(shí)值和閾值  203
5.3.3  端口到應(yīng)用的映射(Port-To-Application Mapping)  206
5.3.4  定義應(yīng)用協(xié)議審查規(guī)則  208
5.3.5  路由器接口審查規(guī)則和ACL  211
5.3.6  測(cè)試和驗(yàn)證CBAC  215
5.4  本章小結(jié)  216
5.5  Cisco IOS命令回顧  217
5.6  本章復(fù)習(xí)題  217
5.7  案例研究  218
5.7.1  場(chǎng)景  219
5.7.2  解決方案  219
第6章  Cisco IOS防火墻認(rèn)證代理  223
6.1  介紹Cisco IOS防火墻認(rèn)證代理  223
6.1.1  定義認(rèn)證代理  223
6.1.2  支持AAA協(xié)議和服務(wù)器  224
6.1.3  發(fā)起一個(gè)會(huì)話  224
6.1.4  認(rèn)證代理過(guò)程  225
6.1.5  應(yīng)用認(rèn)證代理  227
6.1.6  配置認(rèn)證代理  227
6.2  配置AAA服務(wù)器  228
6.2.1  在Cisco安全訪問(wèn)控制服務(wù)器(CSACS)上配置認(rèn)證代理服務(wù)  228
6.2.2  在Cisco安全訪問(wèn)控制服務(wù)器上建立用戶授權(quán)配置文件  229
6.2.3  在建立用戶授權(quán)配置文件時(shí)使用proxyacl#n屬性  230
6.3  用AAA服務(wù)器配置Cisco IOS   防火墻  230
6.3.1  打開(kāi)AAA  231
6.3.2  指定認(rèn)證協(xié)議  231
6.3.3  指定授權(quán)協(xié)議  231
6.3.4  定義TACACS+服務(wù)器和它的密鑰  231
6.3.5  定義RADIUS服務(wù)器和它的密鑰  232
6.3.6  允許到路由器的AAA流量  232
6.3.7  打開(kāi)路由器的HTTP服務(wù)器  233
6.4  配置認(rèn)證代理  234
6.4.1  設(shè)置默認(rèn)空閑時(shí)間  234
6.4.2  定義可選的認(rèn)證代理標(biāo)志  234
6.4.3  定義和應(yīng)用認(rèn)證代理規(guī)則  235
6.4.4  將認(rèn)證代理規(guī)則關(guān)聯(lián)到ACL  236
6.5  測(cè)試和驗(yàn)證配置  236
6.5.1  show命令  236
6.5.2  debug命令  236
6.5.3  清除認(rèn)證代理緩存  237
6.6  本章小結(jié)  237
6.7  Cisco IOS命令回顧  238
6.8  本章復(fù)習(xí)題  238
6.9  案例研究  238
6.9.1  場(chǎng)景  239
6.9.2  解決方案  239
第7章  Cisco IOS防火墻入侵檢測(cè)系統(tǒng)  243
7.1  Cisco IOS IDS介紹  243
7.1.1  網(wǎng)絡(luò)能見(jiàn)度  245
7.1.2  支持的路由器平臺(tái)  245
7.1.3  實(shí)施問(wèn)題  247
7.1.4  簽名應(yīng)用  247
7.1.5  響應(yīng)選項(xiàng)  248
7.2  配置Cisco IOS IDS  248
7.2.1  步驟1——初始化Cisco IOS IDS路由器  249
7.2.2  步驟2——配置保護(hù)、關(guān)閉和排除簽名  250
7.2.3  步驟3——建立和應(yīng)用審查規(guī)則  251
7.2.4  步驟4——驗(yàn)證配置  253
7.2.5  步驟5——將Cisco IOS IDS路由器加到CiscoWorks安全監(jiān)控中心  254
7.3  本章小結(jié)  256
7.4  Cisco IOS IDS使用的簽名  256
7.5  Cisco IOS命令回顧  259
7.6  本章復(fù)習(xí)題  259
7.7  案例研究  260
7.7.1  場(chǎng)景  261
7.7.2  解決方案  261
第8章  用Cisco路由器和預(yù)共享密鑰建立IPSec VPN  265
8.1  在Cisco路由器打開(kāi)安全VPN  265
8.1.1  定義VPN  265
8.1.2  Cisco VPN路由器產(chǎn)品線  267
8.2  什么是IPSec  268
8.2.1  機(jī)密性(加密)  269
8.2.2  數(shù)據(jù)完整性  273
8.2.3  起源認(rèn)證  274
8.2.4  反重放保護(hù)  277
8.3  IPSec協(xié)議框架  278
8.3.1  IPSec協(xié)議  278
8.3.2  使用模式：比較隧道模式和傳輸模式  280
8.3.3  在IPSec隧道中的DF位覆蓋功能性  281
8.3.4  IPSec框架  282
8.4  IPSec的5個(gè)步驟  282
8.4.1  IPSec步驟1：感興趣的流量  283
8.4.2  IPSec步驟2：IKE階段1  283
8.4.3  IPSec步驟3：IKE階段2  285
8.4.4  IPSec步驟4：數(shù)據(jù)傳輸  286
8.4.5  IPSec步驟5：隧道終止  287
8.5  IPSec和動(dòng)態(tài)虛擬專用網(wǎng)  287
8.6  使用IKE預(yù)共享密鑰配置IPSec  294
8.6.1  任務(wù)1配置IPSec加密：為IKE和IPSec準(zhǔn)備  294
8.6.2  任務(wù)2配置IPSec加密：配置IKE  300
8.6.3  任務(wù) 3 配置IPSec加密：配置IPSec  303
8.6.4  任務(wù)4配置IPSec加密：測(cè)試和驗(yàn)證IPSec和ISAKMP  311
8.7  手動(dòng)配置IPSec  315
8.8  使用RSA加密Nonces配置IPSec  316
8.9  和IPSec一起使用NAT  318
8.9.1  IKE階段1和階段2協(xié)商  318
8.9.2  NAT穿透包封裝  319
8.9.3  配置IPSec和NAT一起工作  319
8.10  本章小結(jié)  320
8.11  Cisco IOS命令回顧  320
8.12  本章復(fù)習(xí)題  320
8.13  案例研究  321
8.13.1  場(chǎng)景  321
8.13.2  解決方案  322
第9章  用Cisco路由器和CA建立高級(jí)IPSec VPN  327
9.1  證書(shū)權(quán)威  327
9.1.1  Cisco IOS CA支持標(biāo)準(zhǔn)  328
9.1.2  簡(jiǎn)單證書(shū)登記協(xié)議  329
9.1.3  CA服務(wù)器和Cisco路由器的協(xié)同性  329
9.1.4  用CA登記一臺(tái)設(shè)備  331
9.1.5  多個(gè)RSA密鑰對(duì)支持  331
9.2  配置CA支持任務(wù)  332
9.2.1  配置CA支持之任務(wù)1：為IKE和IPSec作準(zhǔn)備  332
9.2.2  配置CA支持之任務(wù)2：配置CA支持  335
9.2.3  配置CA支持之任務(wù)3：為IPSec配置IKE  345
9.2.4  配置CA支持之任務(wù)4：配置IPSec  346
9.2.5  配置CA支持之任務(wù)5：測(cè)試和驗(yàn)證IPSec  346
9.3  本章小結(jié)  347
9.4  Cisco IOS命令回顧  347
9.5  本章復(fù)習(xí)題  347
9.6  案例研究  347
9.6.1  場(chǎng)景  348
9.6.2  解決方案  349
第10章  用Cisco Easy VPN 配置IOS 遠(yuǎn)程接入  353
10.1  介紹Cisco Easy VPN  353
10.1.1  Cisco Easy VPN Server  353
10.1.2  Cisco Easy VPN Remote  354
10.2  Cisco Easy VPN Server概述  354
10.2.1  12.2(8)T和Cisco Easy VPN的新特征  355
10.2.2  支持的IPSec屬性  356
10.2.3  不支持的IPSec屬性  356
10.3  Cisco Easy VPN Remote概述  357
10.3.1  支持的Cisco Easy VPN遠(yuǎn)程客戶端  357
10.3.2  Cisco Easy VPN Remote           階段II  360
10.3.3  Cisco VPN Client 3.5概述  363
10.3.4  Cisco Easy VPN功能  365
10.4  配置Cisco Easy VPN Server支持XAUTH  368
10.4.1  任務(wù)1：配置XAUTH  369
10.4.2  任務(wù)2：建立IP地址池  370
10.4.3  任務(wù)3：配置組策略搜尋  370
10.4.4  任務(wù)4：為遠(yuǎn)程VPN客戶接入建立ISAKMP策略  371
10.4.5  任務(wù)5：為MC“推”定義組策略  371
10.4.6  任務(wù)6：建立變換集  373
10.4.7  任務(wù)7：用RRI建立動(dòng)態(tài)加密映射  373
10.4.8  任務(wù)8：將MC應(yīng)用到動(dòng)態(tài)加密映射  374
10.4.9  任務(wù)9：將動(dòng)態(tài)加密映射應(yīng)用到路由器的外部接口  375
10.4.10  任務(wù)10：打開(kāi)IKE DPD(可選)  375
10.5  為組配置文件配置RADIUS認(rèn)證  376
10.6  Cisco VPN Client 3.5安裝和配置任務(wù)  377
10.6.1  任務(wù)1：安裝Cisco VPN Client 3.x  377
10.6.2  任務(wù)2：建立新的連接條目  378
10.6.3  任務(wù)3(可選)：修改Cisco VPN Client選項(xiàng)  378
10.6.4  任務(wù)4：配置Cisco VPN Client基本屬性  379
10.6.5  任務(wù)5：配置Cisco VPN Client認(rèn)證屬性  380
10.6.6  任務(wù)6：配置Cisco VPN Client連接屬性  381
10.7  和Cisco VPN Client 3.5一起工作  382
10.7.1  程序菜單  382
10.7.2  日志查看器  383
10.7.3  設(shè)置MTU大小  383
10.7.4  客戶端連接狀態(tài)：基本標(biāo)簽  384
10.7.5  客戶端連接狀態(tài)：統(tǒng)計(jì)標(biāo)簽  385
10.8  即將來(lái)臨的Cisco VPN Client更新  386
10.8.1  虛擬適配器  386
10.8.2  對(duì)Windows和Mac統(tǒng)一了VPN客戶端  386
10.8.3  刪除警告(包括原因)  387
10.8.4  單一IPSec-SA  387
10.8.5  個(gè)人防火墻增強(qiáng)  387
10.8.6  第三方VPN廠商兼容  387
10.8.7  RADIUS SDI XAUTH請(qǐng)求管理  387
10.8.8  ISO標(biāo)準(zhǔn)格式日志文件名  388
10.8.9  GINA增強(qiáng)  388
10.9  本章小結(jié)  388
10.10  Cisco IOS命令回顧  388
10.11  本章復(fù)習(xí)題  388
10.12  案例研究  389
10.12.1  場(chǎng)景  390
10.12.2  解決方案  390
第11章  使用安全設(shè)備管理器保護(hù)Cisco路由器  395
11.1  理解安全設(shè)備管理器  395
11.1.1  SDM特征  396
11.1.2  智能安全配置  396
11.1.3  SDM用戶類型  397
11.1.4  SDM特征的詳細(xì)資料  397
11.2  理解SDM軟件  397
11.2.1  支持的Cisco IOS版本和設(shè)備  398
11.2.2  獲取SDM  398
11.2.3  在已有的路由器上安裝SDM  398
11.2.4  顯示路由器的閃存空間  399
11.2.5  SDM軟件需求  399
11.2.6  SDM路由器通信  400
11.3  使用SDM啟動(dòng)向?qū)?nbsp; 400
11.3.1  第一次SDM訪問(wèn)  401
11.3.2  診斷SDM故障  407
11.4  介紹SDM用戶界面  407
11.4.1  SDM主窗口特征  407
11.4.2  SDM菜單欄  408
11.4.3  SDM工具欄  408
11.4.4  SDM向?qū)Ｊ竭x項(xiàng)  409
11.5  使用WAN向?qū)渲肳AN  410
11.5.1  建立新WAN連接  410
11.5.2  運(yùn)行串口向?qū)?nbsp; 411
11.5.3  配置封裝和IP地址  411
11.5.4  配置LMI和DLCI  411
11.5.5  配置高級(jí)選項(xiàng)  412
11.5.6  完成WAN接口配置  412
11.5.7  查看和編輯已有的WAN連接  412
11.5.8  使用高級(jí)模式驗(yàn)證接口狀態(tài)  413
11.6  使用SDM配置防火墻  413
11.6.1  建立基本防火墻  414
11.6.2  建立高級(jí)防火墻  415
11.7  使用SDM配置VPN  418
11.7.1  使用預(yù)共享密鑰建立站到站的VPN  419
11.7.2  查看或改變VPN設(shè)置  420
11.8  使用SDM執(zhí)行安全審查  420
11.8.1  執(zhí)行安全審查  420
11.8.2  一步加固  422
11.9  使用出廠復(fù)位向?qū)?nbsp; 424
11.10  使用SDM高級(jí)模式  424
11.10.1  高級(jí)模式——概要  424
11.10.2  高級(jí)模式——接口和連接  426
11.10.3  高級(jí)模式——規(guī)則  427
11.10.4  高級(jí)模式——路由選擇  427
11.10.5  高級(jí)模式——NAT  428
11.10.6  高級(jí)模式——系統(tǒng)屬性  429
11.10.7  高級(jí)模式——VPN  431
11.11  理解監(jiān)控模式  431
11.12  本章小結(jié)  432
11.13  Cisco IOS命令回顧  432
11.14  本章復(fù)習(xí)題  432
11.15  案例研究  433
11.15.1  場(chǎng)景  434
11.15.2  解決方案  434
第12章  管理企業(yè)VPN路由器  437
12.1  路由器MC 1.2.1簡(jiǎn)介  437
12.1.1  理解路由器MC概念  438
12.1.2  路由器MC組件  439
12.1.3  路由器MC 1.2.1支持的設(shè)備  440
12.1.4  路由器MC通信  440
12.1.5  支持的隧道技術(shù)  441
12.2  安裝路由器MC  441
12.2.1  安裝需求  441
12.2.2  客戶端訪問(wèn)需求  442
12.2.3  安裝過(guò)程  443
12.2.4  配置路由器支持SSH  443
12.3  使用路由器MC  443
12.3.1  CiscoWorks登錄  444
12.3.2  CiscoWorks用戶授權(quán)角色  444
12.3.3  在CiscoWorks中添加用戶  446
12.3.4  啟動(dòng)路由器MC  446
12.3.5  使用路由器MC主窗口  447
12.3.6  使用路由器MC界面  447
12.3.7  使用設(shè)備標(biāo)簽  448
12.3.8  使用配置標(biāo)簽  449
12.3.9  使用部署標(biāo)簽  450
12.3.10  使用報(bào)告標(biāo)簽  450
12.3.11  使用管理標(biāo)簽  450
12.4  建立工作流程和活動(dòng)  451
12.4.1  工作流程任務(wù)  451
12.4.2  任務(wù)1：建立活動(dòng)  452
12.4.3  任務(wù)2：建立設(shè)備組  454
12.4.4  任務(wù)3：導(dǎo)入設(shè)備  455
12.4.5  任務(wù)4：定義VPN設(shè)置  459
12.4.6  任務(wù)5：定義VPN策略  464
12.4.7  任務(wù)6：批準(zhǔn)活動(dòng)  471
12.4.8  任務(wù)7：建立和部署作業(yè)  471
12.5  配置基本的Cisco IOS防火墻設(shè)置  474
12.5.1  分片規(guī)則  475
12.5.2  超時(shí)值和性能  475
12.5.3  半打開(kāi)連接限制  476
12.5.4  日志  476
12.5.5  ACL范圍  477
12.6  建立訪問(wèn)規(guī)則  477
12.7  使用建構(gòu)塊  478
12.7.1  網(wǎng)絡(luò)組  478
12.7.2  變換集  479
12.7.3  服務(wù)組  479
12.8  網(wǎng)絡(luò)地址轉(zhuǎn)換規(guī)則  480
12.8.1  地址池  480
12.8.2  流量過(guò)濾  480
12.9  管理配置  481
12.9.1  上傳  481
12.9.2  查看配置  482
12.9.3  路由器MC部署選項(xiàng)  483
12.10  管理  485
12.10.1  部署報(bào)告  485
12.10.2  活動(dòng)報(bào)告  486
12.10.3  審計(jì)跟蹤報(bào)告  486
12.10.4  管理  486
12.11  本章小結(jié)  487
12.12  本章復(fù)習(xí)題  487
12.13  案例研究  487
12.13.1  場(chǎng)景  488
12.13.2  解決方案  488
第13章  案例研究  491
13.1  簡(jiǎn)介  491
13.2  需求  491
13.3  解決方案  494
13.3.1  開(kāi)始路由器配置  494
13.3.2  解決方案的配置步驟  495
13.3.3  結(jié)束路由器配置  500
附錄A  各章復(fù)習(xí)題答案  505
第1章  505
第2章  506
第3章  507
第4章  508
第5章  510
第6章  511
第7章  512
第8章  513
第9章  514
第10章  515
第11章  516
第12章  518
附錄B  網(wǎng)絡(luò)安全策略實(shí)例  521
B.1  授權(quán)和范圍的說(shuō)明  521
B.1.1  適用對(duì)象  521
B.1.2  網(wǎng)絡(luò)安全策略的范圍  522
B.1.3  網(wǎng)絡(luò)安全策略負(fù)責(zé)人  522
B.1.4  系統(tǒng)管理員責(zé)任  522
B.1.5  網(wǎng)絡(luò)安全策略維護(hù)流程  523
B.1.6  實(shí)施過(guò)程  523
B.1.7  用戶培訓(xùn)  523
B.2  漏洞審計(jì)策略  523
B.2.1  可接受的使用  523
B.2.2  頻率  523
B.2.3  審計(jì)目標(biāo)  523
B.2.4  報(bào)告  524
B.3  網(wǎng)絡(luò)使用策略  524
B.3.1  可接收的網(wǎng)絡(luò)使用  524
B.3.2  不可接收的網(wǎng)絡(luò)使用  524
B.3.3  服從要求  524
B.4  身份鑒別和認(rèn)證策略  524
B.4.1  可接受的使用  525
B.4.2  密碼管理  525
B.4.3  認(rèn)證管理  525
B.5  Internet訪問(wèn)策略  525
B.5.1  可接受的使用  525
B.5.2  防火墻使用  525
B.5.3  公共服務(wù)使用  525
B.6  園區(qū)訪問(wèn)策略  526
B.6.1  可接受的使用  526
B.6.2  信任關(guān)系  526
B.6.3  網(wǎng)絡(luò)設(shè)備安全  526
B.7  遠(yuǎn)程訪問(wèn)策略  526
B.7.1  可以接受的使用  527
B.7.2  移動(dòng)計(jì)算  527
B.7.3  從家中訪問(wèn)  527
B.7.4  遠(yuǎn)距離工作協(xié)議  527
B.7.5  分支機(jī)構(gòu)訪問(wèn)  527
B.7.6  商務(wù)合作者(外聯(lián)網(wǎng))訪問(wèn)  527
B.7.7  加密  527
B.8  事件處理策略  528
B.8.1  入侵檢測(cè)需求  528
B.8.2  事件響應(yīng)過(guò)程  528
B.8.3  聯(lián)絡(luò)點(diǎn)  529
附錄C  配置標(biāo)準(zhǔn)和擴(kuò)展訪問(wèn)列表  531
C.1  IP編址和通用訪問(wèn)列表概念  532
C.1.1  IP地址  532
C.1.2  通配符掩碼  535
C.1.3  一般訪問(wèn)列表配置任務(wù)  536
C.1.4  訪問(wèn)列表配置原則  536
C.2  配置標(biāo)準(zhǔn)IP訪問(wèn)列表  537
C.2.1  標(biāo)準(zhǔn)IP訪問(wèn)列表處理  537
C.2.2  標(biāo)準(zhǔn)IP訪問(wèn)列表命令  538
C.2.3  標(biāo)準(zhǔn)訪問(wèn)列表的定位  539
C.2.4  標(biāo)準(zhǔn)IP訪問(wèn)列表中的一般錯(cuò)誤  540
C.2.5  標(biāo)準(zhǔn)IP訪問(wèn)列表舉例  541
C.3  配置擴(kuò)展IP訪問(wèn)列表  541
C.3.1  擴(kuò)展IP訪問(wèn)列表處理  542
C.3.2  擴(kuò)展IP訪問(wèn)列表命令  543
C.3.3  ICMP命令語(yǔ)法  544
C.3.4  TCP語(yǔ)法  546
C.3.5  UDP語(yǔ)法  547
C.3.6  擴(kuò)展IP訪問(wèn)列表的定位  548
C.3.7  擴(kuò)展IP訪問(wèn)列表舉例1  548
C.3.8  擴(kuò)展IP訪問(wèn)列表舉例2  549
C.4  驗(yàn)證訪問(wèn)列表配置  549
C.5  命名的IP訪問(wèn)列表  550
C.6  總結(jié)  552
C.7  參考文獻(xiàn)  552
C.7.1  配置IP訪問(wèn)列表  552
C.7.2  IP協(xié)議和編址信息  553
術(shù)語(yǔ)表  555