Cisco Networking Academy Program,Fundamentals of Network Security Companion Guide

第一部分

第1章 网络安全概述 3

1.1 网络安全的基本原理、趋势和目标 3

1.1.1 网络安全的需要 4

1.1.2 影响网络安全的趋势 5

1.1.3 网络安全目标 7

1.1.4 网络安全的关键要素 8

1.1.5 安全意识 9

1.2 安全威胁与攻击 10

1.2.1 网络安全弱点 11

1.2.2 主要网络威胁 12

1.2.3 侦查 13

1.2.4 窃听 15

1.2.5 系统访问 16

1.2.6 其他访问攻击 19

1.2.7 拒绝服务 20

1.2.8 分布式拒绝服务 22

1.2.9 弱点：osi层次模型 25

1.3 安全框架与策略 27

1.3.1 安全车轮 27

.1.3.2 安全策略基础 30

1.3.3 网络安全情况研究 33

1.4 安全产品和解决方案 37

1.4.1 身份 38

1.4.2 防火墙 40

1.4.3 虚拟专网 41

1.4.4 入侵探测 44

1.5 监控、管理和审计 46

1.6 safe 49

1.7 小结 50

1.8 关键术语 51

1.9 复习题 52

第2章 基本的路由器和交换机安全 55

2.1 路由器和交换机安全概要 55

2.1.1 路由器拓扑 56

2.1.2 路由器安装与安全 58

2.1.3 访问控制 59

2.1.4 使用密码控制路由器访问 63

2.1.5 设置优先级 64

2.1.6 设置用户账号 65

2.1.7 登录标语 66

2.2 禁用不需要的服务 67

2.2.1 路由选择、代理arp、icmp 72

2.2.2 ntp、snmp、路由器名字、dns 74

2.3 边界路由器安全 77

2.3.1 控制入站和出站流量 77

2.3.2 网络地址转换 79

2.3.3 路由协议验证与更新过滤 81

2.3.4 流量过滤 83

2.3.5 过滤icmp消息 87

2.3.6 cisco ios防火墙 88

2.4 路由器管理 89

2.4.1 日志 90

2.4.2 网络设备间的时间同步 92

2.4.3 软件和配置的维护 94

2.4.4 使用ssh进行远程管理 95

2.5 安全交换和局域网访问 96

2.5.1 第二层攻击以及缓解 98

2.5.2 端口安全 99

2.5.3 虚拟局域网 101

2.6 小结 102

2.7 关键术语 102

2.8 复习题 103

第3章 路由器acl和cbac 107

3.1 访问控制列表 107

3.1.1 在acl中使用掩码 109

3.1.2 acl 总结 110

3.1.3 处理acl 111

3.1.4 应用acl 112

3.1.5 编辑acl 113

3.1.6 排除acl故障 114

3.2 ip acl的类型 115

3.2.1 标准acl 116

3.2.2 扩展acl 117

3.2.3 命名ip acl 118

3.2.4 注释ip acl条目 118

3.2.5 锁和密钥（动态）acl 119

3.2.6 反身acl 120

3.2.7 使用时间范围的时基acl 122

3.2.8 验证代理 122

3.2.9 turbo acl 123

3.3 基于上下文的访问控制 123

3.3.1 cbac是如何工作的 125

3.3.2 支持cbac的协议 127

3.3.3 配置cbac：第一步--设置审计跟踪和警报 128

3.3.4 配置cbac：第二步--设定全局超时和阈值 129

3.3.5 配置cbac：第三步--定义应用程序端口映射（pam） 132

3.3.6 配置cbac：第四步--定义检查规则 134

3.3.7 配置cbac：第五步--在路由器接口上应用检查规则和acl 142

3.3.8 配置cbac：第六步--测试和检验 145

3.3.9 移除cbac配置 147

3.3.10 配置一个空接口 147

3.4 小结 148

3.5 关键术语 148

3.6 复习题 149

第4章 路由器aaa安全 153

4.1 aaa安全网络访问 153

4.1.1 aaa安全网络构架 154

4.1.2 验证方法 155

4.2 网络访问服务器（nas）aaa验证过程 158

4.2.1 远程管理 158

4.2.2 远程网络访问 158

4.2.3 aaa安全服务器的选择 159

4.2.4 nas配置 160

4.3 cisco secure acs 160

4.3.1 管理cisco secure acs3.0 for windows 161

4.3.2 cisco secure acs for windows故障排除技术 163

4.3.3 cisco secure acs for unix概述 163

4.3.4 cisco secure acs 2.3 for unix的特性集 164

4.3.5 cisco secure acs解决方案引擎 165

4.4 aaa服务器概述及配置 167

4.4.1 tacacs 168

4.4.2 xtacacs 168

4.4.3 tacacs+ 168

4.4.4 介绍radius 168

4.4.5 radius和tacacs+的比较 170

4.4.6 kerberos概述 171

4.5 cisco ios防火墙验证代理 171

4.5.1 支持的服务器 172

4.5.2 验证代理操作 172

4.5.3 验证代理配置任务 173

4.5.4 https验证代理 175

4.6 小结 177

4.7 关键术语 177

4.8 复习题 178

第5章 路由器入侵探测、监控和管理 181

5.1 ios防火墙ids 181

5.1.1 实现签名 183

5.1.2 响应选项 183

5.2 安装cisco ios防火墙ids 183

5.2.1 步骤1：初始化路由器上的ios firewall ids--设置通告的类型 184

5.2.2 步骤2：初始化路由器上的ios firewall ids--设置通告队列的尺寸 184

5.2.3 步骤3：配置、禁用或剔除签名 185

5.2.4 步骤3：创建和应用审计规则 186

5.2.5 步骤5：检验配置 187

5.2.6 步骤6：添加ios防火墙ids到ids director的映射图 189

5.3 使用日志和syslog监控 189

5.3.1 日志的价值 189

5.3.2 配置日志 190

5.3.3 配置日志消息的同步 191

5.3.4 限制错误消息的严重等级 192

5.3.5 系统日志（syslog） 193

5.4 snmp 196

5.4.1 snmp的安全 198

5.4.2 snmp 版本3（snmpv3） 199

5.4.3 如何配置snmp 201

5.4.4 snmp管理应用程序 201

5.5 管理路由器 202

5.5.1 管理员的访问机制 202

5.5.2 升级路由器 203

5.5.3 测试和安全确认 204

5.5.4 企业监控 204

5.6 安全设备管理器（sdm） 205

5.6.1 访问sdm 207

5.6.2 下载安装sdm 209

5.6.3 修改现有的配置文件 209

5.6.4 使用默认的配置文件 210

5.7 小结 210

5.8 关键术语 211

5.9 复习题 211

第6章 路由器配置site-to-site vpn 215

6.1 vpn 215

6.1.1 site-to-site vpn 215

6.1.2 vpn技术选项 216

6.1.3 隧道协议 217

6.1.4 隧道接口 218

6.2 ios密码系统 219

6.2.1 对称加密 220

6.2.2 非对称加密 221

6.2.3 diffie-hellman算法 222

6.2.4 数据完整性 223

6.2.5 hmac 224

6.2.6 来源验证 225

6.3 ipsec 226

6.3.1 验证头 228

6.3.2 esp协议 229

6.3.3 ipsec传输模式 230

6.3.4 安全关联 231

6.3.5 ipsec的5个步骤 233

6.3.6 ike 233

6.3.7 ipsec和ike的逻辑流程 235

6.4 使用预共享密钥的site-to-site ipsec vpn 236

6.4.1 任务1：为ike和ipsec作准备 236

6.4.2 任务2：配置ike 237

6.4.3 任务3：配置ipsec 237

6.4.4 任务4：测试和校验ike 240

6.5 数字证书 240

6.5.1 scep 241

6.5.2 ca服务器 242

6.5.3 用一个ca注册设备 243

6.6 使用数字证书配置site-to-site ipsec vpn 244

6.6.1 任务1：为ike和ipsec做准备 245

6.6.2 任务2：配置ca支持 245

6.6.3 任务3：ike配置 246

6.6.4 任务4：配置ipsec 247

6.6.5 任务5：测试和检验ipsec 247

6.7 小结 248

6.8 关键术语 248

6.9 复习题 249

第7章 路由器远程访问vpn 253

7.1 远程访问vpn 253

7.1.1 远程访问vpn的类型 254

7.1.2 远程访问的隧道协议 255

7.2 cisco easy vpn 256

7.2.1 cisco easy vpn server 256

7.2.2 cisco easy vpn remote 256

7.2.3 cisco vpn 3.5 client 259

7.3 vpn企业管理 264

7.3.1 路由器mc里的关键概念 264

7.3.2 支持的隧道技术 266

7.3.3 路由器mc的安装 266

7.3.4 路由器mc的使用 268

7.3.5 路由器mc界面 269

7.4 小结 270

7.5 关键术语 270

7.6 复习题 270

第二部分

第8章 pix安全设备 275

8.1 防火墙简介 275

8.1.1 使用防火墙的理由 276

8.1.2 防火墙技术 277

8.1.3 防火墙市场 281

8.2 cisco pix security appliance 282

8.2.1 pix的特点 283

8.2.2 pix安全设备家族 288

8.2.3 防火墙服务模块 289

8.2.4 pix安全设备许可证类型 291

8.2.5 pix安全设备的vpn功能 291

8.3 开始使用pix security appliance 292

8.3.1 用户界面 292

8.3.2 基本pix设置命令 295

8.3.3 检查pix状态 298

8.4 路由选择和多播配置 300

8.4.1 静态路由 300

8.4.2 动态路由 301

8.4.3 多播路由选择 303

8.4.4 查看和调试存根多播路由选择 308

8.5 pix动态主机控制配置 308

8.5.1 服务器和客户端 309

8.5.2 pix安全设备对dhcp的支持 309

8.5.3 dhcp服务器 310

8.5.4 配置pix安全设备作为dhcp服务器 311

8.6 小结 311

8.7 关键术语 311

8.8 复习题 312

第9章 pix安全设备转换和连接 315

9.1 传输协议 315

9.1.1 ip世界中的会话 315

9.1.2 tcp详细回顾 316

9.1.3 tcp特点及与pix的交互 319

9.1.4 udp特点及与pix的交互 319

9.2 网络地址转换 320

9.2.1 连接与转换 320

9.2.2 地址转换类型 321

9.3 pix上的dns地址更改、目的nat和dns记录转换 327

9.3.1 dns地址更改过程 328

9.3.2 用alias命令实现目的nat 329

9.3.3 dns记录转换 329

9.4 连接 330

9.4.1 穿过pix安全设备的两种方法 330

9.4.2 静态通道 331

9.5 端口地址转换 331

9.5.1 pix安全设备的pat 332

9.5.2 使用外部地址转换的pat 333

9.5.3 映射子网到pat地址 334

9.5.4 使用多pat地址提供后备pat地址 334

9.5.5 使用pat增加全局地址以支持更多主机 335

9.5.6 端口重定向 335

9.6 pix安全设备的多接口 337

9.6.1 通过pix安全设备进行访问 337

9.6.2 在pix安全设备上配置三个接口 338

9.6.3 配置pix安全设备的四个接口 339

9.7 小结 340

9.8 关键术语 341

9.9 复习题 341

第10章 pix安全设备访问控制列表 345

10.1 acl和pix安全设备 345

10.1.1 acl使用原则 345

10.1.2 实现acl 346

10.1.3 turbo acl 346

10.1.4 acl与管道技术的比较 347

10.1.5 acl案例研究：管道和acl行为的差异 348

10.1.6 acl的验证和故障排除 351

10.2 使用acl 351

10.2.1 使用acl拒绝内网用户的web访问 352

10.2.2 使用acl来允许web访问dmz 352

10.2.3 acl的通常用法：允许合作伙伴web访问dmz 353

10.2.4 acl的常规用法：允许dmz访问内部邮件 354

10.2.5 vpn解决方案：双dmz和vpn集中器 355

10.2.6 用acl禁用ping 356

10.3 过滤 357

10.3.1 过滤恶意小程序 357

10.3.2 url过滤 358

10.4 对象组 359

10.4.1 在acl中使用对象组 360

10.4.2 配置对象组 362

10.4.3 在对象组上应用acl 362

10.5 嵌套的对象组 363

10.5.1 配置嵌套的对象组 364

10.5.2 嵌套对象组例子 364

10.5.3 acl中多个对象组的例子 365

10.5.4 验证和管理对象组 366

10.6 小结 367

10.7 关键术语 367

10.8 复习题 367

第11章 pix安全应用aaa 371

11.1 aaa 371

11.1.1 用户在验证和授权中看到了什么 372

11.1.2 切入型代理操作 373

11.1.3 tacacs+和radius 374

11.1.4 csacs和pix 375

11.2 pix上的验证配置 376

11.2.1 aaa-server命令 376

11.2.2 aaa authentication命令 377

11.2.3 aaa验证实例 378

11.2.4 验证非telnet、非ftp或非http流量 378

11.2.5 虚拟telnet 379

11.2.6 虚拟http 380

11.2.7 控制台访问验证 381

11.2.8 更改验证超时和验证提示 382

11.3 pix安全应用上的授权配置 383

11.3.1 aaa authorization命令 383

11.3.2 使用可下载的acl提供授权 384

11.4 在pix安全应用上配置记账 385

11.5 使用aaa服务定义流量 386

11.6 监控aaa配置 386

11.7 pppoe和pix安全应用 387

11.7.1 pix如何与pppoe交互工作 387

11.7.2 配置pix支持pppoe 388

11.7.3 监控和故障排除pppoe客户端 389

11.8 附录11-a：如何向csacs-nt添加用户 390

11.8.1 附加用户信息 391

11.8.2 用户设置 391

11.8.3 账号禁用 392

11.9 附录11-b：csacs和授权 393

11.9.1 如何在csacs上建立一个允许指定服务的授权规则 393

11.9.2 如何创建仅对csacs上指定主机提供服务的授权规则 393

11.9.3 如何在csacs上为非telnet、非ftp和非http的流量授权 394

11.10 附录11-c：csacs和acl 395

11.11 附录11-d：如何在csacs中查看记账信息 397

11.12 小结 397

11.13 关键术语 398

11.14 复习题 398

第12章 pix高级协议和入侵检测 401

12.1 高级协议处理 401

12.1.1 fixup命令 402

12.1.2 ftp fixup配置 403

12.1.3 远程shell（rsh）fixup配置 405

12.1.4 sql*net fixup配置 406

12.1.5 sip fixup配置 407

12.1.6 小客户fixup 配置 407

12.2 多媒体支持和pix安全应用 408

12.2.1 实时流协议 409

12.2.2 h.323 412

12.2.3 ip电话和pix安全应用dhcp服务器 413

12.3 攻击防护 414

12.3.1 邮件防护 414

12.3.2 dns防护 415

12.3.3 分片防护和虚拟重组 416

12.3.4 aaa泛洪防护 416

12.3.5 syn泛洪攻击 417

12.3.6 tcp拦截 418

12.4 入侵检测和pix安全应用 418

12.4.1 信息和攻击入侵检测特征 419

12.4.2 pix安全应用中的入侵检测 420

12.5 规避 421

12.6 pix安全应用系统日志记录 422

12.7 snmp 424

12.7.1 snmp实例 425

12.7.2 mib支持 425

12.7.3 示例：snmp通过pix安全应用 426

12.8 小结 428

12.9 关键术语 428

12.10 复习题 429

第13章 pix故障转移与系统维护 433

13.1 了解pix security appliance故障转移 433

13.1.1 故障转移的ip地址 435

13.1.2 配置文件复制 435

13.1.3 故障转移和有状态故障转移 436

13.1.4 故障转移接口测试 437

13.2 串行电缆故障转移配置 438

13.2.1 步骤1：连接防火墙 438

13.2.2 步骤2：连接故障转移电缆 439

13.2.3 步骤3：配置主pix 440

13.2.4 步骤4：从防火墙接电 440

13.2.5 验证故障转移配置文件 442

13.3 基于lan的故障转移配置 443

13.3.1 步骤1～4：配置主pix 444

13.3.2 步骤5～10：配置从pix 445

13.4 通过远程访问维护系统 447

13.4.1 为pix security appliance控制台配置telnet访问 447

13.4.2 ssh连接到pix security appliance 448

13.4.3 用ssh客户端连接到pix security appliance 448

13.5 命令授权 449

13.5.1 方法1：启用级别命令授权 450

13.5.2 方法2：本地命令授权 450

13.5.3 方法3：acs命令授权 451

13.6 pix security appliance密码恢复 452

13.7 升级pix security appliance映像及激活密钥 452

13.8 小结 453

13.9 关键术语 453

13.10 复习题 454

第14章 pix security appliance vpn 457

14.1 pix security appliance实现安全的vpn 457

14.1.1 pix vpn性能 457

14.1.2 pix vpn拓扑结构 458

14.1.3 ipsec实现pix vpn特性 459

14.1.4 ipsec概述 459

14.1.5 pix security appliance支持ipsec标准 459

14.2 配置vpn任务 461

14.2.1 任务1：准备配置vpn支持 462

14.2.2 任务2：配置ike参数 465

14.2.3 任务3：配置ipsec参数 467

14.2.4 任务4：测试和校验vpn配置 470

14.3 cisco vpn客户端 473

14.3.1 cisco vpn客户端拓扑结构 474

14.3.2 pix security appliance分配ip地址到vpn客户端 475

14.3.3 配置pix security appliance的pix到vpn客户端隧道 476

14.3.4 为pix到pix客户端隧道配置vpn客户端 478

14.4 使用ca扩展pix vpn 479

14.5 小结 481

14.6 关键术语 481

14.7 复习题 482

第15章 pix安全设备管理 485

15.1 pix管理工具 485

15.1.1 pix设备管理器 486

15.1.2 cisco安全策略管理器 486

15.1.3 pix管理中心 487

15.2 cisco pix设备管理器 488

15.2.1 pdm运行要求 489

15.2.2 pdm浏览器要求 489

15.2.3 pdm的准备 491

15.2.4 运用pdm配置pix 493

15.2.5 使用pdm创建站点到站点vpn 501

15.2.6 使用pdm创建远程访问vpn 506

15.3 企业pix管理 509

15.3.1 pix mc 509

15.3.2 pix mc的主要概念 510

15.3.3 aus 511

15.4 小结 511

15.5 复习题 512

第三部分

附录a 关键术语 517

附录b 复习题答案 525

附录c 物理层安全 531

c.1 什么是物理安全？ 531

c.2 第1层安全的开销是什么？ 533

c.3 第1层安全保护了什么？ 534

c.4 物理安全同样能够防御其他威胁 534

c.5 物理层安全的基础 534

c.6 ansi/tia/eia 535

c.7 安全培训 537

c.7.1 建立安全意识 537

c.7.2 需要进行验证 538

c.7.3 登录访问及操作 538

c.7.4 提出适当有礼的质疑 538

c.7.5 知道向哪些人寻求援助 539

c.8 高级通行证及biometric验证 539

c.9 威慑因素 539

c.10 工作区安全 540

c.10.1 闲置插座 540

c.10.2 抗干扰插座 540

c.10.3 抗干扰路径 541

c.10.4 电信间 541

c.11 入侵者怎样截取信息并解码 542

c.11.1 入侵者是怎样截取资料的 543

c.11.2 入侵者怎样对资料解码 543

c.12 光纤入侵 543

c.12.1 直接物理入侵 544

c.12.2 管道 545

c.13 无线侦听 545

c.13.1 竞争驾驶 545

c.13.2 竞争拨号和竞争行走 546

c.14 安全自动控制 546

c.15 物理安全中的人员因素 547

c.16 小结 549

附录d 操作系统安全 553

d.1 linux操作系统级安全 553

d.1.1 保护正在运行的进程 554

d.1.2 文件系统和目录安全 556

d.1.3 验证安全 560

d.2 linux基础设施级安全 562

d.2.1 保护samba 562

d.2.2 保护nfs 564

d.2.3 保护xinetd守护进程 566

d.3 保护linux网络服务 568

d.3.1 保护linux ftp服务器 568

d.3.2 保护linux web服务器 569

d.3.3 保护linux邮件服务器 571

d.4 linux网络安全和过滤方法 573

d.4.1 tcp包装程序 573

d.4.2 网络地址转换 574

d.4.3 防火墙和代理服务 574

d.5 windows 2000验证安全 576

d.5.1 识别安全架构 576

d.5.2 在windows 2000中验证用户 577

d.6 windows 2000操作系统级安全 578

d.6.1 保护文件和打印资源 578

d.6.2 加密文件系统 580

d.6.3 审核对资源的访问 583

d.7 windows 2000基础结构级安全 584

d.7.1 保护活动目录 584

d.7.2 用组策略辅助安全管理 585

d.7.3 安全模版、安全配置和分析工具的使用 586

d.7.4 安全地对dns记录进行更新 586

d.8 保护windows网络服务 587

d.8.1 保护www服务器 588

d.8.2 保护ftp服务器 588

d.8.3 保护windows邮件服务器 589

d.8.4 ssl/tls的使用 590

d.9 windows网络的安全方法 590

d.9.1 internet连接共享 591

d.9.2 网络地址转换 592

d.9.3 路由选择和远程访问服务 592

d.9.4 internet验证服务和radius 594

d.9.5 internet协议安全 595

d.10 小结 596