CCIE Security认证考试指南

第1章利用本书准备ccie网络安全认证笔试 3

1.1 ccie网络安全认证考试 4

1.2 ccie网络安全认证笔试考点 4

1.3 如何利用本书准备ccie网络安全认证笔试 6

第2章常用网络概念 9

2.1 "我已经知道这些了吗？" 10

2.2 网络基本概念-osi参考模型 17

2.2.1 第1层：物理层 17

2.2.2 第2层：数据链路层 17

2.2.3 第3层：网络层 18

2.2.4 第4层：传输层 19

2.2.5 第5层：会话层 19

2.2.6 第6层：表示层 19

2.2.7 第7层：应用层 19

2.2.8 tcp/ip模型与osi模型的比较 20

2.2.9 对等体与对等体通信实例 20

2.3 以太网概述 21

2.3.1 交换与桥接 22

2.3.2 网桥端口工作状态 24

2.3.3 快速以太通道 25

.2.4 internet协议（ip） 26

2.5 可变长度子网掩码（vlsm） 29

2.6 无类域间路由选择 30

2.7 传输控制协议（tcp） 31

2.7.1 tcp机制 31

2.8 tcp/ip服务 34

2.8.1 地址解析协议（arp） 35

2.8.2 反向arp 36

2.8.3 动态主机配置协议（dhcp） 36

2.8.4 热备用路由器协议（hsrp） 37

2.8.5 internet控制消息协议（icmp） 40

2.8.6 telnet 41

2.8.7 文件传输协议（ftp）和简易文件传输协议（tftp） 41

2.9 路由选择协议 41

2.9.1 路由选择信息协议（rip） 44

2.9.2 eigrp 47

2.9.3 ospf 51

2.9.4 边界网关协议（bgp） 57

2.10 isdn 60

2.10.1 基本速率和基群速率接口 60

2.10.2 isdn数据帧和数据帧格式 60

2.10.3 isdn的第2层协议 61

2.10.4 cisco ios的isdn命令 62

2.11 ip多播技术 63

2.12 异步通信和访问设备 63

2.13 基础知识总结 65

2.14 快速以太通道的要求 67

2.15 q&a 68

2.16 实践练习2-1：cisco路由器上的ip路由选择 73

2.17 实践练习2-1答案：cisco路由器的ip路由选择 74

第3章应用协议 77

3.1 "我已经知道这些了吗？" 77

3.2 域名系统（dns） 82

3.3 简易文件传输协议（tftp） 84

3.4 文件传输协议（ftp） 86

3.4.1 主动ftp 86

3.4.2 被动ftp 87

3.5 超文本传输协议（http） 88

3.6 安全套接字层（ssl） 90

3.7 简单网络管理协议（snmp） 90

3.7.1 snmp通知 91

3.7.2 snmp应用实例 94

3.8 简单邮件传输协议（smtp） 94

3.9 网络时间协议（ntp） .95

3.10 安全命令行解释(ssh) 98

3.11 基础知识总结 100

ccie_security_认证考试指南2

3.12 q&a .101

3.13 实践练习3-1：dns、tftp、ntp和snmp的配置 105

3.14 实践练习3-1答案 106

第4章cisco_ios的细节问题以及网络安全性 109

4.1 "我已经知道这些了吗？" 109

4.2 cisco硬件设施 113

4.2.1 随机存取存储器（ram） 113

4.2.2 非易失性随机存取存储器（nvram） 114

4.2.3 系统flash 114

4.2.4 中央处理器（cpu） 114

4.2.5 只读存储器（rom） 115

4.2.6 配置寄存器 116

4.2.7 cisco接口 118

4.2.8 文件的保存和加载 119

4.3 show和debug命令 120

4.3.1 路由器命令行接口（cli） 120

4.3.2 show命令 120

4.3.3 cisco路由器的调试 128

4.4 密码恢复 133

4.5 cisco路由器的基本安全特性 136

4.6 ip访问控制列表 139

4.6.1 cisco路由器上的访问控制列表 139

4.6.2 扩展访问控制列表 143

4.7 基础知识总结 145

4.8 q&a 146

4.9 实践练习4-1：cisco路由器上密码和访问控制列表的配置 148

4.10 实践练习4-1答案 149

第5章网络安全协议 153

5.1 "我已经知道这些了吗？" .153

5.2 验证、授权和记账（aaa） 160

5.2.1 验证 161

5.2.2 授权 162

5.2.3 记账 162

5.3 远程验证拨入用户服务（radius） 163

5.3.1 radius的配置 165

5.4 终端访问控制器访问控制系统+（tacacs+） 167

5.4.1 tacacs+的配置 169

目录3

5.4.2 tacacs+与radius的比较 172

5.5 kerberos 173

5.5.1 kerberos的配置 175

5.6 虚拟拨号专用网络（vpdn） 176

5.6.1 vpdn的配置 178

5.7 加密技术概述 180

5.7.1 数据加密标准（des）和三重数据加密标准（3des） 181

5.7.2 数字签名标准（dss） 182

5.7.3 消息摘要算法5（md5）和安全散列算法（sha） 183

5.7.4 diffie-hellman协议 184

5.7.5 ip安全ipsec 185

5.8 internet密钥交换（ike） 188

5.8.1 ike阶段i（包括类型1-6的消息） 188

5.8.2 ike阶段ii（包括类型1-3的消息） 189

5.8.3 cisco ios路由器ipsec的配置 192

5.9 证书登记协议（cep） 198

5.10 基础知识总结 198

5.11 q&a 200

5.12 实践练习5-1：cisco路由器的ipsec配置 206

5.13 实践练习5-1答案 209

第6章操作系统与cisco安全应用程序 213

6.1 "我已经知道这些了吗？" 213

6.2 unix 217

6.2.1 unix的命令结构 218

6.2.2 unix的权限 219

6.2.3 unix的文件系统 221

6.3 microsoft的nt系统 221

6.3.1 浏览与windows名称解析 222

6.3.2 windows nt的网络扩展问题 223

6.3.3 登录与权限 223

6.3.4 windows nt的用户和工作组 224

6.3.5 windows nt域的信任关系 225

6.4 常用的windows dos操作指令 225

6.5 windows与unix版本的cisco安全服务程序 227

6.6 cisco安全策略管理器（cspm） 229

6.7 cisco安全入侵检测系统和cisco安全扫描程序 229

6.7.1 netranger（cisco安全入侵检测系统） 229

6.7.2 netsonar（cisco安全扫描程序） 231

ccie_security_认证考试指南4

6.8 cisco安全转轮 232

6.9 基础知识总结 233

6.10 q&a 234

6.11 实践练习6-1：nt的文件访问权限 237

6.12 实践练习6-2：unix的文件访问权限 237

6.13 实践练习6-1答案 237

6.14 实践练习6-2答案 237

第7章网络安全技术 239

7.1 "我已经知道这些了吗？" 239

7.2 高级网络安全概念 243

7.3 网络地址转换（nat）和端口地址转换（pat） 246

7.3.1 cisco路由器上nat的工作情况 247

7.4 cisco专用internet交换机（pix） 249

7.4.1 pix防火墙的配置 252

7.4.2 cisco pix防火墙软件特性 258

7.5 cisco ios防火墙安全特性集 260

7.5.1 cbac的配置 261

7.6 公钥基础结构（pki） 262

7.7 虚拟专网（vpn） 263

7.8 基础知识总结 265

7.9 q&a 267

7.10 实践练习7-1：cisco pix的nat配置 270

7.11 实践练习7-1答案 271

第8章网络安全策略、漏洞及保护措施 273

8.1 "我已经知道这些了吗？" 273

8.2 网络安全策略 276

8.3 标准组织和事件响应组 277

8.3.1 事件响应组 278

8.3.2 互联网新闻组 278

8.4 安全漏洞、攻击方式以及常见的漏洞利用 279

8.5 入侵检测系统（ids） 282

8.6 保护cisco ios免受侵害 283

8.7 基础知识总结 288

8.8 q&a 289

8.9 实践练习8-1：通过ios配置对dos攻击进行实时监控 292

8.10 实践练习8-1答案 292

目录5

第9章ccie网络安全认证自学实验 297

9.1 如何使用本章的实验内容 297

9.2 实验的目的 298

9.2.1 ccie网络安全认证自学实验第i部分的目标 298

9.2.2 ccie网络安全认证自学实验第ii部分的目标 299

9.3 通用的实验规则和实验网络的创建 299

9.3.1 通信服务器 .301

9.4 ccie网络安全认证自学实验第i部分：基本网络连接（4小时） 302

9.4.1 基本帧中继网络的建立 302

9.4.2 网络的物理连接 .307

9.4.3 catalyst以太网交换机配置步骤1 307

9.4.4 catalyst以太网交换机配置步骤2 311

9.4.5 ip主机查询与dns的禁用 316

9.4.6 pix的配置 317

9.4.7 igp路由选择 .320

9.4.8 基本的isdn配置 .331

9.4.9 dhcp的配置 .337

9.4.10 bgp路由选择的配置 .337

9.5 ccie网络安全认证自学实验第ii部分：高级网络安全设计（4小时） 340

9.5.1 ip访问控制列表 .340

9.5.2 如何防御拒绝服务攻击 342

9.5.3 基于时间的访问控制列表 343

9.5.4 动态访问控制列表/锁定和开锁特性 345

9.5.5 r5上ios防火墙的配置 347

9.5.6 ipsec的配置 348

9.5.7 高级pix的配置 353

9.5.8 acs的配置 355

9.6 最终的配置内容 363

9.7 结束语 378

附录a 练习题答案 381

第2章"我已经知道这些了吗"测试答案 381

第2章q&a练习题答案 383

第3章"我已经知道这些了吗"测试答案 386

第3章q&a练习题答案 388

第4章"我已经知道这些了吗"测试答案 390

第4章q&a练习题答案 391

第5章"我已经知道这些了吗"测试答案 392

ccie_security_认证考试指南6

第5章q&a练习题答案 394

第6章"我已经知道这些了吗"测试答案 398

第6章q&a练习题答案 398

第7章"我已经知道这些了吗"测试答案 400

第7章q&a练习题答案 401

第8章"我已经知道这些了吗"测试答案 403

第8章q&a练习题答案 404

附录b ccie网络安全认证考试的学习技巧 407

b.1 获取ccie安全认证证书的过程 408

b.2 ccie网络安全认证笔试 408

b.2.1 攻克模糊性 409

b.2.2 ccie笔试的准备 411

b.2.3 参加ccie笔试考试 411

b.2.4 您通过了考试！ 412

b.2.5 您没有通过本次考试！ 412

b.2.6 ccie网络安全认证笔试的常见问题解答（faq） 413

b.3 ccie网络安全认证实验考试 413

b.3.1 ccie网络安全认证实验考试常见问题解答（faq） 414

附录c ccie路由与交换实验示例 419

c.1 基本的设置（1个小时） 421

c.1.1 通信服务器的配置（0.25小时） 421

c.1.2 物理连接（无时间） 421

c.1.3 catalyst以太网交换机的配置i（0.25小时） 422

c.1.4 catalyst以太网交换机的配置ii（0.25小时） 422

c.1.5 catalyst以太网msfc的设置（0.25小时） 423

c.2 ip的配置以及ip寻址的设定（无时间） 424

c.3 帧中继的配置（0.5小时） 424

c.4 基本的atm配置（0.5小时） 425

c.5 igp路由选择的配置（3小时） 425

c.5.1 rip的配置（0.5小时） 425

c.5.2 is-is的配置（0.5小时） 425

c.5.3 eigrp的配置（0.5小时） 425

c.5.4 ospf的配置（1.5小时） 426

c.6 基本的isdn配置（0.5小时） 426

c.7 dlsw+的配置（0.75小时） 427

c.8 flash的配置（0.2小时） 427

c.9 vty的修改（0.2小时） 427

目录7

c.10 http服务器的配置（0.2小时） 427

c.11 catalyst 6509的密码恢复（0.2小时） 427

c.12 私有地址空间的分配（0.2小时） 428

c.13 bgp路由选择的配置（0.75小时） 428

c.13.1 基本的ibgp配置（0.5小时） 428

c.13.2 ebgp的配置（0.25小时） 428

c.14 结束语 429