CCSP自學指南：Cisco安全PIX防火墻（CSPFA）

第一部分 概 述
第1章 Cisco網(wǎng)絡安全方面的產(chǎn)品 3
1.1 為什么網(wǎng)絡安全是必需的 3
1.2 安全威脅的類型 4
1.3 網(wǎng)絡攻擊 4
1.3.1 偵查攻擊 5
1.3.2 訪問攻擊 5
1.3.3 DoS攻擊 5
1.4 實施網(wǎng)絡安全 6
1.4.1 保護（Securing）系統(tǒng) 7
1.4.2 監(jiān)控網(wǎng)絡 7
1.4.3 測試安全性 7
1.4.4 改進安全性 7
1.5 Cisco AVVID與SAFE 8
1.5.1 Cisco AVVID框架 8
1.5.2 SAFE計劃概述 9
1.5.3 SAFE的優(yōu)點 10
1.6 小結(jié) 10
1.7 復習題 11
第2章 Cisco PIX防火墻技術(shù)與特點 13
2.1 防火墻的種類 13
2.1.1 包過濾器 13
2.1.2 代理服務器 14
2.1.3 基于狀態(tài)的包過濾 15
2.2 PIX防火墻概述 15
2.2.1 Finesse操作系統(tǒng) 16
2.2.2 ASA 16
2.2.3 直通代理 16
2.2.4 基于狀態(tài)的包過濾 17
2.2.5 故障倒換（Failover） 17
2.3 小結(jié) 18
2.4 復習題 18

第3章 Cisco PIX防火墻系列
產(chǎn)品介紹 21
3.1 PIX防火墻500系列產(chǎn)品 21
3.1.1 PIX防火墻501 23
3.1.2 PIX 506 E防火墻 24
3.1.3 PIX 515E防火墻 25
3.1.4 PIX 525防火墻 28
3.1.5 PIX 535防火墻 30
3.2 FWSM 33
3.3 PIX防火墻許可證 35
3.3.1 基本的許可證選項 35
3.3.2 VPN許可證選項 36
3.4 小結(jié) 37
3.5 復習題 37
第二部分 PIX防火墻入門
第4章 在網(wǎng)絡中實施Cisco PIX
防火墻 41
4.1 設計考慮 41
4.2 DMZ 42
4.3 選擇合適的PIX防火墻型號 42
4.4 應用舉例 44
4.4.1 企業(yè)網(wǎng)應用舉例 45
4.4.2 大型公司網(wǎng)絡應用舉例 52
4.4.3 中小型商業(yè)網(wǎng)絡應用舉例 58
4.4.4 SOHO網(wǎng)絡應用舉例 62
4.5 小結(jié) 66
4.6 復習題 66
第三部分 防火墻配置
第5章 Cisco PIX防火墻入門 71
5.1 CLI 71
5.2 配置PIX防火墻 73
5.2.1 查看與保存配置 74
5.2.2 命令write erase與
tftp-server 74
5.2.3 命令write net與
configure net 75
5.2.4 命令name 76
5.2.5 命令reload 77
5.3 檢查PIX防火墻的狀態(tài) 77
5.3.1 命令show memory 77
5.3.2 show version 77
5.3.3 命令show ip address 78
5.3.4 命令show interface 78
5.3.5 命令show cpu usage 81
5.3.6 命令ping 81
5.4 時間設置和NTP支持 82
5.4.1 設置節(jié)約白天時間和時區(qū) 83
5.4.2 命令ntp 84
5.5 ASA安全級別 85
5.6 基本的PIX防火墻配置 87
5.6.1 命令nameif 87
5.6.2 命令interface 88
5.6.3 命令ip address 89
5.7 nat命令 90
5.7.1 global命令 92
5.7.2 route命令 92
5.8 Syslog命令 93
5.9 配置DHCP服務器 96
5.9.1 DHCP基礎知識 97
5.9.2 配置一臺PIX防火墻作為
DHCP服務器 98
5.9.3 DHCP中繼 102
5.10 PPPoE和PIX防火墻 103
5.10.1 在PIX防火墻上配置
PPPoE 104
5.10.2 監(jiān)控PPPoE客戶端 106
5.11 小結(jié) 108
5.12 復習題 108
5.13 實驗練習——Cisco PIX
防火墻入門 108
5.13.1 目標 109
5.13.2 實驗拓撲結(jié)構(gòu) 109
5.13.3 任務1——執(zhí)行常用的
命令 109
5.13.4 任務2——配置PIX防火
墻的接口 112
5.13.5 任務3——配置用于內(nèi)部
和外部接口的全局地址、
NAT和路由選擇 114
5.13.6 任務4——測試內(nèi)部、
外部接口的連接性 116
5.13.7 任務5——配置系統(tǒng)
日志輸出 117
5.13.8 任務6——配置將系統(tǒng)
日志輸出到一臺系統(tǒng)日志
服務器上 118
第6章 Cisco PIX設備管理器 121
6.1 PDM概述 121
6.2 PDM操作要求 123
6.2.1 Windows 系統(tǒng)的要求 124
6.2.2 Sun Solaris操作系統(tǒng)要求 124
6.2.3 Linux操作系統(tǒng)要求 125
6.2.4 總的指導方針 125
6.3 PDM的準備工作 125
6.4 使用PDM來配置PIX防火墻 128
6.4.1 配置 130
6.4.2 監(jiān)控 140
6.5 小結(jié) 142
6.6 復習題 142
6.7 實驗練習——用PDM配置
PIX防火墻 142
6.7.1 目標 142
6.7.2 實驗拓撲結(jié)構(gòu) 143
6.7.3 任務1——使用PDM安裝
向?qū)?143
6.7.4 任務2——使用PDM安裝
向?qū)砼渲靡粋€特權(quán)模式
密碼 145
6.7.5 任務3——配置出站NAT 145
6.7.6 任務4——通過PIX防火
墻測試連通性 147
6.7.7 任務5——配置和測試入
站訪問 147
6.7.8 任務6——配置入侵檢測 150
6.7.9 任務7——配置PDM監(jiān)控
制入侵檢測 151
第7章 轉(zhuǎn)換和連接 153
7.1 傳輸協(xié)議 153
7.1.1 TCP 153
7.1.2 UDP 155
7.2 NAT 156
7.2.1 動態(tài)內(nèi)部轉(zhuǎn)換 157
7.2.2 靜態(tài)內(nèi)部轉(zhuǎn)換 160
7.2.3 動態(tài)外部轉(zhuǎn)換 162
7.2.4 靜態(tài)外部轉(zhuǎn)換 163
7.2.5 標識NAT 165
7.2.6 策略NAT 165
7.2.7 轉(zhuǎn)換和連接 166
7.2.8 靜態(tài)和管道 168
7.3 配置DNS支持 170
7.3.1 使用alias命令實現(xiàn)DNS
支持 170
7.3.2 通過擴展的NAT和Static
命令完成DNS記錄轉(zhuǎn)換 174
7.4 PAT 175
7.4.1 使用外部接口地址實現(xiàn)
PAT 177
7.4.2 將子網(wǎng)映射到PAT地址上 177
7.4.3 使用多個PAT來備份PAT
地址 178
7.4.4 使用PAT擴大一個全局
地址池 178
7.5 端口重定向 179
7.6 配置多個接口 180
7.7 小結(jié) 182
7.8 復習題 183
7.9 實驗練習——配置通過PIX
防火墻的訪問 183
7.9.1 目標 184
7.9.2 實驗拓撲結(jié)構(gòu) 185
7.9.3 任務1——配置一個通道
來允許ICMP通過PIX
防火墻 185
7.9.4 任務2——配置PIX防火
墻來允許處于內(nèi)部接口上
的用戶可以訪問堡壘主機 186
7.9.5 任務3——配置PIX防火
墻來允許處于外部接口上
的用戶可以訪問堡壘主機 187
7.9.6 任務4——配置PIX防火墻
來允許處于外部接口上的
用戶可以訪問內(nèi)部的主機 188
第8章 訪問控制列表和內(nèi)容過濾 191
8.1 訪問控制列表 191
8.2 把conduit轉(zhuǎn)換成ACL 197
8.3 使用ACL 201
8.4 惡意活動代碼過濾 206
8.4.1 Java Applet過濾 206
8.4.2 ActiveX 過濾 206
8.5 URL過濾 207
8.6 小結(jié) 211
8.7 復習題 211
8.8 實驗練習——在PIX防火墻
上配置ACL 211
8.8.1 目標 213
8.8.2 實驗拓撲結(jié)構(gòu) 213
8.8.3 任務1——關(guān)閉到一個
接口的ping 214
8.8.4 任務2——配置入站ACL 215
8.8.5 任務3——測試并驗證
入站ACL 216
8.8.6 任務4——配置出站ACL 217
8.8.7 任務5——測試并驗證
出站ACL 218
第9章 對象分組 221
9.1 對象分組入門 221
9.2 嵌套式對象分組 227
9.3 小結(jié) 230
9.4 復習題 230
9.5 實驗練習——配置對象組 230
9.5.1 目標 232
9.5.2 實驗拓撲結(jié)構(gòu) 232
9.5.3 任務1——配置服務對象
分組 233
9.5.4 任務2——配置一個ICMP
類型對象分組 233
9.5.5 任務3——配置一個嵌套式
服務器對象分組 234
9.5.6 任務4——使用對象分組
配置一個入站ACL 235
9.5.7 任務5——配置到內(nèi)部
主機的Web和ICMP訪問 236
9.5.8 任務6——測試并檢查
入站ACL 237
第10章 路由選擇 239
10.1 路由選擇選項 239
10.1.1 靜態(tài)路由選擇 239
10.1.2 動態(tài)路由 241
10.2 IP組播協(xié)議 251
10.2.1 允許主機接收組播通信 252
10.2.2 為組播源轉(zhuǎn)發(fā)組播通信 254
10.2.3 配置其他的IGMP選項 255
10.2.4 查看SMR配置 256
10.3 小結(jié) 256
10.4 復習題 257
第四部分 高級配置
第11章 高級協(xié)議處理 261
11.1 高級協(xié)議 261
11.1.1 修正命令 262
11.1.2 FTP標準模式 264
11.1.3 FTP被動模式 265
11.1.4 FTP修正配置 265
11.1.5 rsh 266
11.1.6 SQL*Net 268
11.1.7 SIP 269
11.1.8 SCCP 269
11.2 多媒體協(xié)議支持 270
11.2.1 標準的RTP模式 271
11.2.2 RealNetworks RDT模式 272
11.2.3 RTSP Fixup Configuration 272
11.2.4 H.323 Fixup 273
11.3 小結(jié) 275
11.4 復習題 275
11.5 實驗練習——配置并且測試
Cisco PIX防火墻的高級協(xié)議
處理 275
11.5.1 目標 277
11.5.2 實驗拓撲結(jié)構(gòu) 277
11.5.3 任務1——顯示已配置的
修正協(xié)議 277
11.5.4 任務2——改變已配置的
修正協(xié)議 278
11.5.5 任務3——測試出站FTP
修正協(xié)議 278
11.5.6 任務4——測試入站FTP
修正協(xié)議 279
11.5.7 任務5——將修正協(xié)議
恢復成缺省設置 280
11.5.8 任務部分答案 280
第12章 攻擊保護、入侵監(jiān)測與
動態(tài)阻擋 283
12.1 攻擊保護 283
12.1.1 郵件保護 283
12.1.2 DNS保護 284
12.1.3 分段保護和虛擬重組 286
12.1.4 AAA洪泛保護 288
12.1.5 SYN洪泛保護 288
12.1.6 反欺騙 291
12.2 入侵檢測 292
12.3 動態(tài)阻擋 296
12.4 小結(jié) 297
12.5 復習題 298
12.6 實驗練習——配置入侵檢測 298
12.6.1 目標 300
12.6.2 實驗拓撲結(jié)構(gòu) 300
12.6.3 任務1——配置啟用
Cisco IDS信息特征碼，
發(fā)送Cisco IDS系統(tǒng)日
志到系統(tǒng)日志服務器 300
12.6.4 任務2——配置啟用
Cisco IDS攻擊特征碼，
發(fā)送Cisco IDS系統(tǒng)日
志到系統(tǒng)日志服務器 301
第13章 認證、授權(quán)與記帳 305
13.1 AAA基礎知識 305
13.2 直通代理操作過程 307
13.3 支持的AAA服務器 308
13.4 在Windows NT上安裝
CSACS 308
13.5 認證配置 315
13.5.1 其他服務的認證 318
13.5.2 控制臺訪問的認證 321
13.6 授權(quán)配置 324
13.6.1 添加授權(quán)規(guī)則 325
13.6.2 可下載的ACL 326
13.7 記帳配置 330
13.7.1 match acl_name選項 331
13.7.2 查看CSACS中的記帳
信息 331
13.8 查找AAA配置故障 332
13.9 小結(jié) 334
13.10 復習題 334
13.11 實驗練習——在PIX防火墻
上配置AAA 334
13.11.1 目標 336
13.11.2 實驗拓撲結(jié)構(gòu) 336
13.11.3 任務1——在運行
Windows 2000服務器的
機器上安裝CSACS 337
13.11.4 任務2——向CSACS
數(shù)據(jù)庫中添加用戶 337
13.11.5 任務3——標識AAA
服務器和協(xié)議 338
13.11.6 任務4——配置并測試
入站訪問的認證 338
13.11.7 任務5——配置并測試
出站訪問的認證 339
13.11.8 任務6——配置并測試
控制臺訪問的認證 340
13.11.9 任務7——配置并測試
虛擬Telnet認證 341
13.11.10 任務8——改變并測試
認證超時時間和提示
信息 341
13.11.11 任務9——配置ACS，
在認證的時候?qū)懭肟?br />下載的ACL 343
13.11.12 任務10——使用入站
訪問認證，驗證可下載
ACL的功能 343
13.11.13 任務11——配置并測試
記帳 345
第14章 故障倒換 347
14.1　理解故障倒換 347
14.1.1 故障倒換的IP地址 348
14.1.2 配置復制 348
14.1.3 狀態(tài)故障倒換 349
14.1.4 故障倒換接口測試 349
14.2 硬件要求 350
14.3 基于電纜的故障倒換配置 351
14.4 基于LAN的故障倒換配置 356
14.5 小結(jié) 360
14.6 復習題 360
14.7 實驗練習——配置基于
LAN的故障倒換 360
14.7.1 目標 361
14.7.2 實驗拓撲結(jié)構(gòu) 361
14.7.3 任務1——將主PIX防
火墻配置成基于LAN的
狀態(tài)故障倒換模式的備用
PIX防火墻 361
14.7.4 任務2——配置基于
LAN故障倒換的備用
PIX防火墻 365
14.7.5 任務3——測試基于
LAN狀態(tài)的故障倒換 366
14.7.6 任務4——讓主PIX
防火墻處于活動狀態(tài) 367
第五部分 VPN配置
第15章 虛擬專用網(wǎng) 371
15.1 利用PIX防火墻提供安全的
VPN 371
15.2 IPSec概述 372
15.2.1 支持的IPSec標準 374
15.2.2 IKE 374
15.2.3 DES 374
15.2.4 3DES 375
15.2.5 AES 375
15.2.6 D-H 375
15.2.7 MD5 375
15.2.8 SHA-1 375
15.2.9 RSA簽名 375
15.2.10 CA 376
15.2.11 NAT-T 376
15.2.12 SA 376
15.3 IKE概述 376
15.4 CA概述 377
15.5 小結(jié) 380
15.6 復習題 380
第16章 站到站VPN 383
16.1 IPSec配置任務 383
16.1.1 任務1——準備配置
VPN 384
16.1.2 任務2——配置IKE
參數(shù) 387
16.1.3 任務3——配置IPSec
參數(shù) 390
16.1.4 任務4——VPN配置的
測試與驗證 400
16.2 簡易VPN操作 400
16.3 使用PDM配置VPN 405
16.3.1 系統(tǒng)選項 405
16.3.2 創(chuàng)建變換集 408
16.4 創(chuàng)建加密圖 408
16.4.1 創(chuàng)建一個IPSec規(guī)則 409
16.4.2 VPN助手 410
16.4.3 簡易VPN 413
16.5 案例研究：使用預先共享
密鑰的三站點全網(wǎng)狀IPSec
隧道 414
16.5.1 網(wǎng)絡安全策略 415
16.5.2 波特蘭、西雅圖和圣何塞
防火墻上的配置舉例 415
16.6 小結(jié) 418
16.7 復習題 418
16.8 實驗練習——配置站到站
VPN 418
16.8.1 目標 419
16.8.2 實驗拓撲結(jié)構(gòu) 419
16.8.3 任務1——配置IKE
參數(shù) 419
16.8.4 任務2——配置IPSec
參數(shù) 420
16.8.5 任務3——IPSec配置的
測試和驗證 421
16.8.6 任務4——使用PDM
（可選） 423
16.8.7 任務5——使用PDM
VPN助手（可選） 423
第17章 客戶端遠程訪問VPN 425
17.1 Cisco VPN客戶端 425
17.2 配置遠程訪問VPN 428
17.3 使用PDM配置遠程訪問
VPN 437
17.4 小結(jié) 443
17.5 復習題 443
17.6 實驗練習——遠程訪問VPN 443
17.6.1 目標 444
17.6.2 實驗拓撲結(jié)構(gòu) 445
17.6.3 任務1——配置PIX
防火墻 445
17.6.4 任務2——在CSACS中
創(chuàng)建用戶 447
17.6.5 任務3——驗證配置 447
17.6.6 任務4——在主機1上
安裝Cisco VPN客戶端 449
17.6.7 任務5——配置Cisco
VPN客戶端 449
17.6.8 任務6——檢查Cisco
VPN客戶端的屬性 450
17.6.9 任務7——啟動Cisco
VPN客戶端 450
17.6.10 任務8——驗證VPN
連接 450
17.6.11 任務9——使用PDM
重新配置遠程接入VPN
連接（可選項） 451
第六部分 PIX系統(tǒng)管理
第18章 系統(tǒng)維護 455
18.1 遠程訪問 455
18.1.1 Telnet 455
18.1.2 SSH 457
18.2 命令授權(quán) 460
18.2.1 使用特權(quán)級密碼進行
命令授權(quán) 461
18.2.2 使用本地用戶數(shù)據(jù)庫的
命令授權(quán) 463
18.2.3 使用CSACS進行命令
認證 464
18.2.4 查看命令授權(quán)配置 466
18.3 SNMP 466
18.3.1 MIB支持 468
18.3.2 配置SNMP 469
18.4 管理工具 472
18.4.1 PDM 472
18.4.2 Cisco安全策略管理器 472
18.4.3 防火墻的管理中心 473
18.5 激活密鑰 473
18.6 密碼恢復和映像升級 476
18.6.1 密碼恢復步驟 476
18.6.2 映像升級 477
18.7 小結(jié) 478
18.8 復習題 478
18.9 實驗練習——系統(tǒng)維護 479
18.9.1 目標 480
18.9.2 實驗拓撲結(jié)構(gòu) 480
18.9.3 任務1——使用密碼
配置特權(quán)級命令授權(quán) 481
18.9.4 任務2——測試特權(quán)級
命令授權(quán) 482
18.9.5 任務3——為加密SSH
會話生成RSA密鑰對 484
18.9.6 任務4——建立到PIX
防火墻的SSH連接 485
18.9.7 任務5——配置使用本地
用戶數(shù)據(jù)庫的命令授權(quán) 486
18.9.8 任務6——測試使用本地
用戶數(shù)據(jù)庫的命令授權(quán) 487
18.9.9 任務7——恢復密碼 490
18.9.10 任務8——更新PIX
防火墻的軟件映像 492
第19章 企業(yè)網(wǎng)絡中的PIX防火墻
管理 495
19.1 防火墻MC簡介 495
19.2 主要概念和特點 496
19.3 安裝 497
19.3.1 安裝要求 497
19.3.2 安裝過程 498
19.4 啟動 499
19.5 防火墻MC導航 503
19.6 防火墻MC任務流程 505
19.6.1 任務1——創(chuàng)建新活動 506
19.6.2 任務2——創(chuàng)建設備組 510
19.6.3 任務3——導入和管理
設備 511
19.6.4 任務4——配置構(gòu)建模塊 517
19.6.5 任務5——配置設置 526
19.6.6 任務6——配置訪問和
翻譯規(guī)則 542
19.6.7 任務7和8——創(chuàng)建并
查看配置，提交活動，
請求批準 550
19.6.8 任務9和10——創(chuàng)建
一個工作并提交工作，
請求批準 552
19.6.9 任務11——部署工作 555
19.7 報告、工具和管理 556
19.7.1 報告 556
19.7.2 支持 557
19.7.3 管理：工作流設置 558
19.7.4 管理：維護 559
19.8 小結(jié) 560
19.9 復習題 560
19.10 實驗練習——企業(yè)PIX
防火墻管理 561
19.10.1 目標 561
19.10.2 實驗拓撲結(jié)構(gòu) 561
19.10.3 任務1——安裝防火墻
MC 562
19.10.4 任務2——Bootstrap
PIX防火墻 562
19.10.5 任務3——啟動防火墻
MC 563
19.10.6 任務4——打開一個
活動，創(chuàng)建一個組 564
19.10.7 任務5——導入PIX
防火墻 564
19.10.8 任務6——配置內(nèi)部和
外部接口 565
19.10.9 任務7——配置服務
定義、服務組和地址
翻譯池building塊 565
19.10.10 任務8——創(chuàng)建翻譯
規(guī)則 567
19.10.11 任務9——配置PIX
防火墻，允許HTTP
和CiscoWorks數(shù)據(jù)流
訪問內(nèi)部主機 567
19.10.12 任務10——配置全局
安全策略 568
19.10.13 任務11——批準一個
活動，創(chuàng)建一項工作并
部署工作 569
19.10.14 任務12——測試PIX
防火墻配置 570
第20章 企業(yè)網(wǎng)中的PIX防火墻
維護 573
20.1 AUS介紹 573
20.1.1 安裝概述 574
20.1.2 安裝要求 574
20.1.3 客戶端訪問要求 574
20.1.4 安裝過程 575
20.2 AUS初始配置設置 575
20.2.1 防火墻MC和AUS通信 575
20.2.2 激活AUS 576
20.2.3 AUS和PIX防火墻通信 576
20.2.4 PIX防火墻的惟一標識 578
20.2.5 部署PIX防火墻的配置 579
20.3 開始 580
20.3.1 CiscoWorks登錄 580
20.3.2 AUS界面 581
20.4 設備、映像和分配 582
20.4.1 AUS設備 582
20.4.2 AUS映像 583
20.4.3 AUS分配 584
20.5 報告和管理 587
20.5.1 報告——系統(tǒng)信息 587
20.5.2 報告——事件報告 588
20.5.3 管理——NAT設置 590
20.5.4 管理——改變AUS
數(shù)據(jù)庫密碼 590
20.6 小結(jié) 591
20.7 復習題 592
20.8 實驗練習——企業(yè)網(wǎng)中的
PIX防火墻維護 592
20.8.1 目標 593
20.8.2 實驗拓撲結(jié)構(gòu) 594
20.8.3 任務1——安裝AUS 594
20.8.4 任務2——配置防火墻
MC和PIX防火墻使用
AUS 595
20.8.5 任務3——驗證PIX
防火墻和AUS之間的
操作 596
20.8.6 任務4——向AUS中
添加PIX防火墻和
PDM映像 596
20.8.7 任務5——分配映像到
設備 597
第七部分 專 題
第21章 防火墻服務模塊 601
21.1 FWSM概述 601
21.2 FWSM和PIX防火墻特性
比較 602
21.3 對Catalyst 6500交換機的
要求 603
21.4 網(wǎng)絡模塊 603
21.5 配置FWSM 606
21.5.1 初始化FWSM 606
21.5.2 配置交換機VLAN 608
21.5.3 配置FWSM接口 610
21.6 使用PDM管理FWSM 610
21.7 排查FWSM故障 611
21.7.1 重新設置并重啟FWSM 611
21.7.2 內(nèi)存測試 612
21.8 小結(jié) 612
21.9 復習題 612
第22章 SOHO網(wǎng)絡中的PIX
防火墻 615
22.1 PIX防火墻模型 615
22.2 PIX防火墻針對SOHO
網(wǎng)絡的特性 616
22.2.1 PIX設備管理器 616
22.2.2 把PIX防火墻作為簡單
VPN遠端設備 617
22.2.3 PIX防火墻PPPoE
客戶端 617
22.2.4 PIX防火墻DHCP
服務器 617
22.2.5 PIX防火墻的DHCP
中繼 618
22.2.6 PIX防火墻DHCP
客戶端 618
22.3 小結(jié) 619
22.4 復習題 619
第八部分 附 錄
附錄A 復習題答案 623
附錄B 安全資源 633