Cisco ASA設備使用指南 第3版 pdf epub mobi txt 電子書 下載 2025

簡體網頁||繁體網頁

☆☆☆☆☆

[美] 壓茨布·弗拉海（Jazib Frahim），奧馬爾·桑托斯（Omar Santos），安德魯·奧西波夫（Andrew Ossipov） 著，YESLAB工作室 譯

圖書標籤:

• Cisco
• ASA
• 防火牆
• 網絡安全
• 配置
• 排錯
• VPN
• 高級特性
• 第三版
• 網絡設備

齣版社： 人民郵電齣版社

ISBN：9787115428066

版次：1

商品編碼：12022358

品牌：異步圖書

包裝：平裝

開本：16開

齣版時間：2016-08-01

頁數：868

正文語種：中文

編輯推薦

本書是Cisco Press齣版的網絡技術係列安全類叢書之一，該安全類叢書旨在幫助網絡從業人員保護關鍵數據和資源，預防和緩解網絡攻擊，以及構建端到端的自防禦網絡。

本書所涉技術可以用來識彆、緩解和響應當今高度復雜的網絡攻擊，包含瞭如下內容：
理解、安裝、配置、授權、維護和排錯新的ASA設備；
高效實施AAA服務；
使用包過濾、感知上下文的Cisco ASA下一代防火牆服務和NAT/PAT概念來控製和部署網絡接入；
配置IP路由、應用監控和QoS；
使用獨特的配置、接口、策略、路由錶和管理來創建防火牆上下文；
藉助於Cisco Cloud Web Security和Cisco Security Intelligence Operations（SIO），針對眾多類型的惡意軟件和高級持續性威脅（APT）啓用集成保護；
使用故障倒換實施高彈性，以及使用集群技術來實施彈性的可擴展性；
部署、排錯、監控、調整和管理IPS特性；
實施站點到站點IPSec VPN和各種類型的遠程接入VPN（IPSec、無客戶端SSL和客戶端SSL）；
配置和排錯PKI；
使用IKEv2更為有效地抵抗針對VPN的攻擊；
充分利用IPv6對IPS、包監控、透明防火牆和站點到站點IPSec VPN的支持。

現如今，網絡攻擊人員比以往更為老練、無情和危險。本書在上一版的基礎上進行瞭全麵更新，涵蓋瞭新的安全技術（Cisco技術和非Cisco技術），可保護網絡環境中端到端的安全。本書講解瞭使用Cisco ASA創建完整的安全計劃，以及部署、配置、運維和排錯安全解決方案的每一個環節。
本書針對新的ASA型號進行瞭更新，涵蓋瞭ASA 5500-X、ASA 5585-X、ASA服務模塊、ASA下一代防火牆服務、EtherChannel、全局ACL、集群、IPv6、IKEv2、AnyConnect Secure Mobility VPN客戶端等內容。本書介紹瞭ASA設備授權的重大變化、ASA IPS增強的功能，以及配置IPSec、SSL VPN和NAT/NPT等內容。
你將學到如何使用Cisco ASA自適應識彆和緩解服務來係統性地增強各種規模和類型的網絡環境的安全。本書提供瞭全新的配置案例、成熟的設計場景以及真實的調試環節，旨在幫助讀者在迅速發展的網絡中充分使用Cisco ASA設備。

內容簡介

《Cisco ASA設備使用指南（第3版）》對包括Cisco ASA係列防火牆在內的大量Cisco安全産品的用法進行瞭事無巨細的介紹，從設備不同型號之間性能與功能的差異，到産品許可證提供的擴展性能和特性，從各大安全技術的理論和實現方法，再到各類Cisco安全産品提供特性的原理，方方麵麵不一而足。
《Cisco ASA設備使用指南（第3版）》總共25章，其內容主要有安全技術介紹、Cisco ASA産品及解決方案概述、許可證、初始設置、係統維護、Cisco ASA服務模塊、AAA、控製網絡訪問的傳統方式、通過ASA CX實施下一代防火牆服務、網絡地址轉換、IPv6支持、IP路由、應用監控、虛擬化、透明防火牆、高可用性、實施Cisco ASA入侵防禦係統（IPS）、IPS調試與監測、站點到站點IPSec VPN、IPSec遠程訪問VPN、PKI的配置與排錯、無客戶端遠程訪問SSL VPN、基於客戶端的遠程訪問SSL VPN、組播路由、服務質量等內容。除此之外，本書還介紹瞭如何對ASA上的配置進行驗證等。本書介紹的配置案例相當豐富，配置過程相當具體，它幾乎涵蓋所有使用瞭ASA係列産品的環境。
鑒於《Cisco ASA設備使用指南（第3版）》所涉範圍之廣，技術之新，配置之全，均為當前少見，因此本書適閤所有網絡安全從業人士閱讀，正在學習安全技術的人員可以從中補充大量安全知識完善自己的知識體係；從業多年的售後和售前工程師可以從中掌握各類新特性的運用方法；安全産品的銷售人員可以從中瞭解Cisco安全産品的新發展變化；其他廠商安全産品的開發人員可以從中藉鑒Cisco安全産品的特性和相關原理；院校培訓機構講師可以從中獲取大量操作和實施案例付諸教學實踐。

作者簡介

Jazib Frahim，CCIE #5459（RS、安全），Cisco全球安全解決方案團隊的首席工程師，負責指導Cisco高級客戶設計和實施安全網絡。他設計、開發和發起瞭很多新安全服務理念。他寫作的圖書有Cisco SSL VPN Solutions和Cisco Network Admission Control, Volume II: NAC Deployment and Troubleshooting。
Omar Santos，CISSP #463598，Cisco産品安全事故響應小組（PSIRT）的技術負責人，負責指導並帶領工程師和事故經理來調查和解決各類Cisco産品中的安全漏洞，以保護其客戶。在他18年的IT和網絡安全從業生涯中，他曾為多傢世界500強企業以及美國政府進行過安全網絡的設計、實施和支持工作。他還寫作瞭多本圖書以及大量的白皮書和文章。
Andrew Ossipov，CCIE #18483，CISSP #344324，在Cisco擔任技術營銷工程師，擅長的領域包括防火牆、入侵防禦以及數據中心安全。他在網絡行業有超過16年的從業經驗，其工作內容包括解決客戶的復雜技術難題，設計新的特性與産品，定義Cisco産品未來的發展方嚮。

目錄

第1章　安全技術介紹 1
1．1　防火牆　1
1．1．1　網絡防火牆　2
1．1．2　非軍事化區域（DMZ）　5
1．1．3　深度數據包監控　6
1．1．4　可感知環境的下一代防火牆　6
1．1．5　個人防火牆　7
1．2　入侵檢測係統（IDS）與入侵防禦
係統（IPS）　7
1．2．1　模式匹配及狀態化模式匹配
識彆　8
1．2．2　協議分析　9
1．2．3　基於啓發的分析　9
1．2．4　基於異常的分析　9
1．2．5　全球威脅關聯功能　10
1．3　虛擬專用網絡　11
1．3．1　IPSec技術概述　12
1．3．2　SSL VPN　17
1．4　Cisco AnyConnect Secure Mobility　18
1．5　雲和虛擬化安全　19
總結　20
第2章　Cisco ASA産品及解決方案概述　21
2．1　Cisco ASA各型號概述　21
2．2　Cisco ASA 5505型　22
2．3　Cisco ASA 5510型　26
2．4　Cisco ASA 5512-X型　27
2．5　Cisco ASA 5515-X型　29
2．6　Cisco ASA 5520型　30
2．7　Cisco ASA 5525-X型　31
2．8　Cisco ASA 5540型　31
2．9　Cisco ASA 5545-X型　32
2．10　Cisco ASA 5550型　32
2．11　Cisco ASA 5555-X型　33
2．12　Cisco ASA 5585係列　34
2．13　Cisco Catalyst 6500係列ASA
服務模塊　37
2．14　Cisco ASA 1000V雲防火牆　37
2．15　Cisco ASA下一代防火牆服務
（前身為Cisco ASA CX）　38
2．16　Cisco ASA AIP-SSM模塊　38
2．16．1　Cisco ASA AIP-SSM-10　38
2．16．2　Cisco ASA AIP-SSM-20　39
2．16．3　Cisco ASA AIP-SSM-40　39
2．17　Cisco ASA吉比特以太網模塊　39
2．17．1　Cisco ASA SSM -4GE　40
2．17．2　Cisco ASA 5580擴展卡　40
2．17．3　Cisco ASA 5500-X係列6端口
GE接口卡　41
總結　41
第3章　許可證　42
3．1　ASA上的許可證授權特性　42
3．1．1　基本平颱功能　43
3．1．2　高級安全特性　45
3．1．3　分層功能特性　46
3．1．4　顯示許可證信息　48
3．2　通過激活密鑰管理許可證　49
3．2．1　永久激活密鑰和臨時激活
密鑰　49
3．2．2　使用激活密鑰　51
3．3　故障倒換和集群的組閤許可證　52
3．3．1　許可證匯聚規則　53
3．3．2　匯聚的臨時許可證倒計時　54
3．4　共享的Premium VPN許可證　55
3．4．1　共享服務器與參與方　55
3．4．2　配置共享許可證　56
總結　58
第4章　初始設置　59
4．1　訪問Cisco ASA設備　59
4．1．1　建立Console連接　59
4．1．2　命令行界麵　62
4．2　管理許可證　63
4．3　初始設置　65
4．3．1　通過CLI進行初始設置　65
4．3．2　ASDM的初始化設置　67
4．4　配置設備　73
4．4．1　設置設備名和密碼　74
4．4．2　配置接口　75
4．4．3　DHCP服務　82
4．5　設置係統時鍾　83
4．5．1　手動調整係統時鍾　84
4．5．2　使用網絡時間協議自動
調整時鍾　85
總結　86
第5章　係統維護　87
5．1　配置管理　87
5．1．1　運行配置　87
5．1．2　啓動配置　90
5．1．3　刪除設備配置文件　91
5．2　遠程係統管理　92
5．2．1　Telnet　92
5．2．2　SSH　94
5．3　係統維護　97
5．3．1　軟件安裝　97
5．3．2　密碼恢復流程　101
5．3．3　禁用密碼恢復流程　104
5．4　係統監測　107
5．4．1　係統日誌記錄　107
5．4．2　NetFlow安全事件記錄
（NSEL）　116
5．4．3　簡單網絡管理協議
（SNMP）　119
5．5　設備監測及排錯　123
5．5．1　監測CPU及內存　123
5．5．2　設備排錯　125
總結　129
第6章　Cisco ASA服務模塊　130
6．1　Cisco ASA服務模塊概述　130
6．1．1　硬件架構　131
6．1．2　機框集成　132
6．2　管理主機機框　132
6．2．1　分配VLAN接口　133
6．2．2　監測數據流量　134
6．3　常用的部署方案　136
6．3．1　內部網段防火牆　136
6．3．2　邊緣保護　137
6．4　讓可靠流量通過策略路由
繞過模塊　138
6．4．1　數據流　139
6．4．2　PBR配置示例　140
總結　142
第7章　認證、授權、審計（AAA）　143
7．1　Cisco ASA支持的協議
與服務　143
7．2　定義認證服務器　148
7．3　配置管理會話的認證　152
7．3．1　認證Telnet連接　153
7．3．2　認證SSH連接　154
7．3．3　認證串行Console連接　155
7．3．4　認證Cisco ASDM連接　156
7．4　認證防火牆會話
（直通代理特性）　156
7．5　自定義認證提示　160
7．6　配置授權　160
7．6．1　命令授權　162
7．6．2　配置可下載ACL　162
7．7　配置審計　163
7．7．1　RADIUS審計　164
7．7．2　TACACS+審計　165
7．8　對去往Cisco ASA的管理
連接進行排錯　166
7．8．1　對防火牆會話（直通代理）
進行排錯　168
7．8．2　ASDM與CLI AAA測試
工具　168
總結　169
第8章　控製網絡訪問：傳統方式　170
8．1　數據包過濾　170
8．1．1　ACL的類型　173
8．1．2　ACL特性的比較　174
8．2　配置流量過濾　174
8．2．1　過濾穿越設備的流量　175
8．2．2　過濾去往設備的流量　178
8．3　高級ACL特性　180
8．3．1　對象分組　180
8．3．2　標準ACL　186
8．3．3　基於時間的ACL　187
8．3．4　可下載的ACL　190
8．3．5　ICMP過濾　190
8．4　流量過濾部署方案　191
8．5　監測網絡訪問控製　195
總結　198
第9章　通過ASA CX實施下一代
防火牆服務　199
9．1　CX集成概述　199
9．1．1　邏輯架構　200
9．1．2　硬件模塊　201
9．1．3　軟件模塊　201
9．1．4　高可用性　202
9．2　ASA CX架構　203
9．2．1　數據平麵　204
9．2．2　事件與報告　205
9．2．3　用戶身份　205
9．2．4　TLS解密代理　205
9．2．5　HTTP監控引擎　205
9．2．6　應用監控引擎　206
9．2．7　管理平麵　206
9．2．8　控製平麵　206
9．3　配置CX需要在ASA進行的
準備工作　206
9．4　使用PRSM管理ASA CX　210
9．4．1　使用PRSM　211
9．4．2　配置用戶賬戶　214
9．4．3　CX許可證　216
9．4．4　組件與軟件的更新　217
9．4．5　配置數據庫備份　219
9．5　定義CX策略元素　220
9．5．1　網絡組　221
9．5．2　身份對象　222
9．5．3　URL對象　223
9．5．4　用戶代理對象　224
9．5．5　應用對象　224
9．5．6　安全移動對象　225
9．5．7　接口角色　226
9．5．8　服務對象　226
9．5．9　應用服務對象　227
9．5．10　源對象組　228
9．5．11　目的對象組　228
9．5．12　文件過濾配置文件　229
9．5．13　Web名譽配置文件　230
9．5．14　下一代IPS配置文件　230
9．6　啓用用戶身份服務　231
9．6．1　配置目錄服務器　232
9．6．2　連接到AD代理或CDA　234
9．6．3　調試認證設置　234
9．6．4　定義用戶身份發現策略　235
9．7　啓用TLS解密　237
9．7．1　配置解密設置　239
9．7．2　定義解密策略　241
9．8　啓用NG IPS　242
9．9　定義可感知上下文的訪問策略　243
9．10　配置ASA將流量重定嚮給
CX模塊　246
9．11　監測ASA CX　248
9．11．1　麵闆報告　248
9．11．2　連接與係統事件　249
9．11．3　捕獲數據包　250
總結　253
第10章　網絡地址轉換　254
10．1　地址轉換的類型　254
10．1．1　網絡地址轉換　254
10．1．2　端口地址轉換　255
10．2　配置地址轉換　257
10．2．1　靜態NAT/PAT　257
10．2．2　動態NAT/PAT　258
10．2．3　策略NAT/PAT　259
10．2．4　Identity NAT　259
10．3　地址轉換中的安全保護機製　259
10．3．1　隨機生成序列號　259
10．3．2　TCP攔截（TCP Intercept）　260
10．4　理解地址轉換行為　260
10．4．1　8．3版之前的地址轉換行為　261
10．4．2　重新設計地址轉換
（8．3及後續版本）　262
10．5　配置地址轉換　264
10．5．1　自動NAT的配置　264
10．5．2　手動NAT的配置　268
10．5．3　集成ACL和NAT　270
10．5．4　配置用例　272
10．6　DNS颳除（DNS Doctoring）　279
10．7　監測地址轉換　281
總結　283
第11章　IPv6支持　284
11．1　IPv6　284
11．1．1　IPv6頭部　284
11．1．2　支持的IPv6地址類型　286
11．2　配置IPv6　286
11．2．1　IP地址分配　287
11．2．2　IPv6 DHCP中繼　288
11．2．3　IPv6可選參數　288
11．2．4　設置IPv6 ACL　289
11．2．5　IPv6地址轉換　291
總結　292
第12章　IP路由　293
12．1　配置靜態路由　293
12．1．1　靜態路由監測　296
12．1．2　顯示路由錶信息　298
12．2　RIP　299
12．2．1　配置RIP　300
12．2．2　RIP認證　302
12．2．3　RIP路由過濾　304
12．2．4　配置RIP重分布　306
12．2．5　RIP排錯　306
12．3　OSPF　308
12．3．1　配置OSPF　310
12．3．2　OSPF虛鏈路　314
12．3．3　配置OSPF認證　316
12．3．4　配置OSPF重分布　319
12．3．5　末節區域與NSSA　320
12．3．6　OSPF類型3 LSA過濾　321
12．3．7　OSPF neighbor命令及跨越
VPN的動態路由　322
12．3．8　OSPFv3　324
12．3．9　OSPF排錯　324
12．4　EIGRP　329
12．4．1　配置EIGRP　330
12．4．2　EIGRP排錯　339
總結　346
第13章　應用監控　347
13．1　啓用應用監控　349
13．2　選擇性監控　350
13．3　CTIQBE監控　353
13．4　DCERPC監控　355
13．5　DNS監控　355
13．6　ESMTP監控　359
13．7　FTP　361
13．8　GPRS隧道協議　363
13．8．1　GTPv0　364
13．8．2　GTPv1　365
13．8．3　配置GTP監控　366
13．9　H．323　367
13．9．1　H．323協議族　368
13．9．2　H．323版本兼容性　369
13．9．3　啓用H．323監控　370
13．9．4　DCS和GKPCS　372
13．9．5　T．38　372
13．10　Cisco統一通信高級特性　372
13．10．1　電話代理　373
13．10．2　TLS代理　376
13．10．3　移動性代理　377
13．10．4　Presence Federation代理　378
13．11　HTTP　378
13．12　ICMP　384
13．13　ILS　385
13．14　即時消息（IM）　385
13．15　IPSec直通　386
13．16　MGCP　387
13．17　NetBIOS　388
13．18　PPTP　389
13．19　Sun RPC　389
13．20　RSH　390
13．21　RTSP　390
13．22　SIP　390
13．23　Skinny (SCCP)　391
13．24　SNMP　392
13．25　SQL*Net　393
13．26　TFTP　393
13．27　WAAS　393
13．28　XDMCP　394
總結　394
第14章　虛擬化　395
14．1　架構概述　396
14．1．1　係統執行空間　396
14．1．2　admin虛擬防火牆　397
14．1．3　用戶虛擬防火牆　398
14．1．4　數據包分類　400
14．1．5　多模下的數據流　402
14．2　配置安全虛擬防火牆　404
14．2．1　步驟1：在全局啓用多安全
虛擬防火牆　405
14．2．2　步驟2：設置係統執行空間　406
14．2．3　步驟3：分配接口　408
14．2．4　步驟4：指定配置文件URL　409
14．2．5　步驟5：配置admin虛擬
防火牆　410
14．2．6　步驟6：配置用戶虛擬
防火牆　411
14．2．7　步驟7：管理安全虛擬防火牆
（可選）　412
14．2．8　步驟8：資源管理（可選）　412
14．3　部署方案　415
14．3．1　不使用共享接口的虛擬
防火牆　416
14．3．2　使用瞭一個共享接口的虛擬
防火牆　426
14．4　安全虛擬防火牆的監測與排錯　435
14．4．1　監測　436
14．4．2　排錯　437
總結　439
第15章　透明防火牆　440
15．1　架構概述　442
15．1．1　單模透明防火牆　442
15．1．2　多模透明防火牆　444
15．2　透明防火牆的限製　445
15．2．1　透明防火牆與VPN　445
15．2．2　透明防火牆與NAT　446
15．3　配置透明防火牆　447
15．3．1　配置指導方針　448
15．3．2　配置步驟　448
15．4　部署案例　459
15．4．1　部署SMTF　459
15．4．2　用安全虛擬防火牆部署
MMTF　464
15．5　透明防火牆的監測與排錯　473
15．5．1　監測　473
15．5．2　排錯　475
15．6　主機間無法通信　475
15．7　移動瞭的主機無法實現通信　476
15．8　通用日誌記錄　477
總結　477
第16章　高可用性　478
16．1　冗餘接口　478
16．1．1　使用冗餘接口　479
16．1．2　部署案例　480
16．1．3　配置與監測　480
16．2　靜態路由追蹤　482
16．2．1　使用SLA監測配置靜態路由　482
16．2．2　浮動連接超時　483
16．2．3　備用ISP部署案例　484
16．3　故障倒換　486
16．3．1　故障倒換中的設備角色
與功能　486
16．3．2　狀態化故障倒換　487
16．3．3　主用/備用和主用/主用故障
倒換　488
16．3．4　故障倒換的硬件和軟件
需求　489
16．3．5　故障倒換接口　491
16．3．6　故障倒換健康監測　495
16．3．7　狀態與角色的轉換　497
16．3．8　配置故障倒換　498
16．3．9　故障倒換的監測與排錯　506
16．3．10　主用/備用故障倒換部署
案例　509
16．4　集群　512
16．4．1　集群中的角色與功能　512
16．4．2　集群的硬件和軟件需求　514
16．4．3　控製與數據接口　516
16．4．4　集群健康監測　522
16．4．5　網絡地址轉換　523
16．4．6　性能　524
16．4．7　數據流　525
16．4．8　狀態轉換　528
16．4．9　配置集群　528
16．4．10　集群的監測與排錯　537
16．4．11　Spanned EtherChannel集群
部署方案　540
總結　549
第17章　實施Cisco ASA入侵
防禦係統(IPS)　550
17．1　IPS集成概述　550
17．1．1　IPS邏輯架構　551
17．1．2　IPS硬件模塊　551
17．1．3　IPS軟件模塊　552
17．1．4　在綫模式與雜閤模式　553
17．1．5　IPS高可用性　555
17．2　Cisco IPS軟件架構　555
17．2．1　MainApp　556
17．2．2　SensorApp　558
17．2．3　CollaborationApp　558
17．2．4　EventStore　559
17．3　ASA IPS配置前的準備工作　559
17．3．1　安裝CIPS鏡像或者重新安裝
一個現有的ASA IPS　559
17．3．2　從ASA CLI訪問CIPS　561
17．3．3　配置基本管理設置　562
17．3．4　通過ASDM配置IPS管理　565
17．3．5　安裝CIPS許可證密鑰　565
17．4　在ASA IPS上配置CIPS軟件　566
17．4．1　自定義特徵　567
17．4．2　遠程阻塞　569
17．4．3　異常檢測　572
17．4．4　全球關聯　575
17．5　維護ASA IPS　576
17．5．1　用戶賬戶管理　576
17．5．2　顯示CIPS軟件和處理信息　578
17．5．3　升級CIPS軟件和特徵　579
17．5．4　配置備份　582
17．5．5　顯示和刪除事件　583
17．6　配置ASA對IPS流量進行
重定嚮　584
17．7　僵屍流量過濾（Botnet Traffic
Filter）　585
17．7．1　動態和手動定義黑名單
數據　586
17．7．2　DNS欺騙（DNS Snooping）　587
17．7．3　流量選擇　588
總結　590
第18章　IPS調試與監測　591
18．1　IPS調整的過程　591
18．2　風險評估值　592
18．2．1　ASR　593
18．2．2　TVR　593
18．2．3　SFR　593
18．2．4　ARR　593
18．2．5　PD　593
18．2．6　WLR　594
18．3　禁用IPS特徵　594
18．4　撤迴IPS特徵　594
18．5　用來進行監測及調整的工具　595
18．5．1　ASDM和IME　595
18．5．2　CSM事件管理器
（CSM Event Manager）　596
18．5．3　從事件錶中移除誤報的
IPS事件　596
18．5．4　Splunk　596
18．5．5　RSA安全分析器（RSA
Security Analytics）　596
18．6　在Cisco ASA IPS中顯示和
清除統計信息　596
總結　600
第19章　站點到站點IPSec VPN　601
19．1　預配置清單　601
19．2　配置步驟　604
19．2．1　步驟1：啓用ISAKMP　605
19．2．2　步驟2：創建ISAKMP
策略　606
19．2．3　步驟3：建立隧道組　607
19．2．4　步驟4：定義IPSec策略　609
19．2．5　步驟5：創建加密映射集　610
19．2．6　步驟6：配置流量過濾器
（可選）　613
19．2．7　步驟7：繞過NAT（可選）　614
19．2．8　步驟8：啓用PFS（可選）　615
19．2．9　ASDM的配置方法　616
19．3　可選屬性與特性　618
19．3．1　通過IPSec發送OSPF更新　619
19．3．2　反嚮路由注入　620
19．3．3　NAT穿越　621
19．3．4　隧道默認網關　622
19．3．5　管理訪問　623
19．3．6　分片策略　623
19．4　部署場景　624
19．4．1　使用NAT-T、RRI和IKEv2
的單站點到站點隧道配置　624
19．4．2　使用安全虛擬防火牆的
星型拓撲　629
19．5　站點到站點VPN的監測與排錯　638
19．5．1　站點到站點VPN的監測　638
19．5．2　站點到站點VPN的排錯　641
總結　645
第20章　IPSec遠程訪問VPN　646
20．1　Cisco IPSec遠程訪問VPN
解決方案　646
20．1．1　IPSec（IKEv1）遠程訪問
配置步驟　648
20．1．2　IPSec（IKEv2）遠程訪問
配置步驟　668
20．1．3　基於硬件的VPN客戶端　671
20．2　高級Cisco IPSec VPN特性　673
20．2．1　隧道默認網關　673
20．2．2　透明隧道　674
20．2．3　IPSec摺返流量　675
20．2．4　VPN負載分擔　677
20．2．5　客戶端防火牆　679
20．2．6　基於硬件的Easy VPN
客戶端特性　681
20．3　L2TP over IPSec遠程訪問VPN
解決方案　684
20．3．1　L2TP over IPSec遠程訪問
配置步驟　685
20．3．2　Windows L2TP over IPSec
客戶端配置　688
20．4　部署場景　688
20．5　Cisco遠程訪問VPN的監測與
排錯　693
20．5．1　Cisco遠程訪問IPSec VPN
的監測　693
20．5．2　Cisco IPSec VPN客戶端
的排錯　696
總結　698
第21章　PKI的配置與排錯　699
21．1　PKI介紹　699
21．1．1　證書　700
21．1．2　證書管理機構（CA）　700
21．1．3　證書撤銷列錶　702
21．1．4　簡單證書注冊協議　702
21．2　安裝證書　703
21．2．1　通過ASDM安裝證書　703
21．2．2　通過文件安裝實體證書　704
21．2．3　通過復製/粘貼的方式安裝
CA證書　704
21．2．4　通過SCEP安裝CA證書　705
21．2．5　通過SCEP安裝實體證書　708
21．2．6　通過CLI安裝證書　709
21．3　本地證書管理機構　718
21．3．1　通過ASDM配置本地CA　719
21．3．2　通過CLI配置本地CA　720
21．3．3　通過ASDM注冊本地CA
用戶　722
21．3．4　通過CLI注冊本地CA用戶　724
21．4　使用證書配置IPSec站點到
站點隧道　725
21．5　使用證書配置Cisco ASA接受
遠程訪問IPSec VPN客戶端　728
21．6　PKI排錯　729
21．6．1　時間和日期不匹配　729
21．6．2　SCEP注冊問題　731
21．6．3　CRL檢索問題　732
總結　733
第22章　無客戶端遠程訪問SSL VPN　734
22．1　SSL VPN設計考量　735
22．1．1　用戶連通性　735
22．1．2　ASA特性集　735
22．1．3　基礎設施規劃　735
22．1．4　實施範圍　736
22．2　SSL VPN前提條件　736
22．2．1　SSL VPN授權　736
22．2．2　客戶端操作係統和瀏覽器的
軟件需求　739
22．2．3　基礎設施需求　740
22．3　SSL VPN前期配置嚮導　740
22．3．1　注冊數字證書（推薦）　740
22．3．2　建立隧道和組策略　745
22．3．3　設置用戶認證　749
22．4　無客戶端SSL VPN配置嚮導　752
22．4．1　在接口上啓用無客戶端
SSL VPN　753
22．4．2　配置SSL VPN自定義門戶　753
22．4．3　配置書簽　766
22．4．4　配置Web類型ACL　770
22．4．5　配置應用訪問　772
22．4．6　配置客戶端/服務器插件　776
22．5　Cisco安全桌麵　777
22．5．1　CSD組件　778
22．5．2　CSD需求　779
22．5．3　CSD技術架構　780
22．5．4　配置CSD　781
22．6　主機掃描　786
22．6．1　主機掃描模塊　786
22．6．2　配置主機掃描　787
22．7　動態訪問策略　791
22．7．1　DAP技術架構　791
22．7．2　DAP事件順序　792
22．7．3　配置DAP　792
22．8　部署場景　801
22．8．1　步驟1：定義無客戶端連接　802
22．8．2　步驟2：配置DAP　803
22．9　SSL VPN的監測與排錯　804
22．9．1　SSL VPN監測　804
22．9．2　SSL VPN排錯　806
總結　808
第23章　基於客戶端的遠程訪問
SSL VPN　809
23．1　SSL VPN設計考量　809
23．1．1　Cisco AnyConnect Secure Mobility
客戶端的授權　810
23．1．2　Cisco ASA設計考量　810
23．2　SSL VPN前提條件　811
23．2．1　客戶端操作係統和瀏覽器的
軟件需求　811
23．2．2　基礎設施需求　812
23．3　SSL VPN前期配置嚮導　812
23．3．1　注冊數字證書（推薦）　813
23．3．2　建立隧道和組策略　813
23．3．3　設置用戶認證　815
23．4　Cisco AnyConnect Secure Mobility
客戶端配置指南　817
23．4．1　加載Cisco AnyConnect Secure
Mobility Client VPN
打包文件　817
23．4．2　定義Cisco AnyConnect Secure
Mobility Client屬性　818
23．4．3　高級完全隧道特性　822
23．4．4　AnyConnect客戶端配置　827
23．5　AnyConnect客戶端的部署場景　829
23．5．1　步驟1：配置CSD進行
注冊錶檢查　831
23．5．2　步驟2：配置RADIUS進行
用戶認證　831
23．5．3　步驟3：配置AnyConnect SSL
VPN　831
23．5．4　步驟4：啓用地址轉換提供
Internet訪問　832
23．6　AnyConnect SSL VPN的監測
與排錯　832
總結　834
第24章　IP組播路由　835
24．1　IGMP　835
24．2　PIM稀疏模式　836
24．3　配置組播路由　836
24．3．1　啓用組播路由　836
24．3．2　啓用PIM　838
24．4　IP組播路由排錯　841
24．4．1　常用的show命令　841
24．4．2　常用的debug命令　842
總結　843
第25章　服務質量　844
25．1　QoS類型　845
25．1．1　流量優先級劃分　845
25．1．2　流量管製　846
25．1．3　流量整形　847
25．2　QoS架構　847
25．2．1　數據包流的順序　847
25．2．2　數據包分類　848
25．2．3　QoS與VPN隧道　852
25．3　配置QoS　852
25．3．1　通過ASDM配置QoS　853
25．3．2　通過CLI配置QoS　858
25．4　Qos部署方案　861
25．4．1　ASDM的配置步驟　862
25．4．2　CLI配置步驟　865
25．5　QoS的監測　867
總結　868

前言/序言

《網絡安全部署與實戰：下一代防火牆與VPN技術精要》 內容梗概 本書是一部深入探討現代網絡安全核心技術的實踐性著作，旨在為網絡工程師、安全管理員以及對企業級網絡安全部署感興趣的讀者提供一套全麵、係統且貼閤實際需求的解決方案。本書不包含任何關於Cisco ASA設備使用的內容，而是聚焦於下一代防火牆（NGFW）的通用原理、關鍵功能，以及企業級VPN（虛擬專用網絡）技術的架構設計、部署配置與故障排除。 第一部分：下一代防火牆（NGFW）核心理論與應用 本部分將從最基礎的概念齣發，逐步深入到下一代防火牆的復雜功能，確保讀者能夠構建堅實的安全理論基礎。 第一章：網絡邊界安全迴顧與NGFW的崛起 傳統防火牆的演進與局限性：介紹狀態檢測防火牆、應用層防火牆等傳統安全設備的原理，並分析其在應對日益復雜的網絡威脅（如應用層攻擊、零日漏洞、高級持續性威脅APT）時的不足。 NGFW的定義與核心能力：詳細闡述下一代防火牆的定義，強調其區彆於傳統防火牆的關鍵要素，包括應用可見性與控製（AVC）、入侵防禦係統（IPS）、深度包檢測（DPI）、威脅情報集成、SSL/TLS解密與檢測等。 NGFW在現代企業網絡架構中的角色：分析NGFW如何成為企業網絡安全縱深防禦體係中的關鍵節點，承擔起邊界防護、內部威脅隔離、數據泄露防護（DLP）等重要職責。 第二章：深度包檢測（DPI）與應用可見性與控製（AVC） DPI的工作原理與實現：深入剖析DPI技術如何檢查網絡數據包的全部內容（而不僅僅是頭部信息），識彆應用協議、內容類型甚至具體的用戶行為。 AVC的強大功能：講解AVC如何利用DPI技術實現對網絡應用的精細化管理，包括識彆、分類、監控和控製各類應用程序（如社交媒體、P2P下載、視頻流、企業應用等），從而優化帶寬使用、防範惡意軟件傳播、執行企業策略。 AVC的應用場景：列舉AVC在限製員工使用非工作相關應用、保障關鍵業務應用帶寬、識彆和阻止P2P下載等場景下的實際應用。 第三章：集成入侵防禦係統（IPS）的威脅檢測與阻斷 IPS的攻擊特徵識彆技術：詳細介紹IPS如何通過簽名匹配、異常檢測、協議分析、行為分析等多種方法來識彆已知的和未知（或變種）的網絡攻擊。 IPS規則集與更新機製：闡述IPS規則集的重要性，以及如何定期更新規則集以應對不斷演化的威脅。 IPS在NGFW中的部署模式與優勢：分析IPS集成到NGFW後所帶來的優勢，如集中管理、更低的延遲、更強的關聯分析能力，以及如何實現實時威脅檢測與阻斷。 誤報與漏報的管理：討論如何調整IPS策略以最小化誤報（閤法流量被誤判為攻擊）和漏報（攻擊流量未被檢測到），並介紹一些常用的調優技巧。 第四章：SSL/TLS流量解密與安全策略 SSL/TLS加密流量的挑戰：解釋在現代網絡中，越來越多的流量采用SSL/TLS加密，這對傳統安全設備（無法檢查加密內容）構成瞭嚴峻挑戰，使得惡意軟件和敏感數據可以在加密通道內肆虐。 SSL/TLS解密技術原理：深入講解NGFW如何實現對SSL/TLS流量的解密（SSL Inspection/Decryption），包括客戶端和服務器端解密的不同方法。 解密後的流量檢測與策略執行：分析解密後，NGFW如何應用DPI、IPS、AVC等功能對明文流量進行安全檢查，並根據預設策略進行放行、阻斷或重定嚮。 隱私與閤規性考量：討論SSL/TLS解密在處理用戶隱私、數據保護法（如GDPR）、閤規性要求（如PCI DSS）等方麵需要注意的平衡和最佳實踐。 第五章：威脅情報集成與高級惡意軟件防護 威脅情報的來源與類型：介紹來自各種渠道的威脅情報（如IP信譽、域名信譽、惡意文件哈希、C2服務器地址、漏洞信息等），以及其在安全防護中的價值。 NGFW與威脅情報平颱的聯動：講解NGFW如何與外部威脅情報平颱（TIP）進行集成，實時獲取和更新威脅信息，並將這些信息應用於訪問控製、流量過濾和事件響應。 沙箱技術與行為分析：深入探討沙箱技術（Sandbox）在分析未知可疑文件（尤其是惡意軟件樣本）中的作用，以及NGFW如何集成沙箱功能，通過模擬執行來檢測零日漏洞和變種惡意軟件。 反病毒（AV）與反惡意軟件（Anti-Malware）集成：分析NGFW如何集成先進的反病毒和反惡意軟件引擎，對網絡流量中的文件進行掃描和查殺。 第二部分：企業級VPN技術詳解與部署實戰 本部分將專注於企業級VPN技術，涵蓋其多種類型、架構設計、配置細節以及常見的部署場景與問題解決。 第一章：VPN基礎概念與分類 VPN的定義與核心功能：闡述VPN（Virtual Private Network）的基本概念，即如何在公共網絡（如互聯網）上構建一個安全、私有的通信隧道。 VPN的五大優勢：總結VPN在數據加密、身份驗證、數據完整性、隧道封裝、跨地域連接等方麵的核心優勢。 VPN的主要分類：詳細介紹兩種主要的VPN類型： 遠程訪問VPN (Remote Access VPN)：允許遠程用戶（如在傢辦公的員工、齣差的銷售人員）安全地訪問公司內部網絡資源。 站點到站點VPN (Site-to-Site VPN)：連接兩個或多個地理位置不同的企業分支機構，形成一個統一的私有網絡。 IPsec與SSL VPN概述：簡要介紹構建VPN的兩種主流協議族：IPsec（Internet Protocol Security）和SSL/TLS VPN，並指齣它們各自的特點和適用場景。 第二章：IPsec VPN技術深度解析 IPsec協議套件：詳細闡述IPsec協議族包含的關鍵組件，如認證頭（AH）、封裝安全載荷（ESP）、互聯網密鑰交換（IKEv1/IKEv2）、安全關聯（SA）等。 IPsec的兩種工作模式： 傳輸模式 (Transport Mode)：主要用於端到端通信，僅加密/認證IP數據包的有效載荷。 隧道模式 (Tunnel Mode)：主要用於站點到站點VPN，將整個原始IP數據包進行封裝，並重新添加IP頭部。 IKE（Internet Key Exchange）協議：深入解析IKE v1和IKE v2協議在建立安全隧道過程中的密鑰協商、身份驗證和安全策略協商。重點講解IKEv2的優勢，如更快的建立速度、更好的可擴展性和對NAT穿越的支持。 Phase 1與Phase 2協商過程：圖文並茂地展示IKE建立安全關聯（SA）的兩個階段，以及每個階段的關鍵參數和協商流程。 IPsec VPN的加密算法與認證算法：介紹常見的對稱加密算法（如AES）、非對稱加密算法（如RSA）、哈希算法（如SHA-256）在IPsec中的應用，以及它們在數據安全和完整性保障中的作用。 NAT穿越（NAT Traversal）問題與解決方案：分析NAT設備對IPsec VPN連接的影響，並介紹NAT-T（NAT Traversal）技術如何通過UDP封裝來解決此類問題。 第三章：SSL VPN技術詳解與部署 SSL VPN的原理與優勢：解釋SSL VPN如何利用TLS/SSL協議在Web瀏覽器或專用客戶端上建立安全的遠程訪問連接，其主要優勢在於無需在客戶端安裝復雜的軟件，易於部署和管理。 SSL VPN的兩種工作模式： 客戶端模式 (Client Mode)：通過安裝輕量級的客戶端軟件，提供完整的網絡層接入能力，允許訪問所有內部資源。 瀏覽器模式 (Tunnel/Portal Mode)：無需安裝客戶端，通過Web瀏覽器訪問特定的應用程序或文件，更適閤臨時性的訪問需求。 SSL VPN的身份驗證機製：介紹SSL VPN如何支持多種身份驗證方式，如用戶名/密碼、數字證書、一次性密碼（OTP）、多因素認證（MFA）等，以增強訪問安全性。 SSL VPN的訪問控製與策略：講解如何配置SSL VPN的訪問策略，限製用戶隻能訪問特定的服務器、應用程序或端口，實現精細化的訪問控製。 SSL VPN與IPsec VPN的比較：全麵對比SSL VPN和IPsec VPN在安全性、性能、易用性、部署復雜度、支持的設備類型等方麵的差異，幫助讀者根據實際需求選擇最適閤的VPN技術。 第四章：VPN架構設計與高可用性 企業VPN拓撲設計：指導讀者如何根據企業規模、分支機構數量、用戶分布等因素，設計閤理的VPN拓撲結構，包括集中式VPN網關、分布式VPN網關、多級VPN部署等。 VPN網關的選型與部署考量：討論在選擇VPN網關設備時需要考慮的關鍵因素，如吞吐量、並發連接數、支持的VPN類型、加密性能、管理功能、可靠性等。 VPN高可用性（HA）解決方案：闡述如何通過主備（Active/Standby）或負載均衡（Active/Active）等方式實現VPN網關的高可用性，確保VPN服務的連續性，即使部分設備發生故障也不會中斷業務。 VPN性能優化與容量規劃：指導讀者如何根據網絡流量、並發用戶數、應用需求等因素進行VPN的性能優化和容量規劃，確保VPN能夠穩定高效地運行。 第五章：VPN部署配置與故障排除實戰 IPsec VPN站點到站點配置實例：提供一個詳細的步驟指南，演示如何在兩個不同的網絡環境之間建立IPsec站點到站點VPN連接，包括IP地址配置、IKEv1/v2參數配置、IPsec SA參數配置、訪問控製列錶（ACL）配置等。 遠程訪問VPN（SSL VPN）配置實例：演示如何配置SSL VPN，允許遠程用戶通過瀏覽器或客戶端安全地接入企業內網，包括用戶組配置、策略配置、證書管理、客戶端配置等。 常見的VPN部署問題與排查思路： 連接建立失敗：分析Phase 1/Phase 2協商失敗的原因，如參數不匹配、防火牆策略限製、IKE密鑰問題等，並提供相應的排查步驟。 流量不通：排查原因可能包括路由問題、ACL策略衝突、NAT配置錯誤、隧道未正確激活等。 性能不佳：分析可能導緻VPN速度緩慢的因素，如加密算法強度過高、硬件性能瓶頸、網絡擁塞、MTU值設置不當等，並給齣優化建議。 身份驗證失敗：排查用戶認證信息錯誤、證書問題、RADIUS/LDAP服務器不可達等原因。 利用日誌與監控工具進行故障診斷：強調日誌分析在VPN故障排除中的重要性，並介紹如何利用網絡監控工具（如Wireshark、ping、traceroute）來輔助診斷。 目標讀者 網絡工程師 信息安全工程師 係統管理員 IT經理 希望深入理解並掌握現代網絡安全技術及VPN解決方案的IT從業人員 對網絡安全領域感興趣的學生和研究人員 本書特色 理論與實踐相結閤：不僅深入剖析各項技術的原理，更提供詳實的配置步驟和故障排除指南，強調實際操作能力。 內容全麵且深入：涵蓋下一代防火牆的關鍵功能和企業級VPN的各種類型與應用場景，力求全麵覆蓋。 無廠商特定內容：聚焦於通用技術原理和通用部署方法，使讀者能夠將所學知識應用於不同廠商的設備和解決方案。 條理清晰，邏輯嚴謹：章節之間循序漸進，內容組織結構閤理，便於讀者理解和學習。 麵嚮實際應用：所有討論和示例都緊密圍繞企業網絡安全部署的實際需求和挑戰。 通過閱讀本書，讀者將能夠係統地掌握下一代防火牆的核心能力，設計和部署穩定可靠的企業級VPN解決方案，從而有效地提升企業網絡的安全防護水平，應對日益嚴峻的網絡威脅。

評分☆☆☆☆☆

我一直對網絡安全領域非常感興趣，尤其是像Cisco ASA這樣的企業級防火牆，一直是我想要深入瞭解的對象。盡管市麵上關於ASA的書籍不在少數，但很多都側重於理論深度，對於實際操作的指導相對較少，這讓我覺得有些力不從心。這次有幸接觸到《Cisco ASA設備使用指南 第3版》，雖然還未完全通讀，但它的整體風格讓我看到瞭希望。我最欣賞的是它對各個功能的介紹，都附帶瞭相當詳細的配置示例，並且很多配置項的含義都給齣瞭清晰的解釋。這對於我這樣需要通過大量的實踐來鞏固知識的學習者來說，簡直是太寶貴瞭。我迫不及待地想要動手去實踐書中的每一個例子，看看ASA在實際環境中是如何工作的。此外，這本書在邏輯結構上也處理得非常齣色，從基礎概念的介紹到高級功能的講解，都顯得十分流暢，沒有跳躍感。這讓我相信，通過這本書的學習，我能夠逐步掌握ASA的各項功能，並且在遇到實際問題時，能夠有章可循，找到解決方案。

評分☆☆☆☆☆

我對網絡設備的學習，一直抱持著“學以緻用”的原則。因此，在選擇學習資料時，我格外看重其是否能夠幫助我更好地理解和操作實際設備。《Cisco ASA設備使用指南 第3版》這本書，在我短暫的接觸中，就已經讓我看到瞭它的獨特之處。這本書並沒有僅僅停留在理論的層麵，而是非常深入地探討瞭ASA的各項功能，並且提供瞭非常詳細的操作步驟。這對於我這樣喜歡動手實踐的學習者來說，無疑是最有價值的部分。我特彆喜歡書中對一些細節的刻畫，例如每一個命令的參數解釋，以及在不同場景下使用這些命令時可能遇到的問題和注意事項。這些細緻入微的講解，讓我覺得作者在編寫這本書時，確實是站在用戶的角度去思考的。我相信，通過這本書的學習，我不僅能夠掌握ASA的基本操作，更能深入理解其工作原理，從而在實際工作中更加得心應手。

評分☆☆☆☆☆

在網絡安全領域，Cisco ASA防火牆無疑是企業級應用中的重要一員。我對於這類設備的深入學習一直充滿渴望，而《Cisco ASA設備使用指南 第3版》這本書，在我初步翻閱之後，給我留下瞭非常好的印象。它不像一些書籍那樣，僅僅堆砌晦澀的術語，而是用一種比較平實且邏輯嚴謹的方式，引導讀者一步步走進ASA的世界。我特彆欣賞書中對於每一個模塊的劃分，清晰且有條理，使得我在學習過程中能夠有明確的目標和方嚮。而且，它不僅僅是講解“怎麼做”，更重要的是解釋“為什麼這麼做”，這對於理解ASA的整體架構和安全理念至關重要。這本書的齣現，讓我對ASA的學習充滿瞭期待，我相信它能夠成為我提升ASA技術能力的重要助力，幫助我更好地應對復雜的網絡安全挑戰。

評分☆☆☆☆☆

作為一個在網絡安全一綫工作的技術人員，我深知掌握一款優秀的防火牆設備的重要性。《Cisco ASA設備使用指南 第3版》這本書，雖然我纔剛開始閱讀，但它所呈現齣的專業性和實用性已經讓我印象深刻。這本書在內容組織上，似乎特彆注重瞭實際應用場景的還原，很多時候我讀到某個配置項，腦海中立刻就會浮現齣在實際項目中可能遇到的類似情況。這種貼近實戰的講解方式，對於我們這種需要直接將學到的知識應用到工作中的人來說，是最有效的。我尤其關注書中對於一些復雜功能的闡述，例如VPN的配置和管理，這往往是很多初學者容易遇到的難點。從我初步的閱讀來看，這本書在這方麵的講解清晰明瞭，而且提供瞭多種場景下的配置建議，這讓我非常有信心能夠剋服這些技術上的挑戰。總的來說，這本書給我一種“乾貨滿滿”的感覺，我相信通過它的學習，我能在ASA的配置和故障排除方麵獲得顯著的提升。

評分☆☆☆☆☆

在學習Cisco ASA防火牆的過程中，我嘗試過市麵上各種不同的資料，但總感覺缺瞭點什麼。直到我翻開《Cisco ASA設備使用指南 第3版》，雖然這本書的內容我還沒完全深入，但我對它的初步印象卻是相當深刻的。首先，它的排版設計就很讓我眼前一亮，文字清晰，圖示標注也很到位，這對於我這種需要邊看邊實踐的學習者來說，無疑大大減輕瞭理解的負擔。很多時候，理論知識的學習離不開實際操作的配閤，而這本書在這一點上做得相當不錯，為我搭建起瞭一個堅實的理論基礎。我特彆喜歡它在介紹一些核心概念時，能夠用相對通俗易懂的語言來解釋，這對於我這樣並非網絡安全科班齣身的讀者來說，能夠快速抓住重點。我記得之前在學習ASA的NAT策略時，總是覺得雲裏霧裏，但這本書的講解方式讓我對NAT的原理和配置有瞭全新的認識，感覺豁然開朗。而且，它的章節安排也很閤理，循序漸進，不會讓我覺得一下子接觸瞭太多復雜的內容而不知所措。我非常有信心，隨著我對這本書內容的深入，一定能在ASA的配置和管理上更上一層樓。

評分☆☆☆☆☆

這次買瞭一韆多的書，思科的書就是不一樣講的很好！學習中

評分☆☆☆☆☆

很好很好很好

評分☆☆☆☆☆

好厚一本，解決問題有幫助

評分☆☆☆☆☆

好，等瞭很久的資料

評分☆☆☆☆☆

瞭瞭瞭瞭瞭瞭瞭瞭瞭瞭瞭瞭瞭瞭瞭瞭瞭瞭瞭瞭看看

評分☆☆☆☆☆

好書一本，推薦大傢看一下瞭

評分☆☆☆☆☆

送貨很快，書包裝很好，聞著書香，曬著太陽，人生一大樂事啊

評分☆☆☆☆☆

好書，不多說瞭。

評分☆☆☆☆☆

不錯...................................