Cisco IOS網(wǎng)絡(luò)安全

內(nèi)容概要

本書全面介紹了在Cisco網(wǎng)絡(luò)設(shè)備上如何配置Cisco IOS安全特性，以確保網(wǎng)絡(luò)安全的方法、技巧和命令。全書包括五部分：身份認(rèn)證、授權(quán)和統(tǒng)計(jì)，安全服務(wù)器協(xié)議，流量過濾，網(wǎng)絡(luò)數(shù)據(jù)加密以及其他安全特性。第一部分詳細(xì)介紹了配置身份認(rèn)證、授權(quán)和統(tǒng)計(jì)的方法以及命令；第二部分講述了配置RUDIUS、TACACS+、TACACS、擴(kuò)展TACAC以及Kerberos的方法和命令；第三部分討論了配置動(dòng)態(tài)訪問列表、反射訪問列表和TCP截取的方法和命令；第四部分詳細(xì)介紹了配置網(wǎng)絡(luò)數(shù)據(jù)加密的方法和命令；第五部分介紹了配置口令、權(quán)限、IP安全選項(xiàng)的方法以及使用的命令。
    本書內(nèi)容豐富，闡述詳細(xì)，可作為網(wǎng)絡(luò)管理人員的參考書或相關(guān)領(lǐng)域的培訓(xùn)教材。

書籍目錄

第1章 安全性概述1.1 本書內(nèi)容簡(jiǎn)介1.1.1 身份認(rèn)證、授權(quán)和統(tǒng)計(jì)1.1.2 安全服務(wù)器協(xié)議1.1.3 數(shù)據(jù)流過濾1.1.4 網(wǎng)絡(luò)數(shù)據(jù)加密1.1.5 其他安全特性1.2 創(chuàng)建有效的安全策略1.2.1 安全策略的性質(zhì)1.2.2 安全策略的兩個(gè)級(jí)別1.2.3 開發(fā)有效的安全策略的技巧1.3 認(rèn)識(shí)安全危險(xiǎn)和Cisco IOS 解決方案1.3.1 防止對(duì)網(wǎng)絡(luò)設(shè)備的未經(jīng)授權(quán)的訪問1.3.2 防止對(duì)網(wǎng)絡(luò)的未經(jīng)授權(quán)的訪問1.3.3 防止網(wǎng)絡(luò)數(shù)據(jù)竊聽1.3.4 防止欺騙性路由更新1.4 使用Cisco IOS軟件創(chuàng)建防火墻1.4.1 防火墻概述1.4.2 創(chuàng)建防火墻1.4.3 配置防火墻的其他指導(dǎo)原則第一部分 身份認(rèn)證、授權(quán)和統(tǒng)計(jì)（AAA）第2章 AAA概述2.1 AAA安全服務(wù)2.1.1 使用AAA的益處2.1.2 AAA基本原理2.1.3 方法列表2.2 從何處開始2.2.1 AAA配置過程概述2.2.2 啟用AAA2.2.3 停用AAA2.3 下一步工作第3章 配置認(rèn)證3.1 AAA身份認(rèn)證方法列表3.1.1 方法列表舉例3.1.2 配置AAA身份認(rèn)證的通用步驟3.2 AAA身份認(rèn)證方法3.2.1 使用AAA配置登錄身份認(rèn)證3.2.2 使用AAA配置PPP身份認(rèn)證3.2.3 使用AAA配置ARA身份認(rèn)證3.2.4 使用AAA配置NASI身份認(rèn)證3.2.5 啟用特權(quán)級(jí)口令保護(hù)3.2.6 啟用身份認(rèn)證覆蓋（override）3.2.7 啟用雙重身份認(rèn)證3.3 非AAA身份認(rèn)證方法3.3.1 配置線路口令保護(hù)3.3.2 建立用戶名身份認(rèn)證3.3.3 啟用CHAP或PAP身份認(rèn)證3.3.4 配置TACACS和擴(kuò)展TACACS口令保護(hù)3.4 身份認(rèn)證示例3.4.1 RADIUS身份認(rèn)證示例3.4.2 TACACS+身份認(rèn)證示例3.4.3 TACACS和擴(kuò)展TACACS身份認(rèn)證示例3.4.4 Kerberos身份認(rèn)證示例3.4.5 雙重身份認(rèn)證配置示例第4章 身份認(rèn)證命令4.1 aaa authentication arap4.2 aaa authentication enable default4.3 aaa authentication local-override4.4 aaa authentication login4.5 aaa authentication nasi4.6 aaa authentication password-prompt4.7 aaa authentication ppp4.8 aaa authentication username-prompt4.9 aaa new-model4.10 access-profile4.11 arap authentication4.12 login authentication4.13 login tacacs4.14 nasi authentication4.15 ppp authetication4.16 ppp chap hostname4.17 ppp chap password4.18 ppp chap refuse4.19 ppp chap wait4.20 ppp pap sent-username4.21 ppp use-tacacs第5章 配置授權(quán)5.1 AAA授權(quán)類型5.2 AAA授權(quán)方法5.3 AAA授權(quán)前的準(zhǔn)備工作5.4 AAA授權(quán)配置任務(wù)列表5.5 配置授權(quán)5.6 關(guān)閉全局配置命令授權(quán)5.7 授權(quán)屬性-值對(duì)（Attribute-Value Pair）5.8 授權(quán)配置示例5.8.1 TACACS+授權(quán)示例5.8.2 RADIUS授權(quán)示例5.8.3 Kerberos實(shí)例映射示例第6章 授權(quán)命令6.1 aaa authorization6.2 aaa authorization config-commands6.3 aaa new-model第7章 配置統(tǒng)計(jì)7.1 AAA統(tǒng)計(jì)類型7.1.1 網(wǎng)絡(luò)統(tǒng)計(jì)7.1.2 連接統(tǒng)計(jì)7.1.3 EXEC統(tǒng)計(jì)7.1.4 系統(tǒng)統(tǒng)計(jì)7.1.5 命令統(tǒng)計(jì)7.2 AAA統(tǒng)的準(zhǔn)備工作7.3 AAA統(tǒng)計(jì)配置任務(wù)列表7.4 啟用AAA統(tǒng)計(jì)7.4.1 禁止為用戶名字符串為空的用戶會(huì)話生成統(tǒng)計(jì)記錄 7.4.2 生成臨時(shí)統(tǒng)計(jì)記錄7.5 監(jiān)視統(tǒng)計(jì)7.6 統(tǒng)計(jì)屬性-值對(duì)7.7 統(tǒng)計(jì)配置示例第8章 統(tǒng)計(jì)命令8.1 aaa accounting8.2 aaa accounting suppress null-username8.3 aaa accounting update8.4 show accounting第二部分 安全服務(wù)器協(xié)議第9章 配置RADIUS9.1 RADIUS概述9.2 RADIUS操作9.3 RADIUS配置任務(wù)列表9.4 為RADIUS服務(wù)器通信配置路由器9.5 為廠商專用的RADIUS 服務(wù)器通信配置路由器9.6 配置路由器以便向RADIUS服務(wù)器 查詢靜態(tài)路由和IP地址 9.7 指定RADIUS身份驗(yàn)證9.8 指定RADIUS授權(quán)9.9 指定RADIUS統(tǒng)計(jì)9.10 RADIUS屬性9.11 廠商專用的RADIUS屬性9.12 RADIUS配置示例9.12.1 RADIUS身份驗(yàn)證和授權(quán)示例9.12.2 RADIUS AAA示例9.12.3 廠商專用的RADIUS配置示例第10章 RADIUS命令10.1 ip radius source-interface10.2 radius-server configure-nas10.3 radius-server dead-time10.4 radius-server host10.5 radius-server host non-standard10.6 radius-server key10.7 radius-server retransmit10.8 radius-server timeout第11章 配置TACACS+11.1 TACACS+概述11.2 TACACS+操作11.3 TACACS+配置任務(wù)列表11.4 指定TACACS+服務(wù)器主機(jī)11.5 設(shè)置TACACS+身份驗(yàn)證密匙11.6 指定TACACS+身份驗(yàn)證11.7 指定TACACS+授權(quán)11.8 指定TACACS+統(tǒng)計(jì)11.9 TACACS+ AV對(duì)11.10 TACACS+配置示例11.10.1 TACACS+身份驗(yàn)證示例11.10.2 TACACS+授權(quán)示例11.10.3 TACACS+統(tǒng)計(jì)示例11.10.4 TACACS+后臺(tái)程序配置示例第12章 配置TACACS和擴(kuò)展TACACS12.1 TACACS協(xié)議描述12.2 TACACS和擴(kuò)展TACACS配置任務(wù)列表12.3 設(shè)置用戶級(jí)TACACS口令保護(hù)12.4 關(guān)閉用戶級(jí)口令核查12.5 設(shè)置可選的口令驗(yàn)證12.6 設(shè)置特權(quán)級(jí)TACACS口令保護(hù)12.7 關(guān)閉特權(quán)級(jí)口令核查12.8 設(shè)置用戶操作通知12.9 設(shè)置用戶操作身份驗(yàn)證12.10 建立TACACS服務(wù)器主機(jī)12.11 限制嘗試登錄的次數(shù)12.12 指定登錄輸入時(shí)間12.13 啟用擴(kuò)展TACACS模式12.14 為PPP身份驗(yàn)證啟用擴(kuò)展TACACS12.15 為ARA身份驗(yàn)證啟用標(biāo)準(zhǔn)TACACS12.16 為ARA身份驗(yàn)證啟用擴(kuò)展TACACS12.17 啟用TACACS，以使用特定的IP地址12.18 TACACS配置示例第13章 TACACS、擴(kuò)展TACACS和TACACS+命令13.1 TACACS命令比較13.2 arap use-tacacs13.3 enable last-resort13.4 enable use-tacacs13.5 ip tacacs source-interface13.6 tacacs-server attempts13.7 tacacs-server authenticate13.8 tacacs-server directed-request13.9 tacacs-server extended13.10 tacacs-server host13.11 tacacs-server key13.12 tacacs-server last-resort13.13 tacacs-server login-timeout13.14 tacacs-server notify13.15 tacacs-server optional-passwords13.16 tacacs-server retransmit13.17 tacacs-server timeout第14章 配置Kerberos14.1 Kerberos概述14.2 Kerberos客戶支持操作14.2.1 向邊界路由器證明身份14.2.2 從KDC取得TGT14.2.3 向網(wǎng)絡(luò)服務(wù)證明身份14.3 Kerberos配置任務(wù)列表14.4 使用Kerberos命令配置KDC14.4.1 將用戶加入到KDC數(shù)據(jù)庫(kù)中14.4.2 在KDC中創(chuàng)建SRVTAB14.4.3 提取SRVTAB14.5 配置路由器，使之使用Kerberos協(xié)議14.5.1 定義Kerberos域14.5.2 復(fù)制SRVTAB文件14.5.3 指定Kerberos身份驗(yàn)證14.5.4 啟用證書轉(zhuǎn)發(fā)功能14.5.5 用Telnet登錄到路由器14.5.6 建立加密的Kerberized Telnet會(huì)話14.5.7 啟用強(qiáng)制性Kerberos身份驗(yàn)證14.5.8 啟用Kerberos實(shí)例映射14.6 監(jiān)視并維護(hù)Kerberos14.7 Kerberos配置示例14.7.1 定義Kerberos域示例14.7.2 復(fù)制SRVTAB文件示例14.7.3 Kerberos配置示例14.7.4 指定加密Telnet會(huì)話示例第15章 Kerberos命令15.1 clear kerberos creds15.2 connect15.3 kerberos clients mandatory15.4 kerberos credentials forward15.5 kerberos instance map15.6 kerberos local-realm15.7 kerberos preauth15.8 kerberos realm15.9 kerberos server15.10 kerberos srvtab entry15.11 kerberos srvtab remote15.12 key config-key15.13 show kerberos creds15.14 telnet第三部分 數(shù)據(jù)流過濾第16章 訪問控制列表：概述和指南16.1 本章內(nèi)容16.2 關(guān)于訪問控制列表16.2.1 訪問列表的功能16.2.2 為什么要配置訪問列表16.2.3 何時(shí)配置訪問列表16.2.4 基本訪問控制列表與高級(jí)訪問控制列表16.3 訪問列表配置概述16.3.1 創(chuàng)建訪問列表16.3.2 給每個(gè)訪問列表指定一個(gè)唯一的名稱或編號(hào)16.3.3 定義轉(zhuǎn)發(fā)包或阻斷分組的準(zhǔn)則16.3.4 在TFTP服務(wù)器上創(chuàng)建和編輯訪問列表語(yǔ)句16.3.5 將訪問列表用于接口16.4 查找訪問列表的完整配置和命令信息第17章 配置鎖定和密鑰安全性（動(dòng)態(tài)訪問列表）17.1 本章內(nèi)容17.2 關(guān)于鎖定和密鑰17.2.1 鎖定和密鑰優(yōu)點(diǎn)17.2.2 何時(shí)使用鎖定和密鑰17.2.3 鎖定和密鑰的工作原理17.3 Cisco IOS Release 11.1與早期版本的兼容性17.4 電子欺騙對(duì)鎖定和密鑰的威脅17.5 鎖定和密鑰對(duì)路由器性能的影響17.6 配置鎖定和密鑰前的準(zhǔn)備工作17.7 配置鎖定和密鑰17.7.1 鎖定和密鑰配置的注意事項(xiàng)17.8 驗(yàn)證鎖定和密鑰配置17.9 鎖定和密鑰的維護(hù)17.9.1 顯示動(dòng)態(tài)訪問列表?xiàng)l目17.9.2 手工刪除動(dòng)態(tài)訪問列表?xiàng)l目17.10 鎖定和密鑰配置示例17.10.1 使用本地身份驗(yàn)證的鎖定和密鑰示例17.10.2 使用TACACS+身份驗(yàn)證的鎖定和密鑰示例第18章 鎖定和密鑰命令18.1 access-enable18.2 access-template18.3 clear access-template18.4 show ip accounting第19章 配置IP會(huì)話過濾（反射訪問列表）19.1 本章的內(nèi)容19.2 關(guān)于反射訪問列表19.2.1 反射訪問列表的優(yōu)點(diǎn)19.2.2 什么是反射訪問列表19.2.3 反射訪問列表如何實(shí)現(xiàn)會(huì)話過濾19.2.4 在何處配置反射訪問列表19.2.5 反射訪問列表的工作原理19.2.6 使用反射訪問列表的限制19.3 配置反射訪問列表前的準(zhǔn)備工作19.3.1 選擇內(nèi)部接口還是外部接口19.4 配置反射訪問列表19.4.1 外部接口配置任務(wù)列表19.4.2 內(nèi)部接口配置任務(wù)列表19.4.3 定義反射訪問列表19.4.4 嵌套反射訪問列表19.4.5 設(shè)置全局超時(shí)值（可選）19.5 反射訪問列表配置示例19.5.1 外部接口配置示例19.5.2 內(nèi)部接口配置示例第20章 反射訪問列表命令20.1 evaluate20.2 ip reflexive-list timeout20.3 permit (reflexive)第21章 配置TCP截取（防止拒絕服務(wù)攻擊）21.1 本章內(nèi)容21.2 關(guān)于TCP截取21.3 TCP截取配置任務(wù)列表21.4 啟用TCP截取21.5 設(shè)置TCP截取模式21.6 設(shè)置TCP截取刪除模式21.7 更改TCP截取定時(shí)器21.8 更改TCP截取主動(dòng)閾值21.9 監(jiān)視和維護(hù)TCP截取21.10 TCP截取配置范例第22章 TCP截取命令22.1 ip tcp intercept connection-timeout22.2 ip tcp intercept drop-mode22.3 ip tcp intercept finrst-timeout22.4 ip tcp intercept list22.5 ip tcp intercept max-incomplete high22.6 ip tcp intercept max-incomplete low22.7 ip tcp intercept mode22.8 ip tcp intercept one-minute high22.9 ip tcp intercept one-minute low22.10 ip tcp intercept watch-timeout22.11 show tcp intercept connections22.12 show tcp intercept statistics第四部分 網(wǎng)絡(luò)數(shù)據(jù)加密第23章 配置網(wǎng)絡(luò)數(shù)據(jù)加密23.1 為什么要加密23.2 Cisco的加密實(shí)現(xiàn)23.2.1 什么被加密了23.2.2 分組在網(wǎng)絡(luò)的什么地方被加密和解密23.2.3 加密分組何時(shí)被交換23.2.4 加密路由器如何識(shí)別其他對(duì)等加密路由器23.2.5 Cisco加密實(shí)現(xiàn)了哪些標(biāo)準(zhǔn)23.2.6 Cisco加密如何工作23.3 配置加密前的準(zhǔn)備工作23.3.1 確定對(duì)等路由器23.3.2 考慮網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)23.3.3 確定每個(gè)對(duì)等路由器中的加密引擎23.3.4 理解實(shí)現(xiàn)要點(diǎn)和局限性23.4 配置加密23.4.1 生成DSS公鑰/私鑰23.4.2 交換DSS公鑰23.4.3 啟用DES加密算法23.4.4 定義加密映射表，并將它們指定給接口23.4.5 備份配置23.5 GRE隧道加密配置23.5.1 只對(duì)GRE隧道通信進(jìn)行加密23.5.2 對(duì)GRE隧道通信和其他通信都進(jìn)行加密23.6 VIP2中ESA加密配置23.6.1 重置ESA23.6.2 執(zhí)行其他的加密配置23.7 對(duì)Cisco 7200系列路由器上的ESA 進(jìn)行加密配置23.7.1 必須完成的任務(wù)23.7.2 可選任務(wù)23.7.3 重置ESA23.7.4 執(zhí)行其他加密配置23.7.5 啟用ESA23.7.6 選擇加密引擎23.7.7 刪除DSS密鑰23.8 定制加密（配置選項(xiàng)）23.8.1 定義加密會(huì)話的持續(xù)時(shí)間23.8.2 通過預(yù)先生成DH編號(hào)縮短會(huì)話的建立時(shí)間23.8.3 修改加密訪問列表的限制23.9 關(guān)閉加密23.10 加密測(cè)試和故障排除23.10.1 測(cè)試加密配置23.10.2 診斷連接故障23.10.3 使用調(diào)試命令23.11 加密配置示例23.11.1 生成DSS公鑰/私鑰示例23.11.2 交換DSS密鑰示例23.11.3 啟用DES加密算法示例23.11.4 建立加密訪問列表、定義加密映射表并將它用于接口的示例 23.11.5 修改加密訪問列表限制示例23.11.6 GRE隧道加密配置示例23.11.7 ESA特有加密配置任務(wù)示例23.11.8 刪除DSS密鑰示例23.11.9 測(cè)試加密連接示例第24章 網(wǎng)絡(luò)數(shù)據(jù)加密命令24.1 access-list（encryption）24.2 clear crypto connection24.3 crypto algorithm 40-bit-des24.4 crypto algorithm des24.5 crypto clear-latch24.6 crypto esa24.7 crypto gen-signature-keys24.8 crypto key-exchange24.9 crypto key-exchange passive24.10 crypto key-timeout24.11 crypto map(global configuration)24.12 crypto map(interface configuration)24.13 crypto pregen-dh-pairs24.14 crypto public-key24.15 crypto sdu connections24.16 crypto sdu entities24.17 crypto zeroize24.18 deny24.19 ip access-list extended(encryption)24.20 match address24.21 permit24.22 set algorithm 40-bit-des24.23 set algorithm des24.24 set peer24.25 show crypto algorithms24.26 show crypto card24.27 show crypto connections24.28 show crypto engine brief24.29 show crypto engine configuration24.30 show crypto engine connections active24.31 show crypto engine connections dropped-packets24.32 show crypto key-timeout24.33 show crypto map24.34 show crypto map interface24.35 show crypto map tag24.36 show crypto mypubkey24.37 show crypto pregen-dh-pairs24.38 show crypto pubkey24.39 show crypto pubkey name24.40 show crypto pubkey serial24.41 test crypto initiate-session第五部分 其他安全特性第25章 配置口令和權(quán)限25.1 保護(hù)對(duì)特權(quán)EXEC 命令的訪問25.1.1 設(shè)置或修改靜態(tài)有效口令25.1.2 使用有效口令和有效密鑰保護(hù)口令25.1.3 設(shè)置或修改線路口令25.1.4 為特權(quán)EXEC模式設(shè)置TACACS口令保護(hù)25.2 加密口令25.3 配置多重權(quán)限級(jí)別25.3.1 設(shè)置命令的權(quán)限級(jí)別25.3.2 修改線路的默認(rèn)權(quán)限級(jí)別25.3.3 顯示當(dāng)前的權(quán)限級(jí)別25.3.4 登錄到某個(gè)權(quán)限級(jí)別25.4 恢復(fù)丟失的有效口令25.4.1 恢復(fù)口令的步驟25.4.2 第一種口令恢復(fù)方法25.4.3 第二種口令恢復(fù)方法25.5 恢復(fù)丟失的線路口令25.6 配置標(biāo)識(shí)支持25.7 口令和權(quán)限配置示例25.7.1 多重權(quán)限級(jí)別示例25.7.2 用戶名示例第26章 口令和權(quán)限命令26.1 enable26.2 enable password26.3 enable secret26.4 ip identd26.5 password26.6 privilege level (global)26.7 privilege level (line)26.8 service password-encryption26.9 show privilege26.10 username第27章 鄰接路由器身份認(rèn)證--概述和指南27.1 本章內(nèi)容27.2 鄰接身份認(rèn)證的優(yōu)點(diǎn)27.3 使用鄰接身份認(rèn)證的協(xié)議27.4 何時(shí)配置鄰接身份認(rèn)證27.5 鄰接身份認(rèn)證的工作原理27.5.2 明文身份認(rèn)證27.5.2 MD5身份認(rèn)證27.6 密鑰管理（密鑰鏈）第28章 配置IP安全選項(xiàng)鄰28.1 本章的內(nèi)容28.2 配置基本IP安全選項(xiàng)28.2.1 啟用IPSO并設(shè)置安全機(jī)密級(jí)別28.2.2 指定如何處理IP安全選項(xiàng)28.3 配置擴(kuò)展IP安全選項(xiàng)28.3.1 配置全局默認(rèn)設(shè)置28.3.2 將ESO附加到接口28.3.3 將AESO附加到接口28.4 配置DNSIX審計(jì)跟蹤功能28.4.1 啟用DNSIX審計(jì)跟蹤功能28.4.2 指定接收審計(jì)跟蹤消息的主機(jī)28.4.3 指定傳輸參數(shù)28.5 IPSO配置示例28.5.1 示例128.5.2 示例2第29章 IP安全選項(xiàng)命令29.1 dnsix-dmdp retries29.2 dnsix-nat authorized-redirection29.3 dnsix-nat primary29.4 dnsix-nat secondary29.5 dnsix-nat source29.6 dnsix-nat transmit-count29.7 ip security add29.8 ip security aeso29.9 ip security dedicated29.10 ip security eso-info29.11 ip security eso-max29.12 ip security eso-min29.13 ip security extended-allowed29.14 ip security first29.15 ip security ignore-authorities29.16 ip security implicit-labelling29.17 ip security multilevel29.18 ip security reserved-allowed29.19 ip security strip29.20 show dnsix附錄A RADIUS屬性A.1 支持的RADIUS屬性A.2 RADIUS統(tǒng)計(jì)屬性A.3 RADIUS廠商專用特性附錄B TACACS+屬性-值對(duì)B.1 TACACS+屬性-值對(duì)B.2 TACACS+統(tǒng)計(jì)AV對(duì)

圖書封面

評(píng)論、評(píng)分、閱讀與下載

---

    Cisco IOS網(wǎng)絡(luò)安全 PDF格式下載

---