CCSP Cisco安全PIX防火墙认证考试指南

2.4.2 自适应安全算法（ASA）　14
2.4.3 贯穿式代理　14
2.4.4 冗余　15
第3章 Cisco安全PIX 防火墙　17
3.1 如何最好地使用本章　17
3.2 "我已经知道这些了吗？"测试　17
3.3 Cisco PIX防火墙概述　18
3.3.1 自适应安全算法（ASA）　18
3.3.2 贯穿式代理　19
3.4 Cisco PIX防火墙型号和特性　20
3.4.1 入侵保护　20
3.4.2 AAA支持　21
3.4.3 X.509证书支持　21
3.4.4 网络地址转换/端口地址转换　21
3.4.5 防火墙管理　21
3.4.6　简单网络管理协议（SNMP）　22
3.4.7　系统日志支持　22
3.4.8　虚拟专用网（VPN）　22
3.4.9　Cisco安全PIX 501　22
3.4.10　Cisco安全PIX 506　23
3.4.11　Cisco安全PIX 515　24
3.4.12　Cisco安全PIX 520　26
3.4.13　Cisco安全PIX 525　27
3.4.14　Cisco安全PIX 535　29
第4章 系统维护　33
4.1 如何最好地使用本章　33
4.2 "我已经知道这些了吗？"测试　33
4.3 访问Cisco PIX防火墙　34
4.3.1 用Telnet访问Cisco PIX防火墙　34
4.3.2 使用安全shell（SSH）访问Cisco PIX防火墙　35
4.4 安装一个新的操作系统　36
4.5 升级Cisco PIX OS　38
4.5.1 使用copy tftp flash命令升级OS　39
4.5.2 使用监控模式升级OS　39
4.5.3 使用一个HTTP客户端升级OS　41
4.6 使用Windows PC创建一个引导帮助盘　41
4.7 自动更新支持　42
4.8 密码恢复　42
4.8.1 Cisco PIX密码恢复：开始　43
4.8.2 有一个软盘驱动器的PIX（PIX520）密码恢复过程　43
4.8.3 无盘PIX（PIX521、506、515、525和535）密码恢复过程　44
第5章 理解Cisco PIX防火墙的转换和连接　49
5.1 如何最好地使用本章　49
5.2 "我已经知道这些了吗？"测试　49
5.3 PIX防火墙如何处理流量　50
5.3.1 接口安全等级和默认的安全策略　50
5.3.2 传输协议　50
5.4 地址转换　53
5.4.1 转换命令　54
5.4.2 网络地址转换　55
5.4.3 端口地址转换　56
5.4.4 静态转换　57
5.4.5 使用static命令实现端口重定向　58
5.4.6 在Cisco PIX防火墙上配置多个转换类型　58
5.4.7 双向网络地址转换　59
5.5 转换与连接　59
5.6 配置DNS支持　61
第6章 开始使用Cisco PIX 防火墙　67
6.1 "我已经知道这些了吗？"测试　67
6.2 访问模式　68
6.3 配置PIX防火墙　68
6.3.1 interface命令　69
6.3.2 nameif命令　70
6.3.3 ip address命令　70
6.3.4 nat命令　71
6.3.5 global命令　71
6.3.6 route命令　72
6.3.7 RIP　73
6.3.8 测试配置　73
6.3.9 保存配置　74
6.4 在Cisco PIX防火墙上配置DHCP　74
6.4.1 使用PIX防火墙DHCP服务器　74
6.4.2 配置PIX防火墙DHCP客户端　75
6.5 在Cisco PIX防火墙上配置时间设置　76
6.5.1 网络时间协议（NTP）　76
6.5.2 PIX防火墙系统时钟　77
6.6 PIX配置示例　78
第7章 访问配置　83
7.1 "我已经知道这些了吗"测试　83
7.2 配置经由PIX的入站访问　84
7.2.1 静态网络地址转换　84
7.2.2 静态端口地址转换　85
7.3 TCP拦截功能　86
7.3.1 nat 0命令　86
7.3.2 访问列表　87
7.4 TurboACL　89
7.4.1 配置单个TurboACL　89
7.4.2 全局配置TurboACL　90
7.5 对象分组　90
7.5.1 network对象类型　90
7.5.2 protocol对象类型　91
7.5.3 service对象类型　91
7.5.4 icmp-type对象类型　92
7.5.5 嵌套对象分组　92
7.6 fixup命令的使用　92
7.7 高级的协议处理　93
7.7.1 文件传送协议（FTP）　94
7.7.2 多媒体支持　94
第8章 系统日志（syslog）　99
8.1 "我已经知道这些了吗？"测试　99
8.2 syslog如何工作　100
8.2.1 日志部件　101
8.2.2 日志级别　101
8.3 配置Cisco PIX防火墙中的syslog　102
8.3.1 配置PIX设备管理器来观察日志　102
8.3.2 在控制台配置syslog消息　103
8.3.3 查看一个Telnet控制台会话的消息　103
8.3.4 配置Cisco PIX防火墙以发送syslog消息到log服务器　104
8.3.5 配置一个syslogd服务器　104
8.3.6 PIX防火墙系统日志服务器（PFSS）　105
8.4 配置SNMP陷阱和SNMP请求　105
8.5 如何组织log消息　106
8.6 如何阅读系统日志消息　106
8.7 禁止syslog消息　106
第9章 PIX防火墙故障切换　111
9.1 "我已经知道这些了吗"测试　112
9.2 什么引起故障切换事件　112
9.3 什么是故障切换配置所必需的　113
9.4 故障切换监控　113
9.5 配置复制　114
9.6 有状态的故障切换　114
9.7 基于LAN（LAN-Based）的故障切换　115
9.8 配置故障切换　116
第10章 虚拟专用网络　123
10.1 如何最好地使用本章　123
10.2 "我已经知道这些了吗？"测试　124
10.3 VPN技术概述　124
10.4 网络协议安全（IPSec）　125
10.5 Internet密钥交换（IKE）　127
10.6 证书颁发机构（CAs）　129
10.7 将防火墙配置为VPN网关　129
10.7.1 选择配置　130
10.7.2 配置IKE　130
10.7.3 配置IPSec　133
10.7.4 VPN连接疑难解析　139
10.8 Cisco VPN客户端　143
10.8.1 VPN组　143
10.8.2 点对点隧道协议（PPTP）和第2层隧道协议（L2TP）　144
10.9 为可扩展的VPN配置PIX防火墙　145
10.10 PPPoE支持　146
10.11 VPN配置　147
10.11.1 洛杉矶配置　153
10.11.2 波士顿配置　154
10.11.3 亚特兰大配置　154
10.12 配置行如何互相作用　160
第11章 PIX设备管理器　163
11.1 "我已经知道这些了吗？"测试　163
11.2 PDM概述　164
11.3 运行PDM的PIX防火墙的要求　165
11.3.1 PDM运行的要求　166
11.3.2 对浏览器的要求　166
11.3.3 对Windows的要求　166
11.3.4 对SUN Solaris的要求　166
11.3.5 对Linux的要求　167
11.4 PDM的安装和配置　167
11.5 使用PDM对VPN进行配置　177
11.5.1 使用PDM来创建一个站点到站点的VPN　177
11.5.2 使用PDM来创建远程访问VPN　181
第12章 Cisco PIX防火墙的内容过滤功能　193
12.1 "我已经知道这些了吗？"测试　193
12.2 过滤Java applet　194
12.3 过滤ActiveX对象　195
12.4 过滤URL　195
第13章 AAA及Cisco PIX防火墙概述　203
13.1 如何最好地使用本章　203
13.2 "我已经知道这些了吗？"测试　204
13.3 AAA与Cisco PIX防火墙概述　204
13.4 Cisco安全访问控制服务器（CSACS）　207
13.4.1 CSACS对硬件及操作系统的最低要求　207
13.4.2 在Windows 2000/NT服务器下安装CSACS　207
第14章 在PIX防火墙上配置AAA　215
14.1 如何最好地使用本章　215
14.2 "我已经知道这些了吗？"测试　216
14.3 指定AAA服务器　217
14.4 配置Cisco PIX防火墙上的AAA　217
14.4.1 步骤1：标识AAA服务器及NAS　217
14.4.2 步骤2：配置认证　219
14.4.3 步骤3：配置授权　225
14.4.4 步骤4：配置统计　231
14.5 Cisco安全及贯穿（Cut-through）配置　234
14.6 配置可下载PIX ACL　234
14.7 AAA设置疑难解析　236
14.7.1 检查PIX防火墙　236
14.7.2 检查CSACS　239
第15章 攻击保护及多媒体支持　243
15.1 "我已经知道这些了吗？"测试　243
15.2 Cisco PIX防火墙上的多媒体支持　244
15.2.1 实时流协议（RTSP）　245
15.2.2 H.323　245
15.3 攻击保护　246
15.3.1 分段保护及虚拟重组　247
15.3.2 域名系统（DNS）保护　247
15.3.3 邮件保护　248
15.3.4 泛洪防护　249
15.3.5 AAA FloodGuard　249
15.4 PIX防火墙的入侵检测特性　249
15.4.1 入侵检测配置　250
15.4.2 动态屏蔽（shuning）　251
15.4.3 ip verify reverse-path命令　252
附录A "我已经知道这些了吗？"测试和Q&A问题答案　257
附录B 案例研究与实例配置　291
术语表　319

.　　 · 第15章，"攻击防护和多媒体支持"--能够对网络和它的周边设备发动许多不同类型的攻击。本章讨论了大部常见的攻击，以及怎样配置PIX防火墙来抵制这些攻击。
　　 本书中每章都有相同的格式，并且融入了下面的特征，通过对你当前知识的评估和强调本章使你感兴趣的特殊领域来辅导你。
　　 · "我已经知道这些了吗?"测试--每章的开始都有一个测试，帮助你评估当前所掌握的本章的知识有多少。这个测试主要涉及所强调的特定领域，从而帮助你当开始本章的学习时确定把重点放在什么地方。
　　 · 基础知识点--这是每章的核心部分。它主要讲述为成功地准备考试而必须熟练掌握的特定协议、概念或者技巧。
　　 · 基础知识小结--在每章的结尾，都要将本章的基础知识点总结成重点集锦。在大部分情况下，基础知识点总结在表格中。但在另一些情况下，每章中的重点部分只在问题范围内简单地重申一下以强调它们的重要性。记住本书中每章的基础知识部分是帮助你为考试做准备的。虽然基础知识点和基础知识小结是你在考试前最后时刻复习的好工具，但是只学习这些就能成功地完成考试是不太可能的。
　　 · Q＆A--每章都以一系列测试你对本章材料理解程度的复习题结束。这些习题是确保你不但理解本章中的材料，而且是锻练你回忆事实的好方法。
　　 · 案例研究／场景--这些章更多的是讨论在简单场景中配置Cisco PIX防火墙。这些场景能够帮助你理解不同的配置选项，以及在防火墙的配置中每个构件是如何影响其他构件的。本书将要结束时的两个案例研究允许你练习配置防火墙执行特定的功能。这里也有一部分可行或者不可行的配置，你要正确地确定它们是否可行，并且为什么可行或者不可行。因为认证考试要问关于Cisco PIX防火墙的特殊问题，因此非常熟悉不同的命令和PIX配置的构件非常重要。
　　 · CD上的测试题--在本书所附的CD上，你会发现有超过200个题目的测试题，这些问题覆盖了CSPFA考试的重点。使用我们的可定制的考试引擎，你就能设计一个测试用例，它或者是集中于特定的问题领域，或者是一些随机的问题。每个测试题目有一个指向本书电子PDF版的相关部分的链接，它也包含在CD上。
　　 认证考试和这本备考指南
　　 每个认证考试的题目都会极其保密。就算你得到了这些题目并且通过了考试，一旦开始第一个需要PIX技巧的工作时你也会遇到许多困难。这也就是说要精通这些资料，而不仅仅是成功地通过考试。我们知道什么问题是通过这个考试所必须理解的，巧合的是，这些问题也是熟练掌握PIX防火墙所需要的。我们将这些问题分成"基础知识点"并且将它们贯穿于本书的始末。表1-1描述了每个基础知识点。
　　 Cisco认证过程概述
　　 网络安全市场当前的状况是对合格工程师的要求大大供不应求。因为这个原因，许多路由／网络方面的工程师正考虑转到网络安全方面。记住网络黄。圭只是简单地将安全应用到网络中。这听起来像是一个显而易见的概念，但如果你要致力于安全认证的话，理解这一点是非常重要的。在能够应用安全概念之前你必须非常熟悉网络。所有CCSP报考者必须首先通过Cisco认证网络工程师(CCNA)考试。完成CCNA所需要的技巧给了你坚实的基础，你能够让它扩展到网络安全领域。
　　 表1-2包含了一列CCSP认证系列的考试。因为所有的考试信息是由Cisco Systems管理的，因此易于发生变化。考生应该经常到Cisco Systems的站点，www．cisco．com／go／training，查找课程和考试的更新信息。
　　 参加CSPFA谁考试
　　 就像参加任何其他Cisco认证考试一样，在参加考试前最好做好充分的准备。没有办法知道在考试时会出什么样的题目，因此准备的最好方法是较好地掌握考试所涉及的全部考点知识。为考试做好计划，在参加考试前确保好好休息并对焦点问题作好了准备。
　　 找到Cisco培训和认证最新资料的最好地方是www,cisco．com／go／traning．。
　　 跟踪CCSP状况
　　 能够在https：／／www．certmanager．net／-cisco_s／login．html．上通过查阅认证跟踪系统(theCertification Tracking System)来跟踪你的认证程序。你必须创建一个帐户，使用你成绩报告单上的信息，在第一时间登录这个站点。考试结果在保持10天后会被更新。
　　 如何为这个考试做准备
　　 准备任何认证考试的最好方法是组合使用准备资料、实验室和练习题。本书融入了一些实际问题和实验室的实践，能够更好地帮助你做准备。如果可能的话，你应当有一些亲自参与Cisco PIX防火墙实践的时间。没有什么能够代替实践，当真正地看到PIX在运转时，你就能够更容易理解这些命令和概念。如果你没有权力使用一个PIX，那么就可以使用价格适当的大量模拟报文。最后，但不是最不重要的，Cisco．com提供了关于PIX和与它交互的所有产品大量信息。没有哪个单一的资料能够满足为CSPFA考试准备的需要，除非你已经有大量使用Cisco产品的经验和网络或者网络安全的背景。最起码，你应该使用本书和www．cisco．com／public／support／tac／home．shtml．为考试做准备。
　　 评估你的考试准备情况
　　 在完成了许多认证考试之后，我发现除非你解决了大约30％的问题，否则就不能真正知道是否为考试做了充分的准备。从这一点上讲，如果你没有准备好，那么就太晚了。首先，始终要确保为正确的考试做准备。本书帮助你为下面两种CSPFA考试评估准备情况：9E0-111和642-521。确定你准备情况的最好方法是通过"我已经知道这些了吗?"测验题、每章后面的Q＆A，以及案例研究和场景。最好是兢兢业业读完全书，除非你不做任何探讨或者查找任何答案就能够完成每个问题。
　　 现实世界的Cisco安全专家
　　 Cisco是Internet上最被公认的名字之一。没有看到一些Cisco认证你就不能进入一个数据中心或者服务器机房。Cisco认证的安全专家能够将相当多的知识带到讲桌上来，是归因于他们对网络和网络安全之间关系的深刻理解。这也是Cisco认证为什么会带来如此的影响力。Cisco认证向潜在的雇主和合同持有人证明了一个明确的专家地位和完成一个目标的专用要求。记住这一点：如果这些认证容易得到的话，那么每个人都会有。
　　 PIX和CiscoIOS软件命令
　　 防火墙或者路由器不是可以乱动的平常东西。在适当地配置好它们以后，你就会让它们单独工作，直到出问题或者需要做一些其他的配置更改。这也就是为什么问题标志(?)可能是最大量使用的Cisco IOS命令的原因。除非你经常地使用这个设备，否则很难记住配置设备和查找故障所需的众多命令。大部分的工程师只记住了完成正确方向所需的足够命令，然后使用(?)来调用正确的语法。这就是现实世界的生活。但是，(?)在测试环境下是不可用的。考试中的许多问题需要你选择最好的命令去执行某种功能。因此熟悉不同的命令以及它们各自的功能极其重要。
　　 本书中使用的约定
　　 本书使用Cisco Systems公司的下面语法约定：
　　 ·黑体表示用户逐字键入的一个命令或者关键字
　　 ·斜体表示用户提供值的一个命令参数或者选项。
　　 ·垂直线／管状符号(