Cisco ASA设备使用指南 第3版 pdf epub mobi txt 电子书 下载 2025

简体网页||繁体网页

☆☆☆☆☆

[美] 压茨布·弗拉海（Jazib Frahim），奥马尔·桑托斯（Omar Santos），安德鲁·奥西波夫（Andrew Ossipov） 著，YESLAB工作室 译

图书标签:

• Cisco
• ASA
• 防火墙
• 网络安全
• 配置
• 排错
• VPN
• 高级特性
• 第三版
• 网络设备

出版社： 人民邮电出版社

ISBN：9787115428066

版次：1

商品编码：12022358

品牌：异步图书

包装：平装

开本：16开

出版时间：2016-08-01

页数：868

正文语种：中文

编辑推荐

本书是Cisco Press出版的网络技术系列安全类丛书之一，该安全类丛书旨在帮助网络从业人员保护关键数据和资源，预防和缓解网络攻击，以及构建端到端的自防御网络。

本书所涉技术可以用来识别、缓解和响应当今高度复杂的网络攻击，包含了如下内容：
理解、安装、配置、授权、维护和排错新的ASA设备；
高效实施AAA服务；
使用包过滤、感知上下文的Cisco ASA下一代防火墙服务和NAT/PAT概念来控制和部署网络接入；
配置IP路由、应用监控和QoS；
使用独特的配置、接口、策略、路由表和管理来创建防火墙上下文；
借助于Cisco Cloud Web Security和Cisco Security Intelligence Operations（SIO），针对众多类型的恶意软件和高级持续性威胁（APT）启用集成保护；
使用故障倒换实施高弹性，以及使用集群技术来实施弹性的可扩展性；
部署、排错、监控、调整和管理IPS特性；
实施站点到站点IPSec VPN和各种类型的远程接入VPN（IPSec、无客户端SSL和客户端SSL）；
配置和排错PKI；
使用IKEv2更为有效地抵抗针对VPN的攻击；
充分利用IPv6对IPS、包监控、透明防火墙和站点到站点IPSec VPN的支持。

现如今，网络攻击人员比以往更为老练、无情和危险。本书在上一版的基础上进行了全面更新，涵盖了新的安全技术（Cisco技术和非Cisco技术），可保护网络环境中端到端的安全。本书讲解了使用Cisco ASA创建完整的安全计划，以及部署、配置、运维和排错安全解决方案的每一个环节。
本书针对新的ASA型号进行了更新，涵盖了ASA 5500-X、ASA 5585-X、ASA服务模块、ASA下一代防火墙服务、EtherChannel、全局ACL、集群、IPv6、IKEv2、AnyConnect Secure Mobility VPN客户端等内容。本书介绍了ASA设备授权的重大变化、ASA IPS增强的功能，以及配置IPSec、SSL VPN和NAT/NPT等内容。
你将学到如何使用Cisco ASA自适应识别和缓解服务来系统性地增强各种规模和类型的网络环境的安全。本书提供了全新的配置案例、成熟的设计场景以及真实的调试环节，旨在帮助读者在迅速发展的网络中充分使用Cisco ASA设备。

内容简介

《Cisco ASA设备使用指南（第3版）》对包括Cisco ASA系列防火墙在内的大量Cisco安全产品的用法进行了事无巨细的介绍，从设备不同型号之间性能与功能的差异，到产品许可证提供的扩展性能和特性，从各大安全技术的理论和实现方法，再到各类Cisco安全产品提供特性的原理，方方面面不一而足。
《Cisco ASA设备使用指南（第3版）》总共25章，其内容主要有安全技术介绍、Cisco ASA产品及解决方案概述、许可证、初始设置、系统维护、Cisco ASA服务模块、AAA、控制网络访问的传统方式、通过ASA CX实施下一代防火墙服务、网络地址转换、IPv6支持、IP路由、应用监控、虚拟化、透明防火墙、高可用性、实施Cisco ASA入侵防御系统（IPS）、IPS调试与监测、站点到站点IPSec VPN、IPSec远程访问VPN、PKI的配置与排错、无客户端远程访问SSL VPN、基于客户端的远程访问SSL VPN、组播路由、服务质量等内容。除此之外，本书还介绍了如何对ASA上的配置进行验证等。本书介绍的配置案例相当丰富，配置过程相当具体，它几乎涵盖所有使用了ASA系列产品的环境。
鉴于《Cisco ASA设备使用指南（第3版）》所涉范围之广，技术之新，配置之全，均为当前少见，因此本书适合所有网络安全从业人士阅读，正在学习安全技术的人员可以从中补充大量安全知识完善自己的知识体系；从业多年的售后和售前工程师可以从中掌握各类新特性的运用方法；安全产品的销售人员可以从中了解Cisco安全产品的新发展变化；其他厂商安全产品的开发人员可以从中借鉴Cisco安全产品的特性和相关原理；院校培训机构讲师可以从中获取大量操作和实施案例付诸教学实践。

作者简介

Jazib Frahim，CCIE #5459（RS、安全），Cisco全球安全解决方案团队的首席工程师，负责指导Cisco高级客户设计和实施安全网络。他设计、开发和发起了很多新安全服务理念。他写作的图书有Cisco SSL VPN Solutions和Cisco Network Admission Control, Volume II: NAC Deployment and Troubleshooting。
Omar Santos，CISSP #463598，Cisco产品安全事故响应小组（PSIRT）的技术负责人，负责指导并带领工程师和事故经理来调查和解决各类Cisco产品中的安全漏洞，以保护其客户。在他18年的IT和网络安全从业生涯中，他曾为多家世界500强企业以及美国政府进行过安全网络的设计、实施和支持工作。他还写作了多本图书以及大量的白皮书和文章。
Andrew Ossipov，CCIE #18483，CISSP #344324，在Cisco担任技术营销工程师，擅长的领域包括防火墙、入侵防御以及数据中心安全。他在网络行业有超过16年的从业经验，其工作内容包括解决客户的复杂技术难题，设计新的特性与产品，定义Cisco产品未来的发展方向。

目录

第1章　安全技术介绍 1
1．1　防火墙　1
1．1．1　网络防火墙　2
1．1．2　非军事化区域（DMZ）　5
1．1．3　深度数据包监控　6
1．1．4　可感知环境的下一代防火墙　6
1．1．5　个人防火墙　7
1．2　入侵检测系统（IDS）与入侵防御
系统（IPS）　7
1．2．1　模式匹配及状态化模式匹配
识别　8
1．2．2　协议分析　9
1．2．3　基于启发的分析　9
1．2．4　基于异常的分析　9
1．2．5　全球威胁关联功能　10
1．3　虚拟专用网络　11
1．3．1　IPSec技术概述　12
1．3．2　SSL VPN　17
1．4　Cisco AnyConnect Secure Mobility　18
1．5　云和虚拟化安全　19
总结　20
第2章　Cisco ASA产品及解决方案概述　21
2．1　Cisco ASA各型号概述　21
2．2　Cisco ASA 5505型　22
2．3　Cisco ASA 5510型　26
2．4　Cisco ASA 5512-X型　27
2．5　Cisco ASA 5515-X型　29
2．6　Cisco ASA 5520型　30
2．7　Cisco ASA 5525-X型　31
2．8　Cisco ASA 5540型　31
2．9　Cisco ASA 5545-X型　32
2．10　Cisco ASA 5550型　32
2．11　Cisco ASA 5555-X型　33
2．12　Cisco ASA 5585系列　34
2．13　Cisco Catalyst 6500系列ASA
服务模块　37
2．14　Cisco ASA 1000V云防火墙　37
2．15　Cisco ASA下一代防火墙服务
（前身为Cisco ASA CX）　38
2．16　Cisco ASA AIP-SSM模块　38
2．16．1　Cisco ASA AIP-SSM-10　38
2．16．2　Cisco ASA AIP-SSM-20　39
2．16．3　Cisco ASA AIP-SSM-40　39
2．17　Cisco ASA吉比特以太网模块　39
2．17．1　Cisco ASA SSM -4GE　40
2．17．2　Cisco ASA 5580扩展卡　40
2．17．3　Cisco ASA 5500-X系列6端口
GE接口卡　41
总结　41
第3章　许可证　42
3．1　ASA上的许可证授权特性　42
3．1．1　基本平台功能　43
3．1．2　高级安全特性　45
3．1．3　分层功能特性　46
3．1．4　显示许可证信息　48
3．2　通过激活密钥管理许可证　49
3．2．1　永久激活密钥和临时激活
密钥　49
3．2．2　使用激活密钥　51
3．3　故障倒换和集群的组合许可证　52
3．3．1　许可证汇聚规则　53
3．3．2　汇聚的临时许可证倒计时　54
3．4　共享的Premium VPN许可证　55
3．4．1　共享服务器与参与方　55
3．4．2　配置共享许可证　56
总结　58
第4章　初始设置　59
4．1　访问Cisco ASA设备　59
4．1．1　建立Console连接　59
4．1．2　命令行界面　62
4．2　管理许可证　63
4．3　初始设置　65
4．3．1　通过CLI进行初始设置　65
4．3．2　ASDM的初始化设置　67
4．4　配置设备　73
4．4．1　设置设备名和密码　74
4．4．2　配置接口　75
4．4．3　DHCP服务　82
4．5　设置系统时钟　83
4．5．1　手动调整系统时钟　84
4．5．2　使用网络时间协议自动
调整时钟　85
总结　86
第5章　系统维护　87
5．1　配置管理　87
5．1．1　运行配置　87
5．1．2　启动配置　90
5．1．3　删除设备配置文件　91
5．2　远程系统管理　92
5．2．1　Telnet　92
5．2．2　SSH　94
5．3　系统维护　97
5．3．1　软件安装　97
5．3．2　密码恢复流程　101
5．3．3　禁用密码恢复流程　104
5．4　系统监测　107
5．4．1　系统日志记录　107
5．4．2　NetFlow安全事件记录
（NSEL）　116
5．4．3　简单网络管理协议
（SNMP）　119
5．5　设备监测及排错　123
5．5．1　监测CPU及内存　123
5．5．2　设备排错　125
总结　129
第6章　Cisco ASA服务模块　130
6．1　Cisco ASA服务模块概述　130
6．1．1　硬件架构　131
6．1．2　机框集成　132
6．2　管理主机机框　132
6．2．1　分配VLAN接口　133
6．2．2　监测数据流量　134
6．3　常用的部署方案　136
6．3．1　内部网段防火墙　136
6．3．2　边缘保护　137
6．4　让可靠流量通过策略路由
绕过模块　138
6．4．1　数据流　139
6．4．2　PBR配置示例　140
总结　142
第7章　认证、授权、审计（AAA）　143
7．1　Cisco ASA支持的协议
与服务　143
7．2　定义认证服务器　148
7．3　配置管理会话的认证　152
7．3．1　认证Telnet连接　153
7．3．2　认证SSH连接　154
7．3．3　认证串行Console连接　155
7．3．4　认证Cisco ASDM连接　156
7．4　认证防火墙会话
（直通代理特性）　156
7．5　自定义认证提示　160
7．6　配置授权　160
7．6．1　命令授权　162
7．6．2　配置可下载ACL　162
7．7　配置审计　163
7．7．1　RADIUS审计　164
7．7．2　TACACS+审计　165
7．8　对去往Cisco ASA的管理
连接进行排错　166
7．8．1　对防火墙会话（直通代理）
进行排错　168
7．8．2　ASDM与CLI AAA测试
工具　168
总结　169
第8章　控制网络访问：传统方式　170
8．1　数据包过滤　170
8．1．1　ACL的类型　173
8．1．2　ACL特性的比较　174
8．2　配置流量过滤　174
8．2．1　过滤穿越设备的流量　175
8．2．2　过滤去往设备的流量　178
8．3　高级ACL特性　180
8．3．1　对象分组　180
8．3．2　标准ACL　186
8．3．3　基于时间的ACL　187
8．3．4　可下载的ACL　190
8．3．5　ICMP过滤　190
8．4　流量过滤部署方案　191
8．5　监测网络访问控制　195
总结　198
第9章　通过ASA CX实施下一代
防火墙服务　199
9．1　CX集成概述　199
9．1．1　逻辑架构　200
9．1．2　硬件模块　201
9．1．3　软件模块　201
9．1．4　高可用性　202
9．2　ASA CX架构　203
9．2．1　数据平面　204
9．2．2　事件与报告　205
9．2．3　用户身份　205
9．2．4　TLS解密代理　205
9．2．5　HTTP监控引擎　205
9．2．6　应用监控引擎　206
9．2．7　管理平面　206
9．2．8　控制平面　206
9．3　配置CX需要在ASA进行的
准备工作　206
9．4　使用PRSM管理ASA CX　210
9．4．1　使用PRSM　211
9．4．2　配置用户账户　214
9．4．3　CX许可证　216
9．4．4　组件与软件的更新　217
9．4．5　配置数据库备份　219
9．5　定义CX策略元素　220
9．5．1　网络组　221
9．5．2　身份对象　222
9．5．3　URL对象　223
9．5．4　用户代理对象　224
9．5．5　应用对象　224
9．5．6　安全移动对象　225
9．5．7　接口角色　226
9．5．8　服务对象　226
9．5．9　应用服务对象　227
9．5．10　源对象组　228
9．5．11　目的对象组　228
9．5．12　文件过滤配置文件　229
9．5．13　Web名誉配置文件　230
9．5．14　下一代IPS配置文件　230
9．6　启用用户身份服务　231
9．6．1　配置目录服务器　232
9．6．2　连接到AD代理或CDA　234
9．6．3　调试认证设置　234
9．6．4　定义用户身份发现策略　235
9．7　启用TLS解密　237
9．7．1　配置解密设置　239
9．7．2　定义解密策略　241
9．8　启用NG IPS　242
9．9　定义可感知上下文的访问策略　243
9．10　配置ASA将流量重定向给
CX模块　246
9．11　监测ASA CX　248
9．11．1　面板报告　248
9．11．2　连接与系统事件　249
9．11．3　捕获数据包　250
总结　253
第10章　网络地址转换　254
10．1　地址转换的类型　254
10．1．1　网络地址转换　254
10．1．2　端口地址转换　255
10．2　配置地址转换　257
10．2．1　静态NAT/PAT　257
10．2．2　动态NAT/PAT　258
10．2．3　策略NAT/PAT　259
10．2．4　Identity NAT　259
10．3　地址转换中的安全保护机制　259
10．3．1　随机生成序列号　259
10．3．2　TCP拦截（TCP Intercept）　260
10．4　理解地址转换行为　260
10．4．1　8．3版之前的地址转换行为　261
10．4．2　重新设计地址转换
（8．3及后续版本）　262
10．5　配置地址转换　264
10．5．1　自动NAT的配置　264
10．5．2　手动NAT的配置　268
10．5．3　集成ACL和NAT　270
10．5．4　配置用例　272
10．6　DNS刮除（DNS Doctoring）　279
10．7　监测地址转换　281
总结　283
第11章　IPv6支持　284
11．1　IPv6　284
11．1．1　IPv6头部　284
11．1．2　支持的IPv6地址类型　286
11．2　配置IPv6　286
11．2．1　IP地址分配　287
11．2．2　IPv6 DHCP中继　288
11．2．3　IPv6可选参数　288
11．2．4　设置IPv6 ACL　289
11．2．5　IPv6地址转换　291
总结　292
第12章　IP路由　293
12．1　配置静态路由　293
12．1．1　静态路由监测　296
12．1．2　显示路由表信息　298
12．2　RIP　299
12．2．1　配置RIP　300
12．2．2　RIP认证　302
12．2．3　RIP路由过滤　304
12．2．4　配置RIP重分布　306
12．2．5　RIP排错　306
12．3　OSPF　308
12．3．1　配置OSPF　310
12．3．2　OSPF虚链路　314
12．3．3　配置OSPF认证　316
12．3．4　配置OSPF重分布　319
12．3．5　末节区域与NSSA　320
12．3．6　OSPF类型3 LSA过滤　321
12．3．7　OSPF neighbor命令及跨越
VPN的动态路由　322
12．3．8　OSPFv3　324
12．3．9　OSPF排错　324
12．4　EIGRP　329
12．4．1　配置EIGRP　330
12．4．2　EIGRP排错　339
总结　346
第13章　应用监控　347
13．1　启用应用监控　349
13．2　选择性监控　350
13．3　CTIQBE监控　353
13．4　DCERPC监控　355
13．5　DNS监控　355
13．6　ESMTP监控　359
13．7　FTP　361
13．8　GPRS隧道协议　363
13．8．1　GTPv0　364
13．8．2　GTPv1　365
13．8．3　配置GTP监控　366
13．9　H．323　367
13．9．1　H．323协议族　368
13．9．2　H．323版本兼容性　369
13．9．3　启用H．323监控　370
13．9．4　DCS和GKPCS　372
13．9．5　T．38　372
13．10　Cisco统一通信高级特性　372
13．10．1　电话代理　373
13．10．2　TLS代理　376
13．10．3　移动性代理　377
13．10．4　Presence Federation代理　378
13．11　HTTP　378
13．12　ICMP　384
13．13　ILS　385
13．14　即时消息（IM）　385
13．15　IPSec直通　386
13．16　MGCP　387
13．17　NetBIOS　388
13．18　PPTP　389
13．19　Sun RPC　389
13．20　RSH　390
13．21　RTSP　390
13．22　SIP　390
13．23　Skinny (SCCP)　391
13．24　SNMP　392
13．25　SQL*Net　393
13．26　TFTP　393
13．27　WAAS　393
13．28　XDMCP　394
总结　394
第14章　虚拟化　395
14．1　架构概述　396
14．1．1　系统执行空间　396
14．1．2　admin虚拟防火墙　397
14．1．3　用户虚拟防火墙　398
14．1．4　数据包分类　400
14．1．5　多模下的数据流　402
14．2　配置安全虚拟防火墙　404
14．2．1　步骤1：在全局启用多安全
虚拟防火墙　405
14．2．2　步骤2：设置系统执行空间　406
14．2．3　步骤3：分配接口　408
14．2．4　步骤4：指定配置文件URL　409
14．2．5　步骤5：配置admin虚拟
防火墙　410
14．2．6　步骤6：配置用户虚拟
防火墙　411
14．2．7　步骤7：管理安全虚拟防火墙
（可选）　412
14．2．8　步骤8：资源管理（可选）　412
14．3　部署方案　415
14．3．1　不使用共享接口的虚拟
防火墙　416
14．3．2　使用了一个共享接口的虚拟
防火墙　426
14．4　安全虚拟防火墙的监测与排错　435
14．4．1　监测　436
14．4．2　排错　437
总结　439
第15章　透明防火墙　440
15．1　架构概述　442
15．1．1　单模透明防火墙　442
15．1．2　多模透明防火墙　444
15．2　透明防火墙的限制　445
15．2．1　透明防火墙与VPN　445
15．2．2　透明防火墙与NAT　446
15．3　配置透明防火墙　447
15．3．1　配置指导方针　448
15．3．2　配置步骤　448
15．4　部署案例　459
15．4．1　部署SMTF　459
15．4．2　用安全虚拟防火墙部署
MMTF　464
15．5　透明防火墙的监测与排错　473
15．5．1　监测　473
15．5．2　排错　475
15．6　主机间无法通信　475
15．7　移动了的主机无法实现通信　476
15．8　通用日志记录　477
总结　477
第16章　高可用性　478
16．1　冗余接口　478
16．1．1　使用冗余接口　479
16．1．2　部署案例　480
16．1．3　配置与监测　480
16．2　静态路由追踪　482
16．2．1　使用SLA监测配置静态路由　482
16．2．2　浮动连接超时　483
16．2．3　备用ISP部署案例　484
16．3　故障倒换　486
16．3．1　故障倒换中的设备角色
与功能　486
16．3．2　状态化故障倒换　487
16．3．3　主用/备用和主用/主用故障
倒换　488
16．3．4　故障倒换的硬件和软件
需求　489
16．3．5　故障倒换接口　491
16．3．6　故障倒换健康监测　495
16．3．7　状态与角色的转换　497
16．3．8　配置故障倒换　498
16．3．9　故障倒换的监测与排错　506
16．3．10　主用/备用故障倒换部署
案例　509
16．4　集群　512
16．4．1　集群中的角色与功能　512
16．4．2　集群的硬件和软件需求　514
16．4．3　控制与数据接口　516
16．4．4　集群健康监测　522
16．4．5　网络地址转换　523
16．4．6　性能　524
16．4．7　数据流　525
16．4．8　状态转换　528
16．4．9　配置集群　528
16．4．10　集群的监测与排错　537
16．4．11　Spanned EtherChannel集群
部署方案　540
总结　549
第17章　实施Cisco ASA入侵
防御系统(IPS)　550
17．1　IPS集成概述　550
17．1．1　IPS逻辑架构　551
17．1．2　IPS硬件模块　551
17．1．3　IPS软件模块　552
17．1．4　在线模式与杂合模式　553
17．1．5　IPS高可用性　555
17．2　Cisco IPS软件架构　555
17．2．1　MainApp　556
17．2．2　SensorApp　558
17．2．3　CollaborationApp　558
17．2．4　EventStore　559
17．3　ASA IPS配置前的准备工作　559
17．3．1　安装CIPS镜像或者重新安装
一个现有的ASA IPS　559
17．3．2　从ASA CLI访问CIPS　561
17．3．3　配置基本管理设置　562
17．3．4　通过ASDM配置IPS管理　565
17．3．5　安装CIPS许可证密钥　565
17．4　在ASA IPS上配置CIPS软件　566
17．4．1　自定义特征　567
17．4．2　远程阻塞　569
17．4．3　异常检测　572
17．4．4　全球关联　575
17．5　维护ASA IPS　576
17．5．1　用户账户管理　576
17．5．2　显示CIPS软件和处理信息　578
17．5．3　升级CIPS软件和特征　579
17．5．4　配置备份　582
17．5．5　显示和删除事件　583
17．6　配置ASA对IPS流量进行
重定向　584
17．7　僵尸流量过滤（Botnet Traffic
Filter）　585
17．7．1　动态和手动定义黑名单
数据　586
17．7．2　DNS欺骗（DNS Snooping）　587
17．7．3　流量选择　588
总结　590
第18章　IPS调试与监测　591
18．1　IPS调整的过程　591
18．2　风险评估值　592
18．2．1　ASR　593
18．2．2　TVR　593
18．2．3　SFR　593
18．2．4　ARR　593
18．2．5　PD　593
18．2．6　WLR　594
18．3　禁用IPS特征　594
18．4　撤回IPS特征　594
18．5　用来进行监测及调整的工具　595
18．5．1　ASDM和IME　595
18．5．2　CSM事件管理器
（CSM Event Manager）　596
18．5．3　从事件表中移除误报的
IPS事件　596
18．5．4　Splunk　596
18．5．5　RSA安全分析器（RSA
Security Analytics）　596
18．6　在Cisco ASA IPS中显示和
清除统计信息　596
总结　600
第19章　站点到站点IPSec VPN　601
19．1　预配置清单　601
19．2　配置步骤　604
19．2．1　步骤1：启用ISAKMP　605
19．2．2　步骤2：创建ISAKMP
策略　606
19．2．3　步骤3：建立隧道组　607
19．2．4　步骤4：定义IPSec策略　609
19．2．5　步骤5：创建加密映射集　610
19．2．6　步骤6：配置流量过滤器
（可选）　613
19．2．7　步骤7：绕过NAT（可选）　614
19．2．8　步骤8：启用PFS（可选）　615
19．2．9　ASDM的配置方法　616
19．3　可选属性与特性　618
19．3．1　通过IPSec发送OSPF更新　619
19．3．2　反向路由注入　620
19．3．3　NAT穿越　621
19．3．4　隧道默认网关　622
19．3．5　管理访问　623
19．3．6　分片策略　623
19．4　部署场景　624
19．4．1　使用NAT-T、RRI和IKEv2
的单站点到站点隧道配置　624
19．4．2　使用安全虚拟防火墙的
星型拓扑　629
19．5　站点到站点VPN的监测与排错　638
19．5．1　站点到站点VPN的监测　638
19．5．2　站点到站点VPN的排错　641
总结　645
第20章　IPSec远程访问VPN　646
20．1　Cisco IPSec远程访问VPN
解决方案　646
20．1．1　IPSec（IKEv1）远程访问
配置步骤　648
20．1．2　IPSec（IKEv2）远程访问
配置步骤　668
20．1．3　基于硬件的VPN客户端　671
20．2　高级Cisco IPSec VPN特性　673
20．2．1　隧道默认网关　673
20．2．2　透明隧道　674
20．2．3　IPSec折返流量　675
20．2．4　VPN负载分担　677
20．2．5　客户端防火墙　679
20．2．6　基于硬件的Easy VPN
客户端特性　681
20．3　L2TP over IPSec远程访问VPN
解决方案　684
20．3．1　L2TP over IPSec远程访问
配置步骤　685
20．3．2　Windows L2TP over IPSec
客户端配置　688
20．4　部署场景　688
20．5　Cisco远程访问VPN的监测与
排错　693
20．5．1　Cisco远程访问IPSec VPN
的监测　693
20．5．2　Cisco IPSec VPN客户端
的排错　696
总结　698
第21章　PKI的配置与排错　699
21．1　PKI介绍　699
21．1．1　证书　700
21．1．2　证书管理机构（CA）　700
21．1．3　证书撤销列表　702
21．1．4　简单证书注册协议　702
21．2　安装证书　703
21．2．1　通过ASDM安装证书　703
21．2．2　通过文件安装实体证书　704
21．2．3　通过复制/粘贴的方式安装
CA证书　704
21．2．4　通过SCEP安装CA证书　705
21．2．5　通过SCEP安装实体证书　708
21．2．6　通过CLI安装证书　709
21．3　本地证书管理机构　718
21．3．1　通过ASDM配置本地CA　719
21．3．2　通过CLI配置本地CA　720
21．3．3　通过ASDM注册本地CA
用户　722
21．3．4　通过CLI注册本地CA用户　724
21．4　使用证书配置IPSec站点到
站点隧道　725
21．5　使用证书配置Cisco ASA接受
远程访问IPSec VPN客户端　728
21．6　PKI排错　729
21．6．1　时间和日期不匹配　729
21．6．2　SCEP注册问题　731
21．6．3　CRL检索问题　732
总结　733
第22章　无客户端远程访问SSL VPN　734
22．1　SSL VPN设计考量　735
22．1．1　用户连通性　735
22．1．2　ASA特性集　735
22．1．3　基础设施规划　735
22．1．4　实施范围　736
22．2　SSL VPN前提条件　736
22．2．1　SSL VPN授权　736
22．2．2　客户端操作系统和浏览器的
软件需求　739
22．2．3　基础设施需求　740
22．3　SSL VPN前期配置向导　740
22．3．1　注册数字证书（推荐）　740
22．3．2　建立隧道和组策略　745
22．3．3　设置用户认证　749
22．4　无客户端SSL VPN配置向导　752
22．4．1　在接口上启用无客户端
SSL VPN　753
22．4．2　配置SSL VPN自定义门户　753
22．4．3　配置书签　766
22．4．4　配置Web类型ACL　770
22．4．5　配置应用访问　772
22．4．6　配置客户端/服务器插件　776
22．5　Cisco安全桌面　777
22．5．1　CSD组件　778
22．5．2　CSD需求　779
22．5．3　CSD技术架构　780
22．5．4　配置CSD　781
22．6　主机扫描　786
22．6．1　主机扫描模块　786
22．6．2　配置主机扫描　787
22．7　动态访问策略　791
22．7．1　DAP技术架构　791
22．7．2　DAP事件顺序　792
22．7．3　配置DAP　792
22．8　部署场景　801
22．8．1　步骤1：定义无客户端连接　802
22．8．2　步骤2：配置DAP　803
22．9　SSL VPN的监测与排错　804
22．9．1　SSL VPN监测　804
22．9．2　SSL VPN排错　806
总结　808
第23章　基于客户端的远程访问
SSL VPN　809
23．1　SSL VPN设计考量　809
23．1．1　Cisco AnyConnect Secure Mobility
客户端的授权　810
23．1．2　Cisco ASA设计考量　810
23．2　SSL VPN前提条件　811
23．2．1　客户端操作系统和浏览器的
软件需求　811
23．2．2　基础设施需求　812
23．3　SSL VPN前期配置向导　812
23．3．1　注册数字证书（推荐）　813
23．3．2　建立隧道和组策略　813
23．3．3　设置用户认证　815
23．4　Cisco AnyConnect Secure Mobility
客户端配置指南　817
23．4．1　加载Cisco AnyConnect Secure
Mobility Client VPN
打包文件　817
23．4．2　定义Cisco AnyConnect Secure
Mobility Client属性　818
23．4．3　高级完全隧道特性　822
23．4．4　AnyConnect客户端配置　827
23．5　AnyConnect客户端的部署场景　829
23．5．1　步骤1：配置CSD进行
注册表检查　831
23．5．2　步骤2：配置RADIUS进行
用户认证　831
23．5．3　步骤3：配置AnyConnect SSL
VPN　831
23．5．4　步骤4：启用地址转换提供
Internet访问　832
23．6　AnyConnect SSL VPN的监测
与排错　832
总结　834
第24章　IP组播路由　835
24．1　IGMP　835
24．2　PIM稀疏模式　836
24．3　配置组播路由　836
24．3．1　启用组播路由　836
24．3．2　启用PIM　838
24．4　IP组播路由排错　841
24．4．1　常用的show命令　841
24．4．2　常用的debug命令　842
总结　843
第25章　服务质量　844
25．1　QoS类型　845
25．1．1　流量优先级划分　845
25．1．2　流量管制　846
25．1．3　流量整形　847
25．2　QoS架构　847
25．2．1　数据包流的顺序　847
25．2．2　数据包分类　848
25．2．3　QoS与VPN隧道　852
25．3　配置QoS　852
25．3．1　通过ASDM配置QoS　853
25．3．2　通过CLI配置QoS　858
25．4　Qos部署方案　861
25．4．1　ASDM的配置步骤　862
25．4．2　CLI配置步骤　865
25．5　QoS的监测　867
总结　868

前言/序言

《网络安全部署与实战：下一代防火墙与VPN技术精要》 内容梗概 本书是一部深入探讨现代网络安全核心技术的实践性著作，旨在为网络工程师、安全管理员以及对企业级网络安全部署感兴趣的读者提供一套全面、系统且贴合实际需求的解决方案。本书不包含任何关于Cisco ASA设备使用的内容，而是聚焦于下一代防火墙（NGFW）的通用原理、关键功能，以及企业级VPN（虚拟专用网络）技术的架构设计、部署配置与故障排除。 第一部分：下一代防火墙（NGFW）核心理论与应用 本部分将从最基础的概念出发，逐步深入到下一代防火墙的复杂功能，确保读者能够构建坚实的安全理论基础。 第一章：网络边界安全回顾与NGFW的崛起 传统防火墙的演进与局限性：介绍状态检测防火墙、应用层防火墙等传统安全设备的原理，并分析其在应对日益复杂的网络威胁（如应用层攻击、零日漏洞、高级持续性威胁APT）时的不足。 NGFW的定义与核心能力：详细阐述下一代防火墙的定义，强调其区别于传统防火墙的关键要素，包括应用可见性与控制（AVC）、入侵防御系统（IPS）、深度包检测（DPI）、威胁情报集成、SSL/TLS解密与检测等。 NGFW在现代企业网络架构中的角色：分析NGFW如何成为企业网络安全纵深防御体系中的关键节点，承担起边界防护、内部威胁隔离、数据泄露防护（DLP）等重要职责。 第二章：深度包检测（DPI）与应用可见性与控制（AVC） DPI的工作原理与实现：深入剖析DPI技术如何检查网络数据包的全部内容（而不仅仅是头部信息），识别应用协议、内容类型甚至具体的用户行为。 AVC的强大功能：讲解AVC如何利用DPI技术实现对网络应用的精细化管理，包括识别、分类、监控和控制各类应用程序（如社交媒体、P2P下载、视频流、企业应用等），从而优化带宽使用、防范恶意软件传播、执行企业策略。 AVC的应用场景：列举AVC在限制员工使用非工作相关应用、保障关键业务应用带宽、识别和阻止P2P下载等场景下的实际应用。 第三章：集成入侵防御系统（IPS）的威胁检测与阻断 IPS的攻击特征识别技术：详细介绍IPS如何通过签名匹配、异常检测、协议分析、行为分析等多种方法来识别已知的和未知（或变种）的网络攻击。 IPS规则集与更新机制：阐述IPS规则集的重要性，以及如何定期更新规则集以应对不断演化的威胁。 IPS在NGFW中的部署模式与优势：分析IPS集成到NGFW后所带来的优势，如集中管理、更低的延迟、更强的关联分析能力，以及如何实现实时威胁检测与阻断。 误报与漏报的管理：讨论如何调整IPS策略以最小化误报（合法流量被误判为攻击）和漏报（攻击流量未被检测到），并介绍一些常用的调优技巧。 第四章：SSL/TLS流量解密与安全策略 SSL/TLS加密流量的挑战：解释在现代网络中，越来越多的流量采用SSL/TLS加密，这对传统安全设备（无法检查加密内容）构成了严峻挑战，使得恶意软件和敏感数据可以在加密通道内肆虐。 SSL/TLS解密技术原理：深入讲解NGFW如何实现对SSL/TLS流量的解密（SSL Inspection/Decryption），包括客户端和服务器端解密的不同方法。 解密后的流量检测与策略执行：分析解密后，NGFW如何应用DPI、IPS、AVC等功能对明文流量进行安全检查，并根据预设策略进行放行、阻断或重定向。 隐私与合规性考量：讨论SSL/TLS解密在处理用户隐私、数据保护法（如GDPR）、合规性要求（如PCI DSS）等方面需要注意的平衡和最佳实践。 第五章：威胁情报集成与高级恶意软件防护 威胁情报的来源与类型：介绍来自各种渠道的威胁情报（如IP信誉、域名信誉、恶意文件哈希、C2服务器地址、漏洞信息等），以及其在安全防护中的价值。 NGFW与威胁情报平台的联动：讲解NGFW如何与外部威胁情报平台（TIP）进行集成，实时获取和更新威胁信息，并将这些信息应用于访问控制、流量过滤和事件响应。 沙箱技术与行为分析：深入探讨沙箱技术（Sandbox）在分析未知可疑文件（尤其是恶意软件样本）中的作用，以及NGFW如何集成沙箱功能，通过模拟执行来检测零日漏洞和变种恶意软件。 反病毒（AV）与反恶意软件（Anti-Malware）集成：分析NGFW如何集成先进的反病毒和反恶意软件引擎，对网络流量中的文件进行扫描和查杀。 第二部分：企业级VPN技术详解与部署实战 本部分将专注于企业级VPN技术，涵盖其多种类型、架构设计、配置细节以及常见的部署场景与问题解决。 第一章：VPN基础概念与分类 VPN的定义与核心功能：阐述VPN（Virtual Private Network）的基本概念，即如何在公共网络（如互联网）上构建一个安全、私有的通信隧道。 VPN的五大优势：总结VPN在数据加密、身份验证、数据完整性、隧道封装、跨地域连接等方面的核心优势。 VPN的主要分类：详细介绍两种主要的VPN类型： 远程访问VPN (Remote Access VPN)：允许远程用户（如在家办公的员工、出差的销售人员）安全地访问公司内部网络资源。 站点到站点VPN (Site-to-Site VPN)：连接两个或多个地理位置不同的企业分支机构，形成一个统一的私有网络。 IPsec与SSL VPN概述：简要介绍构建VPN的两种主流协议族：IPsec（Internet Protocol Security）和SSL/TLS VPN，并指出它们各自的特点和适用场景。 第二章：IPsec VPN技术深度解析 IPsec协议套件：详细阐述IPsec协议族包含的关键组件，如认证头（AH）、封装安全载荷（ESP）、互联网密钥交换（IKEv1/IKEv2）、安全关联（SA）等。 IPsec的两种工作模式： 传输模式 (Transport Mode)：主要用于端到端通信，仅加密/认证IP数据包的有效载荷。 隧道模式 (Tunnel Mode)：主要用于站点到站点VPN，将整个原始IP数据包进行封装，并重新添加IP头部。 IKE（Internet Key Exchange）协议：深入解析IKE v1和IKE v2协议在建立安全隧道过程中的密钥协商、身份验证和安全策略协商。重点讲解IKEv2的优势，如更快的建立速度、更好的可扩展性和对NAT穿越的支持。 Phase 1与Phase 2协商过程：图文并茂地展示IKE建立安全关联（SA）的两个阶段，以及每个阶段的关键参数和协商流程。 IPsec VPN的加密算法与认证算法：介绍常见的对称加密算法（如AES）、非对称加密算法（如RSA）、哈希算法（如SHA-256）在IPsec中的应用，以及它们在数据安全和完整性保障中的作用。 NAT穿越（NAT Traversal）问题与解决方案：分析NAT设备对IPsec VPN连接的影响，并介绍NAT-T（NAT Traversal）技术如何通过UDP封装来解决此类问题。 第三章：SSL VPN技术详解与部署 SSL VPN的原理与优势：解释SSL VPN如何利用TLS/SSL协议在Web浏览器或专用客户端上建立安全的远程访问连接，其主要优势在于无需在客户端安装复杂的软件，易于部署和管理。 SSL VPN的两种工作模式： 客户端模式 (Client Mode)：通过安装轻量级的客户端软件，提供完整的网络层接入能力，允许访问所有内部资源。 浏览器模式 (Tunnel/Portal Mode)：无需安装客户端，通过Web浏览器访问特定的应用程序或文件，更适合临时性的访问需求。 SSL VPN的身份验证机制：介绍SSL VPN如何支持多种身份验证方式，如用户名/密码、数字证书、一次性密码（OTP）、多因素认证（MFA）等，以增强访问安全性。 SSL VPN的访问控制与策略：讲解如何配置SSL VPN的访问策略，限制用户只能访问特定的服务器、应用程序或端口，实现精细化的访问控制。 SSL VPN与IPsec VPN的比较：全面对比SSL VPN和IPsec VPN在安全性、性能、易用性、部署复杂度、支持的设备类型等方面的差异，帮助读者根据实际需求选择最适合的VPN技术。 第四章：VPN架构设计与高可用性 企业VPN拓扑设计：指导读者如何根据企业规模、分支机构数量、用户分布等因素，设计合理的VPN拓扑结构，包括集中式VPN网关、分布式VPN网关、多级VPN部署等。 VPN网关的选型与部署考量：讨论在选择VPN网关设备时需要考虑的关键因素，如吞吐量、并发连接数、支持的VPN类型、加密性能、管理功能、可靠性等。 VPN高可用性（HA）解决方案：阐述如何通过主备（Active/Standby）或负载均衡（Active/Active）等方式实现VPN网关的高可用性，确保VPN服务的连续性，即使部分设备发生故障也不会中断业务。 VPN性能优化与容量规划：指导读者如何根据网络流量、并发用户数、应用需求等因素进行VPN的性能优化和容量规划，确保VPN能够稳定高效地运行。 第五章：VPN部署配置与故障排除实战 IPsec VPN站点到站点配置实例：提供一个详细的步骤指南，演示如何在两个不同的网络环境之间建立IPsec站点到站点VPN连接，包括IP地址配置、IKEv1/v2参数配置、IPsec SA参数配置、访问控制列表（ACL）配置等。 远程访问VPN（SSL VPN）配置实例：演示如何配置SSL VPN，允许远程用户通过浏览器或客户端安全地接入企业内网，包括用户组配置、策略配置、证书管理、客户端配置等。 常见的VPN部署问题与排查思路： 连接建立失败：分析Phase 1/Phase 2协商失败的原因，如参数不匹配、防火墙策略限制、IKE密钥问题等，并提供相应的排查步骤。 流量不通：排查原因可能包括路由问题、ACL策略冲突、NAT配置错误、隧道未正确激活等。 性能不佳：分析可能导致VPN速度缓慢的因素，如加密算法强度过高、硬件性能瓶颈、网络拥塞、MTU值设置不当等，并给出优化建议。 身份验证失败：排查用户认证信息错误、证书问题、RADIUS/LDAP服务器不可达等原因。 利用日志与监控工具进行故障诊断：强调日志分析在VPN故障排除中的重要性，并介绍如何利用网络监控工具（如Wireshark、ping、traceroute）来辅助诊断。 目标读者 网络工程师 信息安全工程师 系统管理员 IT经理 希望深入理解并掌握现代网络安全技术及VPN解决方案的IT从业人员 对网络安全领域感兴趣的学生和研究人员 本书特色 理论与实践相结合：不仅深入剖析各项技术的原理，更提供详实的配置步骤和故障排除指南，强调实际操作能力。 内容全面且深入：涵盖下一代防火墙的关键功能和企业级VPN的各种类型与应用场景，力求全面覆盖。 无厂商特定内容：聚焦于通用技术原理和通用部署方法，使读者能够将所学知识应用于不同厂商的设备和解决方案。 条理清晰，逻辑严谨：章节之间循序渐进，内容组织结构合理，便于读者理解和学习。 面向实际应用：所有讨论和示例都紧密围绕企业网络安全部署的实际需求和挑战。 通过阅读本书，读者将能够系统地掌握下一代防火墙的核心能力，设计和部署稳定可靠的企业级VPN解决方案，从而有效地提升企业网络的安全防护水平，应对日益严峻的网络威胁。

评分☆☆☆☆☆

作为一个在网络安全一线工作的技术人员，我深知掌握一款优秀的防火墙设备的重要性。《Cisco ASA设备使用指南 第3版》这本书，虽然我才刚开始阅读，但它所呈现出的专业性和实用性已经让我印象深刻。这本书在内容组织上，似乎特别注重了实际应用场景的还原，很多时候我读到某个配置项，脑海中立刻就会浮现出在实际项目中可能遇到的类似情况。这种贴近实战的讲解方式，对于我们这种需要直接将学到的知识应用到工作中的人来说，是最有效的。我尤其关注书中对于一些复杂功能的阐述，例如VPN的配置和管理，这往往是很多初学者容易遇到的难点。从我初步的阅读来看，这本书在这方面的讲解清晰明了，而且提供了多种场景下的配置建议，这让我非常有信心能够克服这些技术上的挑战。总的来说，这本书给我一种“干货满满”的感觉，我相信通过它的学习，我能在ASA的配置和故障排除方面获得显著的提升。

评分☆☆☆☆☆

我一直对网络安全领域非常感兴趣，尤其是像Cisco ASA这样的企业级防火墙，一直是我想要深入了解的对象。尽管市面上关于ASA的书籍不在少数，但很多都侧重于理论深度，对于实际操作的指导相对较少，这让我觉得有些力不从心。这次有幸接触到《Cisco ASA设备使用指南 第3版》，虽然还未完全通读，但它的整体风格让我看到了希望。我最欣赏的是它对各个功能的介绍，都附带了相当详细的配置示例，并且很多配置项的含义都给出了清晰的解释。这对于我这样需要通过大量的实践来巩固知识的学习者来说，简直是太宝贵了。我迫不及待地想要动手去实践书中的每一个例子，看看ASA在实际环境中是如何工作的。此外，这本书在逻辑结构上也处理得非常出色，从基础概念的介绍到高级功能的讲解，都显得十分流畅，没有跳跃感。这让我相信，通过这本书的学习，我能够逐步掌握ASA的各项功能，并且在遇到实际问题时，能够有章可循，找到解决方案。

评分☆☆☆☆☆

我对网络设备的学习，一直抱持着“学以致用”的原则。因此，在选择学习资料时，我格外看重其是否能够帮助我更好地理解和操作实际设备。《Cisco ASA设备使用指南 第3版》这本书，在我短暂的接触中，就已经让我看到了它的独特之处。这本书并没有仅仅停留在理论的层面，而是非常深入地探讨了ASA的各项功能，并且提供了非常详细的操作步骤。这对于我这样喜欢动手实践的学习者来说，无疑是最有价值的部分。我特别喜欢书中对一些细节的刻画，例如每一个命令的参数解释，以及在不同场景下使用这些命令时可能遇到的问题和注意事项。这些细致入微的讲解，让我觉得作者在编写这本书时，确实是站在用户的角度去思考的。我相信，通过这本书的学习，我不仅能够掌握ASA的基本操作，更能深入理解其工作原理，从而在实际工作中更加得心应手。

评分☆☆☆☆☆

在学习Cisco ASA防火墙的过程中，我尝试过市面上各种不同的资料，但总感觉缺了点什么。直到我翻开《Cisco ASA设备使用指南 第3版》，虽然这本书的内容我还没完全深入，但我对它的初步印象却是相当深刻的。首先，它的排版设计就很让我眼前一亮，文字清晰，图示标注也很到位，这对于我这种需要边看边实践的学习者来说，无疑大大减轻了理解的负担。很多时候，理论知识的学习离不开实际操作的配合，而这本书在这一点上做得相当不错，为我搭建起了一个坚实的理论基础。我特别喜欢它在介绍一些核心概念时，能够用相对通俗易懂的语言来解释，这对于我这样并非网络安全科班出身的读者来说，能够快速抓住重点。我记得之前在学习ASA的NAT策略时，总是觉得云里雾里，但这本书的讲解方式让我对NAT的原理和配置有了全新的认识，感觉豁然开朗。而且，它的章节安排也很合理，循序渐进，不会让我觉得一下子接触了太多复杂的内容而不知所措。我非常有信心，随着我对这本书内容的深入，一定能在ASA的配置和管理上更上一层楼。

评分☆☆☆☆☆

在网络安全领域，Cisco ASA防火墙无疑是企业级应用中的重要一员。我对于这类设备的深入学习一直充满渴望，而《Cisco ASA设备使用指南 第3版》这本书，在我初步翻阅之后，给我留下了非常好的印象。它不像一些书籍那样，仅仅堆砌晦涩的术语，而是用一种比较平实且逻辑严谨的方式，引导读者一步步走进ASA的世界。我特别欣赏书中对于每一个模块的划分，清晰且有条理，使得我在学习过程中能够有明确的目标和方向。而且，它不仅仅是讲解“怎么做”，更重要的是解释“为什么这么做”，这对于理解ASA的整体架构和安全理念至关重要。这本书的出现，让我对ASA的学习充满了期待，我相信它能够成为我提升ASA技术能力的重要助力，帮助我更好地应对复杂的网络安全挑战。

评分☆☆☆☆☆

不错...................................

评分☆☆☆☆☆

此用户未填写评价内容

评分☆☆☆☆☆

好书，不多说了。

评分☆☆☆☆☆

很有帮助！非常好的书！

评分☆☆☆☆☆

非常喜欢，很值得学习！

评分☆☆☆☆☆

活动疯狂购。便宜的不要不要的。

评分☆☆☆☆☆

赞赞赞

评分☆☆☆☆☆

书 不错

评分☆☆☆☆☆

书很不错，讲的也挺详细……