路由器安全策略

第1部分
第1章　互聯(lián)網(wǎng)協(xié)議操作基礎(chǔ)
1.1　IP網(wǎng)絡(luò)概念
1.1.1　企業(yè)網(wǎng)絡(luò)
1.1.2　服務(wù)提供商網(wǎng)絡(luò)
1.2　IP協(xié)議操作
1.3　IP流量概念
1.3.1　過境IP包
1.3.2　接收-鄰接IP包
1.3.3　異常IP和非IP包
1.4　IP流量平面
1.4.1　數(shù)據(jù)平面
1.4.2　控制平面
1.4.3　管理平面
1.4.4　服務(wù)平面
1.5　IP路由器包處理概念
1.5.1　進(jìn)程交換
1.5.2　快速交換
1.5.3　思科特快轉(zhuǎn)發(fā)
1.6　常見的IP路由器體系結(jié)構(gòu)類型
1.6.1　集中式的基于CPU的體系結(jié)構(gòu)
1.6.2　集中式的基于ASIC的體系結(jié)構(gòu)
1.6.3　分布式的基于CPU的體系結(jié)構(gòu)
1.6.4　分布式的基于ASIC的體系結(jié)構(gòu)
1.7　小結(jié)
1.8　復(fù)習(xí)題
1.9　延伸閱讀
第2章　IP網(wǎng)絡(luò)的威脅方式
2.1　對(duì)于IP網(wǎng)絡(luò)基礎(chǔ)設(shè)施的威脅
2.1.1　資源消耗攻擊
2.1.2　欺騙攻擊
2.1.3　傳輸協(xié)議攻擊
2.1.4　路由協(xié)議威脅
2.1.5　其他IP控制平面威脅
2.1.6　未經(jīng)授權(quán)的接入攻擊
2.1.7　軟件漏洞
2.1.8　惡意網(wǎng)絡(luò)監(jiān)測(cè)
2.2　針對(duì)第2層網(wǎng)絡(luò)基礎(chǔ)設(shè)施的威脅
2.2.1　CAM表溢出攻擊
2.2.2　MAC欺騙攻擊
2.2.3　VLAN的跳躍攻擊(VLAN Hopping Attacks)
2.2.4　專用VLAN攻擊
2.2.5　STP攻擊
2.2.6　VTP攻擊
2.3　針對(duì)IP VPN網(wǎng)絡(luò)基礎(chǔ)設(shè)施的威脅
2.3.1　MPLS VPN威脅模式
2.3.2　針對(duì)用戶邊緣的威脅
2.3.3　針對(duì)運(yùn)營商邊緣的威脅
2.3.4　針對(duì)運(yùn)營商核心的威脅
2.3.5　針對(duì)跨運(yùn)營商邊緣的威脅
2.3.6　IPSec VPN的威脅模式
2.4　小結(jié)
2.5　復(fù)習(xí)題
2.6　延伸閱讀
第3章　IP網(wǎng)絡(luò)流量平面安全概念
3.1　全方位防御的原則
3.1.1　理解全方位的防御概念
3.1.2　IP網(wǎng)絡(luò)流量平面：全方位的防御
3.1.3　網(wǎng)絡(luò)接口類型
3.2　網(wǎng)絡(luò)邊緣安全概念
3.2.1　互聯(lián)網(wǎng)邊緣
3.2.2　MPLS VPN邊緣
3.3　網(wǎng)絡(luò)核心安全概念
3.3.1　IP核心
3.3.2　MPLS VPN核心
3.4　小結(jié)
3.5　復(fù)習(xí)題
3.6　延伸閱讀
第2部分
第4章　IP數(shù)據(jù)平面安全性
4.1　接口ACL技術(shù)
4.2　單播RPF技術(shù)
4.2.1　嚴(yán)格uRPF
4.2.2　松散uRPF
4.2.3　VRF模式uRPF
4.2.4　可行性u(píng)RPF
4.3　靈活的數(shù)據(jù)包匹配
4.4　QoS技術(shù)
4.4.1　排隊(duì)
4.4.2　IP QoS數(shù)據(jù)包著色(標(biāo)記)
4.4.3　速率限制
4.5　IP選項(xiàng)技術(shù)
4.5.1　禁用IP源路由
4.5.2　IP選項(xiàng)選擇性丟棄
4.5.3　用于過濾IP選項(xiàng)的ACL支持
4.5.4　控制平面管轄
4.6　ICMP數(shù)據(jù)平面減緩技術(shù)
4.7　禁用IP直接廣播
4.8　IP健康檢查
4.9　使用QPPB的BGP策略增強(qiáng)
4.10　IP路由技術(shù)
4.10.1　IP網(wǎng)絡(luò)核心基礎(chǔ)結(jié)構(gòu)隱藏
4.10.2　IP網(wǎng)絡(luò)邊緣外部鏈接保護(hù)
4.10.3　遠(yuǎn)程觸發(fā)黑洞過濾
4.11　IP傳輸和應(yīng)用層技術(shù)
4.11.1　TCP截取
4.11.2　網(wǎng)絡(luò)地址轉(zhuǎn)換
4.11.3　IOS防火墻
4.11.4　IOS入侵預(yù)防系統(tǒng)
4.11.5　通信清洗
4.11.6　深度數(shù)據(jù)包檢查
4.12　第2層以太網(wǎng)安全技術(shù)
4.12.1　端口安全性
4.12.2　基于MAC地址的通信阻塞
4.12.3　禁用自動(dòng)主干
4.12.4　VLAN ACL
4.12.5　IP來源守衛(wèi)
4.12.6　專用VLAN
4.12.7　通信風(fēng)暴控制
4.12.8　未知單播流阻塞
4.13　小結(jié)
4.14　復(fù)習(xí)題
4.15　延伸閱讀
第5章　IP控制平面安全性
5.1　禁用未使用的控制平面服務(wù)
5.2　ICMP技術(shù)
5.3　選擇性數(shù)據(jù)包丟棄
5.3.1　SPD狀態(tài)檢查
5.3.2　SPD輸入隊(duì)列檢查
5.3.3　SP監(jiān)視和優(yōu)化
5.4　IP接收ACL
5.5　控制平面管轄
5.5.1　CoPP配置指導(dǎo)原則
5.5.2　特定于平臺(tái)的CoPP實(shí)現(xiàn)細(xì)節(jié)
5.6　鄰居身份驗(yàn)證
5.6.1　MD5身份驗(yàn)證
5.6.2　一般化的TTL安全機(jī)制
5.7　特定于協(xié)議的ACL過濾器
5.8　BGP安全技術(shù)
5.8.1　BGP前綴過濾器
5.8.2　IP前綴限制
5.8.3　AS路徑限制
5.8.4　BGP正常重啟
5.9　第二層以太網(wǎng)控制平面安全
5.9.1　VTP身份驗(yàn)證
5.9.2　DHCP偷窺
5.9.3　動(dòng)態(tài)ARP檢查
5.9.4　粘性ARP
5.9.5　跨越樹協(xié)議
5.10　小結(jié)
5.11　復(fù)習(xí)題
5.12　延伸閱讀
第6章　IP管理平面安全性
6.1　管理接口
6.2　密碼安全
6.3　SNMP安全
6.4　遠(yuǎn)程終端訪問安全
6.5　禁用未使用的管理平面服務(wù)
6.6　禁用空閑的用戶會(huì)話
6.7　系統(tǒng)標(biāo)志
6.8　安全的IOS文件系統(tǒng)
6.9　基于角色的CLI訪問
6.10　管理平面保護(hù)
6.11　身份驗(yàn)證、授權(quán)和計(jì)賬
6.12　自動(dòng)安全
6.13　網(wǎng)絡(luò)遙測(cè)和安全
6.14　針對(duì)MPLS VPN的VPN管理
6.15　小結(jié)
6.16　復(fù)習(xí)題
6.17　延伸閱讀
第7章　IP服務(wù)平面安全性
7.1　服務(wù)平面概述
7.2　服務(wù)質(zhì)量
7.2.1　QoS機(jī)制
7.2.2　保護(hù)QoS服務(wù)
7.3　MPLS VPN服務(wù)
7.3.1　MPLS VPN概述
7.3.2　客戶邊緣安全性
7.3.3　提供商邊緣安全性
7.3.4　提供商核心安全性
7.3.5　提供商之間邊緣安全性
7.4　IPsec VPN服務(wù)
7.4.1　IPsec VPN概述
7.4.2　保護(hù)IPsec VPN服務(wù)
7.4.3　其他IPsec安全相關(guān)特性
7.5　其他服務(wù)
7.5.1　SSL VPN服務(wù)
7.5.2　VoIP服務(wù)
7.5.3　視頻服務(wù)
7.6　小結(jié)
7.7　復(fù)習(xí)題
7.8　延伸閱讀
第3部分
第8章　企業(yè)網(wǎng)絡(luò)案例研究
8.1　案例研究1：IPSec VPN和互聯(lián)網(wǎng)訪問
8.1.1　網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)和要求
8.1.2　路由器配置
8.2　案例研究2：MPLS VPN
8.2.1　網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)和要求
8.2.2　路由器配置
8.3　小結(jié)
8.4　延伸閱讀
第9章　服務(wù)提供商網(wǎng)絡(luò)案例研究
9.1　案例研究1：IPSec VPN和互聯(lián)網(wǎng)接入
9.1.1　網(wǎng)絡(luò)拓?fù)浜托枨?br />9.1.2　路由器配置
9.2　案例研究2：MPLS VPN
9.2.1　網(wǎng)絡(luò)拓?fù)浜托枨?br />9.2.2　路由器配置
9.3　小結(jié)
9.4　延伸閱讀
第4部分
附錄A　復(fù)習(xí)題答案
附錄B　IP協(xié)議報(bào)頭
B.1　IP版本4頭
B.2　TCP頭
B.3　UDP頭
B.4　ICMP頭
B.4.1　ICMP回應(yīng)請(qǐng)求/回應(yīng)回復(fù)查詢消息頭
B.4.2　傳輸中的ICMP生存時(shí)間超過消息頭
B.4.3　ICMP目的地不可到達(dá)、分段需要和設(shè)置不分段錯(cuò)誤消息頭
B.4.4　其他ICMP目的不可到達(dá)錯(cuò)誤消息頭
B.5　以太網(wǎng)/802.1 Q頭
B.5.1　IEEE 802.3以太網(wǎng)幀頭格式
B.5.2　IEEE 802.1 Q VLAN頭格式
B.6　MPLS協(xié)議頭
B.7　延伸閱讀
附錄C　Cisco IOS到XOS XR安全性過渡
C.1　數(shù)據(jù)平面安全性命令
C.2　控制平面安全性命令
C.3　管理平面安全性命令
C.4　服務(wù)平面安全性命令
C.5　延伸閱讀
附錄D　安全事故處理
D.1　事故響應(yīng)的6個(gè)階段
D.1.1　準(zhǔn)備
D.1.2　確定
D.1.3　分類
D.1.4　跟蹤
D.1.5　反應(yīng)
D.1.6　事后評(píng)估分析
D.2　Cisco產(chǎn)品安全
D.2.1　Cisco安全弱點(diǎn)策略
D.2.2　Cisco計(jì)算機(jī)和網(wǎng)絡(luò)安全
D.2.3　Cisco安全
D.2.4　IPS簽名包更新和歸檔
D.2.5　Cisco安全中心
D.2.6　Cisco IntelliShield警報(bào)管理器服務(wù)
D.2.7　Cisco軟件中心
D.3　行業(yè)安全組合
D.4　域網(wǎng)絡(luò)操作員組織
D.5　延伸閱讀