路由器安全策略

第1部分
第1章　互聯(lián)網(wǎng)協(xié)議操作基礎
1.1　IP網(wǎng)絡概念
1.1.1　企業(yè)網(wǎng)絡
1.1.2　服務提供商網(wǎng)絡
1.2　IP協(xié)議操作
1.3　IP流量概念
1.3.1　過境IP包
1.3.2　接收-鄰接IP包
1.3.3　異常IP和非IP包
1.4　IP流量平面
1.4.1　數(shù)據(jù)平面
1.4.2　控制平面
1.4.3　管理平面
1.4.4　服務平面
1.5　IP路由器包處理概念
1.5.1　進程交換
1.5.2　快速交換
1.5.3　思科特快轉發(fā)
1.6　常見的IP路由器體系結構類型
1.6.1　集中式的基于CPU的體系結構
1.6.2　集中式的基于ASIC的體系結構
1.6.3　分布式的基于CPU的體系結構
1.6.4　分布式的基于ASIC的體系結構
1.7　小結
1.8　復習題
1.9　延伸閱讀
第2章　IP網(wǎng)絡的威脅方式
2.1　對于IP網(wǎng)絡基礎設施的威脅
2.1.1　資源消耗攻擊
2.1.2　欺騙攻擊
2.1.3　傳輸協(xié)議攻擊
2.1.4　路由協(xié)議威脅
2.1.5　其他IP控制平面威脅
2.1.6　未經(jīng)授權的接入攻擊
2.1.7　軟件漏洞
2.1.8　惡意網(wǎng)絡監(jiān)測
2.2　針對第2層網(wǎng)絡基礎設施的威脅
2.2.1　CAM表溢出攻擊
2.2.2　MAC欺騙攻擊
2.2.3　VLAN的跳躍攻擊(VLAN Hopping Attacks)
2.2.4　專用VLAN攻擊
2.2.5　STP攻擊
2.2.6　VTP攻擊
2.3　針對IP VPN網(wǎng)絡基礎設施的威脅
2.3.1　MPLS VPN威脅模式
2.3.2　針對用戶邊緣的威脅
2.3.3　針對運營商邊緣的威脅
2.3.4　針對運營商核心的威脅
2.3.5　針對跨運營商邊緣的威脅
2.3.6　IPSec VPN的威脅模式
2.4　小結
2.5　復習題
2.6　延伸閱讀
第3章　IP網(wǎng)絡流量平面安全概念
3.1　全方位防御的原則
3.1.1　理解全方位的防御概念
3.1.2　IP網(wǎng)絡流量平面：全方位的防御
3.1.3　網(wǎng)絡接口類型
3.2　網(wǎng)絡邊緣安全概念
3.2.1　互聯(lián)網(wǎng)邊緣
3.2.2　MPLS VPN邊緣
3.3　網(wǎng)絡核心安全概念
3.3.1　IP核心
3.3.2　MPLS VPN核心
3.4　小結
3.5　復習題
3.6　延伸閱讀
第2部分
第4章　IP數(shù)據(jù)平面安全性
4.1　接口ACL技術
4.2　單播RPF技術
4.2.1　嚴格uRPF
4.2.2　松散uRPF
4.2.3　VRF模式uRPF
4.2.4　可行性uRPF
4.3　靈活的數(shù)據(jù)包匹配
4.4　QoS技術
4.4.1　排隊
4.4.2　IP QoS數(shù)據(jù)包著色(標記)
4.4.3　速率限制
4.5　IP選項技術
4.5.1　禁用IP源路由
4.5.2　IP選項選擇性丟棄
4.5.3　用于過濾IP選項的ACL支持
4.5.4　控制平面管轄
4.6　ICMP數(shù)據(jù)平面減緩技術
4.7　禁用IP直接廣播
4.8　IP健康檢查
4.9　使用QPPB的BGP策略增強
4.10　IP路由技術
4.10.1　IP網(wǎng)絡核心基礎結構隱藏
4.10.2　IP網(wǎng)絡邊緣外部鏈接保護
4.10.3　遠程觸發(fā)黑洞過濾
4.11　IP傳輸和應用層技術
4.11.1　TCP截取
4.11.2　網(wǎng)絡地址轉換
4.11.3　IOS防火墻
4.11.4　IOS入侵預防系統(tǒng)
4.11.5　通信清洗
4.11.6　深度數(shù)據(jù)包檢查
4.12　第2層以太網(wǎng)安全技術
4.12.1　端口安全性
4.12.2　基于MAC地址的通信阻塞
4.12.3　禁用自動主干
4.12.4　VLAN ACL
4.12.5　IP來源守衛(wèi)
4.12.6　專用VLAN
4.12.7　通信風暴控制
4.12.8　未知單播流阻塞
4.13　小結
4.14　復習題
4.15　延伸閱讀
第5章　IP控制平面安全性
5.1　禁用未使用的控制平面服務
5.2　ICMP技術
5.3　選擇性數(shù)據(jù)包丟棄
5.3.1　SPD狀態(tài)檢查
5.3.2　SPD輸入隊列檢查
5.3.3　SP監(jiān)視和優(yōu)化
5.4　IP接收ACL
5.5　控制平面管轄
5.5.1　CoPP配置指導原則
5.5.2　特定于平臺的CoPP實現(xiàn)細節(jié)
5.6　鄰居身份驗證
5.6.1　MD5身份驗證
5.6.2　一般化的TTL安全機制
5.7　特定于協(xié)議的ACL過濾器
5.8　BGP安全技術
5.8.1　BGP前綴過濾器
5.8.2　IP前綴限制
5.8.3　AS路徑限制
5.8.4　BGP正常重啟
5.9　第二層以太網(wǎng)控制平面安全
5.9.1　VTP身份驗證
5.9.2　DHCP偷窺
5.9.3　動態(tài)ARP檢查
5.9.4　粘性ARP
5.9.5　跨越樹協(xié)議
5.10　小結
5.11　復習題
5.12　延伸閱讀
第6章　IP管理平面安全性
6.1　管理接口
6.2　密碼安全
6.3　SNMP安全
6.4　遠程終端訪問安全
6.5　禁用未使用的管理平面服務
6.6　禁用空閑的用戶會話
6.7　系統(tǒng)標志
6.8　安全的IOS文件系統(tǒng)
6.9　基于角色的CLI訪問
6.10　管理平面保護
6.11　身份驗證、授權和計賬
6.12　自動安全
6.13　網(wǎng)絡遙測和安全
6.14　針對MPLS VPN的VPN管理
6.15　小結
6.16　復習題
6.17　延伸閱讀
第7章　IP服務平面安全性
7.1　服務平面概述
7.2　服務質量
7.2.1　QoS機制
7.2.2　保護QoS服務
7.3　MPLS VPN服務
7.3.1　MPLS VPN概述
7.3.2　客戶邊緣安全性
7.3.3　提供商邊緣安全性
7.3.4　提供商核心安全性
7.3.5　提供商之間邊緣安全性
7.4　IPsec VPN服務
7.4.1　IPsec VPN概述
7.4.2　保護IPsec VPN服務
7.4.3　其他IPsec安全相關特性
7.5　其他服務
7.5.1　SSL VPN服務
7.5.2　VoIP服務
7.5.3　視頻服務
7.6　小結
7.7　復習題
7.8　延伸閱讀
第3部分
第8章　企業(yè)網(wǎng)絡案例研究
8.1　案例研究1：IPSec VPN和互聯(lián)網(wǎng)訪問
8.1.1　網(wǎng)絡拓撲結構和要求
8.1.2　路由器配置
8.2　案例研究2：MPLS VPN
8.2.1　網(wǎng)絡拓撲結構和要求
8.2.2　路由器配置
8.3　小結
8.4　延伸閱讀
第9章　服務提供商網(wǎng)絡案例研究
9.1　案例研究1：IPSec VPN和互聯(lián)網(wǎng)接入
9.1.1　網(wǎng)絡拓撲和需求
9.1.2　路由器配置
9.2　案例研究2：MPLS VPN
9.2.1　網(wǎng)絡拓撲和需求
9.2.2　路由器配置
9.3　小結
9.4　延伸閱讀
第4部分
附錄A　復習題答案
附錄B　IP協(xié)議報頭
B.1　IP版本4頭
B.2　TCP頭
B.3　UDP頭
B.4　ICMP頭
B.4.1　ICMP回應請求/回應回復查詢消息頭
B.4.2　傳輸中的ICMP生存時間超過消息頭
B.4.3　ICMP目的地不可到達、分段需要和設置不分段錯誤消息頭
B.4.4　其他ICMP目的不可到達錯誤消息頭
B.5　以太網(wǎng)/802.1 Q頭
B.5.1　IEEE 802.3以太網(wǎng)幀頭格式
B.5.2　IEEE 802.1 Q VLAN頭格式
B.6　MPLS協(xié)議頭
B.7　延伸閱讀
附錄C　Cisco IOS到XOS XR安全性過渡
C.1　數(shù)據(jù)平面安全性命令
C.2　控制平面安全性命令
C.3　管理平面安全性命令
C.4　服務平面安全性命令
C.5　延伸閱讀
附錄D　安全事故處理
D.1　事故響應的6個階段
D.1.1　準備
D.1.2　確定
D.1.3　分類
D.1.4　跟蹤
D.1.5　反應
D.1.6　事后評估分析
D.2　Cisco產(chǎn)品安全
D.2.1　Cisco安全弱點策略
D.2.2　Cisco計算機和網(wǎng)絡安全
D.2.3　Cisco安全
D.2.4　IPS簽名包更新和歸檔
D.2.5　Cisco安全中心
D.2.6　Cisco IntelliShield警報管理器服務
D.2.7　Cisco軟件中心
D.3　行業(yè)安全組合
D.4　域網(wǎng)絡操作員組織
D.5　延伸閱讀