Cisco安全防火墙服务模块（FWSM）解决方案

第1部分 简介

第1章 防火墙类型

1.1 理解包过滤防火墙

1.1.1 优势

1.1.2 告诫

1.2 理解应用/代理防火墙

1.2.1 优势

1.2.2 告诫

1.3 理解逆向代理防火墙

1.3.1 优势

1.3.2 告诫

1.4 利用包检测技术

1.5 IP地址重用

1.5.1 NAT

1.5.2 PAT

1.6 总结

第2章 防火墙服务模块概述

2.1 规格

2.2 安装

2.3 性能

2.4 虚拟化

2.5 FWSM与其他安全设备的对比

2.5.1 IOS防火墙

2.5.2 PIX

2.5.3 ASA

2.6 硬件架构

2.7 软件架构

2.8 总结

第3章 运行模式的分析

3.1 透明模式

3.1.1 优势

3.1.2 缺点

3.1.3 流量的流动

3.1.4 多网桥组

3.2 路由模式

3.2.1 优势

3.2.2 缺点

3.2.3 流量的流动

3.3 总结

第4章 理解安全级别

4.1 接口间的流量传输

4.2 网络地址转换/端口地址转换

4.2.1 静态NAT

4.2.2 静态PAT

4.2.3 动态NAT

4.2.4 动态PAT

4.2.5 NAT控制

4.2.6 NAT旁路

4.3 总结

4.4 参考文献

第5章 理解context

5.1 多context的好处

5.1.1 分离安全策略

5.1.2 充分利用硬件投资

5.2 多context的缺点

5.3 添加和删除context

5.3.1 添加context

5.3.2 删除context

5.4 在context之间切换

5.5 理解资源管理

5.6 总结

第2部分 初始配置

第6章 6500/7600系列机箱的配置与保护

6.1 理解主机箱和FWSM之间的交互

6.2 分配接口

6.3 保护6500/7600（主机箱）

6.3.1 控制物理访问

6.3.2 考虑环境因素

6.3.3 控制管理访问

6.3.4 禁用不必要的服务

6.3.5 使用基于端口的安全控制访问

6.3.6 控制生成树

6.3.7 利用访问控制列表

6.3.8 保护第3层

6.3.9 利用控制面板策略

6.3.10 使用QoS保护网络

6.3.11 使用额外的安全功能

6.4 总结

6.5 参考文献

第7章 FWSM的配置

7.1 在交换机中配置FWSM

7.2 路由模式

7.3 透明模式

7.4 在多context中使用FWSM

7.4.1 context配置

7.4.2 系统context的配置

7.4.3 admin context的配置

7.4.4 FWSM context模式中的数据包分类器

7.4.5 context中的资源管理

7.5 防火墙服务模块的配置步骤

7.5.1 类型1：配置单context路由模式

7.5.2 类型2：配置单context透明模式

7.5.3 类型3：配置多context混合模式

7.6 总结

第8章 ACL

8.1 访问列表类型的介绍

8.1.1 理解访问控制条目

8.1.2 理解访问列表提交

8.2 理解对象组

8.3 监视访问列表资源

8.4 配置对象组和访问列表

8.4.1 协议类型

8.4.2 网络类型

8.4.3 服务类型

8.4.4 嵌套类型

8.4.5 EtherType

8.5 总结

第9章 路由协议的配置

9.1 支持路由方法

9.1.1 静态路由

9.1.2 默认路由

9.1.3 OSPF

9.1.4 FWSM中的OSPF

9.1.5 OSPF在FWSM中的配置

9.1.6 OSPF设计案例1

9.1.7 OSPF设计案例2

9.1.8 路由信息协议

9.1.9 FWSM中的RIP

9.1.10 边界网关协议

9.1.11 FWSM中的BGP

9.1.12 FWSM的BGP拓扑

9.2 总结

第10章 AAA概述

10.1 理解AAA组件

10.1.1 FWSM中的认证

10.1.2 FWSM中的授权

10.1.3 FWSM中的审计

10.2 安全协议的比较

10.3 理解两步认证

10.4 理解回退支持

10.4.1 配置回退认证

10.4.2 配置本地授权

10.5 理解FWSM的直通代理

10.5.1 配置自定义登录提示

10.5.2 利用MAC地址使流量免于认证和授权

10.6 总结

第11章 模块化策略

11.1 在FWSM中使用模块化策略

11.2 理解流量的分类

11.3 定义策略映射

11.4 配置服务策略

11.5 理解默认的策略映射

11.6 模块化策略在FWSM中的配置示例

11.7 总结

第3部分 高级配置

第12章 FWSM中的故障切换

12.1 在FWSM中构建冗余

12.1.1 理解Active/Standby模式

12.1.2 理解Active/Active模式

12.2 理解故障切换链路和状态链路

12.3 故障切换的需求

12.4 第一和第二防火墙的配置同步

12.5 监控端口

12.6 配置轮询间隔

12.7 接口监控设计准则

12.8 配置单context FWSM故障切换

12.9 配置多context FWSM故障切换

12.10 总结

第13章 理解应用层协议检测

13.1 检测超文本传输协议

13.2 检测文件传输协议

13.3 FSWM与支持的应用协同工作

13.4 配置ARP

13.4.1 检测ARP

13.4.2 配置ARP参数

13.5 总结

13.6 参考文献

第14章 流量过滤

14.1 与第三方产品协同过滤URL和FTP流量

14.2 配置ActiveX和Java

14.3 总结

14.4 参考文献

第15章 管理和监控FWSM

15.1 使用Telnet

15.2 使用SSH

15.3 使用自适应安全设备管理器

15.3.1 使用ASDM配置FWSM

15.3.2 从客户端管理FWSM

15.4 安全访问

15.4.1 配置FWSM的VPN终结功能

15.4.2 配置VPN客户端

15.5 运行简单网络管理协议

15.6 探究syslog

15.7 使用Cisco安全管理器

15.8 监控、分析和响应系统

15.9 总结

15.10 参考文献

第16章 多播

16.1 协议无关多播

16.2 理解集中点

16.3 PIM接口模式

16.4 IGMP协议

16.5 多播stub的配置

16.6 多播流量穿越防火墙

16.6.1 FWSM 1.x和2.x代码版本

16.6.2 FWSM 3.x代码版本

16.7 配置方法

16.7.1 方法1：配置示例——多播流量透过单context模式下的防火墙

16.7.2 方法2：配置示例——多播流量经GRE封装透过防火墙

16.7.3 方法3：配置示例——多播流量透过多context模式下的透明防火墙

16.8 总结

第17章 非对称路由

17.1 未部署防火墙时的非对称路由

17.2 防火墙环境中的非对称流量

17.3 避免非对称流量穿越防火墙

17.3.1 选项1：让对称流量穿越防火墙

17.3.2 选项2：防火墙和路由冗余时的流量对称

17.4 FWSM对非对称路由的支持

17.4.1 在Active/Standby模式中支持非对称路由

17.4.2 在Active/Active模式中支持非对称路由

17.5 配置FWSM ASR特性

17.6 总结

第18章 防火墙负载均衡

18.1 防火墙负载均衡的价值

18.2 防火墙负载均衡的设计需求

18.3 防火墙负载均衡解决方案

18.3.1 使用策略路由的防火墙负载均衡

18.3.2 使用内容交换模块的防火墙负载均衡

18.3.3 使用应用程序控制引擎的防火墙负载均衡

18.4 防火墙负载均衡配置示例

18.4.1 配置OUT2IN策略

18.4.2 配置防火墙

18.4.3 配置OUT2IN策略

18.5 总结

第19章 IP版本6

19.1 理解IPv6数据包头部

19.2 探究IPv6地址类型

19.3 FWSM上的IPv6

19.3.1 在FWSM上配置IPv6特性

19.3.2 在FWSM上配置IPv6

19.4 总结

第20章 网络攻击防护

20.1 网络防护

20.2 屏蔽（shun）攻击

20.3 地址欺骗

20.4 理解连接限制和连接超时

20.4.1 配置连接限制

20.4.2 配置连接超时时间

20.5 总结

20.6 参考文献

第21章 排除FWSM故障

21.1 建立故障排除的思路

21.2 理智地评估故障

21.3 在FWSM上对数据流做连通性测试

21.4 故障排除FAQ

21.4.1 如何认定流量是否被转发到了FWSM上的特定接口

21.4.2 如何查看FWSM的ACL资源限制

21.4.3 如何验证防火墙安全域之间的连通性

21.4.4 何为网络分析模块

21.4.5 网络管理和监控工具

21.4.6 如何恢复密码

21.5 总结

第4部分 设计指导和配置案例

第22章 设计网络基础设施

22.1 确定设计中的考虑因素

22.2 确定部署选项

22.3 确定部署位置

22.3.1 防火墙之于企业网

22.3.2 FWSM之于数据中心

22.3.3 支持虚拟化网络

22.4 总结

22.5 参考文献

第23章 设计构思

23.1 FWSM终结第三层VPN（VRF）

23.1.1 配置PFC

23.1.2 配置FWSM

23.2 混合模式下的故障切换

23.3 单FWSM上不同安全区域之间的通信

23.3.1 配置PFC

23.3.2 配置FWSM

23.4 涉及FWSM的路由动态学习机制

23.5 FWSM之于数据中心网络环境

23.5.1 方法一：运行多context路由模式的FWSM参与第三层VPN隔离

23.5.2 方法二：运行多context透明模式的FWSM参与第三层VPN隔离

23.6 PVLAN和FWSM

23.6.1 设计FWSM的PVLAN配置

23.6.2 涉及FWSM的PVLAN设计：场景一

23.6.3 涉及FWSM的PVLAN设计：场景二

23.6.4 配置PVLAN

23.7 总结

第5部分 FWSM 4.x

第24章 FWSM 4.x性能和可扩展性的提升

24.1 借Supervisor提高FWSM性能

24.2 利用PISA实现超强的流量检测功能

24.3 改善内存分配

24.3.1 内存分区

24.3.2 规则重分配

24.3.3 优化ACL

24.4 总结

第25章 FWSM 4.x路由功能与其他增强特性

25.1 配置EIGRP

25.2 配置路由健康注入

25.3 理解应用支持

25.3.1 配置正则表达式

25.3.2 理解应用检测的增强功能

25.4 对SNMP管理信息库的补充支持

25.5 其他安全特性

25.5.1 DHCP选项82

25.5.2 SmartFilter HTTPS支持

25.6 总结

25.7 参考文献

《Cisco安全防火墙服务模块(FWSM)解决方案》：防火墙服务模块（FWSM）是一款高性能的状态化检测防火墙，它可以集成在Cisc0 6500交换机以及7600路由器机箱中。FWSM使用应用检测引擎（application inspection engine）来检测流量，从而提供了强壮的网络安全级别。FWSM定义了安全参数，并通过认证、访问控制列表和协议检测对安全策略进行了加固，因此FWSM是部署网络安全的关键部件。《Cisco安全防火墙服务模块(FWSM)解决方案》覆盖了FWSM的所有方面，详细讲解了FWSM处理信息的方式、安装/配置设备的详情、网络整合的建议，以及FWSM的运维和管理等内容。《Cisco安全防火墙服务模块(FWSM)解决方案》作为唯一的FWSM技术图书，全面揭示了FWSM的工作方式以及原理。读者可以通过《Cisco安全防火墙服务模块(FWSM)解决方案》涵盖的信息成功配置FWSM.并使配置发挥最大功效。读者也可以通过全书附带的实际案例，来了解其他用户是如何成功配置FWSM的。通过阅读《Cisco安全防火墙服务模块(FWSM)解决方案》，读者可以了解到FWSM的工作方式、FWSM与ASA安全设备之间的区别、实施和维护FWSM的方法、FWSM的最新特性，以及如何就通用的设置进行配置。Ray Blair，CCIE #7050，是一名咨询系统架构师，在Ciscol作了8年之久，主要致力于安全与大型网络的设计。在网络设计、卖施与维护方面，他拥有20年的从业经历。Blair拥有CCIE路由和交换、安全和服务提供商3个方向的认证证书。同时，他还持有CNE和CISSP认证。Arvind Durai，CCIE #7016，是Cisco的高级服务技术领导人。他的主要工作职责是为企业部门的重要客户提供支持。他对安全领域相当关注，并且作为作者编著了多篇白皮书以及各种技术的设计指南。Durai拥有CCIE路由和交换、安全方向的认证证书。理解FWSM的操作模式、安全级别以及context配置路由协议和主机机箱，以支持FWSM部署ACL和AAA应用类和策略映射配置多个FWSM.使其支持故障切换配置应用和协议检测使用过滤服务器、ActiveX和Java过滤函数来过滤流量掌握IP多播与FWSM的交互方式使用防火墙负载平衡来提升性能配置IPv6和不对称路由使用shunning、anti-spoofing、连接限制和超时来缓解网络攻击分析网络设计、管理和故障排除的最佳做法《Cisco安全防火墙服务模块(FWSM)解决方案》是Cisco Press出版的网络技术系列丛书之一，该系列丛书可以帮助网络从业人员保护重要数据和资源的安全，预防和缓解网络攻击，并构建端到端的自防御网络。《Cisco安全防火墙服务模块(FWSM)解决方案》介绍了FWSM的软硬件架构，并通过配置案例讲解了FWSM的各种部署方式。《Cisco安全防火墙服务模块(FWSM)解决方案》分为5部分，总共25章，主要内容有防火墙的类型、FWSM的概述和运行模式、FWSM的安全级别和上下文、FWSM的初始配置和高级配置、FWSM的设计指导和配置案例，以及FWSM 4.x版本中引入的特性和功能等。《Cisco安全防火墙服务模块(FWSM)解决方案》适合所有打算购买或已经购买FWSM安全产品的工程技术人员以及网络维护人员阅读，也适合准备Cisco防火墙安全考试的考生阅读。《Cisco安全防火墙服务模块(FWSM)解决方案》同样可以作为高校计算机和通信专业本科生或研究生学习网络安全技术的参考资料。【作者简介】作者：(美国)布莱尔 (Ray Blair) (美国)杜瑞 (Arvind Durai) 译者：孙余强 李雪峰