CCNA安全640-554认证考试指南

目　录

第1部分　网络安全基础　1

第1章　网络安全的概念　3

1．1　“我已经知道了吗？”测试题　3

1．2　理解网络与信息安全基础　5

1．2．1　网络安全的目标　5

1．2．2　机密性、完整性和可用性　5

1．2．3　安全的成本效益分析　6

1．2．4　资产分类　7

1．2．5　漏洞分类　8

1．2．6　对策分类　9

1．2．7　我们该如何应对风险　9

1．3　认识当前的网络威胁　10

1．3．1　潜在的攻击者　10

1．3．2　攻击方式　11

1．3．3　攻击矢量　11

1．3．4　中间人攻击　12

1．3．5　其他攻击方式　12

1．4　将基本的安全原则应用到网络设计当中　13

1．4．1　指导方针　13

1．4．2　如何把所有内容拼成一个整体　14

1．5　复习所有考试要点　14

1．6　通过记忆补全表格　15

1．7　定义关键术语　15

第2章　使用生命周期的方式来理解安全策略　17

2．1　“我已经知道了吗？”测试题　17

2．2　风险分析与管理　18

2．2．1　安全网络生命周期　18

2．2．2　风险分析方式　19

2．2．3　安全状况评估　20

2．2．4　风险管理的一种方式　20

2．2．5　可以削减风险的法规　21

2．3　安全策略　21

2．3．1　主体、客体与原因　21

2．3．2　策略的类型　22

2．3．3　标准、流程与基准　22

2．3．4　测试安全架构　23

2．3．5　响应网络中的事件　24

2．3．6　证据采集　24

2．3．7　不当黑客的理由　24

2．3．8　责任　25

2．3．9　灾难恢复与业务连续性计划　25

2．4　复习所有考试要点　25

2．5　通过记忆补全表格　26

2．6　定义关键术语　26

第3章　建立安全战略　29

3．1　“我已经知道了吗？”测试题　29

3．2　保护无边界网络　31

3．2．1　网络本质的变化　31

3．2．2　逻辑边界　31

3．2．3　SecureX与可感知情景的安全技术　32

3．3　控制并遏制数据丢失　33

3．3．1　一盎司的预防措施　33

3．3．2　使用VPN实现安全连接　33

3．3．3　安全管理　34

3．4　复习所有考试要点　34

3．5　通过记忆补全表格　34

3．6　定义关键术语　35

第2部分　保护网络架构　37

第4章　网络基础保护　39

4．1　“我已经知道了吗？”测试题　39

4．2　使用网络基础保护(NFP)来保护网络　41

4．2．1　网络架构的重要性　41

4．2．2　网络基础保护(NFP)框架　41

4．2．3　相互间的依存关系　42

4．2．4　实施NFP　42

4．3　理解管理层　43

4．3．1　第一要务　43

4．3．2　保护管理层的最佳做法　43

4．4　理解控制层　44

保护控制层的最佳做法　44

4．5　理解数据层　45

4．5．1　保护数据层的最佳做法　46

4．5．2　其他保护数据层的机制　46

4．6　复习所有考试要点　47

4．7　通过记忆补全表格　47

4．8　定义关键术语　47

第5章　使用Cisco配置专家(CCP)来保护网络架构　49

5．1　“我已经知道了吗？”测试题　49

5．2　介绍Cisco配置专家(CCP)　50

5．3　理解CCP特性和GUI　51

5．3．1　菜单栏　52

5．3．2　工具栏　52

5．3．3　左侧导航面板　53

5．3．4　内容面板　53

5．3．5　状态栏　53

5．4　设置新的设备　54

5．5　CCP的组成　55

5．5．1　社团(Community)　55

5．5．2　模板(Template)　58

5．5．3　用户文件(User Profile)　61

5．6　CCP审计特性　63

5．6．1　一步锁定　66

5．6．2　几个重点　66

5．7　复习所有考试要点　69

5．8　通过记忆补全表格　70

5．9　定义关键术语　70

5．10　需要回忆的命令行参考信息　70

第6章　在Cisco IOS设备上保护管理层　73

6．1　“我已经知道了吗？”测试题　73

6．2　保护管理流量　75

6．2．1　什么是管理流量，什么是管理层　75

6．2．2　超越蓝色的反转线　75

6．2．3　管理层最佳做法　75

6．2．4　密码推荐　77

6．2．5　使用AAA对用户进行验证　78

6．2．6　基于角色的访问控制　82

6．2．7　加密的管理协议　83

6．2．8　使用日志记录文件　83

6．2．9　理解NTP　85

6．2．10　保护Cisco IOS文件　85

6．3　通过实施安全措施来保护管理层　85

6．3．1　实施强健的密码　85

6．3．2　通过AAA实现用户认证　87

6．3．3　使用CLI在Cisco路由器上对AAA进行排错　92

6．3．4　RBAC privilege level/分析器视图　97

6．3．5　实施分析器视图　99

6．3．6　SSH与HTTPS　101

6．3．7　实施日志记录特性　103

6．3．8　SNMP特性　106

6．3．9　配置NTP　108

6．3．10　保护Cisco IOS镜像和配置文件　110

6．4　复习所有考试要点　111

6．5　通过记忆补全表格　111

6．6　定义关键术语　112

6．7　需要回忆的命令行参考信息　112

第7章　使用IOS和ACS服务器来实施AAA　115

7．1　“我已经知道了吗？”测试题　115

7．2　Cisco Secure ACS、RADIUS和TACACS　117

7．2．1　使用Cisco ACS的理由　117

7．2．2　ACS可以运行在什么平台上　118

7．2．3　何为ISE　118

7．2．4　ACS和路由器之间使用的协议　118

7．2．5　ACS服务器和客户端(路由器)之间可以选择的协议　119

7．3　配置路由器使其与ACS服务器互操作　120

7．4　配置ACS服务器使其与路由器互操作　130

7．5　路由器-ACS服务器互动的验证与排错　138

7．6　复习所有考试要点　145

7．7　通过记忆补全表格　145

7．8　定义关键术语　145

7．9　需要回忆的命令行参考信息　145

第8章　保护二层技术　149

8．1　“我已经知道了吗？”测试题　149

8．2　VLAN与Trunking基础　151

8．2．1　何为VLAN　151

8．2．2　Trunking与802．1Q　153

8．2．3　紧跟数据帧的步伐　154

8．2．4　Trunk上的Native VLAN　154

8．2．5　好吧，那么你想使用哪种模式呢？(端口问)　155

8．2．6　VLAN间路由　155

8．2．7　只使用物理接口所面临的问题　155

8．2．8　使用虚拟“子”接口　155

8．3　生成树基础　157

8．3．1　网络中有环路多半不是什么好事　157

8．3．2　环路的生命　157

8．3．3　二层环路的解决方案　157

8．3．4　STP对新端口保持警惕　160

8．3．5　改善转发前的时间　160

8．4　常见的二层威胁及缓解方法　161

8．4．1　根基不牢，地动山摇　161

8．4．2　二层最佳做法　161

8．4．3　不要允许协商　163

8．4．4　各类二层安全工具　163

8．4．5　CCNA安全的专用二层缓解技术　163

8．5　复习所有考试要点　167

8．6　通过记忆补全表格　167

8．7　复习本书中包含的端口安全视频　167

8．8　定义关键术语　168

8．9　需要回忆的命令行参考信息　168

第9章　在IPv6环境中保护数据层　171

9．1　“我已经知道了吗？”测试题　171

9．2　理解和配置IPv6　173

9．2．1　为何使用IPv6　173

9．2．2　IPv6地址的格式　174

9．3　配置IPv6路由　178

9．4　为IPv6设计一个安全计划　180

9．4．1　IPv4和IPv6通用的最佳做法　180

9．4．2　IPv4和IPv6面临的共同威胁　181

9．4．3　关注IPv6安全　182

9．4．4　与IPv6有关的新型风险　182

9．4．5　IPv6最佳做法　184

9．5　复习所有考试要点　184

9．6　通过记忆补全表格　185

9．7　定义关键术语　185

9．8　需要回忆的命令行参考信息　185

第3部分　缓解和控制网络威胁　187

第10章　规划威胁控制战略　189

10．1　“我已经知道了吗？”测试题　189

10．2　设计威胁缓解与遏制方案　191

10．2．1　攻击者确实拥有很多机会　191

10．2．2　大量的潜在风险　191

10．2．3　最大的风险　191

10．2．4　一切的起点　192

10．3　通过硬件/软件/服务来保护网络　193

10．3．1　交换机　193

10．3．2　路由器　194

10．3．3　ASA防火墙　195

10．3．4　其他系统与服务　196

10．4　复习所有考试要点　196

10．5　通过记忆补全表格　196

10．6　定义关键术语　197

第11章　使用访问控制列表来缓解网络威胁　199

11．1　“我已经知道了吗？”测试题　199

11．2　访问控制列表的基础及优势　201

11．2．1　访问列表不再是一盘早点　201

11．2．2　以访问列表来防止恶意流量　202

11．2．3　防御的对象　202

11．2．4　包过滤ACL的工作方式　204

11．2．5　标准访问列表与扩展访问列表　205

11．2．6　访问列表中的行数　206

11．2．7　反掩码　206

11．2．8　对象组　206

11．3　通过实施IPv4 ACL来实现包过滤　207

11．3．1　应用策略　207

11．3．2　监测访问列表　216

11．3．3　记录还是不记录　219

11．4　通过实施IPv6 ACL来实现包过滤　221

11．5　复习所有考试要点　224

11．6　通过记忆补全表格　225

11．7　复习本书中包含的NAT视频　225

11．8　定义关键术语　225

11．9　需要回忆的命令行参考信息　225

第12章　理解防火墙的基础概念　227

12．1　“我已经知道了吗？”测试题　227

12．2　防火墙的概念与技术　229

12．2．1　防火墙技术　229

12．2．2　好的防火墙应该是什么样　229

12．2．3　使用防火墙的理由　230

12．2．4　深度防御的做法　231

12．2．5　防火墙的五大基本方法　232

12．3　使用网络地址转换　235

12．3．1　NAT的作用是隐藏和更改源地址的真实信息　236

12．3．2　内部、外部、本地、全局　236

12．3．3　端口地址转换　237

12．3．4　NAT的选择　238

12．4　创建和部署防火墙　239

12．4．1　防火墙技术　239

12．4．2　设计防火墙网络时的考量因素　239

12．4．3　防火墙访问规则　240

12．4．4　包过滤访问规则结构　241

12．4．5　防火墙规则设计指南　241

12．4．6　规则实施的一致性　242

12．7　复习所有考试要点　242

12．8　通过记忆补全表格　243

12．9　定义关键术语　243

第13章　实施Cisco IOS基于区域的防火墙　245

13．1　我已经知道了吗？”测试题　245

13．2　Cisco IOS基于区域的防火墙　246

13．2．1　基于区域的防火墙如何工作　247

13．2．2　基于区域的防火墙的具体特点　247

13．2．3　区域与使用区域对的理由　247

13．2．4　组合　249

13．2．5　服务策略　250

13．2．6　self区域　252

13．3　配置和验证Cisco IOS基于区域的防火墙　252

13．3．1　头等大事　252

13．3．2　使用CCP来配置防火墙　253

13．3．3　对防火墙的配置进行验证　266

13．3．4　通过命令行验证配置　267

13．3．5　在ZBF的基础上配置NAT转换　271

13．3．6　验证NAT的工作　274

13．4　复习所有考试要点　276

13．5　复习本书中包含的端口安全视频　276

13．6　定义关键术语　276

13．7　需要回忆的命令行参考信息　276

第14章　在Cisco ASA上配置基本防火墙策略　279

14．1　“我已经知道了吗？”测试题　279

14．2　ASA设备的产品与特性　281

14．2．1　了解ASA系列　281

14．2．2　ASA的特性与服务　282

14．3　ASA防火墙基础　284

14．3．1　ASA的安全级别　284

14．3．2　默认的流量　285

14．3．3　管理ASA的工具　287

14．3．4　初始的访问　287

14．3．5　ASA上的数据包过滤　287

14．3．6　实施包过滤ACL　288

14．3．7　模块化策略框架　289

14．3．8　将策略应用在哪里　289

14．4　配置ASA　290

14．4．1　开始配置　290

14．4．2　ASDM GUI界面　295

14．4．3　配置接口　297

14．4．4　客户端的IP地址　304

14．4．5　去往Internet的基本路由　305

14．4．6　NAT和PAT　306

14．4．7　放行其他访问通过防火墙　308

14．4．8　使用Packet Tracer验证哪些数据包会被放行　310

14．4．9　验证过滤Telnet的策略　314

14．5　复习所有考试要点　314

14．6　通过记忆补全表格　315

14．7　定义关键术语　315

14．8　需要回忆的命令行参考信息　315

第15章　Cisco IPS/IDS基础　317

15．1　“我已经知道了吗？”测试题　317

15．2　IPS和IDS　319

15．2．1　传感器的作用是什么　319

15．2．2　IPS和IDS之间的区别　319

15．2．3　传感器平台　321

15．2．4　误报与漏报　321

15．2．5　术语解释-真实与错误　321

15．3　识别在网络中的恶意流量　322

15．3．1　基于特征的IPS/IDS　322

15．3．2　基于策略的IPS/IDS　322

15．3．3　基于异常的IPS/IDS　323

15．3．4　基于信誉的IPS/IDS　323

15．3．5　传感器何时检测恶意流量　323

15．3．6　控制传感器应该采取的行为　324

15．3．7　依据风险评估值采取行动　325

15．3．8　IPv6与IPS　325

15．3．9　规避IPS/IDS　326

15．4　管理特征　326

15．5　警报与告警的监测与管理　327

15．5．1　安全智能　328

15．5．2　IPS/IDS最佳做法　328

15．6　复习所有考试要点　329

15．7　通过记忆补全表格　329

15．8　定义关键术语　329

第16章　实施基于IOS的IPS　331

16．1　“我已经知道了吗？”测试题　331

16．2　了解和安装IOS IPS　332

16．2．1　IOS IPS都可以做什么？　333

16．2．2　安装IOS IPS特性　334

16．2．3　IPS向导　334

16．3　使用IOS IPS中的特征　340

16．3．1　可以采取的行动　344

16．3．2　调整IPS的最佳做法　351

16．4　管理和监测IPS警报　352

16．5　复习所有考试要点　355

16．6　通过记忆补全表格　355

16．7　定义关键术语　356

16．8　需要回忆的命令行参考信息　356

第4部分　使用VPN建立安全连接　359

第17章　VPN技术基础　361

17．1　“我已经知道了吗？”测试题　361

17．2　理解VPN及使用VPN的原因　363

17．2．1　什么是VPN　363

17．2．2　VPN的类型　363

17．2．3　VPN的主要优势　364

17．3　密码的基本组成　367

17．3．1　加密算法与秘钥　367

17．3．2　块加密和流加密　368

17．3．3　对称算法和非对称算法　369

17．3．4　散列　370

17．3．5　散列消息认证码　370

17．3．6　数字签名　371

17．3．7　密钥管理　372

17．3．8　IPSec和SSL　372

17．4　复习所有考试要点　374

17．5　通过记忆补全表格　375

17．6　定义关键术语　375

第18章　理解公钥基础设施　377

18．1　“我已经知道了吗？”测试题　377

18．2　公钥基础设施　379

18．2．1　公钥和私钥对　379

18．2．2　RSA算法、密钥和数字证书　380

18．2．3　证书授权中心　380

18．2．4　根和身份证书　381

18．2．5　CA的认证和注册　384

18．2．6　公钥加密标准　384

18．2．7　简单证书注册协议　385

18．2．8　撤销证书　385

18．2．9　数字证书的用途　385

18．2．10　PKI拓扑　386

18．3　实施PKI　387

18．3．1　ASA的默认状态　387

18．3．2　在ASDM中查看证书　388

18．3．3　添加新的根证书　388

18．3．4　更轻松地安装根证书和身份证书　389

18．4　复习所有考试要点　393

18．5　通过记忆补全表格　394

18．6　定义关键术语　394

18．7　需要回忆的命令行参考信息　394

第19章　IP安全基础　397

19．1　“我已经知道了吗？”测试题　397

19．2　IPSec的概念、组成和操作　399

19．2．1　IPSec的目标　399

19．2．2　IPSec的具体介绍　400

19．2．3　IPSec总结　405

19．3　IPSec的配置和验证　405

19．3．1　配置隧道的工具　405

19．3．2　从规划开始　405

19．3．3　应用配置　406

19．3．4　在路由器上查看等效的CLI命令　412

19．3．5　完成并验证IPSec的设置　414

19．4　复习所有考试要点　420

19．5　通过记忆补全表格　420

19．6　定义关键术语　420

19．7　需要回忆的命令行参考信息　421

第20章　实施IPSec站点到站点VPN　423

20．1　“我已经知道了吗？”测试题　423

20．2　IPSec站点到站点VPN的规划与准备　425

20．2．1　客户需求　425

20．2．2　规划IKE阶段1　427

20．2．3　规划IKE阶段2　427

20．3　IPSec站点到站点VPN的实施与验证　428

20．4　复习所有考试要点　452

20．5　通过记忆补全表格　452

20．6　定义关键术语　452

20．7　需要回忆的命令行参考信息　452

第21章　使用Cisco ASA实现SSL VPN　455

21．1　“我已经知道了吗？”测试题　455

21．2　SSL VPN的功能和用途　457

21．2．1　IPSec过时了吗　457

21．2．2　SSL和TLS协议框架　458

21．2．3　SSL VPN的具体介绍　458

21．2．4　SSL VPN　459

21．3　在ASA上配置SSL无客户端VPN　459

21．3．1　使用SSL VPN向导　460

21．3．2　数字证书　461

21．3．3　认证用户　461

21．3．4　登录　464

21．3．5　从服务器上看到的VPN活动　466

21．4　在ASA上配置完整的SSL AnyConnect VPN　467

21．4．1　SSL VPN类型　467

21．4．2　配置服务器以支持AnyConnect客户端　467

21．4．3　组、连接用户文件、默认值　474

21．4．4　一个项目，三个名称　475

21．4．5　拆分隧道　475

21．5　复习所有考试要点　477

21．6　通过记忆补全表格　477

21．7　定义关键术语　477

第22章　最终冲刺　479

22．1　最后冲刺工具　479

22．1．1　CD上的Pearson认证练习测试引擎和测试题　479

22．1．2　Cisco网络学习空间　480

22．1．3　回忆表　481

22．1．4　章节末尾回顾工具　481

22．1．5　视频　481

22．2　最后复习/学习的建议计划　481

22．3　总结　483

第5部分　附录　485

附录A　“我已经知道了吗？”测试题答案　487

附录B　CCNA安全640-554(IINSv2)考试更新　493

术语表　495

《CCNA安全640-554认证考试指南》是Cisco IINSv2(640-554)认证考试的官方认证指南，主要内容包括网络安全的概念、使用生命周期的方式来理解安全策略、建立安全战略、网络基础保护、使用Cisco配置专家(CCP)来保护网络架构、在Cisco IOS设备上保护管理层、使用IOS和ACS服务器实施AAA、保护二层技术、在IPv6环境中保护数据层、规划威胁控制战略、使用访问控制列表来缓解网络威胁；理解防火墙的基础概念、实施Cisco IOS基于区域的防火墙、在Cisco ASA上配置基本防火墙策略、Cisco IPS/IDS基础、实施基于IOS的IPS、VPN技术基础、理解PKI基础、IP安全基础，实施IPSec站点到站点VPN、使用Cisco ASA实现SSL VPN等，为广大备考人员提供了详实的学习资料。为便于读者深入掌握各章所学的知识，《CCNA安全640-554认证考试指南》提供了大量的案例分析材料，并且在各章提供了测验题和复习题，以加强读者对所学知识的记忆和理解。　　《CCNA安全640-554认证考试指南》主要面向备考Cisco IINSv2(640-554)的考生，全书紧密围绕考试主题，在内容的组织和编写上切实凸显了认证考试需求。此外，《CCNA安全640-554认证考试指南》也非常适合从事网络安全的工程技术人员及网络管理员参考。【作者简介】KeithBarker,CCIE#6783(路由交换和安全），在网络互联领域拥有27年资深工作经验。目前，他就职于CopperRiverIT公司，担任网络工程师和培训师的职务；他曾经就职于EDS、BlueCross、ParamountPicturesKnowledgeNet,并在过去的几年中教授过CCIE级别的培训课程。作为CiscoLearningNetwork最早的CiscoVIP,他H前仍在以多种方式为其提供服务。他拥有CISSP和CCS1证书，热衷于授课和分享教学视频。ScotMorris,CCIE#4713(路由交换、ISP/拨号、安全和SP),在网络互联领域拥有25年的丰富经验。他还拥有CCDE及众多其他认证，其中包括四大主要厂商的9项专家级认证。他曾旅居世界各地，为不同企业和运营商提供咨询；目前，Scott是CopperRiverIT公司的首席技术专家。他也为Cisco公司和其他技术厂商提供CCIE级别的培训和技术培训课程。他的"前半生"（事业起步期）是一名摄影记者，从一个完全不同的领域跨入IT行业使他产生出了许多有趣的观点。作为CiscoLearningNetwork最早的CiscoVIP,他目前仍在以多种方式为其提供服务。YESLAB工作室，作为执国内高端IT培训之牛耳的企业，YESLAB多年来深感本土图书数量的缺位、引进作品质量的参差。有鉴于知识分享始终是YESLAB不变的追求，YESLAB甘愿在培训市场之外，通过书作向华语同仁公开自己对IT的解读，以鼎精英之智，以传技术之功，以飨万千读者。YESLAB工作室应运而生，这是北京鼎智传承科技有限公司服务于技术读者的机构，旨在与人民邮电出版社就IT技术类专业图书的翻译和创作工作展开深入合作，践行"鼎智传承"之宗旨。YESLAB工作室的译作均由拥有大量译作的业内专家执笔，同时由YESLAB高级讲师和学员共同参与和审稿，尽一切可能为读者带来原汁原味的技术阅读体验。YESLAB工作室创作的本土化图书，全部是老余、现任明教教主、阿彭等技术精英；孙晨、戴鑫、闫斌等后起之秀的心血结晶，经由专长于写作的业内人士执笔润色，旨在让读者通过阅读，在事业上百尺竿头更进一步。除了与人民邮电出版社深入合作之外，YESLAB工作室还会与国内髙校合作，陆续推出以校企合作为目标而定制的供高校师生使用的国家高校教材。YESLAB工作室期待能够在未来不断与各类高校和企业开展合作，一道创作更多佳品，为华语技术图书贡献力量。我们更加期待着能够参与本土华语技术图书的对外输出工作，让华人在全球技术领域发出自己的声音。