Cisco ASA、PIX与FWSM防火墙手册

第1章 防火墙概述

1.1 防火墙运行概述

1.1.1 初始校验

1.1.2 Xlate查询

1.1.3 连接查询

1.1.4 ACL查询

1.1.5 用户验证查询

1.1.6 检测引擎

1.2 ICMP、UDP和TCP的检测引擎

1.2.1 ICMP检测

1.2.2 UDP检测

1.2.3 TCP检测

1.2.4 TCP标准化

1.2.5 其他防火墙操作

1.3 硬件和性能

1.4 基本安全策略准则

第2章 配置基础

2.1 用户界面

2.1.1 用户界面模式

2.1.2 用户界面特性

2.2 防火墙特性和许可证

2.3 初始防火墙配置

第3章 建立连接

3.1 配置接口

3.1.1 检验防火墙接口

3.1.2 配置接口冗余

3.1.3 基本接口配置

3.1.4 在接口上配置IPv

3.1.5 配置ARP高速缓存

3.1.6 配置接口的MTU和分段

3.1.7 配置接口优先队列

3.1.8 防火墙拓扑结构考虑事项

3.2 配置路由选择

3.2.1 使用路由选择信息防止IP地址欺骗

3.2.2 配置静态路由

3.2.3 支持基于可达性的静态路由

3.2.4 配置RIP以交换路由选择信息

3.2.5 配置EIGRP以交换路由选择信息

3.2.6 配置OSPF以交换路由选择信息

3.3 DHCP服务器功能

3.3.1 将防火墙作为一个DHCP服务器

3.3.2 从DHCP服务器更新动态DNS

3.3.3 向DHCP服务器转发DHCP请求

3.4 组播支持

3.4.1 组播概述

3.4.2 组播寻址

3.4.3 转发组播流量

3.4.4 IGMP：寻找组播组中的接收者

3.4.5 PIM：建立一个组播分发树

3.4.6 配置PIM

3.4.7 使用组播边界划分域

3.4.8 过滤PIM邻居

3.4.9 过滤双向PIM邻居

3.4.10配置Stub组播路由选择(SMR，StubMulticastRouting)

3.4.11配置IGMP操作

3.4.12Stub组播路由选择实例

3.4.13PIM组播路由选择实例

3.4.14验证IGMP组播操作

3.4.15验证PIM组播路由选择操作

第4章 防火墙管理

4.1 使用SecurityContext构建虚拟防火墙

4.1.1 SecurityContext(虚拟防火墙)结构

4.1.2 共享context接口

4.1.3 共享context接口的问题

4.1.4 用唯一MAC地址解决共享context接口问题

4.1.5 配置文件和securitycontext

4.1.6 Multiple-context配置规则

4.1.7 启动Multiple-context模式

4.1.8 multiplesecuritycontext之间的切换

4.1.9 配置一个新的context

4.1.10给context分配防火墙资源

4.1.11验证multiple-context操作

4.2 管理Flash文件系统

4.2.1 引导ASA或FWSMFlash文件系统

4.2.2 管理ASA或FWSMFlash文件系统

4.2.3 使用PIX6.3 Flash文件系统

4.2.4 识别操作系统镜像

4.2.5 从监控提示符中更新镜像

4.2.6 通过管理会话升级镜像

4.2.7 自动升级镜像

4.3 管理配置文件

4.3.1 管理启动配置

4.3.2 保存运行配置

4.3.3 输入配置

4.4 用自动更新服务器进行自动更新

4.4.1 将防火墙配置为自动更新客户端

4.4.2 验证自动更新客户端操作

4.4.3 将防火墙配置为自动更新服务器

4.5 管理管理会话

4.5.1 控制台连接

4.5.2 Telnet会话

4.5.3 SSH会话

4.5.4 ASDM/PDM会话

4.5.5 用户会话标志(Banner)

4.5.6 监视管理会话

4.6 防火墙重载和崩溃

4.6.1 重载防火墙

4.6.2 获得崩溃信息

4.7 用SNMP监测防火墙

4.7.1 防火墙SNMP支持概述

4.7.2 SNMP配置

第5章 防火墙用户管理

5.1 一般用户管理

5.1.1 一般用户的验证与授权

5.1.2 通用用户统计

5.2 用本地数据库管理用户

5.2.1 本地用户名的验证

5.2.2 授权用户访问防火墙命令

5.2.3 本地用户行为统计

5.3 定义用于用户管理的AAA服务器

5.4 配置AAA以管理管理级用户

5.4.1 启用AAA用户验证

5.4.2 启动AAA命令授权

5.4.3 启用AAA命令统计

5.5 为终端用户直通代理配置AAA

5.5.1 验证通过用户

5.5.2 使用TACACS+服务器授权用户行为

5.5.3 使用RADIUS服务器授权用户行为

5.5.4 保存用户行为的统计记录

5.5.5 AAA直通式代理配置实例

5.6 防火墙密码恢复

5.6.1 恢复ASA密码

5.6.2 恢复PIX密码

5.6.3 恢复FWSM密码

第6章 通过防火墙的控制访问

6.1 路由和透明防火墙模式

6.2 地址转换

6.2.1 定义访问方向

6.2.2 地址转换类型

6.2.3 通过地址转换处理连接

6.2.4 静态NAT

6.2.5 策略NAT

6.2.6 一致性NAT

6.2.7 NAT豁免

6.2.8 动态地址转换(NAT或PAT)

6.2.9 控制流量

6.3 使用访问列表控制访问

6.3.1 编译访问列表

6.3.2 配置访问列表

6.3.3 访问列表实例

6.3.4 定义对象组

6.3.5 监控访问列表

6.4 规避流量

第7章 检测流量

7.1 过滤内容

7.1.1 配置内容过滤器

7.1.2 内容-过滤举例

7.1.3 利用Web缓存实现更好的HTTP服务性能

7.2 在模块化策略结构中定义安全策略

7.2.1 对3和4层流量进行分类

7.2.2 分类管理流量

7.2.3 定义一个第3/4层策略

7.2.4 默认策略定义

7.3 应用检测

第8章 使用故障切换(failover)增强防火墙的可用性

8.1 防火墙故障切换(failover)概述

8.1.1 故障切换工作原理

8.1.2 防火墙故障切换的作用

8.1.3 检测防火墙故障

8.1.4 故障切换通信

8.1.5 A/A模式故障切换的要求

8.2 配置防火墙故障切换

8.3 防火墙故障切换配置示例

8.3.1 PIX防火墙A/S模式的故障切换实例

8.3.2 FWSM中A/S模式故障切换的配置示例

8.3.3 A/A模式的故障切换实例

8.4 防火墙故障切换管理

8.4.1 显示故障切换信息

8.4.2 调试故障切换行为

8.4.3 手工干预故障切换

8.4.4 在故障切换对等单元上执行命令

8.5 在故障切换模式下对防火墙进行升级

8.5.1 手工升级故障切换对

8.5.2 自动升级故障切换对

第9章 防火墙负载均衡

9.1 防火墙负载均衡概述

9.2 基于软件的防火墙负载均衡

9.2.1 IOSFWLB配置要点

9.2.2 IOSFWLB配置

9.2.3 IOS防火墙负载均衡举例

9.2.4 显示关于IOSFWLB的信息

9.3 基于硬件的防火墙负载均衡

9.3.1 基于硬件的FWLB配置要点

9.3.2 配置CSMFWLB

9.3.3 CSM防火墙负载均衡举例

9.3.4 显示CSMFWLB的相关信息

9.4 防火墙负载均衡设备

9.4.1 CSSFWLB配置

9.4.2 CSS用于防火墙负载均衡示例

9.4.3 显示CSSFWLB相关信息

第10章 防火墙日志

10.1 防火墙时钟管理

10.1.1 手工设置时钟

10.1.2 用NTP设置时钟

10.2 产生日志消息

10.2.1 Syslog服务器的建议

10.2.2 日志配置

10.2.3 验证消息日志活动

10.2.4 手工测试日志消息的产生

10.3 微调日志消息的生成

10.3.1 修剪消息

10.3.2 改变消息严重级别

10.3.3 访问列表活动日志

10.4 分析防火墙日志

第11章 验证防火墙运行

11.1 检查防火墙的生命特征

11.1.1 使用系统日志信息

11.1.2 检测系统资源

11.1.3 检查状态检测资源

11.1.4 检查防火墙吞吐量

11.1.5 检查检测引擎和服务策略行为

11.1.6 检查故障切换操作

11.1.7 检查防火墙接口

11.2 查看通过防火墙的数据

11.2.1 使用捕获

11.2.2 使用调试数据包

11.3 验证防火墙连通性

11.3.1 步骤1：用ping数据包测试

11.3.2 步骤2：检查ARP缓存

11.3.3 步骤3：检查路由选择表

11.3.4 步骤4：使用traceroute验证转发路径

11.3.5 步骤5：检查访问列表

11.3.6 步骤6：验证地址转换和连接表

11.3.7 步骤7：查找活动的阻塞

11.3.8 步骤8：检查用户验证

11.3.9 步骤9：了解所发生的变化

第12章 ASA模块

12.1 初始配置ASASSM

12.1.1 为SSM管理流量预备ASA

12.1.2 连接和配置SSM管理接口

12.2 配置CSCSSM

12.2.1 配置ASA将流量转移到CSCSSM

12.2.2 配置初始CSCSSM设置

12.2.3 修复初始CSC配置

12.2.4 连接到CSC管理接口

12.2.5 配置自动更新

12.2.6 配置CSC检测策略

12.2.7 配置Web(HTTP)检测策略

12.2.8 配置文件传输(FTP)检测策略

12.2.9 配置邮件(SMTP和POP3)检测策略

12.3 配置AIPSSM

12.3.1 初始配置AIP

12.3.2 管理AIP

12.3.3 更新AIP许可证

12.3.4 手工更新AIP代码或特征文件

12.3.5 自动更新AIP镜像和特征文件

12.3.6 IPS策略

12.3.7 AIP接口

12.3.8 虚拟传感器

附录A 通用协议和端口号

A-1：IP协议号

A-2：ICMP消息类型

A-3：IP端口号

附录B 安全设备日志消息

B-1：警报——系统日志严重等级1消息

B-2：重要——系统日志严重等级2消息

B-3：错误——系统日志严重等级3消息

B-4：警告——系统日志严重等级4消息

B-5：通知——系统日志严重等级5消息

B-6：信息——系统日志严重等级6消息

B-7：调试——系统日志严重等级7消息

在网络威胁泛滥的今天，利用防火墙技术保护网络的安全已经成为一项极为重要的任务。本书主要内容包括防火墙概述和配置基础、防火墙管理和用户管理、通过防火墙的控制访问、检测流量、使用故障切换增强防火墙的可用性、防火墙负载均衡、防火墙日志、验证防火墙运行、ASA模块等内容，附录部分还对通用协议和端口号、安全设备日志消息进行了介绍。
　　本书适合网络管理员、防火墙安全工程师(或顾问)、对防火墙相关技术感兴趣的初学者阅读。

《Cisco ASA、PIX与FWSM防火墙手册(第2版)》是一本实施当前流行的Cisco防火墙安全解决方案常见特性的指南。涵盖了最新的防火墙版本，能够帮助你轻松快速地配置、集成和管理全系列Cisco防火墙产品，这包括ASA、PIX和Catalyst防火墙服务模块（FWSM）。
　　《Cisco ASA、PIX与FWSM防火墙手册(第2版)》按照特性族进行组织。能够帮助你快速有效地掌握诸如文件管理、连通性的建立、控制访问、防火墙管理、利用failover特性增强可用性，负载平衡、记录日志和验证操作等主题。
　　书中有些段落用带阴影的标签标注。供快速参考所用。每一个特性的信息都以一种简捷的格式列出，这包括背景、配置和实例组件。
　　无论你是在寻找最新的ASA、PIX和FWSM设备的介绍。还是在寻找Cisco防火墙部署的完整参考，《Cisco ASA、PIX与FWSM防火墙手册(第2版)》都能够帮助你实现对网络资源的最大保护。
　　·学习不同的防火墙模型、用户界面、特性集以及配置方法：
　　·理解Cisco防火墙如何检测流量；
　　·配置防火墙接口、路由、IP寻址服务和IP组播支持；
　　·维护安全context、flash和配置文件，管理用户，使用SNMP监视防火墙；
　　·对防火墙用户进行认证、授权，并维护审计记录；
　　·通过部署透明模式和路由模式的防火墙、地址转换以及流量回避（shun）对穿越防火墙的访问进行控制；
　　·以模块化的策略框架定义可识别并作用于不同流量类型的安全策略；
　　·利用防火墙的failover特性提高防火墙的可用性；
　　·理解防火墙负载平衡的工作原理；
　　·生成防火墙行为日志，并学习如何分析日志内容；
　　·对防火墙的操作和连通性进行验证并对“穿越”防火墙的数据进行研究；
　　·配置安全服务模块，如内容安全控制（CSC）模块和高级检测处理器（AIP）模块。
　　《Cisco ASA、PIX与FWSM防火墙手册(第2版)》属于Cisco Press网络技术图书中的安全类别。Cisco Press出版的安全图书可以帮助网络专业人员保护关键的数据和资源，阻止和缓解网络攻击。以及构建端到端的自防御体系。