Microsoft Word - DS_ _06_ntwrk_scrty_isr_qa_v2-C-proofed.pdf.doc

Transcription

1 问 答 思 科 集 成 多 业 务 路 由 器 上 的 安 全 特 性 本 文 将 回 答 有 关 Cisco 和 3800 系 列 集 成 多 业 务 路 由 器 的 常 见 问 题 目 录 一 般 问 题 思 科 自 防 御 网 络 思 科 IPSec VPN Cisco IOS 防 火 墙 和 内 部 入 侵 防 御 IPS 网 络 基 础 保 护 NFP 网 络 控 制 和 抑 制 安 全 语 音 其 他 安 全 特 性 集 成 多 业 务 路 由 器 安 全 捆 绑 系 统 和 设 备 管 理 认 证 和 限 制 一 般 问 题 问 目 前 推 出 了 哪 些 新 的 集 成 多 业 务 路 由 器 产 品 它 们 部 署 在 网 络 中 的 哪 些 地 方 答 目 前 思 科 系 统 公 司 正 在 用 能 够 提 供 安 全 的 数 据 语 音 和 视 频 服 务 的 新 型 集 成 多 业 务 路 由 器 重 新 定 义 最 佳 路 由 功 能 凭 借 思 科 20 多 年 来 的 领 先 地 位 和 创 新 传 统 固 定 配 置 的 Cisco 和 模 块 化 的 Cisco 集 成 多 业 务 路 由 器 不 但 能 提 供 业 界 最 全 面 的 安 全 服 务 还 能 智 能 地 在 单 一 永 续 系 统 中 嵌 入 数 据 安 全 和 语 音 技 术 以 可 扩 展 的 快 速 方 式 提 供 关 键 业 务 应 用 Cisco 和 3800 系 列 适 用 于 小 企 业 和 大 型 企 业 的 分 支 机 构 提 供 了 一 种 功 能 丰 富 的 集 成 解 决 方 案 便 于 连 接 远 程 办 公 机 构 移 动 用 户 合 作 伙 伴 外 部 网 或 电 信 运 营 商 管 理 的 客 户 端 设 备 CPE 思 科 的 集 成 多 业 务 路 由 器 能 够 透 明 地 与 Cisco 7000 系 列 路 由 器 在 总 部 网 络 边 缘 互 操 作 不 仅 如 此 Cisco 7200 系 列 和 7301 汇 聚 路 由 器 还 能 使 用 相 同 的 Cisco IOS 软 件 创 新 全 面 的 高 级 安 全 特 性 因 而 使 客 户 能 够 建 立 真 正 有 效 的 集 成 式 端 到 端 智 能 信 息 网 络 凭 借 用 于 企 业 数 据 中 心 的 Cisco 7600 系 列 路 由 器 客 户 可 拥 有 一 个 具 有 高 可 扩 展 性 模 块 化 的 VPN 和 集 成 化 安 全 解 决 方 案 思 科 集 成 多 业 务 路 由 器 是 思 科 自 防 御 网 络 的 一 个 主 要 组 件 使 客 户 可 实 现 路 由 和 安 全 策 略 的 同 步 降 低 运 营 成 本 并 提 高 整 个 网 络 的 安 全 性 利 用 基 于 Cisco IOS 软 件 的 VPN 防 火 墙 和 入 侵 防 御 系 统 IPS 以 及 可 选 的 增 强 VPN 加 速 入 侵 检 测 系 统 IDS 和 内 容 引 擎 网 络 模 块 Cisco 2800 和 3800 系 列 思 科 为 分 支 机 构 路 由 器 提 供 了 业 界 最 为 强 大 的 自 适 应 安 全 解 决 方 案

2 问 集 成 化 路 由 器 安 全 解 决 方 案 的 优 势 是 什 么 答 集 成 化 路 由 器 安 全 解 决 方 案 采 用 了 PIX 技 术 和 IDS 传 感 器 技 术 将 强 大 的 Cisco IOS 软 件 功 能 与 业 界 领 先 的 LAN/WAN 连 接 和 世 界 级 安 全 特 性 相 结 合 通 过 将 Cisco IOS 软 件 安 全 集 成 到 路 由 器 中 能 够 为 客 户 提 供 以 下 优 势 充 分 利 用 已 有 设 施 充 分 利 用 现 有 网 络 基 础 设 施 无 需 添 置 硬 件 就 能 通 过 Cisco IOS 软 件 在 路 由 器 上 实 施 新 的 安 全 特 性 将 安 全 功 能 部 署 到 最 需 要 的 地 点 灵 活 地 将 防 火 墙 IPS 和 VPN 等 安 全 功 能 应 用 到 网 络 的 任 意 位 置 以 提 高 安 全 保 护 能 力 保 护 网 关 可 在 网 络 的 所 有 入 口 处 部 署 最 佳 安 全 功 能 节 省 资 金 和 时 间 减 少 设 备 数 量 从 而 降 低 了 培 训 和 管 理 成 本 保 护 网 络 基 础 设 施 保 护 路 由 器 防 御 直 接 针 对 网 络 基 础 设 施 的 攻 击 例 如 分 布 式 拒 绝 服 务 DDoS 攻 击 问 Cisco 和 3800 集 成 多 业 务 路 由 器 在 安 全 功 能 方 面 有 什 么 区 别 答 在 Cisco 和 3800 集 成 多 业 务 路 由 器 的 设 计 中 基 于 硬 件 的 加 密 是 一 个 标 准 特 性 从 而 在 每 个 路 由 器 中 部 署 了 安 全 特 性 这 种 内 部 的 基 于 硬 件 加 密 加 速 使 CPU 无 需 再 执 行 VPN 流 程 在 对 路 由 器 CPU 影 响 最 小 的 情 况 下 提 高 了 VPN 吞 吐 率 如 需 更 高 VPN 吞 吐 率 或 可 扩 展 性 还 可 选 择 VPN 加 密 高 级 集 成 模 块 AIM 这 些 路 由 器 也 能 以 与 相 应 的 Cisco IOS 软 件 安 全 镜 像 相 捆 绑 的 形 式 提 供 为 客 户 提 供 丰 富 集 成 的 路 由 和 安 全 软 件 包 补 充 型 Cisco 7000 高 端 解 决 方 案 也 支 持 安 全 捆 绑 如 需 完 整 的 可 用 路 由 器 安 全 捆 绑 列 表 请 访 问 思 科 自 防 御 网 络 问 集 成 多 业 务 路 由 器 还 有 哪 些 安 全 功 能 答 作 为 思 科 自 防 御 网 络 的 有 机 组 成 部 分 Cisco 和 3800 路 由 器 支 持 范 围 广 泛 的 安 全 特 性 思 科 自 防 御 网 络 是 一 种 能 够 帮 助 各 机 构 识 别 预 防 和 应 对 网 络 安 全 威 胁 的 战 略 问 思 科 自 防 御 网 络 战 略 有 哪 些 关 键 组 件 答 思 科 自 防 御 网 络 是 建 立 在 集 成 化 安 全 协 作 式 安 全 系 统 和 自 适 应 威 胁 防 御 基 础 之 上 以 网 络 基 础 保 护 为 底 层 的 支 持 结 构 SDN 集 成 化 安 全 使 每 个 网 络 元 素 都 成 为 防 御 点 这 其 中 包 括 路 由 器 交 换 机 设 备 和 终 端 从 而 为 网 络 安 全 带 来 了 革 命 性 的 改 变 集 成 化 安 全 使 路 由 器 成 为 了 保 护 网 络 的 关 键 设 备 其 核 心 因 素 包 括 安 全 连 接 威 胁 防 御 以 及 信 任 和 身 份 识 别 安 全 连 接 提 供 便 于 扩 展 可 传 输 多 种 流 量 的 安 全 网 络 连 接 例 如 VPN 动 态 多 点 VPN DMVPN 多 虚 拟 路 径 转 发 VRF 和 多 协 议 标 签 交 换 MPLS 安 全 环 境 语 音 和 视 频 型 VPN V3PN 以 及 高 度 安 全 语 音 等 威 胁 防 御 利 用 网 络 服 务 预 防 网 络 攻 击 和 威 胁 并 对 其 作 出 相 应 包 括 Cisco IOS IPS 和 Cisco IOS 防 火 墙 信 任 和 身 份 识 别 利 用 验 证 授 权 和 记 帐 AAA 公 共 交 换 密 钥 PKI 及 802.1x 等 技 术 使 网 络 能 够 智 能 地 保 护 终 端

3 凭 借 SDN 协 作 安 全 系 统 安 全 成 为 了 一 个 全 网 系 统 包 括 终 端 网 络 和 策 略 例 如 网 络 准 入 控 制 NAC 等 解 决 方 案 其 中 多 项 服 务 和 设 备 相 互 协 作 通 过 主 动 管 理 而 防 御 攻 击 SDN 自 适 应 威 胁 防 御 ATD 可 动 态 防 御 多 个 层 次 的 威 胁 更 为 紧 密 地 控 制 网 络 流 量 终 端 用 户 和 应 用 从 而 进 一 步 降 低 了 安 全 风 险 ATD 将 服 务 整 合 到 少 数 几 个 设 备 上 从 而 简 化 了 架 构 设 计 并 降 低 了 运 营 成 本 这 种 创 新 方 式 在 高 性 能 解 决 方 案 中 将 安 全 多 层 智 能 应 用 保 护 以 及 网 络 级 控 制 和 威 胁 抑 制 进 行 了 出 色 的 结 合 ATD 的 主 要 组 件 包 括 Anti-X 防 御 应 用 安 全 以 及 网 络 控 制 和 抑 制 实 现 了 经 过 更 出 色 协 调 的 威 胁 防 御 Anti-X 防 御 通 过 创 新 的 流 量 和 内 容 导 向 安 全 服 务 防 御 和 应 对 网 络 威 胁 核 心 安 全 增 强 技 术 包 括 防 火 墙 入 侵 防 御 系 统 IPS 和 异 常 事 件 检 测 它 们 可 与 应 用 检 测 服 务 如 网 络 防 病 毒 防 间 谍 软 件 防 垃 圾 邮 件 分 布 式 拒 绝 服 务 DDoS 防 御 和 URL 过 滤 等 相 结 合 这 为 重 要 的 网 络 安 全 实 施 点 提 供 了 精 确 的 流 量 检 测 服 务 因 此 可 将 非 法 流 量 在 网 络 中 广 泛 传 播 前 抑 制 它 们 例 如 通 过 高 级 应 用 检 测 和 控 制 来 保 护 Web 服 务 器 免 遭 损 害 HTTP 和 电 子 邮 件 检 测 引 擎 可 阻 止 用 户 在 Web 服 务 器 上 书 写 或 放 置 内 容 应 用 安 全 通 过 应 用 级 访 问 控 制 应 用 检 测 以 及 正 确 的 应 用 使 用 策 略 Web 应 用 控 制 和 交 易 保 密 性 等 的 实 施 提 供 了 先 进 的 业 务 应 用 保 护 例 如 通 过 内 部 入 侵 防 御 来 抵 御 网 络 边 缘 处 的 蠕 虫 特 征 定 制 和 字 符 串 引 擎 支 持 可 在 边 缘 抵 御 蠕 虫 的 攻 击 防 Spyware 防 Malware 等 网 络 控 制 和 抑 制 网 络 智 能 和 安 全 技 术 的 虚 拟 化 提 供 了 先 进 的 审 查 和 关 联 功 能 可 通 过 主 动 管 理 和 防 御 功 能 控 制 和 保 护 IP 语 音 VoIP 等 网 络 组 件 或 服 务 例 如 通 过 VRF 感 知 型 防 火 墙 在 保 持 业 务 连 续 性 的 同 时 实 现 最 高 安 全 性 针 对 每 个 上 下 关 联 的 防 火 墙 策 略 使 用 户 可 按 部 门 定 制 安 全 策 略 而 不 会 干 扰 工 作 流 程 网 络 基 础 保 护 NFP 是 思 科 自 防 御 网 络 的 一 个 不 可 缺 少 的 常 用 组 件 可 保 护 网 络 基 础 设 施 免 遭 攻 击 和 安 全 漏 洞 的 影 响 尤 其 在 网 络 级 这 一 功 能 尤 为 明 显 实 例 包 括 控 制 平 面 监 管 基 于 网 络 的 应 用 识 别 NBAR 和 AutoSecure 等 问 作 为 思 科 自 防 御 网 络 战 略 和 自 适 应 威 胁 防 御 的 一 部 分 路 由 器 最 近 有 了 哪 些 改 进 答 随 着 12.3(14)T Cisco IOS Firewall 的 面 世 思 科 继 续 实 施 自 防 御 网 络 安 全 战 略 的 下 一 阶 段 针 对 基 于 应 用 的 潜 在 攻 击 和 应 用 误 用 而 提 供 高 级 应 用 检 测 和 控 制 Cisco IOS 12.3(14)T 版 本 中 的 增 强 内 部 IPS 功 能 提 升 了 防 御 新 威 胁 类 别 的 能 力 新 威 胁 包 括 间 谍 软 件 网 络 病 毒 和 与 IM 应 用 相 关 的 Malware 大 大 提 高 了 防 御 蠕 虫 和 病 毒 攻 击 的 功 能 对 虚 拟 防 火 墙 的 支 持 降 低 了 运 营 成 本 而 对 虚 拟 隧 道 接 口 VTI 的 支 持 则 简 化 了 VPN 的 配 置 和 管 理 问 这 些 安 全 功 能 是 否 也 适 用 于 高 端 路 由 器 答 是 思 科 自 防 御 网 络 不 仅 限 于 分 支 机 构 使 用 它 可 通 过 Cisco 7000 扩 展 到 总 部 提 供 端 到 端 保 护

4 问 是 否 有 安 全 特 性 支 持 Cisco 和 3700 系 列 路 由 器 而 不 支 持 集 成 多 业 务 路 由 器 答 没 有 集 成 多 业 务 路 由 器 构 建 在 Cisco 和 3700 特 性 集 的 基 础 之 上 且 通 过 硬 件 和 软 件 进 行 了 增 强 提 供 更 为 强 大 的 安 全 解 决 方 案 Cisco IPSec VPN 问 集 成 多 业 务 路 由 器 上 支 持 哪 些 类 型 的 VPN 答 集 成 多 业 务 路 由 器 提 供 IPSec 加 密 和 隧 道 协 议 如 数 字 加 密 标 准 DES 三 重 DES 3DES 高 级 加 密 标 准 AES 通 用 路 由 封 装 GRE 第 二 层 转 发 L2F L2TP Cisco Easy VPN V3PN DMVPN 多 VPN 路 由 和 转 发 多 VRF 以 及 多 协 议 标 签 交 换 MPLS 安 全 环 境 问 高 端 路 由 器 是 否 具 备 这 些 特 性 答 尽 管 它 们 不 使 用 板 载 技 术 Cisco 7200 系 列 Cisco 7301 和 Cisco 7600 系 列 路 由 器 仍 支 持 前 面 列 出 的 所 有 VPN 特 性 问 还 有 哪 些 特 性 提 高 了 基 于 路 由 器 的 IPSec VPN 的 可 扩 展 性 和 安 全 性 答 集 成 的 Cisco IOS 证 书 授 权 服 务 器 提 供 了 一 种 在 IPSec 基 础 设 施 上 在 内 部 简 单 地 实 现 数 字 证 书 安 全 性 的 方 式 安 全 设 备 配 置 为 部 署 远 程 站 点 的 安 全 配 置 和 数 字 证 书 提 供 了 一 种 自 动 化 程 度 较 高 的 机 制 问 内 部 和 VPN 加 密 AIM 有 哪 些 主 要 特 性 答 Cisco 和 3800 系 列 路 由 器 采 用 了 内 部 硬 件 加 密 加 速 使 主 处 理 器 无 需 再 处 理 IPSec AES DES 和 3DES 加 密 和 VPN 流 程 在 尽 量 不 影 响 路 由 器 CPU 的 情 况 下 提 高 了 VPN 的 吞 吐 率 如 果 还 需 要 提 高 VPN 吞 吐 率 或 扩 展 能 力 可 以 选 择 添 加 VPN 加 密 AIM 利 用 这 种 方 式 可 以 提 高 VPN 的 性 能 且 降 低 路 由 器 CPU 总 体 使 用 率 与 以 前 的 型 号 相 比 可 选 AIM 能 够 提 高 加 密 性 能 和 扩 展 能 力 内 部 VPN 加 速 器 和 基 于 AIM 的 VPN 加 速 器 的 主 要 特 性 包 括 能 够 以 数 倍 于 全 双 工 T3/E3 的 速 度 对 IPSec 加 速 为 所 有 模 块 内 部 和 AIM 提 高 硬 件 加 速 DES 3DES 和 AES 和 256 加 密 算 法 加 速 器 支 持 Rivest Shamir Aldeman RSA 算 法 特 征 和 Diffie-Hellman 验 证 加 速 器 利 用 安 全 散 列 算 法 1 SHA-1 或 消 息 摘 要 算 法 5 MD5 散 列 算 法 保 证 数 据 完 整 性 加 速 器 添 加 了 VPN 加 密 模 块 在 硬 件 中 支 持 第 三 层 IP 负 载 压 缩 协 议 [IPPCP] 压 缩 除 通 用 IPSec 外 集 成 多 业 务 路 由 器 还 可 结 合 使 用 IPSec 和 GRE 这 是 思 科 独 家 开 发 的 解 决 方 案 由 于 能 够 通 过 VPN 传 输 动 态 路 由 协 议 因 而 此 隧 道 技 术 提 供 了 高 于 纯 IPSec 解 决 方 案 的 网 络 永 续 性 利 用 支 持 IPSec 的 GRE 思 科 集 成 多 业 务 路 由 器 不 但 支 持 AppleTalk 和 Novell 互 联 网 分 组 交 换 IPX 等 协 议 还 支 持 视 频 等 组 播 和 广 播 应 用 问 要 使 用 内 部 和 AIM VPN 加 密 功 能 需 哪 些 特 性 集 答 如 需 使 用 内 部 或 AIM VPN 加 密 功 能 需 以 下 Cisco IOS 软 件 特 性 集 高 级 企 业 服 务 高 级 IP 服 务 高 级 安 全 如 果 想 详 细 了 解 相 应 特 性 集 的 选 择 方 法 请 访 问

5 问 在 没 有 VPN 加 密 AIM 的 情 况 下 集 成 多 业 务 路 由 器 是 否 支 持 IPSec 加 密 答 支 持 集 成 多 业 务 路 由 器 具 有 内 部 VPN 加 速 通 过 VPN 加 密 AIM 可 获 得 更 高 性 能 和 扩 展 性 问 集 成 多 业 务 路 由 器 可 使 用 哪 些 加 密 AIM 答 表 1 列 出 了 模 块 化 Cisco 和 3800 系 列 平 台 上 支 持 的 AIM 平 台 Cisco 1800 Cisco 2800 Cisco 3825 Cisco 3845 表 1 模 块 化 Cisco 和 3800 系 列 上 支 持 的 AIM 支 持 的 加 密 模 块 AIM-VPN/BPII-PLUS AIM-VPN/EPII-PLUS AIM-VPN/EPII-PLUS AIM-VPN/HPII-PLUS 问 哪 些 加 密 AIM 不 适 用 于 集 成 多 业 务 路 由 器 答 集 成 多 业 务 路 由 器 上 不 支 持 以 下 加 密 AIM AIM-VPN/BP AIM-VPN/EP AIM-VPN/HP AIM-VPN/BPII AIM-VPN/EPII AIM-VPN/HPII 问 我 应 在 何 时 销 售 VPN 加 密 AIM 而 不 是 仅 使 用 内 部 加 密 答 VPN 加 密 AIM 是 一 个 用 于 DMVPN 等 汇 聚 型 应 用 的 理 想 解 决 方 案 这 些 应 用 通 常 需 要 大 量 远 程 VPN 隧 道 此 外 VPN 加 密 AIM 有 助 于 确 保 您 的 投 资 适 应 于 未 来 发 展 能 在 您 的 VPN 性 能 需 求 提 高 时 提 供 更 大 发 展 空 间 问 内 部 加 密 是 否 可 与 VPN 加 密 AIM 共 用 答 否 安 装 了 VPN 加 密 AIM 后 内 部 加 密 就 不 再 运 行 了 所 有 IPSec 功 能 都 通 过 VPN 加 密 AIM 提 供 问 内 部 加 密 和 VPN 加 密 AIM 能 否 与 其 他 思 科 解 决 方 案 互 操 作 答 能 因 为 内 部 加 密 和 VPN 加 密 AIM 都 使 用 Cisco IOS 软 件 它 们 可 与 所 有 支 持 Cisco IOS 软 件 的 平 台 互 操 作 此 外 它 们 还 可 与 思 科 防 火 墙 设 备 Cisco IDS 传 感 器 设 备 和 Cisco VPN 集 中 器 互 操 作 问 如 何 安 装 VPN 加 密 AIM 答 VPN 加 密 AIM 安 装 在 集 成 多 业 务 路 由 器 的 一 个 AIM 扩 展 插 槽 中 它 们 可 与 路 由 器 一 同 订 购 也 可 进 行 现 场 升 级 问 能 否 将 两 个 VPN 加 密 AIM 安 装 在 一 个 集 成 多 业 务 路 由 器 中 答 不 能 集 成 多 业 务 路 由 器 仅 支 持 一 个 VPN 加 密 AIM

6 问 如 果 不 打 开 机 箱 能 否 安 装 VPN 加 密 AIM 答 能 如 果 安 装 了 VPN 加 密 AIM show version 命 令 会 显 示 确 认 信 息 show crypto engine configuration brief 命 令 显 示 集 成 多 业 务 路 由 器 中 安 装 的 VPN 模 块 的 类 型 此 外 思 科 SDM 主 页 的 Hardware Details 窗 口 也 可 显 示 安 装 的 VPN 模 块 的 类 型 问 是 否 会 宣 布 终 止 某 些 现 有 安 全 模 块 的 销 售 答 否 目 前 并 未 宣 布 终 止 任 何 安 全 模 块 的 销 售 问 集 成 多 业 务 路 由 器 能 否 用 内 部 加 密 执 行 第 三 层 IPPCP 压 缩 答 否 只 有 VPN 加 密 AIM 支 持 硬 件 中 的 第 三 层 IPPCP 压 缩 内 部 加 密 不 支 持 问 集 成 多 业 务 路 由 器 是 否 支 持 人 工 IPSec 答 否 内 部 加 密 和 VPN 加 密 AIM 均 不 支 持 人 工 IPSec 问 集 成 多 业 务 路 由 器 能 否 与 思 科 VPN 客 户 端 共 用 答 能 思 科 VPN 客 户 端 既 可 与 内 部 加 密 共 用 也 可 与 VPN 加 密 AIM 共 用 问 集 成 多 业 务 路 由 器 能 否 采 用 Cisco Easy VPN Remote 客 户 端 服 务 器 模 式 答 Easy VPN 服 务 器 是 指 支 持 Cisco Easy VPN Remote 硬 件 和 软 件 客 户 端 的 动 态 配 置 的 高 端 设 备 Easy VPN 客 户 端 是 指 从 Easy VPN 服 务 器 接 收 IPSec 配 置 的 CPE 集 成 多 业 务 路 由 器 可 作 为 Easy VPN Remote 客 户 端 也 可 作 为 Easy VPN 服 务 器 问 集 成 多 业 务 路 由 器 是 否 既 支 持 IPSec 又 支 持 IP 语 音 VoIP 答 是 采 用 内 部 加 密 和 VPN 加 密 AIM 的 集 成 多 业 务 路 由 器 均 支 持 Cisco V3PN IPSec 解 决 方 案 以 前 提 及 的 V3PN 捆 绑 也 包 括 数 字 信 号 处 理 器 DSP 分 组 语 音 / 数 据 模 块 PVDM 以 及 对 于 远 程 电 话 应 急 呼 叫 SRST 或 Cisco CallManager Express CME 的 许 可 有 关 V3PN 解 决 方 案 的 更 多 信 息 请 访 问 以 下 URL 问 12.3(14)T 推 出 了 哪 些 新 的 IPSec 特 性 答 Cisco IOS 12.3(14)T 提 供 了 Cisco IPSec 虚 拟 隧 道 接 口 VTI 问 什 么 是 VTI 它 提 供 了 哪 些 优 势 答 思 科 IPSec 虚 拟 隧 道 接 口 VTI 是 一 种 全 新 的 工 具 利 用 它 客 户 可 以 在 各 地 点 的 设 备 之 间 配 置 基 于 IPSec 的 VPN 大 大 简 化 了 VPN 的 配 置 和 设 计 IPSec VTI 隧 道 能 够 在 公 共 WAN 上 建 立 一 条 专 用 路 径 然 后 用 新 的 分 组 报 头 封 装 流 量 以 保 证 将 其 传 输 到 特 定 的 目 的 地 由 于 流 量 只 能 在 某 个 端 点 进 入 通 道 因 而 网 络 是 专 用 的 另 外 IPSec 还 能 提 供 真 正 的 保 密 性 与 加 密 效 果 相 同 而 且 可 以 传 输 加 密 流 量 优 点 简 化 管 理 客 户 可 利 用 IOS 虚 拟 隧 道 来 配 置 IPSec 虚 拟 隧 道 接 口 从 而 降 低 了 VPN 配 置 的 复 杂 度 由 此 缩 减 了 成 本 也 极 大 地 减 少 了 对 于 本 地 IT 支 持 的 需 求 此 外 为 实 现 监 控 也 可 利 用 能 监 控 接 口 的 现 有 管 理 应 用 支 持 组 播 加 密 客 户 可 使 用 IOS IPSec 虚 拟 隧 道 接 口 安 全 地 将 如 同 许 多 语 音 和 视 频 应 用 的 组

7 播 流 量 控 制 流 量 或 数 据 流 量 从 一 个 地 点 传 输 到 另 一 个 地 点 提 供 一 个 可 路 由 接 口 IOS IPSec 虚 拟 隧 道 接 口 能 支 持 所 有 类 型 的 IP 路 由 协 议 客 户 可 使 用 VTI 的 这 些 功 能 通 过 PBX 扩 展 连 接 较 大 的 办 公 环 境 如 分 支 机 构 提 高 了 可 扩 展 性 IPSec 虚 拟 接 口 只 需 建 立 较 少 的 安 全 关 联 即 可 传 输 不 同 类 型 的 单 播 和 组 播 流 量 由 此 提 高 了 可 扩 展 性 为 定 义 特 性 提 供 了 更 高 灵 活 性 IPSec 虚 拟 接 口 是 在 自 己 的 接 口 中 进 行 的 一 种 封 装 它 使 用 户 可 灵 活 地 定 义 运 行 于 物 理 或 IPsec 接 口 上 的 特 性 Cisco IOS 防 火 墙 和 内 部 入 侵 防 御 IPS 问 什 么 是 IPS 集 成 多 业 务 路 由 器 上 是 否 支 持 IPS 答 Cisco IOS IPS 是 一 种 内 部 深 层 分 组 检 测 解 决 方 案 可 与 Cisco IOS 软 件 共 用 有 效 抵 御 网 络 攻 击 Cisco IOS IPS 可 用 于 入 侵 防 御 和 事 件 通 知 并 能 够 充 分 利 用 Cisco IDS 4200 传 感 器 软 件 和 特 征 由 于 Cisco IOS 软 件 IPS 安 装 在 内 部 可 以 丢 弃 流 量 发 送 报 警 或 重 新 建 立 连 接 因 而 使 路 由 器 能 够 快 速 对 安 全 威 胁 作 出 响 应 有 效 保 护 网 络 安 全 近 期 发 布 的 新 性 能 包 括 能 够 实 时 动 态 地 加 载 和 支 持 选 定 的 IPS 特 征 所 支 持 的 特 征 数 量 不 断 增 加 目 前 思 科 IDS 传 感 器 平 台 支 持 的 特 征 总 数 已 经 超 过 了 1200 个 用 户 可 以 修 改 现 有 特 征 也 可 以 创 建 新 特 征 以 便 抵 御 新 型 威 胁 可 针 对 各 个 特 征 而 发 送 报 警 丢 弃 分 组 或 重 新 建 立 连 接 利 用 它 的 另 一 功 能 允 许 希 望 进 一 步 增 强 入 侵 保 护 的 用 户 选 择 易 于 使 用 包 含 最 有 可 能 出 现 的 蠕 虫 和 攻 击 特 征 的 特 征 文 件 与 这 些 高 度 确 定 的 蠕 虫 和 攻 击 特 征 相 匹 配 的 流 量 将 被 立 即 丢 弃 思 科 SDM 提 供 的 直 观 用 户 界 面 可 以 提 供 这 些 特 征 无 需 修 改 软 件 镜 像 就 可 动 态 地 从 Cisco.com 上 载 新 特 征 并 相 应 地 根 据 特 征 配 置 路 由 器 从 整 个 Cisco 1800 系 列 到 Cisco 7301 路 由 器 系 列 都 一 致 支 持 Cisco IOS IPS 问 哪 些 特 性 集 支 持 IPS 答 以 下 Cisco IOS 软 件 特 性 集 支 持 IPS 高 级 企 业 服 务 高 级 IP 服 务 高 级 安 全 如 果 想 详 细 了 解 相 应 特 性 集 的 选 择 方 法 请 访 问 问 12.3(14)T 中 对 Cisco IOS IPS 作 了 哪 些 改 进 答 添 加 了 四 个 新 的 字 符 串 引 擎 以 及 对 本 地 隔 离 的 支 持 问 这 些 改 进 会 带 来 哪 些 优 势 答 新 引 擎 的 支 持 有 助 于 抵 御 最 新 攻 击 类 型 大 多 数 被 发 现 的 新 攻 击 及 其 特 征 被 收 入 了 这 些 引 擎 本 地 隔 离 是 一 个 动 态 ACL 能 更 迅 速 地 阻 拦 非 法 流 量

8 问 思 科 集 成 多 业 务 路 由 器 能 否 支 持 透 明 IPS 它 有 什 么 优 点 答 除 第 三 层 IPS 外 Cisco 和 3800 将 支 持 透 明 IPS 在 12.4T 的 第 一 个 版 本 中 它 能 在 第 二 层 连 接 提 供 第 三 层 IPS 透 明 IPS 的 优 点 如 下 无 需 对 IP 子 网 重 编 号 即 可 方 便 地 向 现 有 网 络 添 加 IPS 支 持 子 接 口 和 VLAN 中 继 生 成 树 协 议 支 持 正 确 地 处 理 每 802.1d 的 BPDU 分 组 而 不 只 是 通 过 或 丢 弃 支 持 同 一 路 由 器 上 的 第 二 层 和 第 三 层 IPS 混 合 不 需 要 为 接 口 分 配 IP 地 址 支 持 DHCP 直 通 可 在 相 反 的 接 口 双 向 上 分 配 DHCP 地 址 问 IPS 和 IDS 间 的 区 别 是 什 么 答 入 侵 防 御 系 统 IPS 和 入 侵 检 测 系 统 IDS 均 是 流 量 分 析 特 性 用 以 寻 找 已 知 威 胁 的 特 征 模 式 这 两 种 安 全 特 性 的 主 要 差 别 在 于 IDS 监 控 流 量 并 在 发 现 怀 疑 行 为 时 发 送 报 警 而 IPS 可 丢 弃 流 量 发 送 报 警 或 重 新 建 立 连 接 因 而 使 路 由 器 能 够 快 速 对 安 全 威 胁 作 出 响 应 有 效 保 护 网 络 安 全 值 得 注 意 的 是 Cisco IOS 软 件 中 的 IDS 和 IPS 功 能 一 直 是 一 致 的 能 直 接 丢 弃 不 良 流 量 从 Cisco IOS 软 件 12.3(8)T 版 本 2004 年 6 月 开 始 这 一 进 行 了 大 幅 改 进 的 解 决 方 案 称 为 IPS 问 Cisco IOS IPS 和 Cisco IDS 4200 系 列 网 络 模 块 产 品 编 号 NM-CIDS 间 的 区 别 是 什 么 答 IDS 网 络 模 块 产 品 编 号 NM-CIDS 是 网 络 模 块 型 的 Cisco IDS 4200 系 列 传 感 器 其 运 行 的 软 件 与 Cisco IDS 4200 传 感 器 相 同 与 Cisco IDS 解 决 方 案 共 用 Cisco IOS IPS 和 IDS 网 络 模 块 的 主 要 差 别 如 下 此 网 络 模 块 基 于 IDS 而 非 IPS 因 此 无 法 丢 弃 流 量 参 见 上 面 对 于 IDS 和 IPS 间 区 别 的 解 释 网 络 模 块 通 常 支 持 更 多 特 征 网 络 模 块 使 得 IDS 处 理 无 需 在 主 路 由 器 CPU 上 运 行 而 Cisco IOS IPS 在 路 由 器 CPU 上 运 行 网 络 模 块 需 一 个 网 络 模 块 插 槽 所 以 只 有 Cisco 和 3845 平 台 支 持 它 而 所 有 从 Cisco 1800 到 7200 系 列 的 路 由 器 和 Cisco 7301 均 支 持 Cisco IOS IPS 问 在 什 么 情 况 下 我 应 在 分 支 机 构 中 使 用 Cisco IOS IPS 答 星 型 拓 扑 通 常 用 于 包 括 分 支 机 构 的 网 络 其 中 流 量 汇 聚 到 一 个 较 大 的 公 司 机 构 中 心 尽 管 中 心 通 常 是 部 署 防 火 墙 检 测 流 量 以 防 御 攻 击 的 地 点 但 在 部 署 安 全 功 能 时 它 不 是 需 要 考 虑 的 唯 一 地 点 分 支 也 是 您 网 络 中 实 施 防 火 墙 和 IPS 以 便 尽 可 能 在 接 近 网 络 入 点 处 防 御 攻 击 的 主 要 地 点 通 过 实 施 IPSec VPN GRE Cisco IOS 防 火 墙 和 Cisco IOS IPS 思 科 路 由 器 可 在 流 量 进 入 网 络 的 第 一 入 点 对 其 进 行 解 密 隧 道 端 接 防 火 墙 处 理 和 检 测 这 是 业 界 的 首 创 特 性 这 可 减 少 支 持 系 统 所 需 的 设 备 降 低 运 营 和 投 资 开 支 并 增 强 安 全 性 能

9 图 1 从 中 型 分 支 机 构 发 起 总 部 针 对 总 部 的 网 络 攻 击 远 程 接 入 客 户 端 Cisco 2851 中 型 分 支 机 构 Cisco 1841 小 型 分 支 机 构 Cisco 831 小 型 办 公 室 / 家 庭 办 公 图 1 显 示 了 一 个 从 中 型 分 支 机 构 发 起 攻 击 到 总 部 在 一 个 普 通 网 络 中 总 部 的 IDS 传 感 器 应 发 现 攻 击 并 对 其 作 出 响 应 这 类 事 件 可 能 会 重 复 发 生 导 致 浪 费 了 中 型 分 支 机 构 和 总 部 间 的 链 路 带 宽 因 处 理 流 量 而 浪 费 了 CPU 资 源 在 VPN 环 境 中 浪 费 了 VPN 资 源 但 是 如 果 分 支 机 构 路 由 器 提 供 集 成 化 Cisco IOS IPS 它 可 监 控 进 出 分 支 机 构 的 所 有 流 量 根 据 需 要 丢 弃 流 量 发 送 报 警 或 重 新 建 立 连 接 使 路 由 器 能 够 快 速 对 安 全 威 胁 作 出 响 应 有 效 保 护 网 络 安 全 因 为 它 是 一 个 集 成 解 决 方 案 这 种 部 署 不 需 要 独 立 设 备 因 此 降 低 了 网 络 复 杂 度 减 少 了 所 需 管 理 所 以 Cisco IOS IPS 有 助 于 在 发 起 攻 击 点 终 止 攻 击 流 量 尽 可 能 迅 速 地 将 非 法 流 量 从 网 络 中 删 除 问 Cisco IOS IPS 中 有 哪 些 特 征 答 随 着 2005 年 第 一 季 度 Cisco IOS 12.3(14)T 版 本 的 面 世 Cisco IOS IPS 增 加 了 无 需 升 级 Cisco IOS 软 件 镜 像 即 可 下 载 IPS 特 征 的 能 力 现 在 也 已 提 供 思 科 SDM 和 CiscoWorks VMS 管 理 支 持 该 版 本 也 实 现 了 Cisco IOS IPS 支 持 的 第 一 阶 段 可 独 立 升 级 所 支 持 的 特 征 在 此 阶 段 支 持 14 种 IPS 协 议 引 擎 1200 多 种 特 征 第 三 层 IP 协 议 TCP UDP IP 选 项 ICMP HTTP 域 名 系 统 DNS SMTP

10 FTP 远 程 过 程 调 用 RPC TCP 字 符 串 UDP 字 符 串 ICMP 字 符 串 趋 势 包 括 在 这 些 引 擎 中 的 任 意 特 征 都 可 加 载 到 IPS 路 由 器 上 目 前 有 1200 多 种 特 征 可 供 选 择 IPS 引 擎 和 攻 击 特 征 会 不 断 定 期 增 加 问 什 么 时 候 将 支 持 更 多 特 征 答 现 有 引 擎 中 会 不 断 添 加 特 征 随 着 新 攻 击 的 发 现 每 隔 一 周 就 会 向 Cisco.com 定 期 发 布 更 新 问 Cisco IOS IPS 可 防 御 哪 些 类 型 的 攻 击 答 Cisco IOS IPS 是 一 个 基 于 特 征 的 内 部 解 决 方 案 类 似 于 Cisco IDS 4200 系 列 传 感 器 它 可 检 测 出 有 匹 配 特 征 的 活 动 并 加 以 防 御 如 果 第 零 日 或 新 的 攻 击 触 发 了 已 知 攻 击 就 可 被 检 测 出 来 通 常 如 此 问 可 用 哪 些 工 具 管 理 Cisco IOS IPS 答 可 通 过 三 种 方 式 管 理 Cisco IOS IPS 从 2004 年 6 月 面 世 的 Cisco SDM 1.2 起 思 科 SDM 支 持 Cisco IOS IPS 的 蠕 虫 丢 弃 功 能 和 一 个 预 配 置 的 特 征 设 备 文 件 SDF Cisco SDM 2.0 提 供 了 对 Cisco IOS IPS 的 全 面 支 持 包 括 动 态 特 征 更 新 在 CiscoWorks VMS IDS-MC 2.3 版 本 中 CiscoWorks VMS IDS Management Center IDS-MC 将 支 持 Cisco IOS IPS CiscoWorks VMS IDS-MC 以 管 理 Cisco IDS 4200 系 列 传 感 器 的 相 同 方 式 管 理 Cisco IOS IPS 有 一 个 用 于 IPS 的 Cisco IOS 命 令 行 界 面 CLI 的 有 限 特 性 集 包 括 启 用 和 禁 用 特 征 在 出 入 接 口 处 应 用 IPS 访 问 列 表 根 据 特 征 检 查 选 定 流 量 报 警 目 的 地 和 类 型 选 择 受 保 护 网 络 用 copy 命 令 加 载 SDF 配 置 策 略 命 名 每 个 特 征 参 数 的 配 置 保 存 在 SDF 中 可 人 工 更 新 或 用 第 三 方 管 理 工 具 更 新 SDF 随 后 会 传 输 到 路 由 器 闪 存 中 或 直 接 拷 贝 到 路 由 器 RAM 中 问 我 可 如 何 获 得 特 征 更 新 答 IPS 特 征 更 新 和 其 他 所 有 Cisco IPS 及 IDS 特 征 都 公 布 在 Cisco.com 上 网 址 是 attack-drop.sdf 文 件 可 从 以 下 网 址 下 载

11 问 我 能 否 将 集 成 多 业 务 路 由 器 用 作 防 火 墙 答 可 以 当 购 买 了 Cisco IOS 软 件 高 级 安 全 或 更 高 特 性 集 时 所 有 Cisco 和 3800 系 列 路 由 器 都 可 支 持 Cisco IOS 防 火 墙 Cisco IOS 防 火 墙 的 主 要 特 性 包 括 获 得 安 全 认 证 的 状 态 化 防 火 墙 针 对 语 音 视 频 和 其 他 应 用 的 高 级 协 议 检 测 对 每 个 用 户 接 口 或 子 接 口 实 施 安 全 策 略 紧 密 集 成 的 身 份 识 别 服 务 以 提 供 针 对 每 个 用 户 的 验 证 和 授 权 Cisco IOS 防 火 墙 不 但 能 在 网 络 周 边 建 立 单 保 护 点 还 能 将 安 全 策 略 实 施 作 为 网 络 本 身 的 有 机 组 成 部 分 利 用 专 用 策 略 实 施 和 集 成 策 略 实 施 的 灵 活 性 经 济 性 和 有 效 性 可 以 为 分 支 或 远 程 机 构 的 外 部 网 和 内 部 网 周 边 及 互 联 网 连 接 提 供 安 全 可 靠 的 解 决 方 案 Cisco IOS 防 火 墙 通 过 Cisco IOS 软 件 集 成 到 网 络 中 使 客 户 能 够 在 同 一 台 路 由 器 中 使 用 高 级 服 务 质 量 QoS 特 性 从 Cisco 1800 到 7301 路 由 器 的 整 个 系 列 均 一 致 地 支 持 Cisco IOS 防 火 墙 问 我 应 在 何 时 使 用 Cisco IOS 防 火 墙 答 您 可 使 用 Cisco IOS 防 火 墙 保 护 互 联 网 连 接 大 多 数 商 业 需 求 都 在 此 类 例 如 拆 分 隧 道 保 护 分 支 免 受 中 心 的 影 响 保 护 中 心 免 受 分 支 的 影 响 特 别 是 分 支 如 无 线 接 入 点 中 有 潜 在 威 胁 的 时 候 避 免 局 域 网 相 互 影 响 建 立 一 个 双 向 防 火 墙 和 IPS 例 如 同 时 避 免 中 心 和 分 支 相 互 影 响 问 集 成 Cisco IOS 防 火 墙 的 优 点 是 什 么 答 和 其 他 集 成 安 全 解 决 方 案 一 起 Cisco IOS 防 火 墙 可 以 利 用 现 有 网 络 基 础 设 施 无 需 部 署 更 多 硬 件 即 可 通 过 Cisco IOS 软 件 在 路 由 器 上 启 用 新 安 全 特 性 可 灵 活 地 在 网 络 中 的 任 意 地 点 应 用 防 火 墙 功 能 以 实 现 最 高 安 全 性 保 护 路 由 器 防 御 直 接 针 对 网 络 基 础 设 施 的 攻 击 如 DDoS 攻 击 可 在 网 络 的 所 有 进 入 点 部 署 最 佳 安 全 功 能 减 少 设 备 数 目 降 低 培 训 和 管 理 成 本 简 化 网 络 部 署 例 如 客 户 不 必 再 围 绕 非 EIGRP 设 备 进 行 设 计 利 用 Cisco PIX 技 术 将 强 大 的 Cisco IOS 软 件 功 能 和 业 界 领 先 的 LAN 及 WAN 连 接 与 世 界 级 的 状 态 化 防 火 墙 功 能 相 结 合 问 我 为 什 么 需 要 在 分 支 机 构 中 部 署 Cisco IOS 防 火 墙 答 许 多 网 络 都 采 用 星 型 拓 扑 包 括 分 支 机 构 其 中 流 量 汇 聚 到 一 个 较 大 的 公 司 机 构 中 心 尽 管 中 心 通 常 是 部 署 防 火 墙 检 测 流 量 以 防 御 攻 击 的 地 点 但 在 部 署 安 全 功 能 时 它 不 是 需 要 考 虑 的 唯 一 地 点 分 支 机 构 也 是 您 网 络 中 实 施 防 火 墙 和 IPS 以 便 尽 可 能 在 接 近 网 络 入 点 处 防 御 攻 击 的 主 要 地 点 通 过 实 施 IPSec VPN GRE Cisco IOS IPS 和 Cisco IOS 防 火 墙 思 科 路 由 器 可 在 流 量 进 入 网 络 的 第 一 入 点 对 其 进 行 解 密 隧 道 端 接 防 火 墙 处 理 和 检 测 这 是 业 界 的 首 创 特 性 这 可 减 少 支 持 系 统 所 需 的 设 备 降 低 运 营 和 投 资 开 支 并 增 强 安 全 性 能 因 为 它 是 一 个 集 成 解 决 方 案 这 种 部 署 不 需 要 独 立 设 备 因 此 降 低 了 网 络 复 杂 度 减 少 了 所 需 管 理 所 以 Cisco IOS 防 火 墙 有 助 于 在 发 起 攻 击 点 终 止 攻 击 流 量 尽 可 能 迅 速 地 将 非 法 流 量 从 网 络 中 删 除

12 问 我 应 在 何 时 使 用 Cisco IOS 防 火 墙 何 时 使 用 Cisco PIX 防 火 墙 答 在 大 多 数 情 况 下 客 户 可 根 据 喜 好 选 用 Cisco IOS 防 火 墙 或 Cisco PIX 防 火 墙 部 署 防 火 墙 的 客 户 可 选 择 思 科 最 佳 的 专 用 思 科 PIX 安 全 设 备 或 是 选 择 将 Cisco PIX 防 火 墙 技 术 与 20 年 丰 富 路 由 经 验 相 结 合 的 集 成 Cisco IOS 防 火 墙 思 科 安 全 解 决 方 案 的 定 位 指 南 位 于 问 思 科 集 成 多 业 务 路 由 器 能 否 支 持 透 明 防 火 墙 它 有 什 么 优 点 答 除 第 三 层 状 态 化 防 火 墙 外 Cisco 和 3800 可 支 持 透 明 防 火 墙 它 能 为 第 二 层 连 接 提 供 第 三 层 IPS 透 明 防 火 墙 的 优 点 包 括 无 需 对 IP 子 网 重 编 号 即 可 方 便 地 向 现 有 网 络 添 加 IPS 支 持 子 接 口 和 VLAN 中 继 生 成 树 协 议 支 持 正 确 地 处 理 每 802.1d 的 BPDU 分 组 而 不 只 是 通 过 或 丢 弃 支 持 同 一 路 由 器 上 的 第 二 层 和 第 三 层 防 火 墙 混 合 不 需 要 为 接 口 分 配 IP 地 址 支 持 DHCP 直 通 可 在 相 反 的 接 口 双 向 上 分 配 DHCP 地 址 透 明 防 火 墙 的 应 用 如 图 2 所 示 图 2 在 不 修 改 地 址 的 前 提 下 将 现 有 网 络 分 成 多 个 安 全 信 任 区 Cisco IOS 防 火 墙 负 责 提 供 透 明 的 第 二 层 分 区 不 可 信 任 的 分 区 店 内 热 点 无 线 公 司 办 公 室 Cisco IOS 防 火 墙 提 供 透 明 的 第 二 层 分 区 商 店 位 置 可 信 任 的 分 区 公 司 LAN 的 扩 展 问 Cisco IOS 防 火 墙 是 一 个 状 态 化 防 火 墙 吗 答 是 Cisco IOS 防 火 墙 是 一 个 状 态 化 防 火 墙 问 12.3(14)T 中 推 出 了 什 么 新 的 Cisco IOS 防 火 墙 特 性 答 从 12.3(14)T 起 Cisco IOS 防 火 墙 将 支 持 虚 拟 路 由 转 发 VRF 感 知 型 防 火 墙 以 及 高 级 应 用 检 测 和 控 制

13 问 什 么 是 VRF 感 知 型 防 火 墙 它 有 什 么 优 点 答 VRF 感 知 型 防 火 墙 已 包 含 在 单 环 境 级 服 务 列 表 中 用 于 VRF 部 署 利 用 VRF 感 知 型 防 火 墙 客 户 能 够 充 分 利 用 思 科 VRF 技 术 的 强 大 功 能 为 每 个 网 络 提 供 可 感 知 VRF 的 防 火 墙 解 决 方 案 以 VRF 为 单 位 支 持 当 前 全 局 参 数 用 VRF 信 息 标 记 系 统 记 录 能 够 限 制 每 个 VRF 的 防 火 墙 进 程 数 量 问 什 么 是 高 级 应 用 检 测 和 控 制 它 有 什 么 优 点 答 公 司 有 时 希 望 根 据 具 体 情 况 允 许 某 些 常 见 应 用 例 如 Web 浏 览 通 过 其 防 火 墙 而 不 幸 的 是 这 种 访 问 可 能 会 使 某 些 HTTP 应 用 例 如 即 时 消 息 IM 趁 机 非 法 盗 用 该 防 火 墙 后 面 的 主 机 传 统 的 防 火 墙 是 根 据 源 地 址 和 目 标 地 址 协 议 和 端 口 号 来 阻 挡 流 量 的 而 高 级 应 用 检 测 和 控 制 则 能 够 保 证 遵 守 协 议 要 求 防 止 恶 意 或 非 法 流 量 通 过 例 如 端 口 80 隧 道 非 法 分 组 和 特 洛 伊 木 马 等 目 前 高 级 应 用 检 测 和 控 制 支 持 两 种 检 测 引 擎 SMTP/ESMTP/POP3/IMAP 其 优 点 包 括 能 够 为 端 口 80 制 订 和 执 行 安 全 策 略 HTTP 检 测 引 擎 和 电 子 邮 件 检 测 引 擎 能 够 控 制 将 流 量 送 入 HTTP 的 非 法 应 用 来 冒 用 端 口 80 或 者 利 用 端 口 80 逃 避 检 查 执 行 协 议 异 常 检 测 服 务 HTTP 检 测 引 擎 检 测 HTTP/Web 连 接 误 用 防 止 协 议 伪 装 严 格 执 行 RFC 标 准 RFC 命 令 控 制 例 如 get 或 put 执 行 URL 或 报 头 长 度 策 略 支 持 实 时 警 报 和 审 计 跟 踪 消 息 MIME 型 过 滤 和 内 容 校 验 电 子 邮 件 检 测 引 擎 检 测 电 子 邮 件 连 接 误 用 防 止 协 议 伪 装 严 格 执 行 RFC 标 准 问 有 哪 些 工 具 可 用 来 管 理 Cisco IOS 防 火 墙 答 可 使 用 CiscoWorks VMS 和 思 科 SDM 来 管 理 Cisco IOS 防 火 墙 思 科 SDM 提 供 了 帮 助 用 户 进 行 部 署 的 易 用 向 导 以 及 图 形 化 视 图 可 使 用 户 了 解 所 采 用 的 防 火 墙 策 略 会 对 其 流 量 传 输 有 何 影 响 问 集 成 多 业 务 路 由 器 上 的 交 换 接 口 能 否 与 透 明 Cisco IOS 防 火 墙 共 用 答 能 可 轻 松 地 通 过 创 建 VLAN 接 口 随 后 为 这 些 接 口 部 署 防 火 墙 问 集 成 多 业 务 路 由 器 是 否 支 持 URL 过 滤 答 因 为 在 工 作 场 所 由 于 不 适 当 的 材 料 使 用 而 引 起 的 法 律 诉 讼 正 不 断 增 加 所 以 URL 过 滤 对 公 司 来 说 也 日 益 重 要 它 也 可 用 作 用 户 使 用 公 司 资 产 时 提 高 生 产 率 的 工 具 URL 过 滤 以 两 种 方 式 提 供 给 集 成 多 业 务 路 由 器 在 Cisco IOS 防 火 墙 中 提 供 或 通 过 思 科 内 容 引 擎 网 络 模 块 提 供

14 作 为 URL 过 滤 器 Cisco IOS 防 火 墙 支 持 Websense 和 N2H2 Web 过 滤 客 户 端 可 与 外 部 Websense 和 N2H2 服 务 器 共 用 当 用 户 请 求 一 个 URL 时 流 量 被 发 送 到 Websense 和 N2H2 服 务 器 进 行 链 接 检 查 如 果 链 接 符 合 策 略 则 加 载 页 面 思 科 内 容 引 擎 网 络 模 块 适 用 于 Cisco 2800 不 包 括 Cisco 2801 路 由 器 和 Cisco 3800 集 成 多 业 务 路 由 器 作 为 互 联 网 代 理 缓 存 和 机 载 URL 过 滤 应 用 服 务 器 机 载 过 滤 无 需 通 过 网 络 将 流 量 传 输 给 远 程 服 务 器 从 而 节 约 了 WAN 带 宽 来 自 原 始 设 备 制 造 商 Websense 和 Smartfilter 的 预 加 载 过 滤 应 用 提 供 了 多 种 特 性 如 应 用 使 用 策 略 流 量 记 录 和 报 告 以 及 防 病 毒 网 关 互 联 网 内 容 适 应 协 议 ICAP 来 扫 描 清 除 和 缓 存 Web 内 容 网 络 基 础 保 护 NFP 问 什 么 是 网 络 基 础 保 护 答 网 络 基 础 保 护 NFP 是 思 科 自 防 御 网 络 的 一 个 不 可 缺 少 的 常 用 组 件 可 保 护 网 络 基 础 设 施 免 遭 攻 击 和 安 全 漏 洞 的 影 响 尤 其 在 网 络 级 这 一 功 能 尤 为 明 显 实 例 包 括 控 制 平 面 监 管 基 于 网 络 的 应 用 识 别 NBAR 和 AutoSecure 问 基 本 的 Cisco IOS 软 件 中 有 哪 些 安 全 特 性 可 帮 助 我 保 护 我 的 网 络 答 Cisco IOS 软 件 的 以 下 特 性 可 保 护 网 络 控 制 平 面 监 管 即 使 是 功 能 最 强 的 软 件 和 硬 件 架 构 也 有 可 能 遭 受 DoS 攻 击 DoS 攻 击 的 形 式 是 伪 装 成 发 往 控 制 平 面 处 理 器 的 某 种 类 型 的 控 制 分 组 向 某 网 络 基 础 设 施 发 送 大 量 垃 圾 流 量 直 至 使 其 瘫 痪 为 阻 止 这 种 流 量 及 其 它 类 似 针 对 网 络 核 心 的 威 胁 Cisco IOS 软 件 在 路 由 器 中 采 用 了 可 编 程 监 管 功 能 以 便 限 制 或 监 管 通 过 控 制 平 面 的 流 量 该 特 性 称 为 控 制 平 面 监 管 可 以 完 全 限 制 特 定 流 量 类 型 通 过 或 者 在 超 过 某 个 阈 值 之 后 发 现 并 限 制 特 定 流 量 类 型 通 过 以 确 保 即 使 发 生 了 DDoS 攻 击 也 能 保 证 访 问 控 制 平 面 AutoSecure AutoSecure 是 Cisco IOS 软 件 的 一 个 特 性 能 够 简 化 路 由 器 的 安 全 配 置 和 减 小 配 置 错 误 风 险 利 用 适 合 经 验 丰 富 的 用 户 的 交 互 模 式 可 以 提 示 用 户 定 制 安 全 设 置 和 路 由 器 服 务 从 而 更 加 严 格 地 控 制 路 由 器 的 安 全 功 能 如 果 未 经 培 训 的 用 户 希 望 在 无 需 太 多 人 工 干 预 的 情 况 下 快 速 保 护 路 由 器 可 以 使 用 AutoSecure 的 非 交 互 模 式 该 模 式 可 以 按 照 预 先 设 定 的 默 认 特 性 集 自 动 实 施 路 由 器 安 全 功 能 只 需 一 个 命 令 就 可 以 配 置 好 路 由 器 的 安 全 设 置 并 关 闭 不 必 要 的 系 统 流 程 和 服 务 有 效 消 除 潜 在 的 网 络 安 全 风 险 NBAR NBAR 是 Cisco IOS 软 件 中 的 一 个 分 类 引 擎 它 使 用 状 态 化 深 层 分 组 检 测 来 识 别 各 种 应 用 包 括 Web 协 议 以 及 其 它 使 用 动 态 TCP/UDP 端 口 分 配 的 许 多 难 以 分 类 的 协 议 如 果 在 安 全 环 境 中 使 用 NBR 能 够 根 据 负 载 特 征 检 测 到 蠕 虫 NBAR 对 应 用 进 行 识 别 和 分 类 之 后 网 络 就 可 以 针 对 该 应 用 激 活 特 定 服 务 另 外 NBAR 还 能 与 QoS 特 性 一 起 保 证 网 络 带 宽 的 高 效 使 用 提 供 带 宽 保 证 带 宽 限 制 流 量 整 形 和 分 组 标 记 功 能 Cisco SDM 2.0 配 有 易 于 使 用 的 向 导 不 但 支 持 NBAR 还 能 提 供 应 用 流 量 的 图 形 视 图 CPU 和 内 存 阈 值 设 定 Cisco IOS 软 件 不 但 能 设 置 路 由 器 内 存 利 用 率 的 全 局 内 存 阈 值 还 能 在 达 到 阈 值 时 发 出 通 知 通 过 降 低 CPU 和 内 存 使 用 率 这 个 特 性 能 够 保 证 路 由 器 在 高 负 载 例 如 遇 到 攻 击 时 情 况 下 仍 能 正 常 运 行 安 全 Shell 协 议 版 本 2 SSHv2 SSHv2 提 供 了 强 有 力 的 新 型 验 证 和 加 密 功 能 增 加 了 很 多 通 过 加 密 连 接 传 输 各 种 流 量 的 方 法 包 括 文 件 复 制 和 电 子 邮 件 协 议 另 外 网 络 安 全 也 通 过 新 增 的 验 证 功 能 得 到 了 增 强 包 括 数 字 证 书 和 越 来 越 多 的 双 因 素 验 证 选 项 简 单 网 络 管 理 协 议 版 本 3 SNMPv3 SNMPv3 是 一 种 用 于 网 络 管 理 的 可 互 操 作 的 标 准 协

15 议 SNMPv3 能 够 在 网 络 上 将 分 组 验 证 和 分 组 加 密 相 结 合 提 供 安 全 设 备 访 问 SNMPv3 中 提 供 的 安 全 特 性 包 括 消 息 完 整 性 保 证 信 息 在 传 输 过 程 中 未 被 篡 改 验 证 确 定 消 息 来 源 是 一 个 有 效 源 加 密 对 信 息 内 容 加 密 防 止 未 授 权 用 户 阅 读 SNMPv3 同 时 提 供 多 种 安 全 模 式 和 多 个 安 全 等 级 安 全 模 式 是 为 用 户 和 用 户 所 在 组 制 订 的 验 证 策 略 安 全 等 级 是 在 安 全 模 式 中 设 定 的 安 全 级 别 安 全 模 式 和 安 全 等 级 相 结 合 组 成 了 处 理 SNMP 分 组 所 使 用 的 安 全 机 制 有 三 种 安 全 模 式 SNMPv1 SNMPv2C 和 SNMPv3 基 于 角 色 的 CLI 访 问 利 用 此 特 性 网 络 管 理 员 可 以 定 义 视 图 即 有 选 择 地 或 部 分 地 访 问 Cisco IOS 软 件 的 一 组 操 作 命 令 和 配 置 功 能 视 图 不 但 能 限 制 对 Cisco IOS CLI 和 配 置 信 息 的 访 问 还 能 规 定 哪 些 命 令 可 接 受 哪 些 配 置 信 息 可 见 尽 管 用 户 可 通 过 权 利 级 别 来 控 制 CLI 访 问 并 支 持 模 式 密 码 这 些 功 能 并 未 给 网 络 管 理 员 提 供 关 于 路 由 器 和 交 换 机 的 具 体 信 息 因 此 网 络 管 理 员 可 更 好 地 控 制 对 于 思 科 网 络 设 备 的 接 入 且 在 有 一 定 限 制 的 情 况 下 支 持 其 他 区 域 的 接 入 网 络 控 制 和 抑 制 NAC 问 什 么 是 网 络 准 入 控 制 集 成 多 业 务 路 由 器 在 此 领 域 起 什 么 作 用 答 思 科 一 直 与 领 先 的 安 全 厂 商 Network Associates Symantec 和 Trend Micro 合 作 创 建 网 络 准 入 控 制 NAC 这 一 解 决 方 案 可 限 制 和 预 防 由 新 型 安 全 威 胁 包 括 第 零 日 攻 击 造 成 的 破 坏 和 干 扰 NAC 能 够 发 现 薄 弱 系 统 并 实 施 有 效 的 网 络 准 入 控 制 因 为 它 只 允 许 符 合 最 新 企 业 防 病 毒 和 操 作 系 统 补 丁 策 略 的 信 任 端 点 设 备 接 入 网 络 为 防 止 薄 弱 主 机 和 不 符 合 要 求 的 主 机 成 为 蠕 虫 和 病 毒 传 播 的 发 源 地 或 攻 击 目 标 这 些 主 机 将 被 隔 离 只 能 访 问 网 络 的 某 个 区 域 直 到 它 安 装 了 补 丁 或 得 到 保 护 为 止 在 其 初 始 阶 段 NAC 可 在 某 一 端 点 设 备 试 图 连 接 网 络 时 使 思 科 路 由 器 按 相 应 的 接 入 权 限 进 行 操 作 在 采 用 Cisco IOS 软 件 高 级 安 全 高 级 IP 服 务 或 高 级 企 业 服 务 特 性 集 的 Cisco 和 3800 系 列 上 支 持 该 阶 段 的 NAC 另 外 思 科 高 端 路 由 器 也 提 供 了 NAC 安 全 语 音 问 为 保 护 语 音 流 量 需 考 虑 哪 些 问 题 答 对 于 保 护 语 音 需 考 虑 的 问 题 包 括 为 语 音 开 发 一 个 安 全 策 略 保 护 数 据 网 络 语 音 是 运 行 于 数 据 网 络 之 上 的 一 个 应 用 在 各 层 次 中 构 建 安 全 特 性 以 便 在 任 何 一 个 系 统 或 特 性 遭 受 破 坏 时 都 不 会 影 响 整 个 网 络 部 署 多 个 安 全 机 制 以 防 御 各 种 威 胁 问 应 采 用 什 么 协 议 来 保 护 语 音 答 SRTP 是 已 验 证 和 已 加 密 媒 体 的 基 于 标 准 的 传 输 IETF RFC 3711 该 协 议 为 语 音 流 量 提 供 了 多 项 优 势 与 IPSec 相 比 语 音 分 组 所 用 的 带 宽 较 少 只 对 负 载 加 密 不 加 密 报 头 不 影 响 QoS 通 过 SRTP 支 持 crtp

16 使 用 HMAC-SHA-1 来 进 行 验 证 AES-128-CM 进 行 加 密 Cisco CallManager 提 供 的 语 音 加 密 密 钥 可 经 由 一 条 加 密 信 令 路 径 通 过 透 明 LAN 服 务 TLS 发 送 到 电 话 通 过 IPSec 发 送 到 网 关 Cisco CallManager 4.1 和 Cisco IOS 12.3(11)T 支 持 该 协 议 图 3 SRTP 分 组 时 间 标 记 序 列 号 同 步 源 SSRC 识 别 符 贡 献 源 CCRC 标 识 符 RTP 扩 展 可 选 验 证 部 分 加 密 部 分 RTP 负 载 SRTP MKI 0 字 节 用 于 语 音 验 证 标 记 4 字 节 用 于 语 音 其 他 安 全 特 性 问 思 科 集 成 多 业 务 路 由 器 是 否 支 持 802.1x 答 支 持 所 有 集 成 多 业 务 路 由 器 上 的 路 由 器 和 交 换 机 端 口 都 可 针 对 802.1x 进 行 配 置 这 是 一 种 在 网 络 边 缘 验 证 端 点 的 标 准 方 法 因 为 它 运 行 于 第 二 层 大 大 增 强 了 安 全 性 在 网 络 向 终 端 例 如 PC 通 过 DHCP 分 配 IP 地 址 前 必 须 对 其 进 行 验 证 因 为 大 多 数 病 毒 和 蠕 虫 需 第 三 层 连 接 才 能 运 行 因 此 802.1x 可 防 止 来 自 未 授 权 主 机 的 网 络 攻 击 这 是 由 于 这 些 主 机 无 法 在 网 络 上 获 取 IP 地 址 造 成 的 802.1x 标 准 也 可 用 于 区 分 家 庭 或 远 程 工 作 人 员 环 境 中 的 公 司 端 点 和 家 庭 或 非 公 司 端 点 公 司 PC 可 得 到 验 证 并 获 得 公 司 地 址 空 间 中 的 地 址 而 家 庭 PC 和 Mac 等 则 无 法 接 入 公 司 网 络 但 仍 能 接 入 互 联 网 问 集 成 多 业 务 路 由 器 上 是 否 有 USB 端 口 答 有 Cisco 1841 和 Cisco 2801 有 一 个 USB 端 口 Cisco 2811 Cisco 2821 Cisco 2851 Cisco 3825 和 Cisco 3845 有 两 个 USB 端 口 问 USB 端 口 有 什 么 作 用 答 USB 端 口 支 持 USB 闪 存 和 Aladdin USB 端 口 是 一 种 可 方 便 地 向 路 由 器 添 加 可 拆 除 闪 存 的 出 色 方 式 USB 内 存 与 标 准 PC USB 接 口 兼 容 使 其 能 极 为 方 便 地 在 您 的 PC 和 路 由 器 之 间 传 输 镜 像 和 配 置 etoken 可 安 全 地 存 储 保 留 在 etoken 内 存 中 的 专 用 数 据 通 过 个 人 识 别 号 PIN 保 护 etoken 一 般 用 于 存 储 VPN 密 钥 但 也 可 用 于 存 储 专 用 配 置 从 12.3(14)T 开 始 增 加 了 两 个 可 利 用 这 些 USB 端 口 的 新 特 性 USB etoken 和 USB 闪 存 支 持 USB etoken 特 性 和 USB 闪 存 特 性 使 带 内 部 USB 端 口 的 思 科 路 由 器 可 支 持 etoken 和 USB 闪 存 USBeToken 特 性 提 供 了 安 全 的 配 置 分 布 使 用 户 可 存 储 VPN 证 书 以 用 于 部 署 USB 闪 存 特 性 使 用 户 可 利 用 USB 闪 存 来 存 储 镜 像 和 配 置

17 集 成 多 业 务 路 由 器 的 安 全 捆 绑 问 这 次 是 否 推 出 平 台 安 全 捆 绑 答 是 我 们 提 供 表 2 中 列 出 的 安 全 捆 绑 完 整 的 路 由 器 安 全 捆 绑 列 表 位 于 表 2 安 全 捆 绑 产 品 编 号 CISCO851-K9 产 品 名 称 Cisco 851 安 全 以 太 网 路 由 器 CISCO876-SEC-I-K9 Cisco 876 安 全 捆 绑 带 Plus ISDN 特 性 集 CISCO876-SEC-K9 Cisco 876 安 全 捆 绑 带 Plus 特 性 集 CISCO877-SEC-K9 Cisco 877 安 全 捆 绑 带 Plus 特 性 集 CISCO878-SEC-K9 Cisco 878 安 全 捆 绑 带 Plus 特 性 集 CISCO871-K9 Cisco 871 安 全 以 太 网 路 由 器 CISCO1811/K9 双 以 太 网 安 全 路 由 器 带 V.92 调 制 解 调 器 备 份 CISCO1812/K9 双 以 太 网 安 全 路 由 器 带 ISDN S/T 备 份 CISCO1841-SEC/K9 Cisco 1841 安 全 捆 绑 带 高 级 安 全 Cisco IOS 软 件 CISCO2801-SEC/K9 Cisco 2801 安 全 捆 绑 带 高 级 安 全 Cisco IOS 软 件 CISCO2811-SEC/K9 Cisco 2811 安 全 捆 绑 带 高 级 安 全 Cisco IOS 软 件 CISCO2821-SEC/K9 Cisco 2821 安 全 捆 绑 带 高 级 安 全 Cisco IOS 软 件 CISCO2851-SEC/K9 Cisco 2851 安 全 捆 绑 带 高 级 安 全 Cisco IOS 软 件 CISCO3825-SEC/K9 Cisco 3825 安 全 捆 绑 带 高 级 安 全 Cisco IOS 软 件 CISCO3845-SEC/K9 Cisco 3845 安 全 捆 绑 带 高 级 安 全 Cisco IOS 软 件 CISCO1841-HSEC/K9 Cisco 1841 增 强 安 全 捆 绑 带 AIM-VPN BPII-PLUS 高 级 IP Cisco IOS 软 件 CISCO2801-HSEC/K9 Cisco 2801 增 强 安 全 捆 绑 带 AIM-VPN EPII-PLUS 高 级 IP Cisco IOS 软 件 CISCO2811-HSEC/K9 Cisco 2811 增 强 安 全 捆 绑 带 AIM-VPN EPII-PLUS 高 级 IP Cisco IOS 软 件 CISCO2821-HSEC/K9 Cisco 2821 增 强 安 全 捆 绑 带 AIM-VPN EPII-PLUS 高 级 IP Cisco IOS 软 件 CISCO2851-HSEC/K9 Cisco 2851 增 强 安 全 捆 绑 带 AIM-VPN EPII-PLUS 高 级 IP Cisco IOS 软 件 CISCO3825-HSEC/K9 Cisco 3825 增 强 安 全 捆 绑 带 AIM-VPN EPII-PLUS 高 级 IP Cisco IOS 软 件 CISCO3845-HSEC/K9 Cisco 3845 增 强 安 全 捆 绑 带 AIM-VPN HPII-PLUS 高 级 IP Cisco IOS 软 件 CISCO2801-V3PN/K9 Cisco 2801 增 强 语 音 安 全 捆 绑 带 AIM-VPN EPII-PLUS 分 组 语 音 / 数 据 模 块 2-8 PVDM2-8 高 级 IP Cisco IOS 软 件 64 MB 闪 存 256 DRAM CISCO2811-V3PN/K9 Cisco 2811 增 强 语 音 安 全 捆 绑 带 AIM-VPN EPII-PLUS PVDM2-16 高 级 IP Cisco IOS 软 件 64 MB 闪 存 256 DRAM

18 表 2 安 全 捆 绑 续 产 品 编 号 产 品 名 称 CISCO2821-V3PN/K9 Cisco 2821 增 强 语 音 安 全 捆 绑 带 AIM-VPN EPII-PLUS PVDM2-32 高 级 IP Cisco IOS 软 件 64 MB 闪 存 256 DRAM CISCO2851-V3PN/K9 Cisco 2851 增 强 语 音 安 全 捆 绑 带 AIM-VPN EPII-PLUS PVDM2-48 高 级 IP Cisco IOS 软 件 64 MB 闪 存 256 DRAM CISCO3825-V3PN/K9 Cisco 3825 增 强 语 音 安 全 捆 绑 带 AIM-VPN EPII-PLUS PVDM2-64 远 程 电 话 应 急 呼 叫 SRST -168 高 级 IP Cisco IOS 软 件 64 MB 闪 存 256 DRAM CISCO3845-V3PN/K9 Cisco 3845 增 强 语 音 安 全 捆 绑 带 AIM-VPN HPII-PLUS PVDM2-64 SRST-240 高 级 IP Cisco IOS 软 件 64 MB 闪 存 256 DRAM 系 统 和 设 备 管 理 问 可 使 用 哪 些 系 统 管 理 工 具 来 配 置 和 监 控 集 成 多 业 务 路 由 器 答 用 户 可 以 通 过 CiscoWorks VPN/ 安 全 管 理 解 决 方 案 VMS 管 理 捆 绑 来 管 理 防 火 墙 和 VPN 特 性 CiscoWorks VMS 不 仅 可 用 于 分 支 机 构 而 且 可 用 于 总 部 的 Cisco 7200 系 列 Cisco 7301 和 Cisco 7600 系 列 路 由 器 有 关 CiscoWorks VMS 的 更 多 信 息 请 访 问 图 4 Cisco VPN/ 安 全 管 理 解 决 方 案 VMS 问 哪 些 设 备 管 理 工 具 可 作 为 针 对 集 成 多 业 务 路 由 器 的 标 准 特 性 答 每 台 Cisco 和 3800 系 列 路 由 器 以 及 Cisco 7200 系 列 和 Cisco 7301 安 全 捆 绑 都 配 有 工 厂 预 安 装 的 思 科 路 由 器 和 安 全 设 备 管 理 器 SDM 思 科 SDM 是 一 种 直 观 基 于 Web 的 设 备 管 理 器 GUI 可 以 部 署 和 管 理 采 用 Cisco IOS 软 件 的 路 由 器 见 图 2 思 科 SDM 能 够 简 化 路 由 器 配 置 和 监 控 因 为 它 不 但 能 利 用 启 动 向 导 快 速 完 成 部 署 和 路 由 器 锁 定 通 过 智 能 向 导 执 行 安 全 和 路 由 特 性 还 提 供 由 思 科 技 术 帮 助 中 心 TAC 认 可 的 路 由 器 配 置 以 及 与 主 题 相 关 的 培 训 内 容

19 图 5 思 科 SDM 思 科 SDM 将 路 由 和 安 全 服 务 管 理 功 能 与 易 用 性 智 能 向 导 和 深 入 排 障 功 能 有 机 地 结 合 顺 利 地 将 集 成 多 业 务 的 优 点 延 伸 到 了 路 由 器 上 现 在 客 户 不 但 能 实 现 整 个 网 络 的 路 由 和 安 全 策 略 的 同 步 还 能 更 全 面 地 了 解 路 由 器 服 务 状 态 因 而 大 大 降 低 了 运 营 成 本 Cisco SDM 2.1 的 重 要 新 特 性 包 括 固 定 配 置 的 Cisco 800 和 1800 集 成 多 业 务 路 由 器 集 成 无 线 管 理 快 速 方 便 的 路 由 器 部 署 向 导 Express Setup 基 于 PC 的 SDM 路 由 器 闪 存 上 无 需 SDM 文 件 ATM 点 对 点 协 议 PPPoA 配 置 日 文 Windows OS 支 持 翻 译 为 日 文 简 体 中 文 法 文 德 文 意 大 利 文 和 西 班 牙 文 的 SDM 用 户 界 面 2005 年 5 月 底 面 世 Cisco SDM 2.0 的 主 要 优 点 包 括 内 部 IPS 具 有 可 升 级 特 征 和 定 制 参 见 IPS 基 于 角 色 的 路 由 器 访 问 Easy VPN 服 务 器 和 AAA 用 于 IP 安 全 IPSec VPN 的 SDP 注 册 和 数 字 证 书 选 项 VPN 和 WAN 连 接 排 障 服 务 质 量 QoS 策 略 配 置 和 基 于 NBAR 的 应 用 流 量 监 控 认 证 和 限 制 问 支 持 哪 些 IPSec RFC 答 思 科 完 全 支 持 说 明 IPSec 和 相 关 协 议 的 整 个 RFC 集

20 IPSec RFC 使 用 DES 或 3DES 的 IPSec ESP RFC 2406 使 用 MD5 或 SHA 的 IPSec 验 证 报 头 RFC 互 联 网 密 钥 交 换 IKE RFC 问 有 什 么 出 口 限 制 答 用 于 内 部 加 密 和 VPN 加 密 AIM 的 DES 3DES 和 AES 软 件 需 符 合 美 国 加 密 产 品 的 出 口 法 规 VPN 加 密 AIM 和 板 载 加 密 加 速 器 本 身 不 在 限 制 范 围 之 内 只 是 Cisco IOS 软 件 在 法 规 限 制 范 围 中 美 国 法 规 要 求 登 记 DES 3DES 和 AES 软 件 接 收 者 的 姓 名 和 地 址 思 科 对 于 DES 3DES 和 AES 软 件 的 订 购 流 程 符 合 这 些 要 求 更 多 信 息 请 访 问 标 准 思 科 完 全 支 持 说 明 IPSec 和 相 关 协 议 的 整 个 RFC 集 (RFC ) 特 别 地 思 科 支 持 表 3 中 所 列 的 特 性 表 3 Cisco 和 3800 支 持 的 标 准 特 性 说 明 IPSec AES 国 家 标 准 和 技 术 研 究 院 NIST 创 建 了 AES 将 其 作 为 一 种 新 FIPS 公 开 标 准 它 为 IPSec 和 IKE 提 供 了 保 密 性 AES 拥 有 可 变 密 钥 长 度 该 算 法 可 指 定 一 个 128 位 密 钥 缺 省 一 个 192 位 密 钥 或 一 个 256 位 密 钥 内 置 思 科 高 级 集 成 模 块 产 品 编 号 AIM-VPN/BPII-PLUS 和 AIM-VPN/EPII-PLUS 在 硬 件 中 对 三 种 AES 密 钥 类 型 AES 和 256 进 行 了 优 化 IPSec DES 和 3DES IPSec 使 用 加 密 技 术 在 一 个 专 用 网 的 对 等 设 备 间 提 供 了 数 据 保 密 性 完 整 性 和 验 证 思 科 提 供 全 封 装 安 全 负 载 ESP 和 验 证 报 头 支 持 所 有 目 的 地 为 IPSec 隧 道 的 分 组 均 需 加 密 IKE IKE 基 于 互 联 网 安 全 关 联 密 钥 管 理 协 议 或 ISAKMP/Oakley 提 供 了 安 全 关 联 管 理 IKE 在 IPSec 事 务 处 理 中 验 证 每 个 设 备 对 协 商 安 全 策 略 并 处 理 连 接 密 钥 的 交 换 证 书 管 理 思 科 完 全 支 持 X509.V3 证 书 系 统 用 于 设 备 验 证 和 SCEP 一 个 用 于 与 证 书 机 构 通 信 的 协 议 Verisign Entrust Technologies 和 Microsoft 等 多 家 厂 商 支 持 思 科 SCEP 其 产 品 可 与 思 科 设 备 互 操 作 证 书 服 务 器 Cisco IOS 软 件 证 书 服 务 器 将 一 个 证 书 服 务 器 内 嵌 于 Cisco IOS 软 件 之 中 该 路 由 器 现 在 可 作 为 网 络 上 的 一 个 证 书 授 权 设 备 从 而 使 公 共 密 钥 基 础 设 施 PKI 的 部 署 更 为 简 单 方 便 和 廉 宜 证 书 支 持 实 现 自 动 验 证 可 使 用 数 字 证 书 通 过 多 个 地 点 间 的 安 全 连 接 可 将 加 密 用 于 大 型 网 络 RSA 特 征 和 Diffie-Hellman 每 次 建 立 IPSec 隧 道 来 验 证 IKE 特 征 授 权 设 备 时 就 会 使 用 此 特 性 Diffie-Hellman 可 用 于 获 取 共 享 加 密 密 钥 来 保 护 IKE 特 征 授 权 设 备 的 数 据 包 括 所 用 的 IPSec 策 略 的 协 商 增 强 安 全 基 于 硬 件 的 加 密 与 基 于 软 件 的 加 密 相 比 提 供 了 更 多 安 全 优 点 包 括 增 强 了 密 钥 保 护 等 认 证 思 科 致 力 于 为 全 球 客 户 提 供 一 个 灵 活 的 产 品 认 证 和 评 估 计 划 思 科 认 为 认 证 和 评 估 对 客 户 来 说 是 非 常 重 要 的 因 此 思 科 一 直 在 为 市 场 提 供 经 过 认 证 和 评 估 的 产 品 方 面 居 领 先 地 位 思 科 还 将 继 续 与 国 际 安 全 标 准 组 织 合 作 以 便 为 经 过 认 证 和 评 估 的 产 品 提 供 更 好 的 未 来 发 展 思 科 也 会 加 速 认 证 和

21 评 估 流 程 认 证 和 评 估 是 思 科 产 品 开 发 周 期 最 早 阶 段 的 任 务 思 科 安 全 产 品 将 继 续 保 持 这 一 原 则 以 确 保 客 户 能 使 用 各 种 经 过 认 证 和 评 估 的 产 品 来 满 足 其 需 求 问 思 科 集 成 多 业 务 路 由 器 获 得 了 哪 些 认 证 答 作 为 思 科 集 成 安 全 战 略 的 一 个 重 要 组 件 思 科 一 直 致 力 于 使 该 产 品 通 过 联 邦 信 息 处 理 标 准 FIPS 互 联 网 计 算 机 安 全 协 会 ICSA 和 Common Criteria 认 证 表 4 提 供 了 具 体 的 当 前 认 证 状 态 思 科 安 全 认 证 的 完 整 列 表 位 于 平 台 表 4 平 台 认 证 信 息 FIPS ICSA Common Criteria Level 2 IPSec 防 火 墙 IPSec* 防 火 墙 EAL4+ Cisco 年 第 二 季 度 Cisco 1700 X X X X Cisco 2600 X X X X Cisco 3600 X X X X Cisco 3700 X X X Cisco 800(ISR) 2005 年 第 四 季 度 2005 年 第 三 季 度 2005 年 第 三 季 度 2006 年 2006 年 Cisco 1800 ISR 2005 年 第 二 季 度 2005 年 第 二 季 度 X 2006 年 2006 年 Cisco 2800 ISR 2005 年 第 二 季 度 2005 年 第 二 季 度 X 2006 年 2006 年 Cisco 3800 ISR 2005 年 第 二 季 度 2005 年 第 二 季 度 X 2006 年 2006 年 Cisco 7200 X X 2005 年 第 二 季 度 2006 年 2006 年 Cisco 年 第 四 季 度 2005 年 第 二 季 度 2005 年 第 二 季 度 2006 年 2006 年 * 评 估 保 证 级 4 EAL4 FIPS Cisco 和 3800 系 列 能 够 满 足 FIPS 的 二 级 安 全 标 准 NIST 已 经 将 FIPS 升 级 为 FIPS 目 前 思 科 的 许 多 路 由 器 都 正 在 申 请 FIPS 的 二 级 认 证 ICSA ICSA 是 一 个 商 业 安 全 认 证 组 织 主 要 为 各 种 安 全 产 品 提 供 ICSA IPSec 和 ICSA 防 火 墙 认 证 思 科 不 但 参 加 了 ICSA 的 IPSec 计 划 还 参 加 了 其 防 火 墙 计 划 Common Criteria Common Criteria 是 一 种 用 于 评 估 IT 安 全 的 国 际 标 准 该 标 准 由 多 个 国 家 共 同 开 发 旨 在 取 代 各 国 现 存 的 各 种 安 全 评 估 过 程 建 立 国 际 通 用 的 统 一 标 准 目 前 共 有 14 个 国 家 公 开 承 认 Common Criteria Cisco IOS 软 件 的 几 个 版 本 和 思 科 路 由 器 目 前 正 在 接 受 澳 大 利 亚 信 息 安 全 评 估 计 划 AISEP 的 评 估 评 估 的 标 准 是 ITSEC 或 Common Criteria

22 思 科 系 统 ( 中 国 ) 网 络 技 术 有 限 公 司 北 京 北 京 市 东 城 区 东 长 安 街 1 号 东 方 广 场 东 方 经 贸 城 东 一 办 公 楼 层 邮 政 编 码 电 话 (8610) 传 真 (8610) 上 海 上 海 市 淮 海 中 路 222 号 力 宝 广 场 层 邮 政 编 码 电 话 (8621) 传 真 (8621) 广 州 广 州 市 天 河 北 路 233 号 中 信 广 场 43 楼 邮 政 编 码 电 话 (8620) 传 真 (8620) 成 都 成 都 市 顺 城 大 街 308 号 冠 城 广 场 23 层 邮 政 编 码 电 话 (8628) 传 真 (8628) 如 需 了 解 思 科 公 司 的 更 多 信 息 请 浏 览 /cn 思 科 系 统 中 国 网 络 技 术 有 限 公 司 版 权 所 有 2005 思 科 系 统 公 司 版 权 所 有 该 版 权 和 / 或 其 它 所 有 权 利 均 由 思 科 系 统 公 司 拥 有 并 保 留 Cisco, Cisco IOS, Cisco IOS 标 识 Cisco Systems, Cisco Systems 标 识 Cisco Systems Cisco Press 标 识 等 均 为 思 科 系 统 公 司 或 其 在 美 国 和 其 他 国 家 的 附 属 机 构 的 注 册 商 标 这 份 文 档 中 所 提 到 的 所 有 其 它 品 牌 名 称 或 商 标 均 为 其 各 自 所 有 人 的 财 产 合 作 伙 伴 一 词 的 使 用 并 不 意 味 着 在 思 科 和 任 何 其 他 公 司 之 间 存 在 合 伙 经 营 的 关 系 2005 年 5 月 翻 译