Cisco IPSec VPN实战指南

图书标准信息

• 作者 秦柯 著
• 出版社 人民邮电出版社
• 出版时间 2012-05
• 版次 1
• ISBN 9787115270030
• 定价 55.00元
• 装帧 平装
• 开本 16开
• 纸张 胶版纸
• 页数 322页
• 字数 423千字
• 正文语种 简体中文

【内容简介】

《CiscoIPSecVPN实战指南》是一本全面介绍CiscoIPSecVPN的图书，主要涉及在Cisco路由器和ASA硬件防火墙上的IPSecVPN技术。

《CiscoIPSecVPN实战指南》一共分为10章，分别介绍了VPN技术、GRE技术与配置、IPSec基本理论、站点到站点IPSecVPN、影响IPSecVPN的网络问题、IPSecVPN中的高可用性技术、动态多点VPN(DMVPN)、组加密传输VPN(GETVPN)、EasyVPN、ASA策略图等。本书附录还详细地介绍了Cisco模拟器的配置与使用。使用附录中介绍的模拟器可以实现本书中介绍的所有实例，因此本书的第一个特点就是实例的可操作性很强。本书的第二个特点就是采用了不同的讲述方式，作者不是生硬地介绍各种IPSecVPN特性，而是结合多年Cisco安全教学经验，首先展示各种IPSecVPN的故障现象，然后深入浅出、一步一步地分析导致这些故障的原因，最后给出相应的解决方案，让读者能够学习到整个排错和分析的过程与思路。本书的第三个特点就是大量作者原创的独门VPN解决方案，在一些特殊部署环境使用这些解决方案会得到意想不到的效果。

《CiscoIPSecVPN实战指南》适合正在准备参加CCNA安全(640-553)、SECURE(642-637)、FIREWALL(642-617)、VPN(642-647)、CCIE安全笔试(350-018)以及CCIE安全实验考试的考生阅读，也是从事Cisco安全技术的工程师必不可少的现场参考资料。

【作者简介】

秦柯，网名“现任明教教主”，拥有10年Security CCIE 培训经验，截止到2010年已经亲手带过300余名Security CCIE学员，中国大陆绝大部分通过的Security CCIE都和他有直接或者间接的关系。现任明教教主网络工作经验已经10多年，一直努力提升自身技术能力，研究了大量安全相关的技术，并共享了大量视频资料和文档，可以说是网络上Cisco安全方向视频和文档共享第一人。2009-2010年间花费了接近两年的时间开发了教主版CCSP课程，囊括了现在Security CCIE可能涉及的所有知识点，堪称Security CCIE学习的经典。计划一年内出版现任明教教主实验指南，并且于2010年年中开宗立派创立YESLAB，是YESLAB的权威老师之一。

【目录】

第1章VPN技术简介

1.1VPN产生背景

1.2VPN的两种连接方式

1.2.1站点到站点(SitetoSite)

1.2.2远程访问(RemoteAccess)

第2章GRE

2.1GRE技术简介

2.2GRE基本实验

2.2.1实验实际接线状况介绍

2.2.2实验拓扑

2.2.3实验介绍

2.2.4基本网络配置

2.2.5GRE和动态路由协议OSPF配置

2.2.6查看状态与测试

第3章IPSec基本理论

3.1基本原理介绍

3.2IPSec框架

3.2.1散列函数

3.2.2加密算法

3.2.3封装协议

3.2.4密钥有效期

3.3互联网密钥交换协议IKE(InternetKeyExchange)

3.3.1IKE与ISAKMP

3.3.2IKE的2个阶段与3个模式

第4章站点到站点IPSecVPN

4.1经典站点到站点IPSecVPN

4.1.1实际接线状况

4.1.2实验拓扑介绍

4.1.3基本IP地址配置

4.1.4VPN路由分析

4.1.5IOSIPSecVPN的经典配置

4.1.6测试IPSecVPN

4.1.7查看IPSecVPN的相关状态

4.2ASA站点到站点IPSecVPN

4.2.1实际接线状况

4.2.2实验拓扑介绍

4.2.3基本网络配置

4.2.4ASA站点到站点IPSecVPN配置

4.2.5测试IPSecVPN

4.2.6ASA查看IPSecVPN的相关状态

4.3路由器GREOverIPSec站点到站点VPN

4.3.1经典IPSecVPN配置方式问题分析

4.3.2分析GREOverIPSec解决问题的思路

4.3.3实际接线状况

4.3.4实验拓扑介绍

4.3.5基本网络配置

4.3.6配置GRE隧道

4.3.7配置动态路由协议OSPF

4.3.8配置IPSecVPN保护站点间GRE流量

4.3.9测试与查看GREOverIPSec

4.3.10其他GREoverIPSec配置方式

4.4路由器SVTI站点到站点VPN

4.4.1VTI技术介绍

4.4.2实际接线状况

4.4.3实验拓扑介绍

4.4.4基本网络配置

4.4.5配置SVTI隧道

4.4.6测试并查看隧道状况

4.4.7配置动态路由协议OSPF

4.5总结

第5章影响IPSecVPN的网络问题

5.1动态地址问题

5.1.1问题描述

5.1.2动态cryptomap实验

5.2动态DNS(DDNS)技术介绍

5.2.1DDNS技术介绍

5.2.2DDNS在IPSecVPN的使用

5.2.3DDNS在IOS上的配置

5.3加密设备NAT对IPSecVPN的影响

5.3.1问题描述

5.3.2加密设备NAT问题分析实验

5.4中间网络ASA防火墙对IPSecVPN的影响

5.4.1问题描述

5.4.2CiscoASA防火墙对IPSecVPN的影响实验

5.5中间网络PAT对IPSecVPN的影响

5.5.1问题描述

5.5.2PAT地址转换技术对IPSecVPN的影响实验

第6章IPSecVPN中的高可用性技术

6.1IPSecVPN高可用性技术介绍

6.2DPD技术介绍

6.2.1DPD技术描述

6.2.2DPD工作模式

6.2.3DPD技术测试

6.3RRI技术介绍

6.3.1技术描述

6.3.2RRI技术配置与测试

6.4链路备份的IPSecVPN介绍

6.4.1链路备份IPSecVPN

6.4.2链路备份IPSecVPN配置与测试

6.5设备备份IPSecVPN(RedundancyVPN)介绍

6.5.1设备备份IPSecVPN

6.5.2设备备份IPSecVPN(Redun-dancyVPN)配置与测试

6.6高可用性站点到站点IPSecVPN最佳方案

6.6.1高可用性站点到站点IPSecVPN最佳方案

6.6.2高可用性站点到站点IPSecVPN最佳方案配置与测试

第7章动态多点VPN(DMVPN)

7.1DMVPN介绍

7.1.1传统IPSecVPN高可用性问题分析

7.1.2DMVPN的优点

7.1.3DMVPN的4大组成协议

7.2经典DMVPN实验

7.2.1实际接线状况

7.2.2实验拓扑

7.2.3基本网络配置

7.2.4mGRE与NHRP配置

7.2.5测试NHRP

7.2.6动态路由协议EIGRP配置

7.2.7测试与调整EIGRP

7.2.8配置IPSecVPN

7.2.9查看DMVPN状态

7.2.10MVPN中"包治百病"的"大招"

7.3DMVPN第三阶段

7.3.1DMVPN三个发展阶段介绍

7.3.2DMVPN三个发展阶段比较表

7.3.3DMVPN第二阶段与第三阶段分支站点间隧道处理方法比较表

7.3.4DMVPN第二阶段NHRP工作流程介绍

7.3.5DMVPN第三阶段NHRP工作流程介绍

7.3.6第三阶段DMVPN实验

7.4DMVPN两种高可用性解决方案

7.4.1解决方案1：单云双中心

7.4.2DMVPN单云双中心配置

7.4.3解决方案2：双云双中心

7.4.4DMVPN双云双中心配置

第8章组加密传输VPN(GETVPN)

8.1GETVPN概述

8.2传统IPSecVPN在企业网内部部署时出现的问题

8.2.1问题1：影响QoS

8.2.2问题2：点对点IPSecSA造成的问题

8.2.3问题3：覆盖路由(Overlayrouting)问题

8.3GETVPN技术介绍

8.4GETVPN如何解决传统IPSecVPN所带来的问题

8.4.1解决问题1：影响QoS

8.4.2解决问题2：点对点IPSecSA问题

8.4.3解决问题3：覆盖路由(Overlayrouting)问题

8.5GETVPN与传统IPSecVPN技术的比较

8.6GETVPN三大组成部分

8.7GETVPN工作流程图

8.8两种GETVPN的密钥

8.9GETVPN的3种安全关联(SA)

8.10GETVPN的网络流量

8.11协作密钥服务器(CooperativeKeyServer)

8.12GETVPN密钥更新特点

8.13GETVPN中的防重放攻击技术

8.14GETVPN感兴趣流访问控制列表配置指南

8.15GETVPN实验

8.15.1实际接线状况

8.15.2实验拓扑

8.15.3基本网络与OSPF配置

8.15.4首要和次要密钥服务器同步RSA密钥

8.15.5首要密钥服务器上的GETVPN配置

8.15.6组成员一GETVPN配置

8.15.7GETVPNcryptomap调用位置分析

8.15.8组成员二GETVPN配置

8.15.9查看首要服务器GETVPN状态

8.15.10查看组成员GETVPN状态

8.15.11组成员上测试GETVPN的加解密

8.15.12在首要密钥服务器KS1上配置次要密钥服务器KS

8.15.13配置次要密钥服务器KS

8.15.14查看协作密钥服务器

8.15.15组成员访问控制列表配置

8.16教主自创版DMVPN+GETVPN实验

8.16.1实验设计介绍

8.16.2实际接线状况

8.16.3实验拓扑

8.16.4基本网络配置

8.16.5mGRE隧道配置

8.16.6静态路由配置

8.16.7配置密钥服务器KS

8.16.8配置组成员

8.16.9测试

第9章EasyVPN

9.1EasyVPN简介

9.1.1EasyVPN特点介绍

9.1.2EasyVPN中心站点管理的内容

9.1.3EasyVPN的部署

9.1.4EasyVPNIKE第一阶段两种认证方式

9.2主动模式3个数据包交换介绍

9.3CiscoEzVPNIKE的三个阶段

9.3.1CiscoEzVPNIKE第一阶段介绍

9.3.2CiscoEzVPNIKE第1.5阶段介绍

9.3.3EasyVPNIKE第二阶段介绍

9.4CiscoEzVPN软件客户端安装

9.5EzVPN经典配置实验

9.5.1实际接线状况

9.5.2实验拓扑

9.5.3基本网络配置

9.5.4WindowsXP基本网络配置

9.5.5Center路由器上EzVPN服务器配置

9.5.6配置WindowsXP上的EzVPN软件客户端并查看状态

9.6EzVPN特性

9.6.1分割隧道(SplitTunneling)

9.6.2保存密码(save-password)

9.6.3备用网关(backup-gateway)

9.6.4其他EzVPN特性

9.7EzVPN硬件客户端

9.7.1EzVPN硬件客户端的3种工作模式

9.7.2配置EzVPN硬件客户端客户模式

9.8测试EzVPN各种模式的特性

9.8.1测试客户模式

9.8.2客户模式加上分割隧道

9.9ISAKMPProfile技术

9.9.1实际接线状况

9.9.2实验拓扑

9.9.3基本网络配置

9.9.4配置站点到站点VPN

9.9.5配置EzVPN

9.9.6EzVPN对站点到站点VPN的影响

9.9.7EzVPN对站点到站点VPN的影响问题分析

9.9.8ISAKMPProfile技术简介

9.10DynamicVirtualTunnelInterface(DVTI)技术

9.10.1实际接线状况

9.10.2实验拓扑

9.10.3基本网络配置

9.10.4EzVPNDVTI配置

9.10.5查看EzVPNDVTI状态

9.11GREOverEzVPN完美解决方案

9.11.1配置环回口Loopback

9.11.2配置EzVPN

9.11.3配置GRE隧道

9.11.4动态路由协议

第10章ASA策略图

10.1Tunnel-Group

10.1.1站点到站点IPSecVPNTunnel-Group查询

10.1.2EzVPNTunnel-Group查询

10.1.3SSLVPNTunnel-Group查询

10.2Group-Policy介绍

10.3ASA基本EzVPN配置

10.3.1实际接线状况

10.3.2实验拓扑

10.3.3基本网络配置

10.3.4基本EzVPN配置

10.3.5基本EzVPN策略图分析

10.4策略继承位置介绍

10.4.1第1策略继承位置：用户属性usernameattribute

10.4.2第2策略继承位置：用户组策略usergroup-policy

10.4.3第3策略继承位置：Tunnel-Group默认组策略Default-group-policy

10.4.4第4策略继承位置：默认全局组策略DfltGrpPolicy

10.5ASA策略图策略优先顺序测试

10.5.1测试1：第1号策略继承位置

10.5.2测试2：第2号策略继承位置

10.5.3测试3：第3号策略继承位置

10.5.4测试4：第4号策略继承位置

10.5.5测试5：第5号策略继承位置

10.6ASA策略图总结

10.7ASA动态Cryptomap配置

10.8ASAL2TPoverIPSec配置

附录ACisco模拟器配置指南