|
|
|
安全产品部分问题解答
1 g7 U: P& r! D* F, t6 z : q+ u+ n6 [+ }( t; a# P
1.ciscopix放火墙采用的是何种算法？数据是如何通过防火墙进行转发？& P0 ]! U- X6 ?- r
) P2 j! v v! i$ i6 I, f& E" p( T Ciscopix放火墙采用的是自适应安全算法，这是一种同设备连接状态密切相关的安全检测的方法。每一个进入放火墙的数据包都要通过自适应安全算法和内存中的连接状态信息的检查。通过这种面向连接的动态防火墙设备，能同时处理500000个并发的连接和高达1Gbps的吞吐量。可想而知这种同连接状态有关的方法比仅仅检查数据包（如访问列表）筛选的方法安全的多。当一个向外发送的包到达一个Pix放火墙较高级别接口时，不管前一个包是否来自哪个主机，Pix放火墙用自适应安全算法检察该包是否有效。如果不是，该包属于一个新的连接，Pix放火墙会为该连接在状态表中创建转换槽。Pix放火墙存储在转换槽中的信息包括内部的IP地址和全局唯一的IP地址，该地址由NAT,PAT,或身份分配。Pix放火墙接着改变包的源地址为全局唯一地址，按照要求修改校验和以及其他域的地址，并将包转发给较低的安全级别借口。
- b" K7 M6 f% y0 Z0 l7 F 2 Y/ N1 O) _. b/ ~
2．Ciscopixfailover的作用？ R2 b- o9 v4 j2 @
' r* P% i4 I4 Z: z; ?8 [- _: }
使用pix版本5.0,如果你有100Mbps的LAN接口，你可以选择与StatefulFailover选项。这样一使连接状态自动地在两个放火墙部件之间传递。在failover偶对中的两个部件通过failover线缆通信。failover线缆是修改过的RS-232串行线缆，它以9600的速率传输数据。数据提供主部件或从部件的标识号，另外一个部件电源状态，并作为两个部件不同的failover之间的通信链路。, O1 L$ `0 ?6 e' p- x
! D0 g$ M2 W: U' s9 G 3．AAA的作用？) s* F, J/ X4 w" A
- ?: b7 @8 }4 k( ~- U9 S9 R 访问控制是用来控制允许何种人访问服务器，以及一旦他们能够访问该服务器，以及一旦他们能够访问该服务器，允许他们使用何种服务的方法。AAA是使用相同方式配置三种独立的安全功能的一种结构。它提供了完成下列服务的模块化方法：认证—一种提供识别用户的方法，包括注册和口令对话框，询问和响应，消息支持以及根据所选择的安全协议进行加密。授权—一种提供远程访问控制的方法包括一次性授权或者单项服务服务授权，每个用户帐户列表和简介，用户包支持以及IP,IPX,ARP和Telnet支持。记帐—一种给安全服务器收集，发送信息提供服务的方法，这些信息用来开列帐单，审计和形成报表，如用户标识，开始时间和停止时间，执行的命令，包的数量以及字节数。" \' }# }1 D# B$ r+ F
7 @8 ]$ E: g& b- B: a+ }# d
4．RADIUS?3 w: i$ g: z$ v3 q# G+ Y1 f
) ^% e, Z) ]0 v$ u
RADIUS是分布式客户机/服务器系统，它保护网络不受未授权访问的干扰。在Cisco实现中，Radius客户机运行于路由器上，并向中央RADIUS服务器发出认证请求，这里的中央服务器包含了所有的用户认证和网络服务访问信息。Cisco利用其AAA安全模式支持RADIUS，RADIUS也可以用于其他AAA安全协议，比如，TACACS,KERBEROS或本地用户名查找，所有Cisco平台都支持RADIUS。
2 K" i% c# b9 t: j9 f. I 7 P7 `6 r" m' H: E. T- a
5．Cisco加密技术如何实现？
% q! U% [5 A0 g3 u
" Z3 C S" D: k% Q- _6 ~7 v; q 网络数据加密是在IP包一级提供的，只有IP包可以被加密。只有当包满足在路由器上配置加密时所建立的条件时，这个数据包才会被加密/解密。当加密以后，单个数据包在传输时可以被检测到，但IP包的内容不能被读取。IP头和上层协议头没有被加密，但TCP或UDP包内所有的净荷数据都被加密，因此，在传输过程中不能被读取。2 d8 y5 }5 L9 Y8 [* v3 B8 k7 z
6 R4 |% i4 q" [) c( F& k 6.IPSec如何工作？8 z9 {" b/ u: ?; U
7 Q& C5 Q2 M) ?- o5 x) l IPSec为两个同位体（路由器），提供安全隧道。由用户来定义哪些包将被认为是敏感信息，并将由这些安全隧道传送。并且通过指定这些隧道的参数来定义用于保护这些敏感的参数。然后，当IPSec看到这样的一个敏感包时，它将建立起相应的安全隧道，通过这隧道将这份数据包传送给远端同位体。6 e$ y: a5 b8 q( o3 z& P
* ^0 ] w, H. d# D0 b/ f 7．TACACS+的作用？; [: t4 E8 a! Q7 s- y6 R$ ~5 y
0 @/ \- e# A, D W: K3 F TACACS+是一种安全应用程序，它为用户获得对路由器或网络访问服务器的访问提供集中化的验证。TACACS+服务在TACACS+后台程序的数据库中进行维护，这种后台程序典型地运行在UNIX或WindowsNT工作站上。在为网络访问服务器配置的TACACS+特性可用之前，必须能够访问并配置TACACS+服务器。
' {3 r" r; }3 s+ @; V( K 8 P0 X7 k+ k/ _- U& y
8．CiscoIOS软件支持哪几种授权类型？
7 E) W$ m/ O) i6 C2 c: _ % S9 s; @3 u! Y
1）EXEC授权—适用于与用户EXEC终端对话相关的属性。
" r" `5 K0 ?* d# w/ c5 b, ~ F- v 2）命令授权—适用于用户发出的EXEC模式命令。命令授权试图给所有的EXEC模式命令使用指定的特权级别授权。
0 }4 B5 n& O1 A K* I5 T, o. n 3）网络授权—适用于网络连接，包括PPP,SLIP或ARAP连接。, i( O3 g& i2 o1 V
/ Y8 ~' a, ^5 e5 I% Q! K 9．CiscoIOS在网络上管理记帐？9 d& }7 \* o6 j2 E5 } x& [
3 G- z- J3 _3 M+ @ ~0 r( r
在网络上管理记帐的命令。使用记帐管理可以跟踪单个用户使用的网络资源和群组用户的网络资源。使用AAA记账功能，不仅可以跟踪用户所访问的服务，还可以跟踪他们所消耗的网络资源的数量。1 I7 Q+ { z2 _6 \0 \3 [: ]4 x. V) ]
8 z9 r8 p9 n: n! B
10．Kerberos的作用？/ E2 r0 [+ x0 m; Y6 L
- o4 S4 j$ Y0 S z Kerberos是秘密密钥网络认证协议，使用数据加密标准加密算法进行加密和认证。Kerberos是为对网络资源的请求进行认证而设计的。与其他秘密密钥系统一样，Kerberos基于可信任的第三方概念，这个第三方对用户和服务执行安全认证。
1 N+ W; h1 B8 Z' D
& X4 C* x; o5 [ f 11．锁定和密钥的作用？8 }% C7 U2 C$ q8 [
7 \0 X" Z2 \) X! X* Q 锁定和密钥是一种流量过滤安全特性，它动态过滤IP协议流量。锁定和密钥是使用IP动态扩展访问列表进行配置的，它可以与其他标准访列表或静态访问列表结合起来一起使用。; E+ D/ x# V! o
9 o. g* p% t: m 12．CiscoSecureScanner的作用？3 M& D: M8 b$ t1 V; x% A2 X
* v1 O2 M. b% s: p B5 n CiscoSecureScanner是一种企业级的软件工具，提供卓越的网络系统识别，革新性数据管理，灵活的用户定义脆弱性规则，全面的安全报告功能以及Cisco24*7的全球支持。
! W! o8 ]: j& `2 r7 V2 U5 _, g8 z; ^+ M
3 N! m r% Y5 B( x 13．CiscoSecurePolicyManager的作用？2 D' j$ c( I4 r
# h6 a. F+ {7 W CiscoSecurePolicyManager是一个用于Cisco放火墙，IPSec虚拟网关路由器和入侵检测系统Sensor的强大，可伸缩的安全政策管理系统。
! ?$ E n- _. u ' w8 m P! R5 R4 _9 k
14．Cisco安全入侵检测系统的作用？ a$ ]0 c/ x+ `- j3 I( ^: M
+ W: h2 Z$ X. P Cisco安全入侵检测系统可以为企业和服务提供商网络提供一系列高性能的安全监视监控方案。8 K( L q3 Q, \3 s- t5 q# s' c
& ~6 i; c$ W- F0 A/ E m0 k- e
15．CiscoSecure访问控制服务器的作用？4 r9 S2 f$ b+ X) u" S
( y8 I, |" X2 Q4 E, }# L, X
CiscoSecure访问控制服务器是为了解决Internet和所有共用的，专用的网络或外部企业网等网络的快速发展为用户如何对网络访问进行控制，授权和记费提出的安全方面的具体解决工具。! @4 Y1 S' | D/ ]- E. A
! y* `' { F2 t
16．CiscoIos防火墙的作用？
; `; q* ]) a9 D
) B4 i4 H1 @( \- {8 o4 Y CiscoIos防火墙为每一个网络周边集成了稳健的放火墙功能性和入侵检测，丰富了Cisco软件的安全功能。
- n8 l i$ a& N6 {" \2 o 2 b/ E. B' @# f" O2 E6 ^) J x
17.PIX防火墙的关于license信息。
" S2 b- d2 f2 G% z' P* K/ f" b 1 ]9 S6 W" m6 `. t/ v! |5 ]
PIX防火墙的license有Unrestricted,Restricted,andFail-Over三种配置。这些基本的配置都可以用VPNDES和3DES来加强安全性。Unrestricted—操作在UR模式下的PIX防火墙允许支持最大数目的接口和最大可支持的内存。UR的License支持热备份冗余，最小化down网络的时间。Restricted—操作在R模式下的PIX防火墙限制支持的接口数和支持的内存大小。限制的许可特性提供对那些小网络的应用价格优化的防火墙方案。限制的许可特性不支持冗余的FO特性。Fail-Over—操作在FO模式下的PIX防火墙跟另一台带UR许可证的防火墙协同工作，提供一个热冗余备份的结构。FO许可证提供基于状态的容错特性，从而使能高可用性的网络结构。在FO模式下的PIX防火墙维护跟主放火强完全一样的连接实时状态，从而最小化因为设备或网络失败而引起的连接失败。UR和FO的许可证有完全一样的特征和性能指数。UR和FO的防火墙中间需要Fail-over的电缆线。当前的PIX防火墙是基于特性集的许可证，这类许可秘匙限定哪些特性可用，哪些特性不可用。以前的PIX放火墙支持基于连接数的秘匙系统，它是限定PIX放火墙支持的最大连接数。为了统一和易于管理的目的，当前的PIX防火墙都支持基于特性集的许可证。 |
|
狗仔卡
发表于 2008-12-6 21:32:23
提升卡
置顶卡
沉默卡
喧嚣卡
变色卡
抢沙发
显身卡