思科高级网络技术实验室网络安全解决方案

1、jan 2003 2004, cisco systems, inc. all rights reserved. 思科高级网络技术实验室解决方案思科高级网络技术实验室解决方案 tdm version 1.0 -2005 商业市场事业部商业市场事业部 思科系统中国公司思科系统中国公司 2002, cisco systems, inc. all rights reserved. 2 2 2 网络安全实验室网络安全实验室 2 2 2 2003, cisco systems, inc. all rights reserved.presentation_id 2002, cisco systems, in

2、c. all rights reserved. 3 3 3 网络安全实验室结构和功能网络安全实验室结构和功能 用户集中认证和访问控制实验用户集中认证和访问控制实验 防火墙实验室防火墙实验室 网络入侵检测、防范实验室网络入侵检测、防范实验室 主机入侵检测、防范实验室主机入侵检测、防范实验室 网络准入控制（网络准入控制（nac）实验室）实验室 vpn 实验室实验室 广域网广域网 或或 internet ipv4 ipv6 用户认证用户认证 授权服务器授权服务器 ipv4 ipv6 网络入侵网络入侵 检测检测(ids) 入侵保护入侵保护 路由器路由器 防火墙防火墙 入侵保护入侵保护 路由器路由器 防

3、火墙防火墙 网络安全实验室网络安全实验室 网络准入网络准入 实验实验 主机主机 入侵保护入侵保护 2002, cisco systems, inc. all rights reserved. 4 4 4 高级防火墙设计、部署实验室高级防火墙设计、部署实验室 2002, cisco systems, inc. all rights reserved. 5 5 5 非法用户和非法电脑的入网控制非法用户和非法电脑的入网控制 cisco 基于身份的网络服务（基于身份的网络服务（ibns） ciscosecure acsmicrosoft ad authorized user authorized ve

4、ndor unauthorized user authorized ap who are you? i am joe cisco ok 用户面临的挑战用户面临的挑战: : 非法用户的电脑可以轻非法用户的电脑可以轻 易接入网络，并获取重易接入网络，并获取重 要数据要数据 cisco cisco 的解决方案的解决方案: : 通过部署基于用户身份通过部署基于用户身份 的的802.1x 802.1x 认证，防止非法认证，防止非法 用户和非法电脑的接入用户和非法电脑的接入 局域网和无线网局域网和无线网 也可以将非法用户的电也可以将非法用户的电 脑接入一个特定网段脑接入一个特定网段 (guest vlan

5、)(guest vlan)，限制访问，限制访问 的资源的资源 2002, cisco systems, inc. all rights reserved. 6 6 6 cisco 入侵监测和在线入侵保护（入侵监测和在线入侵保护（ids/ips） write the acl detect the attack 在线监测入侵，在线监测入侵， 并可将攻击实时并可将攻击实时 阻断阻断 在汇聚交换机中动态下在汇聚交换机中动态下 载访问控制列表载访问控制列表 acl， 实现动态的入侵防御实现动态的入侵防御 黑客黑客1 internet sisi catalyst3750 园区网络园区网

6、络 deny 汇聚交换机汇聚交换机 catalyst 3750 ids/ips 路由器路由器 cisco ids 内部黑客内部黑客 01 网管服务器网管服务器 01 2002, cisco systems, inc. all rights reserved. 7 7 7 cta router network acs vendor server ip eapoudp eaporadius hcap 1 2 3 4 5 6 7 8 1. 用户端发起对internet或受保护网段的访问，触发路由器（网络准 入设备）上的初始访问控制列表 2. 路

7、由器发起对用户端的状态验证（eapoudp），要求用户端的cta进 行相应 3. cta向路由器发送状态证书（eapoudp） 4. 路由器将证书发往acs（访问控制服务器） 5. acs与后端认证服务器一起进行用户端的证书验证（hcap） 6. acs确定用户端状态，决定其访问授权 7. acs向路由器发送授权策略（包括acl和url），并在用户端屏幕上显 示通知信息 8. 路由器根据授权策略决定对用户端的访问控制 2002, cisco systems, inc. all rights reserved. 8 8 8 1. “健康健康”用户用户 符合安全策略符合安全策略 用户端的操作系统信

8、息和反病毒软件更新版本与安全策略一致，发出“欢迎” 信息框，并准许访问。 2. “危险危险”的的“未知未知”型用户型用户 完全不符合安全策略完全不符合安全策略 无法探测到用户端的操作系统信息和反病毒软件信息，不能确定其是否符合安 全策略，可能是“访客访客”或“危险危险”的“未知未知”用户，浏览页面将被转向特定 的通知页面。 3. “受感染受感染”的用户的用户 部分不符合安全策略部分不符合安全策略 用户端的反病毒软件不符合安全策略，可能未升级到最新的版本未升级到最新的版本，也可能未安未安 装反病毒软件装反病毒软件，因此拒绝它对网络的访问，并在其屏幕上弹出通知信息，通知 其与网管中心联系。 200

9、2, cisco systems, inc. all rights reserved. 9 9 9 cisco ipsec vpn 实验室实验室 improved productivity easy vpn实验室实验室 动态多点动态多点vpn实验室实验室 dynamic multipoint ipsec vpns enhanced service 业界标准业界标准 ipsec vpn 实验室实验室 ipsec承载路由实验承载路由实验室室 2002, cisco systems, inc. all rights reserved. 101010 总部总部 cisco ios 路由路由 器器, p

10、ix cisco vpn 用户端软件用户端软件 internet cisco ios 路由器或路由器或 pix防火墙防火墙 easy vpn实验室实验室 分支办公室分支办公室 home office 2002, cisco systems, inc. all rights reserved. 111111 主接入点主接入点 cisco ios 路由器路由器 internet cisco ios router ipsec承载路由实验室承载路由实验室 分支机构分支机构 备份接入点备份接入点 2002, cisco systems, inc. all rights reserved. 121212

11、动态多点动态多点vpn实验室实验室 vpn gateway isc, ie2100 pki, aaa 内部网络内部网络 access to corporate resources internet linux, mac, ms-windows pc wlan data vpn gateway 1 data vpn gateway 2 分支机构分支机构 网络管理网络管理 pc, linux, etc. wlan 分支机构分支机构 2002, cisco systems, inc. all rights reserved. 131313 思科高级网络实验室思科高级网络实验室 为实现网络学院提供为实

12、现网络学院提供 基础平台基础平台 131313 2003, cisco systems, inc. all rights reserved.presentation_id 2002, cisco systems, inc. all rights reserved. 141414 思科网络技术学院项目思科网络技术学院项目 思科网络技术学院项目是思科公司思科网络技术学院项目是思科公司回馈社会、完全回馈社会、完全 非赢利非赢利的网络技术教育项目的网络技术教育项目 为为学校学校而专门设立而专门设立 包括了包括了ccnaccna、ccnpccnp、网络安全和无线局域网络、网络安全和无线局域网络等总计等总

13、计1515门、门、 10501050小时的电子教程小时的电子教程 采用先进的采用先进的e-learninge-learning学习方式学习方式 培养学生掌握从设计、建立到运行计算机网络全面的知识体系和培养学生掌握从设计、建立到运行计算机网络全面的知识体系和 实际动手操作能力实际动手操作能力 2002, cisco systems, inc. all rights reserved. 151515 思科网络技术学院提供全面的思科网络技术学院提供全面的it技术电子教程技术电子教程 2003, cisco systems, inc. all rights reserved.151515 ccna,

14、ccnp, 网络安全基础网络安全基础, 无线局域网络无线局域网络 unix基础基础, web基础基础, java编程编程 语音和数据布线语音和数据布线, it技术基础技术基础 2002, cisco systems, inc. all rights reserved. 161616 e-learning 教学平台教学平台 (http:/) 电子教程电子教程 实验手册实验手册 教学论坛教学论坛 考试与评估考试与评估 2002, cisco systems, inc. all rights reserved. 171717 思科网络技术学院教材和实验环境：思科网络技术学院教材和实验环境：ccna

15、广域网广域网 或或 internet ipv4 ipv6 ipv4 ipv6 ipv4 ipv6 cat3750cat3750 sisi ipv4 ipv6 sisi ipv4 ipv6 ipv4 ipv6 2002, cisco systems, inc. all rights reserved. 181818 思科网络技术学院教材和实验环境：网络安全基础思科网络技术学院教材和实验环境：网络安全基础 广域网广域网 或或 internet ipv4 ipv6 用户认证用户认证 授权服务器授权服务器 ipv4 ipv6 网络入侵网络入侵 检测检测(ids) 入侵保护入侵保护 路由器路由器 防火墙

16、防火墙 入侵保护入侵保护 路由器路由器 防火墙防火墙 网络安全实验室网络安全实验室 网络准入网络准入 实验实验 主机主机 入侵保护入侵保护 2002, cisco systems, inc. all rights reserved. 191919 思科网络技术学院的教与学思科网络技术学院的教与学 动手实践动手实践 教师授课教师授课 实验室实验室 2002, cisco systems, inc. all rights reserved. 202020 e-learning教学平台实现教学平台实现“循环式的上升的教学模式循环式的上升的教学模式 ” 每个学生参加每一次的在线测试每个学生参加每一次的

17、在线测试 ，评估系统会自动产生一份，评估系统会自动产生一份 “personalized feedback” 针对每个学生没有掌握的知识针对每个学生没有掌握的知识 点的列表点的列表 鼠标点击相应的知识点可以直鼠标点击相应的知识点可以直 接回到相应章节的电子教材接回到相应章节的电子教材 教师可以根据全班学生掌握知教师可以根据全班学生掌握知 识点的情况，进行有针对性的调识点的情况，进行有针对性的调 整。整。 2002, cisco systems, inc. all rights reserved. 212121 思科网络技术学院带来的好处思科网络技术学院带来的好处 对学生：对学生： 获得权威国际认

18、证获得权威国际认证 提高就业竞争力提高就业竞争力 锻炼实践技能，增强了自信心锻炼实践技能，增强了自信心 获得了获得了进入进入itit领域领域的敲门砖的敲门砖 对学校对学校/ /教师：教师： 多媒体的教材和完善的课件多媒体的教材和完善的课件 丰富有效的实验讲义丰富有效的实验讲义 教材每三个月更新一次教材每三个月更新一次 e-learninge-learning在线工具，可以掌握到每一个在线工具，可以掌握到每一个 学生的情况而不需要过多的纸面工作学生的情况而不需要过多的纸面工作 参与到跨全球范围的教育项目中，拓宽参与到跨全球范围的教育项目中，拓宽 交流领域交流领域 2002, cisco syst

19、ems, inc. all rights reserved. 222222 思科网络技术学院现状思科网络技术学院现状 10,02510,025所学校所学校 162162个国家个国家, ,地区地区 449,622449,622名在校学习的学生名在校学习的学生 296,092296,092名毕业学生名毕业学生 214214所学校所学校 19,39919,399名在校学习学生名在校学习学生 27,63727,637名毕业生名毕业生 中国中国 全球全球 截至截至20052005年年2 2月月6 6日日 2002, cisco systems, inc. all rights reserved. 232

20、323 2002, cisco systems, inc. all rights reserved. 242424 如何申请加入？如何申请加入？ 凡购买思科网络实验室的学校凡购买思科网络实验室的学校将具备优先申请的资格将具备优先申请的资格。 申请单位需要符合的条件：申请单位需要符合的条件： 1、学校（高等院校、职业学院和高中）。、学校（高等院校、职业学院和高中）。 2、承诺开课（培训、选修课或者必修课）。、承诺开课（培训、选修课或者必修课）。 3、在确保教学质量的情况下，每年要保证一定数量的学生完成思科网络技术学院、在确保教学质量的情况下，每年要保证一定数量的学生完成思科网络技术学院 课程的学

21、习（具体数量视开课形式而定）。课程的学习（具体数量视开课形式而定）。 4、指派至少两名教师参加教师培训，开展具体的教学工作。、指派至少两名教师参加教师培训，开展具体的教学工作。 申请步骤申请步骤（申请周期不超过（申请周期不超过1个月）个月）： 1、填写、填写申请表格申请表格。 2、审核。、审核。 3、批准和授权。、批准和授权。 从获得授权，参加教师培训到开展教学的从获得授权，参加教师培训到开展教学的准备周期为准备周期为36月时间。月时间。 2002, cisco systems, inc. all rights reserved. 252525 思科网络技术学院预算考虑思科网络技术学院预算考虑

22、 1、电子教材、电子讲义、辅助教学软件、电子教材、电子讲义、辅助教学软件、e-learning学习平台（学习平台（免费免费）。）。 2、师资培训：、师资培训： 注：思科为每所新申请学院提供两名免费的注：思科为每所新申请学院提供两名免费的ccna师资培训名额。师资培训名额。 差旅费学校自理、其它课程培训价格请参照思科网络技术学院理事会网站。差旅费学校自理、其它课程培训价格请参照思科网络技术学院理事会网站。 3、实验室建设预算。、实验室建设预算。 4、思科网络技术学院理事会提供后续技术支持服务，会员费每年、思科网络技术学院理事会提供后续技术支持服务，会员费每年1500元人元人 民币。（详情请参照理

23、事会网站民币。（详情请参照理事会网站 http:/） 培训费每人培训费每人天数天数 ccna3600元元22天天 ccnp8000元元40天天 网络安全基础网络安全基础2500元元12天天 无线局域网络基础无线局域网络基础2500元元10天天 2002, cisco systems, inc. all rights reserved. 262626 实验室机房布置案例实验室机房布置案例 2002, cisco systems, inc. all rights reserved. 272727 实验室设备机架案例实验室设备机架案例 2002, cisco systems, inc. all ri

24、ghts reserved. 282828 本科生课程本科生课程 针对本科生开设必修课程计算机网络针对本科生开设必修课程计算机网络 采用教材为思科网络技术学院教程（采用教材为思科网络技术学院教程（ccnaccna） 课程为课程为4 4学分，其中每周进行学分，其中每周进行3 3学时课堂讲授学时课堂讲授, 2, 2学时实验学时实验( (实际超过实际超过2 2学学 时时) )，每学期为，每学期为1717周周 研究生课程研究生课程 针对一年级硕士研究生开设选修课程高级计算机网络针对一年级硕士研究生开设选修课程高级计算机网络 主要的教学内容来自思科主要的教学内容来自思科ccnpccnp教程教程 包括多区

25、域包括多区域ospfospf、组播、组播、ipv6ipv6、多层交换、园区网等、多层交换、园区网等 课程为课程为3 3学分，其中每周进行学分，其中每周进行2 2学时课堂讲授学时课堂讲授, 2, 2学时实验学时实验 每学期为每学期为12-1312-13周周 南京大学软件学院网站：南京大学软件学院网站：http:/http:/ 网络学院案例网络学院案例必修课模式：南京大学软件学院必修课模式：南京大学软件学院 2002, cisco systems, inc. all rights reserved. 292929 网络学院开展案例网络学院开展案例职业技术学院职业技术学院 温州大学温州大学 将思科网

26、络技术学院课程全面纳入计算机网络工程专业，将思科网络技术学院课程全面纳入计算机网络工程专业， 取得了良好的效果取得了良好的效果, 获得教育部国家精品课程获得教育部国家精品课程 http:/ 2002, cisco systems, inc. all rights reserved. 303030 项目开展案例项目开展案例 培训模式培训模式 学校：清华大学、北京邮电大学学校：清华大学、北京邮电大学 培训对象：学生及社会人员培训对象：学生及社会人员 课程周期：课程周期：ccna课程课程 46个月个月 收费标准：收费标准：ccna课程课程 15002000元元 详细情况请参照网站：详细情况请参照网站： http:/ http:/ 2002, cisco systems