網(wǎng)絡(luò)工程師必讀：網(wǎng)絡(luò)安全系統(tǒng)設(shè)計

第1章 網(wǎng)絡(luò)安全系統(tǒng)設(shè)計綜述／1
1.1 網(wǎng)絡(luò)安全系統(tǒng)設(shè)計基礎(chǔ)／2
1.1.1 網(wǎng)絡(luò)安全的發(fā)展／2
1.1.2 網(wǎng)絡(luò)安全威脅基礎(chǔ)／4
1.1.3 企業(yè)網(wǎng)絡(luò)的主要安全隱患／6
1.1.4 網(wǎng)絡(luò)安全系統(tǒng)的基本組成／7
1.2 OSI/RM各層的安全保護／9
1.2.1 物理層的安全保護／9
1.2.2 數(shù)據(jù)鏈路層的安全保護／11
1.2.3 網(wǎng)絡(luò)層的安全保護／12
1.2.4 傳輸層的安全保護／13
1.2.5 會話層和表示層的安全保護／14
1.2.6 應(yīng)用層的安全保護／15
1.3 系統(tǒng)層的安全保護／16
1.4 網(wǎng)絡(luò)安全系統(tǒng)設(shè)計／16
1.4.1 網(wǎng)絡(luò)安全策略／16
1.4.2 網(wǎng)絡(luò)安全系統(tǒng)設(shè)計的基本原則／17
1.5 網(wǎng)絡(luò)安全系統(tǒng)設(shè)計的基本思路／20
1.5.1 安全隱患分析和基本系統(tǒng)結(jié)構(gòu)信息的收集／20
1.5.2 調(diào)查和分析當(dāng)前網(wǎng)絡(luò)的安全需求／23
1.5.3 評估現(xiàn)有網(wǎng)絡(luò)安全策略／24
1.5.4 設(shè)計細化的新網(wǎng)絡(luò)安全策略初稿／25
1.5.5 第一次小范圍的測試、評估和修改／31
1.5.6 第二次中、大范圍的測試、評估和修改／32
1.5.7 新網(wǎng)絡(luò)安全策略文檔終稿／32
1.5.8 新網(wǎng)絡(luò)安全策略系統(tǒng)的正式應(yīng)用／32
第2章 物理層的網(wǎng)絡(luò)安全保護方案／33
2.1 物理層安全保護概述／34
2.2 物理層的線路竊聽技術(shù)分析／34
2.3 計算機網(wǎng)絡(luò)通信線路屏蔽／35
2.3.1 選擇屏蔽性能好的傳輸介質(zhì)和適配器／36
2.3.2 屏蔽機房和機柜的選擇／38
2.3.3 WLAN無線網(wǎng)絡(luò)的物理層安全保護／39
2.4 物理線路隔離／40
2.4.1 主要物理隔離產(chǎn)品／40
2.4.2 物理隔離網(wǎng)閘的隔離原理／43
2.4.3 物理隔離網(wǎng)閘的典型應(yīng)用／46
2.5 設(shè)備和線路冗余／46
2.5.1 網(wǎng)絡(luò)設(shè)備部件冗余／47
2.5.2 網(wǎng)絡(luò)設(shè)備整機冗余／49
2.5.3 網(wǎng)絡(luò)線路冗余／51
2.6 機房和賬戶安全管理／51
2.6.1 機房安全管理／51
2.6.2 賬戶安全管理／52
2.7 數(shù)據(jù)安全管理／52
2.7.1 數(shù)據(jù)容災(zāi)概述／53
2.7.2 容災(zāi)與存儲、容錯、備份和遠程復(fù)制的關(guān)系／54
2.7.3 數(shù)據(jù)容災(zāi)等級／56
2.7.4 災(zāi)難恢復(fù)的關(guān)鍵注意事項／60
2.8 物理層安全管理工具／61
2.8.1 泛達綜合布線實時管理系統(tǒng)／61
2.8.2 Molex綜合布線實時管理系統(tǒng)／64
2.9 服務(wù)和服務(wù)賬戶安全規(guī)劃／66
2.9.1 服務(wù)和服務(wù)賬戶安全規(guī)劃概述／66
2.9.2 服務(wù)的安全漏洞和賬戶／67
2.9.3 WindowsServer2003中服務(wù)的默認安全設(shè)置更改／69
2.9.4 安全運行服務(wù)的原則／70
2.9.5 如何更安全地運行服務(wù)／72
第3章 數(shù)據(jù)鏈路層的安全保護方案／81
3.1 典型數(shù)據(jù)加密算法／82
3.1.1 基于“消息摘要”的算法／82
3.1.2 “對稱/非對稱密鑰”加密算法／85
3.2 數(shù)據(jù)加密／87
3.2.1 數(shù)據(jù)加密技術(shù)／87
3.2.2 鏈路加密機／90
3.2.3 網(wǎng)卡集成式鏈路加密原理／92
3.3 WLANSSID安全技術(shù)及配置方法／94
3.3.1 SSID概念及配置方法／94
3.3.2 BSSID和ESSID／95
3.3.3 SSID的安全問題／96
3.4 WLANMAC地址過濾／97
3.5 WLANWEP加密／98
3.5.1 WEP加密原理／98
3.5.2 WEP解密原理／99
3.5.3 WEP加密的不足／99
3.5.4 WEP加密的配置方法／100
3.6 WPA加密／102
3.6.1 WPA的WLAN鏈路加密／102
3.6.2 WPA中的IEEE802.1 x身份認證系統(tǒng)／103
3.6.3 EAPOL消息的封裝／105
3.6.4 IEEE802.1 x的認證過程／107
3.7 WPA2加密／111
3.7.1 WPA2簡介／111
3.7.2 AES-CCMP基礎(chǔ)／112
3.7.3 AES算法的基本原理／113
3.7.4 WPA2AES-CCMP加/解密原理／115
3.8 無線AP/路由器的WPA和WPA2設(shè)置／118
3.8.1 個人用戶無線AP/路由器的WPA-PSK或WPA2-PSK設(shè)置／119
3.8.2 企業(yè)級無線AP/路由器的WPA或WPA2設(shè)置／120
3.8.3 WLAN客戶端第三方軟件的WPA和WPA2設(shè)置／121
3.8.4 WindowsXP無線客戶端WPA/WPA2配置／125
3.9 最新的WLAN安全標(biāo)準(zhǔn)
——IEEE802.1 1i／126
3.9.1 IEEE802.1 1i概述／127
3.9.2 WRAP加密機制／127
3.10 MAC地址欺騙防護／129
3.10.1 ARP和RARP協(xié)議工作原理／130
3.10.2 ARP協(xié)議幀格式／131
3.10.3 MAC地址欺騙原理／132
3.10.4 MAC地址欺騙預(yù)防／133
3.11Cisco設(shè)備上基于端口的MAC地址綁定／136
3.11.1 基于端口的單一MAC地址綁定基本配置步驟／136
3.11.2 基于端口的單一MAC地址綁定配置示例／138
3.12 Cisco基于端口的多MAC地址綁定／138
3.12.1 基于端口的多MAC地址綁定配置思路／138
3.12.2 基于端口的多MAC地址綁定配置示例／139
3.13 Cisco設(shè)備上基于IP的MAC地址綁定／139
3.13.1 一對一的MAC地址與IP地址綁定／139
3.13.2 一對多，或者多對多的MAC地址與IP地址綁定示例／140
3.14 H3CS5600交換機基于端口的MAC地址綁定／141
3.14.1 S5100系列交換機的SecurityMAC地址配置／141
3.14.2 S5600系列交換機的SecurityMAC地址配置／142
3.15 H3CSR8800系列業(yè)務(wù)路由器MAC和IP地址綁定／144
3.15.1 MAC和IP地址綁定配置／144
3.15.2 MAC和IP地址綁定典型配置示例／146
3.16 H3CSecPath系列防火墻上的MAC和IP地址綁定／147
3.16.1 MAC和IP地址綁定配置／148
3.16.2 MAC和IP地址綁定典型配置示例／149
3.17 網(wǎng)絡(luò)嗅探的防護／149
3.17.1 網(wǎng)絡(luò)嗅探原理／149
3.17.2 網(wǎng)絡(luò)嗅探的防范／151
第4章 網(wǎng)絡(luò)層防火墻安全保護方案／153
4.1 防火墻的分類和技術(shù)／154
4.1.1 包過濾防火墻簡介／154
4.1.2 包過濾技術(shù)的發(fā)展／155
4.1.3 包過濾原理／155
4.1.4 包過濾技術(shù)的主要優(yōu)、缺點／156
4.1.5 代理防火墻／157
4.2 防火墻系統(tǒng)的設(shè)計／158
4.2.1 內(nèi)、外部防火墻系統(tǒng)／158
4.2.2 防火墻在企業(yè)網(wǎng)絡(luò)體系結(jié)構(gòu)中的位置／159
4.2.3 典型防火墻系統(tǒng)設(shè)計／161
4.3 防火墻在網(wǎng)絡(luò)安全防護中的主要應(yīng)用／164
4.3.1 控制來自互聯(lián)網(wǎng)對內(nèi)部網(wǎng)絡(luò)的訪問／164
4.3.2 控制來自第三方局域網(wǎng)對內(nèi)部網(wǎng)絡(luò)的訪問／166
4.3.3 控制局域網(wǎng)內(nèi)部不同部門之間的訪問／167
4.3.4 控制對服務(wù)器中心的網(wǎng)絡(luò)訪問／168
4.4 內(nèi)部防火墻系統(tǒng)設(shè)計／169
4.4.1 內(nèi)部防火墻系統(tǒng)概述／170
4.4.2 內(nèi)部防火墻規(guī)則／170
4.4.3 內(nèi)部防火墻的可用性需求／171
4.4.4 內(nèi)部容錯防火墻集配置／174
4.4.5 內(nèi)部防火墻系統(tǒng)設(shè)計的其他因素要求／175
4.5 外圍防火墻系統(tǒng)設(shè)計／177
4.5.1 外圍防火墻系統(tǒng)概述／178
4.5.2 外圍防火墻規(guī)則／178
4.5.3 外圍防火墻系統(tǒng)的可用性要求／179
第5章 網(wǎng)絡(luò)層Kerberos身份認證方案／181
5.1 身份認證概述／182
5.1.1 單點登錄身份認證執(zhí)行方式／182
5.1.2 主要的身份認證類型／183
5.2 Kerberos身份認證基礎(chǔ)／183
5.2.1 KerberosV5身份認證機制／184
5.2.2 KerberosV5身份認證的優(yōu)點與缺點／187
5.2.3 KerberosV5協(xié)議標(biāo)準(zhǔn)／188
5.2.4 KerberosV5身份認證所用端口／190
5.3 KerberosSSP認證／190
5.4 Kerberos物理結(jié)構(gòu)／192
5.4.1 Kerberos中的密鑰／192
5.4.2 Kerberos票證／195
5.4.3 認證符／199
5.4.4 憑證緩存／200
5.4.5 密鑰分發(fā)中心（KDC）／200
5.5 KerberosV5交換和消息摘要／204
5.5.1 KerberosV5身份認證的3個子協(xié)議／204
5.5.2 身份認證服務(wù)（AS）交換／205
5.5.3 票證許可服務(wù)（TGS）交換／206
5.5.4 客戶端/服務(wù)器（CS）交換／207
5.6 Kerberos交換消息詳解／207
5.6.1 身份認證服務(wù)交換消息詳解／208
5.6.2 票證許可服務(wù)交換消息詳解／211
5.6.3 客戶端/服務(wù)器身份認證交換消息詳解／214
5.7 Kerberos身份認證應(yīng)用示例／216
5.7.1 本地登錄示例／216
5.7.2 域登錄示例／217
5.7.3 域用戶的工作站登錄／217
5.7.4 單域身份認證示例／223
5.7.5 用戶到用戶的身份認證／226
5.8 KerberosV5身份認證的啟用與策略配置／228
第6章 網(wǎng)絡(luò)層證書身份認證、加密和簽名方案／231
6.1 證書和證書服務(wù)基礎(chǔ)／232
6.1.1 證書概述／232
6.1.2 證書的主要功能／233
6.1.3 證書的主要應(yīng)用／235
6.1.4 證書客戶端角色／239
6.1.5 證書服務(wù)概述／240
6.2 CA證書／241
6.2.1 CA證書簡介／241
6.2.2 CA證書應(yīng)用的情形／242
6.3 證書結(jié)構(gòu)／243
6.3.1 證書體系架構(gòu)／243
6.3.2 證書模板／245
6.3.3 證書的物理和邏輯存儲／250
6.3.4 證書存儲區(qū)／253
6.4 CA證書進程和交互／255
6.4.1 根CA證書是如何被創(chuàng)建的／256
6.4.2 根CA證書是如何被更新的／257
6.4.3 從屬CA證書是如何被創(chuàng)建的／258
6.4.4 合格的從屬策略是如何被應(yīng)用的／259
6.5 證書服務(wù)體系架構(gòu)／260
6.5.1 證書服務(wù)引擎／261
6.5.2 策略模塊／262
6.5.3 客戶端策略模塊／263
6.5.4 退出模塊／263
6.5.5 證書數(shù)據(jù)庫／264
6.5.6 CryptoAPI接口／264
6.5.7 證書服務(wù)協(xié)議／264
6.6 證書服務(wù)接口／265
6.7 證書服務(wù)物理結(jié)構(gòu)／266
6.7.1 證書數(shù)據(jù)庫和CA日志文件／267
6.7.2 注冊表／267
6.7.3 活動目錄／267
6.7.4 文件系統(tǒng)／269
6.8 證書服務(wù)進程和交互／270
6.8.1 證書是如何創(chuàng)建的／270
6.8.2 證書的自動注冊／272
6.8.3 證書的手動注冊／277
6.8.4 自定義證書注冊和更新應(yīng)用／279
6.8.5 使用可選組件注冊和續(xù)訂／281
6.8.6 證書是如何吊銷的／283
6.9 證書模板屬性選項和設(shè)計／287
6.9.1 證書模板屬性選項／287
6.9.2 證書模板設(shè)計方面的考慮／294
6.9.3 證書模板規(guī)劃注意事項／296
6.9.4 證書模板的部署／299
第7章 網(wǎng)絡(luò)層PKI綜合應(yīng)用方案設(shè)計／303
7.1 本章概述／304
7.1.1 部署PKI的必要性和本章所使用的技術(shù)／304
7.1.2 規(guī)劃和部署PKI的基本流程／306
7.2 定義證書需求／307
7.2.1 確定安全應(yīng)用需求／308
7.2.2 確定證書需求／312
7.2.3 文檔化證書策略和證書實施聲明／314
7.2.4 定義證書應(yīng)用需求示例／315
7.3 設(shè)計證書頒發(fā)機構(gòu)層次結(jié)構(gòu)／316
7.3.1 規(guī)劃核心CA選項——設(shè)計根CA／317
7.3.2 規(guī)劃核心CA選項——選擇內(nèi)部與第三方CA／318
7.3.3 規(guī)劃核心CA選項——評估CA容量、性能和可擴展需求／320
7.3.4 規(guī)劃核心CA選項——PKI管理模式／322
7.3.5 規(guī)劃核心CA選項——CA類型和角色／323
7.3.6 規(guī)劃核心CA選項——整體活動目錄結(jié)構(gòu)／327
7.3.7 規(guī)劃核心CA選項——CA安全性／329
7.3.8 規(guī)劃核心CA選項——確定CA數(shù)量／333
7.3.9 選擇信任模式／334
7.3.1 0在信任層次結(jié)構(gòu)中定義CA角色／338
7.3.1 1建立命名協(xié)定／338
7.3.1 2選擇CA數(shù)據(jù)庫位置／338
7.3.1 3CA結(jié)構(gòu)設(shè)計示例／339
7.4 擴展證書頒發(fā)機構(gòu)結(jié)構(gòu)／341
7.4.1 評估影響擴展信任的因素／341
7.4.2 選擇擴展CA結(jié)構(gòu)配置／344
7.4.3 限制計劃外的信任／346
7.5 定義證書配置文件／348
7.5.1 選擇證書模板／349
7.5.2 選擇證書安全選項／350
7.5.3 使用合格的從屬來限制證書／354
7.5.4 配置證書示例／359
7.6 創(chuàng)建證書管理規(guī)劃／360
7.6.1 選擇注冊和續(xù)訂方法／361
7.6.2 將證書映射到身份／363
7.6.3 創(chuàng)建證書吊銷策略／368
7.6.4 規(guī)劃密鑰和數(shù)據(jù)恢復(fù)／372
7.6.5 創(chuàng)建證書管理規(guī)劃示例／375
第8章 網(wǎng)絡(luò)層IPSec身份認證和加密方案／377
8.1 IPSec基礎(chǔ)／378
8.1.1 什么是IPSec／378
8.1.2 IPSec的設(shè)計初衷／379
8.1.3 IPSec的優(yōu)勢／381
8.2 IPSec提供的安全服務(wù)／382
8.2.1 IPSec提供的安全屬性／382
8.2.2 KerberosV5身份認證協(xié)議／383
8.2.3 基于公鑰證書的身份認證／383
8.2.4 預(yù)共享密鑰驗證／384
8.2.5 采用哈希函數(shù)的數(shù)據(jù)完整性驗證／384
8.2.6 具有加密功能的數(shù)據(jù)保密性／385
8.2.7 密鑰管理／386
8.2.8 密鑰保護／386
8.3 IPSec的使用模式／388
8.3.1 傳輸模式／388
8.3.2 隧道模式／389
8.4 IPSec協(xié)議類型／389
8.4.1 IPSecAH協(xié)議／390
8.4.2 IPSecESP協(xié)議／394
8.5 WindowsServer2003中的IPSec／397
8.5.1 IPSec邏輯體系架構(gòu)／398
8.5.2 IPSec身份認證和組件／401
8.5.3 策略代理體系架構(gòu)／402
8.5.4 IKE模塊體系架構(gòu)／405
8.5.5 IPSec驅(qū)動體系架構(gòu)／407
8.5.6 IPSec策略數(shù)據(jù)結(jié)構(gòu)／407
8.5.7 IPSec分配的網(wǎng)絡(luò)端口和協(xié)議／410
8.5.8 IPSec策略規(guī)則／411
8.6 IPSec密鑰安全關(guān)聯(lián)和密鑰交換原理／415
8.6.1 安全關(guān)聯(lián)基本原理和類型／415
8.6.2 主模式協(xié)商SA／417
8.6.3 快速模式協(xié)商SA／424
8.6.4 密鑰交換原理／426
8.6.5 SA生存期／427
8.7 IPSec驅(qū)動工作原理／427
8.7.1 IPSec驅(qū)動的職責(zé)／427
8.7.2 IPSec驅(qū)動通信／428
8.7.3 IPSec驅(qū)動程序模式／428
8.7.4 IPSec驅(qū)動的包處理／430
8.8 IPSec策略及策略篩選器／431
8.8.1 IPSec策略／431
8.8.2 IPSec策略規(guī)則／433
8.8.3 默認響應(yīng)規(guī)則／434
8.8.4 IPSec策略篩選器／435
8.8.5 IPSec篩選器的應(yīng)用順序／437
8.8.6 IPSec篩選中的默認排除／438
8.8.7 IPSec篩選器的設(shè)計考慮／440
8.9 WindowsServer2003IPSec系統(tǒng)的部署／441
8.9.1 WindowsServer2003IPSec部署的簡易性／441
8.9.2 部署WindowsServer2003IPSec前所需的確認／442
8.9.3 IPSec策略設(shè)計與規(guī)劃的最佳操作／442
8.9.4 建立IPSec安全計劃／445
8.9.5 策略配置／446
8.9.6 默認篩選器列表／446
8.9.7 默認響應(yīng)規(guī)則／448
8.9.8 IPSec策略的應(yīng)用方法／450
8.10 IPSec應(yīng)用方案設(shè)計／453
8.10.1 IPSec安全通信方案的主要應(yīng)用／454
8.10.2 不推薦的IPSec方案／458
8.10.3 管理使用僅在WindowsServer2003家族中可用的新增功能的策略／458
8.10.4 IP篩選器配置的考慮／459
8.10.5 篩選器操作的配置考慮／461
8.11 IPSec策略的應(yīng)用方案配置／462
8.11.1 IPSec方案配置前的準(zhǔn)備／462
8.11.2 IPSec安全方案配置的基本步驟／463
8.11.3 IPSec在Web服務(wù)器訪問限制中的應(yīng)用示例／464
8.11.4 IPSec在數(shù)據(jù)庫服務(wù)器訪問限制中的應(yīng)用示例／475
8.11.5 IPSec在阻止NetBIOS攻擊中的應(yīng)用示例／476
8.11.6 IPSec在保護遠程訪問通信中的應(yīng)用示例／478
第9章 傳輸層TLS/SSL身份認證和加密方案／481
9.1 TLS/SSL基礎(chǔ)／482
9.1.1 TLS/SSL簡介／482
9.1.2 TLS/SSL標(biāo)準(zhǔn)的歷史／483
9.1.3 TLS與SSL的區(qū)別／483
9.1.4 TLS/SSL所帶來的好處／484
9.1.5 TLS/SSL的局限性／485
9.1.6 常見的TLS/SSL應(yīng)用／485
9.1.7 安全通道技術(shù)／487
9.1.8 TLS和SSL的依從／487
9.2 TLS/SSL體系架構(gòu)／488
9.2.1 安全通道SSPI體系架構(gòu)／488
9.2.2 TLS/SSL體系架構(gòu)／490
9.2.3 TLS/SSL握手協(xié)議／491
9.2.4 記錄層／495
9.3 TLS/SSL工作原理／495
9.3.1 TLS/SSL進程和交互機制／495
9.3.2 TLS的完整握手過程／497
9.3.3 客戶端Hello消息／498
9.3.4 服務(wù)器Hello消息／501
9.3.5 客戶端響應(yīng)Hello消息／503
9.3.6 計算主密鑰和子系列密鑰／504
9.3.7 完成消息／505
9.3.8 應(yīng)用數(shù)據(jù)流／506
9.3.9 恢復(fù)安全會話／507
9.3.1 0重新協(xié)商方法／507
9.3.1 1安全通道的證書映射／509
9.3.1 2TLS/SSL所使用的網(wǎng)絡(luò)端口／510
9.4 WTLS／511
9.4.1 WAP的主要特點和體系架構(gòu)／511
9.4.2 WAP架構(gòu)與WWW架構(gòu)的比較／514
9.4.3 WAP安全機制／516
9.4.4 WTLS體系架構(gòu)／518
9.4.5 WTLS的安全功能／519
9.4.6 WTLS與TLS的區(qū)別／520
9.5 SSL在IISWeb服務(wù)器中的應(yīng)用／522
9.5.1 安裝CA／522
9.5.2 生成證書申請／524
9.5.3 提交證書申請／527
9.5.4 證書的頒發(fā)和導(dǎo)出／530
9.5.5 在Web服務(wù)器上安裝證書／532
9.5.6 在Web服務(wù)器上啟用SSL／534
9.6 SSLVPN／535
9.6.1 SSLVPN網(wǎng)絡(luò)結(jié)構(gòu)和主要應(yīng)用／536
9.6.2 SSLVPN的主要優(yōu)勢和不足／537
第10章 應(yīng)用層Web服務(wù)器的綜合安全系統(tǒng)設(shè)計與配置／541
10.1 我國網(wǎng)站安全現(xiàn)狀／542
10.2 Web服務(wù)器的身份驗證技術(shù)選擇／543
10.2.1 NTLM身份驗證機制選擇和配置方法／543
10.2.2 Kerberos身份驗證機制選擇和配置方法／547
10.2.3 摘要式身份驗證機制選擇和配置方法／548
10.2.4 公鑰加密身份認證機制選擇／553
10.2.5 證書身份認證機制選擇和配置方法／555
10.3 Web服務(wù)器傳輸層安全技術(shù)選擇／558
10.4 Web服務(wù)器的安全威脅與對策／559
10.4.1 主機枚舉／560
10.4.2 拒絕服務(wù)／562
10.4.3 未經(jīng)授權(quán)的訪問／562
10.4.4 隨意代碼執(zhí)行／563
10.4.5 特權(quán)提升／563
10.4.6 病毒、蠕蟲和特洛伊木馬／564
10.5 安全Web服務(wù)器檢查表／564
10.6 WindowsServer2003Web服務(wù)器安全策略設(shè)計／580
10.6.1 Web服務(wù)器的匿名訪問和SSLF設(shè)置／581
10.6.2 Web服務(wù)器審核策略設(shè)置／582
10.6.3 Web服務(wù)器用戶權(quán)限分配策略設(shè)置／591
10.6.4 Web服務(wù)器的安全選項策略設(shè)置／600
10.6.5 Web服務(wù)器的事件日志策略設(shè)置／617
10.6.6 Web服務(wù)器的其他安全策略設(shè)置／619
第11章 WLAN網(wǎng)絡(luò)綜合安全系統(tǒng)設(shè)計與配置／629
11.1 選擇WLAN的安全策略／630
11.1.1 WLAN面臨的主要安全問題／630
11.1.2 WLAN安全策略的決策／631
11.1.3 如何真正確保WLAN的安全／633
11.1.4 WLAN的身份驗證和授權(quán)／634
11.1.5 WLAN的數(shù)據(jù)保護／635
11.1.6 使用WLAN數(shù)據(jù)保護的IEEE802.1 x
11.2 WLAN安全方案選擇／637
11.2.1 不部署WLAN技術(shù)／638
11.2.2 使用基于802.1 1靜態(tài)WEP的基本安全／638
11.2.3 使用EAP和動態(tài)加密密鑰的IEEE802.1 x／639
11.2.4 使用EAP-TLS的IEEE802.1 x／640
11.2.5 使用PEAP的IEEE802.1 x／640
11.2.6 使用VPN技術(shù)保護WLAN網(wǎng)絡(luò)／641
11.2.7 使用IPSec保護WLAN／643
11.2.8 主要WLAN安全方案比較／644
11.3 使用IEEE802.1 x設(shè)計WLAN安全系統(tǒng)／645
11.3.1 IEEE802.1 xWALN安全方案設(shè)計基本思路／645
11.3.2 使用IEEE802.1 x和加密確保WLAN安全／646
11.3.3 使用證書或密碼／646
11.3.4 解決方案的先決條件／647
11.3.5 WLAN安全選項考慮／648
11.3.6 確定IEEE802.1 xWLAN所需的軟件設(shè)置／654
11.3.7 其他注意事項／658
11.4 使用IEEE802.1 x實現(xiàn)WLAN安全性／659
11.4.1 方案實現(xiàn)基本思路／659
11.4.2 IEEE802.1 xWLAN計劃工作表／660
11.4.3 準(zhǔn)備安全WLAN的環(huán)境／661
11.4.4 配置和部署WLAN身份驗證證書／662
11.4.5 配置WLAN訪問基礎(chǔ)結(jié)構(gòu)／671
11.4.6 讓用戶和計算機能夠訪問安全WLAN／675
11.4.7 配置IEEE802.1 x網(wǎng)絡(luò)的無線接入點／680
11.4.8 測試和驗證／681
11.5 IEEE802.1 xEAP-TLSWLAN安全方案網(wǎng)絡(luò)結(jié)構(gòu)設(shè)計／681
11.5.1 IEEE802.1 xEAP-TLS身份驗證解決方案概述／681
11.5.2 IEEE802.1 xEAP-TLSWLAN網(wǎng)絡(luò)安全結(jié)構(gòu)方案設(shè)計標(biāo)準(zhǔn)／684
11.5.3 IEEE802.1 xEAP-TLS方案網(wǎng)絡(luò)結(jié)構(gòu)邏輯設(shè)計與評估／686
11.6 使用PEAP和密碼確保無線LAN的安全／692
11.6.1 解決方案的基本思路／692
11.6.2 PEAP解決方案的優(yōu)勢和工作原理／693
11.6.3 組織結(jié)構(gòu)和IT環(huán)境計劃／696
11.6.4 方案設(shè)計標(biāo)準(zhǔn)計劃／697
11.6.5 WLAN體系結(jié)構(gòu)部署計劃／698
11.6.6 針對大型組織的擴展計劃／710
11.6.7 解決方案體系結(jié)構(gòu)的變化計劃／712
11.6.8 準(zhǔn)備安全WLAN網(wǎng)絡(luò)環(huán)境／715
11.6.9 方案網(wǎng)絡(luò)證書頒發(fā)機構(gòu)構(gòu)建／725
11.6.1 0WLAN安全的基礎(chǔ)結(jié)構(gòu)構(gòu)建／728
11.6.1 1WLAN客戶端配置／741
后記／747