【正文】 ec借助IPSec，用戶可以通過互聯(lián)網(wǎng)等不受保護的網(wǎng)絡(luò)傳輸敏感信息。 數(shù)據(jù)完整性——IPSec接收者可以對IPSec發(fā)送者發(fā)出的包進行鑒別，以保證數(shù)據(jù)在傳輸過程中未被篡改；在本章中，如果沒有其它規(guī)定，它還包括反重播服務(wù)。當(dāng)IPSec對等設(shè)備看到敏感包時，它將建立相應(yīng)的安全通道，并通過通道將包發(fā)送給遠程用戶。IKE SA用于協(xié)商一個或多種IPSec SA，以便實際傳輸應(yīng)用數(shù)據(jù)。SA參數(shù)之一是壽命，可配置的壽命期結(jié)束之后，SA將自動終止，因此，這個參數(shù)能提高IPSec的安全性。與IPSec相似，IKE也使用一對SA在兩臺對等設(shè)備之間建立安全通信通道。另外，隨著對等設(shè)備的增加將出現(xiàn)嚴重的擴展問題。但是，這種方法也存在人工配置IPSec SA的擴展問題。這個屬性可用于解決通過非安全網(wǎng)絡(luò)共享秘密時遇到的擴展問題。使用這種方法，無需傳送對加密信息解密的秘密口令就能通過非安全網(wǎng)絡(luò)共享加密信息。這就是使用CA的原因。VeriGign等公共CA由客戶信任的第三方運作，它將負責(zé)核實獲取證書的每臺客戶機和服務(wù)器的身份。用戶還可以在將瀏覽器分布給用戶之前為瀏覽器軟件預(yù)先配置CA和必要的證書。站點到站點VPN在PIX Firewall與遠程IPSec安全網(wǎng)關(guān)之間建立。遠程接入VPN使用模擬、數(shù)字、ISDN、DSL、移動IP和有線技術(shù)將移動用戶、遠程員工及其他獨立系統(tǒng)與PIX Firewall保護的網(wǎng)絡(luò)安全地連接在一起。 Cisco VPN Client，注意建議您使用Cisco VPN 。 Telnet界面 XDMCPPDM從Windows NT、Windows 9Windows 2000或Solaris web瀏覽器提供管理界面。Telnet界面只允許內(nèi)部網(wǎng)絡(luò)內(nèi)的某些客戶機系統(tǒng)訪問Telnet界面（根據(jù)源地址），而且密碼能受到保護。SSH可以安全地遠程配置PIX Firewall，因而能提供加密和認證功能。SNMP Firewall和Memeory Pool MIB增加了用于識別PIX Firewall狀態(tài)的其它信息的陷阱數(shù)量，包括以下事件： memory命令的內(nèi)存使用情況TFTP配置服務(wù)器（TFTP Configuration Server）用戶可以使用復(fù)雜文件傳輸協(xié)議（TFTP）配置服務(wù)器從一個地點獲得多個PIX Firewall的配置。XDMCPPIX Firewall通過established命令支持使用XDMCP（X顯示管理器控制協(xié)議）的連接。Windows NT 系統(tǒng)日志服務(wù)器可以提供有時間標記的系統(tǒng)日志消息，接收替代端口上的消息，還可以在不能收到消息時擋住PIX Firewall流量。借助它提供的數(shù)據(jù)，用戶可以阻擋對有問題的站點的訪問。PIX Firewall將檢查IDS簽名并將其作為系統(tǒng)日志信息發(fā)送給系統(tǒng)日志服務(wù)器。表11：故障恢復(fù)支持PIX Firewall型號 故障恢復(fù)支持PIX Firewall 501不支持PIX Firewall 506不支持PIX Firewall 515需要其它許可證PIX Firewall 525全面支持PIX Firewall 535全面支持 返回頂部實施故障恢復(fù)時，一個設(shè)備作為主用設(shè)備，另一個作為備用設(shè)備。故障恢復(fù)線纜將兩個PIX Firewall設(shè)備連接在一起，使兩個設(shè)備能實現(xiàn)配置同步和通話狀態(tài)信息同步，這樣，當(dāng)主用設(shè)備出現(xiàn)故障時，備用設(shè)備無需中斷網(wǎng)絡(luò)連接和破壞安全性就能接替主用設(shè)備的工作。PIX Firewall故障恢復(fù)（PIX Firewall Failover）借助PIX故障恢復(fù)特性，用戶可以用一條專用故障恢復(fù)線纜連接兩個相同的PIX Firewall設(shè)備，以便實現(xiàn)完全冗余的防火墻解決方案。注意，這個特性可能會產(chǎn)生關(guān)于高流量PIX Firewall的大量系統(tǒng)日志數(shù)據(jù)。FTP和URL登錄（FTP and URL Logging）借助FTP和URL登錄特性，用戶可以查看用戶輸入的向內(nèi)和向外FTP命令，以及用于訪問其站點的URL。與其它UDP修復(fù)相同，在默認狀態(tài)下，將打開XDMCP處理功能。 Firewall，以便升級或者更換PIX Firewall上的軟件圖像。 ow conn命令的連接數(shù)量SNMP界面允許通過傳統(tǒng)網(wǎng)絡(luò)管理系統(tǒng)監(jiān)控PIX Firewall。如果配置了IPSec，還可以從外部界面訪問PIX Firewall控制臺。Telnet界面（Telnet Interface）PIX Firewall Telnet界面提供與Cisco IOS軟件類似的命令行界面。 FTP和URL登錄 使用SNMPPIX Firewall的系統(tǒng)管理（PIX Firewall System Management）本節(jié)將介紹用于管理PIX Firewall的特性和工具，包含以下內(nèi)容： Secure VPN Client，要想了解配置指令，請參考“基本VPN配置”；要想了解配置實例，請參考“站點到站點VPN配置實例”。使用站點到站點VPN（Using a SitetoSite VPN）站點到站點VPN是一種WAN基礎(chǔ)設(shè)施，能夠代替和增強使用租用線路、幀中繼或ATM連接遠程和分支辦公室和中央站點的現(xiàn)有專用網(wǎng)絡(luò)。為使用證書協(xié)商IKE SA，兩臺IPSec對等設(shè)備都必須產(chǎn)生公用/專用密鑰對，請求和接收公用密鑰證書，并確保信任發(fā)行證書的CA。認證機構(gòu)（CA）在某段時間發(fā)行公用密鑰證書。公用密鑰只能對用相應(yīng)專用密鑰加密的信息進行解密。當(dāng)任何對等設(shè)備需要與專用密鑰的所有者共享秘密時，只需使用公用密鑰對信息加密即可。認證機構(gòu)（Certification Authorities）要想了解CA幫助配置IKE的方式，應(yīng)該先了解公用/專用密鑰加密?；诖朔N原因，只有當(dāng)遠程對等設(shè)備不支持IKE時才使用人工配置。用戶可以人工配置SA，以便在兩臺對等設(shè)備之間建立IPSec通道。借助IKE，無需人工配置每臺IPSec對等設(shè)備就能實施IPSec。 第二階段：這個階段使用IKE SA提供的安全通道協(xié)商IPSec SA?；ヂ?lián)網(wǎng)密鑰交換（互聯(lián)網(wǎng) Key Exchange ，IKE）IPSec自動建立安全通道的過程分為兩個階段：用戶可以自己確定哪些包屬于敏感信息，應(yīng)該通過這些安全通道發(fā)送。 反重播——IPSec接收者可以刪除和拒絕重播的包。IPSec提供的網(wǎng)絡(luò)安全服務(wù)如下：借助IPSec，當(dāng)數(shù)據(jù)在公共網(wǎng)上傳輸時，用戶無需擔(dān)心數(shù)據(jù)會被查看、篡改或欺詐。VPN的安全性和管理政策與專用網(wǎng)絡(luò)相同。 認證機構(gòu)本節(jié)包含的內(nèi)容如下：NETBIOS over IPPIX Firewall支持從內(nèi)部網(wǎng)絡(luò)到外部網(wǎng)絡(luò)的NETBIOS over IP連接。 能執(zhí)行呼叫重定向；（ITU）為LAN多媒體會議制定的一套協(xié)議。Cisco IP電話（Cisco IP Telephony）Cisco IP電話可以將VoIP（IP語音）網(wǎng)絡(luò)和公共交換電話網(wǎng)（PSTN）集成在一起。RTSP廣泛用于RealAudio、RealNetworks、Apple QuickTime RealPlayer和Cisco IP/TV連接。RAS第2版本（RAS Version 2）多媒體應(yīng)用需要注冊、承認和狀態(tài)（RAS）協(xié)議，例如需要視頻和音頻編碼的視頻會議和IP語音。 互聯(lián)網(wǎng) PhonePIX Firewall支持的特殊多媒體應(yīng)用包括：