【導(dǎo)讀】思科合作伙伴工程師。第頁思科合作伙伴事業(yè)部1

　　

【正文】 AIMCUE 語音信箱服務(wù)模塊 , Unity Express AIM price includes 12 個(gè) mailbox 語音信箱 思科合作伙伴技術(shù)參考手冊(cè) 第 頁 思科合作伙伴事業(yè)部 17 語音信箱服務(wù)軟件 , Cisco Unity Express base release SCUELIC25CME 25 個(gè)語音信箱許可 , Unity Express License 25 Voice MailboxAuto AttendantCCME PWR2811ACIP 利用 NME16ES 提供在線電源支持的電源 , Cisco 2811 AC/IP power supply CP7942G Cisco IP Phone 7942 SWCCMEUL7942 Cisco CallManager Express License For Single 7942 IP Phone 思科合作伙伴技術(shù)參考手冊(cè) 第 頁 思科合作伙伴事業(yè)部 18 第 2章 思科自防御網(wǎng)絡(luò)安全方案典型配置參考 . 用戶需求分析 ? 客戶規(guī)模 : – 客戶有一個(gè)總部 , 具有一定規(guī)模的園區(qū)網(wǎng)絡(luò) 。 – 一個(gè)分支機(jī)構(gòu) , 約有 20－ 50 名員工 。 – 有總計(jì)十幾個(gè)移動(dòng)辦公用戶 ? 客戶需求 : – 組建安全可靠的總部和分支 LAN 和 WAN。 – 在內(nèi)部各主要部門間 , 及內(nèi)外網(wǎng)絡(luò)間進(jìn)行安全區(qū)域劃分 , 保護(hù)企業(yè)業(yè)務(wù)系統(tǒng) 。 – 配置入侵檢測(cè)系統(tǒng) , 檢測(cè)基于網(wǎng)絡(luò)的攻擊事件，并且協(xié)調(diào)設(shè)備進(jìn)行聯(lián)動(dòng) 。 – 總部和分支的終端 需要提供安全防護(hù) , 并實(shí)現(xiàn)網(wǎng)絡(luò)準(zhǔn)入控制，未來實(shí)現(xiàn)對(duì)VPN 用戶的網(wǎng)絡(luò)準(zhǔn)入檢查 。 – 需要提供 IPSEC/Web VPN 接入 。 – 需要保護(hù)內(nèi)部 mail 系統(tǒng)，阻止垃圾郵件； – 網(wǎng)絡(luò)整體必須具備自防御特性，實(shí)現(xiàn)設(shè)備橫向聯(lián)動(dòng)抵御混合式攻擊； – 圖形化網(wǎng)絡(luò)安全管理系統(tǒng)，方便快捷地控制全網(wǎng)安全設(shè)備，進(jìn)行事件分析，結(jié)合拓?fù)浒l(fā)現(xiàn)攻擊，攔截和阻斷攻擊 。 – 整體方案要便于升級(jí) , 利于投資保護(hù)； ? 思科建議方案 : – 部署邊界 安全 ：思科 IOS 路由器及 ASA 防火墻，集成 SSL/IPSec VPN。 – 安全域劃分 ：思科 FWSM 防火墻模塊與交換機(jī) VRF 及 VLAN 特性配合，完整實(shí)現(xiàn)安全域劃分和實(shí)現(xiàn) 業(yè)務(wù)系統(tǒng)之間的可控互訪 。 – 安全檢測(cè) ：思科 IPS42XX、 IDSM、 ASA AIP 模塊 , IOS IPS 均可以實(shí)現(xiàn)安全檢測(cè)并且與網(wǎng)絡(luò)設(shè)備進(jìn)行聯(lián)動(dòng) 。 – 郵件安全 ：部署 Ironport C 系列產(chǎn)品可以實(shí)現(xiàn)對(duì)大量垃圾郵件的過慮及郵件病毒的防護(hù)； – 部署終端安全 ：思科準(zhǔn)入控制 NAC APPLIANCE 及終端安全防護(hù) CSA 解決方案緊密集成 。 思科合作伙伴技術(shù)參考手冊(cè) 第 頁 思科合作伙伴事業(yè)部 19 – 安全認(rèn)證及授權(quán) :部署思科 ACS 認(rèn)證服務(wù)器 。 – 安全管理 ：思科安全管理系統(tǒng) MARS，配合安全配置管理系統(tǒng) CSM 使用。 . 思科建議方案拓?fù)鋱D . 思科建議方案總體配置概述 ? 安全和智能的總部與分支網(wǎng)絡(luò) : ? LAN: 總部 , 核心層思 科 Cat6500；分布層 Cat4500；接入層 Cat3560 和 Cat2960交換機(jī) , 提供公司總部園區(qū)網(wǎng)絡(luò)用戶的接入 。 分支可以采用思科 ASA5505 防火墻內(nèi)嵌的 8FE 接口連接用戶 , 同時(shí)其頭兩個(gè) LAN 端口支持 POE 以太網(wǎng)供電 , 可以連接 AP 及 IP 電話等設(shè)備使用 , 并且 ASA5505 留有擴(kuò)展槽為便于以后對(duì)于業(yè)務(wù)模塊的支持。 思科合作伙伴技術(shù)參考手冊(cè) 第 頁 思科合作伙伴事業(yè)部 20 ? WAN: 總部 ISR3845 路由器 , 分支 ISR2811 或者 ASA 防火墻 , 實(shí)現(xiàn)總部和分支之間安全可靠地互聯(lián) , 可以采用專線 , 也可以經(jīng)由因特網(wǎng) , 采用 VPN 實(shí)現(xiàn) 。并 且為遠(yuǎn)程辦公用戶提供 IPSEC/SSL VPN 的接入。 ? 總部和分支自防御網(wǎng)絡(luò)部署說明 ? 總部和分支路由器或者 ASA 防火墻 , IPS, 及 IPSec VPN 和 WEB VPN 功能 , 實(shí)現(xiàn)安全的網(wǎng)絡(luò)訪問和應(yīng)用傳輸 , 以及高級(jí)的應(yīng)用控制 。 另外 , 可利用思科 AutoSecure 功能快速部署設(shè)備自身的安全。 ? 安全域劃分 ：實(shí)現(xiàn)行業(yè)用戶內(nèi)部業(yè)務(wù)系統(tǒng)邏輯隔離，并且保證在策略允許的情況下實(shí)現(xiàn)可控的互訪，可以利用思科 FWSM 防火墻模塊與 C6K 交換機(jī)完美集成，并且 思科交換機(jī) VRF 特性相結(jié)合，二層 VLAN 隔離，三層 VRF 隔離，最終利用 VRF 終結(jié)業(yè)務(wù)對(duì)應(yīng)不同的虛擬防火墻，并且配置各個(gè)業(yè)務(wù)網(wǎng)段專用虛擬防火墻實(shí)現(xiàn)不同安全區(qū)域業(yè)務(wù)之間的可控互訪。 ? 終端安全 ：終端安全＝ NAC+CSA，利用思科 NAC APPLINACE 解決方案通過配置 CAM/CAS 兩臺(tái)設(shè)備實(shí)現(xiàn)思科 NAC 解決方案保證對(duì)于網(wǎng)絡(luò)內(nèi)主機(jī)的入網(wǎng)健康檢查，利用思科 CSA 軟件對(duì)于用戶服務(wù)器及客戶機(jī)進(jìn)行安全加固、病毒零天保護(hù)、限制非法應(yīng)用（ P2P)、限制 U 盤使用等操作，兩套解決方案可以實(shí)現(xiàn)完美結(jié)合，并且 CSA 可 以與 MARS 及 IPS 進(jìn)行橫向聯(lián)動(dòng)，自動(dòng)攔截攻擊。 ? 安全檢測(cè) ：思科 IPS42XX、 IDSM、 ASA AIP 模塊均可以實(shí)現(xiàn)安全檢測(cè)并與網(wǎng)絡(luò)設(shè)備進(jìn)行聯(lián)動(dòng)，思科安全 IPS 設(shè)備支持并聯(lián)和串連模式，旁路配置時(shí)可以監(jiān)控各個(gè)安全域劃分區(qū)域內(nèi)部業(yè)務(wù)，識(shí)別安全風(fēng)險(xiǎn) , 與 MARS 聯(lián)動(dòng)，也可以與思科網(wǎng)絡(luò)設(shè)備防火墻、 C6K 交換機(jī)、路由器等進(jìn)行聯(lián)動(dòng)，自動(dòng)推送配置給設(shè)備實(shí)現(xiàn)攻擊的攔截工作。 ISR 啟用 NETFLOW 功能與 MARS 進(jìn)行聯(lián)動(dòng)進(jìn)行異常流量及行為監(jiān)控 。 ? 郵件安全 ：思科 IronPort 系列通過其特有的 SenderBase 及信譽(yù)過慮機(jī)制為用戶提供高安全級(jí)別的垃圾郵件過慮和 Mail 安全?？梢源罅繙p少公司遭受的垃圾mail 的困擾并預(yù)防最新的病毒通過 Email 的形式感染到客戶。 ? 安全認(rèn)證及授權(quán) : 部署思科 ACS 認(rèn)證服務(wù)器，實(shí)現(xiàn)網(wǎng)管認(rèn)證，并且可以實(shí)現(xiàn)有線及無線用戶 DOT1X 認(rèn)證需求 思科合作伙伴技術(shù)參考手冊(cè) 第 頁 思科合作伙伴事業(yè)部 21 ? 安全管理 ：圖形化思科安全管理器 CSM, 可以監(jiān)控 ,配置和管理總部和分支所有安全設(shè)備 , 包括防火墻 , VPN 和 IPS 等 。 思科安全響應(yīng)系統(tǒng) MARS，隨時(shí)獲取全網(wǎng)范圍內(nèi)的所有報(bào)告 , 進(jìn)行智能的關(guān)聯(lián)和分析 , 進(jìn)而結(jié)合網(wǎng)絡(luò)拓?fù)鋱D , 分析出當(dāng)前正在發(fā)生的攻擊路徑 , 并給出響應(yīng)方案 , 也可調(diào)用網(wǎng)絡(luò)設(shè)備對(duì)攻擊進(jìn)行攔截和阻斷。 . 安全方案相關(guān)產(chǎn)品配置簡述 ? LAN: ? 總部 C6K 交換機(jī)為主干 , 分布層交換機(jī) C4500，接入層交換機(jī) CE50024PC 為桌面交換機(jī) , 可提供用戶以 100M 接入 , 同時(shí)提供 IP 電話機(jī)的電源供應(yīng) 。 ? WAN: ? 采用 ISR3800 系列路由器 ,小型分支機(jī)構(gòu)建議利用 ASA5505 直接組網(wǎng)即可 。 ? SDN 自防御網(wǎng)絡(luò)安全 : ? 邊界安全： ISR 路由器及 ASA 5500 防火墻 。配置 ASA＋ AIP 模塊實(shí)現(xiàn)基于網(wǎng)絡(luò)攻擊的攔截 , 同時(shí)購買相應(yīng)的 IPS 模塊 SMARTNET 服務(wù)。 ? 安全域劃分 ：在核心的 Cat6500 交換機(jī)配置 FWSM 防火墻模塊，與交換機(jī)VRF 及 VLAN 特性配合，完整實(shí)現(xiàn)安全域劃分以及 業(yè)務(wù)可控互訪。 ? 終端安全 ：配置兩臺(tái) CAM 及 CAS（冗余配置）實(shí)現(xiàn) NAC 部署 (CAM 旁路配置），根據(jù)用戶規(guī)模選擇適當(dāng) CAM 型號(hào)，并且根據(jù)同時(shí)在線管理的客戶機(jī)數(shù)量選擇 CAS 的授權(quán)、配置 CSA－ MC 服務(wù)器 , 根據(jù) 用戶實(shí)際需求購買相應(yīng)數(shù)量的服務(wù)器及終端機(jī)保護(hù)授權(quán) , 必須同時(shí)購買相應(yīng)的 SMARTNET 服務(wù)。 ? 安全檢測(cè)： 可以單獨(dú)配置思科 IPS42XX、 C6K 集成 IDSM 入侵檢測(cè)模塊、 ASA 集成的 AIP 模塊等均可以實(shí)現(xiàn)安全檢測(cè)并且與網(wǎng)絡(luò)設(shè)備進(jìn)行聯(lián)動(dòng)。 ? Email 安全： 可以配置 Cisco Ironport 系列的 C150 系列或者 C350 系列，配置兩臺(tái)實(shí)現(xiàn)冗余。 ? 安全認(rèn)證及授權(quán) :部署思科 ACS 認(rèn)證服務(wù)器，配置兩臺(tái) ACS 可以實(shí)現(xiàn)冗余。 ? 安全管理： 思科安全響應(yīng)系統(tǒng) MARS，安全管理系統(tǒng) CSM。 小型企業(yè)購買MARS20R, 可以通過授權(quán)升級(jí)至 MARS20，中型企業(yè)園區(qū)網(wǎng)絡(luò)建議 MARS50或以上型號(hào)。 思科合作伙伴技術(shù)參考手冊(cè) 第 頁 思科合作伙伴事業(yè)部 22 ? 分支機(jī)構(gòu)： 小型分支機(jī)構(gòu)建議利用 ASA5505 組網(wǎng)、一臺(tái)設(shè)備實(shí)現(xiàn)交換路由安全功能三合一。規(guī)模較大分支機(jī)構(gòu)可以推薦用戶利用 ISR 集成組網(wǎng)。 . 總部和分支方案產(chǎn)品清單 總部邊界安全配置 : CISCO3825SEC/K9 3825 Security Bundle,Advanced Security,64F/256D AIMVPN/SSL3 DES/3DES/AES/SSL VPN Encryption/Compression FLWEBVPN100K9 Feature License IOS SSL VPN Up To 100 Users (Incremental) CABACA Plug,Power Cord,Australian,10A ASA 5520+AIP 模塊＋服務(wù) ASA5520AIP20K8 ASA 5520 Appliance w/ AIPSSM20, SW, HA, 4GE+1FE, DES CABACA Plug,P