摘要:现在已经是移动互联网经济的时代，网络技术的快速发展催生了许多大型的互联网公司。随着中国经济的快速发展，很多公司已经在全国各地开设了分支结构，甚至还同国外的公司进行跨国合股。基于互联网的经济有一点非常的重要就是安全，眼下各种各样的数据泄漏，网站被攻破等安全事件，将网络安全提升到了一个全新的高度。良好的网络安全环境，保障着一个公司正常的开展业务为客户提供优质的服务。因此网络安全的重要性已经越来越受到互联网公司的重视。
在安全问题越发严重的今天，如何保障公司的网络安全，已经是一个迫在眉睫的问题。本课题就基于互联网公司的网络安全进行研究和设计，在一定程度上保障公司的网络安全。为了达到最佳的实验效果，本课题全部采用真实的网络设备进行实现。包括Cisco最新的ASA 5515-X，企业级的路由器和交换机，还有IPS、身份服务引擎ISE等等。能够真实的展示当前网络安全流行技术。
本次设计的网络部署分为内网和分部网络。安全包括路由器加密通信，内网和外网采用ASA防火墙进行，访问网络经过ISE的身份验证，总部和分支机构的通信全部采用VPN加密。
关键词 Cisco；网络安全；VPN；Firewall
目录
摘要
Abstract
1 绪论-4
1.1 系统设计背景与意义-4
1.1.1 系统设计背景-4
1.1.2 系统设计意义-4
1.2 系统设计内容-4
1.3 论文组织结构-4
2 实验环境和相关技术介绍-5
2.1实验环境和相关技术介绍-5
2.2 防火墙技术介绍-7
2.2.1 防火墙简介-7
2.2.2 Cisco ASA特性-7
2.2.3 ASA的初始化-8
2.2.4 ASA高可用性-9
2.2.5 A/A Failover-10
2.3 ACL访问控制技术-11
2.3.1 ACL介绍-11
2.3.2 ACL分类和作用-11
2.3.3 ACL的功能和部署原则-11
2.4 VPN技术-12
2.4.1 VPN介绍-12
2.4.2 IKEv2-13
2.4.3 DMVPN-13
2.4.4 GETVPN-14
3 安全系统设计-15
3.1 系统设计思想和原则-15
3.2 网络系统综述-17
3.2.1 Inside区域网络-17
3.2.2 Outside区域网络-17
3.2.3 DMZ区域网络-17
3.3网络拓扑设计概述-18
3.3.1 总部网络拓扑设计-18
3.3.2 分部网络拓扑-19
3.4 核心网络的设计-20
3.4.1 多模墙的使用-20
3.4.2 WSA网页防护-20
3.4.3 ISE身份认证-20
3.5网络入口流控设计-20
3.6双DMZ区域设计-21
3.7内部通信安全设计-21
3.7.1 VPN加密通信-21
3.7.2 SLA静态路由跟踪技术-22
4 设备选型-23
4.1设备选型原则-23
4.1.1 适用性-23
4.1.2 经济合理性-23
4.1.3 技术先进性-23
4.1.4 工艺和质量-23
4.1.5 安全性-24
4.1.6 操作性-24
4.1.7 扩展性-24
4.1.8 售服务后与技术支持-24
4.2 Cisco Router-25
4.2.1 Cisco 2900系列集成多业务路由器-25
4.2.2 Cisco 3725系列集成多业务路由器-26
4.3 Cisco Switch-27
4.3.1 Cisco Catalyset 3550系列交换机-27
4.3.2 Cisco Catalyst 3560-E企业级交换机-28
4.3.3 Cisco Catalyst 3750-X企业级三层交换机-29
4.4 Cisco Firewall-30
4.4.1 Cisco ASA 5510 Security+系列安全防火墙-30
4.4.2 Cisco ASA 5515-X系列安全防火墙-31
4.5 Cisco WSA-S160-K9系列网页防火墙-32
4.6 Cisco Aironet 1600系列无线接入点-33
4.7 Cisco Unified CP-7965G IP Phone-34
4.8 Cisco ISE-3395-K9系列身份服务引擎-35
4.9 Cisco AIR-WLC2500-K9系列无线控制器-36
4.10 设备选型-37
5设备配置与安全系统实现-38
5.1 物理安全-38
5.1.1 物理位置的选择-38
5.1.2 物理访问控制-38
5.1.3 防盗和防破坏-38
5.1.4 防火、防水、防雷击和防潮-38
5.1.5 静电和电磁防护-38
5.1.6 温度控制和电源供应-39
5.2 总部安全-39
5.2.1 ASA3单模防火墙配置-39
5.2.2 NTP时间同步-40
5.2.3 ASA1多模墙配置-41
5.2.4 ASA1和ASA2 配置A/A FO-44
5.2.5 ASA3 Inside区域进行NAT转换-45
5.2.6 IPS初始化-46
5.2.7 为IPS配置在线接口对儿-47
5.2.8为IPS配置杂合模式-48
5.2.9 为IPS定义signature 62000-48
5.2.10 SW1配置WCCP流量重新定向-49
5.2.11 为DMZ区域配置Site-to-Site VPN-50
5.2.12 为DMZ区域配置GETVPN-50
5.3 分部安全-51
5.3.1 ASA4 单模墙配置-51
5.3.2 配置OSPF路由-52
5.3.3 配置ASA LSA静态路由跟踪技术-53
5.3.4 ASA4 inside区域配置NAT转换-54
5.3.5 配置OSPFv2 认证-55
5.3.6 交换机防欺骗安全配置-55
5.3.7 WLC对shun的学习-56
结论-57
致谢-58
参考文献-59
