本书站在一个比较高的层次上，以纵深防御思想为主线，全面而系统地介绍了网络边界**的方方面面。全书包括四个部分和三个附录。这四个部分依次从基础性的介绍逐步转向综合性的介绍，按照适合读者思路的方式进行组织编排。**部分“网络边界基础”介绍了一些与边界有关的基本知识和核心概念。第二部分“边界的延伸”集中介绍了组成网络**边界的附加部件。第三部分“边界设计”阐述了如何进行良好的设计。第四部分“边界**评估方法”讲述了如何评估与检查已设计好的网络边界。附录中包含了Cisco访问列表配置示例，讨论了密码术的基础知识，并对网络空隙机制进行了概述。
这是一本有关网络**的中**技术性指南，适合于已充分了解TCP/IP和相关技术的**专业人员、系统管理员及网络管理员阅读。

译者序
前言
**部分 网络边界基础
第1章 边界**基础 1
1.1 行业术语 1
1.2 纵深防御 4
1.3 实例分析：纵深防御的运转 12
1.4 小结 13
第2章 报文过滤 14
2.1 TCP/IP预备知识：报文过滤的工作原理 14
2.2 使用Cisco路由器做为报文过滤器 15
2.3 有效使用报文过滤设备 18
2.4 报文过滤器存在的问题 27
2.5 动态报文过滤与自反访问表 32
2.6 小结 35
2.7 参考资料 35
第3章 有状态防火墙 36
3.1 有状态防火墙的工作原理 36
3.2 状态的概念 37
3.3 有状态过滤和有状态检查 45
3.4 小结 54
3.5 参考资料 55
第4章 代理防火墙 56
4.1 基础知识 56
4.2 代理的类型 58
4.3 代理或应用网关防火墙 59
4.4 代理的协议问题 61
4.5 常见的代理软件 63
4.6 小结 65
4.7 参考资料 66
第5章 **策略 67
5.1 防火墙策略 67
5.2 策略的开发步骤 73
5.3 边界策略 78
5.4 小结 80
5.5 参考资料 81
第二部分 边界的延伸
第6章 路由器的作用 83
6.1 路由器作为边界设备 83
6.2 路由器作为**设备 87
6.3 路由器加固 94
6.4 小结 105
6.5 参考资料 106
第7章 网络入侵检测 107
7.1 网络入侵检测基本原理 107
7.2 边界防御体系中网络IDS的作用 113
7.3 IDS感测器的放置 115
7.4 实例分析 119
7.5 小结 122
第8章 虚拟专用网 123
8.1 VPN基础知识 123
8.2 VPN的优缺点 126
8.3 IPSec基础知识 129
8.4 其他VPN协议：PPTP和L2TP 147
8.5 小结 151
8.6 参考资料 152
第9章 主机加固 153
9.1 **加固级别 153
9.2 级别1：防止本地攻击的**加固 154
9.3 级别2：抵御网络攻击的**加固 158
9.4 级别3：抵御应用程序攻击的**加固 163
9.5 其他加固方针 165
9.6 小结 166
第10章 主机防御部件 167
10.1 主机和边界 167
10.2 反病毒软件 170
10.3 以主机为**的防火墙 174
10.4 基于主机的入侵检测 185
10.5 主机防御部件的难点 191
10.6 小结 193
10.7 参考资料 193
第三部分 边界设计
第11章 设计基础 195
第12章 资源隔离 212
第13章 软件结构 234
第14章 VPN集成 250
第15章 根据性能调整设计 267
第16章 实例设计 285
第四部分 边界**评估方法
第17章 维护**边界 301
第18章 网络日志分析 322
第19章 防御部件故障诊断 339
第20章 评估技术 362
第21章 攻击设计 383
第22章 纵深防御的重要性 405
第五部分 附 录
附录A Cisco访问列表配置示例 419
附录B 密码术基础 428
附录C 网络空隙 432

全书讨论了计算机网络的边界部件 如防火墙、VPN 路由器和入侵检测系统．同时解释了如何将这些部件集成到一个统一的整体中, 以便满足现实世界业务的需求。读者可从17位信息**专家那里学习边界防御的*优方法。因为本书在创作时与SANS Institute紧密合作, 所以本书还可以作为那些希望获得GCFW(GIAC Certified Firewall Analyst)证书的读者的补充读物。如果你需要保护自己的网络边界，请使用本书进行以下工作：根据网络防御部件的关系来对其进行设计和配置。调整**设计来获取优化的性能。选择适合自己环境的*佳防火墙。执行边界维护过程和日志分析。评估防御体系的强度,对网络结构进行对抗性检查。实现报文过滤器、代理和有状态防火墙。根据业务和技术需求部署入侵检测系统。了解IPSec、SSH、SSL和其他隧道建立技术。配置主机来加强网络边界防御根据与**有关的性质对资源进行分组，限制攻击者的影响区域。