Cisco SDM 是為基于 Cisco IOS® Software 的路由器開發(fā)的一種直觀 Web 設(shè)備治理工具。它能夠通過(guò)智能向?qū)Ш?jiǎn)化路由器和安全配置，使客戶和 Cisco 合作伙伴不需要了解命令行界面 (CLI) 就能快速輕易地部署配置和監(jiān)控 Cisco 系統(tǒng)® 路由器。許多 Cisco 路由器和 Cisco IOS Software 版本均可以支持 Cisco SDM。有關(guān) Cisco SDM 支持的型號(hào)，請(qǐng)參考表3。

易用性和內(nèi)置應(yīng)用智能

利用 Cisco SDM 用戶不但能輕松地在 Cisco 路由器上配置路由、交換、安全和服務(wù)質(zhì)量 (QoS) 服務(wù)還能通過(guò)性能監(jiān)控進(jìn)行主動(dòng)治理?，F(xiàn)在 Cisco SDM 用戶可以遠(yuǎn)程配置和監(jiān)控 Cisco 路由器而不再需要使用 Cisco IOS Software CLI。Cisco SDM GUI 能夠幫助 Cisco IOS Software 的非專家型用戶完成日常操作，提供易于使用的智能向?qū)?，自?dòng)執(zhí)行路由器安全治理并通過(guò)全面的在線幫助和指導(dǎo)給予用戶幫助。

Cisco SDM 智能向?qū)е笇?dǎo)用戶通過(guò)系統(tǒng)地配置 LAN、WLAN 和 WAN 接口、防火墻、入侵防御系統(tǒng) (ipS) 和IP Securtiy (IPSec) VPN 來(lái)逐步完成路由器和安全配置工作。Cisco SDM 智能向?qū)軌蛞灾悄芊绞綑z測(cè)到錯(cuò)誤配置并提出修復(fù)建議，例如假如 WAN 接口由DHCP 定址，則答應(yīng)動(dòng)態(tài)主機(jī)配置協(xié)議 (DHCP) 流量通過(guò)防火墻。除幫助用戶在 Cisco SDM 中輸入正確數(shù)據(jù)的具體步驟外，嵌入在 Cisco SDM 中的在線幫助還提供了相應(yīng)的背景信息。用戶可能碰到的網(wǎng)絡(luò)和安全術(shù)語(yǔ)及定義包含在在線詞匯表中。

對(duì)于熟悉 Cisco IOS Software 及其安全特性的網(wǎng)絡(luò)專家，Cisco SDM 提供了能夠快速配置和精確調(diào)整路由器安全特性的先進(jìn)配置工具，以便網(wǎng)絡(luò)專家能夠先審核 Cisco SDM 生成的命令再提供路由器配置更改方案。

Cisco SDM 幫助治理員利用安全套接層 (SSL) 和安全配置 (SSHv2) 協(xié)議連接從遠(yuǎn)程位置配置和監(jiān)控路由器（圖1）。利用這種技術(shù)能夠通過(guò)互聯(lián)網(wǎng)在用戶的瀏覽器與路由器之間建立安全連接。在分支辦公室部署時(shí)，可以從公司總部配置和監(jiān)控 Cisco SDM 型路由器，因而能減少分支辦公室對(duì)高級(jí)網(wǎng)絡(luò)治理員的需要。

圖1利用 SSL 與 Cisco SDM 型路由器相連建立安全遠(yuǎn)程連接

集成式安全配置

部署新的路由器時(shí)，可以利用國(guó)際計(jì)算機(jī)安全協(xié)會(huì) (ICSA) 和 Cisco 技術(shù)支持中心 (TAC) 推薦的最佳實(shí)踐來(lái)使用 Cisco SDM 快速配置 Cisco IOS Software 防火墻。先進(jìn)的防火墻向?qū)Т饝?yīng)高、中、低應(yīng)用程序防火墻設(shè)置的一步部署。Cisco SDM 用戶可以配置最強(qiáng)的 VPN 默認(rèn)值并自動(dòng)執(zhí)行安全審計(jì)（圖2）。此外，Cisco SDM 用戶可以執(zhí)行防火墻的一步路由器鎖定，并通過(guò)一步 VPN 快速部署安全站點(diǎn)到站點(diǎn)連接。Cisco 推薦的與 Cisco SDM 捆綁在一起的IPS 簽名表可以快速部署蠕蟲、病毒和協(xié)議攻擊抵御系統(tǒng)。通過(guò) Cisco SDM 網(wǎng)絡(luò)準(zhǔn)入控制(NAC) 向?qū)В梢院?jiǎn)單快速地將 NAC 和客戶機(jī)安全狀態(tài)治理集成到現(xiàn)有的網(wǎng)絡(luò)基礎(chǔ)架構(gòu)中。

圖2 路由器安全審計(jì)

調(diào)用已經(jīng)配置好的路由器時(shí)，利用 Cisco SDM 用戶只需執(zhí)行一步安全審計(jì)就能通過(guò)與一般安全漏洞的對(duì)比評(píng)估出路由器配置的優(yōu)勢(shì)和弱點(diǎn)。治理員可以精細(xì)調(diào)整他們現(xiàn)有的路由器安全配置，更好地滿足他們的企業(yè)需要。Cisco SDM 還可以用于日常操作，例如：監(jiān)控、故障治理和故障排除等。

路由器配置

除安全配置外，Cisco SDM 還能幫助用戶快速輕松地執(zhí)行路由器服務(wù)配置，例如：LAN WLAN、WLAN 和 WAN 接口配置、動(dòng)態(tài)路由、DHCP 服務(wù)器、QoS 策略等等。

利用 LAN 配置向?qū)В脩舨坏転橐蕴W(wǎng)接口分配 IP 地址和子網(wǎng)掩碼，還能啟動(dòng)或禁用 DHCP 服務(wù)器。利用 WAN 配置向?qū)?，用戶可以?WAN 和互聯(lián)網(wǎng)接入配置 xDSL、T1/E1、以太網(wǎng)和 ISDN 接口。另外，對(duì)于串行連接，用戶還可以實(shí)施幀中繼、點(diǎn)對(duì)點(diǎn)協(xié)議 (PPP) 和高級(jí)數(shù)據(jù)鏈路控制 (HDLC) 封裝。不僅如此，Cisco SDM 還答應(yīng)配置靜態(tài)路由和通用動(dòng)態(tài)路由協(xié)議，例如：“開放最短路徑優(yōu)先” (OSPF)、“路由信息協(xié)議” (RIP) 第2 版本和“增強(qiáng)型內(nèi)部網(wǎng)關(guān)路由選擇協(xié)議” (EIGRP)。

現(xiàn)在利用 Cisco SDM，可以輕松地將 QoS 策略應(yīng)用到任何 WAN 或 VPN 通道接口。QoS 策略向?qū)軌蜃詣?dòng)執(zhí)行 QoS 策略的 Cisco 體系結(jié)構(gòu)原則，以便有效區(qū)分實(shí)時(shí)應(yīng)用（語(yǔ)音或視頻）、要害業(yè)務(wù)應(yīng)用（結(jié)構(gòu)化查詢語(yǔ)言 [SQL]、Oracle、Citrix、路由協(xié)議等）流量及其它網(wǎng)絡(luò)流量（Web 電子郵件等）。借助 Cisco SDM 中基于網(wǎng)絡(luò)的應(yīng)用程序識(shí)別 (NBAR) 監(jiān)控，用戶能夠以可視方式實(shí)時(shí)檢查應(yīng)用層流量，并不斷分析 QoS 策略對(duì)各種應(yīng)用流量的影響。

監(jiān)控和故障排除

在監(jiān)控模式下，Cisco SDM 能夠以圖形方式快速顯示重要路由器資源的狀態(tài)和性能數(shù)據(jù)，例如接口狀態(tài)（正?；虿徽＃PU 和內(nèi)存使用等（參見 圖 3）。對(duì)于無(wú)線型號(hào)，Cisco SDM 全面支持實(shí)時(shí) 802.11a/b/g 接口統(tǒng)計(jì)數(shù)據(jù)。Cisco SDM 可利用路由器上的集成式路由和安全特性深入診斷 WAN 和 VPN 連接，并及時(shí)排除故障。例如：排除 VPN 連接故障時(shí)，Cisco SDM 將檢查從 WAN 接口層到 IPSec Crypto Map 層的路由器配置和連接。測(cè)試每個(gè)層次的配置和遠(yuǎn)程對(duì)等連接時(shí)，Cisco SDM 將提供成功或失敗狀態(tài)、可能的失敗原因以及 Cisco TAC 提出的修復(fù)建議。

圖3VPN 故障排除和恢復(fù)

Cisco SDM 監(jiān)控模式不但答應(yīng)用戶檢查被 Cisco IOS Software 防火墻拒絕的網(wǎng)絡(luò)訪問企圖次數(shù)還可以提供訪問防火墻記錄。不僅如此，用戶還可以監(jiān)控具體的 VPN 狀態(tài)信息，例如：IPSec 通道加密或解密的包數(shù)以及 Easy VPN 客戶機(jī)連接細(xì)節(jié)。

降低成本

Cisco SDM 適合那些對(duì)設(shè)備部署和網(wǎng)絡(luò)治理成本敏感但缺少高技能技術(shù)人員的企業(yè)分支辦公室和中小型商業(yè)機(jī)構(gòu)。利用 Cisco SDM 企業(yè)和 Cisco 渠道合作伙伴能夠輕松地實(shí)施路由器安全和網(wǎng)絡(luò)配置。Cisco SDM 生成的 Cisco IOS Software 配置已經(jīng)過(guò) Cisco TAC 批準(zhǔn)。Cisco SDM 能夠通過(guò)內(nèi)置配置檢查、專家配置編輯器和有意義的默認(rèn)值提高網(wǎng)絡(luò)和安全治理員的生產(chǎn)率。另外 Cisco SDM 特性還能減少配置出錯(cuò)機(jī)會(huì)，大大提高網(wǎng)絡(luò)可靠性。

對(duì)于建立了大網(wǎng)絡(luò)的企業(yè)，Cisco SDM 能夠通過(guò)與 Cisco CNS 配置引擎的集成以可擴(kuò)展的方式輕易地部署路由器。Cisco SDM 生成的 Cisco IOS Software 配置可以導(dǎo)入到 Cisco CNS 配置引擎中，然后以“餅干模子 (cookie cutter)”方式部署到數(shù)千臺(tái)的 Cisco 路由器。

可治理 CPE 服務(wù)

Cisco SDM 能夠?yàn)榉?wù)提供商提供非常經(jīng)濟(jì)有效的解決方案，以便提供 Cisco 路由器服務(wù)（防火墻、IPSec VPN、入侵防御、WAN 接入、QoS 等）的只讀圖形視圖。而且客戶不需要購(gòu)買復(fù)雜的運(yùn)行支持系統(tǒng) (OSS) 軟件來(lái)提供最終客戶視圖就能快速提供增值客戶端設(shè)備 (CPE) 服務(wù)。

另外，這種解決方案還能為服務(wù)提供商最終客戶提供本地工具，使他們可以快速解決與 CPE 相關(guān)的所有問題，從而減輕網(wǎng)絡(luò)支持中心的支持負(fù)擔(dān)。

Cisco 代理商可以利用 Cisco SDM 為 Cisco 接入路由器的安裝基礎(chǔ)或新的 Cisco 路由器客戶提供增值安全性、流量整形或可治理 CPE 服務(wù)。

Cisco SDM 及其它 Cisco 治理應(yīng)用

Cisco 還提供可以與 Cisco SDM 配合使用的其它設(shè)備和網(wǎng)絡(luò)治理應(yīng)用。如要顯示和監(jiān)控 Cisco 設(shè)備的物理視圖，還可以在專用 CiscoWorks 服務(wù)器上安裝基于 Web 治理應(yīng)用的 CiscoView。Cisco SDM 與 CiscoView 客戶機(jī)接口可以共置于同一臺(tái)工作站上：Cisco SDM 主要用于路由器和安全特性配置，CiscoView 則主要用于實(shí)時(shí)顯示物理路由器狀態(tài)和監(jiān)控基于簡(jiǎn)單網(wǎng)絡(luò)治理協(xié)議 (SNMP) 的設(shè)備。

Cisco 路由器初始部署

Cisco SDM 幫助 Cisco 合作伙伴和客戶通過(guò) Cisco SDM EXPRess（圖 4）和幾種基于任務(wù)的智能向?qū)Э焖侔踩夭渴?Cisco 路由器。利用一步路由器鎖定特性，可以先關(guān)閉 Cisco IOS Software 中所有不必要的服務(wù)，再將 Cisco 路由器與公共 Internet 或WAN 相連。

圖4 Cisco SDM Express

Cisco 路由器批量部署

為了快速有效地批量部署采用出廠默認(rèn)配置的 Cisco 路由器，可以將 Cisco SDM 與 Cisco CNS 2100 系列智能引擎集成在一起。在推廣階段，服務(wù)提供商和大企業(yè)可以靈活地使用 Cisco SDM 和 Cisco CNS 210 系列組合，或者答應(yīng)未經(jīng)培訓(xùn)的現(xiàn)場(chǎng)治理員在不使用 Cisco IOS Software CLI 的情況下下載最終 Cisco IOS Software 配置。

Cisco 路由器安全治理

Cisco SDM 能夠幫助 Cisco 合作伙伴和客戶輕易地部署 Cisco IOS Software 安全特性：NAT、訪問控制列表 (ACLs)、防火墻、IPS、和 IPSec VPN，并將這些安全特性與現(xiàn)有路由器配置和網(wǎng)絡(luò)體系結(jié)構(gòu)集成在一起。Cisco SDM 中的智能向?qū)Р坏私饴酚珊桶踩匦缘慕换ィ€能指導(dǎo)用戶一步步完成已經(jīng)過(guò) Cisco TAC 批準(zhǔn)和測(cè)試的最終配置。利用 Cisco SDM 中的CLI 預(yù)覽模式，專家用戶可以在人工審核最終配置之后再將其交付給路由器。

Cisco 路由器運(yùn)行治理

Cisco SDM 能夠幫助 Cisco 合作伙伴和客戶安全地（使用 SSL 和 SSH）遠(yuǎn)程治理路由器運(yùn)行的各個(gè)主要方面：硬件和軟件資產(chǎn)狀況、接口狀況、防火墻和 ACL 記錄、VPN 通道狀況、以及最近的系統(tǒng)記錄消息。

圖5Cisco 路由器的硬件和軟件目錄

總結(jié)

Cisco SDM 是為網(wǎng)絡(luò)和安全治理員開發(fā)的能夠提高生產(chǎn)率的有用工具。Cisco 合作伙伴可以使用 Cisco SDM 快速輕易地部署 Cisco 路由器，實(shí)現(xiàn) WAN 接入和網(wǎng)絡(luò)安全特性。

Cisco 客戶可以通過(guò) Cisco SDM 降低 Cisco 路由器的總所有成本，因?yàn)樗麄兛梢允褂糜?Cisco 工程師進(jìn)行過(guò)端到端測(cè)試，并已經(jīng)過(guò) Cisco TAC 批準(zhǔn)的由 Cisco SDM 生成的配置。內(nèi)置于 Cisco SDM 中的配置檢查有助于減少配置出錯(cuò)機(jī)會(huì)。

產(chǎn)品規(guī)格

表 2 給出了 Cisco SDM 的主要特性和優(yōu)點(diǎn)。表 3 給出了 Cisco SDM 的產(chǎn)品規(guī)格。

• Cisco 小型企業(yè) 101、Cisco 小型企業(yè) 106、Cisco 小型企業(yè) 107：
  
  - Cisco IOS 軟件版本 12.3(8)YG
• Cisco 831 以太網(wǎng)寬帶路由器、 通過(guò) ISDN 寬帶路由器的 Cisco 836 ADSL、和 Cisco 837 ADSL 寬帶路由器：
  
  - Cisco IOS 軟件版本 12.2(13)ZH 或 12.3(2)T
• Cisco 851、856、871、876、877、和 878 集成多業(yè)務(wù)路由器：
  
  - Cisco IOS 軟件版本 12.3(8)YI
• Cisco 1701 ADSL 安全接入路由器、Cisco 1710、1711、和1712 安全接入路由器、和 Cisco 1721、1751、1751-V、1760 和 1760-V 模塊接入路由器：
  
  - Cisco IOS 軟件版本12.2(13)ZH、12.2(13)T3、或 12.3(1)M
• Cisco 1801、1802、1803、1811 和 1812 集成多業(yè)務(wù)路由器：
  
  - Cisco IOS 軟件版本 12.3(8)YI
• Cisco 1841 集成多業(yè)務(wù)路由器：
  
  - Cisco IOS 軟件版本 12.3(8)T4
• Cisco 2610XM、2611XM、2620XM、2621XM、2650XM、和 2651XM 以及 Cisco 2691 多業(yè)務(wù)平臺(tái)：
  
  -Cisco IOS 軟件版本 12.2(15)ZJ3、12.2(11)T6、或 12.3(1)M
• Cisco 2801、2811、2821、和 2851 集成多業(yè)務(wù)路由器：
  
  -Cisco IOS 軟件版本 12.3(8)T4
• Cisco 3725 和 3745 多業(yè)務(wù)接入路由器：
  
  -Cisco IOS 軟件版本 12.2(15)ZJ3、12.2(11)T6、或 12.3(1)M
• Cisco 3825 和 3845 集成多業(yè)務(wù)路由器：
  
  -Cisco IOS 軟件版本 12.3(11)T
• Cisco 7204VXR、7206VXR、和 7301 路由器：
  
  -Cisco IOS 軟件版本 12.3(2)T 或 12.3(3)M；不支持 B、E、S 列

• 對(duì)于前面提到的支持 Cisco SDM 版本的 Cisco IOS Software，可與所有 Cisco IOS Software 特性集兼容

• HTTP 和 HTTPS、Telnet SSH、 和 SSHv2

• 使用不同訪問簡(jiǎn)檔的用戶
• 域名系統(tǒng) (DNS)
• DHCP 服務(wù)器和客戶機(jī)
• SNMP
• Telnet、SSH、SSHv2、和 vty
• 日期和時(shí)間、網(wǎng)絡(luò)時(shí)間協(xié)議 (NTP)
• Syslog
• 恢復(fù)到出廠默認(rèn)值
• 主機(jī)名稱、域名和標(biāo)識(shí)

• 路由協(xié)議：靜態(tài) RIP v1 和 v2、OSPF 和 EIGRP
• NAT（靜態(tài)和動(dòng)態(tài)）
• ACL
• QoS 策略、NBAR
• 建立在 Cisco EtherSwitch® 端口上的 VLAN
• IP 代理地址解析協(xié)議 (ARP)、Internet 控制消息協(xié)議 (ICMP)、重定向、ICMP 不可到達(dá)、ICMP 掩碼應(yīng)當(dāng)和定向廣播
• AAA 本地或遠(yuǎn)程配置

• 以太網(wǎng)（10、10/100 和 10/100/1000 Mbps）
• 802.11 a, 802.11 b/g
• xDSL（非對(duì)稱 DSL [ADSL] 和 G.SHDSL）
• T1/E1 （串行）
• ISDN 基本速率接口 （BRI；具有多個(gè)優(yōu)先等級(jí)）
• 模擬調(diào)制解調(diào)器

• 幀中繼
• PPP
• 以太網(wǎng) PPP (PPPoE)
• ATM PPP (PPPoA)
• RFC 1483 路由
• HDLC
• ADSL 自動(dòng)檢測(cè)

• Internet 密鑰交換 (IKE)、數(shù)字證書、數(shù)據(jù)加密標(biāo)準(zhǔn) (DES)、三重 DES (3DES)、高級(jí)加密標(biāo)準(zhǔn) (AES) 和壓縮
• IPSec 站點(diǎn)到站點(diǎn)
• Cisco Easy VPN 服務(wù)器
• Cisco Easy VPN Remote
• 通用路由封裝 (GRE) 通道
• 動(dòng)態(tài)多點(diǎn) VPN （DMVPN，集線器和輻條），包括帶有冗余集線器動(dòng)態(tài)輻條到輻條通道

• 基于前后關(guān)聯(lián)的訪問控制 (CBAC DMZ)、防火墻記錄、防火墻和 ACL 策略視圖、安全治理訪問

• 針對(duì)入站或出站流量檢查、簽名精確調(diào)整、簽名定制和 SDEE 錯(cuò)誤消息顯示的 IPS 規(guī)則

• 可與 Cisco SDM 一起使用

• 可與 Cisco SDM 一起使用

• Cisco SDM 對(duì)路由器 DRAM 或 CPU 的影響可以忽略

系統(tǒng)要求

表4 列出了 Cisco SDM 的系統(tǒng)要求。