fw-isg2000防火墻方案(文件)
【正文】 功能，可以高效地把數(shù)百條、甚至數(shù)千條策略分發(fā)到各 NetScreen 設(shè)備或設(shè)備群組 。 NSM 的報表分析功能使它更加有價值。 HA 方案實施要點 Juniper 防火墻的冗余連接有以下幾種形式： ? 主動 /被動 ： 有冗余，配置和維護簡便； 根據(jù)防火墻所處位置、實際流量、實施管理方便性、以及本次采用異構(gòu)防火墻互連的考慮 ， 本次實施建議此方案。 ② 可以在 HA 組中維護所有活動會話和 VPN隧道。 ⑥ NetSctreenISG2020 更支持全網(wǎng)狀的 AA HA，避免低級的網(wǎng)絡(luò)故障導致NetScreen防火墻的不可用。鏈路監(jiān)測 應用故障 IP 路徑檢測 交換機故障 端口故障 鏈路監(jiān)測 設(shè)備故障 鏈路監(jiān)測 應用故障 IP 路徑檢測 管理員控制的設(shè)備維護和 down機 IP 路徑檢測 多設(shè)備故障 NetScreen 和周圍設(shè)備在不同路徑故障 冗余端口 環(huán)境故障 物理接線故障 鏈路監(jiān)測 電路故障 心跳信號 , 多電源 , 鏈路監(jiān)測 , IP 路徑檢測 此外，由于實施了 NetScreen 的冗余協(xié)議 NSRP，包括 VPN、地址翻譯等多種應用 的實時信息都得到同步，即對 VPN連接、地址翻譯連接的切換也是在小于 1 秒完成，所以在實施時具備很強的靈活性，適應了各種網(wǎng)絡(luò)應用的情況。 上圖是一臺三層交換機，但是 如果 是兩臺三層交換機，而且三層 交換機和防 火墻之間用三層路由連接，兩臺三層 交換機之間應運 行VRRP。 培訓對象： 需要進行基本配置的 Juniper 防火墻系統(tǒng)管理員、安全管理員及網(wǎng)絡(luò)工程師，以及希望獲得 Juniper 安全管理員認證的人。 第 三 章 培訓 課程名稱 內(nèi)容簡介 備注 INSG Implementing NetScreen Security Gateways（ NetScreen 專家認證） 學習防火墻的使用，管理和配置，創(chuàng)建和修改 VPN。 實施主 /備方式的示意圖如下： 通過使用“ NetScreen 冗余協(xié)議 (NSRP)”創(chuàng)建一 個虛擬安全設(shè)備 (VSD) 組0，具有自己的虛擬安全接口 (VSI)。以上的故障切換均可 在小于 1 秒內(nèi)完成，并且對用戶流量透明。 ④ 無論活動會話和 VPN隧道的數(shù)量有多少，故障檢測和切換到備用系統(tǒng)可以在低于一秒時間內(nèi)完成。 ISG2020 防火墻 實施 HA 的方式依靠的是 NetScreen冗余協(xié)議 NSRP， 類似于 VRRP 但有一定區(qū)別，現(xiàn)詳細介紹如下： Juniper 為了實現(xiàn)更安全、更有效的防火墻冗余體系，開發(fā)了專有的防火墻HA 工作的協(xié)議 NSRP， NSRP 協(xié)議借鑒了 VRRP 協(xié)議，而且彌補了 VRRP 協(xié)議的不足，是針對安全設(shè)備的 HA 協(xié)議。 NSM 提供對設(shè)備的集中、實時的監(jiān)控，以及集中的設(shè)備維護如升級等。用戶只需一次性地定義一條策略，然后將其映射采用到多個設(shè)備中。 NetScreen 防火墻可實現(xiàn)通過 NSM 專用網(wǎng)管工具集中管理。所有管理接口使用的端口號可以根據(jù)需要改變。命令行方式可以完成所有的配置、檢查、排錯等工作。 NetScreen 設(shè)備在管理方面的實現(xiàn)很受用戶歡迎。 IPsec 的 配置 對于一些重要的服務器或網(wǎng)絡(luò)設(shè)備，如果需要通過承載網(wǎng)對其進行配置修改、調(diào)試，可以考慮利用防火墻的 IPSec VPN功能，通過 IPsec VPN 終結(jié)在防火墻的端口，允許相應的協(xié)議（如 tel）通過 IPsec VPN加密的方式通過防火墻，從而進一步提高安全性。 3． 當攻擊檢測的準確率達到一定的程度的時候，我們可以將應用層防護模塊改為采用 Active 模式， Active 模式的情況下，數(shù)據(jù)包在經(jīng)過防火墻檢測后，會接著進行應用層的檢測，如果存在攻擊，則進行報警或阻擋，然后再進行數(shù)據(jù)報的轉(zhuǎn)發(fā)。通過這些主要的安全元素和附加元素的控制，可以讓系統(tǒng)管理員對進出防火墻的數(shù)據(jù)流量進行嚴格的訪問控制，達到保護內(nèi)網(wǎng)系統(tǒng)資源安全的目的 。在設(shè)定網(wǎng)絡(luò)服務時， Juniper 公司的 ISG2020 防火墻 已經(jīng)內(nèi)置預設(shè)了大量常見的網(wǎng)絡(luò)服務類型，同時，也可以由客戶自行定義網(wǎng)絡(luò)服務。根據(jù) 防火墻所處位置、 實際流量、實施管理 方便 性 的 考慮， 建議 對這兩臺防火墻采用 路由模式下的 主備方式 。）對源地址進行回話數(shù)的限制可以避免感染 Nimda 等病毒的服務器發(fā)出太多的回 話請求避免防火墻的回話表被填滿。 ? Limit session（限制會話）： NetScreen 設(shè)備可限制由單個 IP 地址 (源或目的 )建立的會話數(shù)量。 o 400 多個定制參數(shù)和 Perl 式的常規(guī)表達式：能夠定制簽名或創(chuàng)建完全定制的簽名。 ? 開放式簽名格式允許管理員查看攻擊字符串如何匹配攻擊簽名，并根據(jù)需求對簽名進行編輯。一旦深層檢測（ DI）防火墻按這些方法重組出了網(wǎng)絡(luò)流量，它就用協(xié)議異常
法律信息相關(guān)推薦
鄂ICP備17016276號-1