【正文】 作系統(tǒng)必 須具有很強(qiáng)的抗攻擊能力，而基于軟件的安全系統(tǒng)采用的是通用的操作系統(tǒng)，通用操作系統(tǒng)會(huì)暴露大量的操作系統(tǒng)漏洞，安全系統(tǒng)再?gòu)?qiáng)大，操作系統(tǒng)的漏洞會(huì)直接導(dǎo)致這個(gè)系統(tǒng)的崩潰。 22 **集團(tuán)公司企業(yè) 網(wǎng)絡(luò)安全 解決方案 第 22 頁(yè) 多達(dá) 16核的專用 64 位 MIPS處理器具有強(qiáng)大的應(yīng)用層安全處理能力，眾所周知，應(yīng)用層安全的效率很大程度上依賴于 CPU 的處理能力，即使基于 ASIC／ NP 架構(gòu)的安全系統(tǒng)一旦要處理應(yīng)用層的數(shù)據(jù)也必須依賴于 CPU，而目前安全 產(chǎn)品在 CPU資源上有很大瓶頸，因此有些廠商已經(jīng)放棄 ASIC／ NP 架構(gòu)而采用純 CPU 的架構(gòu)。第三代基于 ASIC和 NP架構(gòu)的防火墻可以實(shí)現(xiàn)高性能的網(wǎng)絡(luò)安全防護(hù)，對(duì)于應(yīng)用層的安全防護(hù)無(wú)能為力，應(yīng)用層完全依靠通用 CPU進(jìn)行處理，包括目前流行的 UTM產(chǎn)品，一旦打開應(yīng)用層安全防護(hù)功能，如 P2P/IM安全控制、 IPS、 Web過(guò)濾、防病毒以及防垃圾郵件等內(nèi)容過(guò)濾功能，性能會(huì)急劇下降，無(wú)法滿足用戶實(shí)際的網(wǎng)絡(luò)安全需求。結(jié)合 HillStone 專業(yè)本地化廠家技術(shù)支持和研發(fā)隊(duì)伍，能夠?yàn)槠髽I(yè)應(yīng)用提供最優(yōu)質(zhì)的專業(yè)技術(shù)保障。 ? 提高企業(yè)網(wǎng)絡(luò)部署的靈活性和擴(kuò)展性 隨著企業(yè)發(fā)展，企業(yè)網(wǎng)絡(luò)也會(huì)不斷發(fā)展變化。 ? 高性能的 防火墻和防攻擊能力 HillStone SG 系列提供超強(qiáng)的防火墻吞吐能力，能夠滿足企業(yè)網(wǎng)絡(luò)中所有網(wǎng)絡(luò)環(huán)境的吞吐要求。 在本方案中，提供了良好的網(wǎng)絡(luò)的集中管理和監(jiān)控功能。 在本方案中， 針對(duì) 用戶擔(dān)心的 VPN數(shù)據(jù)安全 性問(wèn)題， 本方案中 HillStone安全網(wǎng)關(guān)能解決以下 三 個(gè) 方面 問(wèn)題 ： 1） VPN數(shù)據(jù)在公網(wǎng)上是否有可能被竊取和修改及假冒 HillStone 防火墻采用 RFC 標(biāo)準(zhǔn)加密協(xié)議套件（ IPSec）及其組件 Inter 密鑰交換（ IKE）協(xié)議，通過(guò)私有的通道和各分支的數(shù)據(jù)服務(wù)器通信，這個(gè)過(guò)程數(shù)據(jù)是經(jīng)過(guò)高度加密的，可以最高級(jí)別地保證數(shù)據(jù)的完整性、安全性、 保密性。 整個(gè)網(wǎng)絡(luò)安全的到了保證， HillStone防火墻將有效保護(hù)內(nèi)部網(wǎng)絡(luò)，我們能夠有效阻止外界對(duì)公司內(nèi)部和服務(wù)的 DOS攻擊，以及 4－ 7層的應(yīng)用層攻擊。 或者 禁止外部對(duì)內(nèi)部的非正常形式的訪問(wèn)（或依據(jù)需求開放某些端口和應(yīng)用）。 Hillstone 系列產(chǎn)品 每秒能夠提供多達(dá) 10萬(wàn)的 TCP會(huì)話請(qǐng)求，具有超強(qiáng)的 SYN Flood 抗攻擊能力和 DDoS抗攻擊能力。 4. 將防火墻設(shè)置為 NAT模式 。 1. 在 **集團(tuán) 公司 總部 網(wǎng)絡(luò)的接入層，公司網(wǎng)絡(luò)和 Inter 的連接部分我們部署一臺(tái)HillStone 的 SG6000M3100 防火墻 。 VPN Hillstone防火墻中整合了一個(gè)全功能 VPN解決方案，它們支持站點(diǎn)到站點(diǎn) VPN應(yīng)用。優(yōu)先級(jí)策略經(jīng)常適合非突發(fā)式、對(duì)傳輸時(shí)間敏感16 **集團(tuán)公司企業(yè) 網(wǎng)絡(luò)安全 解決方案 第 16 頁(yè) 的小流量，例如 Tel。 關(guān)鍵字過(guò)濾 Hillstone 防火墻可以對(duì)內(nèi)部人員上網(wǎng)內(nèi)容進(jìn)行監(jiān)測(cè)，通過(guò) URL過(guò)濾、 Mail過(guò)濾和關(guān)鍵字過(guò)濾可以控制內(nèi)部人員上網(wǎng)的內(nèi)容，從而避免內(nèi)部員工訪問(wèn)一些色情、暴力、反動(dòng)的主頁(yè)或站點(diǎn)中的某些目錄或文件。通過(guò)帶寬管理設(shè)置重要的音頻或者視頻優(yōu)先通過(guò)防火墻，進(jìn)行 QoS/CoS 的保證。這時(shí)就需要 TCP重組和代理來(lái)提供一個(gè)有序的、連續(xù)的數(shù)據(jù)內(nèi)容。 15 **集團(tuán)公司企業(yè) 網(wǎng)絡(luò)安全 解決方案 第 15 頁(yè) Application Layer Gateway Hillstone提供 Application Layer Gateway（ ALG）功能。如果路由更新信息表明發(fā)生了網(wǎng)絡(luò)變化，路由選擇軟件就會(huì)重新計(jì)算路由，并發(fā)出新的路由更新信息。 基于策略的路由（ PBR） Hillstone 防火墻可以基于不同的策略定義不同的路由。否則不允許通過(guò)防火墻，這樣可大大 方便了網(wǎng)絡(luò)的 IP地址管理。而且，在網(wǎng)絡(luò)事故發(fā)生以后，地址追尋的難度很大。 支持 VLAN Hillstone 防火墻能夠支持 封裝協(xié)議，也就是說(shuō)可以把防火墻架設(shè)在劃分 VLAN的交換機(jī)與交換機(jī)或交換機(jī)與路由器之間。 支持 PPPoE 撥號(hào) 目前國(guó)內(nèi)越來(lái)越多的企業(yè)通過(guò) ADSL 接入 Inter，而 ADSL需要撥號(hào)以后才能獲得 IP地址。 支持 DHCP Server Hillstone 防火墻本身同樣可以作為 DHCP Server， 防火墻可以為網(wǎng)絡(luò)中計(jì)算機(jī)動(dòng)態(tài)的分配IP地址，從而為企業(yè)的網(wǎng)絡(luò)建設(shè)節(jié)約投資，同時(shí)方便網(wǎng)絡(luò)的應(yīng) 用和 IP地址的管理。同時(shí)， Hillstone還支持動(dòng)態(tài)黑名單，當(dāng)指定的計(jì)數(shù)達(dá)到設(shè)定閥值時(shí)會(huì)將對(duì)象自動(dòng)添加到黑名單列表中并持續(xù)自定義時(shí)間。Hillstone 產(chǎn)品能在最大程度上確保了網(wǎng)絡(luò)關(guān)鍵業(yè)務(wù)的不間斷運(yùn)行。有關(guān)上述產(chǎn)品的功能、性能在下文中詳細(xì)說(shuō)明。 管理和維護(hù)的方便性 原則 網(wǎng)絡(luò)系統(tǒng)中的所有安全設(shè)備均應(yīng)是可管理的，支持遠(yuǎn)程監(jiān)控和故障的過(guò)程診斷和恢復(fù)。建設(shè)一個(gè)運(yùn)行穩(wěn)定可靠的現(xiàn)代化網(wǎng)絡(luò)系統(tǒng)，網(wǎng)絡(luò)中任何一臺(tái)安全設(shè)備或任何一條安全設(shè)備上的線路發(fā)生故障都不會(huì)導(dǎo)致通過(guò)該安全設(shè)備互聯(lián)的兩個(gè)網(wǎng)絡(luò)無(wú)法通訊，并且能夠保證在不影響網(wǎng)絡(luò)正常運(yùn)行的情況下完 成對(duì)網(wǎng)絡(luò)故障的檢測(cè)和排除。雖然這時(shí)的技術(shù)可 能已經(jīng)不是最新的技術(shù)，但技術(shù)已經(jīng)成熟，設(shè)備的性能價(jià)格比更高。由于 IT行業(yè)的技術(shù)更新?lián)Q代很快，為了保證網(wǎng)絡(luò)能夠滿足今后一段時(shí)間內(nèi)應(yīng)用的發(fā)展，在選擇網(wǎng)絡(luò)安全技術(shù)和設(shè)備時(shí)不僅要考慮先進(jìn)性，也 要考慮技術(shù)的成熟性，同時(shí)更要考慮接入業(yè)務(wù)的特點(diǎn)等多方面的因素。隨著 **集團(tuán) 企業(yè)規(guī)模的擴(kuò)大，各分支機(jī)構(gòu)之間、移動(dòng)辦公員工和公司之間以及合作伙伴和公司之間的 VPN加密遠(yuǎn) 程數(shù)據(jù)傳輸是企業(yè)解決遠(yuǎn)程傳輸數(shù)據(jù)的私密性、安全性和降低費(fèi)用的有效辦法。因此，維護(hù)企業(yè)網(wǎng)絡(luò)的持久穩(wěn)定是目前企業(yè)最嚴(yán)重關(guān)注的網(wǎng)絡(luò)建設(shè)問(wèn)題。具有 Inter 接入的企業(yè)網(wǎng)在訪問(wèn)眾多 Inter 免費(fèi)資源的同時(shí)，也在承受著病毒和攻擊的壓力。由于應(yīng)用層的檢測(cè)需要進(jìn)行深度的數(shù)據(jù)包解析，而使用傳統(tǒng)網(wǎng)絡(luò)平臺(tái)所帶來(lái)的網(wǎng)絡(luò)延遲將是不可接受的。企業(yè)網(wǎng)絡(luò)中運(yùn)行著大量的關(guān)鍵應(yīng)用，這些關(guān)鍵應(yīng)用很多都要求極低 的網(wǎng)絡(luò)延遲，而網(wǎng)絡(luò)中大量的娛樂(lè)應(yīng)用不斷吞占著有限的網(wǎng)絡(luò)帶寬，嚴(yán)重影響著關(guān)鍵應(yīng)用的使用。 B/S結(jié)構(gòu)的應(yīng)用系統(tǒng)雖然具有管理簡(jiǎn)單，客戶端 開發(fā)、使用和維護(hù)的成本很低的優(yōu)點(diǎn)，但是在網(wǎng)絡(luò)上 B/S結(jié)構(gòu)應(yīng)用系統(tǒng)將會(huì)給網(wǎng)絡(luò)帶來(lái)巨大的網(wǎng)絡(luò)流動(dòng)數(shù)據(jù)處理壓力，而且是并發(fā)的。能否及時(shí)發(fā)現(xiàn)并成功阻止網(wǎng)絡(luò)黑客的入侵、保證計(jì)算機(jī)和網(wǎng)絡(luò)系統(tǒng)的安全和正常運(yùn)行已經(jīng)成為 **集團(tuán)網(wǎng)絡(luò)所面臨的問(wèn)題。 自成立以來(lái)，山石網(wǎng)科就以“貼近市場(chǎng)，貼近客戶，快速把握并滿足客戶需求”為己任，用產(chǎn)品和方案來(lái)幫助客戶獲得網(wǎng)絡(luò)安全，從而實(shí)現(xiàn)自身的企業(yè) 價(jià)值。2 **集團(tuán)公司企業(yè) 網(wǎng)絡(luò)安全 解決方案 第 2 頁(yè) **集團(tuán) 網(wǎng)絡(luò)安全解決方案 —— 應(yīng)用 HillStone SG 助力企業(yè)網(wǎng)絡(luò)安全管理和VPN 部署 方案 2021 年 04 月 3 **集團(tuán)公司企業(yè) 網(wǎng)絡(luò)安全 解決方案 第 3 頁(yè) 目 錄 第一章 公司簡(jiǎn)介 ............................................................................................................. 4 第二章 項(xiàng)目背景及需求 ................................................................................................... 5 ............................................................................................................ 5 **集團(tuán)網(wǎng)絡(luò)需求分析 ............................................................................................ 5 面向應(yīng)用的高性能防火墻需求 .................................................................. 5 防攻擊能力 需求 ....................................................................................... 6 應(yīng)用層有效管控需求 ................................................................................ 6 簡(jiǎn)單實(shí)用 VPN需求 .................................................................................... 6 第三章 網(wǎng)絡(luò)安全設(shè)計(jì)的基本原則 ................................................................................... 7 .................................................................................... 7 ..................................................................................................... 7 于擴(kuò)展和升級(jí)的原則 ....................................................................................... 7 .................................................................................... 8 第四章 產(chǎn)品選型 ............................................................................................................. 9 產(chǎn)品指標(biāo)參數(shù) ..................................................................................................... 9 ..................................................................................................... 9 ............................................................................................ 10 第五章 **集團(tuán)網(wǎng)絡(luò)安全方案設(shè)計(jì) ................................................................................... 17 ....................................................................................................... 17 .......................................................................................................... 17 第六章 產(chǎn)品介紹 .......................................................................................................... 21 Hillstone 安全產(chǎn)品架構(gòu)和特點(diǎn) ....................................................................... 21 StoneOS 保護(hù) MAC地址與 ARP協(xié)議 .................................................................... 24 HillStone StoneManger 介紹 .......................................................................... 29 Hillstone SSL VPN 解決方案 .......................................................................... 33 4 **集團(tuán)公司企業(yè) 網(wǎng)絡(luò)安全 解決方案 第 4 頁(yè)