fw-isg2000防火墻方案(完整版)
【正文】 AP, POP, FTP 和 DNS 等）的應用層保護。安全模塊其實是刀片式 IDP，上有2 個 1Ghz 的 PowerPC 的 CPU，以及 2GB 的內(nèi)存，讓防火墻具備基于單獨專用硬件的對應用層流量進行入侵檢測和防護處理的能力。 應用代理 在網(wǎng)絡(luò)應用層上建立協(xié)議過濾和轉(zhuǎn)發(fā)功能。 管理簡單，快捷，更提供 Web 方式管理。 我們覺得，在進行防火墻選擇時需要考慮以下幾個方面 ? 是否選擇硬件或軟件防火墻； ? 是否選擇包過濾、代理或狀態(tài)防火墻； 防火墻平臺分析 目前的防火墻從使用平臺上有硬件防火墻、軟件防火墻兩種。 高帶寬，高吞吐量，真正線速防火墻。 X86 架構(gòu) x86 架構(gòu)的產(chǎn)品已經(jīng)發(fā)展多年，但其性能發(fā)展卻受到體系結(jié)構(gòu)的制約，作為通用的計算平臺， x86 的結(jié)構(gòu)層次較多，不易優(yōu)化，且往往會受到 PCI 總線的帶寬限制。 NetScreenISG 2020 的硬件結(jié)構(gòu)示意圖如下： 各模塊的功能如下： 管理模塊：管理模塊上有 2 個 1Ghz 的 PowerPC 的 CPU，以及 1－ 2GB 的內(nèi)存，主要對會話的第一個數(shù)據(jù)包進行處理，雙 CPU 結(jié)構(gòu)實現(xiàn)了并行處理，提高了整體性能和安全保護能力，策略查找通過 FPGA 芯片實現(xiàn)。 正是由于采用了高性能的專用 ASIC 芯片，所以 Juniper 的安全產(chǎn)品的性能不僅僅在實驗室網(wǎng)絡(luò)環(huán)境下都能夠發(fā)揮出高水平，在實際的生產(chǎn)網(wǎng)絡(luò)環(huán)境中同樣可以保持高性能。采用硬件 模塊 實施應用層入侵檢測和防護時性能可以達到 2Gbps，并且攻擊特征庫達 3600個以上。以下是兩種防御機制的介紹： ? SYN Attack（ SYN 攻擊）：當網(wǎng)絡(luò)中充滿了會發(fā)出無法完成的連接請求的SYN 封包，以至于網(wǎng)絡(luò)無 法再處理合法的連接請求，從而導致拒絕服務(DoS) 時，就發(fā)生了 SYN 泛濫攻擊。 防火墻實施網(wǎng)絡(luò)安全隔離與訪問控制 XX 網(wǎng) DMZ 區(qū)出口 配置 2 臺相同配置的 ISG2020 的 防火墻（ 2 臺防火墻間有HA 連接）。因此，通過對網(wǎng)絡(luò)服務的定義，以及 IP 地址的定義，使 ISG2020 防火墻的策略細致程度大大加強，安全性也提高了。如果發(fā)現(xiàn)這種攻擊，我們可以在線的進行阻擋，對于其他的攻擊，可以暫時采用僅僅報警的方式，繼續(xù)修改相關(guān)的攻擊特征碼，最大限度的提高攻擊檢測的準確性。優(yōu)點是符合大多數(shù)人的思維習慣，管理靈活。 單機管理的分散方式在大型網(wǎng)絡(luò)應用中存在較大的缺點，許多資源的定義重復（如地址本、協(xié)議等），相應提高了整體的管理成本；其次，當下屬企業(yè)較多時，由于各自制定安全策略，存在安全隱患較大，同時，當出現(xiàn)安全問題時，由于沒有實 現(xiàn)統(tǒng)一監(jiān)控，很難判斷問題出現(xiàn)在何處，從而不能及時解決問題。 NSM 的報表分析功能使它更加有價值。 ② 可以在 HA 組中維護所有活動會話和 VPN隧道。鏈路監(jiān)測 應用故障 IP 路徑檢測 交換機故障 端口故障 鏈路監(jiān)測 設(shè)備故障 鏈路監(jiān)測 應用故障 IP 路徑檢測 管理員控制的設(shè)備維護和 down機 IP 路徑檢測 多設(shè)備故障 NetScreen 和周圍設(shè)備在不同路徑故障 冗余端口 環(huán)境故障 物理接線故障 鏈路監(jiān)測 電路故障 心跳信號 , 多電源 , 鏈路監(jiān)測 , IP 路徑檢測 此外，由于實施了 NetScreen 的冗余協(xié)議 NSRP，包括 VPN、地址翻譯等多種應用 的實時信息都得到同步，即對 VPN連接、地址翻譯連接的切換也是在小于 1 秒完成，所以在實施時具備很強的靈活性，適應了各種網(wǎng)絡(luò)應用的情況。 培訓對象： 需要進行基本配置的 Juniper 防火墻系統(tǒng)管理員、安全管理員及網(wǎng)絡(luò)工程師，以及希望獲得 Juniper 安全管理員認證的人。 實施主 /備方式的示意圖如下： 通過使用“ NetScreen 冗余協(xié)議 (NSRP)”創(chuàng)建一 個虛擬安全設(shè)備 (VSD) 組0，具有自己的虛擬安全接口 (VSI)。 ④ 無論活動會話和 VPN隧道的數(shù)量有多少，故障檢測和切換到備用系統(tǒng)可以在低于一秒時間內(nèi)完成。 NSM 提供對設(shè)備的集中、實時的監(jiān)控，以及集中的設(shè)備維護如升級等。 NetScreen 防火墻可實現(xiàn)通過 NSM 專用網(wǎng)管工具集中管理。命令行方式可以完成所有的配置、檢查、排錯等工作。 IPsec 的 配置 對于一些重要的服務器或網(wǎng)絡(luò)設(shè)備，如果需要通過承載網(wǎng)對其進行配置修改、調(diào)試，可以考慮利用防火墻的 IPSec VPN功能，通過 IPsec VPN 終結(jié)在防火墻的端口，允許相應的協(xié)議（如 tel）通過 IPsec VPN加密的方式通過防火墻，從而進一步提高安全性。通過這些主要的安全元素和附加元素的控制，可以讓系統(tǒng)管理員對進出防火墻的數(shù)據(jù)流量進行嚴格的訪問控制，達到保護內(nèi)網(wǎng)系統(tǒng)資源安全的目的 。根據(jù) 防火墻所處位置、 實際流量、實施管理 方便 性 的 考慮， 建議 對這兩臺防火墻采用 路
法律信息相關(guān)推薦
鄂ICP備17016276號-1