網(wǎng)絡(luò)設(shè)備技術(shù)建議書(編輯修改稿)
2025-02-02 21:58 本頁面
【文章內(nèi)容簡介】 提供代理支持。 ? 狀態(tài)檢測防火墻 狀態(tài)檢測是一種高級通信過濾。它檢查應(yīng)用層協(xié)議信息并且監(jiān)控基于連接的 應(yīng)用層協(xié)議狀態(tài)。對于所有連接，每一個連接狀態(tài)信息都將被維護并用于動態(tài)地決定數(shù)據(jù)包是否被允許通過防火墻或丟棄。 防火墻技術(shù)發(fā)展方向 軟件防火墻。一般是直接安裝在 PC 上的一套軟件，基于 PC 提供基本的安全防護，此時防火墻基本上就是一個應(yīng)用軟件。代表產(chǎn)品有 CheckPoint 公司的防火墻產(chǎn)品。 工控機類型防火墻。采用 PC 硬件結(jié)構(gòu)，基于 linux 等開發(fā)源代碼的操作系統(tǒng)內(nèi)核，開發(fā)了安全防護的一些基本特性構(gòu)成硬件防火墻產(chǎn)品形態(tài)。從外觀上面 看，該種防火墻是一個硬件防火墻產(chǎn)品，但是其軟件、硬件和第一種防火墻產(chǎn)品從硬件上面說沒有本質(zhì)區(qū)別。國內(nèi)大多數(shù)防火墻是采用這種技術(shù)。 電信級硬件防火墻。采用獨立設(shè)計的硬件結(jié)構(gòu)，在 CPU、電源、風(fēng)扇、PCI 總線設(shè)計、擴展插卡等方面優(yōu)化結(jié)構(gòu)，保證防火墻產(chǎn)品可以得到最優(yōu)的處理性能和高可靠性。 基于 NP 電信級防火墻。由于純軟件設(shè)計的防火墻產(chǎn)品在流量很大的地方逐步成為瓶頸，基于網(wǎng)絡(luò)處理器（ NP）的業(yè)務(wù)加速模式的防火墻產(chǎn)品開始出現(xiàn)。通過網(wǎng)絡(luò)處理器的高性能，使得防火墻產(chǎn)品可以達到 1G 線速的處理能力。 主要防 火墻性能衡量指標(biāo) 吞吐量 其中吞吐量業(yè)界一般都是使用 1K～ 的大包衡量防火墻對報文的處理能力的。因網(wǎng)絡(luò)流量大部分是 200 字節(jié)報文，因此需要考察防火墻小包轉(zhuǎn)發(fā)下性能。因防火墻需要配置 ACL 規(guī)則，因此需要考察防火墻支持大量規(guī)則下轉(zhuǎn)發(fā)性能。 每秒建立連接速度 指的是每秒鐘可以通過防火墻建立起來的完整 TCP 連接。由于防火墻的連接是動態(tài)連接的，是根據(jù)當(dāng)前通信雙方狀態(tài)而動態(tài)建立的表項。每個會話在數(shù)據(jù)交換之前，在防火墻上都必須建立連接。如果防火墻建立連接速率較慢，在客戶端反映是每次通信有較大延遲。因此支持的 指標(biāo)越大，轉(zhuǎn)發(fā)速率越高。在受到攻擊時，這個指標(biāo)越大，抗攻擊能力越強。這個指標(biāo)越大，狀態(tài)備份能力越強。 并發(fā)連接數(shù)目 由于防火墻是針對連接進行處理報文的，并發(fā)連接數(shù)目是指的防火墻可以同時容納的最大的連接數(shù)目，一個連接就是一個 TCP/UDP 的訪問。 防火墻設(shè)備的使用原則 ? 防火墻應(yīng)該放在網(wǎng)絡(luò)中的匯聚點，需要保證保護的網(wǎng)絡(luò)流量必須全部經(jīng)過防火墻。 ? 默認(rèn)情況下，防火墻的規(guī)則一般是禁止所有的訪問。在最小授權(quán)的原則下，根據(jù)需要配置這種安全策略開放網(wǎng)絡(luò)訪問權(quán)限。 ? 防火墻自身一定要是安全的。防火墻的安全性能取決 于防火墻是否基于安全的操作系統(tǒng)和是否采用專用的硬件平臺，防火墻設(shè)備屬于一個基礎(chǔ)網(wǎng)絡(luò)設(shè)備，一定要保證防火墻可以長時間不間斷運行，其硬件可靠性是非常關(guān)鍵的。 ? 防火墻必須能夠抵御多種多樣的網(wǎng)絡(luò)攻擊，并且能夠阻斷蠕蟲病毒的傳播，保證內(nèi)部網(wǎng)絡(luò)的安全。 ? 防火墻必須支持完善的地址轉(zhuǎn)換 (NAT)功能，以滿足企業(yè)用戶多種需求。 ? 防火墻對企業(yè)網(wǎng)絡(luò)業(yè)務(wù)的支持能力必須全面。防火墻僅僅支持簡單的 IP數(shù)據(jù)策略能力是不夠的，隨著網(wǎng)絡(luò)中多種業(yè)務(wù)的應(yīng)用，例如多媒體應(yīng)用、網(wǎng)絡(luò)語音業(yè)務(wù)、即時通信業(yè)務(wù)，防火墻必須能夠完全支持這些業(yè)務(wù)的安全策略。 ? 防火墻必須支持功能完善的 VPN 特性。 VPN 技術(shù)為企業(yè)關(guān)鍵數(shù)據(jù)提供加密保護服務(wù)，是防火墻必不可少的安全模塊。 ? 根據(jù)網(wǎng)絡(luò)的實際需要選擇性能、功能均能滿足的防火墻。如果防火墻不能滿足實際網(wǎng)絡(luò)業(yè)務(wù)的需要，會造成網(wǎng)絡(luò)的阻塞、中斷，不僅不能給企業(yè)用戶提供安全保護，反而造成更大的損失。 安全策略控制 靈活的規(guī)則設(shè)定 USG 200B 系列統(tǒng)一安全網(wǎng)關(guān)可以支持靈活的規(guī)則設(shè)定，可以根據(jù)報文的特點方便的設(shè)定各種規(guī)則。 ? 可以依據(jù)報文的協(xié)議號設(shè)定規(guī)則 ? 可以依據(jù)報文的源地址、目的地址設(shè)定規(guī)則 ? 可以使用通配符設(shè)定 地址的范圍，用來指定某個地址段的主機 ? 針對 UDP和 TCP還可以指定源端口、目的端口 ? 針對目的端口、源端口可以采用大于、等于、介入、不等于等方式設(shè)定端口的范圍 ? 針對 ICMP協(xié)議，可以自由的指定 ICMP報文的類型和 Code號，可以通過規(guī)則針對任何一種 ICMP報文 ? 可以針對 IP報文中的 TOS域設(shè)定靈活的規(guī)則 基于時間段的規(guī)則管理 ? USG 200B系列統(tǒng)一安全網(wǎng)關(guān)的 ACL策略管理支持時間段，可以采用兩種方式定義時間段：絕對時間范圍、周期時間范圍。例如可以定義從 2022年
公司管理相關(guān)推薦
鄂ICP備17016276號-1