【文章內容簡介】 :黑色字體 :細黑體 匯報 提 綱? 華為公司存儲與安全產品線介紹? 華為公司防火墻系列產品介紹? 華為公司防火墻產品技術? 華為公司防火墻功能介紹? 華為公司安全解決方案介紹? 華為公司防火墻應用案例HUAWEI TECHNOLOGIES CO., LTD. Huawei Confidential 英文標題 :3235pt 顏色 : R153 G0 B0內部使用字體 :FrutigerNext LT Medium外部使用字體 : Arial中文標題 :3032pt 顏色 : R153 G0 B0字體 :黑體英文正文 :2022pt子目錄 (25級 ) :18pt 顏色 :黑色內部使用字體 :FrutigerNext LT Regular外部使用字體 : Arial中文正文 :1820pt子目錄 (25級 ):18pt 顏色 :黑色字體 :細黑體 配色參考方案：建議同一頁面內不超過四種顏色，以下是９組配色方案，同一頁面內只選擇一組使用。（僅供參考）客戶或者合作伙伴的標志放在右上角 .靈活的工作模式和 組 網能力l 路由模式： 各接口具有確定的 IP地址，內部和外部網絡的設備都可配置到達本防火墻的路由，適合網絡初建時， IP地址統一規(guī)劃有助于全網絡管理。? 支持多種動態(tài)單播路由協議： RIP、 OSPF、 BGP等。支持多種動態(tài)多播 IGMP、 PIMDM、PIMSM等路由協議，支持多播報文的正常轉發(fā)。支持路由策略、路由迭代等高級路由功能。? 支持基于會話流的策略路由與安全特性（如 NAT、 ASPF）等協同工作的功能? 提供一條鏈路故障時，將流量切換到正常的鏈路中的負載分擔功能。l 透明模式： 各接口不配置 IP地址，以透明方式嵌入到內部網絡和外部網絡之間，內部和外部網絡的設備都察覺不到該防火墻的存在。適合網絡改造時的組網。? 特點一：無需重新規(guī)劃網絡中的 IP地址和路由，同時提供的網絡安全性的保障。? 特點二：業(yè)務端口沒有 IP地址，可使防火墻免受外界入侵。? 特點三：能夠提供無 IP地址情況下的 NAT功能。l 混合模式： 某些接口工作在路由模式（接口具有 IP地址），某些接口工作在透明模式下（接口無 IP地址）。Page 21HUAWEI TECHNOLOGIES CO., LTD. Huawei Confidential 英文標題 :3235pt 顏色 : R153 G0 B0內部使用字體 :FrutigerNext LT Medium外部使用字體 : Arial中文標題 :3032pt 顏色 : R153 G0 B0字體 :黑體英文正文 :2022pt子目錄 (25級 ) :18pt 顏色 :黑色內部使用字體 :FrutigerNext LT Regular外部使用字體 : Arial中文正文 :1820pt子目錄 (25級 ):18pt 顏色 :黑色字體 :細黑體 配色參考方案：建議同一頁面內不超過四種顏色，以下是９組配色方案，同一頁面內只選擇一組使用。（僅供參考）客戶或者合作伙伴的標志放在右上角 .網 絡 隔離－安全區(qū)域劃分Untrust區(qū)域外部網絡Inter接口 1接口 2LANDMZ區(qū)域Server接口 3LANPC內部網絡PCLocal區(qū)域Trust區(qū)域l 防火墻提供靈活的安全區(qū)域隔離功能，通過系統自帶的 4 個安全區(qū)域：信任域、非信任域、 DMZ域、本地域（防火墻本身），可以靈活的將網絡隔離成不同的部分。l 所有邏輯接口都可以自由的劃分在不同的安全區(qū)域中，包括子接口、隧道接口、物理接口等。l 可自定義 16～ 800個安全區(qū)域，滿足最復雜的組網要求。DMZPage 22HUAWEI TECHNOLOGIES CO., LTD. Huawei Confidential 英文標題 :3235pt 顏色 : R153 G0 B0內部使用字體 :FrutigerNext LT Medium外部使用字體 : Arial中文標題 :3032pt 顏色 : R153 G0 B0字體 :黑體英文正文 :2022pt子目錄 (25級 ) :18pt 顏色 :黑色內部使用字體 :FrutigerNext LT Regular外部使用字體 : Arial中文正文 :1820pt子目錄 (25級 ):18pt 顏色 :黑色字體 :細黑體 配色參考方案：建議同一頁面內不超過四種顏色，以下是９組配色方案，同一頁面內只選擇一組使用。（僅供參考）客戶或者合作伙伴的標志放在右上角 .ACL包 過濾公司總部分支機構采用高效的硬件 ACL技術，支持 5萬規(guī)則，規(guī)則數目不影響轉發(fā)性能Inter攻擊者上午 8： 00 － 下午5： 00，只能訪問特定的站點；其余時間可以訪問其他站點從 來的數據包能通過從 的數據包不能通過l 可以根據五元組信息、 ICMP的協議類型 (ping、 tracert)等各種條件任意組合規(guī)則。l 可以根據 VLAN 標記定義策略。l 可以根據時間范圍靈活定義規(guī)則。l 可以根據報文優(yōu)先級 (TOS域 )靈活進行流分類。華為Page 23HUAWEI TECHNOLOGIES CO., LTD. Huawei Confidential 英文標題 :3235pt 顏色 : R153 G0 B0內部使用字體 :FrutigerNext LT Medium外部使用字體 : Arial中文標題 :3032pt 顏色 : R153 G0 B0字體 :黑體英文正文 :2022pt子目錄 (25級 ) :18pt 顏色 :黑色內部使用字體 :FrutigerNext LT Regular外部使用字體 : Arial中文正文 :1820pt子目錄 (25級 ):18pt 顏色 :黑色字體 :細黑體 配色參考方案：建議同一頁面內不超過四種顏色，以下是９組配色方案，同一頁面內只選擇一組使用。（僅供參考）客戶或者合作伙伴的標志放在右上角 .應 用 層 內容 過濾IP 報頭TCP/UDP 報頭應用數據華為防火墻采用改進的 ASPF (Application Specific Packet Filter)狀態(tài)檢測技術，在提供根據 5元組信息定義過濾規(guī)則的同時，還提供基于內容的定義過濾規(guī)則功能。? 支持包括H323/MGCP/SIP/H248/RTSP/HWCC，以及 ICMP、 FTP、 DNS、 PPTP、 NBT、 ILS、 HTTP、 SMTP等多種應用協議的檢測能力。? 支持根據 URL進行網址過濾。? 可以過濾 HTTP報文中攜帶的有害程序。? 支持對 SMTP中的有害命令進行過濾。? 可以對 P2P報文進行過濾。IP 報頭TCP/UDP 報頭應用數據源端口目的端口協議號源地址目的地址利用應用數據載荷特點進行過濾規(guī)則定義IP 報頭TCP/UDP 報頭應用數據Page 24HUAWEI TECHNOLOGIES CO., LTD. Huawei Confidential 英文標題 :3235pt 顏色 : R153 G0 B0內部使用字體 :FrutigerNext LT Medium外部使用字體 : Arial中文標題 :3032pt 顏色 : R153 G0 B0字體 :黑體英文正文 :2022pt子目錄 (25級 ) :18pt 顏色 :黑色內部使用字體 :FrutigerNext LT Regular外部使用字體 : Arial中文正文 :1820pt子目錄 (25級 ):18pt 顏色 :黑色字體 :細黑體 配色參考方案：建議同一頁面內不超過四種顏色，以下是９組配色方案，同一頁面內只選擇一組使用。（僅供參考）客戶或者合作伙伴的標志放在右上角 .應 用 層 及 P2P流量 監(jiān) 管l Eudemon500/1000防火墻采用硬件深度檢測技術通過監(jiān)視報文載荷實現對應用層以及 P2P流量進行控制。? 支持 BT、 HTTP、 FTP等l 采用層次化的流量監(jiān)管技術? 可以限定總的 P2P流量? 可以針對不同用戶的 IP設定不同的流量以提供不同的服務? 可以根據 IP限制對等連接數目進行控制? 可以設定 P2P流量不同出口的流量以及優(yōu)先通過的網絡? 可以對上傳和下載流量分別限定? 支持采用劃分時間段的方式對 P2P流量進行精確控制l 采用透明模式接入到網絡，不會影響到網絡的拓撲l 可以同時提供 NAT和應用層及 P2P流量控制功能骨干網 2校園或城域網采用硬件應用層流控技術，啟用流量監(jiān)管不影響系統的性能寬帶用戶校園網用戶網吧用戶華為 1000骨干出口 1到骨干出口 1的P2P總流量不超過 100Mbps到骨干出口 2的P2P總流量不超過 20MbpsPage 25HUAWEI TECHNOLOGIES CO., LTD. Huawei Confidential 英文標題 :3235pt 顏色 : R153 G0 B0內部使用字體 :FrutigerNext LT Medium外部使用字體 : Arial中文標題 :3032pt 顏色 : R153 G0 B0字體 :黑體英文正文 :2022pt子目錄 (25級 ) :18pt 顏色 :黑色內部使用字體 :FrutigerNext LT Regular外部使用字體 : Arial中文正文 :1820pt子目錄 (25級 ):18pt 顏色 :黑色字體 :細黑體 配色參考方案：建議同一頁面內不超過四種顏色，以下是９組配色方案，同一頁面內只選擇一組使用。（僅供參考）客戶或者合作伙伴的標志放在右上角 .虛 擬 防火 墻l 華為防火墻支持虛擬防火墻特性，最大 100個 .?每個虛擬防火墻均可以獨立支持TRUST、 UNTRUST、 DMZ、 VZONE 8個安全區(qū)域，接口靈活劃分和分配。?系統資源獨立分配，提供獨立的安全業(yè)務、 NAT多實例、 VPN多實例特性。l 典型的應用是 VPN環(huán)境 , 虛擬防火墻的每個用戶管理員可獨立配置防火墻 ,例如去開通一個VPN鏈路 ,就象操作本地防火墻一樣 .......根防火墻 Root FW一臺華為物理防火墻虛防火墻 Virtual FWVZONETrustVPN1DMZUnTrustTrustVPN100DMZUnTrust......華為Page 26HUAWEI TECHNOLOGIES CO., LTD. Huawei Confidential 英文標題 :3235pt 顏色 : R153 G0 B0內部使用字體 :FrutigerNext LT Medium外部使用字體 : Arial中文標題 :3032pt 顏色 : R153 G0 B0字體 :黑體英文正文 :2022pt子目錄 (25級 ) :18pt 顏色 :黑色內部使用字體 :FrutigerNext LT Regular外部使用字體 : Arial中文正文 :1820pt子目錄 (25級 ):18pt 顏色 :黑色字體 :細黑體 配色參考方案：建議同一頁面內不超過四種顏色，以下是９組配色方案，同一頁面內只選擇一組使用。（僅供參考）客戶或者合作伙伴的標志放在右上角 .SYN Flood攻擊不會完成三次握手 正常 TCP連接的三次握手 DDOS攻 擊 防范－ SYN FLOOD防御正常用戶 服務器服務器l SYN FLOOD攻擊是目前最流行的 DDoS攻擊手段，利用了 TCP/IP協議的固有漏洞，面向連接的 TCP三次握手是 SYN Flood存在的基礎，對所有使用 TCP協議的服務都會有非常嚴重的危害。l 華為防火墻提供的 SYN FLOOD攻擊防御可以準確的識別攻擊流量，采用的連接透明校驗技術 (不是采用簡單的對 SYN報文做 CAR的技術 )保證了在防范 SYN FLOOD攻擊的時候正常用戶絲毫感受不到攻擊的存在，可以實現服務器在遭受 DDOS攻擊的情況下，不影響正常用戶的連接使用。l 能防御 100萬包 /秒以上的 DDOS攻擊。遠大于業(yè)界防御 30萬包 /秒平均水平 .++ SYNACKACK攻擊者Page 27HUAWEI TECHNOLOGIES CO., LTD. Huawei Confidential 英文標題 :3235pt