【正文】 ghput） 指以待測設備不丟棄數據幀位前提的最大速率； ? 時延（ Latency） 根據設備類型不同有不同的定義； ? 丟包率 （ Frame loss rate） 指在穩(wěn)定負載下，應由網絡設備傳輸，但由于資源缺乏而被丟棄的幀的百分比； ? 緩沖能力（背對背 Backtoback Frame） 指從空閑狀態(tài)開始，以達到傳輸介質最小合法間隔極限的傳輸速率發(fā)送相當數量的固定長度的幀，當出現第一個幀丟失時，發(fā)送的幀數； ? 系統恢復能力（ System recovery） ? 復位（ Reset） 安全講座 88 對防火墻的更高要求 ? 高性能 ? 軟件 ? 操作系統和應用系統的體系結構上 ? 國外設計專用系統，比較精小，效率高 ? 硬件 ? 軟件運算硬件化，將主要的運算（查表運算是防火墻的主要運算工作）做成芯片 ? 提高系統 CPU的處理能力，增大內存容量 ? 高穩(wěn)定可靠性 ? 比較重要，主要體現在軟件和硬件上； ? 國外在硬件方面有很好的經驗和配套能力，系統在硬件方面的可靠性比較高； ? 國內：硬件方面使用 PC機和工控機，使用比較低端的網卡，沒有獨立專用的硬件平臺 安全講座 89 對防火墻的更高要求 ? 高應用適應能力 ? 即體現在產品使用的靈活性方面 ? 支持 SNMP網絡管理協議 ? 網絡應用方面，國外比較好的防火墻可以支持上千種網絡應用； 防火墻的配置模式 安全講座 91 Inter/ 公網 內部網 路由器 NEsec3 0 0 FW 2 0 3 5 9 6 8 ? 告 警 內網接口 外網接口 電 源 控制臺 服務器 服務器 服務器 主機 主機 內外網絡隔離 ? 截取 IP包，根據安全策略控制其進 /出 ? 雙向網絡地址轉換（ NAT） ? 基于一次性口令對移動訪問進行身份識別和控制 ? IPMAC捆綁，防止 IP地址的濫用 安全記錄 ? 通信事件記錄 ? 操作事件記錄 ? 違規(guī)事件記錄 ? 異常情況告警 移動用戶 撥號用戶 局域網用戶 防火墻 （內部地址） （內部地址） 安全講座 92 路由器 HTTP服務器 DNS服務器 Email服務器 防火墻 DMZ區(qū) （ Demilitarized Zone） 內部專用網絡 Inter DDN PSTN ATM ISDN 幀中繼 防火墻管理器 外部網絡 安裝方式之一 安全講座 93 防火墻 防火墻管理工作站 分支機構 受保護局域網 防火墻 防火墻 資源子網 路由器 路由器 路由器 分支機構 受保護局域網 公共網絡 總部 路由器 路由器 安裝方式之二 安全講座 94 安裝方式之三 安全講座 95 4 Gbps SW1 4 Gbps SW1 2 Gbps SW1 Active / Active Active / Active / Full Mesh 2 Gbps 2 Gbps Active / Passive 安裝方式之四 安全講座 96 防火墻 網絡地址轉換 內部網絡地址 外部網絡 /Inter地址 網絡地址轉換 安全講座 97 Inter 內部網 WWW Server E_Mail Server FTP Server SFH0 2 FW Al ar m 2 0 3 5 9 6 8 ? E1 E0 Power 防火墻 重定向（反向 NAT） 安全講座 98 00:88:CC:A0:2C:4D 88:88:88:88:88:88 ?PASS ?NO IP包 IP包 IP / MAC 地址對應 安全講座 99 安全日志 記錄用戶訪問的開始和終止時間 記錄用戶的通信事件，例如主機地址、訪問時間、協議等信息 記錄安全管理員的操作事件 記錄違規(guī)事件 安全講座 100 國外典型的防火墻產品 ? Checkpoint公司， 是軟件防火墻領域的領導者； ? 使用狀態(tài)檢測技術 ； ? Checkpoint 防火墻是一個綜合的、模塊化的安全套件，它是一個基于策略的解決方案，提供集中管理、訪問控制、授權、加密、網絡地址轉換、內容顯示服務和服務器負載平衡等功能。 ? 主要用在保護內部網絡資源、保護內部進程資源和內部網絡訪問者驗證等領域； 安全講座 101 Checkpoint SVN 保護 ? FireWall1 ? SmartDefense ? FireWall1 SmallOffice ? Safe@ solutions 連接 ? VPN1 Pro ? VPN1 Net ? VPN1 SmallOffice ? VPN1 SecureClient ? VPN1 SecuRemote 管理 ? SmartCenter ? SmartCenter Pro ? SmartDashboard ? SmartMap ? SmartUpdate ? Provider1 性能 ? ClusterXL ? Performance Pack ? FloodGate1 ? VPN1 Accelerator Cards 安全講座 102 基于多種標準定義授權 支持超過 150種應用，用戶還可以自行定義 Checkpoint SVN 安全講座 103 Check Point的特點 開放的平臺、更多的選擇 ?OPSEC ?數百家合作伙伴提供各種應用，保護用戶投資 ?用戶不會擔心被套牢 專用硬件 服務器 平臺 應用 安全實施 管理與報告 性能與可用性 eBusiness 應用 Check Point SVN 解決方案 通過 OPSEC 認證 SECURED BY CHECK POINT “最好的產品和解決方案” ——緊密集成和認證 300多家合作伙伴的支持 安全講座 104 國外典型的防火墻產品（續(xù)） ? Cisco PIX防火墻 ? 包過濾防火墻，采用自適應安全算法（ ASA） 。 ? 采用高性能的 Intel處理器和嵌入式操作系統，采用集成的軟件和硬件平臺，是一種專用的防火墻產品；操作系統是專有的、實時的 IOS操作系統； ? 在安全性能和數據流的處理性能等方面要高于路由器防火墻或軟件防火墻； ? 無法對應用層的數據進行過濾； ? PIX防火墻系統 ? PIX501,506E,515E,525,535 安全講座 105 國外典型的防火墻產品 ? Netscreen防火墻 ? 新型的網絡安全硬件產品， 完全基于硬 件 ASIC芯片 ，其在性能上比軟件防火墻高很多； ? 采用了新的體系結構，可有效地消除傳統防火墻實現數據加密時的性能瓶頸，能實現最高級的安全保護； ? 集防火墻、 VPN、流量控制于一身； ? 有電信級的防火墻 : ? Netscreen 5000防火墻； 安全講座 106 安全講座 107 國外典型的防火墻產品（續(xù)） ? Symantec Gateway security5400防火墻 安全講座 108 Symantec Gateway security5400防火墻 安全講座 109 國內典型的防火墻產品 ? 天融信網絡衛(wèi)士防火墻： ? 是我國第一套自主產權的防火墻系統； ? 它由防火墻和管理器組成，其中防火墻由多個模塊組成，包括包過濾、應用代理、 NAT、 VPN、防攻擊等功能模塊； ? 采用集中控制的分布式客戶機 /服務器結構； ? 采用了 SSN（安全服務器）技術，其安全性能高于其他防火墻的 DMZ技術； 安全講座 110 國內外典型的防火墻產品 ? 其它防火墻產品： ? 北大青鳥網關防火墻 ? 東方龍馬 ? 安氏防火墻 ? 中科網威“長城”防火墻 ? 東大阿爾派 NetEye防火墻 ? 華堂防火墻 ? CA eTrust Firewall ? FortiNet公司的 FortiGate防火墻 ? ….. 安全講座 111 謝謝！