【正文】 訓(xùn)。而且，讓最終一接受一些基本故障排除方法的培訓(xùn)，可以使他們能自己解決一些小故障。10) 進(jìn)行備份隨著用戶對VPN的進(jìn)一步熟悉，企業(yè)可能會涉及到一些由任務(wù)決定的應(yīng)用程序，例如公司要為客戶建立一個(gè)電子商店。在這樣的情況下，備份連接是必須的，因此網(wǎng)管員在設(shè)計(jì)網(wǎng)絡(luò)階段就應(yīng)為冗余鏈路和設(shè)備制定計(jì)劃。信息流量大的站點(diǎn)應(yīng)選擇支持多設(shè)備負(fù)載均衡的VPN，原因在于提供負(fù)載均衡能力的VPN廠商非常少，目前NetScreen的防火墻產(chǎn)品支持負(fù)載均衡和流量控制的功能同時(shí)也支持冗余路徑。即使網(wǎng)絡(luò)應(yīng)用并不重要，進(jìn)行備份也不失為避免用戶投訴的好辦法。在這方面，保留幾臺調(diào)制解調(diào)器和電話線路用于緊急情況可能就足矣。然而，這種方法的費(fèi)用較高，而且速度慢，對于LAN到LAN的連接，備份連接最好由ISDN或其他專用線路來滿足。要注意的是，一定要定期測試備份連接系統(tǒng)。 復(fù)合型防火墻體系防火墻體系的采納是一個(gè)非常專業(yè)化的過程，不是一個(gè)簡單的是和非。當(dāng)然可以根據(jù)具體的情況，作出一定的安全政策，并采用某種上述特定的防火墻。但絕大多數(shù)情況是，根據(jù)具體的安全需求，通過某種體系構(gòu)架，來實(shí)現(xiàn)更高強(qiáng)度的安全體系?；蛘呤遣捎冒鲜龉δ艿膹?fù)合型防火墻。我們就具體的情況作一個(gè)簡單的說明：屏蔽主機(jī)網(wǎng)關(guān)由一個(gè)運(yùn)行代理服務(wù) 雙穴網(wǎng)關(guān)和一個(gè)具有包過濾功能的路由器組成，功能的分開提高了防護(hù)系統(tǒng)的效率。一個(gè)獨(dú)立的屏蔽子網(wǎng)位于Intranet與Internet之間，起保護(hù)作用。它由兩臺過濾路由器和一臺代理服務(wù)主機(jī)構(gòu)成。路由器過濾掉禁止或不能識別的信息，將合法的信息送到代理服務(wù)主機(jī)上，并讓其檢查，并向內(nèi)或向外轉(zhuǎn)發(fā)符合安全要求。NetScreen 網(wǎng)絡(luò)安全解決方案 公司背景NetScreen 科技公司成立于1997年10月，總部位于美國加州的硅谷。公司的奠基者有過在Cisco和Intel等科技領(lǐng)先公司多年的工作經(jīng)驗(yàn)。1998年11月，Robert Thomas即Sun公司的執(zhí)行總裁加盟NetScreen公司，任公司總裁。公司致力于發(fā)展一種新型的與網(wǎng)絡(luò)安全有關(guān)的高科技產(chǎn)品，把多種功能集成到一起，創(chuàng)造新的業(yè)界性能紀(jì)錄。NetScreen創(chuàng)建新的體系結(jié)構(gòu)并已取得了專利。該項(xiàng)技術(shù)能有效消除傳統(tǒng)防火墻實(shí)現(xiàn)數(shù)據(jù)加盟時(shí)的性能瓶頸，能實(shí)現(xiàn)最高級別的IP安全（Ipsec），先進(jìn)的系統(tǒng)級的設(shè)計(jì)允許產(chǎn)品提供多種功能，并且這些功能都具有無與倫比的性能。NetScreen 科技公司已經(jīng)為業(yè)界在虛擬專用網(wǎng)領(lǐng)域設(shè)立了新的安全解決系統(tǒng)的標(biāo)準(zhǔn)。所有的功能全部放在有關(guān)專有的硬件平臺的盒子里，并且這些功能都有著無與倫比的性能。目前公司由 Sequoia Capital投資贊助。Sequoia 是一家領(lǐng)先的風(fēng)險(xiǎn)投資公司，成立于1974年，已成功地為超過350家公司提供了最初的風(fēng)險(xiǎn)投資基金，其中包括3Com 公司、Cisco 系統(tǒng)公司、Oracle 公司、Symantec 公司和Yahoo 公司等等。其中大部分公司的股票都已成功上市。NetScreen 科技公司目前有50多名員工公司在全美的主要城市都設(shè)有辦事處，而且積極拓展海外市場。用戶群包括HP、日立、日本電訊電話公司和美國在線等，覆蓋了歐美亞等十幾個(gè)國家和地區(qū)。NetScreen公司的產(chǎn)品NetScreen100獲得了KeyLabs工作組的“測試首選獎”，在1998年4月舉行的數(shù)據(jù)通訊雜志的評測中。1998年11月，NetScreen公司再次榮獲“測試者選擇獎”，這是數(shù)據(jù)通訊雜志的年度獎。在同類產(chǎn)品中，NetScreen是唯一員工把防火墻、虛擬專用網(wǎng)（VPN）、負(fù)載均衡及流量控制結(jié)合起來，且提供100M的線速性能的產(chǎn)品。NetScreen保證這一點(diǎn)。在1998年的8月和9月，NetScreen10 和NetScreen100 通過了ICSA (國際計(jì)算機(jī)安全協(xié)會)的防火墻認(rèn)證。1998年9月，NetScreen 推出了VPN遠(yuǎn)程存取客戶端軟件。1998年10月，NetScreen 宣布推出 NetScreen1000的產(chǎn)品。這是第一個(gè)支持千兆位傳輸?shù)木哂蟹阑饓蚔PN功能的產(chǎn)品。1998年6月，NetScreen100 被HP公司選為它在防火墻方面的新的合作伙伴。HP的合作伙伴是在全球范圍年為HP提供集成解決系統(tǒng)，并在增強(qiáng)用戶的Internet上的應(yīng)用。NetScreen是HP選中的二家防火墻廠家的一家，而且是唯一一家基于硬件的產(chǎn)品。1998年12月日立公司宣布它將在日本推廣NetScreen 產(chǎn)品。日立公司準(zhǔn)備在未來三年內(nèi)賣出10000套NetScreen 產(chǎn)品。 產(chǎn)品系列目前，NetScreen 有 NetScreen10 用于10MB 傳輸?shù)木W(wǎng)絡(luò)。NetScreen100 用于 100MB 傳輸?shù)木W(wǎng)絡(luò)。NetScreen100 端口是自適應(yīng)的端口，也可用于目前傳輸為10MB 并計(jì)劃將來升級為100MB的網(wǎng)絡(luò)。NetScreen1000 不久將要面市，它將為那些大型企業(yè)和網(wǎng)絡(luò)主干的供應(yīng)商提供千兆網(wǎng)安全的解決方案。NetScreen5 目前正在測試階段。它的大小類似一個(gè)CDROM。它是為小型辦公室或個(gè)人用戶而設(shè)計(jì)的。NetScreen 遠(yuǎn)程 VPN 客戶軟件可提供遠(yuǎn)程VPN訪問的解決方案。 產(chǎn)品功能及特點(diǎn)NetScreen產(chǎn)品是基于安全包處理器的產(chǎn)品。全新的技術(shù)包括定制的專有的芯片免費(fèi)加盟和策略實(shí)現(xiàn)。高性能的多總線體系結(jié)構(gòu)、內(nèi)嵌的高速RISC CPU和專用軟件。NetScreen防火墻的專用ASIC芯片提供存取策略的功能。該功能以硬件方式實(shí)現(xiàn)，它比軟件防火墻有著無可比擬的速度優(yōu)勢。CPU可專門負(fù)責(zé)管理數(shù)據(jù)流。（策略存取執(zhí)行防火墻保護(hù)和加密解密功能）。由于做到了系統(tǒng)級的安全處理功能。NetScreen消除了基于PC平臺的防火墻的需管理多個(gè)部件所引起的性能下降的瓶頸。 NetScreen提供了多功能和高安全性能的無縫連接，NetScreen1000, NetScreen100 和 NetScreen10 分別提供了1000M、100M和10M的傳輸性能。NetScreen1000是市場上唯一的千兆的集防火墻、VPN和流量管理于一身的防火墻產(chǎn)品。同樣，NetScreen100是業(yè)界最快的防火墻，另外，NetScreen自動調(diào)整端口速率，使其達(dá)到10M和100M自適應(yīng)。 因?yàn)槭腔谟布脑O(shè)計(jì)，NetScreen是唯一一家安全解決系統(tǒng)的提供商，NetScreen產(chǎn)品的高性能允許用戶享受到高速的好處，可提供多條E1線路，甚至更高如E3的線路。另外，該產(chǎn)品允許用戶在遠(yuǎn)程實(shí)現(xiàn)加密通信，并且這種VPN功能不影響性能。NetScreen提供給ISP們一個(gè)價(jià)廉物美的安全解決方案。NetScreen－10為中小企業(yè)提供他們負(fù)擔(dān)得起的全面的安全解決方案。允許他們在自己的企業(yè)網(wǎng)內(nèi)部構(gòu)筑安全體系。 性能NetScreen產(chǎn)品動態(tài)加密保護(hù)和按優(yōu)先級實(shí)時(shí)監(jiān)控未來數(shù)據(jù)，它專有的獨(dú)特的系統(tǒng)設(shè)計(jì)保證了它的高性能，ASIC芯片可以獨(dú)自處理并過濾包。先進(jìn)的多總線結(jié)構(gòu)比基于PC的平臺上的防火墻產(chǎn)品快。同樣基于系統(tǒng)級的安全功能設(shè)計(jì)消除了傳輸?shù)钠款i。用戶認(rèn)證和策略NetScreen 支持高性能的存取為每一個(gè)當(dāng)前用戶，無論是遠(yuǎn)程還是在防火墻內(nèi)，支持創(chuàng)紀(jì)錄的并行連接用戶數(shù)。NetScreen1000創(chuàng)紀(jì)錄地實(shí)現(xiàn)了TCP/IP并發(fā)連接（超過256000）；策略數(shù)（多于5000）和并發(fā)的VPN連接數(shù)（超過10000）。NetScreen100支持每秒4370個(gè)連接，（基于32個(gè)客戶），領(lǐng)先于它的最接近的競爭對手。根據(jù)獨(dú)立的測試機(jī)構(gòu)，KeyLab的測試報(bào)告，NetScreen－100支持32000個(gè)并發(fā)用戶連接，NetScreen10支持16000個(gè)并發(fā)連接。所有產(chǎn)品都支持超過5000個(gè)存取策略，并提供簡單易用的過濾界面。防火墻NetScreen全功能防火墻包括了包過濾、代理服務(wù)器和動態(tài)線路級過濾器。該產(chǎn)品提供了高級的包檢查和事件日志功能。該產(chǎn)品與Ipsec協(xié)議兼容。VPN NetScreen會集了VPN功能，保證了數(shù)據(jù)在傳輸過程中的加密和解密，但在數(shù)據(jù)被加、解密之前，首先要滿足預(yù)定的策略。不論NetScreen－100還是NetScreen－10都支持業(yè)界的加密標(biāo)準(zhǔn)。包括網(wǎng)絡(luò)密鑰交換（IKE, 或以前的ISAKMP) 通過IP，DES，Triple DES。并且還支持?jǐn)?shù)據(jù)簽名（MD5）算法。（PKI），可以自動地管理VPN。NetScreen1000建立了新的VPN性能測試基準(zhǔn)，與其它同類產(chǎn)品比較，NetScreen1000有著更高的吞吐量，更廣泛的安全性和更低的價(jià)位。流量管理 流量管理提供給網(wǎng)絡(luò)管理員所有必須的信息去監(jiān)控和管理網(wǎng)絡(luò)流量。網(wǎng)絡(luò)控制功能象帶寬分配。流量優(yōu)先級和負(fù)載均衡，使該產(chǎn)品成為web服務(wù)器和ISP的理想產(chǎn)品。網(wǎng)絡(luò)管理 該產(chǎn)品易于安裝，而且NetScreen產(chǎn)品可以遠(yuǎn)程通過網(wǎng)絡(luò)上任何一臺具有瀏覽器的機(jī)器來管理。透明模式 NetScreen可以被用來作透明傳輸。你可以在這種方式下不分配任何IP給NetScreen網(wǎng)絡(luò)界面。它只需要一個(gè)管理界面。不用更改您現(xiàn)有的任何網(wǎng)絡(luò)配置就可以利用策略來管理網(wǎng)絡(luò)流量。除了它可以在兩臺NetScreen之間運(yùn)行VPN，即使有些產(chǎn)品可以在透明模式下工作，但它們也不能在透明模式下實(shí)現(xiàn)VPN。 特點(diǎn)．獨(dú)特的ASIC設(shè)計(jì)及已申請專利保護(hù)的系統(tǒng)體系結(jié)構(gòu)．最優(yōu)的性能價(jià)格比．無用戶數(shù)目限制．獨(dú)特的負(fù)載均衡能力及流量優(yōu)先級控制能力．創(chuàng)記錄的性能，具有線速運(yùn)行能力．配置簡單，管理方便．支持透明傳輸模式．設(shè)計(jì)緊湊，一些附加功能轉(zhuǎn)移到主機(jī)上完成．如日志功能．支持一主一備的管理模式 訪問控制NetScreen 使用了狀態(tài)檢查的方法來實(shí)現(xiàn)動態(tài)的包過濾。 相比其他的兩種方法簡單的包過濾和復(fù)雜的應(yīng)用網(wǎng)關(guān)來講，它具有更快速和更安全的優(yōu)點(diǎn)。簡單的包過濾只檢查IP地址和端口號。它通常由路由器來實(shí)現(xiàn)。但它只能做到拒絕端口訪問或允許端口訪問。它不能了解連接的狀態(tài)。一旦真正的用戶完成了TCP的連接后，就留下了可使黑客劫持端口號的漏洞。應(yīng)用網(wǎng)關(guān)通過檢查應(yīng)用層所有的包，提供了更好的安全性。但是用戶需要廠商提供所有應(yīng)用的代理。而且它只能用軟件實(shí)現(xiàn)，因此性能是很低的。狀態(tài)檢查的鏈路層代理，另一方面，可實(shí)現(xiàn)硬件層。防火墻保持所有的TCP會話的檢查。一旦一個(gè)會話結(jié)束，防火墻就結(jié)束這個(gè)連接。在不犧牲安全性的條件下，提供更高的性能。NetScreen 也可提供網(wǎng)絡(luò)層的 URL 過濾，并在不久的將來實(shí)現(xiàn)病毒掃描的功能。 NetScreen 產(chǎn)品也提供信息的和用戶的認(rèn)證。NetScreen是通過建立VPN通道，由MD5實(shí)現(xiàn)的ESP信息的認(rèn)證，并依從IPSec 標(biāo)準(zhǔn) 用戶的認(rèn)證可由兩種方法實(shí)現(xiàn)。用戶可在防火墻上定義多達(dá)2000 個(gè)用戶或者設(shè)置一個(gè) Radius 服務(wù)器來存儲用戶認(rèn)證的信息。 管理NetScreen 產(chǎn)品可連接信任端口（Trusted ）或 不信任端口（Untrusted）然后通過web 界面來管理。并提供了跨Internet來實(shí)現(xiàn)遠(yuǎn)程管理能力。不信任端口（Untrusted）可以因安全的原因而設(shè)置為取消。如果取消它，不信任端口是不可ping的。 (不信任端口（untrusted） 在 )。 NetScreen 產(chǎn)品同樣也可通過console 端口，使用命令行方式進(jìn)行管理。如果用戶喜歡使用命令行方式或希望通過遠(yuǎn)程來管理防火墻，可在console口連接一個(gè)調(diào)制解調(diào)器。Console口的訪問也可因?yàn)榘踩蛟O(shè)置為取消。 NetScreen 產(chǎn)品也可以通過telnet來管理。Telnet 和 Web 管理也可通過VPN 通道加密，提供安全的管理。管理方便，可通過串口管理，使用命令行方式。也可以在圖形方式下用瀏覽器進(jìn)行管理，不分硬件平臺和操作系統(tǒng)，只要把瀏覽器打開就可以通過用Web server 的方式來管理．配置簡單尤其在配置三個(gè)端口的IP時(shí)很方便對于大型網(wǎng)絡(luò)中多個(gè)NetScreen設(shè)備，可以采用snmp的集中式管理，通過網(wǎng)絡(luò)管理軟件，如SunNetManager來進(jìn)行管理．而且NetScreen還可以提供備份的遠(yuǎn)程撥號方式的管理不僅如此，為安全起見，NetScreen 可以關(guān)閉遠(yuǎn)程的管理方式，而只使用本地的、安全的管理方式。 處理能力及性能指標(biāo)．具有線速帶寬且不受信息包大小影響(wirespeed)．在作地址轉(zhuǎn)換和添加策略時(shí)，性能不受任何影響．具有VPN功能，支持IPSEC,DES,TripleDES,．人工密鑰管理,自動ISAKMP密鑰管理，支持MD5．線速帶寬的包過濾．支持32000個(gè)并發(fā)連接．5000個(gè)高級訪問過濾策略．具有網(wǎng)絡(luò)地址轉(zhuǎn)換功能．支持透明模式傳輸．動態(tài)過濾，具有硬件級代理服務(wù)器功能．有實(shí)時(shí)監(jiān)控流量和報(bào)警功能．可以實(shí)現(xiàn)日志記載功能．流量控制，可以根據(jù)不同用戶及不同策略分配帶寬．支持8級用戶優(yōu)先級設(shè)置．支持服務(wù)器負(fù)載均衡．動態(tài)IP pool,實(shí)現(xiàn)端口地址轉(zhuǎn)換．支持多種標(biāo)準(zhǔn)協(xié)議：ARP,TCP/IP,UDP,ICMPDHCP, HTTP, RADUIS, Ipsec ,MD5, SHA1Des, Triple DES, IKE, ．可以通過瀏覽器，TFTP服務(wù)器，快速閃存來進(jìn)行軟件版本的升級及配置參數(shù)的下載，備份．支持一主一備的管理模式 產(chǎn)品適用范圍l 企業(yè)網(wǎng) (INTRANET)Netscreen100,以其創(chuàng)記錄的100Mbps運(yùn)行速度，將業(yè)界的性能標(biāo)準(zhǔn)一下子提高了十倍，創(chuàng)新的，獨(dú)特設(shè)計(jì)的軟硬件體系結(jié)構(gòu)，使Netscreen100將高速的性能，最大限度的安全性及簡單易用有機(jī)地結(jié)合在一起，有效的消除了制約傳統(tǒng)軟件類防火墻的性能瓶頸．Netscreen100是當(dāng)今市場上為企業(yè)網(wǎng)（INTRANET）與互連網(wǎng)(INTERNET) 及企業(yè)內(nèi)部各單獨(dú)子網(wǎng)之間提供信