【正文】 訓(xùn)。而且，讓最終一接受一些基本故障排除方法的培訓(xùn)，可以使他們能自己解決一些小故障。10) 進(jìn)行備份隨著用戶(hù)對(duì)VPN的進(jìn)一步熟悉，企業(yè)可能會(huì)涉及到一些由任務(wù)決定的應(yīng)用程序，例如公司要為客戶(hù)建立一個(gè)電子商店。在這樣的情況下，備份連接是必須的，因此網(wǎng)管員在設(shè)計(jì)網(wǎng)絡(luò)階段就應(yīng)為冗余鏈路和設(shè)備制定計(jì)劃。信息流量大的站點(diǎn)應(yīng)選擇支持多設(shè)備負(fù)載均衡的VPN，原因在于提供負(fù)載均衡能力的VPN廠(chǎng)商非常少，目前NetScreen的防火墻產(chǎn)品支持負(fù)載均衡和流量控制的功能同時(shí)也支持冗余路徑。即使網(wǎng)絡(luò)應(yīng)用并不重要，進(jìn)行備份也不失為避免用戶(hù)投訴的好辦法。在這方面，保留幾臺(tái)調(diào)制解調(diào)器和電話(huà)線(xiàn)路用于緊急情況可能就足矣。然而，這種方法的費(fèi)用較高，而且速度慢，對(duì)于LAN到LAN的連接，備份連接最好由ISDN或其他專(zhuān)用線(xiàn)路來(lái)滿(mǎn)足。要注意的是，一定要定期測(cè)試備份連接系統(tǒng)。 復(fù)合型防火墻體系防火墻體系的采納是一個(gè)非常專(zhuān)業(yè)化的過(guò)程，不是一個(gè)簡(jiǎn)單的是和非。當(dāng)然可以根據(jù)具體的情況，作出一定的安全政策，并采用某種上述特定的防火墻。但絕大多數(shù)情況是，根據(jù)具體的安全需求，通過(guò)某種體系構(gòu)架，來(lái)實(shí)現(xiàn)更高強(qiáng)度的安全體系?；蛘呤遣捎冒鲜龉δ艿膹?fù)合型防火墻。我們就具體的情況作一個(gè)簡(jiǎn)單的說(shuō)明：屏蔽主機(jī)網(wǎng)關(guān)由一個(gè)運(yùn)行代理服務(wù) 雙穴網(wǎng)關(guān)和一個(gè)具有包過(guò)濾功能的路由器組成，功能的分開(kāi)提高了防護(hù)系統(tǒng)的效率。一個(gè)獨(dú)立的屏蔽子網(wǎng)位于Intranet與Internet之間，起保護(hù)作用。它由兩臺(tái)過(guò)濾路由器和一臺(tái)代理服務(wù)主機(jī)構(gòu)成。路由器過(guò)濾掉禁止或不能識(shí)別的信息，將合法的信息送到代理服務(wù)主機(jī)上，并讓其檢查，并向內(nèi)或向外轉(zhuǎn)發(fā)符合安全要求。NetScreen 網(wǎng)絡(luò)安全解決方案 公司背景NetScreen 科技公司成立于1997年10月，總部位于美國(guó)加州的硅谷。公司的奠基者有過(guò)在Cisco和Intel等科技領(lǐng)先公司多年的工作經(jīng)驗(yàn)。1998年11月，Robert Thomas即Sun公司的執(zhí)行總裁加盟NetScreen公司，任公司總裁。公司致力于發(fā)展一種新型的與網(wǎng)絡(luò)安全有關(guān)的高科技產(chǎn)品，把多種功能集成到一起，創(chuàng)造新的業(yè)界性能紀(jì)錄。NetScreen創(chuàng)建新的體系結(jié)構(gòu)并已取得了專(zhuān)利。該項(xiàng)技術(shù)能有效消除傳統(tǒng)防火墻實(shí)現(xiàn)數(shù)據(jù)加盟時(shí)的性能瓶頸，能實(shí)現(xiàn)最高級(jí)別的IP安全（Ipsec），先進(jìn)的系統(tǒng)級(jí)的設(shè)計(jì)允許產(chǎn)品提供多種功能，并且這些功能都具有無(wú)與倫比的性能。NetScreen 科技公司已經(jīng)為業(yè)界在虛擬專(zhuān)用網(wǎng)領(lǐng)域設(shè)立了新的安全解決系統(tǒng)的標(biāo)準(zhǔn)。所有的功能全部放在有關(guān)專(zhuān)有的硬件平臺(tái)的盒子里，并且這些功能都有著無(wú)與倫比的性能。目前公司由 Sequoia Capital投資贊助。Sequoia 是一家領(lǐng)先的風(fēng)險(xiǎn)投資公司，成立于1974年，已成功地為超過(guò)350家公司提供了最初的風(fēng)險(xiǎn)投資基金，其中包括3Com 公司、Cisco 系統(tǒng)公司、Oracle 公司、Symantec 公司和Yahoo 公司等等。其中大部分公司的股票都已成功上市。NetScreen 科技公司目前有50多名員工公司在全美的主要城市都設(shè)有辦事處，而且積極拓展海外市場(chǎng)。用戶(hù)群包括HP、日立、日本電訊電話(huà)公司和美國(guó)在線(xiàn)等，覆蓋了歐美亞等十幾個(gè)國(guó)家和地區(qū)。NetScreen公司的產(chǎn)品NetScreen100獲得了KeyLabs工作組的“測(cè)試首選獎(jiǎng)”，在1998年4月舉行的數(shù)據(jù)通訊雜志的評(píng)測(cè)中。1998年11月，NetScreen公司再次榮獲“測(cè)試者選擇獎(jiǎng)”，這是數(shù)據(jù)通訊雜志的年度獎(jiǎng)。在同類(lèi)產(chǎn)品中，NetScreen是唯一員工把防火墻、虛擬專(zhuān)用網(wǎng)（VPN）、負(fù)載均衡及流量控制結(jié)合起來(lái)，且提供100M的線(xiàn)速性能的產(chǎn)品。NetScreen保證這一點(diǎn)。在1998年的8月和9月，NetScreen10 和NetScreen100 通過(guò)了ICSA (國(guó)際計(jì)算機(jī)安全協(xié)會(huì))的防火墻認(rèn)證。1998年9月，NetScreen 推出了VPN遠(yuǎn)程存取客戶(hù)端軟件。1998年10月，NetScreen 宣布推出 NetScreen1000的產(chǎn)品。這是第一個(gè)支持千兆位傳輸?shù)木哂蟹阑饓蚔PN功能的產(chǎn)品。1998年6月，NetScreen100 被HP公司選為它在防火墻方面的新的合作伙伴。HP的合作伙伴是在全球范圍年為HP提供集成解決系統(tǒng)，并在增強(qiáng)用戶(hù)的Internet上的應(yīng)用。NetScreen是HP選中的二家防火墻廠(chǎng)家的一家，而且是唯一一家基于硬件的產(chǎn)品。1998年12月日立公司宣布它將在日本推廣NetScreen 產(chǎn)品。日立公司準(zhǔn)備在未來(lái)三年內(nèi)賣(mài)出10000套NetScreen 產(chǎn)品。 產(chǎn)品系列目前，NetScreen 有 NetScreen10 用于10MB 傳輸?shù)木W(wǎng)絡(luò)。NetScreen100 用于 100MB 傳輸?shù)木W(wǎng)絡(luò)。NetScreen100 端口是自適應(yīng)的端口，也可用于目前傳輸為10MB 并計(jì)劃將來(lái)升級(jí)為100MB的網(wǎng)絡(luò)。NetScreen1000 不久將要面市，它將為那些大型企業(yè)和網(wǎng)絡(luò)主干的供應(yīng)商提供千兆網(wǎng)安全的解決方案。NetScreen5 目前正在測(cè)試階段。它的大小類(lèi)似一個(gè)CDROM。它是為小型辦公室或個(gè)人用戶(hù)而設(shè)計(jì)的。NetScreen 遠(yuǎn)程 VPN 客戶(hù)軟件可提供遠(yuǎn)程VPN訪(fǎng)問(wèn)的解決方案。 產(chǎn)品功能及特點(diǎn)NetScreen產(chǎn)品是基于安全包處理器的產(chǎn)品。全新的技術(shù)包括定制的專(zhuān)有的芯片免費(fèi)加盟和策略實(shí)現(xiàn)。高性能的多總線(xiàn)體系結(jié)構(gòu)、內(nèi)嵌的高速RISC CPU和專(zhuān)用軟件。NetScreen防火墻的專(zhuān)用ASIC芯片提供存取策略的功能。該功能以硬件方式實(shí)現(xiàn)，它比軟件防火墻有著無(wú)可比擬的速度優(yōu)勢(shì)。CPU可專(zhuān)門(mén)負(fù)責(zé)管理數(shù)據(jù)流。（策略存取執(zhí)行防火墻保護(hù)和加密解密功能）。由于做到了系統(tǒng)級(jí)的安全處理功能。NetScreen消除了基于PC平臺(tái)的防火墻的需管理多個(gè)部件所引起的性能下降的瓶頸。 NetScreen提供了多功能和高安全性能的無(wú)縫連接，NetScreen1000, NetScreen100 和 NetScreen10 分別提供了1000M、100M和10M的傳輸性能。NetScreen1000是市場(chǎng)上唯一的千兆的集防火墻、VPN和流量管理于一身的防火墻產(chǎn)品。同樣，NetScreen100是業(yè)界最快的防火墻，另外，NetScreen自動(dòng)調(diào)整端口速率，使其達(dá)到10M和100M自適應(yīng)。 因?yàn)槭腔谟布脑O(shè)計(jì)，NetScreen是唯一一家安全解決系統(tǒng)的提供商，NetScreen產(chǎn)品的高性能允許用戶(hù)享受到高速的好處，可提供多條E1線(xiàn)路，甚至更高如E3的線(xiàn)路。另外，該產(chǎn)品允許用戶(hù)在遠(yuǎn)程實(shí)現(xiàn)加密通信，并且這種VPN功能不影響性能。NetScreen提供給ISP們一個(gè)價(jià)廉物美的安全解決方案。NetScreen－10為中小企業(yè)提供他們負(fù)擔(dān)得起的全面的安全解決方案。允許他們?cè)谧约旱钠髽I(yè)網(wǎng)內(nèi)部構(gòu)筑安全體系。 性能NetScreen產(chǎn)品動(dòng)態(tài)加密保護(hù)和按優(yōu)先級(jí)實(shí)時(shí)監(jiān)控未來(lái)數(shù)據(jù)，它專(zhuān)有的獨(dú)特的系統(tǒng)設(shè)計(jì)保證了它的高性能，ASIC芯片可以獨(dú)自處理并過(guò)濾包。先進(jìn)的多總線(xiàn)結(jié)構(gòu)比基于PC的平臺(tái)上的防火墻產(chǎn)品快。同樣基于系統(tǒng)級(jí)的安全功能設(shè)計(jì)消除了傳輸?shù)钠款i。用戶(hù)認(rèn)證和策略NetScreen 支持高性能的存取為每一個(gè)當(dāng)前用戶(hù)，無(wú)論是遠(yuǎn)程還是在防火墻內(nèi)，支持創(chuàng)紀(jì)錄的并行連接用戶(hù)數(shù)。NetScreen1000創(chuàng)紀(jì)錄地實(shí)現(xiàn)了TCP/IP并發(fā)連接（超過(guò)256000）；策略數(shù)（多于5000）和并發(fā)的VPN連接數(shù)（超過(guò)10000）。NetScreen100支持每秒4370個(gè)連接，（基于32個(gè)客戶(hù)），領(lǐng)先于它的最接近的競(jìng)爭(zhēng)對(duì)手。根據(jù)獨(dú)立的測(cè)試機(jī)構(gòu)，KeyLab的測(cè)試報(bào)告，NetScreen－100支持32000個(gè)并發(fā)用戶(hù)連接，NetScreen10支持16000個(gè)并發(fā)連接。所有產(chǎn)品都支持超過(guò)5000個(gè)存取策略，并提供簡(jiǎn)單易用的過(guò)濾界面。防火墻NetScreen全功能防火墻包括了包過(guò)濾、代理服務(wù)器和動(dòng)態(tài)線(xiàn)路級(jí)過(guò)濾器。該產(chǎn)品提供了高級(jí)的包檢查和事件日志功能。該產(chǎn)品與Ipsec協(xié)議兼容。VPN NetScreen會(huì)集了VPN功能，保證了數(shù)據(jù)在傳輸過(guò)程中的加密和解密，但在數(shù)據(jù)被加、解密之前，首先要滿(mǎn)足預(yù)定的策略。不論NetScreen－100還是NetScreen－10都支持業(yè)界的加密標(biāo)準(zhǔn)。包括網(wǎng)絡(luò)密鑰交換（IKE, 或以前的ISAKMP) 通過(guò)IP，DES，Triple DES。并且還支持?jǐn)?shù)據(jù)簽名（MD5）算法。（PKI），可以自動(dòng)地管理VPN。NetScreen1000建立了新的VPN性能測(cè)試基準(zhǔn)，與其它同類(lèi)產(chǎn)品比較，NetScreen1000有著更高的吞吐量，更廣泛的安全性和更低的價(jià)位。流量管理 流量管理提供給網(wǎng)絡(luò)管理員所有必須的信息去監(jiān)控和管理網(wǎng)絡(luò)流量。網(wǎng)絡(luò)控制功能象帶寬分配。流量?jī)?yōu)先級(jí)和負(fù)載均衡，使該產(chǎn)品成為web服務(wù)器和ISP的理想產(chǎn)品。網(wǎng)絡(luò)管理 該產(chǎn)品易于安裝，而且NetScreen產(chǎn)品可以遠(yuǎn)程通過(guò)網(wǎng)絡(luò)上任何一臺(tái)具有瀏覽器的機(jī)器來(lái)管理。透明模式 NetScreen可以被用來(lái)作透明傳輸。你可以在這種方式下不分配任何IP給NetScreen網(wǎng)絡(luò)界面。它只需要一個(gè)管理界面。不用更改您現(xiàn)有的任何網(wǎng)絡(luò)配置就可以利用策略來(lái)管理網(wǎng)絡(luò)流量。除了它可以在兩臺(tái)NetScreen之間運(yùn)行VPN，即使有些產(chǎn)品可以在透明模式下工作，但它們也不能在透明模式下實(shí)現(xiàn)VPN。 特點(diǎn)．獨(dú)特的ASIC設(shè)計(jì)及已申請(qǐng)專(zhuān)利保護(hù)的系統(tǒng)體系結(jié)構(gòu)．最優(yōu)的性能價(jià)格比．無(wú)用戶(hù)數(shù)目限制．獨(dú)特的負(fù)載均衡能力及流量?jī)?yōu)先級(jí)控制能力．創(chuàng)記錄的性能，具有線(xiàn)速運(yùn)行能力．配置簡(jiǎn)單，管理方便．支持透明傳輸模式．設(shè)計(jì)緊湊，一些附加功能轉(zhuǎn)移到主機(jī)上完成．如日志功能．支持一主一備的管理模式 訪(fǎng)問(wèn)控制NetScreen 使用了狀態(tài)檢查的方法來(lái)實(shí)現(xiàn)動(dòng)態(tài)的包過(guò)濾。 相比其他的兩種方法簡(jiǎn)單的包過(guò)濾和復(fù)雜的應(yīng)用網(wǎng)關(guān)來(lái)講，它具有更快速和更安全的優(yōu)點(diǎn)。簡(jiǎn)單的包過(guò)濾只檢查IP地址和端口號(hào)。它通常由路由器來(lái)實(shí)現(xiàn)。但它只能做到拒絕端口訪(fǎng)問(wèn)或允許端口訪(fǎng)問(wèn)。它不能了解連接的狀態(tài)。一旦真正的用戶(hù)完成了TCP的連接后，就留下了可使黑客劫持端口號(hào)的漏洞。應(yīng)用網(wǎng)關(guān)通過(guò)檢查應(yīng)用層所有的包，提供了更好的安全性。但是用戶(hù)需要廠(chǎng)商提供所有應(yīng)用的代理。而且它只能用軟件實(shí)現(xiàn)，因此性能是很低的。狀態(tài)檢查的鏈路層代理，另一方面，可實(shí)現(xiàn)硬件層。防火墻保持所有的TCP會(huì)話(huà)的檢查。一旦一個(gè)會(huì)話(huà)結(jié)束，防火墻就結(jié)束這個(gè)連接。在不犧牲安全性的條件下，提供更高的性能。NetScreen 也可提供網(wǎng)絡(luò)層的 URL 過(guò)濾，并在不久的將來(lái)實(shí)現(xiàn)病毒掃描的功能。 NetScreen 產(chǎn)品也提供信息的和用戶(hù)的認(rèn)證。NetScreen是通過(guò)建立VPN通道，由MD5實(shí)現(xiàn)的ESP信息的認(rèn)證，并依從IPSec 標(biāo)準(zhǔn) 用戶(hù)的認(rèn)證可由兩種方法實(shí)現(xiàn)。用戶(hù)可在防火墻上定義多達(dá)2000 個(gè)用戶(hù)或者設(shè)置一個(gè) Radius 服務(wù)器來(lái)存儲(chǔ)用戶(hù)認(rèn)證的信息。 管理NetScreen 產(chǎn)品可連接信任端口（Trusted ）或 不信任端口（Untrusted）然后通過(guò)web 界面來(lái)管理。并提供了跨Internet來(lái)實(shí)現(xiàn)遠(yuǎn)程管理能力。不信任端口（Untrusted）可以因安全的原因而設(shè)置為取消。如果取消它，不信任端口是不可ping的。 (不信任端口（untrusted） 在 )。 NetScreen 產(chǎn)品同樣也可通過(guò)console 端口，使用命令行方式進(jìn)行管理。如果用戶(hù)喜歡使用命令行方式或希望通過(guò)遠(yuǎn)程來(lái)管理防火墻，可在console口連接一個(gè)調(diào)制解調(diào)器。Console口的訪(fǎng)問(wèn)也可因?yàn)榘踩蛟O(shè)置為取消。 NetScreen 產(chǎn)品也可以通過(guò)telnet來(lái)管理。Telnet 和 Web 管理也可通過(guò)VPN 通道加密，提供安全的管理。管理方便，可通過(guò)串口管理，使用命令行方式。也可以在圖形方式下用瀏覽器進(jìn)行管理，不分硬件平臺(tái)和操作系統(tǒng)，只要把瀏覽器打開(kāi)就可以通過(guò)用Web server 的方式來(lái)管理．配置簡(jiǎn)單尤其在配置三個(gè)端口的IP時(shí)很方便對(duì)于大型網(wǎng)絡(luò)中多個(gè)NetScreen設(shè)備，可以采用snmp的集中式管理，通過(guò)網(wǎng)絡(luò)管理軟件，如SunNetManager來(lái)進(jìn)行管理．而且NetScreen還可以提供備份的遠(yuǎn)程撥號(hào)方式的管理不僅如此，為安全起見(jiàn)，NetScreen 可以關(guān)閉遠(yuǎn)程的管理方式，而只使用本地的、安全的管理方式。 處理能力及性能指標(biāo)．具有線(xiàn)速帶寬且不受信息包大小影響(wirespeed)．在作地址轉(zhuǎn)換和添加策略時(shí)，性能不受任何影響．具有VPN功能，支持IPSEC,DES,TripleDES,．人工密鑰管理,自動(dòng)ISAKMP密鑰管理，支持MD5．線(xiàn)速帶寬的包過(guò)濾．支持32000個(gè)并發(fā)連接．5000個(gè)高級(jí)訪(fǎng)問(wèn)過(guò)濾策略．具有網(wǎng)絡(luò)地址轉(zhuǎn)換功能．支持透明模式傳輸．動(dòng)態(tài)過(guò)濾，具有硬件級(jí)代理服務(wù)器功能．有實(shí)時(shí)監(jiān)控流量和報(bào)警功能．可以實(shí)現(xiàn)日志記載功能．流量控制，可以根據(jù)不同用戶(hù)及不同策略分配帶寬．支持8級(jí)用戶(hù)優(yōu)先級(jí)設(shè)置．支持服務(wù)器負(fù)載均衡．動(dòng)態(tài)IP pool,實(shí)現(xiàn)端口地址轉(zhuǎn)換．支持多種標(biāo)準(zhǔn)協(xié)議：ARP,TCP/IP,UDP,ICMPDHCP, HTTP, RADUIS, Ipsec ,MD5, SHA1Des, Triple DES, IKE, ．可以通過(guò)瀏覽器，TFTP服務(wù)器，快速閃存來(lái)進(jìn)行軟件版本的升級(jí)及配置參數(shù)的下載，備份．支持一主一備的管理模式 產(chǎn)品適用范圍l 企業(yè)網(wǎng) (INTRANET)Netscreen100,以其創(chuàng)記錄的100Mbps運(yùn)行速度，將業(yè)界的性能標(biāo)準(zhǔn)一下子提高了十倍，創(chuàng)新的，獨(dú)特設(shè)計(jì)的軟硬件體系結(jié)構(gòu)，使Netscreen100將高速的性能，最大限度的安全性及簡(jiǎn)單易用有機(jī)地結(jié)合在一起，有效的消除了制約傳統(tǒng)軟件類(lèi)防火墻的性能瓶頸．Netscreen100是當(dāng)今市場(chǎng)上為企業(yè)網(wǎng)（INTRANET）與互連網(wǎng)(INTERNET) 及企業(yè)內(nèi)部各單獨(dú)子網(wǎng)之間提供信