【正文】 的接口處將內(nèi)部網(wǎng)發(fā)送的數(shù)據(jù) (可以是 ISO 七層模型中的數(shù)據(jù)鏈路層或網(wǎng)絡(luò)層數(shù)據(jù) )作為負載封裝在一種可以在公用網(wǎng)上傳輸?shù)臄?shù)據(jù)格式中，在目的內(nèi)部網(wǎng)與公用網(wǎng)的接口處將公用網(wǎng)的數(shù)據(jù)解封裝后，取出負載即源 13 內(nèi)網(wǎng)發(fā)送的數(shù)據(jù)向目的內(nèi)網(wǎng)傳輸。 由于封裝與解封裝只在兩個接口處由設(shè)備按照隧道協(xié)議配置進行，內(nèi)網(wǎng)中的其他設(shè)備將不會覺察到這一過程，對與內(nèi)部網(wǎng)用 戶來說這一切都是透明的。但提供了網(wǎng)絡(luò)數(shù)據(jù)在不安全公網(wǎng)中安全傳輸?shù)哪芰Α? VPN功能 VPN 網(wǎng)關(guān)作為網(wǎng)絡(luò)邊界設(shè)備，除了完成遠端網(wǎng)絡(luò)或移動用戶的遠程接入功能外，對用戶網(wǎng)絡(luò)邊界安全也是至關(guān)重要的。網(wǎng)絡(luò)衛(wèi)士 IPSec/SSL VPN 多合一網(wǎng)關(guān)構(gòu)建在天融信強大的 TOS 系統(tǒng)平臺基礎(chǔ)上，集成了天融信業(yè)內(nèi)領(lǐng)先的防火墻功能模塊，能夠為用戶的 VPN 網(wǎng)絡(luò)提供高等級的邊界安全防護。 網(wǎng)絡(luò)衛(wèi)士 VPN 多合一網(wǎng)關(guān)支持完善的基于內(nèi)容檢測的網(wǎng)絡(luò)訪問控制。 內(nèi)容檢測技術(shù)發(fā)展至今，大致經(jīng)歷了三個階段，從早期的狀態(tài)檢測（ Status Inspection）到后來的深度包檢測（ Deep Packet Inspection），現(xiàn)在已經(jīng)發(fā)展到了最新的完全內(nèi)容檢測（ CCI， Complete Content Inspection）。狀態(tài)檢測只檢查數(shù)據(jù)包的包頭，深度包檢測可對數(shù)據(jù)包內(nèi)容進行檢查，而 CCI 則可實時將網(wǎng)絡(luò)層數(shù)據(jù)還原為完整的應(yīng)用層對象（如文件、網(wǎng)頁、郵件等），并對這些完整內(nèi)容進行全面檢查，實現(xiàn)徹底的內(nèi)容防護。 網(wǎng)絡(luò)衛(wèi)士 VPN 多合一網(wǎng)關(guān) 在 MAC 層提供基于 MAC 地址的過濾控制能力，同時支持對各種二層協(xié)議的過濾功能；在網(wǎng)絡(luò)層和傳輸層提供基于狀 態(tài)檢測的分組過濾，可以根據(jù)網(wǎng)絡(luò)地址、網(wǎng)絡(luò)協(xié)議以及 TCP 、UDP 端口進行過濾，并進行完整的協(xié)議狀態(tài)分析；在應(yīng)用層通過深度內(nèi)容檢測機制，可以對高層應(yīng)用協(xié)議命令、訪問路徑、內(nèi)容、訪問的文件資源、關(guān)鍵字、移動代碼等實現(xiàn)內(nèi)容安全控制； 從而 形成了立體的、全面的訪問控制機制，實現(xiàn)了全方位的安全控制。 網(wǎng)絡(luò)衛(wèi)士 VPN 多合一網(wǎng)關(guān)提供了強大的網(wǎng)絡(luò)應(yīng)用控制功能。用戶可以輕松的針對一些典型網(wǎng)絡(luò)應(yīng)用，如 BT、 MSN、 、 Edonkey、 Skype 等實行靈活的訪問控制策略，如禁止、限時、乃至流量控制。網(wǎng)絡(luò)衛(wèi)士防火墻還提供了定制功 能，可以對用戶所關(guān)心的網(wǎng)絡(luò)應(yīng)用進行全面控制。 網(wǎng)絡(luò)衛(wèi)士 VPN 多合一網(wǎng)關(guān) 還 擁有強大的地址轉(zhuǎn)換能力。同時支持正向、反向地址轉(zhuǎn)換，能為用戶提供完整的地址轉(zhuǎn)換解決方案。支持依據(jù)源或目的地址指定轉(zhuǎn)換地址的靜態(tài) NAT 方式和從地址緩沖池中隨 14 機選取轉(zhuǎn)換地址的動態(tài) NAT 方式，可以滿足絕大多數(shù)網(wǎng)絡(luò)環(huán)境的需求。 網(wǎng)絡(luò)衛(wèi)士 VPN 多合一網(wǎng)關(guān)集成了天融信高級的 Intelligent Guard 技術(shù)提供了強大的入侵防護功能，能抵御常見的各種攻擊，包括 Syn Flood、 Smurf、 Targa Syn Attack、 ICMP flood、 Ping of death、 Ping Sweep、Land attack、 Tear drop attack、 IP address sweep option、 Filter IP source route option、 Syn fragments、 No flags in TCP、 ICMP 碎片、大包 ICMP 攻擊、不明協(xié)議攻擊、 IP 欺騙、 IP security options、 IP source route、 IP record route 、 IP bad options、 IP 碎片、端口掃描等幾十種攻擊。 防病毒網(wǎng)關(guān) 系統(tǒng) 防病毒軟件 完善的企業(yè)網(wǎng)絡(luò)防毒解決方案，除了防毒軟件的強大功能之外，尚有下列幾項重要的問題，需要非常嚴謹?shù)目紤] : 1: 防毒軟件每臺機器都要安裝，很麻煩，費力費時！ 2: 防毒軟件裝完，防毒工作才真正開始，面對上千臺機器的病毒定義碼更新，防毒軟件要持續(xù)同步、實時、有效更新，這些由誰來做？需要多少專人管理。 3: 一般行政人員或不太了解計算機人員是否可以輕松使用，簡捷更新和升級。 4: 在單機上功能強大的防毒軟件，若無法在網(wǎng)絡(luò)上有效地管理則可能弊多于利，因為不是每個使用者都知 道如何對防病毒軟件的一些功能選項進行設(shè)置。是否可以透過某種的輕松方式一次性設(shè)定，也就是說，能否使軟件的安裝、防病毒策略的定義、實施以及病毒定義碼和掃描引擎的更新和升級變得非常簡單，甚至完全自動化？ 5: 標(biāo)準預(yù)設(shè)的防毒選項設(shè)置不一定適用所有的工作站。 6: 很難分析統(tǒng)計病毒攻擊事件的次數(shù)、原因以及來源。 15 7: 用戶都違反 MIS Policy，如：用戶隨意更改防病毒策略和選項設(shè)置或忘記更新最新的病毒定義碼和掃描引擎，甚至卸載防病毒軟件，這樣即使裝了防毒軟件， MIS 仍然要到處救火，甚至達不到防病毒的效果。 8: 移動用戶太多，無法有效、及時的掌握和把最新的病毒定義碼送到移動用戶手中。 9：是否能夠很方便地在多種平臺下進行安裝、維護升級等工作。 10：是否可以對網(wǎng)絡(luò)進行全方位、多層次地預(yù)防和過濾病毒。 11：針對移動傳輸介質(zhì)中所攜帶的病毒進行防護及查殺，如光盤、 U 盤、移動硬盤等。 過濾網(wǎng)關(guān)系統(tǒng) 建議貴單位采用網(wǎng)關(guān)防病毒解決方案 。 病毒過濾網(wǎng)關(guān) 被設(shè)計成安裝在網(wǎng)絡(luò)的邊緣，在病毒侵入網(wǎng)絡(luò)之前實時的阻止它們，并且沒有傳統(tǒng)解決方案通常都有的延時。 病毒 過濾網(wǎng)關(guān)具有真正的即插即用能力，非常易于管理和安裝。并且還可以和防 火墻更加緊密地集成。 從而實現(xiàn)網(wǎng)關(guān)級的防病毒，防止互聯(lián)網(wǎng)病毒感染外網(wǎng)用戶主機。 入侵防御 系統(tǒng) 入侵防御的作用 對于貴單位網(wǎng)絡(luò)系統(tǒng)安全體系而言，必須建立一個 實時、主動的網(wǎng)絡(luò)架構(gòu)防護能力，對 專網(wǎng)業(yè)務(wù)服務(wù)器 進行實時防護，具有流量管理功能，對可能出現(xiàn)的異常流量，提供抗拒絕服務(wù)攻擊功能。 管理和降低網(wǎng)絡(luò)安全風(fēng)險，保證網(wǎng)絡(luò)安全防護能力能夠不斷增強，最終能夠安全地保護業(yè)務(wù)網(wǎng)絡(luò)系統(tǒng)。 入侵防御的功能 強大的抗 DOS/DDOS 攻擊能力； 準確的蠕蟲、后門、木馬、漏洞、間諜軟件、 Web 攻擊防 御能力 16 繁多的垃圾應(yīng)用、流行 P2P/IM、熱門游戲的過濾控制能力； 智能的 VIDP 功能：針對不同的網(wǎng)絡(luò)環(huán)境和安全需求，制定不同的防御規(guī)則和響應(yīng)方式，每個虛擬系統(tǒng)分別執(zhí)行不同的規(guī)則集，實現(xiàn)面向不同對象，執(zhí)行不同策略的智能化入侵防御 優(yōu)異的產(chǎn)品性能：可提供 64 字節(jié)小包線速性能，可支持最高達 4GB 的網(wǎng)絡(luò)環(huán)境 人性化的 UI 管理系統(tǒng)：提供快捷方便的本地管理、分布式管理功能；支持上百臺設(shè)備的集中管理 專業(yè)的芯片級硬件高可靠性保證體系 —— ByPass、 HA，保證用戶業(yè)務(wù)的不間斷正常運行 豐富的報表分析統(tǒng)計功能：提供多種攻 擊檢測、阻斷、報警等信息的報表統(tǒng)計功能。 網(wǎng)站防護系統(tǒng) 為了防止貴單位的門戶網(wǎng)站受到來自于互聯(lián)網(wǎng)惡意的篡改，保證網(wǎng)站服務(wù)器安全、穩(wěn)定的允許，建議在外網(wǎng)區(qū)域的門戶網(wǎng)站處部署 WEB 防火墻來重點保護服務(wù)器。 內(nèi)網(wǎng)綜合管理平臺建設(shè) 為了提高對單位內(nèi)部計算機的可控性，防止移動存儲介質(zhì)在網(wǎng)絡(luò)中文件的拷貝導(dǎo)致的病毒傳播現(xiàn)象，建議在貴單位網(wǎng)絡(luò)中部署內(nèi)網(wǎng)綜合管理平臺。建議使用 GMSMP 主機監(jiān)控與審計 管理系統(tǒng) 。 GMSMP 主機監(jiān)控與審計 管理系統(tǒng)的功能 安 全 控 制 管 理 網(wǎng)絡(luò)訪問控制 設(shè)置計算機運行 或拒絕訪問的 IP 地址段或通訊端口段 網(wǎng)頁訪問控制 使用關(guān)鍵字設(shè)置計算機允許或拒絕瀏覽的網(wǎng)頁 準接入控制 對外來的未經(jīng)授權(quán)計算機進行隔離管理 移動設(shè)備使用控制 1. 對需使用的普通移動設(shè)備進行安全級別的注冊認證 2. 未注冊的移動設(shè)備未經(jīng)授權(quán)無法在內(nèi)部使用 3. 對需使用的安全移動 U 盤進行注冊認證 端口設(shè)備管理 對常用的通訊設(shè)備、端口進行控制管理 共享權(quán)限管理 對網(wǎng)絡(luò)共享文件夾及本地打印機共享進行管理控制 終端遠程控制 即時遠程控制計算機鎖定、注銷、重啟、關(guān)機 在線