正文內容

fw-isg2000防火墻方案-文庫吧

2025-10-02 09:09 本頁面

【正文】于通用的商用操作系統的安全產品相比，Juniper 產品消除了不必要的軟件層和安全漏洞。 Juniper 將安全功能提升到系統層次，更可以節省建立額外平臺帶來的開支。目前，其他采用 PC 或工作站作為平臺的軟件類方案，往往令系統性能大打折扣。正是由于采用了高性能的專用 ASIC 芯片，所以 Juniper 的安全產品的性能不僅僅在實驗室網絡環境下都能夠發揮出高水平，在實際的生產網絡環境中同樣可以保持高性能。 ISG2020 對 64byte 小包的吞吐在 2Gbps 以上， 1518Byte 的大包吞吐達 4Gbps。 Juniper 特點應用層攻擊防護為進一步提高網絡和應用的安全性， Juniper 的防火墻上均配置了深層檢測（ Deep Inspection）服務，以提供應用層級別的攻擊防護。 Juniper 的深層檢測（ DI）防火墻被設計用來對 Inter 上常見的協議（如HTTP, SMTP, IMAP, POP, FTP 和 DNS 等）的應用層保護。對這些協議，深層檢測（ DI）防火墻采用和數據接收方相同的方式來理解應用層信息。為了精確地理解應用層信息，深層檢測（ DI）防火墻實施包碎片重組，次序重組，去除無用信息和信息正常化處理。一旦深層檢測（ DI）防火墻按這些方法重組出了網絡流量，它就用協議異常檢測和服務域攻擊特征匹配的方法來對流量里的攻擊進行防護。作為 Juniper 最新一代防火墻， ISG2020 還提供可擴展的內部插槽，可以插13 塊硬件安全模塊（需要 NSISG2020IKT 和 NSISGSEC），提供高性能的完整的入侵檢測和防護（ IPS）功能。采用硬件模塊實施應用層入侵檢測和防護時性能可以達到 2Gbps，并且攻擊特征庫達 3600個以上。 Juniper網絡公司 ISG2020中的應用層防護模塊先進的攻擊防護功能具有以下特點： ? 多種檢測方法，包括復合簽名、狀態簽名、協議異常以及后門檢測。 ? 開放式簽名格式允許管理員查看攻擊字符串如何匹配攻擊簽名，并根據需求對簽名進行編輯。這種理解和定制級別允許管理員定制攻擊簽名，以滿足獨特的攻擊要求。 ? 全面的簽名定制通過提供更高的控制能力，以適應簽名的特定要求，從而增強檢測獨特攻擊的能力。 o 復合簽名：能夠將狀態簽名和協議異常結合到單個攻擊對象中，以檢測單個會話中的復雜攻擊，從而提高檢測速度。 o 400 多個定制參數和 Perl 式的常規表達式：能夠定制簽名或創建完全定制的簽名。 Juniper 特點網絡層攻擊防護 Juniper 的防火墻上均配置了防 30 多種網絡層攻擊的功能，尤其是 ISG2020防火墻，具備硬件防攻擊的能力，在抗攻擊的同時不影響防火墻的性能。以下是兩種防御機制的介紹： ? SYN Attack（ SYN 攻擊）：當網絡中充滿了會發出無法完成的連接請求的SYN 封包，以至于網絡無法再處理合法的連接請求，從而導致拒絕服務(DoS) 時，就發生了 SYN 泛濫攻擊。防火墻可以采用 Syn Proxy 和 Syn Cookie 兩種機制進行防御，其中 Syn Proxy 機制里是先對數據包進行策略匹配，匹配通過的 syn 包如果每秒超過了閥值（閥值可以基于目的地址和端口、或目的地址、或源地址進行設置），則開啟防御機制，新的 syn包就由防火墻做應答 syn/ack，并放入隊列，等待應答 ack 是否超時，超時則丟棄； Syn Cookie 機制則是完全無連接狀態的，每秒的 syn 包超過閥值就開啟防御機制，防火墻做 syn 的應答 syn/ack，并在 syn/ack 應答里嵌入加密的 cookie，如果接收到的 ack 里有該 cookie，則是正常連接。 ? Limit session（限制會話）： NetScreen 設備可限制由單個 IP 地址 (源或目的 )建立的會話數量。例如，如果從同一客戶端發送過多的請求，就能耗盡 Web 服務器上的會話資源。此選項定義了每秒鐘 NetScreen 設備可以為單個 IP 地址建立的最大會話數量。（缺省閥值為每個 IP 地址每秒128 個會話。）對源地址進行回話數的限制可以避免感染 Nimda 等病毒的服務器發出太多的回話請求避免防火墻的回話表被填滿。對目的地址進行回話數的限制則可以防止 DDoS 的攻擊，使得目標服務器得到太多的虛假的連接請求。防火墻實施網絡安全隔離與訪問控制 XX 網 DMZ 區出口配置 2 臺相同配置的 ISG2020 的防火墻（ 2 臺防火墻間有HA 連接）。如果配置為路由模式， Juniper 的防火墻可實現主 /主方式的負載分擔（如果流量很大，峰值超過單臺防火墻的處理能力）或主備方式（如果流量不大，峰值不超過單臺防火墻的處理能力）；如果配置為透明模式，則可實現主備方式。根據防火墻所處位置、實際流量、實施管理方便性的考慮，建議對這兩臺防火墻采用路由模式下的主備方式。 ISG2020 防火墻

點擊復制文檔內容

法律信息相關推薦

fw-isg2000防火墻方案-文庫吧

防火墻應用指導手冊-資料下載頁

防火墻ppt課件-資料下載頁

山石防火墻命令-資料下載頁

juniper防火墻維護手冊-資料下載頁

6防火墻購銷合同-資料下載頁

fortigate防火墻策略-資料下載頁

內聯網防火墻安全系統方案-資料下載頁

我國某單位防火墻解決方案-資料下載頁

法律防火墻總裁沙龍-資料下載頁

juniper防火墻標準方案建議書-資料下載頁

網神防火墻secos防火墻新版本v5210特性介紹-資料下載頁

成長型企業防火墻應用方案-資料下載頁

網神防火墻secos防火墻新版本v5210特性介紹-資料下載頁

juniper防火墻產品培訓-資料下載頁

飛塔防火墻策略-資料下載頁

fw-isg2000防火墻方案(更新版)

fw-isg2000防火墻方案(專業版)

fw-isg2000防火墻方案(留存版)

fw-isg2000防火墻方案-文庫吧