juniper防火墻標準方案建議書-wenkub

　

【正文】 和加密算法，這方面運算的速度是軟件類方案不能相比的；同時它 還可以省出中央處理器資源用于管理數據流。 ? SHA1 和 MD5 認證。 Juniper 的網頁過濾功能（采用 Surfcontrl 技術）主要集成在 Juniper 的中低端防火墻（包括 HSC、 NetScreen5GT、 NS2 NS50、以及SSG 系列）里，而對中高端的防火墻而言，可以采用用防火墻重定向到 Surfcontrol 或Websense 服務器的方式。當然用戶也可以自己定義垃圾郵件的白名單和黑名單，手工地對垃圾郵件進行屏蔽。 而對 其他 高端產品，則用重定向到防病毒網關服務器上 的方式實現網關防毒 。 防病毒 防病毒 也 是一項 內容保護 不可缺少的部分。 Juniper 的特征匹配減少了系統資源的使用，將主要精力集中在相關惡意流量部分，有效地實施了對已知攻擊的保護。 Juniper 深層檢測（ DI）防火墻實施應用分析，理解信息內容，并將流量信息的不同部分對應到相應的服務 控制字段 上。 協議符合檢查使用戶獲得攻擊出現日第 0 天防護 因為 Juniper 深層檢測（ DI）防火墻可以對流量進行協議符合檢查，它也就具備了無須了解某一特別攻擊，就可以對一系列的攻擊如內存溢出攻擊等的防護能力。深層檢測（ DI）防火墻將按照細化的協議控制來對相關的服務域進行識別。 一旦 Juniper 的深層檢測（ DI）防火墻對應用層數據進行重組后，它就實施針對該應用的分析，決定該流量的目的是惡意 的還是非惡意的。為了精確地理解應用層信網絡安全工程技術方案建議書 第 5 頁 共 36 頁 息，深層檢測（ DI）防火墻實施包碎片重組，次 序重組，去除無用信息和信息正常化處理。 Juniper 的防火墻 針對流量的應用層的 分析和特征匹配進行了一系列的優化， 降低了對數據吞吐能力的影響。 網絡安全工程技術方案建議書 第 4 頁 共 36 頁 內容安全 功能 Juniper 提供多樣的內容安全功能， 包括深層檢測功能、防病毒、垃圾郵件過濾、和網頁過濾 4 種 ， 并且可以提供試用的臨時許可 license，可以讓用戶在一定時間內下載特征庫及使用該內容安全 更新 。 Juniper 防火墻采用 ScreenOS 軟件 ， 是 經過 ICSA 認證的實時檢測防火墻。 Juniper 整合式安全設備具有 ASIC 芯片 硬件加速的 安全策略、 IPSec 加密演算性能、低延時，可以無縫地部署到任何網絡。但為了實際生產以及信息交換的需要，采用完全隔離手段保障網絡安全很少被采用。 Jun iper 防火墻標準 方案建議書 美國 Juniper 網絡公司 網絡安全工程技術方案建議書 第 2 頁 共 36 頁 目錄 第一章 Juniper 的安全理念 ...........................................................................................................3 基本防火墻功能 ........................................................................................................3 內容安全功能 ............................................................................................................4 虛擬專網 (VPN)功能 ..................................................................................................7 流量管理功能 ............................................................................................................7 強大的 ASIC 的硬件保障 ...........................................................................................8 設備的可靠性和安全性 ..............................................................................................8 完備簡易的管理 ........................................................................................................9 第二章 項目概述 ...........................................................................................................................9 第三章 總體方案建議 ....................................................................................................................9 防火墻 A 和防火墻 B 的雙機熱備、均衡負載實現方案 .................................................... 10 防火墻 A 和防火墻 B 的 VLAN（ 的 trunk 協議）實現方案 ................................... 15 防火墻 A 和防火墻 B 的動態路由支持程度的實現方案 .................................................... 15 防火墻的 VPN 實現方案 ................................................................................................. 15 防火墻的安全控制實現方案 ............................................................................................ 16 防火墻的網絡地址轉換實現方案 ..................................................................................... 24 防火墻的應用代理實現方案 ............................................................................................ 27 防火墻用戶認證的實現方案 ............................................................................................ 27 防火墻對帶寬管理實現方案 .......................................................................................... 29 防火墻日志管理、管理特性以及集中管理實現方案 ....................................................... 30 網絡安全工程技術方案建議書 第 3 頁 共 36 頁 第一章 Juniper 的 安全理念 網絡安全可以分為數據安全和服務安全兩個層次。在有了對外的聯系之后，網絡安全的目的就是使不良用心的人竊聽數據、破壞服務的成本提高到他們不能承受的程度。設備安裝和操控也是非常容易，可以通過內置的 WebUI、命令行界面或中央管理方案進行 統一管理 。 Juniper 的防火墻系列 采用安全優化的硬件 （包括 ASIC 芯片和主板 、操作系統和防火墻 ） ，比拼湊而成的軟件類方案提供更高級的安全水平。過了試用期后，用戶 必須定購 年度 服務來獲得最新的 入侵防護 攻擊庫 、病毒庫、并得到垃圾郵件和網頁過濾的定時更新 。 為了減少對防火墻性能的影響， Juniper 為深層檢測提供 4 種特征包，讓 IT 管理員根據需要保護的資源而靈活選擇下載 、更新和 采用，包括： 基礎版（ Base）特征包：針對中小型企業的全面防護（包括保護 C/S 應用和防蠕蟲）； 服務器（ Server）特征包：針對服務器群進行保護（包括保護 IIS、 Exchange和 Oracle 服務器等）； 客戶端（ Client）特征包：針對分布式企業的中小型分支機構客戶端設備進行保 護（如手提電腦等）； 常見蠕蟲保護（ Worm）特征包：針對 大企業的分支機構提供全面的常見的蠕蟲保護。一旦深層檢測（ DI）防火墻按這些方法重組出了網絡流量，它就用協議異常檢測和服務 控制字段里的上下文的 攻擊特征匹配的方法來對流量里的攻擊進行防護。首先，它根據協議的定義進行分析，如果數據偏離了協議的定義，就代表了協議異常。 服務控制字段 是與特別功能相關的流量中的部分，如 地址、 URL、文件名等。這意味著這種解決方法可以在對新攻擊出現的第 0 天即具備防護能力。 服務 控制字段是依相應協議事先定義的包頭值，代表了相應的目的，使用了固定的流量的相對位置。 網絡安全工程技術方案建議書 第 6 頁 共 36 頁 Juniper 的防火墻目前都可以集成入侵防護的功能，并且入侵防護的特征庫可以更新升級， 目前 攻擊特征 已超過 800 種 。深層檢測（ DI）是對應用層 控制 字段 信息進行攻擊特征匹配 （一般是蠕蟲病毒或緩沖區溢出等攻擊），而 防病毒是針對文件里的 攜帶的攻擊（包括間諜軟件、廣告軟件、網絡釣魚軟件和鍵盤側錄軟件） 進行匹配的技術，而文件的傳遞一般依靠 web、 FTP 的下載和上傳，以及 附件等 。 垃圾郵件過濾 垃圾郵件過濾功能也是內容安全的一個重要的組成部分。 網絡安全工程技術方案建議書 第 7 頁 共 36 頁 網頁過濾 對于放在網絡邊界為用戶提供 Inter 訪問的邊界防火墻而言，還必須對企業員工對Inter 訪問的網站進行控制。 虛擬專 網 (VPN)功能 Juniper 防火墻 中整 合了一個全功能 VPN 解決方案，它們支持站點到站點 VPN 及遠程接入 VPN 應用。 ? 同時支持網狀式 (mesh)及集中星型 (hub and spoke)的 VPN 網絡，可按 VPN 部署的需求，配置用其一或整合兩種網絡拓撲。這種安全加密的 ASIC 更可與 Juniper 的ScreenOS 操作系統和系統軟件緊密地集成起來，與其他基于通用的商用操作系統的安全產品相比， Juniper 產品消除了不必要的軟件層和安全漏洞。 可以對一系列的網絡層的 DDoS 攻擊 （包括生成對 TCP Syn 泛洪攻擊的cookie） 進行防護，直接在 ASIC 芯片上對數據包進行丟棄 ，避免了對系統的影響 。由于 Juniper 設備沒有其它品牌對硬盤驅動器和移動部件所存在的穩定型問題，所以它是對在線時間要求極高的用戶的最佳方案。由于 VPN 功能是內置的，因此可以對 所有管理加密，從而實現真正的安全遠程管理。 ? 電子郵件告警、 SNMP traps 和告警。如果在NSM 服務器的基礎上安裝了 SRS 的日志報表服務器后，用戶也可以用 SRS 來生成歷史報表。 防火墻 A和防火墻 B的雙機熱備、均衡負載實現方案 Juniper 的中高端 防火墻對 雙機熱備、負載 分擔 的實現有很好的支持， 實 施的方式是通過 Juniper 的冗余協議 NSRP，類似于 VRRP（ HSRP） 但 在其基礎上有很大的改進 ，現詳細介紹如下： Juniper 為了實現更安全、更有效的防火墻冗余體系，開發了專有的防火墻 HA 工作的協議 NSRP， NSRP 協議借鑒了 VRRP 協議，而且彌補了 VRRP 協議的不足，是針對安全設備的 HA 協議。 ④ 無論活動會話和 VPN 隧道的數量有多少，故障檢測和切換到備用系統可以在低于一秒時間內完成。通過使用“ NetScreen 冗余協議 (NSRP)”創建兩個虛擬安全設備 (VSD) 組，每個組都具有自己的虛擬安全接口 (VSI)，即可實現此目的。由于設備冗余，因此 不存在單一故障點。設備 A 出現故障時，設備 B 變成 VSD 組 1 的主設備，同時繼續作為 VSD 組 2 的主設備，并處理 100% 的流量。 即雙主動的配置方法的最大連接數保持為 原單機時的數量 ，該數量對一個大型網絡也已足夠了，但是 數據 吞吐量則增大 一倍 。如果一級端口失去網絡連接，則二級端口承擔連接的任務