fw-isg2000防火墻方案(專業(yè)版)

　　

【正文】 而且查錯較為簡單。通過集中的日志收集、存儲、分析、報表，可以提供專業(yè)的日志處理功能，并根據(jù)用戶的喜好生成靈活的報告方式以及趨勢分析。命令行方式，可以通過 Console 接口、 Tel（ 23）或安全的 SCS（ 22）方式對設備進行管理、排查故障等。 除了定義上述這些主要參數(shù)以外，在策略中還可以定義用戶的認證、在策略里定義是否要做地址翻譯、帶寬管理等功能。防火墻可以采用 Syn Proxy 和 Syn Cookie 兩種機制進行防御，其中 Syn Proxy 機制里是先對數(shù)據(jù)包進行策略匹配，匹配通過的 syn 包如果每秒超過了閥值（閥值可以基于目的地址和端口、或目的地址、或源地址進行設置），則開啟防御機制，新的 syn包就由防火墻做應答 syn/ack，并放入隊列，等待應答 ack 是否超時，超時則丟棄； Syn Cookie 機制則是完全無連接狀態(tài)的，每秒的 syn 包超過閥值就開啟防御機制，防火墻做 syn 的應答 syn/ack，并在 syn/ack 應答里嵌入加密的 cookie，如果接收到的 ack 里有該 cookie，則是正常連接。 ISG2020 對 64byte 小包的吞吐在 2Gbps 以上， 1518Byte 的大包吞吐達 4Gbps。 防火墻實現(xiàn)方式分析 防火墻實現(xiàn)方式有包過濾、應用代理和狀態(tài)檢測三種。第 一 章 方案概述 防火墻技術比較 通過對目前網(wǎng)絡安全系統(tǒng)應用現(xiàn)狀的分析，可以看出，用戶需要的是性能穩(wěn)定、運行高速的防火墻產(chǎn)品，以保證應用的業(yè)務連續(xù)性。 包過濾 檢查每個在網(wǎng)絡間被傳送的 IP 數(shù)據(jù) 包中的內容，并根據(jù)它們的地址及指定的應用服務來決定接受或拒絕這個數(shù)據(jù)包。 Juniper 特點 應用層攻擊防護 為進一步提高 網(wǎng)絡和應用的 安全性， Juniper 的 防火墻上均配置了深層檢測（ Deep Inspection）服務，以提供應用層級別的攻擊防護。 ? Limit session（限制會話）： NetScreen 設備可限制由單個 IP 地址 (源或目的 )建立的會話數(shù)量。通過這些主要的安全元素和附加元素的控制，可以讓系統(tǒng)管理員對進出防火墻的數(shù)據(jù)流量進行嚴格的訪問控制，達到保護內網(wǎng)系統(tǒng)資源安全的目的 。命令行方式可以完成所有的配置、檢查、排錯等工作。 NSM 提供對設備的集中、實時的監(jiān)控，以及集中的設備維護如升級等。 實施主 /備方式的示意圖如下： 通過使用“ NetScreen 冗余協(xié)議 (NSRP)”創(chuàng)建一 個虛擬安全設備 (VSD) 組0，具有自己的虛擬安全接口 (VSI)。鏈路監(jiān)測 應用故障 IP 路徑檢測 交換機故障 端口故障 鏈路監(jiān)測 設備故障 鏈路監(jiān)測 應用故障 IP 路徑檢測 管理員控制的設備維護和 down機 IP 路徑檢測 多設備故障 NetScreen 和周圍設備在不同路徑故障 冗余端口 環(huán)境故障 物理接線故障 鏈路監(jiān)測 電路故障 心跳信號 , 多電源 , 鏈路監(jiān)測 , IP 路徑檢測 此外，由于實施了 NetScreen 的冗余協(xié)議 NSRP，包括 VPN、地址翻譯等多種應用 的實時信息都得到同步，即對 VPN連接、地址翻譯連接的切換也是在小于 1 秒完成，所以在實施時具備很強的靈活性，適應了各種網(wǎng)絡應用的情況。 NSM 的報表分析功能使它更加有價值。優(yōu)點是符合大多數(shù)人的思維習慣，管理靈活。因此，通過對網(wǎng)絡服務的定義，以及 IP 地址的定義，使 ISG2020 防火墻的策略細致程度大大加強，安全性也提高了。以下是兩種防御機制的介紹： ? SYN Attack（ SYN 攻擊）：當網(wǎng)絡中充滿了會發(fā)出無法完成的連接請求的SYN 封包，以至于網(wǎng)絡無 法再處理合法的連接請求，從而導致拒絕服務(DoS) 時，就發(fā)生了 SYN 泛濫攻擊。 正是由于采用了高性能的專用 ASIC 芯片，所以 Juniper 的安全產(chǎn)品的性能不僅僅在實驗室網(wǎng)絡環(huán)境下都能夠發(fā)揮出高水平，在實際的生產(chǎn)網(wǎng)絡環(huán)境中同樣可以保持高性能。 X86 架構 x86 架構的產(chǎn)品已經(jīng)發(fā)展多年，但其性能發(fā)展卻受到體系結構的制約，作為通用的計算平臺， x86 的結構層次較多，不易優(yōu)化，且往往會受到 PCI 總線的帶寬限制。 我們覺得，在進行防火墻選擇時需要考慮以下幾個方面 ? 是否選擇硬件或軟件防火墻； ? 是否選擇包過濾、代理或狀態(tài)防火墻； 防火墻平臺分析 目前的防火墻從使用平臺上有硬件防火墻、軟件防火墻兩種。 應用代理 在網(wǎng)絡應用層上建立協(xié)議過濾和轉發(fā)功能。 Juniper 的深層檢測（ DI）防火墻被設計用來對 Inter 上 常見的協(xié)議（如HTTP, SMTP, IMAP, POP, FTP 和 DNS 等）的應用層保護。例如，如果從同一客戶端發(fā)送過多的請求，就能耗盡 Web 服務器上的會話資源。 如果采用擴展的應用層防護模塊，則在實施應用層