Hillstone网络地址转换技术解决方案白皮书

格式：pdf
大小：1.26 MB
文档页数：7

下载文档原格式

/ 7

Hillstone 入侵防御白皮书

Hillstone山石网科入侵防御白皮书Hillstone山石网科入侵防御白皮书1. 概述互联网的发展趋势表明：1. 网络攻击正逐渐从简单的网络层攻击向应用层转变，单纯的防火墙功能已经不能满足当下应用安全的需求。

旁路的入侵检测方式又不能满足对攻击源实时屏蔽的需求，与防火墙联动的入侵检测一直没有标准的联动协议来支撑。

入侵检测解决方案正在被入侵防御取代。

2. 安全漏洞、安全隐患的发生似乎是不可避免的，互联网的应用和业务却正在爆炸式的增长。

应用类型在增加，应用特征却更复杂，比如现在有很多应用都是基于HTTP等基础协议，让传统基于端口来识别应用的入侵防御解决方案已经不能适用。

如何识别出这些新的应用，从而去检测防御针对这些应用的攻击，是新一代入侵检测网关需要解决的问题。

3. 网络带宽在增加，应用类型在增加，应用协议在复杂化，攻击类型在增加，攻击方式在隐蔽化。

传统入侵防御设备受限于自身处理能力，已经不能胜任这样的趋势，如何去进行深度应用分析、深度攻击原理分析，也许所有的厂家都知道简单的攻击特征匹配已经不能满足时下用户对入侵防御漏判误判的要求，却受限与设备自身的处理能力，从而误判漏判的行为时有发生。

Hillstone山石网科的入侵防御是基于多核plus® G2架构、全并行的流检测引擎和基于攻击原理的入侵防御检测引擎。

基于多核plus®G2的安全架提供了高性能的入侵防御解决发难，并为入侵防御需要的深度应用分析和攻击原理分析提供了强劲的处理能力。

全并行流检测引擎则使用较少的系统资源，并且在并行扫描会话和开启其他多项应用处理功能提供了高可用性。

基于攻击原理的入侵防御有助于提高攻击检测率和降低攻击误判率。

Hillstone山石网科入侵防御解决方案具有以下特性：●基于深度应用识别，积极防范复杂应用攻击●基于多核Plus® G2构架满足深度应用分析、入侵防御功能的高CPU和高内存资源需求●基于深度应用原理、攻击原理的入侵防御解决方案●支持HTTP、FTP、SMTP、IMAP、POP3、TELNET、TCP、UDP、DNS、RPC、Hillstone山石网科入侵防御白皮书FINGER、MSSQL、ORACLE、NNTP、DHCP、LDAP、VOIP、NETBOIS、TFTP等多种常见的应用和协议的攻击防护。

Hillstone Networks StoneOS 命令行用户手册 VPN 分册说明书

Hillstone Networks Version5.5R7Copyright2019Hillstone Networks.All rights reserved.Information in this document is subject to change without notice.The software described in this document is furnished under a license agreement or nondisclosure agreement.The software may be used or copied only in accordance with the terms of those agreements.No part of this publication may be reproduced,stored in a retrieval system,or transmitted in any form or any means electronic or mechanical,including photocopying and recording for any purpose other than the purchaser's personal use without the written permission of Hillstone Networks.Hillstone Networks联系信息公司总部（北京总部）：地址：北京市海淀区宝盛南路1号院20号楼5层邮编：100192联系我们：/about/contact_Hillstone.html关于本手册本手册介绍Hillstone Networks公司的产品系统的使用方法。

获得更多的文档资料，请访问：https://针对本文档的反馈，请发送邮件到：***********************Hillstone Networkshttps://TWNO:TW-CUG-UNI-VPN-5.5R7-CN-V1.0-11/12/2020目录目录1关于本手册1手册约定1内容约定1CLI约定1命令行接口（CLI）2CLI介绍2命令模式和提示符2执行模式2全局配置模式2子模块配置模式3CLI命令模式切换3命令行错误信息提示3命令行的输入4命令行的缩写形式4自动列出命令关键字4自动补齐命令关键字4命令行的编辑4查看历史命令4快捷键5过滤CLI输出信息5分页显示CLI输出信息6设置终端属性7设置连接超时时间7重定向输出7诊断命令8 VPN10 IPSec协议11 IPSec协议介绍11安全联盟（Security Association）11 SA建立方式12第一阶段SA12第二阶段SA13验证算法13加密算法14压缩算法14相关资料15 IPSec VPN的应用15配置IPSec VPN功能15提升IPSec VPN解密性能16手工密钥VPN16创建手工密钥VPN16指定IPSec协议的操作模式16指定安全参数索引17指定协议类型17指定加密算法17指定验证算法18指定压缩算法18指定对端IP地址18配置协议的验证密钥19配置协议的加密密钥19指定出接口19 IKEv1VPN20配置P1提议20创建P1提议20指定认证方式20指定加密算法21指定验证算法21选择DH组22指定安全联盟的生命周期22配置ISAKMP网关23创建ISAKMP网关23绑定接口到ISAKMP网关23配置IKE协商模式23配置自定义IKE协商端口24指定对端的IP地址及类型24接受对端ID25指定P1提议25配置预共享密钥25配置PKI信任域25配置对端证书的信任域26配置加密证书的信任域26配置协商协议标准26配置本端ID27配置对端ID27指定连接类型28开启NAT穿越功能28配置DPD功能28指定描述信息29配置P2提议29创建P2提议29指定协议类型29指定加密算法30指定验证算法30指定压缩算法31配置PFS功能31指定生命周期32配置隧道32创建IKE隧道32指定IPSec协议的操作模式33指定ISAKMP网关33指定P2提议33指定第二阶段ID33配置IPsec VPN流量分流与限流34启用接受对端ID功能34配置自动连接功能34配置分片功能35配置防重放功能35配置VPN监控及冗余备份功能36设置Commit位38指定描述信息38配置自动生成路由功能39 IKEv2VPN39配置P1提议39创建P1提议39指定验证算法40指定PRF算法40指定加密算法41选择DH组41指定的生命周期41配置IKEv2对等体42创建IKEv2对等体42绑定接口到对等体42指定对端的IP地址42配置认证方式43指定P1提议43配置本端ID43指定连接类型43创建IKEv2Profile44配置对端ID44配置预共享密钥44指定被保护的数据流量信息45配置P2提议45指定协议类型45指定验证算法46指定加密算法46配置PFS功能47指定生命周期47配置隧道47创建IKEv2隧道47指定IKEv2隧道的操作模式48指定IKEv2对等体48指定P2提议48配置自动连接功能48 XAUTH49启用XAUTH服务器49配置XAUTH地址池49绑定地址池到XAUTH服务器50配置IP用户绑定和IP角色绑定规则51修改IP角色绑定规则排列顺序52配置推送到客户端的WINS/DNS服务器52强制断开客户端XAUTH连接53配置非根VSYS隧道配额53显示IPSec配置信息53配置举例54手工密钥VPN54组网需求55配置步骤55 IKE VPN59组网需求59配置步骤59基于路由的VPN监控及冗余备份功能配置举例65组网需求65配置步骤66基于策略的VPN监控及冗余备份功能配置举例73组网需求73配置步骤74 XAUTH82组网需求82配置步骤82 HA Peer模式支持IPsec VPN85配置步骤85 SSL VPN90 SSL VPN介绍90 SSL VPN设备端配置90地址池配置91配置地址池地址范围91配置保留地址池92配置IP地址绑定规则92配置IP用户绑定规则93配置IP角色绑定规则93修改IP角色绑定规则排列顺序93配置DNS服务器94配置WINS服务器94显示SSL VPN地址池信息94资源列表配置96添加资源条目96查看资源列表97 UDP端口号配置97配置空闲时间97 SSL VPN实例配置98指定地址池99指定设备端接口99指定SSL协议99指定PKI信任域100指定加密信任域101指定隧道密码101指定AAA服务器102指定HTTPS端口号102配置SSL VPN隧道路由102指定网段102指定域名103配置防重放功能103配置分片功能104配置空闲时间104配置用户同名登录功能105配置URL重定向功能105 URL内容格式105配置SSL VPN隧道路由106启用/禁用清除SSL VPN桌面版客户端主机缓存数据功能106在HA Peer模式中使用SSL VPN107绑定L2TP VPN实例107绑定资源108绑定SSL VPN实例到隧道接口108配置客户端USB Key证书认证109开启USB Key证书认证功能110导入USB Key证书相应CA证书到信任域110配置USB Key证书相应CA证书的信任域111配置短信口令认证功能111短信猫认证111开启/关闭短信口令认证功能112设置短信认证手机号码112配置短信认证码有效时间113配置短信最大发送数量113发送测试短信113显示短信猫配置信息114短信网关认证114创建SP实例名称114设置发送认证短信的号码115指定设备ID115指定短信网关的地址和端口号115指定VRouter116指定用户名和密码116配置短信最大发送数量116指定UMS协议类型117指定企业编码117发送测试短信117开启/关闭短信网关认证功能118指定发送方名称118显示短信网关配置信息118显示短信统计信息119配置主机验证功能119开启主机验证功能119批准候选表项120配置超级用户120配置共享主机120增加/减少预批准主机数121清除绑定表121导出/导入绑定表122配置主机安全检测功能123主机安全检测内容123基于角色的访问控制和主机安全检测流程124配置主机安全检测Profile124通过WebUI配置主机安全检测Profile125配置主机安全检测策略规则128配置最优路径检测功能130强制断开客户端SSL VPN连接132允许本地用户修改密码132导出和导入密码文件134导出密码文件134导入密码文件135定制登录页面135定制登录页面135通过Radius认证服务器限定用户的访问范围136配置Radius服务器136配置客户端升级URL137显示SSL VPN信息137 SSL VPN客户端for Windows138客户端的下载与安装139下载与安装（用户名/密码）139下载与安装（用户名/密码+USB Key证书）142下载与安装（用户名/密码+软证书）144下载与安装（只用USB Key证书）145下载与安装（只用软证书）145客户端的启动146 Web方式启动146 Web方式启动（用户名/密码）146 Web方式启动（用户名/密码+USB Key证书）147 Web方式启动（用户名/密码+软证书）148 Web方式启动（只用USB Key证书）148 Web方式启动（只用软证书）149直接启动149基于TLS/SSL协议的启动方式149使用“用户名/密码”方式149使用“用户名/密码+USB Key证书”方式152使用“用户名/密码+软证书”方式154使用“只用USB Key证书”方式156使用“只用软证书”方式157基于国密SSL协议的启动方式158使用“用户名/密码”方式159使用“用户名/密码+数字证书”方式160使用“只用数字证书”方式162通过计划任务启动并自动连接164 USB Key批量部署166客户端GUI168客户端菜单171 Secure Connect设置173设置通用选项174添加登录信息条目175编辑登录信息条目176删除登录信息条目176客户端的卸载176 SSL VPN客户端for Android177下载与安装177启动与登录177 GUI179连接状态179 VPN连接配置管理180添加登录信息条目180编辑登录信息条目181删除登录信息条目182修改设备端登录密码182断开与设备端的连接/登入设备端182连接日志182系统配置183关于我们183SSL VPN客户端for iOS183安装与建立连接183建立VPN连接186 GUI187连接187日志187关于我们188 SSL VPN188 SSL VPN介绍188 SSL VPN配置举例188组网需求188需求一配置步骤189需求二配置步骤191准备工作191配置步骤191 URL重定向配置举例193配置步骤193主机安全检测配置举例196组网需求196配置步骤197最优路径检测配置举例204组网需求一204设备端作最优通道判断205客户端判断最优通道208组网需求二208设备端作最优通道判断209客户端判断最优通道212拨号VPN213拨号VPN介绍213拨号VPN的应用213中心设备配置213配置P1提议213创建P1提议214指定认证方式214指定加密算法214指定验证算法215选择DH组215指定安全联盟的生命周期216配置ISAKMP网关216创建ISAKMP网关216指定ISAKMP网关的认证服务器217绑定接口到ISAKMP网关217配置IKE协商模式217指定对端类型217指定P1提议218配置预共享密钥218配置PKI信任域218配置本端ID219指定连接类型219开启NAT穿越功能219配置DPD功能220指定描述信息220配置P2提议220创建P2提议220指定协议类型221指定加密算法221指定验证算法222配置PFS功能222指定生命周期223配置隧道223创建IKE隧道223指定IPSec协议的操作模式224指定ISAKMP网关224指定P2提议224指定第二阶段ID224配置ID为包含关系时生成IPSec SA225配置IPSec分流限流功能225配置自动连接功能225配置分片功能226配置防重放功能226设置Commit位227配置空闲时间227指定描述信息227配置自动生成路由功能227配置拨号端用户信息228创建拨号端用户帐号228生成拨号端用户预共享密钥229拨号端配置229拨号VPN举例229组网需求229中心设备配置230拨号端1配置233拨号端2配置235 PnPVPN238 PnPVPN简介238 PnPVPN工作流程238 PnPVPN链路冗余239 PnPVPN服务器端配置239通过CLI配置PnPVPN服务器端239配置用户网络参数239配置隧道网络参数240配置ISAKMP网关对端通配符241配置PnPVPN客户端的隧道接口241通过WebUI配置服务器端242用户配置243 IKE VPN配置243隧道接口配置246路由配置246策略配置247配置PnPVPN客户端247 PnPVPN配置举例248组网需求248配置步骤250服务器端配置250客户端配置254 GRE协议256 GRE协议介绍256 GRE配置256配置GRE隧道256指定源地址257指定目的地址257指定出接口257指定IPSec VPN隧道258指定验证秘钥258绑定GRE隧道到隧道接口258显示GRE隧道配置信息259 GRE配置举例259需求描述259配置步骤260中心配置260分支配置263 L2TP协议266介绍266典型的L2TP隧道组网266 L2TP over IPSec267 LNS端配置267地址池配置268配置地址池地址范围268配置保留地址池269配置IP地址绑定规则269配置静态IP地址绑定规则270配置角色-IP地址绑定规则270修改角色-IP地址绑定规则排列顺序270 L2TP实例配置271指定分配IP方式272指定地址池272配置DNS服务器273配置WINS服务器273指定隧道出接口273指定AAA服务器273指定PPP认证的协议274指定LCP Echo报文发送间隔274指定Hello报文间隔275启用隧道认证275指定隧道密码275指定LNS本端名称276启用AVP数据隐含276指定隧道接受窗口大小276配置用户同名登录功能276允许或禁止客户端指定IP地址277指定控制报文重传次数277引用IPSec隧道277配置LCP强制协商278绑定L2TP实例到隧道接口278强制断开L2TP连接279隧道重启279显示L2TP信息279 L2TP客户端配置280 L2TP配置举例280组网需求280配置步骤281 LNS配置281客户端配置283创建L2TP拨号连接283配置L2TP拨号连接284修改注册表286使用客户端连接LNS287 L2TP over IPSec配置举例288组网需求288配置步骤289 LNS配置289客户端配置292创建L2TP拨号连接292配置L2TP拨号连接293启用IPSec加密293使用客户端连接LNS294关于本手册手册约定为方便用户阅读与理解，本手册遵循以下约定：内容约定本手册内容约定如下：l提示：为用户提供相关参考信息。

Hillstone山石网科高校互联网出口网络安全解决方案

高校互联网出口网络安全解决方案意见征询稿Hillstone Networks Inc.2011年6月1日概要高校互联网是高校校园网的重要部分,也是发生安全事件相对集中的环节，对此采取必要的安全防护措施来进行保障，是非常必要的，Hillstone山石网科根据类似的项目经验，总结出高校互联网出口的安全特性，并对应性地提出安全建设建议，实现保障的效果。

1.开放使用、合理管控●高校互联网出口是为学生、教师、职工等提供上网服务的途径，对此需要在开放使用的基础上进行合理管控，特别是对学生的上网行为，需要有对应的管控措施，对行为进行深度分析和管控。

●方案针对此特点通过Hillstone山石网科的用户认证，和深度应用访问控制技术来提供保障，在有效鉴别用户身份的基础上，针对特定用户进行不同细粒度的检测与控制策略，保障校园网互联网出口被合理使用；2.稳定运营、灵活扩展●在稳定运营的基础上实现灵活扩展，也是高校互联网出口商普遍关注的问题，稳定运行是高校互联网出口的基本要求。

但同时也看到，高校互联网出口总是存在多链路、多运营商的特点，因此在出口进行安全防护，引入的安全设备必须具备有灵活扩展的能力，能够有效适应多链路、多运营商的趋势要求。

●方案针对此特点，引入的Hillstone山石网科安全网关能够支撑高稳定性，和高可扩展性要求，在可靠性上支撑多种双机、多链路技术，从而有效适应高校互联网的特点；另外设备支持功能、接口的扩展，以适应高校校园网的不断发展。

3.绿色校园、差异服务●对比其他行业，高校对互联网访问内容的控制更加严格，特别针对学生的上网访问行为，从保障青少年心理健康的角度，需要对学生进行更加严格的控制。

除了对学生的严格控制以外，对于教师和职工，以及家属的上网行为则适当放松，体现差异化的服务性。

●方案通过Hillstone山石网科安全网关提供的上网行为管理、身份认证技术，在区分访问者角色的基础上，对访问行为进行深度分析，和有效控制。

2024年hillstone培训路由器部分

Hillstone培训路由器部分1.引言Hillstone是一家专注于网络安全领域的公司，提供了一系列高性能、高可靠性的网络安全产品，包括防火墙、入侵防御系统、虚拟私有网络等。

其中，路由器作为网络互联的关键设备，扮演着至关重要的角色。

为了帮助用户更好地了解和使用Hillstone路由器，本文将详细介绍Hillstone路由器的培训内容。

2.Hillstone路由器概述Hillstone路由器是一款高性能、高可靠性的网络设备，支持多种路由协议，包括静态路由、动态路由（如BGP、OSPF、RIP 等），并提供灵活的网络地质转换（NAT）功能。

Hillstone路由器还具备强大的安全特性，如访问控制、入侵防御、病毒防护等，能够有效保护网络安全。

3.培训目标(1)了解Hillstone路由器的基本功能和特性；(2)学会配置和管理Hillstone路由器；(3)掌握路由器故障排查和性能优化的方法；(4)了解Hillstone路由器的安全特性及配置方法。

4.培训内容4.1Hillstone路由器基本配置(1)设备初始配置：包括设备命名、密码设置、接口配置等；(2)系统时间配置：同步网络时间协议（NTP）服务器，确保设备时间准确；(3)系统日志配置：设置日志服务器，以便收集和分析设备运行信息；(4)系统监控配置：配置SNMP、NQA等监控工具，实时监控设备状态。

4.2路由协议配置(1)静态路由：配置静态路由，实现网络互联；(2)动态路由：配置BGP、OSPF、RIP等动态路由协议，实现网络动态互联；(3)路由策略：配置路由策略，实现流量调度和路由优化。

4.3网络地质转换（NAT）配置(1)NAT概述：了解NAT的工作原理和类型；(2)NAT配置：配置静态NAT、动态NAT、NAPT等，实现内外网地质映射；(3)PAT配置：配置端口地质转换，提高公网IP利用率。

4.4安全特性配置(1)访问控制：配置访问控制列表（ACL），实现网络访问控制；(2)入侵防御：配置入侵防御系统（IPS），实时防御网络攻击；(3)病毒防护：配置病毒防护功能，防止病毒传播；(4)VPN配置：配置IPsecVPN、SSLVPN等，实现远程安全接入。

Hillstone山石网科流量管理白皮书要点

Hillstone 山石网科流量管理白皮书Hillstone 山石网科流量管理白皮书1. 概述随着互联网的应用和企事业应用的快速发展，爆发出来种类繁多的新应用正在一点一点的蚕食着用户网络中带宽，你也许会碰到下面的一些问题：●即使把带宽增加了，正常业务访问还是变慢了？● 有没有办法保证重要业务不受到影响？● 有没有办法查看到底是谁在蚕食我的带宽？从根本上来讲，QOS 功能能够为特定类型的流量提供更好的服务，特定类型既可以是针对某个角色，比如老板的流量访问、财务部门的流量，也可以针对某种应用，比如针对企事业重要的正常业务。

从技术实现来看，主要是通过提高这些特定类型的流量优先级和带宽配额或者降低其他流量的优先级和带宽配额来实现，比如降低P2P 下载应用的带宽。

StoneOS ® QoS是一个工具箱，能够保证服务的可用性，能够有效管理带宽资源和区分网络应用的优先级。

同时，StoneOS ® QoS是建立在Hillstone 山石网科多核Plus ® G2安全架构之上，能提供基于深度应用、角色等流量管理。

2. StoneOS® QoS基本结构StoneOS ®的QoS 基于以下基本模块实现：● QoS识别和标记技术。

用于网络元素间从点到点的QoS 协调● 单一网络元素内的QoS(例如：队列、拥塞避免、调度、管制以及流量整形工具● 统计功能。

基于角色、应用的实时流量统计，用于控制和管理流量。

Hillstone 山石网科流量管理白皮书3. Hillstone 山石网科解决方案通过结合以下技术，StoneOS ®用创新的专有的技术实现强大而灵活的QoS 解决方案：● 基于RFC 的DSCP 标记●IP QoS● 角色QOS ● 应用QoS ● 混合QOS ● 应用标记● 弹性QoS3.1 与第三方设备互通QoS 是不同品牌网络设备之间共同努力的结果。

以一个大型企业的网络环境为例，Hillstone 山石网科设备可以被部署为分支办公室的网关设备，它可能与Cisco 的路由器共同工作。

2024版Hillstone山石网科基础配置手册50[1]

配置工具准备
准备好适用的配置工具，如命令行界面（CLI）、Web界面或专用配置软件。
9
软件版本选择及升级
软件版本选择
根据实际需求和设备兼容性，选择合适的软件版本进行安装和配置。
软件升级
定期检查软件更新，及时下载并安装最新的软件补丁和升级包，以确保设备安全性和性能。
备份与恢复
在进行软件升级前，务必备份设备配置文件和数据，以便在升级失败或出现问题时能够及时恢复。
负载均衡
在设备间实现负载均衡，避免单台设备性能瓶颈，提高整体系统性能。
设备状态监测
实时监测设备状态，及时发现并处理故障，确保系统稳定运行。
20
链路负载均衡策略
静态负载均衡
根据预先设定的规则，将流量分配到不同的链路上，实现链路的负载均衡。
01
动态负载均衡
实时监测链路状态，根据链路的带宽、延迟等参数动态调整流量分配策略，确保流量始终选择最优路径。
制定详细的故障恢复流程，包括故障确认、原因分析、解决方案制定和实施等步骤，确保故障得到及时有效的处理。
22
06
管理与维护操作指
南
2024/1/27
23
设备管理界面介绍
设备管理主界面
展示设备整体运行状态、主要性能指标和实时告警信息。
配置管理界面
提供设备各项配置的详细设置，包括网络、安全、用户等。
2024/1/27
设备安装
根据设备规格和安装环境，选择合适的安装方式和位置，确保设备稳定可靠。
设备连接
使用合适的线缆将设备与网络、电源等连接，确保连接正确、牢固。
8
初始配置环境搭建
2024/1/27
控制台连接

Hillstone山石网科流量管理白皮书

Hillstone山石网科流量管理白皮书Hillstone山石网科流量管理白皮书1. 概述随着互联网的应用和企事业应用的快速发展，爆发出来种类繁多的新应用正在一点一点的蚕食着用户网络中带宽，你也许会碰到下面的一些问题：●即使把带宽增加了，正常业务访问还是变慢了？●有没有办法保证重要业务不受到影响？●有没有办法查看到底是谁在蚕食我的带宽？从根本上来讲，QOS功能能够为特定类型的流量提供更好的服务，特定类型既可以是针对某个角色，比如老板的流量访问、财务部门的流量，也可以针对某种应用，比如针对企事业重要的正常业务。

从技术实现来看，主要是通过提高这些特定类型的流量优先级和带宽配额或者降低其他流量的优先级和带宽配额来实现，比如降低P2P下载应用的带宽。

StoneOS® QoS是一个工具箱，能够保证服务的可用性，能够有效管理带宽资源和区分网络应用的优先级。

同时，StoneOS® QoS是建立在Hillstone 山石网科多核Plus® G2安全架构之上，能提供基于深度应用、角色等流量管理。

2. StoneOS® QoS基本结构StoneOS®的QoS基于以下基本模块实现：●QoS识别和标记技术。

用于网络元素间从点到点的QoS协调●单一网络元素内的QoS(例如：队列、拥塞避免、调度、管制以及流量整形工具)●统计功能。

基于角色、应用的实时流量统计，用于控制和管理流量。

Hillstone山石网科流量管理白皮书3. Hillstone 山石网科解决方案通过结合以下技术，StoneOS®用创新的专有的技术实现强大而灵活的QoS解决方案：●基于RFC的DSCP标记●IP QoS●角色QOS●应用QoS●混合QOS●应用标记●弹性QoS3.1 与第三方设备互通QoS是不同品牌网络设备之间共同努力的结果。

以一个大型企业的网络环境为例，Hillstone 山石网科设备可以被部署为分支办公室的网关设备，它可能与Cisco的路由器共同工作。

山石网科Ipv6整体解决方案

Ipv6整体解决方案Hillstone Networks Inc. 2016年03月10日内容提交人审核人更新内容日期V1 2016/3/10目录1需求分析 (3)2解决方案 (3)2.1设备信息 (3)2.2拓扑 (3)2.3主要配置 (4)2.3.1总部 (4)2.3.2分支1（模拟环境，不考虑上互联网问题） (6)2.3.3分支2 (8)3建设效果 (8)1需求分析某用户有100多个office，都采用电信光纤接入，需要逐步从IPv4演变为IPv6地址，在这种场景下，需要做到IPv4到IPv6内网的互通。

场景模拟如下：一个总部两个分支，总部内网采用IPv6地址，外网地址采用IPv4；分支1外网IPv4，内网IPv6；分支机构2内外网都为IPv4地址。

需求如下：A.总部的IPv6地址可以访问到互联网IPv4资源，总部的IPv6地址可以提供互联网用户访问。

B.总部和分支1的IPv6地址通过公网6in4隧道互相通信。

C.总部和分支2的IPv4地址互相通信。

2解决方案2.1设备信息2.2拓扑分支12005::2/96 2.3主要配置2.3.1总部A.接口interface ethernet0/1zone "untrust"ip address 200.0.0.2 255.255.255.0manage httpexitinterface ethernet0/2zone "trust"dns-proxyipv6 enableipv6 address 2005::1/96manage pingexitinterface tunnel1zone "trust"ipv6 enabletunnel ip6in4 "fenzhi1"exitB.Nat和路由ip vrouter "trust-vr"snatrule id 1 from "2005::/96" to "2003::/96" service "Any" eif ethernet0/1 trans-to eif-ip mode dynamicport #总部上网snatsnatrule id 2 from "2005::2/96" to "2004::2" service "Any" eif ethernet0/1 trans-to eif-ip mode dynamicport #与分支2通信snatsnatrule id 3 from "Any" to "200.0.0.2" service "Any" eif ethernet0/2 trans-to 2005::1 mode dynamicport #公网已知ip访问总部ipv6服务器snatdnatrule id 1 from "2005::/96" to "2003::/96" service "Any" v4-mapped #总部上网dnat dnatrule id 2 from "2005::2/96" to "2004::2" service "Any" trans-to "200.0.0.4" #与分支2通信dnatdnatrule id 3 from "Any" to "200.0.0.2" service "Any" trans-to "2005::2" #公网已知ip访问总部ipv6服务器dnatip route 0.0.0.0/0 200.0.0.1ipv6 route 2001::/96 tunnel1exitC.策略rule id 1action permitsrc-addr "Any"dst-addr "Any"service "Any"exitrule id 2action permitsrc-ip 2005::/96dst-ip 2004::/96service "Any"exitrule id 3action permitsrc-ip 2005::/96dst-ip 2003::/96service "Any"exitrule id 4action permitsrc-ip 2005::/96dst-ip 2001::/96service "Any"exitrule id 5action permitsrc-ip 2001::/96dst-ip 2005::/96service "Any"exitrule id 6action permitsrc-addr "IPv6-any"dst-addr "IPv6-any"service "Any"exitD.其他配置tunnel ip6in4 "fenzhi1" manualinterface "ethernet0/1"destination 200.0.0.3exitip name-server 8.8.8.8 vrouter trust-vrip dns-proxy domain any name-server 8.8.8.8 vrouter trust-vripv6 dns64-proxy id 1 prefix 2003::/96 source 2005::/96 trans-mapped-ip any2.3.2分支1（模拟环境，不考虑上互联网问题）A.接口interface ethernet0/1zone "untrust"ip address 200.0.0.3 255.255.255.0manage pingexitinterface ethernet0/2zone "trust"ipv6 enableipv6 address 2001::1/96manage pinginterface tunnel1zone "trust"ipv6 enabletunnel ip6in4 "zongbu"exitB.Nat和路由ip vrouter "trust-vr"ip route 0.0.0.0/0 200.0.0.1 ipv6 route 2005::/96 tunnel1C.策略rule id 1action permitsrc-addr "Any"dst-addr "Any"service "Any"exitrule id 33action permitsrc-ip 2001::/96dst-ip 2005::/96service "Any"exitrule id 34action permitsrc-ip 2005::/96dst-ip 2001::/96service "Any"exitrule id 35action permitsrc-addr "IPv6-any"dst-addr "IPv6-any" service "Any"exitD.其他配置tunnel ip6in4 "zongbu" manual interface "ethernet0/1" destination 200.0.0.2exit2.3.3分支2A.接口interface ethernet0/3zone "trust"ip address 192.168.2.1 255.255.255.0manage pingexitinterface ethernet0/4zone "untrust"ip address 200.0.0.4 255.255.255.0manage pingexitB.Nat和路由ip vrouter "trust-vr"snatrule id 1 from "Any" to "Any" service "Any" eif ethernet0/4 trans-to eif-ip mode dynamicport dnatrule id 1 from "200.0.0.2" to "200.0.0.4" service "Any" trans-to "192.168.2.254"ip route 0.0.0.0/0 200.0.0.1exitC.策略rule id 1action permitsrc-addr "Any"dst-addr "Any"service "Any"exit3建设效果通过以上配置可以实现：A.总部访问公网IPv4域名；可以访问固定的公网ip；互联网用户可以访问总部内网服务器B.总部和分支1可以相互通信C.总部和分支2可以相互通信A.由于Nat64技术的限制，如果公网ip不固定且无法对应到域名，则总部端无法访问该ip（因为需要在FW上添加固定的转换规则）B.策略中调用IPv6的any地址簿时应该用“IPv6-any”这个地址簿C.总部PC的DNS需要指向总部FW的内网口ip，即2005::1。

山石网科Ipv 整体解决方案

场景模拟如下：一个总部两个分支，总部内网采用IPv6地址，外网地址采用IPv4；分支1外网IPv4，内网IPv6；分支机构2内外网都为IPv4地址。

需求如下：A.总部的IPv6地址可以访问到互联网IPv4资源，总部的IPv6地址可以提供互联网用户访问。

B.总部和分支1的IPv6地址通过公网6in4隧道互相通信。

C.总部和分支2的IPv4地址互相通信。

Hillstone广电网络安全解决方案

Hillstone广电网络安全解决方案Hillstone山石网科广电网多链路出口安全解决方案——应用Hillstone山石网科助力广电网多链路负载均衡&安全管理解决方案山石网科通信技术(北京)有限公司2010年4月一、广电网出口网络现状描述1项目背景广电网，通常是各地有线电视网络公司（台）负责建设运营的。

其职能类似于ISP，可向政府，企业，网吧或普通用户提供宽带接入。

但广电自己没有独立的Internet接入出口。

所以，广电会向电信，网通等ISP租用带宽，而后再通过光纤或HFC网向用户提供宽带接入服务，其职能类似于2级ISP。

通常情况下，为了保证互联网访问的服务质量，缓解中国存在的南北两家ISP带来的互联互通问题，广电采用同时租用多家ISP链路的办法以保障INTERNET链路出口的稳定性和访问质量。

通过分析，广电网络中通常存在如下问题：1）需要高性价比的多链路负载均衡解决方案为了保证出口链路对互联网访问的质量，广电会同时租用多家ISP的链路以保障INTERNET链路出口的稳定性和访问质量。

通常情况下，广电至少租用电信和网通2大ISP的链路，部分地区会进一步接入联通，铁通和教育网的链路。

多链路的接入，扩充了带宽，但也给广电带来了新的挑战－各种出口链路的流量负载分配的问题。

选择F5等负载均衡厂商产品来解决出口网络的均衡问题是一种方法，但该类设备的价格昂贵，处理性能不理想，且安全性较低。

所以，广电迫切需要一性价比更高的多链路负载均衡的解决方案。

2）日益增长的业务访问量给防火墙带来巨大压力广电网从建立之初就考虑到了安全问题，采用防火墙设备做为广电网网络出口安全防护已经比较普遍。

但广电网现有的防火墙部署时间较早，一般都是采用传统的X86架构或ASIC架构。

其网络性能往往不能继续支撑日益增长的业务访问量。

随着跨网应用的骤增，广电网网络环境基于X86或者ASIC的传统架构的防火墙会导致网络传输延迟增大，部分的防火墙设备已成为整个网络传输的瓶颈之一，严重影响整个广电网出口的正常业务需求。

1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。

1.2 隐藏并保护内网主机
使用网络地址转换（NAT）后，内网主机使用私网地址，而对外网却显示一个或多个公网地址，内网主机不直接暴露在公网上，避免被扫描探测和直接访问，从而增强网络安全性。

Hillstone网络地址转换基本功能
2.1 SNAT（源地址转换）
2.2 DNAT （目的地址转换）
SNAT 是内网终端访问外网服务时使用的功能。

如图1所示，内网终端使用私网地址访问公网服务，数据包经过网关时，网关将“私网源地址：端口”修改成“公网源地址：端口”，并做下记录，当服务端返回数据包时，再按照之前的记录将“公网目的地址：端口”修改回“私网目的地址：端口”。

Hillstone 安全网关的SNAT 功能支持三种转换模式：
① 静态地址
静态源地址转换即一对一的转换。

该模式要求被转换到的公网地址条目包含的IP 地址数与流量的私网源地址的地址条目包含的IP 地址数相同。

② 动态地址
动态源地址转换即多对多的转换。

该模式将私网源地址转换到指定的公网IP 地址。

每一个私网源地址会被映射到一个唯一的公网IP 地址做转换，直到指定公网地址全部被占用。

③ 动态端口
多个私网源地址将被转换成指定公网IP 地址条目中的一个地址。

通常情况下，地址条目中的第一个地址将会首先被使用，当第一个地址的端口资源被用尽，第二个地址将会被使用。

DNAT 是外网终端访问内网服务时使用的功能。

如图2所示，外网终端使用公网地址访问内网服务，数据包经过网关时，网关将“公网目的地址：端口”修改成“私网目的地址：端口”，并做下记录，当服务端返回数据包时，再按照之前的记录将“私网源地址：端口”修改回“公网源地址：端口”。

图1 Hillstone 安全网关SNAT 工作原理
图2 Hillstone 安全网关DNAT
工作原理
2.3 ALG （应用层网关）
一些应用在通信过程中使用应用层携带网络地址信息，如SIP 协议；一些应用采用多通道数据传送，控制通道在应用层协商数据通道的网络地址，如FTP 协议。

在NAT 场景下，这些协议的正常通信都会受到影响。

这就要求NAT 网关在进行网络层地址转换的同时，能够识别这些应用，并在应用层也对地址进行相应的转换。

图3中以SIP 协议为例，讲解ALG
过程。

Hillstone 安全网关支持SIP 、H.323、FTP 、TFTP 、PPTP 、RTSP 、RSH 、MSRPC 、SUNRPC 、SQLNET 等多种常用协议的ALG 。

SNAT 工作在动态端口模式时，公网源地址池中的某个地址首先被使用，当这个地址的端口池被用尽时，另一个地址才会被使用，这样的工作机制在用户访问某些特殊服务（如网银）时会出现问题。

网银类服务考虑了更多的安全机制，要求同一个用户同一次访问网银服务过程中的源地址必须相同，如果某用户访问网银时正好处于一个公网源地址的端口池被耗尽，那么此用户后续访问该网银服务的新建流的私网源地址都会被转换成新的公网地址。

根据网银的安全机制，这些新建流会被服务端断开。

为解决该问题，Hillstone 提供了Sticky 功能，当SNAT 工作在动态端口模式时，若开启Sticky 功能，每一个私网源地址产生的所有会话将被映射到同一个固定的公网源地址。

3.1 SNAT Sticky
图4 Hillstone 安全网关SNAT Sticky 应用场景
图3 Hillstone 安全网关ALG 工作原理（SIP 为例）
图5 Hillstone 安全网关SNAT 端口复用应用场景
3.2 SNAT 端口复用
3.3 DNAT 服务器负载均衡
3.4 Full Cone NAT
SNAT 工作时，NAT 网关需要建立“私网源地址：端口”—〉“公网源地址：端口”的映射记录，以便当服务端返回数据包时，再按照之前的记录将“公网目的地址：端口”修改回“私网目的地址：端口”。

一个“公网源地址：端口”对和一个“私网源地址：端口”对是一对一关系。

因此“私网源地址：端口”对的数量（代表用户的数量）越多，“公网源地址：端口”对的数量需求也就越多。

为帮助宽带运营商节约公网源地址资源，Hillstone 提供了SNAT 端口复用功能，把用户访问的公网目的地址作为一个维度加入到NAT 映射表中，即NAT 网关建立“私网源地址：端口”—〉“公网源地址：端口”+“公网目的地址”的映射记录，当不同的用户或同一个用户通过不同端口访问不同的公网地址时，就可以分配相同的“公网源地址：端口”，使得公网源地址资源的使用率大大提高，从而避免宽带运营商因内网用户的增加导致公网源地址资源不足而扩容。

企业或数据中心的内网服务为了保护服务不出现单点故障以及合理利用硬件服务器的性能，常常对服务器采用集群模式部署，这就需要外置负载均衡设备为服务器群进行分流。

Hillstone 的DNAT 功能可以提供服务器负载均衡业务，支持将内网多个私网服务器地址映射成同一个公网地址，在外网用户对此公网地址进行访问时，将流量均匀地分流到各私网服务器上。

图6 Hillstone 安全网关DNAT 服务器负载均衡应用场景
图7 Hillstone 安全网关Full Cone NAT
应用场景
3.5 NAT444
3.6 NAT64/NAT46（NAT-PT ）
在SNAT 过程中，NAT 映射记录由内网用户的“私网源地址：端口”触发建立，当服务端返回数据包时，再按照之前的记录将“公网目的地址：端口”修改回“私网目的地址：端口”。

若服务端返回的数据包与NAT 映射记录无法匹配，就会被丢弃。

Full Cone NAT 功能是在内网用户的“私网源地址：端口”触发建立NAT 映射记录的同时，将当前的“私网源地址：端口”和“公网源地址：端口”进行绑定。

绑定后，相同的“私网源地址：端口”发起的到任何地址的访问都固定转换为对应的“公网源地址：端口”。

当其它用户访问此“公网地址：端口”时，根据之前的绑定记录，系统直接将“公网地址：端口”转换成对应的“私网地址：端口”，使通信得以正常进行。

Hillstone 提供Full Cone NAT 功能，用来解决宽带运营商网络出口带宽拥塞问题。

P2P 下载使得宽带运营商的网络出口带宽常常不足，流量分析发现，由于传统SNAT 工作过程对NAT 记录的严格匹配，宽带运营商的内网用户P2P 下载后的数据无法被其它内网用户请求到，使得所有数据都要从外网的Peer 请求，造成网络出口带宽的高消耗和拥塞。

在Hillstone 安全网关上开启Full Cone NAT 功能后，大部分P2P 流量都在网内流转，大大节省了网络出口带宽。

NAT444主要是被已经拥有大量IPv4地址的运营商用来作为延缓IPv4向IPv6过渡的手段。

拥有大量IPv4地址的运营商一般都是国家级、区域性大型固网宽带运营商，他们的用户上网会直接分配公网IPv4地址。

但随着用户数量的不断增加以及WLAN 网络的建设，这些运营商拥有的IPv4地址开始不足，而向IPv6过渡又需要较大的投资成本，因此他们开始选择使用NAT 改造方案，给用户分配私网IP 地址来提供互联网接入服务，这样的方案被称为NAT444。

Hillstone 目前提供的NAT444面向中国电信进行了定制，支持外网地址固定端口块向内网地址的静态映射，同时能够基于Session 生成日志，还能基于用户生成日志。

NAT64/NAT46主要解决运营商或企业内部纯IPv6网络和纯IPv4网络互访的问题。

运营商或企业在纯IPv6网络和纯IPv4网络之间部署Hillstone 安全网关，为双向的访问同时做源地址转换和目的地址转换，使通信就像在本类型网络内部一样。

图9 Hillstone 安全网关NAT64/NAT46（NAT-PT ）应用场景
图8 Hillstone 安全网关NAT444
应用场景
4.1 企业互联网出口
防火墙通常作为网关部署在企业的互联网出口，网络地址转换（NAT ）是必须的功能。

4.2 企业数据中心网络出口
防火墙通常不作为网关部署在企业数据中心的网络出口，但网络地址转换（NAT ）是必须的功能。

企业数据中心网络对可靠性要求较高，通常选择两台防火墙HA 模式部署。

3.7 NAT64/DNS64
NAT64/DNS64主要解决运营商或企业内网IPv4和IPv6用户共存的场景下，IPv6用户访问外网IPv4服务的问题。

运营商或企业在网络出口部署Hillstone 安全网关，首先IPv6用户发起对外网服务的DNS 解析，Hillstone 安全网关发现其请求的是IPv4的服务，则代理其向DNS 服务器请求IPv4的地址，然后给IPv6用户回应构造的IPv6地址，此即为DNS64过程；而后IPv6用户发起IP 连接，Hillstone 安全网关根据之前的DNS64过程中的记录，将用户访问的IPv6地址进行目的地址转换成外网IPv4服务的真实地址，同时为用户进行源IP 地址转换，将用户的IPv6地址转换成IPv4地址，即完成NAT64过程。

图10 Hillstone 安全网关NAT64/DNS64应用场景
图11 Hillstone 安全网关企业互联网出口NAT
场景
4.3 宽带运营商网络出口
防火墙通常不作为网关部署在宽带运营商的网络出口，但网络地址转换（NAT
）是必须的功能。

图12 Hillstone 防火墙企业数据中心网络出口NAT 场景
图13 Hillstone 防火墙宽带运营商网络出口NAT
场景。