下载文档原格式
XX客户网络出口安全建议书2007-4-7XX客户网络现状及建议1.XX客户网络出口现状XX客户网络拓扑如下图所示：xx客户网络平台已经搭建完毕，内部终端通过Internet出口连接外部网络，实时获取外部信息，企业业务通过网络出口进行，因此保证网络出口的安全至关重要，而现在网络环境的复杂性、多变性以及信息系统的脆弱性、开放性和易受攻击性，决定了网络安全威胁的客观存在。
目前安全设施的空缺导致网络缺乏足够的安全防护。
2.XX客户网络出口安全建议建立公网出口完善的网络安全层次：图INTERNET出口完善的安全层次根据国际标准化组织ISO的OSI模型，网络通讯过程被分为7各层次，如果希望完善网络出口的安全层次，必须要对OSI网络通信模型的每一层进行覆盖，目前部署的防火墙其软硬件设计为工作在OSI模型的2-4层，为了完善网络出口安全层次，还需要部署入侵防御系统覆盖OSI网络通信模型的4-7层。
防火墙防火墙的作用是防止外部网络上的非授权用户访问内部网络，多数防火墙都可以有选择地保护一个或多个周边网络（也称为非军管区，DMZ）。
防火墙对访问外部网络的限制最低，对访问周边网络非军管区的限制次之，对访问内部网络的限制最高，可提供三个不同层次的安全组网模式。
只有有效充分的利用防火墙和安全政策才能保证受保护网络（信任网络）和非保护网络（不可信任网络）之间所有流量的安全有效控制，这样防火墙在抵御外部网络对内部网络的攻击窃取的同时，还可控制内部网络用户是否可以合法的访问外部Internet，以及怎样借助防火墙提供的特性实施安全政策等。
防火墙保护网络的方法如下图所示，这种方法允许实施带外连接并安全接入互联网。
内部网络外部网络WWW 入侵检测服务器互联网互联网受保护服务器受保护客户机可信任区不可信任区周边网络DMZ 区服务器MAIL 服务器漏洞扫描服务器接入服务器连接路由器对外连接正常无法直接向内连接防火墙Internet网络中的防火墙应用在这种体系结构中，防火墙将形成受保护网络和不受保护网络之间的边界。
防火墙测试解决方案Avalanche防火墙防火墙是指设置在不同网络（如可信任的企业内部网和不可信的公共网）或网络安全域之间的一系列部件的组合。
它可通过监测、限制、更改跨越防火墙的数据流，尽可能地对外部屏蔽网络内部的信息、结构和运行状况，以此来实现网络的安全保护在逻辑上，防火墙是一个分离器，一个限制器，也是一个分析器，有效地监控了内部网和Internet之间的任何活动，保证了内部网络的安全主要分为包过滤防火墙和应用网关防火墙，目前的防火墙是两种主要技术的混合体基于CPU的实现典型的单处理器、单线程处理应用冗长的或恶劣顺序的规则严重影响性能CPU努力维持连接和数据包处理基于ASIC的实现非常快的处理速度，但是很不灵活一些ASIC不能完成的任务必须由CPU完成一些协议（例如：FTP）不得不由软件实现CPU 必须处理这些协议基于隧道的安全应用（SSL、IPSec）通常需要CPU处理 CPU必须维持总的会话CPU必须附加地执行加解密处理不合适的硬件可以抵消厂商软件上的优势如果硬件不能有所保证，则：要么系统可能丢包并扼杀应用的性能要么危险的数据流可能通过效率低的软件可能抵消硬件上的优势效率低的规则处理在软件中实现了太多的协议处理数据包和会话处理必须有高效率在有限的时间内完成对每个数据包的处理防火墙必须在性能没有损耗的前提下保证安全性规则基大小及顺序规则基包含所有防火墙过滤规则越多的过滤器，就会有越长的数据包处理过程，要考虑 厂商如何实现更好的规则匹配？在低速率数据流下，过长的延迟规则顺序是至关重要的例如：高使用率的规则放在规则表的底部对大多数数据流来说，规则基总是搜索到最后问题可能由高速率数据流导致数据包可能备份到输入队列中等待处理队列填满，导致数据包丢失延迟可能导致会话超时TCP连接实现TCP 连接容量和速率由以下因素影响：状态表大小处理器（CPU）效率状态表不够大，意味着当状态表满时，用户不能连接 处理器能力有限，意味着用户不能连接状态表在高的用户负载下释放很慢连接失败增加基准测试RFC（18个）•Benchmarking Terminology for Network Interconnection Devices (RFC 1242)•Benchmarking Methodology for Network Interconnect Devices (RFC 1944) obsoleted by RFC 2544•Benchmarking Terminology for LAN Switching Devices (RFC 2285)•Terminology for IP Multicast Benchmarking (RFC 2432)•Benchmarking Methodology for Network Interconnect Devices (RFC 2544)•Benchmarking Terminology for Firewall Performance (RFC 2647)•Terminology for ATM Benchmarking (RFC 2761)•Benchmarking Methodology for LAN Switching Devices (RFC 2889)•Methodology for ATM Benchmarking (RFC 3116)•Terminology for Frame Relay Benchmarking (RFC 3133)•Terminology for ATM ABR Benchmarking (RFC 3134)•Terminology for Forwarding Information Base (FIB) based Router Performance (RFC 3222)•Benchmarking Methodology for Firewall Performance (RFC 3511)•Methodology for IP Multicast Benchmarking (RFC 3918)•Terminology for Benchmarking BGP Device Convergence in the Control Plane (RFC 4098)•Considerations When Using Basic OSPF Convergence Benchmarks (RFC4063)•OSPF Benchmarking Terminology and Concepts (RFC 4062)•Benchmarking Basic OSPF Single Router Control Plane Convergence (RFC 4061)防火墙相关标准国际标准（4个RFC）Benchmarking Terminology for Network Interconnection Devices，RFC 1242Benchmarking Methodology for Network Interconnect Devices，RFC 2544Benchmarking Terminology for Firewall Performance，RFC 2647 Benchmarking Methodology for Firewall Performance，RFC 3511 国家标准GB/T 18019-1999《信息技术包过滤防火墙安全技术要求》GB/T 18020-1999《信息技术应用级防火墙安全技术要求》防火墙性能测试方法学防火墙性能测试由以下三层测试组成： 网络层（Network Layer）传输层（Transport Layer）应用层（Application Layer）网络层测试方法学网络层测试指的是DUT/SUT转发引擎的性能基准测试：吞吐量（Throughput）延迟（Latency）丢包率（Frame Loss Rate）（可选）背靠背（Back-to-back）（可选）参考RFC 1242、RFC 2544、RFC 3511使用SmartBits的SmartApplications进行测试传输层测试传输层测试指的是与DUT/SUT状态表相关的性能和扩展性最大并发TCP连接数（Concurrent TCP Connection Capacity）（RFC 3511）最大TCP连接建立速率（Max TCP Connection Rate）（RFC 3511）使用Avalanche进行测试应用层测试应用层测试指的是获得处理HTTP应用层流量的防火墙基准性能HTTP传输速率（HTTP Transfer Rate）（Goodput）（RFC 3511）最大HTTP事务处理速率（Max HTTP Transaction Rate）（RFC 3511）使用Avalanche进行测试RFC 2647/3511RFC 2647：防火墙性能基准测试术语（Benchmarking Terminology for Firewall Performance）作者：D. Newman，Data Communications，1999年8月共描述了与防火墙及测试相关的33个术语RFC 3511：防火墙性能基准测试方法学（Benchmarking Methodology for FirewallPerformance ）作者：B. Hickman、S. Tadjudin，Spirent CommunicationsD. Newman，Data CommunicationsT. Martin，GVNW Consulting Inc，2003年4月涉及10个防火墙性能测试指标防火墙测试（RFC 3511）5.1IP Throughput：用SmartBits的SmartApplications或者SmartFlow软件测试；5.2Concurrent TCP Connection Capacity：用Avalanche测试；5.3Maximum TCP Connection Establishment Rate：用Avalanche测试；5.4 Maximum TCP Tear Down Rate：用Avalanche测试；5.5Denial Of Service Handling：用Avalanche测试；5.6HTTP Transfer Rate：用Avalanche测试；5.7Maximum HTTP Transaction Rate：用Avalanche测试；5.8Illegal Traffic Handling：用Avalanche测试；5.9 IP Fragmentation Handling：用Avalanche测试；5.10 Latency：用SmartBits的SmartApplications或者SmartFlow软件测试。
DPtech FW1000测试方案杭州迪普科技有限公司2011年10月目录DPtech FW1000测试方案 (1)第1章产品介绍 (1)第2章测试计划 (2)2.1测试方案 (2)2.2测试环境 (2)2.2.1 测试环境一 (2)2.2.2 测试环境二 (2)第3章测试内容 (4)3.1性能特性 (4)3.2功能特性 (4)3.3管理特性 (4)3.4安全性 (4)3.5高可靠性 (4)第4章测试方法及步骤 (5)4.1性能测试 (5)4.2FW功能测试 (7)4.3DPI功能测试 (13)4.4管理特性 (14)4.5安全特性 (15)第5章测试总结 (17)第1章产品介绍目前，Web2.0、音频/视频、P2P、云计算等各种新应用、新业务层出不穷，传统的基于端口进行应用识别和访问控制的FW，已远远无法满足各种新应用下安全防护的需求，增加其它辅助设备又会增加组网复杂性；而通过在传统FW上简单叠加部分应用层安全防护功能，也由于系统设计和硬件架构的天然不足，造成性能的大幅衰减，导致应用层功能不敢真正启用。
特别在对性能、稳定性要求苛刻的数据中心，此问题显得尤为严峻。
为解决上述难题，迪普科技推出了基于全新多核处理器架构的下一代FW—DPtech FW1000 N系列应用FW。
FW1000对网络层、应用层安全进行融合，并采用独有的“并行流过滤引擎”技术，全部安全策略可以一次匹配完成，即使在应用层功能不断扩展、特征库不断增加的情况下，也不会造成性能的下降和网络时延的增加。
以万兆应用FWFW1000-GE-N为例，在开启FW、FWec/SSL VPN、NAT、URL过滤、攻击防护、行为审计功能的情况下，扩展应用控制协议库、URL过滤库等，处理能力依然可达万兆线速。
FW1000 N系列开创了应用FW的先河。
基于迪普科技自主知识产权的万兆级应用安全硬件处理平台和ConPlat OS安全操作系统，是目前业界性能最高的应用FW。
ICG2000防火墙配置说明书目录一、界面设置 (2)二、代码设置 (5)三、代码操作解释： (8)一、界面设置1、拿一根网线：一头连接本机电脑，另一头连接路由器内网口（LAN1）；一根外网线：连接外网口（WAN1）；2、将本机的本地IP设置为自动获取；3、在浏览器中输入：http://192.168.1.1 在页面中输入用户名：useradmin和密码：Admin!@#$%^4、如图所示进行操作即可。
5、确定完成后，需要重新登录二、代码设置1、开始——运行——输入：cmd 回车（或点击【确定】）；2、在弹出窗口中输入：telnet 192.168.XX.XX（路由器地址：可查看本地连接的默认网关）回车如图：3、再输入账号及密码（路由默认账号：useradmin 密码：admin!@#$%^ 或账号：telcomadmin 密码：nE7jA%5m）输入以下的代码即可：****************************************************************************** * Copyright (c) 2004-2010 Hangzhou H3C Tech. Co., Ltd. All rights reserved. * * Without the owner's prior written consent, * * no decompiling or reverse-engineering shall be allowed. * ******************************************************************************Login authenticationUsername:useradminPassword:<中国电信>sysSystem View: return to User View with Ctrl+Z.[中国电信]firewall enable[中国电信]firewall default permit[中国电信]acl number 3000202.101.224.69 0-3000]rule 0 permit ip source 192.168.3.0 0.0.0.255 destination [中国电信-acl-adv-3000]rule 0 permit ip source 192.168.3.0 0.0.0.255 destination 202.101.224.68 0[中国电信-acl-adv-3000]rule 11 permit ip source 192.168.3.1 0[中国电信-acl-adv-3000]rule 12 permit ip source 192.168.3.2 0[中国电信-acl-adv-3000]rule 13 permit ip source 192.168.3.3 0[中国电信-acl-adv-3000]rule 14 permit ip source 192.168.3.4 0[中国电信-acl-adv-3000]rule 15 permit ip source 192.168.3.5 0ion 59.55.33.0 0.0.0.255ule 50 permit ip source 192.168.3.128 0.0.0.127 destinat [中国电信-acl-adv-3000]rule 100 deny ip[中国电信-acl-adv-3000]quit[中国电信]interface Vlan-interface 1[中国电信-Vlan-interface1]firewall packet-filter 3000 inbound[中国电信-Vlan-interface1] quit[中国电信] saveThe current configuration will be written to the device. Are you sure? [Y/N]:y Please input the file name(*.cfg)[flash:/startup.cfg](To leave the existing filename unchanged, press the enter key):flash:/startup.cfg exists, overwrite? [Y/N]:yValidating file. Please wait....Configuration is saved to device successfully.[中国电信]quit<中国电信>quit失去了跟主机的连接。
Juniper防火墙助内蒙古电力网络安全应用就目前的电力行业用户而言，电网和电厂无疑是电力行业用户的核心，而两者之间的信息沟通不可或缺。
自从电力行业组织机构重组和区域重新划分之后，厂网拆分以及三网融合，数据打击众等多种IT应用出现，不仅要求电厂，电网用户内部网络的互联互通，还要求二者开放更多的外界网络端口。
这种网络端口开放使用使得电力行业的信息安全问题由原来的仅限于内部事件，专变为现在来自外界的攻击将越来越多，原有的网络安全设计很难满足这种变化。
作为内蒙古自治区唯一独资大型电力企业，内蒙古电力资产总额348亿元，所属单位29个，员工28000人。
近年来内蒙古电力的信息化建设取得了快速的发展，目前已建起覆盖内蒙古所有12家供电企业及相关单位的宽带IP数据广域网。
该网络以省公司信息中心、包头供电局为核心节点，其他单位就近接入核心节点，主干带宽为622M，二级节点到主干带宽为155M，并采用千兆网络来构建城域网。
随着内蒙古电力信息网络业务的进一步推进和发展，网络安全建设成为重点。
来自外部网络的病毒和进攻不断增加，特别是大规模网络蠕虫病毒的泛滥，为内蒙古电力原有的安全设备造成了不小压力。
特别是全网的网络层和应用层的安全问题更是安全改造的重点。
为了加强并巩固广域网的信息安全，同时避免将来扩展和部署网络的复杂性，Juniper 公司对内蒙古电力公司数据中心网络平台的可靠运行进行了全面评测，并进一步分析出存在的安全隐患。
通过部署Juniper公司的ISG系列防火墙与IDP的最佳组合，把网络攻击有效地控制在小型的局域网范围内，确保了信息网络的正常运转。
解决全网的网络层和应用层安全防护问题。
根据安全域部署安全网关：ISG+IDP最佳组合内蒙古电力网络安全一期建设将全网划分为核心交换区、IDC应用区、办公区、Internet 区等区域。
此次Juniper公司采用安全网关/防火墙系统来对企业网络的所有不用安全域互联接口进行安全控制，包括Internet进出口控制，广域网进出口控制以及IDC进出口控制。
防火墙的实施方案防火墙是一种网络安全设备，用于保护内部网络免受来自外部网络的攻击，以及监控网络流量并控制对网络资源的访问。
以下是一个防火墙的实施方案，包括设计和部署过程。
步骤一：需求分析在实施防火墙之前，需要进行需求分析，明确组织的安全需求。
这包括确定需要保护的重要资源、网络安全威胁的类型和可能的攻击方法。
同时，需要确定防火墙的部署位置和规模，以便制定有效的防火墙策略。
步骤二：规划网络拓扑根据需求分析的结果，规划网络拓扑，设计合适的防火墙架构。
防火墙可以部署在边界或内部网络中，根据实际情况选择合适的位置。
同时，需要确定防火墙的数量和布局，确保网络流量可以有效地通过防火墙。
步骤三：选择合适的防火墙设备根据规划的网络拓扑，选择合适的防火墙设备。
根据需求选择厂商和型号，考虑各种因素，如性能、功能和价格。
同时，防火墙设备应支持各种安全功能，如访问控制、内容过滤和虚拟专用网络（VPN）。
步骤四：配置防火墙策略根据安全需求和网络拓扑，配置防火墙策略。
防火墙策略包括访问规则、地址转换、虚拟专用网络等。
访问规则定义了允许或禁止流量通过防火墙的规则，可以基于源地址、目标地址、端口号和协议等因素进行过滤。
地址转换可用于隐藏内部网络，并提供网络地址转换（NAT）功能。
虚拟专用网络用于建立安全的远程连接，例如分支机构与总部之间的连接。
步骤五：测试防火墙功能在部署防火墙之前，进行功能测试，确保防火墙正常工作。
测试包括流量过滤、地址转换和虚拟专用网络等方面。
例如，可以发送各种类型的流量到防火墙，并验证策略是否按预期工作。
步骤六：监控和更新部署防火墙后，需要进行监控和更新，以保持防火墙的有效性。
监控包括实时监视流量、记录事件和提供报警。
更新包括防火墙固件、策略和签名的定期更新，以防止新的安全威胁。
步骤七：持续优化根据实际情况，持续优化防火墙策略和配置。
根据网络流量和安全事件，调整访问规则和地址转换，以提高性能和安全性。
同时，定期进行安全评估和漏洞扫描，及时修补潜在的安全漏洞。
DPtech FW1000系列应用防火墙典型配置手册版本：v3.2软件版本：FW1000-S211C011D001P15发布时间：2018-12-07声明Copyright © 2008-2018杭州迪普科技股份有限公司版权所有，保留一切权利。
非经本公司书面许可，任何单位和个人不得擅自摘抄、复制本书内容的部分或全部，并不得以任何形式传播。
为杭州迪普科技股份有限公司的商标。
对于本手册中出现的其他所有商标或注册商标，由各自的所有人拥有。
由于产品版本升级或其他原因，本手册内容有可能变更。
杭州迪普科技股份有限公司保留在没有任何通知或者提示的情况下对本手册的内容进行修改的权利。
本手册仅作为使用指导，杭州迪普科技股份有限公司尽全力在本手册中提供准确的信息，但是杭州迪普科技股份有限公司并不确保手册内容完全没有错误，本手册中的所有陈述、信息和建议也不构成任何明示或暗示的担保。
杭州迪普科技股份有限公司地址：杭州市滨江区通和路68号中财大厦6层邮编：310051网址：技术论坛：7x24小时技术服务热线：400-6100-598约定图形界面格式约定各类标志约定表示操作中必须注意的信息，如果忽视这类信息，可能导致数据丢失、功能失效、设备损坏或不可预知的结果。
表示对操作内容的描述进行强调和补充。
目录1产品介绍 ........................................................................................................................................... 1-11.1产品概述.................................................................................................................................. 1-11.2产品特点.................................................................................................................................. 1-1 2设备基本配置维护案例...................................................................................................................... 2-12.1登陆防火墙设备Web界面....................................................................................................... 2-12.1.1组网说明........................................................................................................................ 2-12.1.2配置前提........................................................................................................................ 2-12.1.3注意事项........................................................................................................................ 2-12.1.4配置思路........................................................................................................................ 2-22.1.5配置步骤........................................................................................................................ 2-22.1.6结果验证........................................................................................................................ 2-32.2 Telnet/SSH远程管理防火墙..................................................................................................... 2-42.2.1组网说明........................................................................................................................ 2-42.2.2配置前提........................................................................................................................ 2-52.2.3注意事项........................................................................................................................ 2-52.2.4配置思路........................................................................................................................ 2-52.2.5配置步骤........................................................................................................................ 2-52.2.6结果验证........................................................................................................................ 2-62.3限制特定IP/特定协议管理防火墙 ............................................................................................ 2-72.3.1组网说明........................................................................................................................ 2-72.3.2配置前提........................................................................................................................ 2-72.3.3注意事项........................................................................................................................ 2-72.3.4配置思路........................................................................................................................ 2-72.3.5配置步骤........................................................................................................................ 2-82.3.6结果验证........................................................................................................................ 2-92.4保存/下载/导入防火墙配置文件.............................................................................................. 2-102.4.1组网说明...................................................................................................................... 2-102.4.2配置前提...................................................................................................................... 2-102.4.3注意事项...................................................................................................................... 2-102.4.4配置思路...................................................................................................................... 2-102.4.5配置步骤....................................................................................................................... 2-112.4.6结果验证...................................................................................................................... 2-132.5 Web页面升级防火墙软件版本 ............................................................................................... 2-132.5.1组网说明...................................................................................................................... 2-132.5.2配置前提...................................................................................................................... 2-142.5.3注意事项...................................................................................................................... 2-142.5.4配置思路...................................................................................................................... 2-142.5.5配置步骤...................................................................................................................... 2-142.5.6重启设备...................................................................................................................... 2-152.5.7结果验证...................................................................................................................... 2-152.6命令行升级软件版本.............................................................................................................. 2-152.6.1组网说明...................................................................................................................... 2-152.6.2配置前提...................................................................................................................... 2-162.6.3注意事项...................................................................................................................... 2-162.6.4配置思路...................................................................................................................... 2-162.6.5配置步骤...................................................................................................................... 2-162.6.6结果验证...................................................................................................................... 2-172.7 Conboot升级软件版本........................................................................................................... 2-172.7.1组网说明...................................................................................................................... 2-172.7.2配置前提...................................................................................................................... 2-172.7.3注意事项...................................................................................................................... 2-172.7.4配置思路...................................................................................................................... 2-182.7.5配置步骤...................................................................................................................... 2-182.7.6结果验证...................................................................................................................... 2-23 3基础转发典型配置案例...................................................................................................................... 3-13.1特性简介.................................................................................................................................. 3-13.1.1二三层转发的工作机制 .................................................................................................. 3-13.1.2安全域的工作机制.......................................................................................................... 3-13.2二层转发配置案例 ................................................................................................................... 3-23.2.1组网说明........................................................................................................................ 3-23.2.2配置前提........................................................................................................................ 3-33.2.3注意事项........................................................................................................................ 3-33.2.4配置思路........................................................................................................................ 3-33.2.5配置步骤........................................................................................................................ 3-33.2.6结果验证........................................................................................................................ 3-53.3三层转发配置案例 ................................................................................................................... 3-63.3.1组网说明........................................................................................................................ 3-63.3.2配置前提........................................................................................................................ 3-73.3.3注意事项........................................................................................................................ 3-73.3.4配置思路........................................................................................................................ 3-73.3.5配置步骤........................................................................................................................ 3-73.3.6结果验证...................................................................................................................... 3-10 4包过滤典型配置案例.......................................................................................................................... 4-14.1特性简介.................................................................................................................................. 4-14.2二层包过滤配置案例................................................................................................................ 4-14.2.1组网说明........................................................................................................................ 4-14.2.2配置前提........................................................................................................................ 4-24.2.3配置思路........................................................................................................................ 4-24.2.4配置步骤........................................................................................................................ 4-24.2.5结果验证........................................................................................................................ 4-74.3基于端口包过滤配置案例......................................................................................................... 4-74.3.1组网说明........................................................................................................................ 4-74.3.2配置前提........................................................................................................................ 4-84.3.3注意事项........................................................................................................................ 4-84.3.4配置思路........................................................................................................................ 4-84.3.5配置步骤........................................................................................................................ 4-84.3.6结果验证...................................................................................................................... 4-124.4基于应用包过滤配置案例....................................................................................................... 4-124.4.1组网说明...................................................................................................................... 4-124.4.2配置前提...................................................................................................................... 4-134.4.3注意事项...................................................................................................................... 4-134.4.4配置思路...................................................................................................................... 4-134.4.5配置步骤...................................................................................................................... 4-144.4.6结果验证...................................................................................................................... 4-184.5包过滤综合配置案例.............................................................................................................. 4-184.5.1组网说明...................................................................................................................... 4-184.5.2配置前提...................................................................................................................... 4-184.5.3注意事项...................................................................................................................... 4-194.5.4配置思路...................................................................................................................... 4-194.5.5配置步骤...................................................................................................................... 4-194.5.6结果验证...................................................................................................................... 4-245 NAT典型配置案例 ............................................................................................................................. 5-15.1特性简介.................................................................................................................................. 5-15.2源NAT配置案例 ..................................................................................................................... 5-25.2.1组网说明........................................................................................................................ 5-25.2.2配置前提........................................................................................................................ 5-25.2.3注意事项........................................................................................................................ 5-35.2.4配置思路........................................................................................................................ 5-35.2.5配置步骤........................................................................................................................ 5-35.2.6结果验证........................................................................................................................ 5-7 5.3目的NAT配置案例.................................................................................................................. 5-85.3.1组网说明........................................................................................................................ 5-85.3.2配置前提........................................................................................................................ 5-85.3.3注意事项........................................................................................................................ 5-95.3.4配置思路........................................................................................................................ 5-95.3.5配置步骤........................................................................................................................ 5-95.3.6结果验证...................................................................................................................... 5-13 5.4一对一NAT配置案例 ............................................................................................................ 5-135.4.1组网说明...................................................................................................................... 5-135.4.2配置前提...................................................................................................................... 5-145.4.3注意事项...................................................................................................................... 5-145.4.4配置思路...................................................................................................................... 5-145.4.5配置步骤...................................................................................................................... 5-155.4.6结果验证...................................................................................................................... 5-18 5.5静态端口块NAT配置案例（盒式）....................................................................................... 5-195.5.1组网说明...................................................................................................................... 5-195.5.2配置前提...................................................................................................................... 5-195.5.3注意事项...................................................................................................................... 5-205.5.4配置思路...................................................................................................................... 5-205.5.5配置步骤...................................................................................................................... 5-205.5.6结果验证...................................................................................................................... 5-23 5.6静态端口块NAT配置案例（框式）....................................................................................... 5-235.6.1组网说明...................................................................................................................... 5-235.6.2配置前提...................................................................................................................... 5-245.6.3注意事项...................................................................................................................... 5-245.6.4配置思路...................................................................................................................... 5-245.6.5配置步骤...................................................................................................................... 5-255.6.6结果验证...................................................................................................................... 5-28 5.7动态端口块NAT配置案例（框式）....................................................................................... 5-295.7.1组网说明...................................................................................................................... 5-295.7.2配置前提...................................................................................................................... 5-295.7.3注意事项...................................................................................................................... 5-305.7.4配置思路...................................................................................................................... 5-305.7.5配置步骤...................................................................................................................... 5-305.7.6结果验证...................................................................................................................... 5-345.8 NAT溯源典型配置.................................................................................................................. 5-345.8.1组网说明...................................................................................................................... 5-345.8.2配置前提...................................................................................................................... 5-355.8.3注意事项...................................................................................................................... 5-355.8.4配置思路...................................................................................................................... 5-355.8.5配置步骤...................................................................................................................... 5-365.8.6结果验证...................................................................................................................... 5-385.9 NAT综合配置案例.................................................................................................................. 5-385.9.1组网说明...................................................................................................................... 5-385.9.2配置前提...................................................................................................................... 5-395.9.3注意事项...................................................................................................................... 5-395.9.4配置思路...................................................................................................................... 5-405.9.5配置步骤...................................................................................................................... 5-405.9.6结果验证...................................................................................................................... 5-44 6链路负载典型配置案例...................................................................................................................... 6-16.1特性简介.................................................................................................................................. 6-16.2多运营商链路配置案例 ............................................................................................................ 6-16.2.1组网说明........................................................................................................................ 6-16.2.2配置前提........................................................................................................................ 6-26.2.3注意事项........................................................................................................................ 6-26.2.4配置思路........................................................................................................................ 6-26.2.5配置步骤........................................................................................................................ 6-26.2.6结果验证........................................................................................................................ 6-67 IPSec VPN典型配置案例 .................................................................................................................. 7-77.1特性简介.................................................................................................................................. 7-77.2网关-网关模式典型配置案例.................................................................................................... 7-87.2.1组网说明........................................................................................................................ 7-87.2.2配置前提........................................................................................................................ 7-97.2.3注意事项........................................................................................................................ 7-97.2.4配置思路........................................................................................................................ 7-97.2.5配置步骤........................................................................................................................ 7-97.2.6结果验证...................................................................................................................... 7-157.3 NAT穿越典型配置案例 .......................................................................................................... 7-157.3.1组网说明...................................................................................................................... 7-157.3.2配置前提...................................................................................................................... 7-167.3.3注意事项...................................................................................................................... 7-167.3.4配置思路...................................................................................................................... 7-167.3.5配置步骤...................................................................................................................... 7-167.3.6结果验证...................................................................................................................... 7-247.4客户端模式配置案例.............................................................................................................. 7-247.4.1组网说明...................................................................................................................... 7-247.4.2配置前提...................................................................................................................... 7-257.4.3注意事项...................................................................................................................... 7-257.4.4配置思路...................................................................................................................... 7-25配置步骤............................................................................................................................... 7-267.4.5结果验证...................................................................................................................... 7-317.5客户端模式第三方认证配置说明............................................................................................ 7-337.5.1 Radius认证设备端配置说明......................................................................................... 7-337.5.2 LDAP认证设备端配置说明........................................................................................... 7-348 SSL VPN 典型配置案列 .................................................................................................................. 8-378.1 SSL VPN 在线模式配置案列 ................................................................................................. 8-378.1.1组网说明...................................................................................................................... 8-378.1.2配置前提...................................................................................................................... 8-378.1.3注意事项...................................................................................................................... 8-388.1.4配置思路...................................................................................................................... 8-388.1.5配置步骤...................................................................................................................... 8-388.1.6结果验证...................................................................................................................... 8-428.2 SSL VPN 旁路模式配置案列 ................................................................................................. 8-448.2.1组网说明...................................................................................................................... 8-458.2.2配置前提...................................................................................................................... 8-458.2.3注意事项...................................................................................................................... 8-458.2.4配置思路...................................................................................................................... 8-458.2.5配置步骤...................................................................................................................... 8-468.2.6结果验证...................................................................................................................... 8-538.3 SSL VPN IOS客户端接入配置案列..................................................................................... 8-548.3.1组网说明...................................................................................................................... 8-548.3.2配置前提...................................................................................................................... 8-558.3.3注意事项...................................................................................................................... 8-55。
第 一 章 方案概述 1.1 防火墙技术比较 通过对目前网络安全系统应用现状的分析，可以看出，用户需要的是性能稳定、运行高速的防火墙产品，以保证应用的业务连续性。 我们觉得，在进行防火墙选择时需要考虑以下几个方面 是否选择硬件或软件防火墙； 是否选择包过滤、代理或状态防火墙；
1.1.1 防火墙平台分析 目前的防火墙从使用平台上有硬件防火墙、软件防火墙两种。
硬件防火墙 软件防火墙 用专用芯片处理数据包，CPU只作管理之用。 运行在通用操作系统上的能安全控制存取访问的软件，性能依靠于计算机CPU,内存等。
使用专用的操作系统平台，避免了通用性操作系统的安全性漏洞。
基于众所周知的通用操作系统（如WINDOWS,
LINUX, UNIX等），对底层操作系统的安全依赖性很高。
高带宽，高吞吐量，真正线速防火墙。 即实际带宽与理论值可以达到一致。 由于操作系统平台的限制，极易造成网络带宽瓶颈 实际所能达到的带宽通常只有理论值的20%--70%。 管理简单，快捷，更提供Web方式管理。 管理复杂，与系统有关，要求维护人员必须熟悉各种工作站及操作系统的安装及维护。 硬件防火墙有可分为ASIC架构、NP架构和X86架构三种。
ASIC架构 ASIC防火墙通过专门设计的ASIC芯片逻辑进行硬件加速处理，非常适合对吞吐量和时延指标要求较高的电信级大流量的处理。 NP架构 NP是介于两者之间的技术，使用NP开发的难度和灵活性都介于ASIC和x86构架之间。
X86架构 x86架构的产品已经发展多年，但其性能发展却受到体系结构的制约，作为通用的计算平台，x86的结构层次较多，不易优化，且往往会受到PCI总线的带宽限制。
1.1.2 防火墙实现方式分析 防火墙实现方式有包过滤、应用代理和状态检测三种。
包过滤 检查每个在网络间被传送的IP数据包中的内容，并根据它们的地址及指定的应用服务来决定接受或拒绝这个数据包。
应用代理 在网络应用层上建立协议过滤和转发功能。它针对特定的网络应用服务协议使用指定的数据过滤逻辑，并在过滤的同时，对数据包进行必要的分析、登记和统计，形成报告。
状态检测 只在同一台主机上打开一个限时的窗口回应该数据包，并且通过保留前一个数据包的信息（比如，“state”数据），状态检测防火墙可以快速的确认符合授权流通标准的数据包，这使它们本身的运行非常快速。
性能比较如下 状态检测 应用代理 包过滤 速度/性能 高 中等 高 成熟性/保护 高 高 低 灵活性/新服务或应用程序 高 低 中等
1.2 系统设计概述 Juniper防火墙产品均为基于ASIC芯片的状态检测型硬件防火墙。 Juniper的NetScreen-ISG 2000是基于下一代体系结构而完全由Juniper公司设计的面向应用安全的高性能硬件防火墙，其中包括一个第4代安全ASIC，即GigaScreen3、高速微处理器和可扩展的安全模块，可以提供要求最高的网络安全区控制需要的可预测的多千兆位性能，集成了一流的深层检测防火墙、VPN和DoS防护解决方案，因此可以实现安全、可靠的连接和网络及应用级防护功能来保护关键的大流量网络分段。NetScreen-ISG 2000的硬件结构示意图如下：
各模块的功能如下： 1、管理模块：管理模块上有2个1Ghz的PowerPC的CPU，以及1－2GB的内存，主要对会话的第一个数据包进行处理，双 CPU 结构实现了并行处理，提高了整体性能和安全保护能力，策略查找通过FPGA芯片实现。 2、ASIC芯片模块：上有GigaScreen3 的ASIC芯片和512MB的SDRAM，Juniper的硬件防火墙的最新一代安全 ASIC 技术，具有突破性的硬件性能，可达4 Gbps 防火墙吞吐，具有多重内嵌处理器支持新功能的加速，对会话的后续数据包进行稳定的高速转发而不占用管理模块的CPU处理资源；同时抗拒绝服务攻击也基于ASIC芯片实现硬件处理。 3、安全模块：可选项，可配置0－3块。安全模块其实是刀片式IDP，上有2个1Ghz的PowerPC的CPU，以及2GB的内存，让防火墙具备基于单独专用硬件的对应用层流量进行入侵检测和防护处理的能力。 第 二 章 防火墙系统设计 2.1 Juniper特点-强大的ASIC功能 Juniper的安全机制采用ASIC，在硬件中处理防火墙访问策略和加密算法，这方面运算的速度是软件类方案不能相比的；同时它还可以省出中央处理器资源用于管理数据流。这种安全加密的ASIC更可与Juniper的ScreenOS操作系统和系统软件紧密地集成起来，与其他基于通用的商用操作系统的安全产品相比，Juniper产品消除了不必要的软件层和安全漏洞。Juniper将安全功能提升到系统层次，更可以节省建立额外平台带来的开支。目前，其他采用PC或工作站作为平台的软件类方案，往往令系统性能大打折扣。 正是由于采用了高性能的专用ASIC芯片，所以Juniper的安全产品的性能不仅仅在实验室网络环境下都能够发挥出高水平，在实际的生产网络环境中同样可以保持高性能。ISG2000对64byte小包的吞吐在2Gbps以上，1518Byte的大包吞吐达4Gbps。
2.2 Juniper特点-应用层攻击防护 为进一步提高网络和应用的安全性，Juniper的防火墙上均配置了深层检测（Deep Inspection）服务，以提供应用层级别的攻击防护。 Juniper的深层检测（DI）防火墙被设计用来对Internet上常见的协议（如HTTP, SMTP, IMAP, POP, FTP和DNS等）的应用层保护。对这些协议，深层检测（DI）防火墙采用和数据接收方相同的方式来理解应用层信息。为了精确地理解应用层信息，深层检测（DI）防火墙实施包碎片重组，次序重组，去除无用信息和信息正常化处理。一旦深层检测（DI）防火墙按这些方法重组出了网络流量，它就用协议异常检测和服务域攻击特征匹配的方法来对流量里的攻击进行防护。 作为Juniper最新一代防火墙，ISG2000还提供可扩展的内部插槽，可以插1-3块硬件安全模块（需要NS-ISG-2000-IKT和NS-ISG-SEC），提供高性能的完整的入侵检测和防护（IPS）功能。采用硬件模块实施应用层入侵检测和防护时性能可以达到2Gbps，并且攻击特征库达3600个以上。Juniper网络公司ISG2000中的应用层防护模块先进的攻击防护功能具有以下特点： 多种检测方法，包括复合签名、状态签名、协议异常以及后门检测。 开放式签名格式允许管理员查看攻击字符串如何匹配攻击签名，并根据需求对签名进行编辑。这种理解和定制级别允许管理员定制攻击签名，以满足独特的攻击要求。 全面的签名定制通过提供更高的控制能力，以适应签名的特定要求，从而增强检测独特攻击的能力。 o 复合签名：能够将状态签名和协议异常结合到单个攻击对象中，以检测单个会话中的复杂攻击，从而提高检测速度。 o 400多个定制参数和Perl式的常规表达式：能够定制签名或创建完全定制的签名。
2.3 Juniper特点-网络层攻击防护 Juniper的防火墙上均配置了防30多种网络层攻击的功能，尤其是ISG2000防火墙，具备硬件防攻击的能力，在抗攻击的同时不影响防火墙的性能。以下是两种防御机制的介绍： SYN Attack（SYN 攻击）：当网络中充满了会发出无法完成的连接请求的SYN 封包，以至于网络无法再处理合法的连接请求，从而导致拒绝服务(DoS) 时，就发生了SYN 泛滥攻击。防火墙可以采用Syn Proxy和Syn Cookie两种机制进行防御，其中Syn Proxy机制里是先对数据包进行策略匹配，匹配通过的syn包如果每秒超过了阀值（阀值可以基于目的地址和端口、或目的地址、或源地址进行设置），则开启防御机制，新的syn包就由防火墙做应答syn/ack，并放入队列，等待应答ack是否超时，超时则丢弃；Syn Cookie机制则是完全无连接状态的，每秒的syn包超过阀值就开启防御机制，防火墙做syn的应答syn/ack，并在syn/ack应答里嵌入加密的cookie，如果接收到的ack里有该cookie，则是正常连接。 Limit session（限制会话）：NetScreen 设备可限制由单个IP 地址(源或目的)建立的会话数量。例如，如果从同一客户端发送过多的请求，就能耗尽Web 服务器上的会话资源。此选项定义了每秒钟NetScreen 设备可以为单个IP 地址建立的最大会话数量。（缺省阀值为每个IP 地址每秒128个会话。）对源地址进行回话数的限制可以避免感染Nimda等病毒的服务器发出太多的回话请求避免防火墙的回话表被填满。对目的地址进行回话数的限制则可以防止DDoS的攻击，使得目标服务器得到太多的虚假的连接请求。
2.4 防火墙实施网络安全隔离与访问控制 XX网DMZ区出口配置2台相同配置的ISG2000 的防火墙（2台防火墙间有HA连接）。如果配置为路由模式，Juniper的防火墙可实现主/主方式的负载分担（如果流量很大，峰值超过单台防火墙的处理能力）或主备方式（如果流量不大，峰值不超过单台防火墙的处理能力）；如果配置为透明模式，则可实现主备方式。根据防火墙所处位置、实际流量、实施管理方便性的考虑，建议对这两台防火墙采用路由模式下的主备方式。ISG2000防火墙配置了4个GE光口，其中1个GE口配置成HA端口，另外的2个GE口做数据接口，分别接上联和下联的交换机。 路由模式下可以实施更多的功能，如：逻辑子接口终结Vlan，IPsec VPN的终结，路由等； 基于安全区的安全配置 由于ISG2000防火墙处在xxDMZ区出口的边界的位置，所以在防攻击上需要针对安全区来进行防网络层和应用层攻击的设置。 基于安全区可以设置以下的防攻击内容： SYN Attack（SYN 攻击）
ICMP Flood（ICMP 泛滥） UDP Flood（UDP 泛滥） Port Scan Attack（端口扫描攻击） Limit session（限制会话） SYN-ACK-ACK Proxy 保护 SYN Fragment（SYN 碎片）
