联想防火墙Power V 316与华为Quidway SecPath 100F对比(百兆)

Quidway® Eudemon100 防火墙 产品概述Quidway® Eudemon100 守护神 防火墙Quidway® Eudemon100 守护神防火墙是华为技术有限公司的一款专用防火墙设备 提供 完善的防火墙安全特性和 VPN 服务 提供比路由器更加强大的网络地址转换服务 具有更大的 连接能力和更高的处理能力 此外 还支持 H.323 等应用网关 可以全面支持视频会议的组网 要求 提供完善的视频会议解决方案Quidway® Eudemon100 防火墙硬件结构采用盒式结构平台 与 Quidway® R 系列路由器 的结构一致 扩展模块采用插拔式 安装与维护操作简单 方便 Quidway® Eudemon100 防 火墙提供两个固定快速以太网端口 同时具有模块可扩展性 可以通过扩展 1FE 1 端口快速以 太网 模块来扩充以太网接口 最多可以扩展两块 1FE 模块 即最多共支持四个 10/100Mbit/s 自适应以太网接口 整机支持交流 直流两种供电方式产品特性软件操作系统采用 VRP Versatile Routing Platform 通用路由平台 系统 其市场定位为 具有安全特性 NAT 特性 VPN 等特性的防火墙设备 作为重要数据服务器前端的防火墙设备 和企业网出口的安全防护 业务网关设备 Quidway® Eudemon100 防火墙也是客户开展多媒 体业务的必备设备 该设备可以解决公用网地址不足的问题 满足企业网内部多个专用网之间的 互通 实现三网合一方案 为业务提供有效的安全保障 还可以作为 VPN 网关 实现远程访问 网络到网络等多种 VPN 组网安全特性 l 支持包过滤 提供标准或扩展的 ACL Access Control List 访问控制列表 可根据 IP报文多种信息进行包过滤 l 基于接口和时间段的包过滤防火墙 应用标准或扩展访问控制规则过滤数据包 不仅保护内部网络免遭外来攻击 还可以有效控制内部主机对外部资源的访问 形成内外网络之间的安 全保护屏障 l 针对分片报文指定过滤规则 并对违反规则的报文进行日志记录 华为技术有限公司 数据通信产品部1Quidway® Eudemon100 防火墙 产品概述l 支持状态检测 应用代理等防火墙功能 华为 ASPF(Applied Specific Packet Filter) 技术可 实现对每一个连接状态信息的维护监测并动态地决定数据包过滤 ASPF 是一种高级通信过 滤 它检查应用层协议信息并且监控基于连接的应用层协议状态 对于所有连接 每一个连 接状态信息都将被 ASPF 维护并用于动态地决定数据包是否被允许通过防火墙或丢弃l 通过 ASPF 可以为内部网络的提供更高级的安全保护 通过 ASPF 的检测 可以保证所有 建立的连接都是合法连接 防止地址欺骗 身份伪造等恶意攻击行为l 通过 ＡＳＰＦ，可支持对 TCP UDP SMTP HTTP FTP RTSP H.323 等协议的状态监控 l 可支持 IDS 检测和防 DoS 功能 Denial of Service 服务拒绝 可以对 http 中的 java 小程序进行检测 防止恶意的 java 小程序对主机造成的损害 l 可以通过灵活的配置实现对 DMZ 区的需求,可以选择四个 FE 口中的任何一个 FE 口作为DMZ 区端口 l 包过滤防火墙 状态防火墙应用在接口的输入或输出方向上 不仅保护内部网络免遭外来攻击 还可以有效控制内部主机对外部资源的访问 形成内外网络之间的安全保护屏障 l 按照 ITU-T RADIUS 协议规范实现 AAA Authentication Authorization and Accounting验证 授权和计费 功能 构建分布式的客户/服务器安全访问应用 依据 PAP Password Authentication Protocol 口令验证协议 和 CHAP Challenge Handshake Authentication Protocol 盘问握手验证协议 认证规范 为用户提供安全的认证 授权和计费服务 避免 未授权访问 l 支持 IPSec IP Security 网际协议的安全 提供 DES Data Encryption Standard 数据 加密标准 3DES 的加密算法 也提供 MD5 Message Digest Algorithm 5 消息分类算 法 5 的加密认证算法 l 支持的 IPSec 系列协议可通过采用手工配置或自动协商密钥两种方式 在传输或隧道模式 下能够单独或组合应用 AH Authentication Header 确认报头 和 ESP Extended Services Processor 扩展业务处理器 安全协议 对整个 IP 报文或数据载荷内容进行不同粒度级别 的加密和认证 从而提供验证数据源 校验数据完整性和防止报文重放等 ESP 还提供加 密 功能 结合 ACL 访问控制列表共同确保数据信息在 Internet 上传送的安全保密性 l 遵照 ISAKMP Internet Security Association and Key Management Protocol 因特网相 关安全和密钥管理协议 协议框架和 IKE Internet Key Exchange 因特网密钥交换 协议 实现自动密钥交换功能 简化了 IPSec 的使用和管理NAT 服务 l 提供完善的地址转换服务,可实现多对多的地址转换 限制局部地址转换 内部服务器等服华为技术有限公司 数据通信产品部2Quidway® Eudemon100 防火墙 产品概述务 l 支持 ITU-T H.323 协议族 因此可以在不增加任何其他非会议电视设备 H.323 组件 的前提下 实现跨 NAT 的 H.323 通讯 l NAT 支持 RAS Reliability Availability and Serviceability 可靠性 可获得性 可服务性Q.931 H245 消息 能够和多媒体 MCU Multipoint Control Unit 多点控制单元 GK Gatekeeper 网守 以及终端等设备灵活组网 支持公用网到专用网 专用网到专用网间的呼叫 l 可支持 ICMP NBT 协议 l 支持 DNS Domain Name System 域名系统 Netmeeting 网络会议 服务 l 提供优质的 NAT 性能 最大同时连接数为 50 万个 每秒发起 TCP 连接数为 2000 个 转发性能大于 70kppsVPN 特性 l 利用 Quidway® Eudemon100 防火墙可以实现构建多种 VPN 网络 支持远程访问 VPN 和网络到网络等多种 VPN 组网 l Intranet VPN 通过公用网络互连企业各个分布点 作为传统专线网络或其它企业网的扩展及替代形式 l Access VPN 为 SOHO Small Office,Home Office, 小办公室 家庭办公室 等小型用户搭建通过 PSTN/ISDN 网络访问公司总部资源的安全通路 l Extranet VPN 将企业网络延伸至合作伙伴与客户处 使不同企业间通过公用网安全地进行专用的通讯 l 支 持 L2TP(Layer Two Tunneling Protocol 二 层 隧 道 协 议 ) GRE(Generic RoutingEncapsulation 通用路由封装)协议 l 支持 VPN 内部和 VPN 之间的会议电视互通 l 支持 IPSec 提供 DES 3DES MD5 的加密算法 遵照 ISAKMP 协议框架和 IKE 协议实现自动密钥交换功能 可构建远程访问 网络到网络等多种 VPN 组网QoS 特性 l QoS Quality of Service 服务质量 主要通过流量分类 流量监管 拥塞管理 拥塞避免和流量整形等措施对广域网或局域网络上的流量进行管理 最大限度地降低延迟 抖动等因 素对传输信息的影响 针对不同需求提供多种不同的服务质量 l QoS 可以按照 IP 报文头 TOS Type Of Service 业务类型 字段识别不同优先级的流量华为技术有限公司 数据通信产品部3Quidway® Eudemon100 防火墙 产品概述或结合链路层 网络层 传输层的相关信息对报文进行分类 从而可以对不同类别的数据流 量提供有区别的服务 CAR Committed Access Rate 保证接入速率 技术正式将网络流 量划分为多个优先级别或服务类型 通过丢弃报文或重新设置报文优先级等措施来限制某类 报文的流量 从而实现流量监管的目的 l QoS 可以实现 FIFO(First In First Out 先进先出) PQ Priority Queue 优先级排队 CQ Custom Queuing 习惯排队 和 WFQ Weighted Fair Queueing 加权公平排队 四种队列进行流量管理 分别提供报文先进先出 高优先级被优先处理 为指定流量预留带 宽 对流量进行加权公平处理等拥塞管理策略 灵活的满足各类报文的服务质量 l 为了避免拥塞发生 QoS 采用 WRED Weighted Random Early Detection 加权随机早期 检测 技术监控缓冲区的使用情况 对即将发生的拥塞进行预防 从而有效地避免了拥塞的 发生 l QoS 采用令牌桶机制实现流量整形 如采用 GTS(Generic Traffic Shaping 通用业务整型) 限制流出某一网络的某一突发流量 从而确保报文以比较均匀的速度向外发送 消除了部分 造成拥塞的前提条件 l 支持 ＤｉｆｆＳｅｒｖｅｒ 以实现会议电视应用和非会议电视应用的分流 在带宽有限的情况下保证 会议电视应用的 Ｑｏｓ l 采用 QOS 特性可实现对于用户约定流量 攻击流量等特征流的带宽管制服务操作维护系统功能及特点 l 硬件结构采用盒式结构平台 与 Quidway® R 系列路由器的结构一致 扩展模块采用插拔式 安装与维护操作简单 方便 l 软件操作系统采用 VRP Versatile Routing Platform 通用路由平台 系统 VRP 是华为公司具有完全自主知识产权的网络操作系统 可以运行在多种硬件平台之上并拥有一致的网 络界面 用户界面和管理界面 便于用户使用和管理 l 采用专用 ＶＲＰ 网络操作平台和硬件平台架构 避免采用通用平台架构防火墙的自身漏洞和不 安全性 不可靠性 l VRP 系统操作采用命令行方式 与 Quidway® R 系列路由器产品命令行一致 与主流命令 行配置方式相兼容 提供了丰富的命令参数在线帮助信息 l 系统支持中英文两种语言 l 支持完全帮助和部分帮助 l 配置管理界面支持命令行和网管两种用户接口方式 l 支持 SNMP Simple Network Management Protocol 简单网络管理协议 可以通过网管华为技术有限公司 数据通信产品部4Quidway® Eudemon100 防火墙 产品概述来实现对设备的日常管理和维护 监控设备状态 设置设备基本参数 l 可以通过拨号或远程登录对系统进行远程维护 l 软件系统具有可安装 可升级性网管系统 l 支持 SNMP V3 NMS Network Management System 网管站 和 Agent 代理 之间通过该协议通讯 NMS 通过向 Agent 发送请求来进行对 Agent 上的管理变量的操作 Agent 接到请求后通过发送 Response 来向 NMS 返回操作的结果 当 Agent 上发生异常时 Agnet 通过向 NMS 发送 Trap 或者 Notification 来通知 NMS l 提供 SNMP 中的 Agent 侧的功能 即接收 NMS 的请求报文 处理完毕后返回应答报文 当设备发生异常或者运行状态发生变化时 将向 NMS 发送 Trap 报文 报告设备当前的状 况 l 可通过网管来实现对设备的日常管理和维护 监控设备状态 设置设备基本参数 可通过拨 号或远程登录对系统进行远程维护 l 支持 MIB 监控和管理 l 还可支持 VPN 隧道的远程管理 l 配置管理界面支持命令行和网管两种用户接口方式 其中命令行方式与 Quidway® R 系列路 由器产品命令行一致 与业界主流命令行配置方式兼容 l 提供了丰富的命令参数在线帮助 支持中英文两种语言 支持完全帮助和部分帮助 l 支持防火墙日志 NAT 日志等功能 可通过控制台进行输出显示 日志信息可送到 SYSLOG 服务器 可通过控制台 SYSLOG 以及 SNMP 陷阱进行通知 特定流跟踪记录功能可靠性 l 产品平均无故障间隔时间 MTBF 设计指标 46.74 年 l 系统具有 WatchDog 看门狗 当系统出现异常时 可以在一定时间内重置系统 完全恢复系统的所有功能 近可能减小系统和通讯中断的时间 l 提供整机热备份机制 系统提供 VRRP Virtual Router Redundancy Protocol 虚拟路由器容错协议 特性 通过虚拟路由器技术可以构建备份设备组 当主用设备出现故障时 备份 设备能够自动运行并取代故障设备而成为新的主用设备 l 防火墙之间的双机热备不需要独立的 HA 接口连接 只要两台备份防火墙之间的正常业务接 口路由可达即可 有效节省用户投资 l Quidway® Eudemon100 防火墙获得了公安部 UL TUV 安规认证和 CE 认证华为技术有限公司 数据通信产品部5Quidway® Eudemon100 防火墙 产品概述Quidway® Eudemon100 组网应用防火墙应用方案 Quidway® Eudemon100 防火墙支持包过滤 状态检测防火墙和防 DoS Denial ofService 拒绝服务 功能 基于接口和时间段的包过滤防火墙 应用标准或扩展访问控制规则 过滤数据包 不仅保护内部网络免遭外来攻击 还可以有效控制内部主机对外部资源的访问 形 成内外网络之间的安全保护屏障状态防火墙是一种高级的通信过滤 它不仅检测网络层和传输层的信息 而且能够检测应用 层协议的信息 如 FTP 连接信息 从而获取 TCP 或 UDP 会话的状态 状态防火墙监控基于连 接的应用层协议状态 并维护每个连接的状态信息 并根据此状态信息来动态决定数据报文是否 被允许通过防火墙 状态防火墙能够检测防火墙任意一侧发起的会话 可以防止来自网络外部的 恶意攻击防火墙应用组网图华为技术有限公司 数据通信产品部6Quidway® Eudemon100 防火墙 产品概述多媒体应用组网方案 拥有私有地址的局域网 经由具有合法公有 IP 地址的 Quidway® Eudemon100 防火墙设备可以和其他局域网的视频终端 Internet 网络上的视频终端进行视频会议通信 从而提供完善的 多媒体视频会议的解决方案提供多个 10M/100M 自适用的以太网接口 上行通道可以通过以太网接入到 Quidway® R3600/2600 Quidway® NE16/08 Quidway® 以太网交换机等设备 下行通道可以通过交换 机 HUB 等设备连接一个局域网 Quidway® Eudemon100 防火墙设备提供的丰富的业务和安 全特性 满足企业局域网接入 Internet 的各种需求 如安全 VPN QOS 等Quidway® Eudemon100 防火墙的 NAT 特性支持 H.323 协议 可以识别 H.225.0 RAS Q.931 H.245 消息 完成对这些报文载荷的地址转换 从而使得 Quidway® Eudemon100 防 火墙设备可以完全透明地支持多媒体应用多媒体应用组网图VPN 解决方案 Quidway® Eudemon100 防火墙支持丰富的 VPN QOS 加密特性 可以做为企业的 VPN网关 构建企业高效 安全的 VPN 网络 Intranet VPN 通过公用网络互连企业各个分布点 作为传统专线网络或其它企业网的扩展及替代形式 Access VPN 为 SOHO 等小型用户搭建通过 PSTN/ISDN 网络访问公司总部资源的华为技术有限公司 数据通信产品部7Quidway® Eudemon100 防火墙 产品概述安全通路 Extranet VPN 将企业网络延伸至合作伙伴与客户处 使不同企业间通过公用网进行 安全 私有的通讯VPN 解决方案组网图数据加密解决方案 Quidway® Eudemon100 防火墙支持 IPSec 通过采用加密 数据源验证 完整和真实性检查 确保数据信息在 Internet 上安全传送 因此可以避免 Internet 网络中的数据被窃听和篡改 在公司总部和分公司 办事处的局域网出口处各设置一台 Quidway® Eudemon100 防火墙作为数据加密/解密设备 为 Internet 网络上的数据传输提供安全保障数据加密组网图Eudemon100 防火墙性能指标表 1 Eudemon100 防火墙系统特性华为技术有限公司 数据通信产品部8Quidway® Eudemon100 防火墙 产品概述项目扩展插槽数量防火墙性能 ACL 规则数 会话连接数 每秒种会话建立数 VPN 连接数 处理器 NVRAM Non-Volatile Random Access Memory 非易失随机读写存储器 Boot ROM (启动只读存储器)SDRAM 同步动态随机存储器Flash Memory (闪速存储器) 外型尺寸(W H D) 重量输入电压最大输入电流最大功率 工作环境温度 工作环境相对湿度 产品平均无故障间隔时间MTBFEudemon100 描 述 两个固定快速以太网端口 同时具备 2 个扩展插 槽 可扩展两块 1FE 模块 最多 4 个 FE 端口 70KPPS 2000 条 100,000 连接数 2000 连接数/秒 2000 条 MPC8240 250MHz128KB512KB 缺省 128MB 最大 256MB 8MB 442mm 44.4mm 413mm 不含脚垫 6kg AC 100 240V (50/60Hz) DC -48V -65V AC 2A DC 5A 60W 0 40 10 90% 不结露 46.74 年功能模块 互连协议特性说明 局域网 广域网 拨号网络VPN表 2 Eudemon100 防火墙业务特性支 持 Ethernet_II 和 Ethernet_SNAP Protocol 子网接入协议 帧结构支持 PPP 及 PPPOESubnetwork Access支持按需拨号支持二层隧道协议 L2TP 实现 VPDN (VirtualPrivateDialup Network,虚拟专用拨入网) 支持 DNIS Digital NumberIdentification Service 数字号码识别业务 用户 域名用户 全名用户支持三层隧道协议 GRE Generic Routing Encapsulation 通用路由封装支持 IPSec华为技术有限公司 数据通信产品部9Quidway® Eudemon100 防火墙 产品概述功能模块 网络协议网络安全特性说明IP 服务IP 性能 IP 路由 组播路由 AAA 认 证 授权和 计费 状态防火 墙包过滤防 火墙NAT数据安全支持 ARP Address Resolution Protocol 地址解析协议 支持静态域名解析 IP 地址借用 支持 IP 包过滤 支持 IP 快速转发 支持 IP 选项报文 支持 DHCP Dynamic Host Configuration Protocol 动态主机配 置协议 中继 支持 TCP(Transmission Control Protocol,传输控制协议)报文头 压缩 支持静态路由 支持 IP 策略路由 提供组播路由表 实现 ＩＰ 报文组播转发 内部设备能收到组播报文 同时也可以加入组播组 提供 PPP Login 登录用户认证 支持 RADIUS 支持本地认证 支持 PAP CHAP 验证 支持 SMTP Simple Mail Transfer Protocol 简单邮件传送协 议 H.323 HTTP Hyper Text Transport Protocol 超级文本 传送协议 FTP File Transfer Protocol 文件传送协议 TCP UDP User Datagram Protocol 用户数据报协议 SMTP 等状 态检测 支持防 DoS 攻击 支持标准访问控制列表 支持扩展访问控制列表 支持基于接口的访问控制列表 支持基于时间段的访问控制列表 支持局域网内用户使用地址池中的 IP 地址访问外部网络 支持利用访问控制列表控制地址转换 支持直接利用接口的地址进行地址转换 Easy IP 支持外部网络主机访问内部的服务器 支持地址转换的有效时间 支持 H.323 支持 ICMP 支持 DNS 协议 支持 NetMeeting 支持 NBT NetBios over TCP 支持终端访问安全 用户分级保护 EXEC 用户登录认证 支持 IPSec 提供隧道 传输两种封装模式 支持 AH 和 ESP 安 全认证 支持 IKE 自动协商安全密钥并建立安全联盟网络可靠 性热备份支持 VRRP 虚拟路由器容错协议华为技术有限公司 数据通信产品部10功能模块 特性说明流量分类和流量监管 支持CAR ºÍ±¨ÎÄÓÅÏȼ¶物理接口限速限制物理接口发送报文的总速率流量整形利用缓冲区和令牌桶通用流量整形先进先出队列优先级队列定制队列加权公平队列ＱｏＳ加权随机早期检测实现基于流的拥塞避免命令行接口通过Console 口未授权用户无法侵入设备提供详尽的调试信息如tracert ѸËÙÕï¶ÏÍøÂçÊÇ·ñÕý³£提供日志功能 配置管理终端服务网络管理支持SNMP v3115200bps,缺省9600bps 115200bps,缺省9600bps配置指南主机选配表4 Eudemon100 防火墙主机选购一览表 描述 数量 备注 防火墙主机1 必配(1) 扩展快速以太网接口板2 选配 扩展SDRAM128M选配电缆选配表5 Eudemon100 防火墙线缆选购一览表 项目描述 数量 备注 标准网线 2 选配 配置口电缆 1 必配 备份口电缆 1 必配 交流电源线 1 选配 直流电源线1选配项目描述数量备注接地线 1 必配。

联想网御强五(PowerV)系列防火墙网御强五系列防火墙是网御产品中的重要一员，它是专门为企业级用户打造的高可用的安全产品。

它利用精心设计的网御防火墙操作系统，基于IA架构，充分发挥了硬件的高效数据交换能力和系统并行处理能力，实现了高性能与高安全性的完美结合。

◆产品图片：◆产品特点：1、强适用性网络部署灵活，适应多种复杂网络环境和接入模式。

支持各种应用代理及多种基于动态协议的复杂应用。

提供灵活多样的VPN客户端接入方式。

2、强安全性采用增强型抗攻击技术，可防范各种常见类型的网络攻击。

3、强可靠性拥有国内唯一的防火墙HA集群技术，可实现四个防火墙集群的主动负载均衡。

4、强扩展性软件设计采用安全功能模块化和核心模块核外化技术，模块升级简便，充分保障用户的投资利益。

5、强管理性支持多种管理方式，提供完善的日志管理和审计功能，有效降低管理成本注：强五系列产品“并发连接数”可根据用户需求定制升级,具体型号的参数未列做说明！◆典型应用：典型应用一：高可靠全链路冗余应用环境电信网络和许多骨干网络的可靠性要求很高，不允许出现因为设备的故障造成网络的不可用，因此在电信网络和骨干网络中加入防火墙的时候也必须考虑到这个问题，下图为联想网御防火墙Power V在骨干网络中应用的例子。

正常情况下两台防火墙均处于工作状态，可以分别承担相应链路的网络通讯。

当其中一台防火墙发生意外宕机、网络故障、硬件故障等情况时，该防火墙的网络通讯自动切换到另外一台防火墙，从而保证了网络的正常使用。

切换过程不需要人为操作和其他系统的参与，切换时间可以以秒计算。

同时，防火墙之间的其中一条链路用于实现状态表传送，当一台防火墙故障时，这台防火墙上的连接可以透明的、完整的迁移到另一台防火墙上，用户不会觉察到有任何变化。

防火墙之间的另外一条链路用于数据通讯，增加网络链路的冗余，增强可靠性。

典型应用二：骨干网内网分隔环境据赛迪(CCID)统计报告，网络攻击有70%以上来自于企业内部，因此，保护公司网络的安全不仅要保护来自互联网的侵害而且要防止内部的攻击。