hillstone-sa-2001a

《hillstone-sa-2001a》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、HillstoneSA-2001A安全网关是Hillstone山石网科专为中型企业用户而设计的多功能、高性能网络安全解决方案，适用于300-500个用户的网络环境。SA-2001A集安全接入、VPN接入、防火墙、流量过滤等功能于一身。采用业界先进的多核Plus网络安全架构和Hillstone自主开发的专用安全芯片StoneASICTM，高达48Gbps的内部交换总线，使SA-2001A能够避免传统ASIC和NP安全系统会话创建能力及流量控制能力弱的弊病，性能方面有着良好的表现。　　在操作系统方面，

2、SA-2001A内置Hillstone山石网科自主开发的64位实时并行操作系统StoneOS，采用模块化设计结构，功能强大且易于扩展。在网络访问控制以及网络资源分配方面，SA-2001A除了支持面向IP的传统网络管理方式，还提供了以用户为对象的新型网络管理服务模式。与传统的以IP为对象的网络服务模式相比，面向用户的网络服务（RBNS）模式可以通过对访问者身份的审核和确认，确定访问者的访问权限，合理地分配网络资源，无论在控制的力度上还是在精细度上都有着更加高效和灵活的表现。作为一款安全网关产品，SA

3、-2001A提供了完善的防御各种网络攻击的能力，如DoS攻击、Flood攻击、ARP攻击等；在用户上网行为管理和网络服务管控方面，SA-2001A内置了161条安全服务条目，其中面向用户应用的安全条目92条，面向网络服务的安全条目69条，另外，支持用户自定义安全条目，配合灵活的策略设置，维护人员可轻松实现对网络资源的精细管理。在VPN方面，除了支持常见的VPN应用，考虑到易用性，SA-2001A设计了一种简单易用的VPN技术——PnPVPN，即即插即用VPN，从名字不难看出，易于使用是这种技术的主

4、要设计目标。　　本次测试的内容主要集中在HillstoneSA-2001A的各项安全防护功能上，包括Internet访问控制，混合DoS攻击防护。测试方法主要针对各项访问控制及安全防护功能设置安全策略，使用相应软件验证各防护功能表现。　　HillstoneSA-2001A正面，从左至右依次为指示灯部分，包括电源、警告、状态、VPN指示灯，CLR按键，1个CON（CONSOLE）控制端口，1个USB端口，5个千兆以太网接口。　　CON控制端口：SA-2001A提供有一个RS-232C异步串行配置口，

5、并随机附送配置电缆一根。用户可以通过Windows自带的“超级终端”程序，使用命令行模式（CLI）对SA-2001A进行全程配置。　　网络接口部分，SA-2001A共有5个千兆以太网接口，端口号由e0/0到e0/4（接触过网络工程师认证的网友应该比较熟悉这种命名规则）。奇怪，我们熟悉的LAN端口、WAN端口哪去了？我们要如何使用这些接口？想要弄明白这些，首先我们要先搞懂SA-2001A的工作方式。　　在StoneOS中，存在着域这样一个概念，域是一个逻辑的实体，一个或多个接口可以绑定到域。被应用了

6、策略规则的域即为安全域。安全域将网络划分为不同部分，例如trust（通常为内网等可信任部分）、untrust（通常为因特网等存在安全威胁的不可信任部分）等。将配置的策略规则应用到安全域上后，安全网关就能够对出入安全域的流量进行管理和控制。StoneOS提供8个预定义安全域，分别是trust、untrust、dmz、L2-trust、L2-untrust、L2-dmz、VPNHub和HA。明白了域的概念，SA-2001A接口的工作方式就不难理解了。接口允许流量进出安全域，为使流量能够流入和流出某个安

7、全域，必须将接口绑定到该安全域，多个接口可以被绑定到一个安全域，但是一个接口不能被绑定到多个安全域。如果是三层安全域，还需要为接口配置IP地址。SA-2001A可以灵活地划分安全域，并且可以自定义其它安全级别的域。当信息在分属于两个不同安全域的接口之间传输时，安全网关的安全策略规则会对信息流进行检查和处理，从而保证网络的安全。　　HillstoneSA-2001A安全网关支持本地与远程两种环境配置方法，在本地，管理员可以使用Console口进行操作；通过网络，管理员可以使用Telnet、SSH、W

8、ebUI方式对SA-2001A进行配置。连接路由器的方式有四种，具体配置操作方式只有两种：CLI方式或WebUI方式。后者很好理解，WebUI方式极大地降低了配置操作的难度，借助产品手册，非专业网络管理人员一样可以对路由器进行配置，但这种方式也有一点不足，操作效率较低；SA-2001A支持完整的CLI配置方式。什么是CLI？即Command-LineInterface（命令行界面）。对于网络维护人员来讲，使用CLI配置路由器其实更有效率，但这需要一定的专业技能，非专业网络维护人员并