hc虚拟防火墙技术白皮书v

《hc虚拟防火墙技术白皮书v》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、H3C虚拟防火墙技术白皮书关键词：虚拟防火墙MPLSVPN摘要：本文介绍了H3C公司虚拟防火墙技术和其应用背景。描述了虚拟防火墙的功能特色，并介绍了H3C公司具备虚拟防火墙功能的独立防火墙和防火墙插板产品的组网环境应用。缩略语清单：Abbreviations缩略语Fullspelling英文全名Chineseexplanation中文解释CECustomerEdge用户边缘PEProviderEdge运营商边缘MPLSMultiProtocolLabelSwitching多协议标签交换协议VPNVirtualPrivateNetwor

2、k虚拟私有网VLANVirtualLocalAreaNetwork虚拟局域网ASPFApplicationSpecificPacketFilter基于应用层状态的包过滤DMZDemilitaryZone非军事区12/12目录1概述31.1新业务模型产生新需求31.2新业务模型下的防火墙部署31.2.1传统防火墙的部署缺陷31.2.2虚拟防火墙应运而生42虚拟防火墙技术52.1技术特点52.2相关术语62.3设备处理流程62.3.1根据入接口数据流72.3.2根据VlanID数据流72.3.3根据目的地址数据流83典型组网部署方案83.

3、1虚拟防火墙在行业专网中的应用83.1.1MPLSVPN组网的园区中的虚拟防火墙部署一93.1.2MPLSVPN组网的园区中的虚拟防火墙部署二103.1.3虚拟防火墙提供对VPE的安全保护103.2企业园区网应用114总结1212/121概述1.1新业务模型产生新需求目前，跨地域的全国性超大企业集团和机构的业务规模和管理复杂度都在急剧的增加，传统的管理运营模式已经不能适应其业务的发展。企业信息化成为解决目前业务发展的关键，得到了各企业和机构的相当重视。现今，国内一些超大企业在信息化建设中投入不断增加，部分已经建立了跨地域的企业专网。有

4、的企业已经达到甚至超过了IT-CMM3的级别，开始向IT-CMM4迈进。另一方面，随着企业业务规模的不断增大，各业务部门的职能和权责划分也越来越清晰。各业务部门也初步形成了的相应不同安全级别的安全区域，比如，OA和数据中心等。由于SOX等法案或行政规定的颁布应用，各企业或机构对网络安全的重视程度也在不断增加。对企业重点安全区域的防护要求越来越迫切。因此，对企业信息管理人员来说，如何灵活方便的实现企业各业务部门的安全区域划分和安全区域之间有控制的互访成为其非常关注的问题。这也对安全区域隔离“利器”――防火墙提出了更高的要求。1.2新业务

5、模型下的防火墙部署目前许多企业已经建设起自己的MPLSVPN专网，例如电力和政务网。下面我们以MPLSVPN组网为例介绍在新的业务模型下防火墙的如何实现对各相互独立的业务部门进行各自独立的安全策略部署呢？1.2.1传统防火墙的部署缺陷面对上述需求，业界通行的做法是在园区各业务VPN前部署防火墙来完成对各部门的安全策略部署实现对部门网络的访问控制。一般部署模式如下图所示：12/12图1传统防火墙部署方式然而，由于企业业务VPN数量众多，而且企业业务发展迅速。显而易见的，这种传统的部署模式已经不太适应现有的应用环境，存在着如下的不足：n为

6、数较多的部门划分，导致企业要部署管理多台独立防火墙，导致拥有和维护成本较高n集中放置的多个独立防火墙将占用较多的机架空间，并且给综合布线带来额外的复杂度n由于用户业务的发展，VPN的划分可能会发生新的变化。MPLSVPN以逻辑形式的实现，仅仅改动配置即可方便满足该需求。而传统防火墙需要发生物理上的变化，对用户后期备件以及管理造成很大的困难n物理防火墙的增加意味着网络中需要管理的网元设备的增多。势必增加网络管理的复杂度1.1.1虚拟防火墙应运而生为了适应这种业务模式。虚拟防火墙技术应运而生。虚拟防火墙通过在同一台物理设备上划分多个逻辑的

7、防火墙实例来实现对多个业务VPN的独立安全策略部署。也可以利用这种逻辑防火墙的部署的灵活性来来实现企业网络的对新业务的适应性。虚拟防火墙诞生以后，对用户来说其部署模式变为如图所示：12/12图1虚拟防火墙部署模型如上图所示，在MPLS网络环境中，在PE与CE之间部署一台物理防火墙。利用逻辑划分的多个防火墙实例来部署多个业务VPN的不同安全策略。这样的组网模式极大的减少了用户拥有成本。随着业务的发展，当用户业务划分发生变化或者产生新的业务部门时，可以通过添加或者减少防火墙实例的方式十分灵活的解决后续网络扩展问题，在一定程度上极大的降低了

8、网络安全部署的复杂度。另一方面，由于以逻辑的形式取代了网络中的多个物理防火墙。极大的减少了企业运维中需要管理维护的网络设备。简化了网络管理的复杂度，减少了误操作的可能性。1虚拟防火墙技术1.1技术特点为了解决传统防火墙部