Secoway USG5000 技术白皮书V

《Secoway USG5000 技术白皮书V》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、华为SecowayUSG5000防火墙技术白皮书华为技术有限公司HuaweiTechnologiesCo.,Ltd.华为SecowayUSG5000防火墙技术白皮书文档密级：目录目录i1概述21.1网络中存在的问题21.2防火墙产品介绍21.3防火墙的定义21.4防火墙设备的使用指南22防火墙设备的技术原则22.1防火墙的可靠性设计22.2防火墙的性能模型22.3网络隔离22.4访问控制22.4.1IP访问控制列表22.4.2二层访问控制列表22.5基于流的状态检测技术22.6业务支撑能力22.7地址转换能力22.8P2P流量检查和流量控制22.9VPN功能22.10攻击防范能力22.11防火

2、墙的组网适应能力22.12防火墙管理系统22.13防火墙的日志系统23USG5000防火墙的特点22021-10-7华为机密，未经许可不得扩散第54页,共59页华为SecowayUSG5000防火墙技术白皮书文档密级：3.1高可靠的电信级防火墙23.1.1系统可靠性23.1.2高可靠的硬件体系23.1.3健壮的软件体系23.1.4完善的链路备份技术23.1.5完备的双机备份技术23.1.6真正的状态热备份23.2性能卓越的防火墙23.2.1先进的多核处理系统23.2.2优异的转发性能和业务处理能力23.2.3优异的处理能力23.3灵活的安全区域管理23.3.1基于安全区域的隔离23.3.2可管

3、理的安全区域23.3.3基于安全区域的策略控制23.3.4丰富的业务支撑23.4安全策略控制23.4.1灵活的规则设定23.4.2基于时间段的规则管理23.4.3高速策略匹配23.4.4MAC地址和IP地址绑定23.4.5动态策略管理－黑名单技术23.5基于状态检测的防火墙23.5.1基于会话管理的核心技术23.5.2深度检测23.5.3状态检测技术的优势23.6P2P流量检测和流量控制23.7多种IPVPN功能23.8GTP安全防护23.8.1GTP协议23.8.2GTP协议攻击23.8.3GTP防护特性23.8.4GTP防护组网模型23.9业务支撑能力23.9.1针对业务处理的难点23.6

4、.2对多通道协议支持完善的安全保护23.6.3针对各种业务的数据流管理23.6.4业务支持的完整性23.6.5支持完善的多媒体业务23.10地址转换服务23.10.1优异的地址转换性能23.10.2灵活的地址转换管理22021-10-7华为机密，未经许可不得扩散第54页,共59页华为SecowayUSG5000防火墙技术白皮书文档密级：3.10.3强大的内部服务器支持23.10.4强大的业务支撑23.10.5无数目限制的PAT方式转换23.10.6支持多接口负载分担23.11攻击防范能力23.11.1优秀的Dos防御能力的必要条件23.11.2丰富的Dos防御手段23.11.3高级的TCP代理

5、防御体系23.11.4扫描攻击防范23.11.5畸形报文防范23.12智能蠕虫病毒的防范23.12.1蠕虫病毒的原理23.12.2防范蠕虫病毒的基本方法23.12.3智能防范蠕虫病毒的基本要求23.12.4扫描防范功能23.13IDS联动组网23.13.1灵活的组网模型23.13.2高可靠的主动防御模型23.13.3安全灵活的联动接口23.14优秀的组网适应能力23.14.1支持丰富的接口类型23.14.2高密度的端口支持23.14.3丰富的路由协议和路由管理23.14.4多种工作模式23.14.5虚拟防火墙功能23.14.6多种认证手段23.14.7多ISP组网适应能力23.15完善的管理系

6、统23.15.1丰富的维护管理手段23.15.2基于SNMP的终端系统管理23.15.3WEB管理23.16日志系统23.16.1日志服务器23.16.2两种日志输出方式23.16.3多种日志信息24典型组网22021-10-7华为机密，未经许可不得扩散第54页,共59页华为SecowayUSG5000防火墙技术白皮书文档密级：4.1安全防范组网24.2地址转换组网24.3无线核心网安全防护24.4NGN安全防范组网24.5双机热备份组网24.6多出口负载分担和备份组网22021-10-7华为机密，未经许可不得扩散第54页,共59页华为SecowayUSG5000防火墙技术白皮书文档密级：1概

7、述1.1网络中存在的问题网络为人们提供了极大的便利。但由于构成Internet的TCP/IP协议本身缺乏安全性，网络安全成为必须面对的一个实际问题。网络上存在着各种类型的攻击方式，例如：l窃听报文——攻击者使用报文获取设备，从传输的数据流中获取数据并进行分析，以获取用户名/口令或者是敏感的数据信息。lIP地址欺骗——攻击者通过改变自己的IP地址来伪装成内部网用户或可信任的外部网络用户，发送特定的报