梭子鱼下一代防火墙解决方案.doc

《梭子鱼下一代防火墙解决方案.doc》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、梭子鱼下一代防火墙解决方案梭子鱼中国2021年8月9日目录第一章梭子鱼公司简介3第二章前言4第三章网络现状及需求51.客户环境描述52.客户需求5第四章梭子鱼解决方案71.需求分析72.产品选型71)梭子鱼下一代防火墙F60082)梭子鱼下一代防火墙F40093)梭子鱼集中控管平台VC820103.方案拓扑114.方案实现121)梭子鱼VPN组网122)VPN高级功能153)WAN流量优化164)Web安全过滤185)应用安全206)智能流量控制217)应用路由228)入侵防御系统IPS229)安全防护手段2310)集中管理2411)DNS及DHCP服务305.快速部署安装311)集中控管

2、平台部署安装312)总部和门店防火墙的部署安装313)设备恢复技术32第一章梭子鱼公司简介梭子鱼网络成立于2003年，秉承“复杂IT简单化”理念，为全球各行业组织与机构提供：性能卓越，简单易用，高效稳定的安全与存储解决方案。全球超过150,000组织与机构选择信赖梭子鱼，梭子鱼网络致力在安全与存储领域为用户提供行业领先，高满意度，高价值，定制化的IT解决方案。持续保持邮件和Web安全产品领先优势的同时，梭子鱼网络还将为用户提供一系列全方位的IT解决方案，其包括：邮件，Web，应用优化，网络安全，远程访问，存储与备份，邮件归档等，为各行业组织与机构提供真正的端到端的安全防护，同时支持硬件，虚

3、拟，云端以及各类混合的灵活部署模式。安全领域系列产品：-梭子鱼病毒及垃圾邮件防火墙-梭子鱼邮件安全服务系统-梭子鱼Web安全网关-梭子鱼Web安全服务系统-梭子鱼Web应用防火墙-梭子鱼下一代防火墙-梭子鱼防火墙-梭子鱼负载均衡机-梭子鱼应用交付控制器（ADC）-梭子鱼SSLVPN存储领域系列产品：-梭子鱼备份系统-梭子鱼邮件归档-Yosemite备份软件-Copy梭子鱼网络为全球超过150,000家组织与机构提供安全防护，应用优化和数据存储，拥有超过1亿客户端。梭子鱼网络核心客户主要集中在中级市场，覆盖行业包括：教育，政府，零售，金融和医疗等。第一章前言随着互联网的飞速发展，WEB2.0

4、,3G/4G移动平台，云计算等技术的广泛应用，它们为企业带来业务便捷的同时，也带来了更多的安全威胁。在信息安全建设过程中，企业面临新一轮的挑战：l传统的防火墙面对日益复杂的应用安全威胁已经显得力不从心；l防火墙的部署、管理需要专业技术人员，小型企业或者企业分支机构难以维护；l而防火墙/IPS/病毒墙…这种“羊肉串式”的解决方案正变得日益复杂，IT投资性价比越来越低；基于上述需求，梭子鱼公司在推出了梭子鱼下一代防火墙(NextGenerationFirewall)下一代防火墙。与传统的防火墙和UTM不同的是，NG采用独特的三层引擎架构，除了传统的防火墙功能外，在应用安全，应用路由，VPN组网

5、，WAN流量优化，集中管理方面都进行了专门的设计，独具特色。目前，梭子鱼下一代防火墙在分布式的网络环境有着广泛的应用。l一方面，它非常适合于帮助用户组建大型分布式网络。例如：欧洲某金融企业部署了超过2500台NG防火墙，并建立VPN网络，全球只需4个IT管理员便可支撑系统的稳定运行。l另一方面，它部署便捷。例如：对于小型企业，管理员只需要把预配置U盘插入全新的NG设备，启动设备，即可运行。不需要管理员具备专业的知识。第一章网络现状及需求1.客户环境描述北京总部接入电信100M、联通50M、电信通20M共3条线路，其中以电信、联通线路为主线路，电信通线路主要作为备份。几十家门店分布在全国各省

6、，使用Adsl动态IP拨号或光纤接入。下图为总部+单个门店的拓扑示意图。每个门店的网络架构大体一致。拓扑图：2.客户需求1)核心需求：1、总部与各门店之间建立VPN通道使得各软件系统之间可以加密安全通信；2、各门店的上网安全防护、流控管理等；1)详细需求：1、总部服务器与门店服务器、门店服务器与总部服务器之间，会产生双方向的“主动发起”通讯,通讯内容主要基于HTTP协议。因此需要建立稳定的IPSECSite-to-SiteVPN隧道2、门店上网行为管理。包括网页访问过滤、网络应用控制、带宽流量管理、信息收发审计、用户上网行为的分析统计、内网ARP病毒控制、带宽利用率等等。网址、应用、协议等

7、特征库必须及时、全面3、网络安全性。需要对客户手机等非内部设备的流量做出限制。除了要支持常见的TCP/IP五元组ACL外，还需要支持基于应用层的ACL（如基于某应用层协议、某访问域名等等）4、广域网加速。门店与总部之间的VPN隧道跨越了千山万水，需要广域网加速技术来提高响应速度，降低业务延时5、DNS解析服务。它将会成为门店所有设备的DNS服务器。需要支持基于域名匹配的转发规则：即用户请求XXX.com/net/cn时通