《网御防火墙技术白皮书V4.50531》由会员分享，可在线阅读，更多相关《网御防火墙技术白皮书V4.50531（25页珍藏版）》请在金锄头文库上搜索。
1、网御防火墙技术白皮书网御防火墙技术白皮书V3.0北京网御星云信息技术有限公司北京网御星云信息技术有限公司通信地址：北京市海淀区中关村南大街6号中电信息大厦8层（邮编：100086）电 话：01082166999传 真：01082166998网 址：服务热线：400-810-7766（24小时）目 录1序言12产品概述23网御防火墙产品特点与技术优势33.1智能的VSP通用安全平台33.2高效的USE统一安全引擎43.3高可靠的MRP多重冗余协议53.4完备的关联安全标准63.5基于应用的内容识别控制73.5.1智能匹配技术73.5.2多线程扫描技术73.5.3应用感控技术83.6精确细致的WE
2、B过滤技术83.7可信架构主动云防御技术93.8IPv6包状态过滤技术94网御防火墙产品主要功能105网御防火墙的典型应用175.1高可靠全链路冗余应用环境175.2骨干网内网分隔环境185.3混合模式接入环境185.4多出口环境196产品殊荣21北京网御星云信息技术有限公司通信地址：北京市海淀区中关村南大街6号中电信息大厦8层（邮编：100086）电 话：01082166999传 真：01082166998网 址：服务热线：400-810-7766（24小时）1 序言随着信息化建设的深入推进，近些年信息安全正在发生着翻天覆地的变化。之前的很长一段时间里，IT人员的工作主要是搭建网络基础平台，
3、用户对信息安全的需求则主要是对基础设施进行安全防护，安全产品给信息系统带来的价值无法衡量，有时甚至变成一种心理安慰，这一时期可以称之为“信息安全1.0时代”。而随着信息化发展的逐渐深入，信息化建设将风险推向前台。尤其是随着信息化的发展，更多的工作平台、业务平台都搬上网络，网络从传输“数据”进化到传输“钞票”，有时甚至是关系国家安全、社会责任等国计民生的重大内容，信息安全正式进入了2.0时代。在“信息安全2.0时代”，应用与数据安全的保障是摆在信息安全厂商面前最迫切的课题，作为信息安全的基础设施产品-防火墙也面临着新的机遇与挑战。网御防火墙适应用户的需求，在不断提高性能的同时，功能上包括基于应用
4、的识别控制，深层内容过滤等方面都取得了重要突破，为用户构建完整的应用与数据安全解决方案，全方位保障业务的安全运行提供了有力的手段。2 产品概述网御防火墙是网御自主研发的核心产品。1999年联想研究院设计并开发完成第一代防火墙产品。网御防火墙产品历经简单包过滤防火墙、状态包过滤防火墙、深度内容过滤和完全内容检测防火墙等发展阶段，并集成了防火墙、VPN、入侵检测与防御、防蠕虫病毒、上网行为管理、流量整形等众多功能。目前已广泛应用在税务、公安、政府、部委、能源、交通、军队、电信、金融、企业等各行业，并为其网络和应用提供安全保障。网御防火墙分为多核金刚万兆系列，超五系列、AISC系列、强五系列和精五系
5、列，共计80余款，从大型骨干网络的安全防护到小型办公室网络的安全接入都有相应的防火墙产品。超五防火墙基于创新的多核架构，使国内性能最高的万兆级防火墙。ASIC系列具有强劲的小包处理性能，64字节小包达到10Gbps，是国内为数不多的高性能防火墙之一；强五防火墙具备强大的安全功能，是集防火墙、IPSEC VPN、SSL VPN、漏洞扫描、主动防御、入侵检测与防护系统、防网络病毒、内容检测与过滤、绿色上网、带宽管理、高可用性等众多功能于一身的多威胁统一管理的综合防火墙。精五防火墙面向中小型企业和单位，基于“免维护、零管理成本”的设计理念，集成防火墙、VPN、主动防御及交换机等功能，具备简单易用的特
6、点。今天，作为国内信息安全产业的佼佼者，网御通过对信息安全产业发展趋势的敏锐判断，率先开始了在应用与数据安全领域的布局，通过在产品、技术、服务及解决方案的全面创新，为用户提供真正有价值的信息安全整体防护方案，抢先布局“信息安全2.0”时代。3 网御防火墙产品特点与技术优势3.1 智能的VSP通用安全平台网御防火墙采用创新的VSP（Versatile Security Platform）通用安全平台，将实时操作系统、网络处理、安全应用等技术完美地结合在一起，使防火墙产品具备了高智能、高性能、高安全性、高健壮性、 高扩展性等特点。VSP面向网络吞吐和安全处理，采用基于组件的多平面架构，整个系统分为
7、控制平面、数据平面、系统服务平面和硬件抽象平面，通过控制平面和数据平面的分离，不同于Linux，FreeBSD等通用操作系统追求均衡的方向，集中主要资源于网络吞吐和安全处理，使系统具有极强的实时性和网络吞吐能力。由于系统功能与资源管理分别工作在不同的平面，各平面和模块之间共同遵循标准接口函数，系统具有高度灵活性和可扩展性。通过将硬件驱动与资源管理独立为一个单独的硬件抽象平面模块，对上层软件提供统一调用接口，对下层硬件统一定义驱动标准，适应多种不同规格的硬件架构，实现与多种专用芯片的无缝融合，可充分利用从IXP，PowerPC到NP、多核多线程CPU、内容加速芯片等各种先进硬件平台的优势，使网御
8、防火墙在性能方面一路领先。3.2 高效的USE统一安全引擎网御防火墙具有高效的USE（Uniform Security Engine）统一安全引擎。它将状态包过滤、VPN、IDS、内容过滤、用户认证等多个子系统集成于单一平台，构造统一架构，综合并优化各子系统，去除冗余，简化数据处理流程，实现统一的安全引擎处理机制。统一安全引擎克服了传统上各个安全引擎独自为战的缺点，通过高效的引擎集成技术，将各个安全功能有机地整合为一体，状态检测、协议分析机、深度过滤、内容检测等引擎协同工作，对于监测的数据包，一次性拆包即可完成2-7层的检测，同时采用联想的专利技术-基于摘要索引的内容处理加速算法，有效地提高了
9、引擎的处理效率。USE通过多协议融合分析技术和事件关联再分析技术，综合内容实体，时间因素，提高了安全事件的检测率。USE采用标准化技术，对内提供统一服务接口，使安全功能易于扩展，充分满足安全需求的快速发展；对外实现安全策略的统一配置，给用户带来可管理的等级化安全。3.3 高可靠的MRP多重冗余协议基于网御拥有的高可靠设计专利技术，利用电信骨干网可靠性运营维护专业经验，网御防火墙通过自有的MRP多重冗余协议，在物理层、链路层、网络层、实体层等多个层面实现多元化冗余设计，有效地保障网御防火墙在用户网络应用中的高可用性。2个都用Super V-7318的图片代替l 基于多出口负载均衡的链路备份。链路
10、层支持多WAN口出口，实现多出口间的负载均衡和备份，任何一条链路的故障瘫痪不会影响网络的正常运行。l 基于802.3ad标准的端口聚合。物理端口支持802.3ad标准，可实现多物理端口聚合，帮助用户做到“零投资”带宽倍增。l 基于状态自动探测的双机热备。当主系统发生故障或对应线路的网络故障时，备份机可自动检测并切换到主状态，接管主系统的工作，切换时间小于1秒钟。l 基于状态增量同步的多机集群。支持主动负载均衡、会话保护和接管以及主动配置同步等功能，尤其是采用国内首创的“状态增量同步技术”解决多台防火墙之间的状态一致性问题，实现了业务在多台防火墙之间的平滑任意分布和切换，解决了采用VRRP协议和
11、动态路由协议带来的“业务续断问题”，最多可以支持高达8台的防火墙集群。3.4 完备的关联安全标准网御具备完备的关联安全标准即（CSC: Correlative Security Criterion），网御以“面向业务的安全架构”为技术理念，以“统一安全，立体防御”为设计目标，参照国际标准，系统地开发了安全管理协议、安全联动协议、安全审计协议等协议族，构成了完备的关联安全标准。网御防火墙系列全面支持CSC标准，一方面可以保证安全管理中心可以通过安全管理协议全面掌控防火墙的运行，另一方面通过统一的事件格式、事件等级、发送协议，使安全审计中心只要遵从安全审计协议即可以对防火墙的安全事件进行集中、可视
12、化审计。同时，网御防火墙遵从安全联动协议，可以使主机安全软件，入侵检测等系统以防火墙为核心构建深度安全防御体系，使网络安全从独立、单一防护的安全产品保护发展为立体、全面、动态的防护。3.5 基于应用的内容识别控制网御防火墙系列拥有目前最完善的应用识别特征库，通过智能分析技术，将P2P、IM、炒股软件和在线游戏等协议的应用行为、加密方式、处理动作等特点整理成库。当流量经过防火墙时，防火墙启动过滤引擎，对流量进行特征值的匹配。当过滤引擎搜索到与之匹配的特征码时，防火墙即可应用智能识别技术进行细粒度控制或一键封锁。如何快速而准确地识别各种上网行为，是决定防火墙性能的关键因素。网御防火墙从如下几个方面
13、保障内容识别的高速与准确。3.5.1 智能匹配技术在特征库上的设置上，网御防火墙按照所有上网行为的特点进行了分类，并对P2P、IM、炒股以及在线游戏等上网行为设置了不同的特征库。当数据包到达防火墙时，防火墙首先根据用户定制策略将其分配到其对应的特征库管道，如P2P下载行为的流量被输送到P2P特征库管道，即时通讯的流量则被输送到IM特征库管道。流量被分发到相应的特征库管道以后，再由相应的搜索引擎对流量进行扫描。这样既大大减少了搜索引擎检索的时间，又提高了过滤引擎的性能。3.5.2 多线程扫描技术网御防火墙采用多线程扫描技术，提高了引擎扫描的效率。比如当BT数据流和MSN数据流同时进入防火墙时，防
14、火墙内容搜索引擎不是在检索完BT数据流以后再去检索MSN数据流，而是可以同时启动BT搜索引擎和MSN搜索引擎。两个搜索引擎同时工作而互不影响。这种多线程处理机制同样适用于2种以上不同类型的数据流同时经过防火墙的情况，快速提升了搜索引擎的工作效率。3.5.3 应用感控技术网御新一代防火墙具有与传统的基于端口和IP协议不同的方式进行应用识别的能力，并执行访问控制策略。例如允许用户使用QQ的文本聊天、文件传输功能但不允许进行语音视频聊天，或者允许使用WebMail收发邮件但不允许附加文件等。应用识别带来的额外好处是可以合理优化带宽的使用情况，保证关键业务的畅通。虽然严格意义上来讲应用流量优化（俗称应
15、用QoS）不是一个属于安全范畴的特性，但P2P下载、在线视频等网络滥用确实会导致业务中断等严重安全事件。 3.6 精确细致的WEB过滤技术网御防火墙系列在内容过滤库的处理上力求收集齐全、分类准确、更新及时。通过采用网站全智能搜索引擎技术收集互联网站点，并进行智能分类、人工核验的处理手段。目前网御防火墙支持50多种完善的URL类别，分别涉及色情、暴力、赌博、毒品、犯罪、病毒、体育、财经、娱乐等网站分类，这50多个URL类别库总共包含1000万以上特征网站，具有分类全，覆盖面广的特点。另外，由于在互联网上每天都有大量新网站出现，网御通过在线升级的方式，使URL库中的网站处于持续的更新状态。3.7 可信架构主动云防御技术网御防火墙通过与已部署的防病毒网关、IPS、UTM等设备联合抓取病毒源、攻击检测源和挂马网站URL等特征，汇集至云防御服务器定时收纳合并，云防御服务器动态更新病毒库、攻击特征库、挂马库等并同步到所有网御安全网关设备中，使其他设备具有防病毒、IPS、防挂马等功能，同时使其具备更高的处理性能，共同形成整体可信架构云防御体系
