《《诺基亚解决方案》PPT课件.ppt》由会员分享，可在线阅读，更多相关《《诺基亚解决方案》PPT课件.ppt（38页珍藏版）》请在金锄头文库上搜索。
1、1 NOKIA2004Nokia.教育王磊20052 NOKIA20043 NOKIA2004Low-end: Flash-based systemsHigh-end: Disk mirroring and hot swappable parts电信级硬件电信级硬件IP Clustering专用网络安全操专用网络安全操作系统作系统NOKIAFirewall解决方案Management servers in HA configurationRedundant policy server管理解决方案管理解决方案Checkpoint Firewall-1最好的安全应用最好的安全应用-4 NOKIA2
2、004平台化安全系列解决方案EmailandPIMFile&ApplicationServers/Mainframe企业IntranetExtranetSalesandFieldForceAutomationIntranetSecure, reliable, simple to use mobile access to content and applications.Employees, contractors, consultants, suppliers.?安全解决方案安全解决方案Secure Access SystemNokia One Business ServerMessage P
3、rotectorFirewallVirtual Private NetworkingWireless AcceleratorDevice and systems Management5 NOKIA2004诺基亚双出口大型校园网络安全解决方案诺基亚双出口大型校园网络安全解决方案 InternetCernetNOKIA IP710 FW/VPNNOKIA IP380 FW核心交换机组NOKIA IP1260 FW集群集群邮件服务器Web服务器中心服务器群中心服务器群NOKIA IP350学生用机系办公室系系/学院学院个人PC机学生宿舍区学生宿舍区个人PC机教师宿舍区教师宿舍区远程教学教师远程接入A
4、DSL/PSTNGPRS/CDMA学生用机办公室分校区分校区NOKIAIP380 FW学生用机教学楼教学楼1学生用机教学楼教学楼n服务器图书馆图书馆办公PC办公楼办公楼校内校内校内校内WLANWLANNSAS安全接入网关安全接入网关6 NOKIA2004网络安全平台网络安全平台性能和功能性能和功能价格价格CheckPointExpressorCheckPointExpressorEnterpriseVPN-1/FW-1EnterpriseVPN-1/FW-1Nokia IP740Nokia IP530Nokia IP710Nokia IP350Nokia IP380Nokia IP1260No
5、kia IP130Nokia IPSO v3.8Nokia IP40 CheckPointVPN/FWsoftwareincludedNokia IP2250Nokia IP1220数据中心和数据中心和服务提供商服务提供商大型园区大型园区系，院系，院规模较小的单位规模较小的单位办公室，个人办公室，个人New!New!7 NOKIA20048 NOKIA2004更加专注安全更高等级的安全标准EVL4EVL4+更深度的安全检测:状态检测状态检测+应用检测9 NOKIA2004通过高安全等级认证的专用操作系统专用安全操作系统IPSO安全加强,ITSECE3认证安全加强,ELA4认证与Checkpoi
6、nt在核心级的紧密集成10 NOKIA2004集成CHECKPOINT状态监测专利技术提供高性能、应用级的保护提供高性能、应用级的保护数据包在操作系统内核中，在数据链路层和网络层之间被检查状态表被创建以维护连接的上下文关系CheckPoint发明的专利技术ApplicationsPresentationsSessionsTransportData LinkPhysicalData LinkPhysicalApplicationsPresentationsSessionsTransportData LinkPhysicalNetworkNetworkNetworkPresentationsSes
7、sionsTransportINSPECT EngineApplicationsDynamic State Dynamic State TablesTablesDynamic State Dynamic State TablesTablesDynamic State Tables11 NOKIA2004集成CHECKPOINT状态监测专利技术状态检测由状态检测由Check Point公司发明，是企业防火墙的事实上的技术标准公司发明，是企业防火墙的事实上的技术标准。为了提供全面。为了提供全面的安全解决方案，一个防火墙必须能跟踪和控制所有会话的的安全解决方案，一个防火墙必须能跟踪和控制所有会话的f
8、low，与原始的与原始的“包过滤包过滤”技术不同，状态检测分析流入和流出网络的技术不同，状态检测分析流入和流出网络的“流流”，因此可以基于通讯会话信息，因此可以基于通讯会话信息（也可基于应用信息）做出实时的安全判断，（也可基于应用信息）做出实时的安全判断， 这个结果通过跟踪穿越防火墙网关的通这个结果通过跟踪穿越防火墙网关的通讯会话的状态讯会话的状态state和上下文来实现，不管这个连接和上下文来实现，不管这个连接connection包含多么复杂的协议。包含多么复杂的协议。状态和上下文信息状态和上下文信息 数据包的头信息数据包的头信息 (源地址、目的地址、协议、源端口、目的端口、包长度源地址、目
9、的地址、协议、源端口、目的端口、包长度) 连接状态信息连接状态信息 (哪一个连接打开了哪一个端口哪一个连接打开了哪一个端口) TCP 和和 IP 分段数据分段数据 (例如：分段号、顺序号例如：分段号、顺序号) 数据包重组、应用类型、上下文校验数据包重组、应用类型、上下文校验 (即：包属于哪个通讯会话即：包属于哪个通讯会话session) 到防火墙的哪一个接口上到防火墙的哪一个接口上 从防火墙的哪一个接口上出去从防火墙的哪一个接口上出去 第二层信息第二层信息 （如（如VLAN ID号号) 数据包到达的日期和时间数据包到达的日期和时间12 NOKIA2004应用级的安全控制Web 服务器服务器邮件
10、服务器邮件服务器FTP 服务器服务器VoIP 网关网关DNSPeer-to-Peer拒绝为合法用户服务拒绝为合法用户服务 ( DoS 攻击攻击)获取管理员权限访问服务器或客户端获取管理员权限访问服务器或客户端访问后台数据库访问后台数据库安装木马软件以避开安全检查安装木马软件以避开安全检查在服务器上安装在服务器上安装 “嗅探嗅探” 软件以捕获用户名软件以捕获用户名/口令口令攻击者目标攻击者目标因特网因特网安全策略通常安全策略通常“允许允许”这些通这些通信信Microsoft 网络网络攻击者攻击者13 NOKIA2004应用级的安全控制Application Intelligence 是一组高级功
11、能是一组高级功能 被集成于被集成于FireWall-1 NG 和和 Smart Defense中中 检测和避免应用层的攻击检测和避免应用层的攻击验证是否遵循标准验证是否遵循标准 验证协议是否符合预期用法验证协议是否符合预期用法 阻止可疑数据阻止可疑数据 控制应用的有害操作控制应用的有害操作 14 NOKIA2004应用级的安全控制15 NOKIA200416 NOKIA2004更高性能：G(千兆)10G(万兆)灵活性:CPU/ASICNP(网络处理器）17 NOKIA2004NOKIA防火墙Flows技术网络管理员在安全等级没有任何降低的情况下，增进网络性能网络管理员在安全等级没有任何降低的情
12、况下，增进网络性能Flows 重新构架了重新构架了 FW-1 / OS 交互界面交互界面减少了每个包的开销增加了较小的包的吞吐量复制了FW-1动态连接表实现了FLOW达到硬件一级的速度无需应用级的重新检查Already in Connection TableFirewall-1 NG AINokia OS HW INTCalling and queuing overheadCalling and queuing overheadConnection Table-RuleBase-Calling and queuing overheadCalling and queuing overheadCo
13、nnection Table-RuleBase-Firewall-1 NG AIRoute LookupRoute LookupConnection Table-& Route Lookup18 NOKIA2004“性能/灵活性”Build-InternalDevelopmentteamforASICdesignswillcostsignificantlymore,andcantheydobetterthanpurchasingfromvendorswhospecialize.Buy-purchaseNetworkProcessors onthecommercialmarketfromvend
14、orswhospecializeinoptimizinginthisarea.HighriskusageinsecuritysystemsduetolackofflexibilityIdealforhighperformancesecuritysystemseasiertoaddnewaccelerationfeatures12to18monthASICdesigncycles.OncetheASICisburned,itisessentiallyunchangeable.Aswithanysystem,thereisahighprobabilitythatreliability/securi
15、tyissueswillultimatelyarise.Rapidtimetomarket,duetocommoncodeusageie:C+,andtheabilitytoeasilyalterandtunedesignHardwired.Onetimeuseonly.Re-programmable(patches,upgrades,innovations)essentialforsecuritysystemsDesignedforhighperformanceapplicationsrawthroughputexceptionallyhigh.Designedforhighperforma
16、nceapplicationsrawthroughputexceptionallyhighASICsNetwork Processors19 NOKIA2004NokiaIPSOSlowPathCPApplicationsIPSOFastPathMotherboardI/OCardI/OCard防火墙包转发技术的发展ApplicationForwardingSlowPath传统路径NokiaIPSOForwarding(2001)FirewallFlows第一代Flows技术KernelForwardingSecureXL&NokiaIPSO3.8第二代加速技术FW & VPN20 NOKIA
17、2004传统转发路径TCPorUDPIPFWInboundFWOutboundCheckPointSecureXLSlowPathNokiaIPSOFastPathOutputInterfaceInputInterface21 NOKIA2004诺基亚ADP超路径技术加快转发速度TCPorUDPIPFWInboundFWOutboundCheckPointSecureXLSlowPathNokiaIPSOFastPathOutputInterfaceFlowLookupInputInterfaceNetworkProcessor22 NOKIA2004支持下一代的网络支持下一代的网络支持下一代
18、的网络支持下一代的网络23 NOKIA2004新一代网络：IPV4IPV6网络过渡:IPV4/IPV6GatewayIPV4/IPV6DualStack24 NOKIA20046、适应性-适应当前各种网络环境支持路由模式透明模式透明模式路由模式NAT模式支持动态路由RIP1/2,OSPF,IGRP,BGP4支持IEEE802.1qVLAN支持组播IGMP，DVRMP，PIM支持150多种协议，和各种协议的自定义支持WAN接口，ISDN,X.21,V.35,HSSI,ATM25 NOKIA2004Firewall-IPV6支持IPv6 Security SolutionsNokiaIPSecur
19、ityPlatformNokiaIPSO3.8CheckPointNGwithApplicationIntelligence26 NOKIA2004Firewall-IPV6支持IPv6 FeaturesSecurityDualIPv4/IPv6stackFTPservices(activeandpassive)Multipleprotocolsupport-HTTP-HTTPS-POP-IMAP-FTP-SNMP-CORBA/IIOP-GTPDNSICMPv6servicesIPv6packetfragmentationIPv6extensionheadersIPv6packetsinIPv
20、4tunnel27 NOKIA2004Firewall-IPV6支持RoutingRIPngOSPFv3Traceroute6supportManagementPolicy-basedaccesscontrolforIPv4/IPv6LoggingcapabilityNokiaNetworkVoyagerCheckPointSmartCenter28 NOKIA2004集群集群集群集群29 NOKIA2004HA：VRRP/Hot-standby集群提升性能:更高端的设备增加集群节点30 NOKIA2004高可靠性的保证已经有的部署部署在电信和金融等关键应用环境超过1亿亿小时的运行时间超过17
21、0,000系统部署专门的高可靠性硬件设计热插拔部件,冗余电源配置超过1,00,000小时的MBTF时间NEBSIII认证专用的高可靠性解决方案专利的IPClustering技术31 NOKIA2004NokiaIPClustering专利技术创建当前最高的可靠性级别IPClustering:提供强大的可靠性:无中断切换，不中断任何会话和联接增加集群节点，提供接近线性的性能提升完全的投资保护，可以建立“不对称”防火墙集群没有闲置的备件，所有的集群节点全部投入工作独一无二的特性:Activesessionfailover动态负载均衡单点中心管理一个虚IP地址无需额外投资最多支持4个节点32 NOK
22、IA2004静态流量分配vs.动态负载平衡静态流量分配动态负载均衡不断增加的网络流量4 wholes1 whole+ 3 parts33 NOKIA20043节点集群配置图UntrustedNetworkTrustedNetworkHeartbeatNetwork*DMZ1NetworkACB10.0.70.1010.0.80.1010.0.60.1010.0.50.010.0.90,80,70,60,50.110.0.90,80,70,60,50.210.0.80.010.0.60.010.0.90,80,70,60,50.334 NOKIA2004移动移动移动移动35 NOKIA2004专
23、业防火墙解决方案GPRS防火墙防火墙扩展功能VPN/带宽管理移动加速/移动接入36 NOKIA2004 GPRS 防火墙防火墙 Firewall GX1GGSN1(AccessPoint1:”)(AccessPoint2:internet.pl”)SGSN1Corp.ServicesCorporate IntranetSGSN2Operator PL01 GGSN2(AccessPoint1:”)(AccessPoint2:internet.pl”) InternetWWW etc.SGSN55SGSN56Operator CZ02GGSN(AccessPoint1:basic.access.
24、cz”)(AccessPoint2:.cz”)E-Bank NetworkCzechsubscriberinPoland(usesAP.cz”)Firewall 1 GXFirewall 1 GX37 NOKIA2004其他办公室其他办公室校长办公室校长办公室Internet学生用机教师用机普通教室普通教室NOKIA IP40服务器PC图书馆图书馆/阅览室阅览室NOKIA IP40NOKIA IP740 FW诺基亚大型校园网络安全解决方案诺基亚大型校园网络安全解决方案 NOKIA IP350 IDS病毒过滤服务器URL过滤服务器安全服务增强区（可选）安全服务增强区（可选）学生用机教师用机普通教室普通教室NOKIA IP40个人PC机宿舍区宿舍区NSAS安全接入网关安全接入网关校内校内校内校内WLANWLAN邮件服务器Web服务器对外服务器对外服务器网校服务器远程教学教师远程接入ADSL/PSTNGPRS/CDMA学生用机系办公室系系/学院学院NOKIA IP35038 NOKIA2004
