华为防火墙产品与维护培训培训胶片

HUAWEITECHNOLOGIESCO.,LTD.防火墙产品与维护ISSUE1.0HUAWEITECHNOLOGIESCO.,LTD.HUAWEIConfidentialPage1学习完本课程，您应该能够：了解Eudemon产品工作原理了解Eudemon产品规格和特性掌握Eudemon产品典型组网及配置HUAWEITECHNOLOGIESCO.,LTD.HUAWEIConfidentialPage2第一章防火墙技术简介第二章防火墙体系结构第三章防火墙原理与特性HUAWEITECHNOLOGIESCO.,LTD.HUAWEIConfidentialPage3防火墙概述网络安全问题成为近年来网络问题的焦点网络安全包括基础设施安全、边界安全和管理安全等全方位策略防火墙的主要作用是划分边界安全，实现关键系统与外部环境的安全隔离，保护内部网络免受外部攻击与路由器相比,防火墙提供了更丰富的安全防御策略，提高了安全策略下数据报转发速率由于防火墙用于边界安全，因此往往兼备NAT、VPN等功能我司防火墙：Eudemon系列（英文含义－－－守护神）一夫当关，万夫莫开HUAWEITECHNOLOGIESCO.,LTD.HUAWEIConfidentialPage4防火墙的分类（一）包过滤防火墙代理防火墙状态防火墙包过滤防火墙代理防火墙状态防火墙HUAWEITECHNOLOGIESCO.,LTD.HUAWEIConfidentialPage5防火墙的分类(二）按照防火墙实现的方式，一般把防火墙分为如下几类：包过滤防火墙(PacketFiltering)包过滤利用定义的特定规则过滤数据包，防火墙直接获得数据包的IP源地址、目的地址、TCP/UDP的源端口、和TCP/UDP的目的端口。包过滤防火墙简单，但是缺乏灵活性，对一些动态协商端口没有办法设置规则。另外包过滤防火墙每包需要都进行策略检查，策略过多会导致性能急剧下降。代理型防火墙（applicationgateway）代理型防火墙使得防火墙做为一个访问的中间节点，对Client来说防火墙是一个Server，对Server来说防火墙是一个Client。代理型防火墙安全性较高，但是开发代价很大。对每一种应用开发一个对应的代理服务是很难做到的，因此代理型防火墙不能支持很丰富的业务，只能针对某些应用提供代理支持。状态检测防火墙状态检测是一种高级通信过滤。它检查应用层协议信息并且监控基于连接的应用层协议状态。对于所有连接，每一个连接状态信息都将被维护并用于动态地决定数据包是否被允许通过防火墙或丢弃。现在防火墙的主流产品都为状态检测防火墙：高性能和高安全的完美结合。HUAWEITECHNOLOGIESCO.,LTD.HUAWEIConfidentialPage6防火墙技术发展方向软件防火墙。一般是直接安装在PC上的一套软件，基于PC提供基本的安全防护，此时防火墙基本上就是一个应用软件。代表产品有CheckPoint公司的防火墙产品。工控机类型防火墙。采用PC硬件结构，基于linux等开发源代码的操作系统内核，开发了安全防护的一些基本特性构成硬件防火墙产品形态。从外观上面看，该种防火墙是一个硬件防火墙产品，但是其软件、硬件和第一种防火墙产品从硬件上面说没有本质区别。国内大多数防火墙是采用这种技术。电信级硬件防火墙。采用独立设计的硬件结构，在CPU、电源、风扇、PCI总线设计、扩展插卡等方面优化结构，保证防火墙产品可以得到最优的处理性能和高可靠性。代表产品有华为公司的Eudemon200产品、NetScreen204等防火墙产品。基于NP电信级防火墙。由于纯软件设计的防火墙产品在流量很大的地方逐步成为瓶颈，基于网络处理器（NP）的业务加速模式的防火墙产品开始出现。通过网络处理器的高性能，使得防火墙产品可以达到1G线速的处理能力。代表产品有华为公司的Eudemon500/1000产品。软件防火墙=工控机类型防火墙=电信级硬件防火墙=基于NP电信级防火墙HUAWEITECHNOLOGIESCO.,LTD.HUAWEIConfidentialPage7ASPF安全技术（一）ASPF(ApplicationSpecificPacketFilter)是一种高级通信过滤，它检查应用层协议信息并且监控连接的应用层协议状态。对于特定应用协议的所有连接，每一个连接状态信息都将被ASPF维护并用于动态的决定数据包是否被允许通过防火墙或丢弃.动态创建和删除过滤规则监视通信过程中的报文HUAWEITECHNOLOGIESCO.,LTD.HUAWEIConfidentialPage8ASPF与ACL的比较比较内容ACLASPF原理对每个IP数据包按照用户所定义的策略规则（访问控制列表，ACL）进行过滤。包过滤不管会话的状态，也不分析数据对于每一个应用层协议建立会话信息以及状态信息，实时检测数据流的状态信息，并动态的根据状态信息决定数据包的动作配置较繁琐简单设计实现简单复杂，必须支持尽可能多的应用层协议，以保证用户的正常使用。并且需要实时增加协议的支持对系统性能影响速度快，但策略过多会导致性能急剧下降需要进行状态检测等复杂处理，效率相对于ACL低，并且消耗部分系统资源对多通道协议的支持不支持非常适用于需要动态建立连接的应用协议安全性低，无法检测某些来自于应用层的攻击行为高，能够根据连接的状态及应用层报文内容进行过滤，有效防范攻击HUAWEITECHNOLOGIESCO.,LTD.HUAWEIConfidentialPage9ASPF基本概念ASPF三个基本概念会话表（Session）：5元组完成连接；多通道协议：多通道（控制通道+数据通道）−多通道协议主要包括：数据传输协议（FTP、TFTP等）、音视频相关（H.323协议族、SIP、MGCP等）、聊天通讯软件（MSN，QQ，ICQ等）Servermap表项：临时通道（三元组）HUAWEITECHNOLOGIESCO.,LTD.HUAWEIConfidentialPage10ASPF对单通道协议的支持在状态防火墙中会动态维护着一个Session表项，通过Session表项来检测基于连接的状态，动态地判断报文是否可以通过，从而决定哪些连接是合法访问，哪些是非法访问保护网络①用户A初始化一个Telnet会话外部网络用户A目标服务器②防火墙创建Session表项其他用户用户A的Telnet会话返回报文可以通过其他的Telnet报文被阻塞不能通过③防火墙匹配Session表项报文HUAWEITECHNOLOGIESCO.,LTD.HUAWEIConfidentialPage11ASPF对多通道协议的支持—FTP用户192.168.0.1USG5000FTPserver19.49.10.10（21/20）三次握手防火墙创建Servermap表项三次握手Port192.168.0.1:893Port192.168.0.1:893200PortCommandOKRETRSample.txtRETRSample.txt200PortCommandOK150OpeningASCIIconnection150OpeningASCIIconnectionSYN检测Servermap表项，创建临时规则，打开数据通道192.168.0.1:22787192.168.0.1:22787SYNHUAWEITECHNOLOGIESCO.,LTD.HUAWEIConfidentialPage12第一章防火墙技术简介第二章防火墙体系结构第三章防火墙原理与特性HUAWEITECHNOLOGIESCO.,LTD.HUAWEIConfidentialPage13Eudemon200Eudemon100EEudemon500Eudemon1000小型企业、远程办公中小型企业华赛电信级硬件防火墙，从桌面式终端设备到高端千兆级别，以卓越的性能和先进的安全体系架构为网络提供强大的安全保障。Eudemon300中型企业Eudemon200S/USG2000大中型企业大型企业,运营商大型数据中心USG3040USG3030USG50Eudemon8080Eudemon8040城域网流量清洗防火墙产品系列HUAWEITECHNOLOGIESCO.,LTD.HUAWEIConfidentialPage14主要防火墙性能衡量指标吞吐量其中吞吐量业界一般都是使用1K～1.5K的大包衡量防火墙对报文的处理能力的。因网络流量大部分是200字节报文，因此需要考察防火墙小包转发下性能。因防火墙需要配置ACL规则，因此需要考察防火墙支持大量规则下转发性能。每秒建立连接速度指的是每秒钟可以通过防火墙建立起来的完整TCP连接。由于防火墙的连接是动态连接的，是根据当前通信双方状态而动态建立的表项。每个会话在数据交换之前，在防火墙上都必须建立连接。如果防火墙建立连接速率较慢，在客户端反映是每次通信有较大延迟。并发连接数目由于防火墙是针对连接进行处理报文的，并发连接数目是指的防火墙可以同时容纳的最大的连接数目，一个连接就是一个TCP/UDP的访问HUAWEITECHNOLOGIESCO.,LTD.HUAWEIConfidentialPage15防火墙产品参数一览型号参数USG50Eudemon100EEudemon200Eudemon200SUSG3030USG3040应用小型企业小型企业中小型企业中小型企业中型企业中型企业整机吞吐量(bps)100M260M400M500M1G1.5G每秒新建连接数2000条/秒13000条/秒2万条/秒2万条/秒2万3万并发连接数10万50万50万50万50/100万50/100万IPSECVPN连接数642K2K2K2K2K3DES加密(bps)50M200M200M200M400M600M可靠性不支持双电源支持双机热备单电源支持双机热备双电源（热插拔），双风扇（热插拔），双机热备单电源支持双机热备支持双电源支持双机热备多风扇冗余支持双电源支持双机热备多风扇冗余NAT、ASPF支持支持支持支持支持支持虚拟防火墙不支持不支持不支持不支持不支持不支持HUAWEITECHNOLOGIESCO.,LTD.HUAWEIConfidentialPage16安全网关产品参数一览(续)型号参数Eudemon300Eudemon500Eudemon1000Eudemon8040Eudemon8080应用中型企业大型，中型企业大型企业大型企业大型企业整机吞吐量(bps)1G2G4G≥6Gbps≥12Gbps每秒新建连接数10万条/秒10万条/秒10万条/秒10万条/秒20万条/秒IPSECVPN连接数12K12K12K无无3DES加密(bps)200M/1G200M/1G200M/1G无无可靠性双电源（热插拔），双风扇（热插拔），双机热备，接口卡可热插拔，支持BYPASS卡双电源（热插拔），双风扇（热插拔），双机热备，接口卡可热插拔，支持BYPASS卡双电源（热插拔），双风扇（热插拔），双机热备，接口卡可热插拔，支持BYPASS卡双电源（热插拔），双风扇（热插拔），双机热备，接口卡可热插拔，支持BYPASS卡双电源（热插拔），双风扇（热插拔），双机热备，接口卡可热插拔，支持BYPASS卡P2P监控支持跟SIG联动支持SIG联动支持SIG联动支持SIG联动支持SIG联动NAT/ASPF支持支持支持暂不支持暂不支持虚拟防火墙支持（=100个）支持（=100个）支持（=100个）暂不支持暂不支持HUAWEITECHNOLOGIESCO.,LTD.HUAWEIConfidentialPage17防火墙的基本工作流程传统包过滤防火墙（路由器）报文查找入接口ACL未找到允许缺省规则允许禁止NAT处理/查找路由查找出接口ACL未找到缺省规则禁止转发允许禁止禁止丢弃丢弃HUAWEITECHN