juniper网络安全防火墙解决方案汇.doc

网络安全解决方案 用户现状与需求分析 用户现状 　 TCL公司现在的网络使用JUNIPER SSG550M的防火墙，该防火墙使用已有几年了使用一直很稳定。现由于业务的不断的发展，公司的网络规模也越来越大，其性能已经不能满足使用需求了，故需求更换性能更高的防火墙。 需求分析 从TCL有限公司的目前网络状况来看，需要规划的网络状况如下： 网关处需要有防火墙设备，保护内部电脑免受来自互联网的各种威胁 网关处部署防火墙设备容易引起单点故障，所我们建议使用两台同型防火墙作双机热备。 由于大部分应用来自内网，因此内网到服务器之间应该由防火墙建立专有的区域保护服务器避免受到来自内网的攻击。 从上面的分析结果可以看出，需要解决上述问题,是此次方案的设计目标,本方案的设计目标如下： 网关处架设两台专业的防火墙做HA，使用防火墙连接到互联网，使本地网络免受一些来自互联网的攻击、威胁。 对内网用户访问外部的应用作限制．同时防火墙应具备极强的防止四层以上攻击的入侵检测功能，以保证内外网的安全隔离。 使用防火墙IPS功能模块.对内网、外网的出入数据作检测，预防网络攻击行为。 防火墙网络安全方案设计 针对以上需求分析及实现的设计目标，我们设计了以下的方案来完成网络连接。此方案既能解决当前面临的互联网安全问题，也能满足当前以及未来的应用需要。 方案拓朴 拓朴描述 1、在网关处部署两台JUNIPER ISG 1000防火墙作HA。 2、防火墙下面分别针对每个部门建立一个处立的区域。 3、每个区域之间通过策略来控制通信。 方案实施 由于现在公司的现状我们本次项目的实施暂时部署一台防火墙，到第二期时再部署另一台防火墙，与本期的防火墙作HA。 Juniper ISG1000 产品介绍 产品概述 Juniper推出业内第一款整合了多种最佳网络安全功能的整合式安全网关 Juniper-ISG 000（Integrated Security Gateway）, 可在有效防护来自网络层及应用层的威 胁的同时，为企业和运营商的网络提供最优化的性能并降低网络复杂性。 目前业内其他安全解决方案提供商的整合方式往往以牺牲网络性能为代价，并增加了网络复杂性。而Juniper的必威体育精装版专属定制的系统采用模块化设计及独特的处理架构 – 包括基于Juniper的新型第四代ASIC芯片的整合了防火墙及VPN功能，不久的将来还可整合完善的入侵检测与防护(IDP)功能。Juniper-ISG 000具备卓越的性能，以及灵活性和可扩展性，从而有效抵御今天和未来日益复杂的网络威胁。 Juniper-ISG 1000是企业、电信运营商和数据中心的网管人员的理想选择，可帮助他们有效应对不断增加且更为隐蔽的网络攻击，同时确保超卓的网络性能，平衡有限的网络资源和预算。 世界著名调研机构Infonetics Research的首席分析员 Jeff Wilson表示：“功能整合的安全设备已是大势所趋。然而，如果没有适当的设计和功能性的结合，就会造成网络性能或管理的障碍。Juniper处理这一问题时，对整合可能造成的缺陷非常清楚。而Juniper-ISG 000是成功结合设备的管理能力、性能和不同安全功能的良好范例。” 独特的处理架构 ?Juniper-ISG 000具备高达Gbps线速的防火墙速率及 Gbps 3DES/AES IPSec VPN 速率；支持高达8兆的以太网连接或28 FE 以太网连接，甚至两种兼备。还可支持10,000个VPN 通道， ,000个并发会话，0,000个新会话。以上增强的性能是通过将几项灵活的处理功能相结合实现的：包括高性能双GHz CPU管理模块、现场可编程门阵列（FPGA）、以及新一代ASIC芯片GigaScreen3 ASIC。 GigaScreen3 ASIC是业内第一个具备千兆速率，硬件加速AES和3DES加密以及对任何大小的数据包进行千兆以上防火墙监测的可编程ASIC芯片。 与上一代相比，第四代ASIC芯片的性能提高了一倍，防火墙包处理速度(pps)高达每秒300万，加密数据包处理速度高达每秒150万，同时处理任何大小的数据包均保证传输流量的低延迟，这种特性对VoIP等新的应用来讲非常关键。另外，多重内嵌的处理器提升了拒绝服务式攻击（DoS）防护及加密碎片的功能，同时具备透过软件升级而未来进行新增功能的特性。 此外，Juniper-ISG 000系统架构的独特设计可支持线速防火墙和VPN包处理功能，同时执行基于安全策略，将个别会话另行导向特定的安全模块，以进行进一步的安全处理，额外的安全处理所需的特定安全模块的会话重置。GigaScreen 3 ASIC可平衡处理多达三个安全模块的所有会话，而每一个模块都具备双GHz 中央处理