东软Neteye防火墙为企业网络安全护航

2006-10-24　网友评论 0 条　点击进入论坛

1、产品概述

NetEye 防火墙3.2是NetEye防火墙系列中的最新版本，该系统在性能，可靠性，管理性等方面大大提高。其基于状态包过滤的流过滤体系结构，保证从数据链路层到应用层的完全高性能过滤
，可以进行应用级插件的及时升级，攻击方式的及时响应，实现动态的保障网络安全。

系统的主要模块工作在操作系统的内核模式下，并对协议的处理进行了优化，性能接近线速，具有高吞吐量、低延迟、零丢包率和强大的缓冲能力，千兆版本能够利用多处理器的能力处理超过百万的并发连接，完全满足高速、对性能要求苛刻的网络应用。NetEye防火墙所采用的流过滤体系结构，继承了包过滤防火墙和应用代理的特点，因而非常容易部署，并且由于应用层安全策略与网络层安全策略相互结合紧密，所以在任何一种部署方式下，都能够起到相同的保护作用。经国家权威部门检测，NetEye 防火墙3.2符合GB/T 18019-1999（包过滤防火墙安全技术要求）和GB/T 18020-1999（应用级防火墙安全技术要求）两个标准。

2、创新架构

NetEye 防火墙，创新的高性能核心保护能力，基于状态包过滤的流过滤。防火墙所能起到的保护能力与其体系结构和运行机制有很大的关系，每一次体系结构上的演变都会带来防火墙功能的质的飞跃。NetEye防火墙所采用的流过滤体系结构，继承了包过滤防火墙和应用代理的特点，因而非常容易部署。并且由于应用层安全策略与网络层安全策略是紧密的，所以在任何一种部署方式下，都能够起到相同的保护作用。通过下面对流过滤技术与其他的防火墙实现技术之间的对比可知，流过滤技术实现了高性能、可扩展、透明的对应用层协议的保护。

3、功能特点

● 流过滤实现动态保护网络安全

流过滤机制是NetEye防火墙3.0的一大特色，NetEye防火墙3.1保留了这一个特色，并对其性能、稳定性进行了进一步的优化，NetEye防火墙3.2对流过滤引擎进行了优化，进一步提高了性能和稳定性，同时丰富了应用级插件、安全防御插件，并且提升了开发相应插件的速度。网络安全本身是一个动态的，其变化非常迅速，每天都有可能有新的攻击方式产生。安全策略必须能够随着攻击方式的产生而进行动态的调整，这样才能够动态的保护网络的安全。

基于状态包过滤的流过滤体系结构，具有动态保护网络安全的特性。例如，由于新的SQL SERVER蠕虫病毒的出现，使很多企业网络、甚至Internet骨干网络陷入瘫痪，但是用了NetEye防火墙的企业，受益于流过滤体系结构的保护，及时获得了相应的应用保护升级包，使得在保证SQL SERVER正常应用的同时，有效的保护了网络免受蠕虫病毒的困扰。NetEye应用开发小组及时的开发NetEye应用升级包，使NetEye防火墙能够有效的抵御各种新的攻击，动态保障网络安全。

● 扩展协议支持

该功能是对原有NetEye防火墙3.0动态规则特性的完善，使其更容易扩展，用户可以通过简单的下载、升级模块，达到对新的复杂应用的支持。这也是流过滤体系结构优良可扩展性的体现。由于现在的应用协议日益繁多，每天都可能有新的应用协议产生，某些应用协议并不仅仅使用一个连接和一个端口，往往是通过一系列相关联的连接完成一个应用层的操作。防火墙推出之时很难能够支持所有的应用，这就要求防火墙能够有很好的可扩展性，以便将来能够根据需要进行扩展。在流过滤的平台基础上，我们可以方便、快捷的进行应用级插件的开发和升级，使防火墙可以不断适应新的应用协议。现在支持的这种应用协议包括FTP，RTSP，PNM，H.323、Oracle数据库访问等。

● 简单易用VPN

集成的VPN功能，采用标准的IPSec协议，支持NAT穿越，可以应用于ADSL、ISDN、拨号、DDN等多种网络环境，基于PKI的密钥管理架构、人性化的虚拟通道设置，有效提高了VPN的部署灵活性、可扩展性，大大降低了部署、维护的成本。可以方便、快捷的部署各种形式的VPN应用，包括企业内部的VPN，用于连接企业的各个分支机构；企业外部的VPN，用于企业与其合作伙伴等企业外部的组织进行连接；拨号VPN，用于连接在各地的移动办公，家庭办公人员安全的接入企业网络。是国密办批准生产、销售的VPN产品(SJW20网络密码机)。完善的VPN产品线，使得可以适合于大规模的部署。

● 网络永不间断

NetEye防火墙3.2的硬件采用了由Intel专门为东软设计生产的设备，其硬件体系结构完全采用了Intel用于电信级的服务器的标准，同时设备的关键部件，CPU、内存、电源等部件完全冗余。保证了系统的高可靠性运行。

NetEye防火墙3.2提供了带内、外的双重控制通道，具有最短仅需一秒的双机热备自动切换功能，保证了网络的永不间断。另外，NetEye FW 3.2对 FW3.1的图形管理界面(GUI)、身份认证、审计、双向网络地址转换（NAT）、事件报警、支持VLAN Trunk、IP与MAC地址绑定、流量管理、网络实时监控、支持SNMP、多播协议的支持等功能也进行了多方面的优化，使得系统的稳定性进一步提高。

4、防火墙典型应用示例

防火墙作为网络安全体系的基础设备，其作用是切断受控网络的通信主干线，对通过受控干线的任何通信进行安全处理。为企业级用户打造的中、高端网络安全产品，具有高性能、高稳定性、
高可用性的特点。具有极高的性价比，广泛应用于各类企业、政府、电子、电信、金融、学校等部门。

NetEye防火墙能够很好的控制用户的内部网络和外部Internet网络之间的各种访问，保护内部的关键资源，同时又不会成为网络的瓶颈。还可以在内部网的关键节点进行不同安全区域间的分割，建立多层次的安全保护体系。NetEye防火墙容易部署，可广泛用于各类用户的网络结构。其典型连接如图所示。

1、我厂网络系统简要描述　

我厂是长庆油田分公司下属的一个采油厂，网络系统是一个连接基层六个采油作业区和河庄坪地区五个单位子网的广域网系统。网络中包括：业务网、办公网系统，同时为方便该公司办公人员与外部的沟通，办公网络还接入了Internet。网络中心机房设置在前机关楼三楼，核心交换机采用Cisco Catalyst4006，向上和油田公司连接的路由器采用Cisco7204，向下和各个采油作业区连接的路由器采用Cisco3640，数据库服务器（X370加磁盘阵列）、OA服务器（X250）、WWW服务器（X250）、UPS电源（APC 5KV/4H）、楼层交换机（Cisco Catalyst3550交换机5台）。分别采用两台防火墙NetEye3.2实现同外网和作业区网络系统的隔离。网络系统拓扑结构图如下所示。

2、东软NetEye防火墙和NetEye IDS入侵检测系统应用

针对我厂网络系统的特点，采用东软NetEye防火墙和NetEye IDS网络入侵检测系统。NetEye3.1防火墙是NetEye防火墙系列中的最新版本，是一个"运营级的防火墙"。NetEye IDS2.0利用独创的数据包截取技术对网络进行不间断的监控，扩大网络防御的纵深，采用网络数据流实时智能分析技术判断来自网络内部和外部的入侵企图。

在这个应用方案中，外网和内网之间通过设置东软的NetEye3.2防火墙，阻断了网络用户进行Web浏览、收发Email、FTP等应用时网络病毒的入侵和黑客的恶意攻击。作业区的防火墙对各个基层网络用户的IP数据流进行过滤，并且建立两个防火墙之间的VPN加密隧道，以保证数据传递的安全。NetEye3.1防火墙在流过滤的平台基础上，进行应用级的插件升级、各种攻击方式的及时响应和升级，动态保护网络安全，有效保证以后的升级及扩展。

内部网的主交换机Cisco Catalyst4006上连接了东软的NetEye IDS2.0，以帮助系统对付网络攻击，扩展系统管理员的安全管理能力（包括安全审计、监视、攻击识别和响应），提高信息安全基础结构的完整性。

在应用中，东软NetEye3.1防火墙实现了以下功能：

● 解决内外网络边界安全，防止外部攻击，保护内部网络；

● 根据IP地址、协议类型、端口等进行数据包过滤；

● 双向NAT功能，保护了内网地址;

● 通过IP与MAC地址绑定防止IP盗用；

● 防止IP欺骗和防DoS攻击；

● URL过滤、SMTP过滤；

● 用户身份鉴别；

● 具有自身保护能力，可防范对防火墙的常见攻击；

● 网络实时监控；

● 多播协议的应用；

● VLAN Trunk；

● 审计功能；

● VPN功能，支持IPSec、IKE等标准协议的加密隧道保证了数据的安全传输;

● 重点保护了DMZ区重要服务器的安全，包括扫描网络漏洞和防止外来的入侵等；

● FTP过滤功能，防火墙的双机热备份，主从防火墙1秒钟完成切换，并且FTP连接不断，保证了数据传递中的数据一致；

● 网桥模式和路由模式，在对原有网络结构改动最小的情况下，提供同等的安全保护。

东软NetEye IDS2.0实现了下列功能：

①.多种通信协议内容恢复功能：

● HTTP通信内容恢复；

● POP3或SMTP协议内容恢复；

● TELNET协议内容回放；

● 应用协议数据量比例图。

②.网络攻击与入侵检测功能：

● 攻击事件查询；

● 查询历史攻击事件；

● 分析攻击者的行为；

● 实时报警。

③.实时网络监控功能：

● 实时连接监控；

● 实时网络流量监控；

● 网络嗅探器。

④.报表功能。

⑤.历史连接察看。

⑥.网络端口扫描器。

网络安全是一个系统的、全局的管理问题，网络上的任何一个漏洞，都会导致全网的安全问题，一个较好的安全措施往往是多种方法适当综合应用的结果。计算机网络安全应遵循整体安全性原则，根据规定的安全策略制定出合理的网络安全体系结构，这样才能真正保证整个系统的安全。

已有 0 位对此文章感兴趣的网友发布了看法　

我来评两句	登录邮箱：密码：
请您在这里发表您的个人看法，发言时请各位遵纪守法并注意语言文明！
	匿名发表