DF100201防火墙产品与维护培训胶片ISSUE3[2]0-XXXX0

ISSUE数通技术支持部防火墙产品与维护3.0学习目标了解Eudemon产品工作原理了解Eudemon产品规格和特性掌握Eudemon产品典型组网及配置掌握Eudemon产品维护方法学习完本课程，您应该能够：课程内容第一章Eudemon防火墙第二章Eudemon边界会话控制器华为产品维护资料4第一章Eudemon防火墙培训1.防火墙技术简介2.防火墙体系结构3.防火墙原理与特性4.防火墙升级指导5.防火墙故障处理指导防火墙概述网络安全问题成为近年来网络问题的焦点网络安全包括基础设施安全、边界安全和管理安全等全方位策略防火墙的主要作用是划分边界安全，实现关键系统与外部环境的安全隔离，保护内部网络免受外部攻击与路由器相比,防火墙提供了更丰富的安全防御策略，提高了安全策略下数据报转发速率由于防火墙用于边界安全，因此往往兼备NAT、VPN等功能我司防火墙：Eudemon系列（英文含义－－－守护神）一夫当关，万夫莫开防火墙的分类（一）包过滤防火墙代理防火墙状态防火墙包过滤防火墙代理防火墙状态防火墙防火墙的分类(二）按照防火墙实现的方式，一般把防火墙分为如下几类：包过滤防火墙(PacketFiltering)包过滤利用定义的特定规则过滤数据包，防火墙直接获得数据包的IP源地址、目的地址、TCP/UDP的源端口、和TCP/UDP的目的端口。包过滤防火墙简单，但是缺乏灵活性，对一些动态协商端口没有办法设置规则。另外包过滤防火墙每包需要都进行策略检查，策略过多会导致性能急剧下降。代理型防火墙（applicationgateway）代理型防火墙使得防火墙做为一个访问的中间节点，对Client来说防火墙是一个Server，对Server来说防火墙是一个Client。代理型防火墙安全性较高，但是开发代价很大。对每一种应用开发一个对应的代理服务是很难做到的，因此代理型防火墙不能支持很丰富的业务，只能针对某些应用提供代理支持。状态检测防火墙状态检测是一种高级通信过滤。它检查应用层协议信息并且监控基于连接的应用层协议状态。对于所有连接，每一个连接状态信息都将被维护并用于动态地决定数据包是否被允许通过防火墙或丢弃。现在防火墙的主流产品都为状态检测防火墙：高性能和高安全的完美结合。防火墙技术发展方向1、软件防火墙。一般是直接安装在PC上的一套软件，基于PC提供基本的安全防护，此时防火墙基本上就是一个应用软件。代表产品有CheckPoint公司的防火墙产品。2、工控机类型防火墙。采用PC硬件结构，基于linux等开发源代码的操作系统内核，开发了安全防护的一些基本特性构成硬件防火墙产品形态。从外观上面看，该种防火墙是一个硬件防火墙产品，但是其软件、硬件和第一种防火墙产品从硬件上面说没有本质区别。国内大多数防火墙是采用这种技术。3、电信级硬件防火墙。采用独立设计的硬件结构，在CPU、电源、风扇、PCI总线设计、扩展插卡等方面优化结构，保证防火墙产品可以得到最优的处理性能和高可靠性。代表产品有华为公司的Eudemon200产品、NetScreen204等防火墙产品。4、基于NP电信级防火墙。由于纯软件设计的防火墙产品在流量很大的地方逐步成为瓶颈，基于网络处理器（NP）的业务加速模式的防火墙产品开始出现。通过网络处理器的高性能，使得防火墙产品可以达到1G线速的处理能力。代表产品有华为公司的Eudemon500/1000产品。软件防火墙=工控机类型防火墙=电信级硬件防火墙=基于NP电信级防火墙动态创建和删除过滤规则改进的状态防火墙：Eudemon系列防火墙即采用的这种技术，这是华为特有的ASPF技术（Applicationspecificpacketfilter），它结合了代理型防火墙安全性高、状态防火墙速度快的优点，因此安全性高，处理能力强。监视通信过程中的报文基于改进的状态检测安全技术（一）ASPF（ApplicationSpecificPacketFilter）增强VRP平台上的防火墙功能，提供针对应用层的报文过滤功能。ASPF是一种高级通信过滤。它检查应用层协议信息并且监控基于连接的应用层协议状态。对于所有连接，每一个连接状态信息都将被ASPF维护并用于动态地决定数据包是否被允许通过防火墙或丢弃。ASPF不仅能够根据连接的状态对报文进行过滤还能够对应用层报文的内容加以检测，以对一部分攻击加以检测和防范。基于改进的状态检测安全技术（二）用户A初始化一个telnet会话用户A的telnet会话返回报文被允许其它telnet报文被阻塞创建Session表项状态防火墙通过检测基于TCP/UDP连接的连接状态，来动态的决定报文是否可以通过防火墙。在状态防火墙中，会维护着一个Session表项，通过Session表项就可以决定哪些连接是合法访问，哪些是非法访问。基于改进的状态检测安全技术（三）FTP是FileTransferProtocol（文件传输协议）要用到两个TCP连接，一个是控制通道，用来在FTP客户端与服务器之间传递命令；另一个是数据通道，用来上传或下载数据。检查接口上的外发IP报文，确认为基于TCP的FTP报文。检查端口号确认连接为控制连接，建立返回报文的临时ACL和状态表。检查FTP控制连接报文，解析FTP指令，根据指令更新状态表，如果包含数据通道建立指令，则创建另外的数据连接的临时ACL，对于数据连接，不进行状态检测。对返回报文作根据协议类型做相应匹配检查，检查将根据相应协议的状态表和临时ACL决定报文是否允许通过。DoS攻击的防范对所有处于半开(TCPSYNorUDP)状态的连接进行数目统计和速度采样。基于改进的状态检测安全技术（四）主要防火墙性能衡量指标1、吞吐量其中吞吐量业界一般都是使用1K～1.5K的大包衡量防火墙对报文的处理能力的。因网络流量大部分是200字节报文，因此需要考察防火墙小包转发下性能。因防火墙需要配置ACL规则，因此需要考察防火墙支持大量规则下转发性能。2、每秒建立连接速度指的是每秒钟可以通过防火墙建立起来的完整TCP连接。由于防火墙的连接是动态连接的，是根据当前通信双方状态而动态建立的表项。每个会话在数据交换之前，在防火墙上都必须建立连接。如果防火墙建立连接速率较慢，在客户端反映是每次通信有较大延迟。因此支持的指标越大，转发速率越高。在受到攻击时，这个指标越大，抗攻击能力越强。这个指标越大，状态备份能力越强。3、并发连接数目由于防火墙是针对连接进行处理报文的，并发连接数目是指的防火墙可以同时容纳的最大的连接数目，一个连接就是一个TCP/UDP的访问。华为产品维护资料14第一章防火墙培训1.防火墙技术简介2.防火墙体系结构3.防火墙原理与特性4.防火墙升级指导5.防火墙故障处理指导Eudemon200Eudemon100Eudemon系列防火墙外观华为公司系列电信级硬件防火墙产品，涵盖了从低端数兆到高端千兆级别，卓越的性能和先进的安全体系架构为用户提供了强大的安全保障。Eudemon500Eudemon1000Eudemon系列防火墙性能项目技术参数与性能指标Eudemon100Eudemon200Eudemon500Eudemon1000整机吞吐率100Mbps（实际略低）400Mbps1200M3Gbps并发连接数20万50万50万80万每秒新建连接数5000条/秒20000条/秒100000条/秒100000条/秒Eudemon系列防火墙业界领先每秒新建连接能力保证了防火墙性能充分发挥。Eudemon200：高效可靠的体系结构——双总线双通道设计总线冲突减少，总带宽提升双通道收发互不影响接口卡1接口卡2PCI-0PCI-1高速内部交换PCI0PCI1CPU精心设计的体系架构保证了防火墙即使是在64字节报文下依旧保持优异转发性能，高速ACL技术保证了配置大量规则下，性能不受影响。Eudemon500/1000：基于NP逻辑结构Eudemon500/1000：基于NP的集中式多业务路由器CPUNP高速交换转发Logic高速接口智能接口高速接口高速接口2GPCI共享数据总线2GD_bus交换总线全模块化、基于NP硬件集中式转发、电信级可靠性；TCP、UDP首包都是NP进行处理，保证了每秒新建连接100,000条/秒，充分保证网络安全性。NP转发方式保证了Eudemon500和1000在64字节报文下分别超过1G和2G；基于硬件ACL保证了配置大量规则情况，性能不受影响。先进的体系架构Eudemon防火墙完全自主开发。软件采用专有操作系统，安全/高性能并重。Eudemon500/1000防火墙采用网络处理器技术，高性能、可扩展性兼顾。CPU功能灵活，可不断升级，弱点是性能低。ASIC性能高，弱点是过于固化，无法升级NPCPUASIC基于软件的CPU的灵活性和基于ASIC的高速转发的结合——NP（网络处理器）防火墙的基本工作流程传统包过滤防火墙（路由器）报文查找入接口ACL未找到允许缺省规则允许禁止NAT处理/查找路由查找出接口ACL未找到缺省规则禁止转发允许禁止禁止丢弃丢弃E200状态防火墙报文查找会话表未找到命中查找域间ACL规则允许禁止NAT处理/查找路由转发丢弃创建会话表根据路由表找出域进而找到域间与工控机类型防火墙技术对比大项子项工控机类型防火墙Eudemon系列防火墙可靠性CPU计算机通用CPU，功耗大，CPU需要借用风扇散热。通常为IntelPentium系列CPU通信用Powerpc系列，功耗低电源计算机电源，有些工程机无电源故障告警指示。通信专用电源，适用范围广，电源支持1+1备份，可热插拔，出现故障面板有指示灯告警，并上送告警日志。器件计算机通用器件，可靠性低高优质器件散热系统计算机风扇，一般内置。有些工控机无故障告警指示，可能由于风扇问题导致元器件损坏。智能散热系统。分4组8个小风扇，温度智能检测，温度自动调控，风扇支持热插拔，出现故障面板有指示灯告警，并上送告警日志。结构CPU+主板+网卡无源背板设计，主控板、散热系统、网络处理器模块、接口模块、电源模块全模块化设计，可独立更换。接口卡支持热插拔。性能小包（64字节）处理能力只有大包（1K字节）处理能力1/10~1/6Eudemon200小包超过120M，Eudemon500/1000分别超过1G/2G每秒新增连接百兆防火墙只有几千，千兆防火墙2万Eudemon2002万Eudemon500/100010万安规认证如果只在国内销售，一般为省成本不做认证CE、UL、FCC-PART15、TUV-GS、VCCI等硬件成本低高应用场所可靠性、性能要求没太高要求企业可靠性、性能要求高的大、中型企业及电信运营网络千兆防火墙技术对比大项子项基于ASIC方式千兆防火墙Eudemon500/1000防火墙结构CPU+ASICCPU+NP性能小包处理能力千兆1G/2G每秒新增连接2万10万业务支持能力TCP连接处理CPU参与全部NP处理带宽管理不能对每个IP进行连接数和流量限制，支持QoS能力弱支持对每个IP进行连接数和流量限制，支持QoS防DOS攻击弱（支持TCPProxy困难，难以防范SYNFLOOD）强（支持TCPProxy容易，难以防范SYNFLOOD）业务支持能力支持通常TCP/UDP/ICMP，复杂协议状态检测困难，支持NATALG少。除了支持通常TCP/UDP/ICMP状态检测以外，可以支持H.323、RTSP、MGCP、SIP等复杂协议状态检测和ALG，可支持多网合一。IPV6不能软件升级支持能软件升级支持华为产品维护资料24第一章防火墙培训1.防火墙技术简介2.防火墙体系结构3.防火墙原理与特性4.防火墙升级指导5.防火墙故障处理指导华为产品维护资料25防火墙原理与特性1.安全区域2.工作模式3.安全防范4.VRRP&HRP防火墙的安全区域（一）防火墙的内部划分为多个区域，所有的转发接口都唯一的属于某个区域Local区域Trust区域DMZ区域UnTrust区域接口1接口2接口3接口4防火墙