juniper網(wǎng)絡(luò)安全防火墻解決方案.doc

網(wǎng)絡(luò)安全解決方案1.1.用戶現(xiàn)狀與需求分析1.1.1.用戶現(xiàn)狀TCL公司現(xiàn)在的網(wǎng)絡(luò)使用JUNIPERSSG550M的防火墻，該防火墻使用已有幾年了使用一直很穩(wěn)定?，F(xiàn)由于業(yè)務(wù)的不斷的發(fā)展，公司的網(wǎng)絡(luò)規(guī)模也越來越大，其性能已經(jīng)不能滿足使用需求了，故需求更換性能更高的防火墻。1.1.2.需求分析從TCL有限公司的目前網(wǎng)絡(luò)狀況來看，需要規(guī)劃的網(wǎng)絡(luò)狀況如下：網(wǎng)關(guān)處需要有防火墻設(shè)備，保護(hù)內(nèi)部電腦免受來自互聯(lián)網(wǎng)的各種威脅網(wǎng)關(guān)處部署防火墻設(shè)備容易引起單點(diǎn)故障，所我們建議使用兩臺同型防火墻作雙機(jī)熱備。由于大部分應(yīng)用來自內(nèi)網(wǎng)，因此內(nèi)網(wǎng)到服務(wù)器之間應(yīng)該由防火墻建立專有的區(qū)域保護(hù)服務(wù)器避免受到來自內(nèi)網(wǎng)的攻擊。從上面的分析結(jié)果可以看出，需要解決上述問題,是此次方案的設(shè)計目標(biāo),本方案的設(shè)計目標(biāo)如下：網(wǎng)關(guān)處架設(shè)兩臺專業(yè)的防火墻做HA，使用防火墻連接到互聯(lián)網(wǎng)，使本地網(wǎng)絡(luò)免受一些來自互聯(lián)網(wǎng)的攻擊、威脅。對內(nèi)網(wǎng)用戶訪問外部的應(yīng)用作限制同時防火墻應(yīng)具備極強(qiáng)的防止四層以上攻擊的入侵檢測功能，以保證內(nèi)外網(wǎng)的安全隔離。使用防火墻IPS功能模塊.對內(nèi)網(wǎng)、外網(wǎng)的出入數(shù)據(jù)作檢測，預(yù)防網(wǎng)絡(luò)攻擊行為。1.2.防火墻網(wǎng)絡(luò)安全方案設(shè)計針對以上需求分析及實(shí)現(xiàn)的設(shè)計目標(biāo)，我們設(shè)計了以下的方案來完成網(wǎng)絡(luò)連接。此方案既能解決當(dāng)前面臨的互聯(lián)網(wǎng)安全問題，也能滿足當(dāng)前以及未來的應(yīng)用需要。1.2.1.方案拓樸1.2.2.拓樸描述1、在網(wǎng)關(guān)處部署兩臺JUNIPERISG1000防火墻作HA。2、防火墻下面分別針對每個部門建立一個處立的區(qū)域。3、每個區(qū)域之間通過策略來控制通信。1.2.3.方案實(shí)施由于現(xiàn)在公司的現(xiàn)狀我們本次項(xiàng)目的實(shí)施暫時部署一臺防火墻，到第二期時再部署另一臺防火墻，與本期的防火墻作HA。1.3.JuniperISG1000產(chǎn)品介紹1.3.1.產(chǎn)品概述Juniper推出業(yè)內(nèi)第一款整合了多種最佳網(wǎng)絡(luò)邊界安全功能的整合式安全網(wǎng)關(guān)Juniper-ISG1000（IntegratedSecurityGateway）,可在有效防護(hù)來自網(wǎng)絡(luò)層及應(yīng)用層的威脅的同時，為企業(yè)和運(yùn)營商的網(wǎng)絡(luò)提供最優(yōu)化的性能并降低網(wǎng)絡(luò)復(fù)雜性。目前業(yè)內(nèi)其他安全解決方案提供商的整合方式往往以犧牲網(wǎng)絡(luò)性能為代價，并增加了網(wǎng)絡(luò)復(fù)雜性。而Juniper的最新專屬定制的系統(tǒng)采用模塊化設(shè)計及獨(dú)特的處理架構(gòu)包括基于Juniper的新型第四代ASIC芯片的整合了防火墻及VPN功能，不久的將來還可整合完善的入侵檢測與防護(hù)(IDP)功能。Juniper-ISG1000具備卓越的性能，以及靈活性和可擴(kuò)展性，從而有效抵御今天和未來日益復(fù)雜的網(wǎng)絡(luò)威脅。Juniper-ISG1000是企業(yè)、電信運(yùn)營商和數(shù)據(jù)中心的網(wǎng)管人員的理想選擇，可幫助他們有效應(yīng)對不斷增加且更為隱蔽的網(wǎng)絡(luò)攻擊，同時確保超卓的網(wǎng)絡(luò)性能，平衡有限的網(wǎng)絡(luò)資源和預(yù)算。世界著名調(diào)研機(jī)構(gòu)InfoneticsResearch的首席分析員JeffWilson表示：“功能整合的安全設(shè)備已是大勢所趨。然而，如果沒有適當(dāng)?shù)脑O(shè)計和功能性的結(jié)合，就會造成網(wǎng)絡(luò)性能或管理的障礙。Juniper處理這一問題時，對整合可能造成的缺陷非常清楚。而Juniper-ISG1000是成功結(jié)合設(shè)備的管理能力、性能和不同安全功能的良好范例?！豹?dú)特的處理架構(gòu)Juniper-ISG1000具備高達(dá)1Gbps線速的防火墻速率及1Gbps3DES/AESIPSecVPN速率；支持高達(dá)8個千兆的以太網(wǎng)連接或28個FE以太網(wǎng)連接，甚至兩種兼?zhèn)洹＿€可支持10,000個VPN通道，250,000個并發(fā)會話，每秒20,000個新會話。以上增強(qiáng)的性能是通過將幾項(xiàng)靈活的處理功能相結(jié)合實(shí)現(xiàn)的：包括高性能雙GHzCPU管理模塊、現(xiàn)場可編程門陣列（FPGA）、以及新一代ASIC芯片GigaScreen3ASIC。GigaScreen3ASIC是業(yè)內(nèi)第一個具備千兆速率，硬件加速AES和3DES加密以及對任何大小的數(shù)據(jù)包進(jìn)行千兆以上防火墻監(jiān)測的可編程ASIC芯片。與上一代相比，第四代ASIC芯片的性能提高