網(wǎng)絡(luò)安全解決方案1.1.用戶(hù)現(xiàn)狀與需求分析1.1.1.用戶(hù)現(xiàn)狀TCL公司現(xiàn)在的網(wǎng)絡(luò)使用JUNIPERSSG550M的防火墻，該防火墻使用已有幾年了使用一直很穩(wěn)定。現(xiàn)由于業(yè)務(wù)的不斷的發(fā)展，公司的網(wǎng)絡(luò)規(guī)模也越來(lái)越大，其性能已經(jīng)不能滿(mǎn)足使用需求了，故需求更換性能更高的防火墻。1.1.2.需求分析從TCL有限公司的目前網(wǎng)絡(luò)狀況來(lái)看，需要規(guī)劃的網(wǎng)絡(luò)狀況如下：網(wǎng)關(guān)處需要有防火墻設(shè)備，保護(hù)內(nèi)部電腦免受來(lái)自互聯(lián)網(wǎng)的各種威脅網(wǎng)關(guān)處部署防火墻設(shè)備容易引起單點(diǎn)故障，所我們建議使用兩臺(tái)同型防火墻作雙機(jī)熱備。由于大部分應(yīng)用來(lái)自?xún)?nèi)網(wǎng)，因此內(nèi)網(wǎng)到服務(wù)器之間應(yīng)該由防火墻建立專(zhuān)有的區(qū)域保護(hù)服務(wù)器避免受到來(lái)自?xún)?nèi)網(wǎng)的攻擊。從上面的分析結(jié)果可以看出，需要解決上述問(wèn)題,是此次方案的設(shè)計(jì)目標(biāo),本方案的設(shè)計(jì)目標(biāo)如下：網(wǎng)關(guān)處架設(shè)兩臺(tái)專(zhuān)業(yè)的防火墻做HA，使用防火墻連接到互聯(lián)網(wǎng)，使本地網(wǎng)絡(luò)免受一些來(lái)自互聯(lián)網(wǎng)的攻擊、威脅。對(duì)內(nèi)網(wǎng)用戶(hù)訪問(wèn)外部的應(yīng)用作限制同時(shí)防火墻應(yīng)具備極強(qiáng)的防止四層以上攻擊的入侵檢測(cè)功能，以保證內(nèi)外網(wǎng)的安全隔離。使用防火墻IPS功能模塊.對(duì)內(nèi)網(wǎng)、外網(wǎng)的出入數(shù)據(jù)作檢測(cè)，預(yù)防網(wǎng)絡(luò)攻擊行為。1.2.防火墻網(wǎng)絡(luò)安全方案設(shè)計(jì)針對(duì)以上需求分析及實(shí)現(xiàn)的設(shè)計(jì)目標(biāo)，我們?cè)O(shè)計(jì)了以下的方案來(lái)完成網(wǎng)絡(luò)連接。此方案既能解決當(dāng)前面臨的互聯(lián)網(wǎng)安全問(wèn)題，也能滿(mǎn)足當(dāng)前以及未來(lái)的應(yīng)用需要。1.2.1.方案拓樸1.2.2.拓樸描述1、在網(wǎng)關(guān)處部署兩臺(tái)JUNIPERISG1000防火墻作HA。2、防火墻下面分別針對(duì)每個(gè)部門(mén)建立一個(gè)處立的區(qū)域。3、每個(gè)區(qū)域之間通過(guò)策略來(lái)控制通信。1.2.3.方案實(shí)施由于現(xiàn)在公司的現(xiàn)狀我們本次項(xiàng)目的實(shí)施暫時(shí)部署一臺(tái)防火墻，到第二期時(shí)再部署另一臺(tái)防火墻，與本期的防火墻作HA。1.3.JuniperISG1000產(chǎn)品介紹1.3.1.產(chǎn)品概述Juniper推出業(yè)內(nèi)第一款整合了多種最佳網(wǎng)絡(luò)邊界安全功能的整合式安全網(wǎng)關(guān)Juniper-ISG1000（IntegratedSecurityGateway）,可在有效防護(hù)來(lái)自網(wǎng)絡(luò)層及應(yīng)用層的威脅的同時(shí)，為企業(yè)和運(yùn)營(yíng)商的網(wǎng)絡(luò)提供最優(yōu)化的性能并降低網(wǎng)絡(luò)復(fù)雜性。目前業(yè)內(nèi)其他安全解決方案提供商的整合方式往往以犧牲網(wǎng)絡(luò)性能為代價(jià)，并增加了網(wǎng)絡(luò)復(fù)雜性。而Juniper的最新專(zhuān)屬定制的系統(tǒng)采用模塊化設(shè)計(jì)及獨(dú)特的處理架構(gòu)包括基于Juniper的新型第四代ASIC芯片的整合了防火墻及VPN功能，不久的將來(lái)還可整合完善的入侵檢測(cè)與防護(hù)(IDP)功能。Juniper-ISG1000具備卓越的性能，以及靈活性和可擴(kuò)展性，從而有效抵御今天和未來(lái)日益復(fù)雜的網(wǎng)絡(luò)威脅。Juniper-ISG1000是企業(yè)、電信運(yùn)營(yíng)商和數(shù)據(jù)中心的網(wǎng)管人員的理想選擇，可幫助他們有效應(yīng)對(duì)不斷增加且更為隱蔽的網(wǎng)絡(luò)攻擊，同時(shí)確保超卓的網(wǎng)絡(luò)性能，平衡有限的網(wǎng)絡(luò)資源和預(yù)算。世界著名調(diào)研機(jī)構(gòu)InfoneticsResearch的首席分析員JeffWilson表示：“功能整合的安全設(shè)備已是大勢(shì)所趨。然而，如果沒(méi)有適當(dāng)?shù)脑O(shè)計(jì)和功能性的結(jié)合，就會(huì)造成網(wǎng)絡(luò)性能或管理的障礙。Juniper處理這一問(wèn)題時(shí)，對(duì)整合可能造成的缺陷非常清楚。而Juniper-ISG1000是成功結(jié)合設(shè)備的管理能力、性能和不同安全功能的良好范例。”獨(dú)特的處理架構(gòu)Juniper-ISG1000具備高達(dá)1Gbps線速的防火墻速率及1Gbps3DES/AESIPSecVPN速率；支持高達(dá)8個(gè)千兆的以太網(wǎng)連接或28個(gè)FE以太網(wǎng)連接，甚至兩種兼?zhèn)洹＿€可支持10,000個(gè)VPN通道，250,000個(gè)并發(fā)會(huì)話(huà)，每秒20,000個(gè)新會(huì)話(huà)。以上增強(qiáng)的性能是通過(guò)將幾項(xiàng)靈活的處理功能相結(jié)合實(shí)現(xiàn)的：包括高性能雙GHzCPU管理模塊、現(xiàn)場(chǎng)可編程門(mén)陣列（FPGA）、以及新一代ASIC芯片GigaScreen3ASIC。GigaScreen3ASIC是業(yè)內(nèi)第一個(gè)具備千兆速率，硬件加速AES和3DES加密以及對(duì)任何大小的數(shù)據(jù)包進(jìn)行千兆以上防火墻監(jiān)測(cè)的可編程ASIC芯片。與上一代相比，第四代ASIC芯片的性能提高