防火墙与交换机一体化安全保护.pdfVIP

1. 防火墙与交换机一体化安全保护 目前在安全领域流行着将安全与网络基础设备融合的趋势，一种是在网络设备的功 能基础上增加基于软件的安全功能，另一种是在网络设备上直接增加安全模块，包括防火 墙模块，VPN 模块, IPS 入侵防御模块等，并逐渐得到广大用户的认可，从而网络设计达 到了一个新的阶段，不再是在网络的基础上增加安全的设计，而是网络设计的初始阶段就 是安全的网络设计，安全和网络自然的融为一体。 最初的网络中防火墙设计经历了串联模式，单臂模式，发展到现在流行的融合模 式，如下图所 合之美的发展 融合模式 单臂模式 串行模式 Core Core Core CAT6 FWSM防火 K 墙模块 Sw itch Sw itch 高速防火墙 高速防火墙 独立防火墙 独立防火墙 独立防火墙 网络结构清晰,逻辑结构简单 网络逻辑结构复杂，有时需要 串接结构，网络瓶 ，易管理，部署，交换机所 PBR支持，难支持FailOver，多 颈，部署不灵活 有端口可用,服务质量保证， 设备难管理 带宽控制等 111 § 防火墙串接模式 o 单链路所有流量均需要通过防火墙，使之成为了网络瓶颈 o 部署不灵活，需要部署多个防火墙 o 管理困难 o 性价比差 § 防火墙单臂模式，为串接模式的改进型。 o 解决了瓶颈和部署不灵活的问题，提高了性价比 o 但网络逻辑结构变得复杂，一般都是采用路由的方式将流量导到不同的 防火墙端口 PDF created with pdfFactory Pro trial version o 一般需要采用802.1q，端口定义很复杂、模糊， o 必要时还需要交换机支持PBR策略路由来控制流量，从而在动态环境下， 会存在无法支持热备份等问题 o 不同厂商的交换机和防火墙之间的互联互通有时会出现连接问题 o 难于管理 § 防火墙与交换机融合模式 o 网络逻辑结构清晰，交换机的每个端口均可作为防火墙的端口，相当于 将防火墙的端口延伸到交换机上，端口定义可以非常清晰，可 支持众 多防火墙端口 o 通过防火墙的流量控制很灵活，既可 通过路由来控制，也可 直接用 VLAN来控制