Barracuda NG 防火墙技术白皮书.docxVIP

梭子鱼NG防火墙技术白皮书梭子鱼NG防火墙产品家族包括硬件及虚拟平台等一系列型号，用于保护企业网络架构，改善点到点连接，简化网络管理；拥有强大的网络防火墙与VPN功能，此外，梭子鱼NG防火墙吸收了一整套下一代防火墙技术，包括7层应用控制、入侵防御、Web过滤、反病毒、反垃圾邮件及网络访问控制等技术。梭子鱼NG全球地图以3D方式实时的监控所有VPN 点到点隧道及应用状态Central ManagementHomeBarracuda NG Network Access ClientsInternetWANTravelBarracuda NG 55L VPNBranch OfficeSmall OfficeBarracuda NG Firewall F100Barracuda NG Firewall F10Branch OfficeHeadquartersBarracuda NG Firewall F300Barracuda NG Firewall F800Management PathData Path梭子鱼NG防火墙具有最新且最全面的下一代防火墙技术。不同于一些单项技术领先的下一代防火墙，梭子鱼NG防火墙为分布式网络设计，从十几个到数以千记的分支地点的网络互联、安全防护与安全管理，甚至不管员工在公司还是漫游，只要通过VPN方式远程接入都可以得到防护和管理。梭子鱼NG防火墙极大的简化管理，批量推送安全策略到整个广域网（WAN）中。其高级安全机制，能够提供面向应用的流量管理，优化对WAN的访问，根据流量状况和链路状况快速智能的路由流量。例如，一条高质量的WAN链路Down掉，则备份的链路将自动激活，并且根据QoS策略分配带宽，确保最重要的商业应用享有足够带宽。又或者让某个子网或某些用户或某个重要的终端优先享有带宽。什么是下一代防火墙？网络安全威胁不断变化，传统的网络安全威胁已经改变。新的威胁，如社交网络蠕虫、僵尸网络及其他一些狡猾的攻击改变了网络安全游戏，传统防火墙已经基本无法解决这些威胁。Web2.0的普及、带宽增长的需求、私人设备接入企业网络等变化，使得更多的通讯量仅通过少数端口和协议进行，这就意味着基于端口/协议类安全策略的关联性与效率都越来越低。例如，80或443的流量在传统防火墙看起来都是一样的，传统防火墙是无法防御其中基于应用的威胁。IPS虽然能够根据已知的攻击特征阻止一些攻击，能是由于无法识别应用，因而不能对具体应用进行防护，也无法阻止特定应用的滥用。因此，当前企业已经开始尝试重构其网络防御体系，即升级为“下一代防火墙”--面向应用、身份识别、多链路、带宽控制等结合的安全策略。7层应用控制下一代防火墙采用7层的应用控制技术，能够识别、检测、过滤一些伪装的应用。有些应用使用http这种看似安全的端口。Skype和P2P工具常常使用http协议，只有七层应用控制才能进行限制。梭子鱼NG防火墙将7层应用控制技术融合到其防火墙核心功能中，依据应用、用户ID，安全模型，位置、时间等制定控制策略。策略的动作包括阻止、允许、限制，甚至可以在整个网络启用或关闭某个特别的应用。梭子鱼将七层应用控制技术深度嵌入到NG防火墙的内核中，深度包检测技术结合行为分析使得梭子鱼能识别超过800中应用，包括那些高度模糊的应用，加密的应用。IDENTITY AWARE NETWORKINGAPPLICATION PROXIES企业通常希望用较少的设备解决网络与安全等诸多问题，以减少管理成本、优化构架。为实现这一目标，梭子鱼NG防火墙能够代理FTP、SSH、DHCP、DNS、SMTP、POP3等应用，进而实现应用级安全。SSH代理用于认证执行，这样用户在连接远程目标前应到梭子鱼NG防火墙上认证。梭子鱼支持基于每个用户定义访问目标策略，且操作简单。每个会话活动均可按要求进行记录。网络用户并不需要平均对待。通常，许多企业策略仅允许认证用户访问网络；或者给重要的用户或用户组分配更多的带宽，而限制一般用户一般应用的带宽；梭子鱼NG防火墙将用户身份与IP地址关联构建基于角色的访问控制体系。NG支持多种认证方式，进而可以制定面向用户的策略：Active Directory, NTLM, MC CHAP, RADIUS, RSA SecurID, LDAP/LDAPS, TACACS+及x.509 认证.应用代理面向身份网络面向应用与身份梭子鱼NG安全Web代理功能是NG Web过滤和NG恶意软件防御功能的扩展，它使得NG能够防护SSL加密的HTTP流量。这个功能允许企业将其安全策略覆盖到SSL流量，对SSL加密的网站进行URL过滤和病毒扫描。HTTPS的流量到达NG后将被临时解码以便设备进行扫描，扫描完成后重新加密传递给用户。梭子鱼NG安全Web代理也检查证书是否被