金融行业最佳实践.pdfVIP

SRX SERIES FIREWALL BEST PRACTICE OF DEPLOYMENT CONFIGURATION 数据中心级别 SRX 防火墙部署与配置最佳实践 2013 Q4 1 前言 SRX 系列产品根据其硬件架构分为企业园区系列和数据中心系列。 数据中心系列 SRX 防火墙的最大特点在于其分布式的硬件设计。 目 前 ，数据中心系列 SRX 目前含有SRX5800 ，SRX5600 ，SRX3600 ， SRX3400 和 SRX1400。本册内容以数据中心系列 SRX 产品为对象 编写。 我们常常看到，客户在部署防火墙时 ，根据实际的网络环境对防火墙 进行调优的工作需要不断地评估和修正，这正是 由于防火墙产品的工 作特点决定的。因为防火墙不但影响着企业的信息安全等级，由于工 作机制不同于路由、交换设备 ，防火墙的处理流程还与业务应用紧密 关联。 同时 ，防火墙总是被部署在“关卡”位置 ，其产品性能也会对 网 络整体使用感受造成影响。而在应用感知的调节、产品性能的优化以 及安全等级的提升这几点之间总是存在矛盾与取舍 ，这也是防火墙配 置优化的难点所在。 我们归纳总结 了为金融、能源、运营商等行业大客户进行配置优化的 成果 ，形成一份推荐配置，在这本册子的每部分的开头以 【BEST PRACTICE】标出。希望通过分享这些经验帮助用户寻找到自己的“最 佳实践”。而由于每个客户的网络环境都存在 自身特色 ，不可能存在 一个适用于所有用户的“模板” ，但我们想通过这本册子提供给用户一 份正确的配置和一个进行调优的基线。同时我们尽量详细地阐述了常 见配置参数的原理 ，希望用户通过阅读这部分内容 ，对SRX 防火墙 有更深入的理解和掌握。 由于编写时间有限 ，难免出现错误疏漏 ，诚纳批评指正。 2 . 3 CHAPTER 1 设备安装 4 板卡安装与线缆连接 部署 SRX5K 时，建议使用系统第二块 SPC 上的接口用于 control-link 互联。 考虑日后可能使用 NG-SPC 扩容情况，建议从系统第二个槽位开始安装 SPC 板 卡，保持第一个槽位空闲。 HA 互联线缆至少需要两条，分别为 control-link 和 data-link。建议使用多模光纤 互联（SRX5K control link 只能使用光纤互联）。 建议使用两条 data-link 以提高系统冗余性，条件允许时，尽量将两条 data-link 分布在不同物理板卡上。 在部署 SRX CLUSTER 时，需要保证两台设备的 SPC/NPC 板卡槽位位置一致， 为提高维护便利性，建议接口板卡位置一致。 【BEST PRACTICE】SRX5600 板卡安装建议如下图所示 5 SRX3000 系列在安装板卡时，建议优化板卡安装位置，以尽量降低板卡热量， 减少功耗。 SRX3400 防火墙前/后视图如下图所示 ： 【BEST PRACTICE】为优化机箱温度，建议板卡安装规则如下  尽量在绿色槽位