销售培训-防火墙产品.ppt

2009/03 防火墙产品培训文档 刘旭昇 2010年2月 培训内容 概念描述 产品介绍 案例分析 概念描述 并发连接数：是指防火墙对其业务信息流的处理能力，是防火墙能够同时 处理的点对点连接的最大数目，它反映出防火墙设备对多个连接的访问控 制能力和连接状态跟踪能力，这个参数的大小直接影响到防火墙所能支持 的最大信息点数。 吞吐量是指在没有帧丢失的情况下，设备能够接受的最大速率,吞吐量测 试结果以比特/秒或字节/秒表示。 VPN (Virtual Private Network）虚拟专用网络。虚拟专用网络我们可以 把它理解成是虚拟出来的企业内部专线。它可以通过特殊的加密的通讯 协议在连接在Internet上的位于不同地方的两个或多个企业内部网之间 建立一条专有的通讯线路，就好比是架设了一条专线一样，但是它并不 需要真正的去铺设光缆之类的物理线路。 UTM (Unified Threat Management)统一威胁管理，是对传统防护手段 的整合和升华，是建立在原有安全网关设备基础之上的，拥有防火墙 、入侵防御(IPS)、防病毒(AV)、VPN、内容过滤、反垃圾邮件等多种 功能。 IDS是英文“Intrusion Detection Systems”的缩写，中文意思是“入侵检 测系统”。专业上讲就是依照一定的安全策略，对网络、系统的运行状 况进行监视，尽可能发现各种攻击企图、攻击行为或者攻击结果，以 保证网络系统资源的机密性、完整性和可用性。 IPS是英文“ Intrution Protection System”的缩写，中文意思是“入侵防 护系统”。倾向于提供主动性的防护，其设计旨在预先对入侵活动和攻 击性网络流量进行拦截，避免其造成任何损失，而不是简单地在恶意 流量传送时或传送后才发出警报。 SSL VPN即指采用SSL （Security Socket Layer，安全套接字层） 协议来实现远程接入的一种新型VPN技术。SSL协议是基于WEB应 用的安全协议，它包括：服务器认证、客户认证、SSL链路上的数 据完整性和SSL链路上的数据保密性。对于内、外部应用来说，使 用SSL可保证信息的真实性、完整性和保密性 IPSEC VPN（Internet Protocol Security，因特网安全协议）在 IPSEC VPN里，通信双方首先要采用一定的方式建立连接，确定所 要采用的安全策略和使用模式，包括加密运算法则和身份验证方法 类型等。一旦IPSEC通道建立，所有其上层协议数据都被进行加密 ，而不管这些通道构建时所采用的安全和加密方法如何。 产品介绍 思科ASA 5500 系列功能 防火墙技术防火墙技术 Cisco PIXCisco PIX IPS IPS 技术技术 Cisco IPSCisco IPS 内容安全内容安全 Trend MicroTrend Micro VPN VPN 技术技术 Cisco VPN 3000Cisco VPN 3000 网络智能网络智能 Cisco Network Cisco Network ServicesServices 应用监测应用监测, , 使用强制使用强制, , 网上控制网上控制 Application SecurityApplication Security 病毒等攻击防范病毒等攻击防范 异常检测异常检测 Anti-X DefensesAnti-X Defenses 流量控制流量控制, , 提前响应提前响应 Network Containment & Network Containment & ControlControl（网络围堵和控制）（网络围堵和控制） 安全连接安全连接 IPSec & SSL VPNIPSec & SSL VPN 市场已有技术市场已有技术自适应攻击防御和安全连接自适应攻击防御和安全连接 思科 ASA 5500 系列企业版 A Family of Tailored Packages for Location Specific Needs Cisco ASA 5500 Firewall Edition Cisco ASA 5500 Anti-X Edition Cisco ASA 5500 SSL & IPSec VPN Edition Cisco ASA 5500 IPS Edition 每个版本都能满足特定的企业环境需求： 防火墙版：使企业能够安全、可靠地部署关键业务应用和网络。独特的模 块化设计能够提供卓越的投资保护，降低运作成本。 IPS版：通过一组防火墙、应用安全性和入侵防御服务，防止关键业务服务 器和基础设施遭受蠕虫、黑客及其它威胁的袭击。 Anti-X版：利用全面的安全服务套件，为小型站点或远程站点的用户提供 保护。企业级防火墙和VPN服务提供到公司网络的安全连接。Anti-X服务能 够防止客户端系统遭受恶意Web站点以及病毒、间谍软件和诱骗等基于内容 的威胁侵袭。 SSL/IPsec VPN版：使远程用户能够安全地访问内部网络系统和服务，为 大型企业部署支持VPN集群。安全套接字层（SSL）和IP Security（IPsec ）VPN 远程接入技术将Cisco Secure Desktop 等威胁迁移技术与防火墙和 入侵防御服务有机地结合在一起，保证VPN流量不会给企业带来威胁。 版本说明: Cisco ASA 5520 Cisco ASA 5540 Cisco ASA 5500 系列产品 从SOHO到大企业 性能 防火墙吞吐量 防火墙+IPS吞吐量 最大IP Sec吞吐量 最大IPSec / SSL VPN 连接数 SMB and SME 市场定位 适用平台 最高连接数 新建连接数 /秒 集成式端口 最高虚拟接口 高可用性支持 Enterprise Medium Enterprise 300 Mbps 300 Mbps 170 Mbps 250 / 250 450 Mbps 375 Mbps 225 Mbps 750 / 750 650 Mbps 450 Mbps 325 Mbps 5000 / 2500 50,000 / 130,000 6,000 3+1 FE / 5 FE 10 / 25 A/A & A/S (Sec Plus) Cisco ASA 5550 Large Enterprise 1.2 Gbps N/A 425 Mbps 5000 / 5000 280,000 9,000 4 GE + 1 FE 100 A/A & A/S 400,000 20,000 4 GE + 1 FE 200 A/A & A/S 650,000 28,000 8 GE + 1 FE 200 A/A & A/S SOHO and ROBO 150 Mbps Future 100 Mbps 25 / 25 10,000 / 25,000 3,000 8-port FE switch 3 / 3 (trunk) Stateless A/S (Sec Plus) Cisco ASA 5510 Cisco ASA 5505 H3C SecPath系列 安全产品介绍 SecPath 系列防火墙概览 设备扩展能力、处理能力、高可用性 SOHO用户 电信级/ 数据中心 大型企业 SecPath10F SecPath100F-S SecPath100F SecPath100F-E SecPath500F SecPath1000F SecPath1800F 中型企业 小型企业 千兆设备 百兆设备 SecPath F5000 万兆设备 产品命名：Quidway SecPath 10F 市场定位：桌面型防火墙，SOHO、小企业或分支机构的安全接入设备 处理性能：吞吐量10Mbps，加密性能5M，100条VPN通道 接口数量：1X10M WAN + 4XFE LAN 配置：8M FLASH，64M内存 产品特点： n提供网络安全保障和防护功能 n支持丰富的VPN业务特性 n电信级设备高可靠性 n全面细粒度的QoS保证 n智能、高效、动态和图形化的管理 SecPath 10F介绍 SecPath 100F-S介绍 产品命名：Quidway SecPath 100F-S 市场定位：入门型百兆防火墙，作为SOHO、小企业的出口防火墙设备 处理性能：吞吐量80M，并发连接25万，每秒新增连接5000，VPN加密性 能40Mbps（硬件） 接口数量：4XFE WAN 配 置：16M FLASH，128M内存 产品特点： n提供网络安全保障和防护功能 n支持丰富的VPN业务特性 n电信级设备高可靠性 n全面细粒度的QoS保证 n智能、高效、动态和图形化的管理 产品命名：Quidway SecPath 100F 市场定位：标准型百兆防火墙，作为中小企业的出口防火墙设备，或中型企 业的内部防火墙设备 处理性能：吞吐量300M，并发连接50万，每秒新增连接1万，VPN加密性能 10/60Mbps（软/硬件） 接口数量：3XFE WAN + 4FE LAN；一个MIM扩展槽位，可选接口模块包括 1FE/2FE/4FE/IPSec加密卡 配 置：16M FLASH，256M内存 产品特点： n提供网络安全保障和防护功能 n支持丰富的VPN业务特性 n电信级设备高可靠性 n全面细粒度的QoS保证 n智能、高效、动态和图形化的管理 SecPath 100F介绍 产品命名：Quidway SecPath 500F-E 市场定位：增强型百兆防火墙，作为中小企业的出口防火墙设备，或中型企 业的内部防火墙 处理性能：吞吐量400M，并发连接80万，每秒新增连接1.5万，VPN加密性 能400Mbps（硬件） 接口数量：4XFE WAN ；一个MIM扩展槽位，可选接口模块包括1FE/2FE/4 FE/1GE(光/电)/2GE(光/电) 配 置：16M FLASH，256M内存 （可扩至512M） 产品特点： n提供网络安全保障和防护功能 n支持丰富的VPN业务特性 n电信级设备高可靠性 n全面细粒度的QoS保证 n智能、高效、动态和图形化的管理 SecPath 500F-E介绍 产品命名：Quidway SecPath 500F 市场定位：入门型千兆防火墙，作为大中型企业的出口或内部防火墙 处理性能：吞吐量1G，并发连接100万，每秒新增连接2万， VPN加密性能 350Mbps 接口数量：四个固定GE口（其中两个为光/电接口，另外两个为10/100/100M电 口）；支持两个MIM扩展槽位，可选接口模块包括 1FE/2FE/4FE/1GE(光/电)/2GE(光/电) 配 置：16M FLASH，512M内存（可扩至1G）；内置IPSec硬件加密 产品特点： n提供网络安全保障和防护功能 n支持丰富的VPN业务特性(SSL VPN) n电信级设备高可靠性 n全面细粒度的QoS保证 n智能、高效、动态和图形化的管理 SecPath 500F介绍 产品命名：Quidway SecPath 1000F 市场定位：企业级千兆防火墙，作为大中型企业的出口或内部防火墙 处理性能：吞吐量1.5G，并发连接150万，每秒新增连接3万， VPN加密性600M 接口数量：两个固定GE口（光/ 10/100/1000M 电接口）；支持一个MIM扩展槽位 ， 可选接口模块包括1FE/2FE/4FE/1GE(光/电)/2GE(光/电) 配 置： 16M FLASH，512M内存（可扩至1G）；内置IPSec硬件加密 产品特点： n提供网络安全保障和防护功能 n支持丰富的VPN业务特性(SSL VPN) n电信级设备高可靠性 n全面细粒度的QoS保证 n智能、高效、动态和图形化的管理 SecPath 1000F介绍 产品命名：Quidway SecPath 1800F 市场定位：基于NP技术的电信级千兆防火墙，可以作为大型企业的出口、数据内 部网络安全隔离防火墙； 处理性能：吞吐量4G，并发连接200万，每秒新增连接10万， VPN加密性能100M 接口数量：两个固定的10/100MFE口(做管理或者HA使用)，提供四个HIC扩插槽， 可选接口模块包括：2FE/4FE/8FE/1GE-SFP/2GE-SFP/IPSec加密卡， 最多可支持6GE+2FE+加密卡，或者26FE+加密卡 配 置： 32M FLASH，256M内存（ 可扩至 512M） 产品特点： n支持路由，透明及混合工作模式 n支持P2P流量检测及控制 n静态路由；RIP1/2、OSPF、BGP、策略路由 n电信级设备高可靠性 n强大安全日志功能 SecPath 1800F介绍 SecPath F5000-A5是目前全球处理性能 最高的分布式防火墙，旨在满足大型企业、运 营商和数据中心网络高性能的安全防护。 SecPath F5000-A5采用多核多线程、ASIC等 先进处理器构建分布式架构，将系统管理和业 务处理相分离，实现整机吞吐量达到40Gbps ，使其具有全球最高性能的分布式安全处理能 力。 SecPath F5000-A5支持外部攻击防范、 内网安全、流量监控、邮件过滤、网页过滤、 应用层过滤等功能，能够有效的保证网络的安 全；采用ASPF（Application Specific Packet Filter）应用状态检测技术，可对连接状态过程 和异常命令进行检测；支持多种VPN业务，如 L2TP VPN、GRE VPN 、IPSec VPN和动态 VPN等，可以构建多种形式的VPN；提供基本 的路由能力，支持RIP/OSPF/BGP/路由策略及 策略路由 产品特点： n 支持双机状态热备功能，支持 Active/Active和Active/Passive两种 工作模式，实现负载分担和业务备 份 n 36年的平均无故障时间(MTBF) n 远端链路状态监测（L3 monitor） n 设备关键部件均采用冗余设计 n 支持机箱内部环境温度自动检测 ，并可通过网管自动采集告警信息 n 双电源冗余备份 SecPath F5000-A5产品介绍 SINFOR AC 产品介绍 上网行为管理产品 为了满足不同规模用户的部署需求，深信服科技面向SOHO、分支机构、小型组织、中 小型组织、大中型组织、超大型组织等规模，提供了不同型号和平台，具体如下： 表一： 表二： 上网行为管理产品 为了满足不同规模用户的部署需求，深信服科技面向SOHO、分支机构、小型组织、中 小型组织、大中型组织、超大型组织等规模，提供了不同型号和平台，具体如下： 型号 S5100M5100 M5400 应用环境 小型企业、分支 机构 中型企业大型企业 接口类型 3个百兆网络接口 （1 LAN, 1 WAN, 1 DMZ） 3个百兆网络接口 （1 LAN,1 WAN,1 DMZ） 4个千兆接口（2 个WAN口，1个 LAN口，1个DMZ 口）和2个百兆接 口（WAN） 处 理 能 力 加密吞吐量510M54M312M 吞吐量50M95M790M 外型1U机架式1U机架式1U机架式 SINFOR 防火墙产品 SINFOR S5100是集成VPN/防火墙的硬 件网关，采用了最先进的嵌入式一体化硬件 平台、RISC NP处理器，保证了高可靠性和 突出的性能。S5100支持3个百兆网络接口（ 1 LAN, 1 WAN, 1 DMZ），为小型企业、分 支机构提供了强大的安全网关（VPN/防火墙/ 共享上网）功能。S5100的VPN吞吐量为： S5100 510M（AES加密），而防火墙的吞吐量达到50M，完全能够满足绝大部 分中小型企业ADSL等宽带网络接入环境。在外观设计上，SINFOR S5100 设备紧凑、美观。所采用全钢结构的外壳，标准化的1U尺寸，一体化的嵌 入式硬件平台和低功耗的设计，非常适用于小型企业或分支机构等规模较 小的网络。 SINFOR S5100产品介绍 深信服科技推出的SINFOR M5100， 是一款高性价比的硬件VPN/防火墙网关， 用于中型企业总部网络或大型企业的区域 总部网络。该产品又分标准版、专业版两 款，其中标准版支持3个百兆网络接口（1 LAN,1 WAN,1 DMZ），为单线路VPN。专 业版支持4个百兆网络接口（1 LAN,2 WAN,1 DMZ），为双线路VPN，支持两条 M5100 Internet线路带宽叠加及备份。SINFOR M5100具有强大的VPN功能，支 持各种Internet接入方式（包括ADSL、LAN宽带、XDSL等等）。设备内 置WebAgent动态IP寻址机制，双寻址方式保证了寻址的稳定性。 SINFOR M5100采用了改进的IPSEC协议，在确保VPN隧道安全外网的 攻击。 SINFOR M5100产品介绍 SINFOR M5400是一款功能强大的安 全平台，是千兆高性能的硬件VPN/防火墙网 关，用于大型企业或重要网络的中心节点。 标准配置的一台设备支持4个千兆接口（其 中2个WAN口，1个LAN口，1个DMZ口）和 2个百兆接口（用于WAN口）。各网口均可 自定义，并能通过模块扩充的方式、增加网 口或者光口。对于大型企业或重要网络来说 ， 带宽和稳定性的要求更高。SINFOR M5400支持4个WAN口（其中 1000M*2 & 10/100M * 2），可支持四条Internet出口线路的带宽叠加 和备 份，增强了网络的稳定性和出口带宽。同时，多条线路与其他节点建立 VPN连接时，能够根据线路匹配质量智能选择通信线路，尤其适用于分支 或移动节点分布于不同运营商网络中的情况。 M5400 SINFOR M5400产品介绍 SINFOR SSL VPN网关产品 M5800-SM5600-SM5400-SM5100-S SonicWall防火墙产品介绍 SonicWALL TZ 系列包括TZ 100、TZ 200 和TZ 210 网络安全设备，是同类产品 中最具创新性、速度最快的多层网络安全设备，突破了传统设备的局限性。TZ 系列设 备采用了SonicWALL 公司业界领先的统一威胁管理（UTM）技术以及荣获专利的免重 组深度包检测（RFDPI）技术*，提供了无与伦比的高性能以及深度威胁防御能力。全 新TZ 系列设备的性能大大超越了之前的TZ 180 和190 设备，与其相比，新推出的入门 级TZ 100 将UTM 吞吐量提高了2.5 倍。全新的TZ 系列以更高的性价比集成了IPSec、 SSL VPN 远程访问、VoIP 和可选的802.11b/g/n 无线功能（可选3G 无线宽带）。TZ 系列尤为适合分布式企业、分支机构、中小型企业、零售企业和管理服务提供商，是市 场上第一款经济实惠的解决方案，不仅拥有最快的网络连接速度，还提供了全方位的 UTM 保护。 SonicWALL TZ 系列产品介绍 SonicWALL TZ 系列产品性能对比 SonicWALL TZ 系列产品性能对比 NSA 系列采用新一代统一威胁管理（UTM）技术抵抗各种攻击，兼备入侵 防御、防病毒及反间谍软件功能和SonicWALL 应用防火墙的应用层控制功能。 NSA 系列利用先进的路由、全状态同步高可用性以及高速VPN 技术让您的分支机 构、中央区域及分布式中小型企业网络倍添安全性、可靠性、功能性及生产力， 同时还将成本及复杂程度降到最低。NSA 系列包括SonicWALL NSA 240、2400 、NSA 3500 和NSA 4500，提供各种解决方案，专为满足各种机构的网络安全需 求而设计。 SonicWALL NSA系列产品介绍 SonicWALL NAS系列产品性能对比 SonicWALL NAS系列产品性能对比 Check Point 防火墙产品介绍 UTM-1硬件产品为用户提供了经验证的安全技术 和容易部署与管理特性的完美结合。通过全线的硬件 解决方案，Check PointUTM-1硬件产品整合了诸如防 火墙、VPN、入侵防护和防病毒等关键的安全应用到 一个单一、容易部署的解决方案之中。因为Check Point UTM-1硬件产品采用了基于全球财富500强企业 使用的相同安全技术，中型企业可以对其组织的安全 防护状况高枕无忧，同时享受低安全成本和管理开销 的附加利益。 UTM-1 Total Security 硬件产品提供了一套全 面的安全特性集，包括防火墙、入侵防护、防病毒、 防间谍软件、防垃圾邮件、Web 内容过滤、Web应用 防护和安全的站点到站点以及远程访问连接。UTM-1 全面安全（Total Security）硬件产品提供了全面的安 全更新升级，硬件保障支持和长达三年的用户支持折 扣。 UTM-1 Edge 产品为低于100人的分支办公室 提供了集成的防火墙、入侵防护、Ipsec VPN和防病 毒功能，确保了小型办公室获得与企业总部同样的安 全防护水平。它们同样包括了集成无线局域网和ADSL 接口以及专门为工业环境设计机箱的型号选择。 小型到中型站点 Check Point Power-1 硬件产品能够允许企业 在诸如大型校园或者数据中心等高性能环境中提供最 大化的安全性保障。他们通过高级的加速技术整合了 集成的防火墙、IPsec VPN和入侵防护功能，从而提 供了能够适用于多千兆级环境的高性能安全平台。 Power-1硬件产品提供了两种型号-Power-1 5070和Power-1 9070-这使得企业能够为他们的环 境选择合适的性能水平和接口密度。 产品优势 n 通过提供高达14Gbps防火墙吞吐率和6.1Gbps的 入侵防护 吞吐率，能够确保业务关键性应用的可用性 ； n 为大型办公室和数据中心提供增强的企业安全部 署； n 通过按需扩展提供了全面的安全性，包括SSL VPNS、Web安全、Web内容过滤、防病毒、防间谍 软件和防垃圾邮件； n 通过为所有站点提供的单一管理控制台实现简单 的管理； n 通过可选的SmartDefense服务订阅防护新型的威 胁 大型企业和数据中心 Juniper 防火墙产品介绍 SSG 5和SSG20安全业务网关是专用的安 全设备，为小型分支办事处、固定的远程办公 人员和小型企业的网络部署提供了集高性能、 高安全性、路由和局域网/广域网连接方式于一 体的完美组合。通过状态防火墙、IPSec VPN 、入侵防御系统 (IPS)、防病毒 (包括防间谍软 件、防广告、防钓鱼软件)、防垃圾邮件以及网 页过滤等一套完整的统一威胁管理安全特性， 可以对进出于分支办事处和企业的流量进行保 护，以避免蠕虫、间谍软件、特洛伊木马和恶 意软件的侵袭。 SSG 5具有7个10/100板载接口和可选的 固定广域网端口。SSG20具有5个10/100接 口和2个可用于额外广域网连接的I/O扩展槽 。广泛的I/O选项加上路由引擎上支持的广域 网协议和封装支持，使得SSG5和SSG20能 够作为传统分支机构的办公室路由器来轻松 部署，或者成为用于降低前期购置成本和后 期运行成本的坚固安全和路由设备。SSG5 和SSG20都支持大多数特定无线安全特性所 采用的802.11a/b/g协议。 SSG140安全业务网关是一 款高性能的、适用于中型分支办事 处和中小型独立企业的安全平台， 可用于在满足法规遵从性要求的同 时，阻止内外部攻击以及防止未授 权的访问。SSG140 是一个模块化 平台，能够提供超过350 Mbps的 状态防火墙流量和100 Mbps的 IPSecVPN流量。 SSG140 支持10个板载接口 (8个10/100接口和2个10/100/1000接口) 以 及4个可用于安装额外广域网接口 (T1，E1，ISDN BRI S/T 和串口) 的I/O扩 展插槽，使之成为同类产品中扩展性最强的安全平台。广泛的I/O选项加上路 由引擎上支持的广域网协议和封装支持，使得 SSG140 能够作为传统分支办 事处的办公室路由器来轻松部署，或者成为用于降低前期购置成本和后期运 行成本的集成安全和路由设备。 SSG300系列产品包含专用安全设备 ，能够为大型企业、地区性分支办事处及中 小型企业的网络部署提供集高性能、高安全 性、路由和