网络卫士防火墙NGFWUF系列产品说明

网络卫士防火墙系统NGFW4000-UF系歹U产品说明■彳天融信A■彳天融信ATOF*SEC：天融信TOPSEC?北京市海淀区上地东路1号华控大厦100085版权声明本手册的所有内容，其版权属于北京天融信公司（以下简称天融信）所有，未经天融信许可，任何人不得仿制、拷贝、转译或任意引用。本手册没有任何形式的担保、立场倾向或其他暗示。若因本手册或其所提到的任何信息引起的直接或间接的资料流失、利益损失，天融信及其员工恕不承担任何责任。本手册所提到的产品规格及资讯仅供参考，有关内容可能会随时更新，天融信恕不承担另行通知之义务。版权所有不得翻印? 1995天-融2信0公0司8商标声明本手册中所谈及的产品名称仅做识别之用，而这些名称可能属于其他公司的注册商标或是版权，其他提到的商标，均属各该商标注册人所有，恕不逐一歹明。天融信信息反馈产品概述关键技术)灵活的接口扩展能力)安全高效的TOS操作系统)集成多种安全引擎：FIREWALL+IPSEC+SSL+ANTIVIRUS+IPS)完全内容检测CCI技术产品特点介绍产品功能运行环境与标准典型应用) 典型应用一：在大型网络中的应用) 典型应用二：虚拟防火墙应用)典型应用三：AA模式双机热备产品概述网络卫士系列防火墙NGFW4000-UF(NetGuardFireWall)系列产品，是天融信公司积累多年网络安全产品开发与实践经验的应用最为广泛的千兆防火墙。它继承了天融信公司十多年来在安全产品研发中的积累的多项成果，以自主知识产权的网络安全操作系统TOS(TopsecOperatingSystem)为系统平台，采用开放性的系统架构及模块化的设计思想，充分体现了天融信公司在长期的产品开发和市场推广过程中对于用户需求的深刻理解。NGFW4000-UF属于网络卫士系列防火墙的中高端产品，特别适用于网络结构复杂、应用丰富、高带宽、大流量的大中型企业骨干级网络环境。NGFW4000-UF(TG-5130/NGFW4000-UF(TG-5030)说明,说明e此图片为网络卫士系列防火墙 新一代产品图片，部分老型号产品请参见实物。2关键技术灵活的接口扩展能力最大配置为26个接口，包括3个可插拔的扩展槽和2个10/100/1000BASE-T接口(可作为HA口和管理口)；可支持2〜24个千兆接口(光口或电口)。2)安全高效的TOS操作系统具有完全自主知识产权的TOS(TopsecOperatingSystem)安全操作系统，采用全模块化设计，使用中间层理念，减少了系统对硬件的依赖性，有效保障了防火墙、SSLVPN、IPSECVPN、防病毒、内容过滤、抗攻击、带宽管理等功能模块的优异性能。TOS良好的扩展性为未来迅速扩展更多特性提供了无限可能。3）集成多种安全引擎：FIREWALL+IPSEC+SSL+ANTIVIRUS+IPS基于专有硬件平台的NGFW4000-UF产品采用TOS操作系统，集成了丰富的安全引擎，包括：防火墙引擎，IPSECVPN引擎，SSLVPN引擎，防病毒引擎，IPS引擎等。这些引擎的紧密集成使得NGFW4000-UF成为了可以防范多种威胁、功能丰富的防火墙产品。4）完全内容检测CCI技术网络卫士防火墙采用最新的CCI技术，提供对OSI网络模型所有层次上的网络威胁的实时保护。网络卫士系列防火墙可对还原出来的应用层对象（如文件、网页、邮件等）进行病毒查杀，并可检查是否存在不良WEB内容、垃圾邮件、间谍软件和网络钓鱼欺骗等其他威胁，实现彻底防范。3产品特点介绍集成多种安全功能NGFW4000-UF由于集成了多种安全引擎，使其具备了防火墙、IPSECVPN、SSLVPN、防病毒、IPS等安全功能，成为了国内安全功能最丰富的防火墙产品。虚拟防火墙虚拟防火墙，是指在一台物理防火墙上可以存在多套虚拟系统，每套虚拟系统在逻辑上都相互独立，具有独立的用户与访问控制系统。不同的企业或不同的部门可以共用1台防火墙，但使用不同的虚拟系统。对于用户来说，就像是使用独立的防火墙。大大节省了成本。强大的应用控制网络卫士防火墙提供了强大的网络应用控制功能。用户可以轻松的针对一些典型网络应用，如MSN，QQ、Skype、新浪UC、阿里旺旺、GoogleTalk等即时通信应用，以及BT、Edonkey、Emule、讯雷等p2p应用实行灵活的访问控制策略，如禁止、限时、乃至流量控制。网络卫士防火墙还提供了定制功能，可以对用户所关心的网络应用进行全面控制。CleanVPN服务企业对VPN应用越来越普及，但是当企业员工或合作伙伴通过各种VPN远程访问企业网络时，病毒、蠕虫、木马、恶意代码等有害数据有可能通过VPN隧道从远程PC或网络传递进来，这种威胁的传播方式极具隐蔽性，很难防范。网络卫士防火墙同时具备防火墙、VPN、防病毒和内容过滤等功能，并且各功能相互融合，能够对VPN数据进行检查，拦截病毒、蠕虫、木马、恶意代码等有害数据，彻底保证了VPN通信的安全，为用户提供放心的CleanVPN服务。•广泛的网络适应性支持基于源地址、目的地址、接口、Metric的策略路由，支持单臂路由，支持Trunk（802.1Q和ISL），能够在不同的VLAN虚接口间实现路由功能，支持IGMP组播协议和IGMPSNOOPING，支持对非IP协议IPX/NetBEUI的传输与控制。先进的设计思想采用面向资源的设计方法。把安全控制所涉及的各种实体抽象为对象，包括区域、地址、地址组、服务、服务组、时间表、服务器、均衡组、关键字、文件、特殊端口等。不同对象的实体组成资源，用于描述各种安全策略，实现全方位的安全控制。极大地提高了网络安全性，并保证了配置的方便性。超强的防御功能高级的IntelligentGuard技术提供了强大的入侵防护功能，能抵御常见的各种攻击,包括SynFlood、Smurf、Targa3、SynAttack、ICMPflood、Pingofdeath、PingSweep、Landattack、Teardropattack、IPaddresssweepoption、FilterIPsourcerouteoption、Synfragments、NoflagsinTCP、ICMP碎片、大包ICMP攻击、不明协议攻击、IP欺骗、IPsecurityoptions、IPsourceroute、IPrecordroute、IPbadoptions、IP碎片、端口扫描等几十种攻击，网络卫士系列防火墙不但有内置的攻击检测能力，还可以和IDS产品实现联动。这不但提高了安全性，而且保证了高性能。强大的应用代理模块具有透明应用代理功能，支持FTP、HTTP、TELNET、PING、SSH、FTP-DATA、SMTP、WINS、TACACS、DNS、TFTP、POP3、RTELNET、SQLSERV、NNTP、IMAP、SNMP、NETBIOS、DNS、IPSEC—ISAKMP、RLOGIN、DHCP、RTSP、MS-SQL-（S、M、R）、RADIUS-1645、PPTP、SQLNET—1521、SQLNET—1525、H.323、MSN、CVSSERVER、MS-THEATER、MYSQL、QQ、SECURID（TCP、UDP）PCANYWHERE、IGMP、GRE、PPPOE、IPV6等协议，可以实现文件级过滤。丰富的AAA功能，支持会话认证网络卫士系列防火墙支持对网络用户提供丰富的安全身份认证，如一次性口令（OTP）、S/KEY、RADIUS、TACACS、LDAP、securid、域认证及数字证书等常用的安全认证方法，也可以使用专用的认证客户端软件进行认证。基于用户的安全策略更灵活、更广泛地实现了用户鉴别和用户授权的控制，并提供了丰富的安全日志来记录用户的安全事件。网络卫士系列防火墙支持会话认证功能，即当开始一个新会话时，需要先通过认证才能建立会话。这个功能可大大提高应用访问的安全性，实现更细粒度的访问控制。强大的地址转换能力网络卫士系列防火墙拥有强大的地址转换能力。网络卫士系列防火墙同时支持正向、反向地址转换，能为用户提供完整的地址转换解决方案。正向地址转换用于使用私有ip地址的内部网用户通过防火墙访问公众网中的地址时对源地址进行转换。网络卫士系列防火墙支持依据源或目的地址指定转换地址的静态NAT方式和从地址缓冲池中随机选取转换地址的动态NAT方式，可以满足绝大多数网络环境的需求。对公众网来说，访问全部是来自于防火墙转换后的地址，并不认为是来自内部网的某个地址，这样能够有效的隐藏内部网络的拓扑结构等信息。同时内部网用户共享使用这些转换地址，自身使用私有IP地址就可以正常访问公众网，有效的解决了公有IP地址不足的问题。内部网用户对公众网提供访问服务（如Web、FTP服务等）的服务器如果是私有IP地址，或者想隐藏服务器的真实IP地址，都可以使用网络卫士系列防火墙的反向地址转换来对目的地址进行转换。公众网访问防火墙的反向转换地址，由内部网使用保留IP地址的服务器提供服务，同样既可以解决公有IP地址不足的问题，又能有效地隐藏内部服务器信息，对服务器进行保护。网络卫士系列防火墙提供端口映射和IP映射两种反向地址转换方式，端口映射安全性更高、更节省公有IP地址，IP映射则更为灵活方便。卓越的网络及应用环境适应能力支持众多网络通信协议和应用协议，如VLAN、ADSL、PPP、ISL、802.1Q、SpanningTree、IPSEC、H.323、MMS、RTSP、ORACLESQL*NET、PPPoE、MSRPC等协议，适用网络的范围更加广泛，保证了用户的网络应用。同时，方便用户实施对VOIP、视频会议、VOD点播及数据库等应用的使用和控制。•智能的负载均衡和高可用性>服务器负载均衡网络卫士系列防火墙可以支持一个服务器阵列，这个阵列经过防火墙对外表现为单台的机器，防火墙将外部来的访问在这些服务器之间进行均衡。负载均衡方式如下：.轮流（顺序选择地址）.根据权重轮流.最少连接（将连接分配到当前连接最少的服务器）.加权最少连接（最少连接和权重相结合）高可用性为了保证网络的高可用性与高可靠性，网络卫士系列防火墙提供了双机备份功能，即在同一个网络节点使用两个配置相同的防火墙。网络卫士系列防火墙支持两种模式的双机热备功能。一种为AS模式，即在正常情况下一个处于工作状态，为主防火墙，另一个处于备份状态，为从防火墙。当主防火墙发生意外宕机、网络故障、硬件故障等情况时，主从防火墙自动切换工作状态，从防火墙自动代替主防火墙正常工作，从而保证了网络的正常使用。另一种模式为AA模式，即两台防火墙的网络接口分组互为备份。在每一个组中，都有一个主接口，一个从接口。而不同组中的主接口可以工作在两台防火墙中的任意一台。这样，两台防火墙都处于工作状态，不仅互为备份，而且可以分担网络流量。网络卫士系列防火墙的双机热备功能使用自主专利的智能状态传送协议（ISTP），ISTP能高效进行系统之间的状态同步，实现了TCP协议握手级别的状态同步和热备。当主防火墙发生故障时，这台防火墙上的正在建立或已经建立的连接不需要重新建立就可以透明地迁移到另一台防火墙上，网络使用者不会觉察到网络链路切换的发生。流量均衡网络卫士系列防火墙支持完整生成树（Spanning-Tree）协议，可以在交换网络环境中支持PVST和CST等工作模式，在接入交换网络环境时可以通过生成树协议的计算，使不同的VLAN使用不同的物理链路，将流量由不同的物理链路进行分担，从而进行流量均衡，该功能和ISTP协议结合使用还可以在使用高可用性的同时实现流量均衡。•系统升级与容错网络卫士系列防火墙可以通过命令行及图形方式进行系统升级，同时网络卫士系列防火墙采用双系统设计，在主系统发生故障时，用户可以在启动时选择BACKUP方式，用备份系统引导系统。4产品功能类别功能详细描述工作模式网络接入令透明，路由，混合。虚拟系统令支持路由包括 和透明模式下的虚拟系统。令每个虚拟系统都提供独立的策略管理（包括、包过滤、以及访问控制策略）。网络安全性内容过滤令采用完全内容检测（ ）技术。令支持基于流、数据包、透明代理的过滤方式。令支持对、 、 。 、 等协议的深度内容过滤。令支持过滤。令支持对移动代码如 、 、 、 的过滤。令支持对邮件的收发邮件地址、文件名、文件类型过滤。令支持对邮件主题、正文、收发件人、附件名、附件内容等关键字匹配过滤。令支持 、 等多种编码方式。令支持，、新郎、阿里旺旺、 等 通信，并可以对于这些应用进行登陆限制。支持根据登陆等帐号进行登陆限制。令支持对，等应用通信的连接统计。支持对指定地址的应用通信的连接统计。令可限制、 ， 、讯雷等多种 应用；统计流量和连接数，控制 流量的带宽。令支持对指定地址的流量和连接数的统计和控制。令可屏蔽受保护主机服务器系统信息，如替换服务器（、 、 、）的 信息。令 过滤。令过滤。令 重定向。令伪装 的协议识别和阻断。

防病毒令支持 T T , , 、 协议的病毒查杀。令查杀邮件正文附件、网页及下载文件中包含的病毒。令支持万余种病毒的查杀，病毒库定期与及时更新。令支持木马病毒、蠕虫病毒、宏病毒、脚本病毒的查杀。令支持对可疑软件和色情软件的查杀。令支持启发式扫描查杀未知病毒。令支持 等压缩文件的病毒查杀。令支持 等多种打包文件的病毒查杀。令提供快速扫描及完全扫描两种扫描方式。令支持对来源于同一单位时间内发起的连接数进行统计，超过阈值的进行阻断。令发现病毒后，可自动生成访问控制策略。令病毒库在线自动升级。令病毒库离线升级。包过滤令基于状态检测的动态包过滤。令基于源目的地址、 地址、端口和协议、时间、用户的访问控制。令支持基于用户的 的访问控制。令支持报文合法性检查。令动态端口支持协议： 3I 、 、 * M 、 、 、等。令可实现静态或自动的 绑定。防御攻击令非法报文攻击： 、 、 f 、 、 、d g 。令统计型报文攻击： 、 、 、 、 。令 联动：可与支持 协议的 设备联动，以提高入侵检测效率。令端口阻断：可以根据数据包的来源和数据包的特征进行阻断设置。令 代理：对来自定义区域的 攻击行为进行阻断过滤。令攻击：可通过设置端口和阀值阻断攻击。令可记录攻击日志和报警。令预防 欺骗。令反向地址检查。令根据协议或地址，限制连接数目；根据连接数目进行源地址排名。可信安全接入令终端安全搜集。令接入方式包括、 、 、 和浏览器。令根据预定义的策略，决定用户可访问的网络资源。服务令支持使用一次性口令认证I）、本地认证、双因子认证I ）以及数字证书IA等常用的安全认证方式。令支持、 、、域认证等安全认证方式。令支持 认证、 会话认证。令支持认证保活功能。令可将认证用户信息加密存放在本地数据库。

令支持双向。令支持动态地址转换和静态地址转换。令支持多对一、一对多和一对一等多种方式的地址转换。令支持虚拟服务器功能。令支持协议包括 3 I T S * M P T 、等网络适应性路由令支持静态路由、动态路由。令支持基于源目的地址、接口、 的策略路由。令支持单臂路由，可通过单臂模式接入网络，并提供路由转发功能。令支持 路由，能够在不同的 虚接口间实现路由功能。令支持、 等路由协议。令支持协议。组播令支持 组播协议。令可有效地实现视频会议等多媒体应用。令可与交换机的 接口对接，并且能够实现 间通过安全设备传播路由。令支持 ，能进行封装和解封。令支持，能进行 的封装和解封。令在同一个 内能进行二层交换。生成树令支持 生成树协议。令支持代理、 学习。令可设置静态。非协议令支持对非协议 、 的传输与控制。令支持 、 、 。接入令支持 等宽带接入。令支持 拨号接入。其它令支持网络时钟协议，可以自动根据 服务器的时钟调整本机时间。令支持链路聚合。令支持 。令支持 。SSLVPN安全算法令支持 等多种算法选择协议类型令支持数据压缩令支持高效流压缩算法用户认证令支持“用户名十口令”、“用户名+口令+图形认证码”认证令支持 数字证书认证令支持数字证书+ 口令多因子认证令支持公共帐户登陆，支持临时禁止帐户登录令支持本地数据库认证令支持基于 等协议的外部服务器认证用户授权令支持分组授权、支持独立用户授权和授权继承令支持基于 、访问路径、访问文件、访问动作的细粒度授权令支持基于时间的访问授权方式令支持本地授权、支持外部组映射授权、支持证书用户授权

应用支持令支持 、 、 、 、 、 等各种应用令支持基于协议的各种应用，如 等令支持 远程文件共享端点安全令支持接入客户端痕迹清除，能够清楚 、缓存、历史记录等各种访问痕迹令支持拔隧道自动中断令支持用户超时自动退出，超时时间可以设置IPSECVPN协议令支持 等标准 协议，支持隧道模式、传输模式算法令支持 等标准加密算法，支持 等标准 算法令支持 ， 非对称算法令支持国家商密专用的 算法硬件加速令支持高速算法加速卡数据压缩令支持高效数据流压缩算法隧道认证令支持预共享密钥、数字证书认证，支持扩展认证网络适应性令支持网状、树型、星型等多种 网络拓扑令支持隧道的 穿越、双向隧道建立令支持全动态地址间的 组网令支持隧道转发令支持多机多隧道的负载均衡和冗余备份方案令支持隧道内的访问控制安全接入令支持远程用户通过 接入，建立 隧道访问内部网络令支持远程用户通过 接入，建立 隧道访问内部网络PKI证书格式令支持 数字证书，支持 多种证书编码本地令支持内置，为其他设备或移动用户签发证书令支持本地根证书、根私钥的更新令支持证书废弃，支持生成标准列表第三方令支持同时导入多个第三方的根证书和 列表，对不同证书用户进行身份认证，支持通告 协议定时下载列表令支持通过 等协议在线认证证书安全管理用户认证令支持使用一次性口令认证I)、本地认证、 认证以及数字证书I)等常用的安全认证方式。令支持使用第三方认证，如、 、 、域认证等安全认证方式。令支持 认证、 会话认证。令支持认证保活功能。令可将认证用户信息加密存放在本地数据库。日志令支持、 等多种日志格式的输出。令支持通过第三方软件来查看日志。令支持日志分级。令支持对接收到的日志进行缓冲存储。令支持安全审计系统I -L获得更详尽的日志分析和审计功能。令 除接受防火墙日志外还能接受交换机、路由器、操作系统、应用系统和其他安全产品的日志进行联合分析。令可对日志进行加密传输。

监控令支持网络接口、 利用率、内存使用率、操作系统状况、网络状况、硬件系统、进程、进程内存、加密卡状况的监测。令可根据配置文件进行错误恢复。报警令内置了“管理”、“系统”、“安全”、“策略”、“通信”、“硬件”、“容错”、“测试”等多种触发报警的事件类。令支持邮件、 、声音、 、控制台等多种组合报警方式。带宽管理流量整形令带宽管理。令根据、协议、网络接口、时间定义带宽分配策略。令支持最小保证带宽和最大限制带宽。令支持分层的带宽管理。优先级令支持级优先级控制。高可用性双机热备令支持双机热备（ ,与 两种模式db令支持系统故障切换，包括主设备抢状态开关功能，控制主设备是否在设备恢复正常情况时抢回主设备状态。令支持网关的双机热备功能。令支持集群工作模式。令设备切换不影响、 、 、 协议应用。令实时的配置同步或非实时的配置同步。负载均衡令支持轮询、加权轮叫、最少连接、加权最少链接等多种服务器负载均衡方式。令支持生成树协议，实现链路负载均衡。其它功能令支持链路备份功能。令支持双系统引导。令支持 功能。配置管理配置方式令支持 图形配置、命令行配置。令支持本地配置、远程配置。令支持基于、 的安全配置。命令行令支持配置命令分级保护。令支持中英文。令支持命令超时、历史命令、命令补齐、命令帮助、命令错误提示等功能。令支持 的、、 、 版本。令与当前通用的网络管理平台兼容，如 等。令丰富的私有系统信息。系统升级令支持双系统升级。令支持远程维护和系统升级。令支持、 、 方式升级。报文调试令提供强大的报文调试功能，可以帮助网络管理员或安全管理员发现、调试和解决问题。配置恢复令可以进行配置文件的备份、下载、删除、恢复和上载。令各类资源对象、安全策略可单独导入、导出。策略检查与配置令安全策略的矛盾自动检查。令符合指定地址的安全策略查找。令方便高效地动态资源对象名过滤。令每个安全策略的独立起停。令安全策略命中记数。时钟调整令支持网络时钟协议，可自动根据服务器时钟调整本机时间。其它扩展能力令开放式的架构支持扩展各种软硬件模块，如扩展防