DCN(北京神州数码云科信息技术)

产品概述

DCFW-1800系列是DCN即多核安全网关后又新推出的下一代防火墙产品，以保障用户应用安全为目标，通过L2-L7 层全面威胁防御及强大应用安全管控技术，为用户提供领先的网络安全解决方案。

神州数码下一代防火墙可精确识别数千种网络应用，并提供详尽的应用风险分析和灵活的策略管控。结合用户识别、内容识别，还可以为用户提供可视化及精细化的应用安全管理。同时，神州数码下一代防火墙内置了先进的威胁检测引擎及的WEB 服务器防护功能，能够抵御包括病毒、木马、SQL 注入、XSS 跨站脚本、CC 攻击在内的各种网络攻击，有效保护用户网络健康及WEB 服务器安全。基于全并行软硬件架构实现的“一次解包、并行检测”，神州数码下一代防火墙在具备全面安全防护的同时，更为用户提供业界领先的安全防护性能。

神州数码下一代防火墙提供了全面的应用安全防护和灵活的扩展方式，广泛适用于教育、政府、企业等各个行业，可部署在网络的主要结点、总出口及数据中心，为网络提供基于角色、深度应用安全的访问控制、IPSec/SSL VPN、应用带宽管理、病毒过滤、入侵防护、上网行为管理等安全服务。

细化应用管控

1. 下一代防火墙必须在任何端口上识别和控制应用，而不仅仅是标准端口（包括使用http或其他协议的应用）。应用识别也是下一代防火墙区别与传统防火墙的重要特征，因此，识别数量和精度是判别下一代防火墙优劣最重要的指标之一。对应用的多维、立体识别不仅是下一代防火墙做到全面、准确识别应用的必须要求，更是辅助用户管理应用、制定应用相关的控制和安全策略的关键手段，从而将用户从晦涩难懂的技术语言抽离出来，转而采用用户更关心和可以理解的语言去分类和解释应用，方便其做出正确的控制和攻防决断。

●应用多维可视化及风险分析。除应用所在分类外，用户可了解到包括应用背景信息、应用风险级别、潜在风险描述、所用技术等详尽信息，如该应用是否大量消耗带宽、是否能够传输文件、是否存在已知漏洞等等。通过多维度的详尽应用分析，用户可制定针对性的安全策略以避免特定应用威胁网络安全。

●精准应用筛选。神州数码下一代防火墙提供了精细化的应用筛选机制。用户可根据应用名称、应用类别、应用子类别、风险级别、所用技术、应用特征等6大条件。精确筛选出感兴趣的应用类型，如具备文件传输功能的通讯软件，或存在已知漏洞、基于浏览器的WEB视频应用等等，从而实现精细化的应用管控。

1. 下一代防火墙必须在任何端口上识别和控制应用，而不仅仅是标准端口（包括使用http或其他协议的应用）。对会话连接进行流量识别，并可灵活配置会话转发n值（n=1～1024）。对会话连接进行流量识别，并可灵活配置会话转发n值(n=1～1024)。

全面威胁检测与防护

神州数码下一代防火墙提供了基于深度应用、协议检测和攻击原理分析的入侵防御技术，可有效过滤病毒、木马、蠕虫、软件、漏洞攻击、逃逸攻击等安全威胁，为用户提供L2-L7 层网络安全防护。

我们说cc攻击和ddos攻击是网络上最流氓的攻击方式，目前没有什么好的办法可以有效抵御的，如果你安装了服务器安全狗可以拦截一部分攻击流量，在一定程序上减小对你服务器和网站的损害，尽量保持你网站的正常打开和访问。从ddos的防护类型上来说，阿里云云盾可以防护来自互联网的各种ddos攻击，并可以根据用户的流量大小自动调整防御策略，防护类型包括syn flood、ack flood、udp flood、http flood／cc、dns query flood以及ntp reply flood等所有ddos攻击方式，保障了互联网应用系统的可用性。目前网络安全界对于ddos和arp病毒的防范主要靠平时维护和扫描来对抗，服务器安全狗软件采用ndis中间层驱动模式，直接从驱动层屏蔽攻击，智能的防御ddos和arp攻击，保护服务器免受攻击，抵抗的攻击类型有保护cc攻击、udp flood、tcp flood、syn flood等，可以将攻击带来的损失降低到最小。

● Web 攻击防护功能。支持SQL 注入、跨站脚本、CC 攻击等检测与过滤，避免Web 服务器遭受攻击破坏；支持外链检查和目录访问控制，防止Web Shell 和敏感信息泄露，避免网页篡改与挂马，满足用户Web服务器深层次安全防护需求。神码公司的防火墙产品

● 高性能的病毒过滤功能。领先的基于流扫描技术的检测引擎可实现低延时的高性能过滤。支持对HTTP、FTP 及各种邮件传输协议流量和压缩文件（zip，gzip，rar 等）中病毒的查杀。

● 超过2000 万条分类库的URL 过滤功能，可帮助网络管理员轻松实现网页浏览访问控制，避免恶意URL 带来的威胁渗入。

强大的网络适应性

这项改革旨在更好适应高中教育融合性发展国际趋势、经济社会发展需要和广大人民群众教育多样化需求，增加教育选择性，建设既能满足直接就业需要也能满足继续升学需要，既具有职业教育特点又适当融合普通教育的多样化选择性课程体系，赋予中职学生更多的课程选择权、选择权和学制选择权，全面建立起新的中职教育人才培养模式，切实增强中职教育的吸引力和竞争力。为满足网络智能化运营需求以及少数特殊业务承载需求，除了传统城域bras设备以外，还增加了包括cgn、防火墙、dpi、cdn等不同的增值业务网络功能节点，这些设备功能和应用场景局限、部署分散、性能提升较慢、价格居高不下，对运营商而言性能价格比较低。部署在各学校和数据中心入口的防火墙可提供安全隔离和日常攻击防范，部署在互联网出口的高性能下一代防火墙具备高级应用安全能力，比如攻击防范、ips、防病毒、上网行为审计等，在实施互联网出口防护同时兼为整个城域网的安全资源中心，可以通过controller使用隧道技术对可疑流量进行编排，根据需要引流到安全资源中心做高级安全防护，从而实现动态应用安全。

● 智能链路负载均衡功能。其出站动态探测和入站SmartDNS 等功能允许网络访问流量在多条链路上实现智能分担，极大提升链路利用效率和用户网络访问体验。

● 内置VPN 加速芯片。可显著提升IPSec/SSL VPN 性能，支持网络环境中VPN 部署。结合iOS 及Android 平台下的VPN 客户端，可为用户提供移动终端远程接入解决方案。

● 支持虚拟防火墙技术。可将一台物理防火墙在逻辑上划分成多个虚拟防火墙，每个虚拟防火墙拥有独立系统资源和独立配置管理平台，可根据不同业务系统的安全需求为不同租户提供专属安全防护，还可对租户间互访的东西向流量进行安全隔离和策略防护。神码公司的防火墙产品

全并行高性能安全

为筑牢用户安全,今年上半年推出了下一代防火墙及web应用防火墙,两款产品分别针对用户的网络安全和web安全,在产品功能和性能方面得到了用户的一致肯定。40nm制程工艺的a7架构并不具备arm官方设定的28nm工艺的性能和功耗优势，若用四个a7架构并行，性能其实比两个a9要弱——比如在多任务处理的场景下，双核a9架构会拥有更强的数据传输和协同处理的能力，这在arm官网的数据上是找得到相关资料的。完成端口和disruptor在追求性能时，都避免使用并行、锁、多线程等概念，这些概念的出现自有它们的原因，这里不用多说，但是为了性能（考虑到硬件）却不能充分使用它们，说明在处理并发、并行问题上，硬件和软件的发展存在不协调，可能冯氏计算机还是适合单“线程”顺序处理信息吧。

应用识别

● 全新一代基于应用特征、行为和关联信息的应用识别

● 支持基于应用风险程度、特征的呈现、控制和审计

● 多达上千种的应用特征库，200+移动应用

● 独立的应用簿和服务簿管理

● 应用特征库通过网络实时更新，升级周期两周

● 支持多种Web视频高效引流

防火墙

● 基于深度应用识别的访问控制

● 基于应用 / 角色的安全策略

● 丰富的路由特性（静态路由、动态路由、ISP路由、策略路由、BFD等）

● 强大的 NAT （SNAT、DNAT、NAT444等）

● 支持各种应用协议的 NAT 穿越

攻击防护

● 多种畸形报文攻击防护

● SYN Flood、DNS Query Flood 等多种DoS/DDoS防

● ARP欺骗攻击防护

● 支持常见IP欺骗和IP扫描攻击

● 支持Ping of Death和IP smurf攻击防护支持攻击防护白名单

入侵防御

● 基于状态、精准的高性能攻击检测和防御

● 实时攻击源阻断、IP 屏蔽、攻击事件记录

指定服务名，支持的服务和协议：telnet ftp pop3[-ntlm] imap[-ntlm] smb smbnt http[s]-{head|get} http-{get|post}-form http-proxy cisco cisco-enable vnc ldap2 ldap3 mssql mysql oracle-listener postgres nntp socks5 rexec rlogin pcnfs snmp rsh cvs svn icq sapr3 ssh2 smtp-auth[-ntlm] pcanywhere teamspeak sip vmauthd firebird ncp afp等等。lvs对前端director server目前仅支持linux和freebsd系统，但是支持大多数的tcp和udp协议，支持tcp协议的应用有：http，https ，ftp，smtp，，pop3，imap4，proxy，ldap，ssmtp等等。网易邮箱支持pop3/smtp/imap服务，可以通过电脑客户端软件更好地收发邮件，网易邮箱已经默认开启pop3/smtp/imap服务。

● 支持缓冲区溢出、SQL 注入和跨站脚本、外链、Web访问攻击的检测和防护

● 支持超过3000 种特征的攻击检测和防御，支持特征库实时及本地更新

● 支持全局黑名单

● 支持的Web Server防御及CC攻击防御等

病毒过滤

● 基于流、低延时、高并发、高性能的病毒过滤

● 支持大病毒文件及压缩文件的扫描

● 超过 200 万的病毒特征库，病毒库可以及本地实时更新

● 实时病毒连接阻断，病毒事件记录

● 支持常见病毒传输协议 HTTP、FTP 及各种邮件协议扫描

● 支持在安全域和安全策略上绑定检测防护规则

网页访问控制

● 基于角色、时间、优先级等条件的 Web 网页访问策略控制

● 基于网页分类类别控制，控制对不良网站访问

● 支持自定义 Web 页面类别

● 总数几千万条域名的分类 Web 页面库，支持Web 页面库实时更新

带宽流量管理

● 根据安全域、接口、地址、用户/用户组、服务/服务组、应用/应用组、TOS、Vlan等信息划分管道

● 对多层级管道进行最大带宽限制、最小带宽保证、每IP或每用户的最大带宽限制和最小带宽保证

● 基于时间和优先级的差分服务，支持带宽均分策略

● 对剩余带宽根据优先级进行弹性分配

链路负载均衡

● 在多链路环境下，同时提供了入方向和出方向的负载均衡功能

● Outbound相关功能包括：基于策略的路由（PBR）、ECMP及权重、内置ISP路由和动态探测

开 发 商： 动态域名解析软件，支持所有解析服务，是完全的泛域名解析，运行本客户端，你可以在一台电脑上同时建立无数个不同的二级域名或国际顶级域名的网站，可以设置web、ftp、email邮箱等服务器，您几乎可以实现对您域名dns的所有功能进行动态配置。该版本适合所有环境,自动识别内网，自动识别解析服务器，能用一个用户名解析多个域名，每个域名可以分别选择静态解析或动态解析,支持动态ip和静态ip混合解析，自动设置mx记录）。dns 解析包括往返解析的次数及每次解析所花费的时间，它们两者的积就是 dns 解析所消耗的时间，因此，很忽视了 dns 的问题，其实，dns 对 网站解析速度也是非常重要的。

● 可根据带宽占用及时延情况自动进行链路切换

● 链路健康检查支持通过ARP、PING、DNS等方法来检测

服务器负载均衡

● 支持服务器健康检查和服务器会话保护、支持会话保持

● 支持加权哈希、加权轮询、加权最小会话数等算法

● 支持服务器会话状态的监控

VPN

● 支持标准 IPSec VPN/L2TP VPN 协议及各种部署方式

● 支持 SSL VPN ( 可选 USB-key)

● 创新的 PnPVPN( 即插即用 VPN)

● 支持L2TP over IPSec VPN

● 支持XAuth

● 支持针对Android、IOS等移动设备的VPN安全接入

IPv6

● IPv4/IPv6双栈

● NAT64/DNS64

● IPv6 in IPv4隧道

● IPv4 in IPv6隧道

● 基于IPv6的攻击防护

● 支持IPv6 HA

● 支持记录IPv6相关日志

高可用性 (HA)

● 主/主模式 (A/A) 和主/备模式 (A/P)

● 支持HA Peer Mode模式

● 配置同步

● 会话同步

● 关键部件冗余

虚拟系统 (VSYS)

● 支持对每个VSYS分配系统资源

● 支持CPU虚拟化

● 支持防火墙功能

● 支持IPsec VPN

● 支持统计报表

日志报表

● 支持用户行为流日志、NAT 转换日志、攻击实时日志、流量警告日志、上网行为管理日志、网络入侵监测日志

● 支持地址绑定协议

● 支持实时流量统计和分析功能

● 支持安全事件统计功能

● 支持基于实名制的日志审计

本文来自电脑杂谈，转载请注明本文网址：
http://www.pc-fly.com/a/ruanjian/article-95898-1.html