部署安全防火墙系统（新编）H3C篇

可以作为中小型企业的出口防火墙设备，也可以作为中型企业的内部防火墙设备使用。

主要技术参数：

? 32位的微处理器技术; ? 16M FLASH 256M内存

? 4个固定的10、100M自适应FE口作为局域网口； ? 3个固定的10、100M自适应FE口作为广域网口； ? 1个MIM扩展槽位；可选接口模块1FE/2FE/4FE/NDECII(加密卡)/HDC（软件功能

不支持）；

? 60Mbps（1400bytes）3DES加密性能(使用硬件加密卡) ? 300Mbps吞吐量;

MIM 接口模块插槽 以太网口WAN 图2-5 以太网口LAN 备配份置口口2.1.5 SecPath F100-C防火墙

H3C SecPath F100-C防火墙设备是H3C面向家庭办公、小型办公室开发的防火墙设备。

电源开关电源配输置入口以太网口LAN

以太网口WAN

图2-6

13

其主要技术参数：

? 采用MPC的微处理技术，并且自带硬件加密卡。 ? 8M FLASH 64M 内存

? 4个固定的10、100M自适应FE口作为局域网口； ? 1个固定的10、100M自适应FE口作为广域网口； ? 20Mbps吞吐量

F100-A和F100-C防火墙的主要差别： F100-A防火墙 32位的微处理器技术; 16M FLASH 256M内存 4个固定10/100自适应FE口作为局域网口 3个固定10/100自适应FE口作为广域网口 1个MIM扩展槽位； 60Mbps（1400bytes）3DES加密性能(使用硬件加密卡) 300Mbps吞吐量 F100-C防火墙 MPC的微处理技术，并且自带硬件加密卡。 8M FLASH 64M 内存 4个固定10/100自适应FE口作为局域网口 1个固定10/100自适应FE口作为广域网口 无 ？3DES加密性能(自带硬件加密卡) 20Mbps吞吐量

2.2 SecPath防火墙业务特性

2.2.1防火墙主要业务特性

防火墙支持多种攻击防范手段、Tcp proxy、内网安全、流量监控、网址过滤、网页过滤、邮件过滤等功能，能够有效的保证网络的安全。

防火墙采用ASPF状态检测技术，可对连接过程和有害命令进行监测，并协同ACL完成动态包过滤。

防火墙提供多种智能分析和管理手段，支持邮件警告，支持多种日志，提供网络管理监控，协助网络管理员完成网络的安全管理。

防火墙支持AAA、NAT等技术，可以确保在开放的Internet上实现安全的、满足可靠质量要求的网络。

防火墙支持多种VPN业务，如L2TP VPN 、IPSec vpn 、SSL VPN、GRE VPN、或动态VPN等，并且支持硬件加密，可以针对客户需求通过ADSL拨号、VLAN或隧道等方式接入远端用户，构建Internet 、 Intranet、Remote Access 等多种形式的VPN。

防火墙支持通过BIMS功能自动更新设备的配置文件及应用程序，支持通过VPN Manager功能来完成VPN的部署和配置。

防火墙提供基本的路由器能力，支持RIP/OSPF/BGP路由策略及策略路由；支持丰富的Qos特性，提供流量监管、流量整形及多种队列调度策略。

14

* 网络隔离及访问控制 * 应用层状态检测 * 多种攻击防范手段 * 地址转换 F1000-E F1000-A F1000-S F100-E

* 安全认证 F100-A F100-S F100-C

* 内容过滤及邮件过滤 * 丰富的VPN业务 * 智能分析和管理手段 * 网络协议积累

图2-7

2.2.2防火墙主要功能

支持包过滤技术。支持基于接口的访问控制列表，基于时间的访问控制列表。借助报文优先级、TOS、UDP、或TCP端口等信息作为过滤参数，通过在接口输入或输出方向上使用标准或扩展访问控制规则，可以实现对数据包的过滤。同时，还可以按照时间段进行过滤。 支持应用层报文过滤ASPF（Application Specific Packet Filter），也称为状态防火墙，它检测应用层协议（如FTP、HTTP、SMTP、H.323、RTSP等协议及其它基于TCP/UDP协议的应用层协议）并且监控基于连接的应用层协议状态，维护每一个连接的状态信息，支持ActiveX的过滤功能，并动态地决定数据包是否被允许通过防火墙或者被丢弃。

提供多种攻击防范技术，包括针对Land、Smurf、Fraggle、WinNuke、Ping of Death、Tear Drop、IP Spoofing、SYN Flood 、ICMP Flood、ARP Flood、ARP欺骗攻击的防范，提供ARP主动反向查询、TCP报文标志不合法攻击防范、超大ICMP报文攻击防范、地址/端口扫描的防范、Dos/DDOS攻击防范、ICMP重定向或不可达报文控制功能、MAC地址和IP地址绑定功能。支持透明防火墙。支持反向路由检查功能。

黑客 阻止 防火墙

受信区域

DoS攻击 不受信区域

正常用户

* 包过滤 * 应用层状态检测 * 多种攻击防范手段 * 地址转换

图2-8

15

2.2.3内容和邮件过滤

支持业务邮件过滤，提供SMTP邮件过滤、SMTP邮件标题过滤、SMTP邮件内容过滤和SMTP邮件附件过滤，支持SQL/Java Applet/ActiveX过滤。 支持网页过滤，提供HTTP URL过滤、HTTP内容过滤。 支持反向路由检测等功能。

正常网站

健康 内容 * Internet 有害网站 邮件 检测 有害 内容 * 内容过滤 * 邮件过滤

邮件服务器

图2-9

2.2.4监控功能

防火墙提供了强大的监控功能，主要通过监视防火墙自身提供的各种系统日志，统计、分析和告警，最终来实现控制防火墙的目的：

日志中心 Email邮 件通知 A B C 上报日志 企业网络业务SecPath防火墙 发现有攻击报文 企业网络接入拒绝攻击报文 图2-10

16