H3C安全产品培训 H3C安全产品培训.pptx

《H3C安全产品培训 H3C安全产品培训.pptx》由会员分享，可在线阅读，更多相关《H3C安全产品培训 H3C安全产品培训.pptx（32页珍藏版）》请在得力文库 - 分享文档赚钱的网站上搜索。

1、1H3C安全安全(nqun)产品培训产品培训 H3C安全安全(nqun)产品培训产品培训第一页，共32页。目录目录(ml)(ml)nH3C H3C 安全产品安全产品(chnpn)(chnpn)全家福全家福nH3CH3C防火墙产品防火墙产品(chnpn)(chnpn)nH3C VPNH3C VPN产品产品(chnpn)(chnpn)nH3C IPSH3C IPS产品产品(chnpn)(chnpn)nH3C ACGH3C ACG产品产品(chnpn)(chnpn)nH3CH3C负载均衡产品负载均衡产品(chnpn)(chnpn)nH3CH3C流量清洗产品流量清洗产品(chnpn)(chnpn)第二

2、页，共32页。3完善完善(wnshn)(wnshn)的安全产品线的安全产品线H3C H3C 防火墙防火墙/VPN/VPN系列系列(xli)(xli)网络层安全网络层安全(nqun)(nqun)专业抗DDoS产品F100-C系列F100-SF100-MF100-A系列V100-EF100-EU200-C系列U200-SU200-MU200-AF1000-S系列F1000-A系列F1000-E系列Secblade AFCF5000-A5H3C H3C 防火墙防火墙/VPN/VPN系列系列应用层安全应用层安全负载均衡产品Secblade LBT1000-ST1000-MT5000-S3T1000-C

3、SecBlade IPST200-MT200-AT200-ST1000-AACG2000-MSecBlade ACGACG8800-S3安全管理安全管理安全管理中心SecCenterEADFW/IPS/UTM/ACG/AFC/IPS-D/iTAS Manager FW、SSL VPNF1000-C第三页，共32页。4网络层安全网络层安全(nqun)(nqun)第四页，共32页。5应用层安全应用层安全(nqun)(nqun)第五页，共32页。6目录目录(ml)(ml)nH3C H3C 安全产品安全产品(chnpn)(chnpn)全家福全家福nH3CH3C防火墙产品防火墙产品(chnpn)(chn

4、pn)nH3C VPNH3C VPN产品产品(chnpn)(chnpn)nH3C IPSH3C IPS产品产品(chnpn)(chnpn)nH3C ACGH3C ACG产品产品(chnpn)(chnpn)nH3CH3C负载均衡产品负载均衡产品(chnpn)(chnpn)nH3CH3C流量清洗产品流量清洗产品(chnpn)(chnpn)第六页，共32页。71.1.什么什么(shn me)(shn me)是防火墙？是防火墙？n防火墙：保护网络周边安全的关键设备，可以(ky)保护一个“信任”网络免受“非信任”网络的攻击，但是同时还必须允许两个网络之间可以(ky)进行合法（符合安全策略）的通信。n 基

5、本功能：网络(wnglu)隔离和访问控制防火墙防火墙交换机交换机受信区受信区域域不受信区域不受信区域DMZDMZ区区受信区域受信区域DMZDMZ区，可区，可以访问以访问POP3POP3和和SMTPSMTP服务服务DMZDMZ 受信区域，不可访受信区域，不可访问任何服务问任何服务不受信区域不受信区域DMZDMZ区，区，可以访问可以访问POP3POP3和和SMTPSMTP服务服务DMZDMZ 不受信区域，可不受信区域，可以访问任何服务以访问任何服务不受信区域和受信区域不受信区域和受信区域之间不能互访之间不能互访第七页，共32页。8百兆防火墙百兆防火墙-F100-F100系列系列(xli)(xli)

6、F100-CF100-CF100-C-EIF100-C-EIF100-SF100-SF100-MF100-MF100-A-SIF100-A-SIF100-AF100-AF100-EF100-E型号型号F100-CF100-CF100-C-EIF100-C-EIF100-SF100-SF100-MF100-MF100-A-SIF100-A-SIF100-AF100-AF100-EF100-E吞吐量吞吐量20M20M40M40M80M80M150M150M185M185M200M200M400M400M并发连接数并发连接数50K50K150K150K250K250K400K400K500K500K

7、500K500K500K500K新建连接新建连接5005005005001K1K3K3K3K3K3K3K10K10K固定接口固定接口1WAN+4LAN1WAN+4LAN1WAN+4LAN1WAN+4LAN4FE WAN4FE WAN3FE WAN3FE WAN2WAN+4LAN2WAN+4LAN3WAN+4LAN3WAN+4LAN4FE WAN4FE WAN插槽数插槽数0 00 00 01 11 11 11 1板卡类型板卡类型N/AN/AN/AN/AN/AN/A4FE/IPSec4FE/IPSec4FE/IPSec4FE/IPSec4FE/IPSec4FE/IPSec4FE/1G/24FE/1

8、G/2GG光或电光或电SSL VPNSSL VPN不支持不支持不支持不支持不支持不支持SSL VPNSSL VPN卡卡SSL VPNSSL VPN卡卡SSL VPNSSL VPN卡卡SSL VPNSSL VPN卡卡防病毒卡防病毒卡不支持不支持不支持不支持不支持不支持ASMASM卡卡ASMASM卡卡ASMASM卡卡ASMASM卡卡第八页，共32页。9新一代百兆防火墙新一代百兆防火墙-U200-U200系列系列(xli)(xli)型号型号U200-SU200-SU200-MU200-MU200-AU200-AU200-CSU200-CSU200-CMU200-CMU200-CAU200-CA吞吐量

9、吞吐量300M300M400M400M600M600M175M175M240M240M350M350M并发连接数并发连接数60K60K400K400K500K500K60K60K60K60K400K400K新建连接新建连接3K3K4K4K5K5K3K3K3K3K4K4K固定接口固定接口5GE5GE电电6 GE6 GE电电6GE6GE电电5GE5GE电电5GE5GE电电6 GE6 GE电电插槽数插槽数1 11 12 21 11 11 1板卡类型板卡类型2GE2GE电电2GE2GE电电/4GE/4GE光光2GE2GE电电/4GE/4GE光光2GE2GE电电2GE2GE电电2GE2GE电电/4GE/

10、4GE光光SecPath U200-CMSecPath U200-CMSecPath U200-CASecPath U200-CASecPath U200-CSSecPath U200-CSSecPath U200-MSecPath U200-MSecPath U200-ASecPath U200-ASecPath U200-SSecPath U200-SNavigator 2-2(Navigator 2-2(中国电信定制中国电信定制(dn zh)(dn zh)UTM UTM ManagerManager第九页，共32页。10千兆、准万兆防火墙千兆、准万兆防火墙型号型号F1000-C/F100

11、0-F1000-C/F1000-S SF1000-S-EIF1000-S-EIF1000-A-SI/F1000-F1000-A-SI/F1000-A-EI/F1000-E-SIA-EI/F1000-E-SIF1000-EF1000-ESecBlade FWSecBlade FW吞吐量吞吐量850M/1G850M/1G1G1G1G/2G/4G1G/2G/4G6G6G10G10G并发连接数并发连接数100100万万100100万万200200万万200200万万200200万万新建连接新建连接1 1万万1.51.5万万1 1万万/3/3万万/6/6万万6 6万万6 6万万固定接口固定接口2GE2G

12、E电电+2COMBO+2COMBO6GE6GE电电+4GE+4GE光光12*Combo12*Combo口口4COMBO4COMBON/AN/A插槽数插槽数2 21 12 22 2N/AN/A板卡类型板卡类型4FE/1GE4FE/1GE光光/1GE/1GE电电/2GE/2GE光光/2GE/2GE电电2GE2GE电电/4GE/4GE光光2GE2GE电电/4GE/4GE光光/2*10GE/2*10GE4GE4GE电电/4GE/4GE光光/8GE/8GE电电/1*10GE/1*10GE适用网络设备适用网络设备S12500/95E/75ES12500/95E/75E/SR88/SR66/58/SR88/

13、SR66/58F1000-CF1000-CF1000-SF1000-SF1000-S-EIF1000-S-EIF1000-AF1000-AF1000-EF1000-ESecblade FWSecblade FWF1000-A-SIF1000-A-SIF1000-A-EIF1000-A-EIF1000-E-SIF1000-E-SI第十页，共32页。11超万兆防火墙超万兆防火墙F5000-A5F5000-A5产品规格产品规格整机规格整机规格(gug)(gug)尺寸尺寸 标准标准7U7U插槽插槽 1 1主控板主控板+4+4业务板业务板业务接口业务接口 48GE/8*10GE 48GE/8*10GE管

14、理口管理口 1GE+1CON+1AUX 1GE+1CON+1AUX热备口热备口 1GE 1GE整机性能规格整机性能规格(gug)(gug)吞吐量吞吐量 40Gbps 40Gbps并发连接并发连接 400 400万万每秒新建连接每秒新建连接2020万万加密性能加密性能 2Gbps 2GbpsVPNVPN隧道数隧道数 5000 5000第十一页，共32页。12目录目录(ml)(ml)nH3C H3C 安全安全(nqun)(nqun)产品全家福产品全家福nH3CH3C防火墙产品防火墙产品nH3C VPNH3C VPN产品产品nH3C IPSH3C IPS产品产品nH3C ACGH3C ACG产品产品

15、nH3CH3C负载均衡产品负载均衡产品nH3CH3C流量清洗产品流量清洗产品第十二页，共32页。132.2.什么什么(shn me)(shn me)是是VPNVPN？中心节点中心节点Site-to-SiteSite-to-Site分支机构ExtranetExtranet合作伙伴接入点接入点DSLDSLCableCable移动用户移动用户SOHOSOHO用户用户VPNVPNInternetInternetVPNVPN即虚拟专用网：通过组合数据封装和加密技术，实现私有数据通过公共网络平台即虚拟专用网：通过组合数据封装和加密技术，实现私有数据通过公共网络平台进行安全传输，从而以经济、灵活的方式进行安

16、全传输，从而以经济、灵活的方式(fngsh)(fngsh)实现两个局域网络通过公共网络平实现两个局域网络通过公共网络平台进行衔接，或者提供移动用户安全的通过公共网络平台接入内网。台进行衔接，或者提供移动用户安全的通过公共网络平台接入内网。VPN协议(xiy)包括：L2TP VPN、GRE VPN、IPSec VPN、MPLS VPN、SSL VPN等多种协议(xiy)模式，其中IPSec和SSL VPN为主要应用协议(xiy)，某些情况下需要组合多种协议(xiy)。第十三页，共32页。14SSL VPNSSL VPN网关网关型号型号F100-MF100-MF100-A-SIF100-A-SIF

17、100-AF100-AF100-EF100-EF1000-CF1000-CF1000-SF1000-SF1000-AF1000-A同时在线数同时在线数5050808010010020020050050050050010001000加密性能加密性能10M10M15M15M20M20M100M100M100M100M100M100M150M150M型号型号U200-U200-M/A/CAM/A/CAF1000-S-EIF1000-S-EIF1000-A-SI/F1000-A-F1000-A-SI/F1000-A-EI/F1000-E-SIEI/F1000-E-SIV100-EV100-ESecBl

18、ade SSLSecBlade SSL同时在线数同时在线数2002002002002002003003001000010000加密性能加密性能50M50M50M50M50M50M120M120M2G2GF1000-CF1000-CF1000-SF1000-SF1000-S-EIF1000-S-EIF1000-AF1000-ASecblade SSLVPNSecblade SSLVPNF100-MF100-MF100-A-SIF100-A-SIF100-AF100-AF100-EF100-EV100-EV100-EU200-M/A/CAU200-M/A/CA 内置加密内置加密内置加密内置加密(j

19、i m)(ji m)(ji m)(ji m)！F1000-A-SI/F1000-A-EIF1000-A-SI/F1000-A-EI/F1000-E-SI/F1000-E-SI第十四页，共32页。15目录目录(ml)(ml)nH3C H3C 安全产品全家福安全产品全家福nH3CH3C防火墙产品防火墙产品nH3C VPNH3C VPN产品产品nH3C IPSH3C IPS产品产品nH3C ACGH3C ACG产品产品nH3CH3C负载均衡产品负载均衡产品nH3CH3C流量流量(liling)(liling)清洗产品清洗产品第十五页，共32页。163.3.什么什么(shn me)(shn me)是是

20、IPSIPS？包头包头(bo(bo tu)tu)协议协议(xiy)(xiy)数据内容数据内容nIPS定义：Intrusion Prevention System，入侵防御系统nIPS的两个关键特征：n 深入七层的数据流攻击特征检测（可检测蠕虫、基于Web的攻击、利用漏洞的攻击、网页篡改、木马、病毒、P2P滥用、DoS/DDoS等）n 在线部署，实时阻断攻击FW交换机IPSIPS内部网络内部网络nIPSIPS是目前业界最主流的应用层安全硬件产品是目前业界最主流的应用层安全硬件产品第十六页，共32页。17全面安全全面安全(nqun)防护：三库合一防护：三库合一 攻击库攻击库攻击库攻击库 协议库协议

21、库协议库协议库 病毒库病毒库病毒库病毒库综合综合(zngh)(zngh)防御防御H3C IPSH3C IPS：三库合一实现：三库合一实现(shxin)(shxin)全面攻击防全面攻击防御御更有效地防御混合型威胁更有效地防御混合型威胁切合新型攻击手法的发展趋势切合新型攻击手法的发展趋势提高防御精度和效率提高防御精度和效率创新技术带来的价值：创新技术带来的价值：我是谁？病毒、木马、蠕虫、恶意代码、我是谁？病毒、木马、蠕虫、恶意代码、后门、黑客程序、垃圾邮件、钓鱼、间后门、黑客程序、垃圾邮件、钓鱼、间谍软件谍软件 第十七页，共32页。18H3C IPSH3C IPS产品产品(chnpn)(chnpn

22、)系列系列SecPath T5000-S3SecPath T5000-S3SecPathSecPath T1000-AT1000-ASecPath T1000-MSecPath T1000-MSecPath T1000-SSecPath T1000-SSecPathSecPath T200-AT200-ASecPathSecPath T200-ST200-SSecBalde IPSSecBalde IPS超万兆超万兆IPSIPS+SecPathSecPath T200-MT200-MSecPath T1000-CSecPath T1000-C第十八页，共32页。19目录目录(ml)(ml)nH

23、3C H3C 安全产品全家福安全产品全家福nH3CH3C防火墙产品防火墙产品nH3C VPNH3C VPN产品产品nH3C IPSH3C IPS产品产品nH3C ACGH3C ACG产品产品nH3CH3C负载负载(fzi)(fzi)均衡产品均衡产品nH3CH3C流量清洗产品流量清洗产品第十九页，共32页。203.3.什么什么(shn me)(shn me)是是ACGACG？nACG定义：Application Control Gateway，应用控制网关nACG关键特征：n能对网络中的P2P/IM带宽滥用、网络游戏、炒股(cho)、网络视频、网络多媒体、非法网站访问等行为进行精细化识别和控制，

24、保障网络关键应用和服务的带宽，对网络流量、用户上网行为进行深入分析与全面的审计，进而帮助用户全面了解网络应用模型和流量趋势，优化其带宽资源，开展各项业务提供有力的支撑。FW交换机ACGACG内部内部(nib)(nib)网络网络第二十页，共32页。21 ACG8800-S3ACG8800-S3最大并发会话数最大并发会话数2M2M整机处理整机处理(chl)(chl)能力能力4 4 GbpsGbpsSecBlade ACG For S75E/S95ESecBlade ACG For S75E/S95E最大并发会话数最大并发会话数1M1M整机处理整机处理(chl)(chl)能力能力2 Gbps2 Gb

25、psACG2000-MACG2000-M最大并发最大并发(bngf)(bngf)会话会话数数1M1M整机处理能力整机处理能力2 Gbps2 GbpsH3C ACG H3C ACG 产品系列产品系列SecCenter/ACG ManagerSecCenter/ACG Manager第二十一页，共32页。22园区网出口流量控制园区网出口流量控制(kngzh)(kngzh)最佳部署最佳部署方案方案u背景：大型园区网，一般均有多个背景：大型园区网，一般均有多个InterInternetnet出口、内网有出口、内网有RadiusRadius等认证系统，庞等认证系统，庞大的网络势必充斥大的网络势必充斥(c

26、hngch)(chngch)着异常复杂着异常复杂的流量，出口流量拥挤现象屡次发生。的流量，出口流量拥挤现象屡次发生。u 优势：优势：u 易部署：业务接口业内最多，利于易部署：业务接口业内最多，利于支持多路出口统一支持多路出口统一(tngy)(tngy)监管，未监管，未来易扩容；透明部署、不影响网络拓来易扩容；透明部署、不影响网络拓扑扑u 基于基于“人人”的流量管理：支持与标的流量管理：支持与标准准Radius/LDAPRadius/LDAP等联动，避免动态等联动，避免动态IPIP地址难以定位用户的问题地址难以定位用户的问题u 高性能、高可靠性高性能、高可靠性在防火墙下行在线透明部署在防火墙下行

27、在线透明部署ACGACG设设备，实现对网络、业务、用户备，实现对网络、业务、用户/服务器的流量控制服务器的流量控制在管理区部署在管理区部署ACG ACG ManagerManager平台，实现对应用平台，实现对应用流量的监管流量的监管第二十二页，共32页。23目录目录(ml)(ml)nH3C H3C 安全安全(nqun)(nqun)产品全家福产品全家福nH3CH3C防火墙产品防火墙产品nH3C VPNH3C VPN产品产品nH3C IPSH3C IPS产品产品nH3C ACGH3C ACG产品产品nH3CH3C负载均衡产品负载均衡产品nH3CH3C流量清洗产品流量清洗产品第二十三页，共32页。

28、244.4.什么是负载什么是负载(fzi)(fzi)均衡均衡n负载均衡负载均衡(jnhng)(jnhng)从场景上分为服务器负载均衡从场景上分为服务器负载均衡(jnhng)(jnhng)和链路负载均衡和链路负载均衡(jnhng)(jnhng)应用场景应用场景对应问题对应问题典型组网典型组网服务器负载均衡服务器资源利用不合理网络拥塞、延时长链路负载均衡多条链路数据流量不均衡，导致网络出口访问慢n服务器负载均衡又可从应用上分为服务器负载均衡又可从应用上分为L4 L4 负载均衡和负载均衡和L7 L7 负载均衡负载均衡nL4 L4 负载均衡是指根据负载均衡是指根据IPIP地址及端口号等信息地址及端口号

29、等信息(xnx)(xnx)进行分流进行分流nL7L7负载均衡需要根据负载均衡需要根据HTTPHTTP头内容（头内容（URLURL、HOSTHOST）等信息）等信息(xnx)(xnx)进行细粒度分流，比进行细粒度分流，比L4L4更加精细更加精细第二十四页，共32页。25H3C H3C 负载负载(fzi)(fzi)均衡交换机系列均衡交换机系列负载均衡负载均衡交换机交换机H3C S9500E系列H3C S7500E系列H3C S12500系列LB插卡种类插卡种类(zhngli)LB for S75ELB for S95ELB for S12500第二十五页，共32页。26用户(yngh)Intern

30、etH3CH3C负载负载(fzi)(fzi)均衡均衡交换机交换机静态(jngti)HTTP内容服务器动态内容服务器H3CH3C负载均衡交换机支持下述七层负载均衡功能：负载均衡交换机支持下述七层负载均衡功能：TTP Request-URLHTTP HostHTTP User-Agent静态GIF内容服务器GET/index.htmlGET/images/logo.gifGET/logon/logon.aspPOST/cgi-bin/update.cgi高可用性高可用性 服务器七层负载均衡服务器七层负载均衡HTTP Accept-EncodingHTTP Cookie HTTP Accept-La

31、nguage第二十六页，共32页。27高可用性高可用性 链路负载链路负载(fzi)(fzi)均衡均衡ISP1ISP31234561 12 26 65 5ISP23 34 4LBH3C的链路负载均衡设备,通过静态(jngti)表项匹配及动态链路检测，对多条链路状态进行实时的探测和监控,确保流量以最合理及快速的方式分发到不同链路上，,实现业务的高效传输。第二十七页，共32页。28目录目录(ml)(ml)nH3C H3C 安全产品安全产品(chnpn)(chnpn)全家福全家福nH3CH3C防火墙产品防火墙产品(chnpn)(chnpn)nH3C VPNH3C VPN产品产品(chnpn)(chnp

32、n)nH3C IPSH3C IPS产品产品(chnpn)(chnpn)nH3C ACGH3C ACG产品产品(chnpn)(chnpn)nH3CH3C负载均衡产品负载均衡产品(chnpn)(chnpn)nH3CH3C流量清洗产品流量清洗产品(chnpn)(chnpn)第二十八页，共32页。293.3.什么什么(shn me)(shn me)是是AFCAFC？AFC(Auto Flow Control):自动流控制。H3C AFC异常流量清洗产品推出的专业防御分布式拒绝服务（DDoS）攻击的产品，包含：AFC-D异常流量检测(jin c)模块、AFC-G异常流量清洗模块以及异常流量清洗业务管理系

33、统。H3C流量清洗产品采用业界领先的“智能化流量模型”、“基于用户行为的单向防御”等技术，能够及时发现网络中的各种DDoS威胁并实现对攻击流量的快速过滤，从而有效保护城域网、IDC等免遭海量DDoS攻击。在提供安全加固的同时，提升了带宽利用效率。第二十九页，共32页。30拒绝服务攻击拒绝服务攻击(Denial of Service,DoS)(Denial of Service,DoS)是一种最悠久也是最常见的是一种最悠久也是最常见的攻击形式。使得目标系统因遭受某种程度的破坏而不能继续提供正常攻击形式。使得目标系统因遭受某种程度的破坏而不能继续提供正常的服务，甚至导致物理上的瘫痪或崩溃。出于商业

34、竞争、打击报复和的服务，甚至导致物理上的瘫痪或崩溃。出于商业竞争、打击报复和网络敲诈等多种因素，导致很多托管机房、商业站点、游戏服务器、网络敲诈等多种因素，导致很多托管机房、商业站点、游戏服务器、聊天网络等网络服务商长期以来一直被聊天网络等网络服务商长期以来一直被DDOSDDOS攻击所困扰，服务器宕攻击所困扰，服务器宕机，业务中断网络瘫痪，大面积断网随之而来的是客户机，业务中断网络瘫痪，大面积断网随之而来的是客户(k h)(k h)投诉、投诉、同虚拟主机用户受牵连、法律纠纷、商业损失等一系列问题。同虚拟主机用户受牵连、法律纠纷、商业损失等一系列问题。第三十页，共32页。31AFD检测(jin

35、c)模块AFC清洗(qngx)模块 异常流量清洗异常流量清洗(qngx)(qngx)模块模块 异常流量检测模块异常流量检测模块S7500ES7500E系列交换机系列交换机流量清洗业务管理系统软件业务管理平台业务管理平台可应用于S75E。单模块2G检测能力，最大可扩展到20GAFCAFC异常流量清洗系统异常流量清洗系统可应用于S75E。单模块2G清洗能力，最大可扩展到20G第三十一页，共32页。32流量清洗典型流量清洗典型(dinxng)(dinxng)部署部署hackInternetInternetInternetInternet接入路由器内网核心内网核心(hxn)Switch(hxn)Switch僵尸(jingsh)网络僵尸网络对外业务服务器群对外业务服务器群AFC检测防御一体化部署流量清洗部署在流量清洗部署在internetinternet出口路由器侧出口路由器侧，旁路检测全部流量旁路检测全部流量，攻击发现后引流进行清洗，攻击发现后引流进行清洗为了简易化部署，可以基于统一的交换平台，将检测插卡和防御插卡同时部署在该平台上为了简易化部署，可以基于统一的交换平台，将检测插卡和防御插卡同时部署在该平台上对外业务服务器群对外业务服务器群对外业务服务器群对外业务服务器群第三十二页，共32页。