MPS系列公司企业企业网关服务器

1、MPS系列企业网关服务器产品白皮书Version 本白皮书适用类型：MPS-600E多功能版MPS-600LB网吧专用版MPS-800E 中小企业级网关服务器MPS-800LB网吧专用版MPS-1000LB中型网吧专用版MPS-1800LB大型网吧专用版MPS-1600EX 企业级网关服务器MPS-2000WX电信级防火墙广州市微子网络科技有限公司2006年12月目录 TOC o 1-3 h z 一、前言宽带契机随着网络技术的不断发展，现在已经是数字信息时代，利用互联网进行商业贸易、远程办公、国际交流、网络通讯、信息传递，已成为我们生活中不可缺少的一部分。运营商之间的宽带市场的竞争，推动了整个

2、互联网基础网络的建设，主干带宽和接入带宽不断提高，接入成本不断降低。宽带运营上推出了各种各样的宽带接入的方式：ADSL接入、LAN接入、视讯宽带的Cable Modem接入以及基于小区的长城宽带的接入等等。用户只需付出很少的代价就可以借助宽带驰骋互联网信息高速公路。各种宽带的接入，不仅为互联网用户带来高速上网的好处，也为各大企业带来了进行商业，提高工作效率的途径，并且降低了互联网接入的成本。现在企业用户也可以以很低的价钱通过以上各种宽带的接入方式进入互联网了，但是一接入到互联网，各种问题就会接着出现。首先，企业内部的员工想通过该宽带接入访问互联网，而企业主管则不希望员工在上班的时候员工利用互联

3、网进行和工作无关的访问。这就存在着共享互联网和员工访问管理问题；另外，有了宽带的接入，企业就想建立自己在互联网上的服务器，对外无论是客户还是互联网上的用户提供各种信息，但是由于一般只有一个IP地址，而且很多时候都是一个动态的IP地址，如何利用动态IP地址提供信息呢这就存在一个服务器定位问题；再有，由于有服务器要连接着互联网，这就存在一个网络安全的问题，网络上的黑客只要对该服务器进行攻击，万一被黑客闯进这台服务器的话，整个企业内部网都向黑客打开，就有可能损失大量的商业秘密；最后，现在企业的各机构之间的互连，仍然没有得到很好的解决，还依赖于昂贵的DDN网络或者是低效的Modem/ISDN对拨的方式

4、。企业可以利用VPN的技术为员工提供远程办公，可以和各个分公司、客户公司之间建立虚拟局域网，实现数据的安全传输。要实现以上这么多功能，一般要在服务器上安装各种各样的软件，购买各种昂贵的硬件去实现。这样在不但管理上麻烦，对于企业来说反而增加太多的维护成本。那么有没有好的解决办法呢如何用最少的投入实现以前昂贵的VPN和IDC服务如何摆脱网络烦琐的维护工作和高昂的维护费用我们针对客户的这种需要，依靠我们多年来应用互联网的经验，特别设计了一系列的专用的硬件服务器，专门作为企业宽带上网的网关，可以满足企业以上的各种要求，实现对内部网络、外部网络的统一管理。这就是我们公司的产品 MPS系列企业网关服务器。

5、关于我们微子网络是交通部广州市信息技术研究所下属的专注于网络、通信技术开发的高新技术企业，专门从事互联网通信、CTI技术研究、计算机软硬件开发和应用集成。公司成立于2002年，一直本着“以人才为本，以客户为基础”的经营理念，为我国的信息应用事业添砖加瓦。公司汇集一批多年专业从事互联网，数据通信和CTI技术研究、开发、集成和技术咨询的高素质人才，有着多年的各行业呼叫中心建设以及互联网应用建设经验。我们现在专注于将互联网技术和呼叫中心技术的整合，开发出一套能够为各行业的企业提供统一信息通信平台系统。作为ISV（独立应用软件开发商），在CTI方面我们提供包括排对机（ACD）、语音板卡、CTI Lin

6、k中间件、可视化IVR编程平台、桌面电话应用软件、呼叫管理监控软件、录音管理系统、中文语音合成/识别系统、直到WEB呼叫响应的全方位接入系统、IP电话网关、七号信网关，CRM客户关系管理软件的完整的呼叫中心产品。而在互联网通信方面，我们提供动态域名系统，动态电子邮件服务系统，动态虚拟专网系统，企业即时信息系统，企业网络安全管理系统等完整的企业内部安全通信的解决方案。二、MPS系列网关服务器功能说明多个宽带接口，多种接入模式MPS系列网关服务器（以下简称MPS）都包括多个网络接口，除了缺省定义的LAN口外，其余的所有网络接口都可以作为内部网络接口或者接入宽带线路的外部网络接口。MPS的外部网络接

7、口都支持各种宽带的接入方式，包括中国电信的ADSL、LAN网络快车，视讯宽带的CableModem、盈通的e家宽、长城宽带以及各种城域网的接入方式。MPS具备连接的断线自动重连功能，MPS网关一经设置，就可进入自动的工作状态。线路中断或者IP变换后，系统自动重新连接，完全无需人工干预，完善的故障检测和自动重连功能保证可以轻松的畅游互联网。 多线路负载均衡MPS既然支持了多个宽带接口，自然也支持多条线路的捆绑使用功能（即负载均衡功能）。如果用户原来使用一条ADSL拨号线路，现在觉得带宽不够，于是又申请了一条ADSL拨号线路。MPS的线路捆绑功能就可以派上用场。捆绑后对于整个局域网络就拥有了倍增的

8、带宽。MPS并不是只能对同样种类的线路进行捆绑，它也可以对不同的宽带线路线路，比如拨号ADSL和静态光纤线路或者联通的宽带线路进行混合捆绑，MPS优异的负载均衡算法，保证网络流量可以平均的分配到每一条宽带链路上。同时，用户可以根据外部线路的带宽和连通性情况，确定数据流量的分配优先级别，确保不同种类宽带混合连接的情况下，充分利用每一条线路的带宽。 多网段DHCP管理功能MPS可以作为一个内部网的DHCP Server，用户可以自行设置需要分配给内部用户的IP地址段，设置好后，整个内部网络的IP地址分配都可以有MPS完成。另外，管理员可以根据系统提供的完善选项，设定对网络地址段、网络地址与网络端口

9、服务访问控制政策。系统还可以支持针对网络物理地址(MAC)绑定的功能，令到IP地址不会被盗用。因为MPS的每个网络接口都可以作为内部网络接口连接不同的局域网络，所以MPS的DHCP管理也是支持多网段的，你可以设定多个内部网段的DHCP服务，这是一般低端网络设备所不具有的功能。一个DHCP服务即可为几个网段服务，管理就很轻松了。支持大量连接的互联网共享功能无论何种宽带接入方式，都可以通过MPS的NAT（网络地址转换）功能为内部网用户提供互联网的共享。而且该共享方式是透明的。如果用户是利用MPS的DHCP功能进行IP地址分配，就已经可以共享互联网，如果不是的，就只需要把网关设置为MPS的对内接口的

10、IP地址就可以了。局域网络里面的主机通过网关共享设备访问互联网时，共享设备要为每个TCP/IP连接维护连接的信息。MPS提供对大量并发连接访问的支持能力。MPS的不同型号可以支持数以万计的并发连接。也就是可以支持局域网内成百上千的主机通过单一IP地址对互联网进行访问，最多支持3000台电脑同时上网，强大的处理能力。MPS-1600EX可以最多可以支持64,000的并发连接，完全可以支撑大型企业用户局域网络所有机器共享访问互联网的需求。 优越的网络吞吐性能MPS服务器支持2M1000M的各种接入模式。MPS-800系列可以支持10M以上的数据吞吐量。MPS-1600EX可以支持 100M以上的数

11、据吞吐能力。MPS-1800LB和MPS-2000EX可以支持 强大的防火墙功能MPS提供基于状态监测的包过滤防火墙功能，通过简单的管理界面，可以方便、灵活地设置过滤规则。最新增加了连接数限制、WEB数据过滤、P2P通信管理。包过滤功能作用在网络层和传输层，它可以根据分组包头源地址，目的地址和端口号、协议类型、标志位等众多信息对 数据包进行监控，确定是否允许数据包通过。只有满足过滤逻辑的数据包才被转发到相应的目的地出口端，其余数据包则被从数据流中丢弃。MPS防火墙可以实现双向的网络地址转换，即源地址转换和目的地址转换。局域网的主机通过源地址转换后通过唯一合法的IP地址访问外部，实现对外地址伪装

12、，也就是上面提供的网络共享功能。目的地址转换，可以把对宽带接入的唯一合法地址的访问映射入局域网内部。只要拥有一个合法IP地址，你就可以在局域网内架设你的WWW服务器，邮件服务器，省去了托管主机的管理不变的麻烦，把网站搬回你家门口。包过滤不需要用户软件的支撑，也不要求对客户机做特别的设置，也没有必要对用户做任何培训。当数据通过防火墙上时，用户甚至感觉不到包过滤功能的存在，只有在有些包在禁入和禁出时，用户才认识到网络上存在着防火墙。包过滤工作对用户来讲是透明的。这种透明就是可在不要求用户作任何操作的前提下完成包过滤。MPS防火墙的高级功能可以防止各种拒绝服务（DOS）攻击（Syn flood、IC

13、MP flood、UDP flood、Ping of Death、IP哄骗、Land Attack、tear drop Attack、IP地址扫描、Win Nuke Attack等）。MPS驻守你的宽带入口，可以有效的阻挡黑客的恶意入侵，让你不再担心你的内部网络被非法入侵，公司的数据被非法窃取。多种VPN协议支持所谓虚拟专网就是利用互联网，通过数据加密的方式，分布在不同地理位置的网络建立安全的通信网络。 天匙VPN协议MPS使用我们自行开发了采用基于IP数据隧道的天匙(SkyKey)虚拟专网系统，为用户提供VPN功能。在组建VPN时，可以采用多种加密算法（56Bits BLOWFISH、DES

14、、168Bits 3DES、MD5、RC4、SHA1、IDEA）对数据加密，保证数据安全传输。另外该系统支持多个网络互连的虚拟专网连接方式，只需要有一个中心连接点，其他网络都连上去这个中心点，就可以实现各个网络之间连起来的虚拟局域网。 IPSEC为了实现和其他厂家的互连，MPS支持多种的VPN协议，PPTP、L2TP、IPSEC 。IPSEC VPN支持以Share Key的模式和标准IPSEC的设备互连。MPS经过大量和不同厂商之间的连接测试，现在已经可以和主流的多个厂商各个档次的产品互连。这些厂商包括CISCOm，华为、Netgear、Sercom等。 PPTP和L2TP另外，MPS还支持

15、Microsoft 的PPTP协议，允许MS的客户端可以直接通过PPTP协议建立VPN连接，访问公司资源，实现远程办公。PPTP协议使用GRE的建立其VPN隧道。但时现时的很多路由器和防火墙对GRE协议都不能透过，因此造成了在局域网内部不能建立PPTP VPN连接，针对这种情况，MPS特别集成了L2TP的VPN接入协议，因为L2TP使用UDP协议，所以不存在防火墙的透过问题。无论你身在何处，使用何种网络，都可以轻易的接入公司的局域网络。支持多线路的动态域名解决方案现在主要的宽带用户都是采用ADSL拨号的方式，这种方式的缺点就是没有静态IP地址，只是一个动态IP地址。也就是说，每次拨号后都会得到

16、不同的IP地址。这样的话企业想要提供Web服务，电子邮件服务就有问题，别人不知道企业的当前的IP，很难实现访问。为此，MPS提供动态域名解析的方案，把这个不可能变成是可能。我们为用户提供动态的域名解析功能，使用户可以提供基于域名的访问，而该域名对应的IP地址则由MPS进行自动更新。这样，企业就可以利用域名提供各种互联网上的信息服务。MPS支持国内主流的几个动态DNS服务商，包括3322，花生壳，还有微子公司本身提供的更稳定和更专业的指南针动态DNS。MPS的动态域名可以结合多条宽带线路使用，MPS对于接入的每条宽带链路都可以捆绑不同的动态域名与之对应，这样，你就可以根据不同的域名访问MPS接入

17、的每条宽带链路。配合反向映射服务，不同的域名可以对应不同的局域网服务器，方便、统一的多语言管理界面为了方便用户使用和管理，MPS采用基于Web和浏览器的WBM的管理方式。所有管理都是通过远程连接的方式进行，用户登陆的时候通过168bits的SSL进行加密而建立HTTP的连接。所有设置都以图形化方式去管理。管理人员可以通过图形对象，直观方便的作模块设置、防火墙安全规则增、改、查、删操作、VPN设置等。整个管理Web界面采用全中文设计，但是也支持英文版本。 带宽管理功能 高速宽带的网络环境中，系统的QoS，即访问服务质量将是衡量产品性能的一项重要的指标。提供带宽管理，保证关键业务的服务质量，是MP

18、S的一项重要功能。许多防火墙产品都将系统的流量管理与带宽管理技术相混淆。其实，流量管理是通过对某用户或IP地址在某一时间段访问的流量总和进行控制，以达到对网络使用进行管理规划的技术。由于使用了状态检测技术的应用，我们的产品可以自动记录不同用户在规定时间段的网络流量，当超过限定流量时系统即会自动执行用户预先定义的安全策略。而带宽管理技术是一种更高层次的网络管理技术，可以对网络实时的传输速度进行测量，对网络拥塞情况进行监测并按照预先定义的优先级别，保证关键业务的网络带宽占用，从而避免了当网络产生瓶颈时，对一些关键业务的影响。这也正是我们所讲的QoS (Quality of Service)。具体来

19、讲，MPS的带宽管理模块包括以下功能：针对不同的IP地址设置不同的带宽限制和优先级别，保证重要用户的带宽流量。针对不同的服务端口设置不同的带宽限制，保证或者限制某种互联网业务的流量。对上下行的不同带宽控制。当网络空闲时，可以相应提高访问的带宽，但前提是不影响高级别服务或用户的网络带宽。即系统保证所分配带宽的最低值，在高级别网络应用不用带宽的情况下，可以自动加大低端到服务器用户的带宽，以最大程度利用现有的网络资源。在高速宽带网络环境中，各种实时网络应用得以迅速发展，尤其是多媒体服务对带宽的要求非常高，因此，防火墙产品的QoS性能将直接影响整个网络的性能。 内部网上网管理功能 MPS网关服务器支持

20、对内部网络的员工上网的行为的管理。MPS的上网管理功能是基于用户权限组实现的。系统可以定义多达30个权限组。每个权限组就是一个限制规则的列表，其中，列出权限组允许访问和限制访问的互联网资源。规则可以定义目的地址和服务类型。同时，这些规则可以设定生效的时间。通过这样的条件组合就可以控制员工上班时间和休息时间不同的网络访问权限。 策略路由功能传统的路由都是根据数据包的目的地址进行路由的，MPS提供了更灵活的策略路由方案。MPS的策略路由可以根据数据包的源地址，协议，目的地址和目的端口来决定数据包的路由。策略路由一般应用于多出口网络或者复杂的局域网络。比如网吧，一般都有多条宽带线路，如果使用策略路由

21、，就可以指定不同的互联网访问从不同的宽带线路上通过，这样可以指定游戏等对网络要求高的服务走通信质量高的线路，而对于大流量的FTP，WEB访问就可以从大带宽线路通过。 连接数限制功能MPS防火墙的连接数限制功能能对局域网内的任何一台机器进行连接数限制，从而限制机器对外连接，避免影响局域网内其他的用户正常使用。 WEB数据过滤功能MPS防火墙的WEB数据过滤功能可以限制局域网的用户对外访问网站，针对现在有些企业，限制员工对外访问而开发出来的功能，特别适合企业对互联网访问限制有需求的客户。 P2P通信管理功能MPS防火墙的P2P通信管理功能可以有效的限制局域网内的用户使用P2P下载软件，能有效的拦截

22、BT、EMULE等P2P软件，从而减低对网络的影响。三、MPS系列网关服务器产品特点多线路备份机制MPS产品的主要特色就多线路的接入机制，MPS线路对多条线路不仅仅是捆绑使用。因为共享使用，这些捆绑的线路缺省互为备份。这只是MPS简单意义上的备份。MPS系统的本身就是基于多线路的核心设计，它提供了更复杂的对线路、路由、防火墙的备份机制。除了线路的捆绑使用模式之外，MPS的每一条线路都可以作为备份模式使用。任意一个网络接口都可以设置为备份模式，备份模式的线路在正常情况下是不启动的。所有的线路都可以设定别的线路作为其备份线路。对于宽带线路，每个线路线路状态的监控，一旦线路出现故障中断，MPS将启动

23、该线路的备份线路（如果该线路没有启动）。然后，原来基于故障线路的路由和防火墙规则都会转移到备份线路上。当中断的线路恢复后，系统路由和防火墙规则也将恢复到原来的线路上。此外还具有MODEM备份的功能，你可以不用申请多条宽带进行线路备份，只要有拨号线路，就同样可以实现备份，只是速度慢点而已。MPS的所有的应用服务也是基于多线路接入的体系定制的。所有的VPN服务，动态DNS服务都可以和多线路接入结合起来。MPS本身就是为多线路设计的，这是普通的路由器线路备份所不能达到的。 多线路的VPN解决方案VPN的应用已经在企业中慢慢普及起来，越来越多的企业购买VPN设备，使用廉价的互联网通信来代替原来昂贵的数

24、据线路通信。目前，规模较小的VPN（只有几个网络节点）应用中，主要使用拨号ADSL作为宽带的接入方式。因为节点较少，通信量不大，ADSL的512K上行带宽仍然能够支撑主节点的访问压力。但是，随着企业VPN应用的发展，一些企业级VPN网络也达到了很大的规模，网络节点可以达到几十，甚至上百。这时，中心节点必然要求更高的带宽以满足众多分支节点的通信访问。而且，很多企业都把原有的DDN数据线路撤掉，使用VPN替代原有的通信方式。宽带线路虽然拥有良好的带宽和价格比，但是，DDN线路仍然昂贵是因为DDN线路拥有宽带线路所不能达到的稳定性。因此这些使用VPN替代DDN线路的企业必然要面对线路中断的风险。对于

25、一些把关键业务转移到VPN网络上的用户，这个风险是不能忽视的。如何既能够降低费用，又要降低风险，对于这些用户就是一个鱼和熊掌兼得的问题。多线路VPN针对多线路设计的MPS VPN系统缺省就是支持多条线路备份的。完善的备份机制可以保证你的关键业务系统万无一失。对于VPN的分支节点可以采用拨号modem通过电话线路进行备份。这样就保证了宽带中断时企业的通信仍可以在低速率下继续保持，而不会令关键系统中断。但是，如果故障发生在运营商骨干网络上，那么仅使用同一运营商的线路仍然是不安全的。而且，拨号线路仅能提供56Kbps的带宽，不能满足高带宽的需求。而且对于多点的VPN 网络，中心节点使用拨号备份，带宽

26、就显得过小，根本不能支撑多个分点连接的需要，对于这部分高端用户可以接入不同运营商的两条宽带线路，一条作为主用线路，另外一条可作为备份。因为使用了两个运营商的宽带接入，就可以避免了因为一个运营商网络故障所造成的业务中断。在一个企业的VPN网络中，在中心主点使用双路宽带接入，在分支点采用拨号备份的方式。那就在整个VPN网络中提供了双线路的备份。企业的关键业务系统就不会因为一条线路的故障而停顿下来。而真正做到绝对不间断的数据通信。 真正意义的带宽叠加VPN系统MPS特有的VPN捆绑技术，真正实现了数据包级别的带宽的叠加，而不仅仅是连接层次上的带宽叠加。MPS的VPN系统也是根据多线路设计的。系统可以

27、在每一条宽带线路上均建立VPN连接。因为VPN连接是数据包级别的低层转发，所有VPN通信的数据包可以均衡地分布到多条线上。同一个应用的连接使用的带宽就不仅仅是单一线路的带宽，而是多条线路的叠加带宽。如一条ADSL上行速度是512K，则使用多条ADSL捆绑后的VPN通信的带宽可以达到n*512K，这样就可以用多条廉价的线路实现原来昂贵的大带宽线路的效果。你的VPN通信将不再受制于ADSL线路上行512K的瓶颈，真正实现高速VPN通信。完善的VPN接入管理机制一般简单的VPN设备，对于所有接入本网络的个人或者其它网络，都是完全信任的，没有特定的安全机制管理这些VPN的访问。MPS针对这种情况，专门

28、对VPN的接入，加入了的安全管理模块。MPS针对远程用户的接入（L2TP、PPTP）定制了到用户级的权限控制。用户可以为远程接入用户设定一系列的权限组，每个权限组都可以设定可以访问的内部网地址和服务，或者禁止访问的地址和服务。每个接入帐号都可以设置到某个权限组。该用户的对局域网络的访问权限就受到该权限组的约束，只能按照权限组范围去访问局域网络。不同的用户账号属于不同的权限组，也就拥有不同的访问内部网络的权利。对于接入本网的其他VPN网络，也可以设置不同的权限组，权限组定义对于本网的访问权限。对于接入的VPN网络的IP地址或者网络地址，定义其所属的权限组，就可以对这些IP的访问权限进行管理，控制

29、它们对局域网的访问。四、MPS系列网关服务器产品规格说明MPS系列网关服务器共分3个型号，分别是MPS-600E、MPS-800E以及MPS-1600EX。产品功能配置如下： 功能MPS-600EMPS-800EXMPS-600LBMPS-800EMPS-800LBMPS-1000LBMPS-1800LB多路宽带接入模块YESYESYESYESYESYESYES查看流量YESYESNOYESYESYESYES防火墙模块YESYESYESYESYESYESYES端口映射模块YESYESYESYESYESYESYESDHCP模块YESYESYESYESYESYESYESMAC地址捆绑YESYESY

30、ESYESYESYESYES带宽管理YESYESYESYESYESYESYES连接数限制YESYESNOYESNOYESYESWEB数据过滤YESYESNOYESNOYESYESP2P通信管理YESYESNOYESNOYESYES上网管理模块YESYESYESYESYESYESYES动态DNSYESYESYES多线路支持多线路支持多线路支持多线路支持远程接入模块8用户8用户NO16个用户NONONO远程接入控制模块YESYESNOYESNONONO线路备份功能YESYESNOYESNONONO天匙虚拟专网模块5网络5网络NO10个网络NONONOIPSEC虚拟专网模块8隧道8网络NO64隧道N

31、ONO无限制网桥支持YESYESNONONONOYES策略路由YESYESNONONONOYES最大支持机器数200台200台200台500台500台1000台1500台最大连接数8,0008,0008,00064,00064,00064,00032,000接口标准 10Base-T, 100Base-TX接口数量3个3个3个4个4个4个4个基本协议CSMA/CD, PPPoE, PPP, IP, ARP, DHCP, TCP, UDP, HTTP, FTP, DNS路由协议静态路由和动态路由(RIP1/RIP2)用户界面基于WEB的加密管理界面丢包率在吞吐量下的丢包率全部为0平均延迟300

32、sMTBF25，000小时（平均故障间隔时间）指示灯：电源、STATUS、LAN、WAN接口指示灯工作温度0 to 50 (32F 储藏温度-20 70 (-40F电源和功耗： 交流220V，3A ，85W功能MPS-1100MPS-1600EXMPS-2000EX多路宽带接入模块YESYESYES防火墙模块YESYESYES端口映射模块YESYESYESDHCP模块YESYESYESMAC地址捆绑YESYESYES带宽管理YESYESYES上网管理模块YESYESYES动态DNSYES多线路支持多线路支持远程接入模块无限制无限制无限制远程接入控制模块YESYESYES线路备份功能YESYES

33、YES天匙虚拟专网模块5网络10个网络50网络IPSEC虚拟专网模块8隧道64隧道无限制网桥支持NONOYES策略路由NONOYES最大连接数64,00064,00032,000接口标准 10Base-T, 100Base-TX接口数量5个4个4个基本协议CSMA/CD, PPPoE, PPP, IP, ARP, DHCP, TCP, UDP, HTTP, FTP, DNS路由协议静态路由和动态路由(RIP1/RIP2)用户界面基于WEB的加密管理界面丢包率在吞吐量下的丢包率全部为0平均延迟300 sMTBF25，000小时（平均故障间隔时间）指示灯：电源、STATUS、LAN、WAN接口指示灯工作温度0 to 50 (32F 储藏温度-20 70 (-40F电源和功耗： 交流220V，3A ，85W五、MPS系列网关服务器典型应用公司网络建设模式利用MPS系列的共享上网和防火墙功能，