技术和产品介绍

技术和产品介绍第1页/共66页19962006#789IncorporatedAcorn20052002200420001998T-SeriesSSGUACT1600JUNOSw/IntegratedSecurityADECADEOFINNOVATION

199920072008$500M$1.3B$2B4800Employees10001500Revenue25003500$2.8B$2.3B5300+$2.8B6100+M-Series第2页/共66页GartnerMagicQuadrants

Juniper,aprovenleaderinallcategoriesWANOptimizationSSLVPNIPSIPSecFW/VPN第3页/共66页JUNIPER获得的业界认同Juniper是目前全球第二大网络安全厂商《2006年全球网络安全设备及软件市场份额分析》InfoneticsReserchJuniper是全球防火墙领域的领跑者2002-2007GartnerReportJuniper是全球SSLVPN领域市场分额第一2003-2007infoneticsJuniper是全球IDP领域市场分额第二2004-2007Frost&SullivanJuniper在2006-2008年国内网络安全市场分额第一(Frost&Sullivan)第4页/共66页THEEXSERIESPORTFOLIOBUILDINGCAMPUSBRANCHOFFICESJuniperNetwork&PolicyMgmtEX4200EX4200EX3200EX4200EX3200EX4200EX4200EX8200EX8200WX/WXCSSGJSeriesWX/WXCMSeriesMSeriesISG/IDPMSeriesInfranetControllerWANEX8200MSeriesWX/WXCISG/IDPEX8200EX4200DATACENTERSA

SeriesEX8200InternetEX2200SRX第5页/共66页JUNIPER产品线分类InfrastructureProductsGroup(IPG)J/M/E/TSeriesRouter路由器产品交换机ServiceLayerTechnologiesGroup(SLT)Firewall防火墙产品SSLVPN产品AdvancedTechnology(AT)IDP入侵检测与防护产品UAC统一接入控制WX广域网压缩Juniper是专业的网络及网络安全解决方案提供商第6页/共66页SLTOverviewATOverviewAGENDA第7页/共66页SLTOverviewFirewall—整合安全解决方案（UTM）SSLVPN（远程接入接入解决方案）ATOverviewAGENDA第8页/共66页全程管理中心资源入侵防护防火墙“拒绝服务”(DOS)VPNInternet反病毒JUNIPER倡导的层次化网络安全模型安全领域的专家一致认为：网络安全需要一个多层次的防护。为应对复杂且随时都有可能发生的攻击，企业不得不需要布置层次化的安全产品系列。

InternationalDataCorp.

“”个人/远程机构分支总部数据中心第9页/共66页性能和安全性：先进的硬件设计通用结构的处理数据在几个非优化的接口传送每个“API”引入安全风险处理的延迟导致“无法预测的行为”数据通道无法优化PCAppliances/PseudoAppliancesOSVPNCo-ProcessorCPURAMBusI/OInOutApplications特定的安全处理

基于流的线性的数据包处理每个处理模块被优化优化的应用和硬件用于安全处理和性能GigaScreenASICCPUHighSpeedBackplaneInOutRAMI/ONetScreenAdvancedArchitectureSecurity-Specific,Real-TimeOSIntegratedSecurityApplications第10页/共66页高可用性以提供网络可靠性主动/主动

全网状在任何链路中断的情况下，由上一个连接的设备将有关流量转送防火墙和

VPN的状态故障转移维护会话、NAT、VPN通道和安全联盟主动/主动设备间流量分离－备份始终处于测试状态下防火墙和

VPN的状态故障切换维护会话、NAT、VPN通道和安全联盟主动/被动备用设备镜像主设备防火墙和

VPN的状态故障切换维护主动会话、NAT、VPN通道和安全联盟第11页/共66页网络集成:部署模式和动态路由如何工作:支持透明、路由模式支持动态路由OSPF/BGP/RIP支持源地址路由集成的VLAN支持好处:简化网络集成

减小手工配置的负担增加网络弹性

–

特别对VPNsNetworkTunnelA(Primary)TunnelB(Secondary)Remote

Office第12页/共66页丰富的易用性VoIP应用支持H.323和SIP及地址翻译对VoIPDoS攻击保护H.323andSIPsourcelimitingH.323andSIPfloodthreshold地址翻译的灵活性基于策略的地址翻译包括端口基于MIP、VIP、DIP的地址翻译任意接口终结VPN良好的VPN性能中低端防火墙QoS增强双向QoS6位QoS标记位(DiffServ)Multicast控制加入joinmulticastgroups加密传输multicast实施流量控制支持虚拟系统和安全区

实施组地址转换（内部和外部同时使用了相同的地址组时)高可靠性路由协议Point-to-multi-point等价路由负载均衡、及链路备份OSPF、BGP、RIPv1、RIPv2源路由(源IP、源端口）虚拟路由器DynamicDNS第13页/共66页可管理CLIConsole,telnet或SSH访问为最终用户和第三方配置工具提供全面配置控制TFTP和SCP提供方便地从脚本或命令行上载能力WebUI(HTTP、HTTPS)基于浏览器方式的配置界面NetWork-SecurityManager业界领先的基于生命周期的闭环集中管理方案：所有的防火墙配置内容都可由NSM管理CLINetWork-SecurityManagerWebUI3rdParty–HPOpenVIew,MTRG,etc.Firmware,ConfigUploadsSyslogServerWebTrendsServerSNMPv2HTTP,HTTPSTelnetor

SSHv2Secure

TCPTFTP,SCPSyslog(tcp/udp)TheDeviceLifecycle1.DesignandDeployConfigurePoliciesNetworkingMonitor,

MaintainSSHv2第14页/共66页NSM(NETWORKSECURITYMANAGER)的集中管理解决了防火墙和IDP的管理问题提供对防火墙生命周期的管理:设计/部署配置监控/维护升级/调整基于角色和域的管理权错误避免和修正扩展性和HA架构第15页/共66页优异的性能30Gbps10Gbps4Gbps2GbpsNetScreen-540030GbpsFW15GbpsVPNNetScreen-520010GbpsFW5GbpsVPNISG1000w/IDP2GbpsFW1GbpsVPNISG2000w/IDP4GbpsFW1GbpsVPNNetScreen-5400Performance&CapacityUpto30GbpsFW12Gfor64bytepacketsUpto15Gbps3DESandAESVPN6Gbpsfor64bytepackets1millionconcurrentsessions25,000IPSecVPNtunnels18millionppsFW/9millionppsVPNUpto24physicalinterfacesUpto500VSYS/VirtualRoutersUpto400VLANsNetScreen-5200Performance&Capacity

Upto10GbpsFW4Gfor64bytepacketsUpto5Gbps3DES&AESVPN2Gbpsfor64bytepackets1millionconcurrentsessions25,000IPSecVPNtunnels6millionppsFW/3millionppsVPNUpto8physicalinterfacesUpto500VSYS/VirtualRoutersUpto400VLANs第16页/共66页SSG：第二代UTM（统一威胁控制）产品和第一代UTM产品的区别1、多个领先的内容安全厂家的技术的集成2、丰富的网络功能3、强大的集中管理4、模块化的设计——可扩展的模块5、支持3种管理方式：CLI、WEBUI、集中管理6、实际测试性能远远超过第一代UTM第17页/共66页SSG：第二代UTM

多种领先的安全技术的集成入侵防御功能：防病毒：卡巴斯基防垃圾邮件：赛门铁克网页过滤：美讯智其他厂家主要依靠自己开发，特征库不完善，不专业；或者只能支持部分的UTM功能第18页/共66页企业总部/数据中心性能容量

JUNIPER防火墙/安全网关系列远程办公室/中小企业/中小分支机构中大企业/大型分支机构30Gbps10GbpsNS5400NS52004Gbps1Gbps600Mbps300MbpsISG2000ISG1000SSG550SSG520SSG350SSG5SSG20SSG140SSG320SRX5600SRX5800150GbpsSRX3400SRX3600SRX650SRX240SRX210SRX100第19页/共66页JUNIPER防火墙产品的分类1、SSG系列产品（UTM安全设备）2、ISG系列产品（高安全性设备集成IDP扩展）3、SRX系列产品第20页/共66页JUNIPER防火墙产品的分类1、SSG系列产品（UTM安全设备）2、ISG系列产品（高安全性设备集成IDP扩展）3、NS系列产品（Netscreen）第21页/共66页SecureServiceGatewayFamilySSG5-Sixfixedformfactormodels160MbpsFW/40MbpsVPNSSG20–2modularmodels160MbpsFW/40MbpsVPNSSG140950M+MbpsFW/100MbpsVPNSSG320M1.2G+MbpsFW/175MbpsVPNSSG350M1.2G+MbpsFW/225MbpsVPNSSG520M2G+MbpsFW/300MbpsVPNSSG550M4G+GbpsFW/500MbpsVPN产品特点：集成UTM功能产品定位：中小型企业用户SSG5SSG20SSG140SSG550MSSG520MSSG320MSSG350M第22页/共66页ISG系列的防火墙设备ISG1000ISG2000产品特点：集成硬件IDP功能，具有纯硬件防火墙的稳定性和高性能的深层检测功能。产品定位：大型企业和金融用户或大型门户网站和游戏网站。第23页/共66页SRX100On-boardEthernet8xFEMini-PIMslotsNoOptional3Gwireless*PCExpressCardUSBports(Flash)1PoweroverEthernetNoOptionalWANmodelsVDSL2OptionalWLANmodels802.11nVoicePortsNoRoutingPerformance60KppsFirewallPerformance175Mbps(IMIX)VPNPerformance75MbpsIDPPerformance80MbpsHighAvailabilityA/AorA/PIdealformicro-branch,

managedtelecommuters,SOHOFixedI/O–8x10/100EthernetportsRouting,NGNATFullUTMfeatures–Firewall/VPN,IPS(IDP),anti-virus,anti-spam,webfiltering,content-filtering,UACEnforcementUTMrequiresHighMemorymodel(SoftwareUTM,noCSA)ExpressCardslotonVDSL&802.11nplatformsFRSAugust第24页/共66页SRX210On-boardEthernet2xGE+6xFEMini-PIMslots13GwirelessslotPCExpressCardUSBports(Flash)2PoweroverEthernet4ports(50Wtotal)OptionalVoicePorts2xFXS,2xFXO&mini-PIMAV&IDPHWAcceleration:CSAStdinHighMemRoutingPerformance80KppsFirewallPerformance200Mbps(IMIX)VPNPerformance85MbpsIDPPerformance100MbpsHighAvailabilityA/AorA/PIdealforsmallbranchesModularWAN(listonnextpage)Routing,NGNATFullUTMfeatures–Firewall/VPN,IPS(IDP),anti-virus,anti-spam,webfiltering,content-filtering,UACEnforcementUTMrequiresHighMemorymodelAvailableVoiceversionwithmini-PIMoptions-(Q3‘09)Factory-configuredvoicemodel(Q3’09)FRS5/15/09第25页/共66页SRX240On-boardEthernet16xGEMini-PIMslots43GwirelessoptionMini-PIMUSBports(flash)2PoweroverEthernet16ports(150W)OptionalPSTNvoiceports2xFXS,2xFXO&mini-PIMAV&IDPHWAcceleration:CSAStdinHighMemRoutingPerformance200KppsFirewallperformance400Mbps(IMIX)VPNPerformance200MbpsIDPPerformance200MbpsHighAvailabilityA/AorA/PIdealforsmall-mediumbranchesRoutingModularWANFullUTMfeatures–Firewall/VPN,IPS(IDP),anti-virus,anti-spam,webfiltering,content-filtering,UACEnforcementUTMrequiresHighmemoryAvailablevoiceversionwithmini-PIMoptions-(Q4’09)Factory-configuredvoicemodel(Q4’09)FRS5/15/09第26页/共66页SRX650On-boardEthernet4xGE(routingonly)GPIMslots8USBports(flash)2perprocessorPoweroverEthernetUpto48ports(250Wor500W)PSTNvoiceportsUpto8Analog,2xT1/E1,perGPIMAV&IDPHWCSAStandardRoutingPerformance850KppsFirewallperformance2Gbps(IMIX)VPNPerformance1GbpsIDPperformance800MbpsHighAvailabilityA/AorA/P,HotswapGPIMs,Dualprocessors,DualpowerIdealforregionalsites,largebranchesModularLANswitchingModularpowersupplieswithoptionalredundancyModularvoiceconfigs(fieldupgradableviaPIMsin2010)FullRouting,UTMfeatures–Firewall/VPN,IPS(IDP),anti-virus,anti-spam,webfiltering,content-filtering,UACEnforcementApplicationCo-processorEngine(Future)MaxGigE52ports

(2x24GigEPIM+4integratedports)第27页/共66页SRX3400HardwareModularchassis7slots(4front,3rear)MGTmodule–dual,hotswap3UchassisheightFixedInterfaces12built-in(8-10/100/1000+4-SFP)2EthernetManagementPortsModularInterfaces16-10/100/100016-SFP2-XFPPerformance&CapacitiesFW–10-20GbpsVPN–6GbpsIDP–6GbpsConcurrentsessions–2.25MNewandsustainedCPS–175kConcurrentIPSecVPNtunnels–10kFrontRear第28页/共66页SRX3600HardwareModularchassis12slots(6front,6rear)MGTmodule–dual,hotswap5UchassisheightFixedInterfaces12built-in(8-10/100/1000+4-SFP)2EthernetManagementPortsModularInterfaces16-10/100/100016-SFP2-XFPPerformance&CapacitiesFW–10-30GbpsVPN–10GbpsIDP–10GbpsConcurrentsessions–2.25MNewandsustainedCPS–175kConcurrentIPSecVPNtunnels–20kFrontRear第29页/共66页SRX5800实现竞争对手无法做到的容量和性能，满足未来业务流量快速增长SRX高端特有的技术优势，技术特色明显如果能卖SRX5000，一般就卖SRX5800，不卖SRX5600，因为价格成本基本一样SRX5800SRX5600第30页/共66页SRX5600:ProductOverview8SlotChassisPhysicalsizeHeight:8RUDependablehardwarePassiveback-planeRedundantswitchingfabric(1+1)Redundantfans&powersuppliesPowerandcoolingSide-to-sidecoolingHolds1fantrayHoldsupto4powersupplies2+2DC,2+2ACRear-sidepowercabling2800wattcapacitySystemcapacity8slots-2forFabricCards/REsUpto240Gbps(full-duplex)capacityPerformance&CapacitiesFW–60GbpsIDP–15GbpsConcurrentsessions–9M*Connections/sec–350k*8MsessionsupportplannedforJUNOS9.4第31页/共66页SRX5800:ProductOverview14SlotChassisPhysicalsizeHeight:16RUDependablehardwarePassiveback-planeRedundantfans&powersuppliesPowerandcoolingFront-to-backcoolingwithseparatepush-pullfansHoldsupto2fantrays(1+1redundancy)Holdsupto4powersupplies(2+2DC,3+1AC)5100wattcapacitySystemcapacity14slots-2forFabricCardsUpto480Gbps(full-duplex)capacityPerformance&CapacitiesFW–120GbpsIDP–30GbpsConcurrentsessions–10M*Connections/sec–350k*8MsessionsupportplannedforJUNOS9.4第32页/共66页Agenda|Copyright©2009JuniperNetworks,Inc.|33与客户谈哪些话题？第33页/共66页与客户的话题可按需扩展的动态可适应型体系架构高可靠性安全性与QoS绿色IT第34页/共66页可按需扩展的动态可适应型体系架构谈客户的业务流量增长速度谈安全设备会最先成为网络中的性能瓶颈点谈如何适应快速增长的业务流量，如何长远的规划网络架构提出问题：举例：今年1G,三年内达到10G，五年内达到20G，三年后，如何适应10G的业务压力？客户的答案：三年后1.换更高的设备2.流量分流，改变网络架构3.买多台设备，买负载均衡业务流量飞速增长TimeTODAYFUTURESecurityRequirementsFW,IPS&VPN(Gbps)105Otherfirewall第35页/共66页可按需扩展的动态可适应型体系架构现在的选择：动态可适应型体系架构的方案好处：适应快速增长的业务流量投资保护1.初期投资少2.初期投资被后期一直利用可长远的规划网络架构插卡方式，扩展简单，即插即用。扩展性能容量和网络接口（谈与其它插卡方式的对比，比如在交换机上插防火墙模块板卡的方式）业务流量飞速增长TimeTODAYFUTURESecurityRequirementsFW,IPS&VPN(Gbps)105第36页/共66页谈软硬件高可靠性设计谈防火墙节点是业务流量的汇聚点，高可靠性的重要度软硬件模块化的重要性（谈JUNOS在运营商领域10多年的使用经验）控制、转发、安全处理引擎、交换矩阵引擎清晰严格物理分离的重要性（补充谈交换矩阵的重要性）控制、转发、安全处理引擎、交换矩阵引擎全冗余配置的重要性不中断在线升级（ISSU）

第37页/共66页应用智能安全性与QOS从万兆到100G的应用层智能防火墙无损失集成入侵防御、应用识别、QoS、VPN集成万兆入侵防御与万兆VPN的防火墙简化网络结构、减少设备数量、简化运维管理今年年底前买SRX3K/5K的IDP1年License免费，3年License优惠第38页/共66页SRX5800150GbpsFW16UHigh5000Watts33W/Gbps绿色IT，空间能耗效率10GbpsFW3UHigh800Watts80W/Gbps67%SPACE

SAVINGS62%POWER

SAVINGS第39页/共66页NS系列的防火墙设备NS5200/5400NS500NS204/208NS25/50NS5GT产品特点：稳定性超强。产品定位：适用于大中小型企业或网站应用第40页/共66页SLTOverviewFirewallSSLVPNATOverviewAGENDA第41页/共66页网络大趋势：接入、安全、可控提供应用和信息资源给…员工

移动专业工作者-销售和客服-金融顾问-医生-律师公司合作伙伴-供应商-承包商-业务伙伴

能力（笔记本）用户

技术用户通过将客户和供应商集成到公司流程中来提高效率

最大限度地提高移动员工生产力客户面临挑战：易用性与安全性最大限度地提高生产力将应用扩展到合作伙伴

（合作伙伴外联网）提高员工工作效率

（内联网门户及ERP）支持不同用户

（可定制、可控）支持临时工作人员

（承包商和外派人员）执行严格的安全策略限制接入级别牵制不可信源带来的风险（即信息台和非员工等）一致地执行安全策略

第42页/共66页SSLVPN——一个高速增长的市场目前网络界最快的市场增产点Source:InfoneticsResearchQ42004MillionsofUSD$5-YearCAGR83%50%65%32%无客户端的部署:

无需安装客户端无需改变内网架构没有防火墙、代理、NAT设备的穿越问题细粒度的应用层安全:

针对具体的资源的访问控制基于用户身份信息，网络和设备的安全等级的控制增强用户灵活性和企业生产力:

任何时间，任何地方，都可以通过浏览器安全远程访问为最终用户和合作伙伴提供单独的访问。第43页/共66页核心功能：远程通讯安全访问MRP/ERPIntranet/WebServerUnix/NFS=EncryptedExternalSession=StandardInternalSessionCorporateLANPartnerADirectoryStorePartnerBExtranetPartnersServerFarmsE-mailSales&ServiceTelecommutersMobileEmployees第44页/共66页“有目的的提供服务”:多种接入方式Client/ServerApplicationAccessCoreAccessCoreAccessCoreAccess接入平台的广泛性接入控制的细致性接入应用的广泛性Client/ServerApplicationAccessClient/ServerApplicationAccessClient/ServerApplicationAccessNetworkAccessNetworkAccessNetworkAccess第45页/共66页支持基于PDA的C/S应用PDAandPDAWireless企业局域网ExchangeServerWebServerWebServer依靠SAM,支持本地的C/S应用支持类似PocketOutlook的

C/S应用第46页/共66页核心功能：远程节点接入安全CHECKINGCHECKINGFAILFAILPASSPASSPASSPASSCHECKINGCHECKING本地进程本地注册表本地网络端口本地文件自定义DLL与市场领先的终端防护软件的集成接入前检查主机安全机制访问结束后清除CacheMRP/ERPMRP/ERPIntranet/WebServerUnix/NFSServerFarmsE-mail第47页/共66页核心功能：细粒度的访问控制认证前的评估收集相关的主机信息动态的认证通过对用户身份和主机信息的认证，给用户分配指定的角色（role)角色不同的角色可以进行不同的访问连接资源策略对用户可以访问的资源或者资源行为进行控制AirportKioskHotelOntheLANIVE–智能的提供相应的访问控制:Who,What,When,Where,andHow.第48页/共66页集群和集中管理系统状态同步智能的集群备份在线的系统升级XML输入/输出系统仪表板系统的备份与恢复系统配置的上传自定义日志查询第49页/共66页JUNIPER处理威胁控制之道LAN合作伙伴家庭办公关联威胁信息

身份

端点

访问记录

详细的传输和威胁信息全面的威胁检测和防御

检测并却阻挡恶意流量全面的2－7层检测

可信赖的市场领先的科技基于身份的威胁响应

自动或者手段的响应

多种响应选项:停止，禁用或者隔离用户

补充IDP的威胁防御SignalIDP检测导威胁，并且通知SASA识别用户，对用户连接采取行为。自注册的技术，配置更为简单第50页/共66页JUNIPERNETWORKS

SSL安全接入的好处大幅度降低总体拥有成本无需增加客户端、或服务器端软硬件投入无需软件实施，整合和客户化大幅降低对用户PC的维护开销强壮的安全体系结构为所有资源提供加固、经审计的安全层对认证协议提供强大的支持粒度更细的认证和审计动态的接入－按身份、网络、设备、和会话特征丰富的节点安全选项增强的企业生产力和灵活性由任何地点对关键业务资源的安全访问快速、实施的接入（无需复杂配置和down机时间）第51页/共66页新的SSLVPN平台SecureAccess2500——最大100并发用户SecureAccess4500——最大1000并发用户SecureAccess6500——最大30000并发用户（单机最大10000个并发用户）第52页/共66页BreadthofFunctionalityJUNIPERSSLVPN产品线（新型号）:

EnterpriseSizeSecureAccess700SecureAccess2500SecureAccess4500SecureAccess6500Designedfor:

小型企业远程安全访问Includes:

NetworkConnectOptions/upgrades:10-25conc.usersCoreClientlessAccessDesignedfor:

中型企业远处安全访问Includes:

CoreClientlessAccessDesignedfor:

中大型企业内网或远程安全访问Includes:

CoreClientlessAccessOptions/upgrades:25-100conc.usersSAMNCSecureMeetingAdvancedw/CMClusterPairsOptions/upgrades:50-1000conc.usersSecureMeetingInstantVirtualSystemSSLAccelerationClusterPairsDesignedfor:

大型企业内网和远程安全访问Includes:

CoreClientlessAccessSSLaccelerationOptions/upgrades:100-10000conc.usersSecureMeetingInstantVirtualSystemGBICMulti-UnitClusters（最大3万个并发用户）第53页/共66页成功案例第54页/共66页第55页/共66页SLTOverviewATOverviewIDP（入侵防御解决方案）AGENDA第56页/共66页黑客的手段——更加隐蔽BufferOverflows（缓存溢出）攻击使得程序或者系统的操作存储机制（缓存）过载，在该状况下，程序或者系统会允许黑客做一些原本不可以做的事情.当程序或者系统存在缺陷的时候，该攻击都会得逞PortScans（端口扫描）系统化执行的行为判断被访问设备的哪些访问端口是打开的，哪些服务正在运行。这种行为通常是正在攻击的前奏，用来判断这些服务的一直弱点IPFragmentationAttack（IP碎片攻击）蓄意地将IP数据包碎片化，从而使隐含的攻击能够躲避那些不支持碎片重组的入侵检测系统的检测。KnownHostandApplicationVulnerabilities（已知的主机和应用的缺陷）一段文字用来描述用已知的方法造成主机或者应用产生安全隐患，并且包含了攻击方式以及解决方法。用于帮助IT专家弥补系统或主机的缺陷，黑客却用该信息来实施攻击TrojanHorses（特洛伊木马）一段看似合法的程序，但是却用来替黑客执行恶意的或者获取信息的行为Worms（蠕虫）一种特殊的病毒，能够复制自身并且能够使用它所感染的计算机或系统的内存。蠕虫能够执行恶意的行为，例如消耗计算机的资源，甚至可以关闭系统第57页/共66页0000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000入侵防护技术新趋势：IDP00000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000