防火墙产品培训

防火墙产品培训第1页/共46页Juniper（瞻博）网络公司一家不断成长的公司在我们所有的关键市场上，市场份额前三名全球5,000+员工中国150+员工关注从网络中转化策略价值的客户成功方式出色的财务业绩投入大量资金用于研发不断增加的市场份额广泛的业界认可北美亚太欧洲Juniper全球业务分布第2页/共46页19962006#789IncorporatedAcorn20052002200420001998T-SeriesSSGUACT1600JUNOSw/IntegratedSecurity199920072008$500M$1.3B$2B4800Employees10001500Revenue25003500$2.8B$2.3B5300+$2.8B6100+M-SeriesJuniper（瞻博）发展第3页/共46页Juniper全球的领导地位全球超过100个国家的20000多个大型客户

《财富》100强中的92家

30大顶尖电信运营商

10大商业银行中的8家

美国50个州政府中的47个

100家纳斯达克上市公司

9000家全球合作伙伴第4页/共46页Juniper中国Juniper在中国为中国各顶级运营商提供战略性网络系统。为尖端教育科研系统、银行系统、能源系统、以及广泛的商用市场/中小企业等提供尖端网络系统服务。第5页/共46页电信行业广泛的用户群体和高认知度中国电信CN2（中国电信下一代互联网）

30台T640覆盖全国7个核心大区骨干节点，并有一百多台M320分布在中国电信南方各省及国际出口，是CN2最大的设备供应商；中国电信1634套TX应用于上海、广州出口节点中国移动国家骨干网CMNET

覆盖全国，80％以上的市场份额中国网通DCN骨干网覆盖全国的DCN骨干网中国联通国家骨干网覆盖全国7个核心大区,承载联通全国骨干数据业务，获国家科技进步一等奖CNGI国家骨干网

CNGI（由电信、移动、网通、联通、铁通、CERNET等承建的国家下一代互联网示范应用工程），一个覆盖全国的大型IPv6网络，Juniper是唯一被各大运营商选择为合作伙伴的国外厂商。广电总局国家骨干网全国骨干网，50%以上设备第6页/共46页安全市场上估计存在超过70亿美元的机会包括IPS、SSLVPN、路由功能和防火墙VPN防火墙VPN仍然是安全市场最大的组成部分我们的强项是防火墙/VPN产品继续推动安全类产品的发展市场机会，约超过70亿美元第7页/共46页市场领导地位-Gartnet2004年报告Juniper#1outof18vendorsGartnerMagicQuadran报告是针对IT特定细分市场上的厂商实力所进行的极具声望的评价，它从各个方面来全方位评价厂商，包括产品线的完整度和功能、技术实力、创新性、成功实施情况、满足客户现有和未来需求的能力，以及包括服务和支持在内的执行能力、市场份额、财务健康状况和其它关键指标第8页/共46页市场领导地位-Gartnet2006年报告Juniper#1outof18vendorsGartnerMagicQuadran报告是针对IT特定细分市场上的厂商实力所进行的极具声望的评价，它从各个方面来全方位评价厂商，包括产品线的完整度和功能、技术实力、创新性、成功实施情况、满足客户现有和未来需求的能力，以及包括服务和支持在内的执行能力、市场份额、财务健康状况和其它关键指标第9页/共46页市场领导地位-Gartnet2007年报告Juniper#1outof18vendorsGartnerMagicQuadran报告是针对IT特定细分市场上的厂商实力所进行的极具声望的评价，它从各个方面来全方位评价厂商，包括产品线的完整度和功能、技术实力、创新性、成功实施情况、满足客户现有和未来需求的能力，以及包括服务和支持在内的执行能力、市场份额、财务健康状况和其它关键指标第10页/共46页议程Juniper简介Juniper防火墙/VPN产品线JuniperISG集成安全网关系列JuniperSSG安全服务网关系列产品对比案例分析第11页/共46页Juniper网络产品入侵防护解决方案Intrusionpreventionappliancesthathelpprotectnetworksandcriticalresourcesfromattacks整合防火墙/IPSecVPN解决方案Purpose-builtsecurityapplianceswithWAN&LANinterfaceflexibilityandperformancecapabilitiestoprotectenterpriseandserviceprovidernetworks

基于策略的集中管理解决方案3-tiersystemprovidingrole-basedadministrationandcentralcontrolandloggingofallFW/VPNsolutionsSSLVPN解决方案ProductlinesforsecureLAN,extranetandintranetaccesstomobileemployees,customersandpartnerswithnoclientsoftwaredeployment企业安全路由解决方案Serviceproviderqualityroutersfortheenterprisedesignedforremote,branchorregionaloffices

整合接入控制解决方案

Productlineconsistingofthreecomponentsthatworktogethertoenableacost-effective,pragmaticsolutionsolvingendpointsecurityasiteffectstheLANInfranetAgent第12页/共46页为什么选择Juniper防火墙/VPN强大的性能提供分层安全性保护不同类型的攻击易于部署和集成在多个层面上的内置可靠性管理灵活性是广泛分布的环境的关键要素第13页/共46页性能：专用硬件平台具备的优势：高性能通过将安全专用的专用元素组合起来实现高性能包括硬件、主板设计、处理器选择和软件设计用于执行关键的安全功能Juniper网络公司的巨大优势——安全专用的专用硬件，设计用于执行安全处理第14页/共46页性能：先进的硬件设计通用结构的处理数据在几个非优化的接口传送每个“API”引入安全风险处理的延迟导致“无法预测的行为”数据通道无法优化PCAppliances/PseudoAppliancesOSVPNCo-ProcessorCPURAMBusI/OInOutApplications专用的安全处理

基于流的线性的数据包处理每个处理模块被优化优化的应用和硬件用于安全处理和性能GigaScreenASICCPUHighSpeedBackplaneInOutRAMI/ONetScreenAdvancedArchitectureSecurity-Specific,Real-TimeOSIntegratedSecurityApplicationsASIC第15页/共46页ScreenOS特点安全性专用的实时操作系统完全设计用于执行计算密集型安全功能，而不会影响吞吐量与硬件设备、安全操作系统及安全应用紧密集成状态协议级智能集成深层检测、防病毒和Web过滤等专用操作系统，减少补丁和测试所有防火墙/IPSecVPN系列产品上部署相同的安全性专用操作系统第16页/共46页ScreenOSIPv6为状态防火墙和IPSecVPN提供生产级的商用IPv6支持支持双堆栈架构，使客户能够在一个设备上同时支持并保护IPv4与IPv6网络支持所有主要的IPv6迁移机制，包括IPv4-IPv6和IPv6-IPv4迁移、IPv6隧道中的IPv4和IPv4隧道中的IPv6以及面向IPv6的NAT-PT支持RIPng动态路由协议，允许客户提高生产网络中的IPv6部署的可扩展性防止IPv6网络遭受synflood攻击和其他攻击，使客户能够抵御从IPv4或IPv6网络中发起的拒绝服务攻击第17页/共46页Juniper防火墙产品线

NS-5GTNS-25/50NS-HSCNS-5400

ISG2000ISG1000SSG520MSSG550MNSseriesISGseriesSSGseriesNS-5200NS-500NS-208NS-204SSG20SSG5SSG140SSG350SSG320第18页/共46页议程Juniper简介Juniper防火墙/VPN产品线JuniperISG集成安全网关系列JuniperSSG安全业务网关系列产品对比案例分析第19页/共46页JuniperISG集成安全网关系列

性能优越

----硬件设计模块化

----ASIC安全模块

----IDP独立运作

----接口模块化

----延续了NS系列的稳定性与性能

第20页/共46页JuniperNetworksISG1000

新的ISG平台ISG家族的新产品将高性能和先进的网络功能整合提供应用层/网络层的保护理想的边界安全解决方案专门设计、高度整合的千兆平台高性能第4代ASIC(GigaScreen3)芯片混合包处理能力1Gbps大包处理能力2Gbps1Gbps–Firewall,IPSecVPN可以扩展两个IDP硬件模块第21页/共46页JuniperISG-2000整合式安全网关

（ISG,IntegratedSecurityGateway)NetScreen-ISG2000通过ScreenOS实现核心网络功能安全分区&虚拟系统OSPF,BGP,和RIPv2路由主动/被动,双主动高可用性高达28个端口,4000个VLAN高负荷下的在线性能状态监测防火墙小包处理能力2Gbps大包处理能力4Gbps1Gbps3DES和AESIPSecVPN任何大小的数据包2

Gbps+IDP每秒29,000个新会话高安全性及可扩展性深层监测防火墙/VPN防范包括Dos在内的33种网络攻击严密的策略控制，用户验证及安全分区整合IDP功能第22页/共46页IDP安全模块2GigRAMIDPSecurityModule(SM)BoardDualCPU第23页/共46页议程Juniper简介Juniper防火墙/VPN产品线JuniperISG集成安全网关系列JuniperSSG安全服务网关系列产品对比案例分析第24页/共46页SSG系列产品特点JuniperSSG系列：第二代UTM（统一威胁控制）产品和第一代UTM产品的区别1、多个领先的内容安全厂家的技术的集成2、丰富的网络功能3、强大的集中管理4、模块化的设计——可扩展的模块5、支持3种管理方式：CLI、WEBUI、集中管理6、实际测试性能远远超过第一代UTM第25页/共46页

SSG系列产品特点

1、多种领先的安全技术的集成入侵防御功能：防病毒：卡巴斯基防垃圾邮件：赛门铁克网页过滤：美讯智其他厂家主要依靠自己开发，特征库不完善，不专业；或者只能支持部分的UTM功能第26页/共46页

SSG系列产品特点

2、丰富的网络功能支持的路由功能包括：虚拟路由器各种动态路由：OSPF、BGP、RIPRouterid–loopbackinterface策略路由冗余接口和等价路由多链路负载均衡组播路由全系列接口模块化设计，并支持丰富的局域网和广域网接口模块和协议：FE/GEE1串口ADSL2+802.11a/b/gFR、PPP、Multilink-FR、Multilink-PPP其他厂家的路由功能不强，中低端产品无法模块化设计，不支持广域网接口第27页/共46页

SSG系列产品特点

3、强大的集中管理Juniper采用NSM服务器进行集中管理：所有防火墙和入侵防御设备的功能（包括接口、路由、状态防火墙策略、入侵防御、防病毒等各种UTM功能）都可以由NSM一个界面统一完成可以由NSM进行集中的配置备份、日志收集、审计日志、报表，无需部署额外的设备和软件可以对防火墙划分子域，该子域的管理员只能看到自己域里的防火墙，而不能看到全局域的防火墙管理员级别可以细分其他厂家的集中管理能力不强，需要多种软件第28页/共46页SSG5SSG20SSG140SSG550MSSG520MSSG320MSSG350MSSG5-Sixfixedformfactormodels160MbpsFW/40MbpsVPNSSG20–2modularmodels160MbpsFW/40MbpsVPNSSG140350+MbpsFW/100MbpsVPNSSG320M450+MbpsFW/175MbpsVPNSSG350M550+MbpsFW/225MbpsVPN SSG520M2+MbpsFW/300MbpsVPNSSG550M4+GbpsFW/500MbpsVPN安全网管SSG系列基于ScreenOS平台集成了UTM(UnifiedThreatManagement)统一威胁管理接口模块化设计功能可灵活选择Licensing选购SSG系列产品家族第29页/共46页I/O扩展插槽的配置选项SSG550SSG520LAN或WAN连接

10/100/1000,SFP,FE串行,T1/E1,DS3WAN连接

串行,T1/E1,DS3LAN或WAN连接

10/100/1000,SFP,FE串行,T1/E1,DS3LAN或WAN连接

10/100/1000,SFP,FE串行,T1/E1,DS3WAN连接

串行,T1/E1,DS3LAN或WAN连接

10/100/1000,SFP,FE串行,T1/E1,DS3(4)个固定的10/100/1000接口RJ45控制台和Aux接口LAN或WAN连接

10/100/1000,SFP,FE串行,T1/E1,DS3LAN或WAN连接

10/100/1000,SFP,FE串行,T1/E1,DS3WAN连接

串行,T1/E1,DS3WAN连接

串行,T1/E1,DS3WAN连接

串行,T1/E1,DS3WAN连接

串行,T1/E1,DS3(4)个固定的10/100/1000接口RJ45控制台和Aux接口第30页/共46页安全业务网关部署选项用作安全设备

针对“安全性优先”的企业IT部门提供ScreenOS所有特性可以通过从SSG5直到SSG500系列设备的不同功能和容量，满足从小型企业到地区/分支办事处的要求用作安全路由器

部署灵活性广域网接口高的性能为企业进行回路防病毒防垃圾邮件从远程站点直接接入互联网第31页/共46页主链路=外部DSL调制解调器ISP备份选项=ISDNS/T，或V.92，或连接到串行接口的调制解调器互联网无线区服务器区小型企业小型企业部署范例：

SSG5SSG5固定规格设备：7x10/100——

连接到DSL调制解调器出厂配置的备份I/O选项：V.92，或ISDN，或串口出厂配置的无线选项：802.11a/b/g第32页/共46页SSG500系列提供同类最佳的网络安全性针对网络层和应用层攻击提供独立的防护网络层“筛检”和深层检测将于2006年下半年提供经过扩展的内容安全性套件尽管在负载的情况下仍能够提供高性能以保护高速局域网连接通过安全区和VLAN将网络分割为多个安全分段四个内置的10/100/1000端口经过验证的状态防火墙/VPN故障切换，以确保可靠性通过多种部署模式和动态路由可以轻松地集成到现有的基础设施中安全性性能可靠性集成企业总部地区/分支机构SSG防火墙部署

（SSG500范例）第33页/共46页SSG500系列提供了安全性和连接性的完美组合，以便进行设备整合为保护网络提供了安全基础广泛的I/O选项，并支持用于实现分支机构连接性的协议在提供性能和可扩展性以确保安全处理的同时，将局域网扩展到广域网、将局域网扩展到下一代广域网，以及将局域网扩展到局域网连接地区/分支机构企业总部安全性I/O灵活性局域网/广域网路由性能SSG安全路由器部署

（SSG500范例）第34页/共46页SSG500系列的性能、安全性和灵活性可提供理想的VPN路由器解决方案面向高性能IPSecVPN的硬件加速加密针对第4-7层攻击的分层防护AC（自动连接）VPN高性能平台+广域网和高速局域网接口选项客户业务合作伙伴最终用户高性能的、动态的、基于路由的VPN强劲的安全性I/O灵活性SSGVPN路由器部署

（SSG500范例）第35页/共46页从原有的NetScreen向SSG家族迁移客户类型建议使用的产品1）刚接触Juniper网络公司中小型办事处防火墙/VPN产品的客户SSG家族2）正在部署NetScreen平台的现有客户继续使用NetScreen3）完成了原有的NetScreen部署并有新项目/需求的现有客户评估SSG家族第36页/共46页防火墙主要技术指标防火墙的吞吐量举例：SSG520

防火墙吞吐量（大数据包）2Gbps

防火墙吞吐量（混合数据包）600Mbps并发会话数（最大会话数和新建会话数）防火墙策略VPN隧道端口数和扩展端口类型第37页/共46页SSG系列总结SSG550MSSG520MSSG350MSSG320MSSG140SSG20SSG5FWMbps(LargePackets)1+Gbps650+Mbps550+Mbps450+Mbps350+Mbps160Mbps160MbpsFWMbps(IMIX)1Gbps600Mbps500Mbps400Mbps300Mbps90Mbps90MbpsFWPPS(64Byte)600k300k225k175k100k30k30kVPN(1400Byte)500Mbps300Mbps225Mbps175Mbps100Mbps40Mbps40MbpsIPS(DeepInspectionFW)YesYesYesYesYesYesYesAntivirusYesYesYesYesYesYesYesAnti-spamYesYesYesYesYesYesYesWebFilteringYesYesYesYesYesYesYesModularI/OYesYesYesYesYesYesNoRouting(RIP/OSPF/BGP)YesYesYesYesYesYesYesWANEncapsulationsYesYesYesYesYesYesYesA/A,A/PHAYesYesYesYesYesOptionalOptionalConvertibletoJUNOSYesYesYesYesNoNoNo第38页/共46页议程Juniper简介Juniper防火墙/VPN产品线JuniperISG集成安全网关系列JuniperSSG安全业务网关系列产品对比案例分析第39页/共46页更高的性能和处理能力带UTM特性的更广泛的平台模块化（可扩展的）内存经过改进的连接性小型分支机构，

小型企业，远程工作人员地区办事处，中型企业PerformanceSSG产品家族适用范围第40页/共46页J系列是基于JUNOS的路由平台SSG是基于S