JuniperSSG安全网关售前培训

Copyright

©

2007Juniper

Networks,

Inc.ConfidentialProprietary

and1Juniper

SSG

系列安全网关产品联强国际企业网络通讯事业部Y807李

翀

·

市场趋势2Copyright

©

2007

Juniper

Networks,

Inc.Proprietary

and

Confidential关键特性产品性能参数应用举例议程企业发展的趋势引发对UTM产品的需求分支机构/办事处的数量正以每年6.5%的速度增长 越来越多的公司人员从总部迁徙到分支机构/办事处(2003年85%的公司员工来自分支机构,今天这个比例变成了91%)在2007年,50%被调查的公司表示将要增加广域网方面的投入。在2005年,56%的公司遭遇到至少一次内部网络攻击事件。65%的公司遭遇到至少一次外部网络攻击事件。内网安全需求访问控制需求没有专门的IT人员HQWi

FiDMZ带宽的合理使用远程管理3Copyright

©

2007

Juniper

Networks,

Inc.Proprietary

and

Confidential分支机构网络系统的特点·规模虽然较总部为小,但是网络的复杂性及安全需求却一样不少。多个不同功能的内网网段由于环境等原因,安全问题更为突出没有本地的IT支持（或者说是不够专业的）广域网的连接模式多种多样:从高速的DS3到低速的Modem连接需要保护众多的IT资产防火墙,VPN,

IPS以及防病毒扫描,间谍软件检测I内部网络划分更小的网段以减少攻击的影响范围·

HQ·

本地应用·

无线应用·

IPSec·

www4Copyright

©

2007

Juniper

Networks,

Inc.Proprietary

and

Confidential·

本地用户理想的分支机构解决方案5Copyright

©

2007

Juniper

Networks,

Inc.Proprietary

and

Confidential通过一整套被认可的安全功能来阻断各种各样的攻击行为基于网络,应用以及内容层次的攻击防护提供足够的性能指标来满足对高速局域网的防护支持能够提供百兆级别的性能并能处理繁重的UTM业务提供广泛的局域网和广域网接支持提供众多的接口卡及封装类型易于集中式管理理想的分支机构解决方案集中管理6Copyright

©

2007

Juniper

Networks,

Inc.Proprietary

and

Confidential合作伙伴解决方案IPSec

VPNSSL

VPN防火墙用户接入管理防病毒入侵检测与防护关键资源High

performanceContent

security

across

the

product

lineModular

interfacesEase

of

licensing

Allmanageable

via

NSMJuniper给出的解决方案:SSG系列安全网关7Copyright

©

2007

Juniper

Networks,

Inc.Proprietary

and

ConfidentialSSG系列产品集高认可度的安全功能与丰富广域网连接支持能力于一体,为用户提供安全而有保障的网络系统更高层次的性价比以及更多的I/O模块支持将最好的安全功能与广泛的广域网支持结合在一起ScreenOS+Juniper公司赖以成名的广域网软/硬件可以完全解决各种类型的解决分支机构/办事处（中小型企业）的需求可以用作传统的防火墙,或是安全路由器,或是VPN路由器。理想的分支机构/办事处网关设备一体化解决方案·

市场趋势8Copyright

©

2007

Juniper

Networks,

Inc.Proprietary

and

Confidential关键特性产品性能参数应用举例议程Summary

of

ScreenOS

features

–

a

security

specific,

real-time

operating

system

that

integrates

networking,

security

applications

such

as

FW,AV,

VPN

and

more

into

a

single

compiled

image

that

is

more

secure

than

security

apps

running

on

general

purpose

platformsor

pseudoappliances.值得信赖的企业级安全局域网接口&广域网接口控制接口/

Modem接口丰富的联网和虚拟功能将网络分成若干安全段(安全区,VLANs)

将动态路由、高可用性以及JUNOS广域网封装合成在一起。定制模式广域网封装网络连接功能安全区局域网路由专有的硬件平台网络安全功能/访问控制– 状态防火墙,IPSecVPN,NAT,拒绝服务防护（DOS）,用户认证防火墙功能IPSec

VPN拒绝服务防护用户认证网络层安全防护ScreenOSUTM功能/内容安全防病毒/防间谍软件网页过滤9Copyright

©

2007

Juniper

Networks,

Inc.Proprietary

and

Confidential防垃圾邮件入侵检测/防御集成到操作系统的UTM功能– 入侵检测/防御；防病毒（含防钓鱼、防间谍软件功能）；防垃圾邮件；网页过滤；统一威胁管理（UTM）功能外来的威胁自内向外的威胁网页过滤间谍软件钓鱼内容过滤网页过滤病毒,基于文件的木马,间谍软件广告软件,键盘记录器病毒,基于文件的木马防病毒防病毒垃圾邮件/钓鱼软件防垃圾邮件防垃圾邮件蠕虫,木马蠕虫,木马,拒绝服务

(L4

&

L7),端口扫描入侵防御入侵防御10Copyright

©

2007

Juniper

Networks,

Inc.Proprietary

and

Confidential状态防火墙入侵防御,防病毒,网页过滤和防垃圾邮件功能许可需要以1年为周期进行订购UTM功能方面强大的合作伙伴11Copyright

©

2007

Juniper

Networks,

Inc.Proprietary

and

Confidential集成了卡巴斯基防病毒引擎,可抵挡数以千计的病毒、间谍软件、键盘记录器由SurfControl提供集成和外置的网页过滤功能 内置的网页过滤由SurfControl提供；外置的网页过滤可选择SurfControl或者Websense。由Symantec提供集成的防垃圾邮件功能通过Symantec每日更新的防垃圾邮件数据库来提供邮件入侵防御(深层检测)可检测43种协议忠的上千种的攻击,诸如蠕虫,木马和其他的恶意软件通过每年订购功能许可的方式来完成UTM功能网段划分:安全区,虚拟局域网，虚拟路由器安全区,虚拟局域网,虚拟路由器将局域网划分成逻辑上安全的区域通过安全策略来控制访问权限·

关键优点:更佳的安全性

为不同等级的用户提供不同的网络访问权限极具竞争力的独特功能·

将内部网络划分成不同功能的安全区域•DMZ区信任区对所有资源都可以访问安全区2“供访客使用只能上网安全区1供员工使用Web,email,关键应用12Copyright

©

2007

Juniper

Networks,

Inc.Proprietary

and

ConfidentialThinkingbacktoourearliersummaryslideofwhypeoplebuyourfirewallappliances,anotheroneiseaseofdeploymentandeaseofintegration.weincludeawiderangeoffeaturesherelikedynamicroutingandoursupportforthedifferentroutingprotocolslikeOSPF,BGP,andRIPv1/2,aswelltheabilitytooperateverywellintransparentmode,routemode,andstaticmode.ThethingthatgivesusaleguponpeoplelikeCiscoandthecompetitionisthatbysupportingtheseroutingprotocolsanddeploymentmodeswecanmoreeasilyintegrateintoanexistingcustomernetworkwithoutrequiringthemtomakechangestotheirIPaddressortheirinfrastructure.TimeandtimeagainifyoutalktoCheckPointcustomerstheyactuallyhavetoreconfiguretheirnetworkorchangeIPaddressesormakechangestotheirnetworkinordertoimplementCheckPoint.Thatjustmakesitverydifficultforthecustomerstoimplementthebox.Wecangoinandoperateintransparentmode,beabumponthewireinacustomernetwork,gettingthemupandrunningveryquicklyiftheysodesire.Oddlyenough,Ciscodoesn’tsupportthesamebreadthofroutingprotocolsthatwedo,andtheyaretheroutingcompany,supposedtobetheroutingcompany.Again,thesearethekindoflessglamorouspiecesoftheproductthatyoushouldkeepinyourbackpocketandtalkaboutasyou’regoingintoyoursalesenvironments,butthesearethebigadvantagesforusasyougetintotalkingaboutthenitty-grittydetailsofthedifferentproductsthatareonthemarket.YouwillnoticethatweshowWANencapsulationsintheslide.ThisisanewadditionintheSSGlineonly.RecallthatthenewSSGsupportsWANinterfaces(T1,DS3,Serial)supportedbytheWANencapsulationsaswellasLANinterfacesupportedbyBGP,OSPFandRIP.路由和网络定制模式13Copyright

©

2007

Juniper

Networks,

Inc.Proprietary

and

Confidential动态路由和网络定制模式支持透明模式、静态和动态路由模式产品线中所有产品皆支持以下动态路由协议OSPF,

BGP,

RIPv1/2广域网封装支持帧中继,MLFR,PPP,MLPPP

and

HDLC优点:可自动学习网络配置简化网络复杂度减少人工配置的需要具备了广域网封装能力增加网络的可接续性－－－尤其是VPN方面SSG

5或

SSG

20灵活的接口配置模式桥接组将多个以太网口组合成一个逻辑三层接口–策略直接在bgroup上生效桥接组中的以太网口组成了一个二层的交换机ethethwirelessethbgroup源1目的1桥接组就像一个虚拟的二层交换机eth服务器组安全区流量ethbgroupethethethwireless将桥接组作为一个三层接口分配给服务器组安全区14Copyright

©

2007

Juniper

Networks,

Inc.Proprietary

and

ConfidentialSSG

5或SSG

20安全地集中式管理集成控管远程管理 可安全地管理设备的防火墙、VPN、路由等方面内容快速定制减少配置时间,适合大批量设备安装基于角色的管理不同的角色获得不同的管理权限可通过NSM统一网管平台进行管理*

Some

functions

may

be

CLI

only网络安全操作NetworkSecurityOperations15Copyright

©

2007

Juniper

Networks,

Inc.Proprietary

and

ConfidentialNetworkSecurityOperations·

市场趋势16Copyright

©

2007

Juniper

Networks,

Inc.Proprietary

and

Confidential关键特性产品性能参数应用举例议程Juniper网络设备产品线FW/

VPNSSL/

VPNIDPIC/

InfranetControllerDX/

Data

CenterAccelerationWX/

WANAccelerationJ/

M

routers/

EnterpriseNSM

/

NetScreenSecurity

Manager17Copyright

©

2007

Juniper

Networks,

Inc.Proprietary

and

ConfidentialSSG=

NetScreen

Product

line

capabilities

+Higher

performanceContent

security

across

the

product

lineModular

interfacesEase

of

licensingAllmanageable

via

NSMJuniper

SSG系列产品·SSG系列产品提供可靠的安全防护功能以及出色广域网路由性能。SSG

5–6种固定接口配置的防火墙160

Mbps防火墙/40

Mbps

VPNSSG

20–2个模块插槽160

Mbps防火墙/40

Mbps

VPNSSG

140350+Mbps防火墙/100

Mbps

VPN8

FE+2

GE接口+4

WAN

PIM插槽SSG

520M2

Gbps防火墙/600

Mbps

VPNSSG

550M4

Gbps防火墙/1Gbps

VPNSSG

518Copyright

©

2007

Juniper

Networks,

Inc.Proprietary

and

ConfidentialSSG

20SSG

140SSG

550MSSG

520MIMIX,为模拟Internet实际应用情况的包组合……不同的Model提供不同的功能/接口选项；扩展许可主要增加了HA的功能；SSG

590M(IMIX)吞吐量40M

3DES

VPN25个VPN隧道8K个并发会话数7个10/100以太网接口25M

IPS吞吐量200条策略128/256MB内存19Copyright

©

2007

Juniper

Networks,

Inc.Proprietary

and

Confidential嵌入式防病毒功能嵌入式防垃圾邮件深层检测功能Web过滤带有无线功能的型号扩展许可选项SSG

2020Copyright

©

2007

Juniper

Networks,

Inc.Proprietary

and

Confidential90M(IMIX)吞吐量40M

3DES

VPN25个VPN隧道8K个并发会话数5个10/100以太网接口25M

IPS吞吐量200条策略2个PIM插槽128/256MB内存嵌入式防病毒功能嵌入式防垃圾邮件深层检测功能Web过滤多种WAN接口选项扩展许可选项SSG

20接口扩展模块ADSL

2+V.92E1T1ISDNBRI

S/T两个接口扩展插槽21Copyright

©

2007

Juniper

Networks,

Inc.Proprietary

and

ConfidentialSSG

140300M(IMIX)吞吐量100M

3DES

VPN125个VPN隧道48K个并发会话数8个10/100以太网接口2个10/100/1000以太网接口25M

IPS吞吐量500条策略4个PIM插槽（支援广域网应用）256/512MB内存嵌入式防病毒功能嵌入式防垃圾邮件深层检测功能Web过滤多种WAN接口选项22Copyright

©

2007

Juniper

Networks,

Inc.Proprietary

and

ConfidentialSSG

140接口支持控制口/辅助口(8)口10/100接口(2)口10/100/1000接口(4)i个扩展接口插槽:2xT1,2xE1,2xSerial,1xISDN

BRI

S/T123正面423Copyright

©

2007

Juniper

Networks,

Inc.Proprietary

and

Confidential背面6个PIM插槽中:2个是增强PIM插槽。防病毒/防垃圾邮件等功能的开启都必须使用高内存版本。SSGWAN接口与J系列路由器通用。嵌入式防病毒功能嵌入式防垃圾邮件深层检测功能Web过滤

多种WAN/LAN接口选项扩展许可选项24Copyright

©

2007

Juniper

Networks,

Inc.Proprietary

and

ConfidentialSSG

520M

2Gbps(大数据包)600M(IMIX)吞吐量300M

3DES

VPN500个VPN隧道128K个并发会话数42K每秒新增会话数4个10/100以太网接口300M

IPS吞吐量1000条策略6个PIM插槽256/1024MB内存6个PIM插槽中:4个是增强PIM插槽。防病毒/防垃圾邮件等功能的开启都必须使用高内存版本。SSGWAN接口与J系列路由器通用。嵌入式防病毒功能嵌入式防垃圾邮件深层检测功能Web过滤

多种WAN/LAN接口选项扩展许可选项25Copyright

©

2007

Juniper

Networks,

Inc.Proprietary

and

ConfidentialSSG

550M4Gbps(大数据包)1G

(IMIX)吞吐量500M

3DES

VPN1000个VPN隧道256K个并发会话数70K每秒新增会话数4个10/100以太网接口500M

IPS吞吐量4000条策略6个PIM插槽256/1024MB内存SSG产品线总揽小型办公环境中等规模企业性能····支持完整的UTM的结构（除SSG5以性26Copyright

©

2007

Juniper

Networks,

Inc.Proprietary

and

ConfidentialThe

SSG

nowincludes

unrestricted

user

licenses

and

advanced

licenses

standard.The

SSG

family

supports

full

content

security

and

integrated/modular

WAN

interfaces

across

the

entire

product

familyNo

Add-on

hardware

or

compromises

in

security

(ASA)Purpose

built

platforms

that

deliver

unmatched

price/performance

to

mid

range,

lowend

market.Has

allthe

great

features

ofScreenOS

(zones,

segmentation,

VRs,

NSRD,

NSRP,

etc)

and

is

fully

managed

by

NSM.SSG系列产品综述SSG

550MSSG

520MSSG

140SSG

20SSG

5防火墙性能Mbps(大包/IMIX包)4G

/

1G2G

/

600

M350M+

/

300M160M

/

90M160M

/90M防火墙PPS(64字节)600k300k100k30k30kVPN(1400字节)500M300M100M40M40M入侵防御IPSYesYesYesYesYes防病毒AVYesYesYesYesYes防垃圾邮件AntispamYesYesYesYesYes网页过滤YesYesYesYesYes模块化接口YesYesYesYesNo路由支持

(RIP/OSPF/BGP)YesYesYesYesYes广域网封装YesYesYesYesYesHAYesYesYes可选可选27Copyright

©

2007

Juniper

Networks,

Inc.Proprietary

and

ConfidentialSSG

Family接口模块综述28Copyright

©

2007

Juniper

Networks,