廣域網安全與優(yōu)化解決方案

WAN連接地理范圍較大，常常是一個國家或是一個洲。其目的是為了讓分布較遠的各局域網互連，所以它的結構又分為末端系統(兩端的用戶集合)和通信系統(中間鏈路)兩部分。下面是廣域網安全與優(yōu)化解決方案，為大家提供參考。

一、 應用背景

(資料圖片)

廣域網確保了總部和各級分支機構之間的互聯互通，但是，隨著廣域網上各種應用的業(yè)務量和復雜度不斷提升，其安全及性能問題變得越來越突出，主要問題包括：

訪問控制：如何實現各分支機構和總部間、各分支機構之間復雜的訪問控制?

安全威脅：邊遠分支機構的安全級別低、安全管理松散，易引入蠕蟲、木馬、病毒、黑客等，如何防范這些安全威脅在廣域網上快速擴散?

帶寬保障：非關鍵業(yè)務或垃圾流量占用了有限的廣域網帶寬資源，造成廣域網擁塞，如何保證數據流在廣域網中按業(yè)務的重要程度進行不同優(yōu)先級的調度?

安全管理：如何實現廣域網集中的安全管理，整網部署統一的安全策略，進行統一的安全事件監(jiān)控?

二、總部安全設計

總部包含了廣域網業(yè)務的核心數據，安全級別最高，所以在總部的廣域網出口采用功能專一的安全設備實現安全防護和性能保護。另外，對于大型廣域網的總部，H3C可以提供高端萬兆的安全產品F5000、T5000、ACG8800，以滿足大型廣域網總部對安全業(yè)務的高性能需求。

防火墻實現分支機構針對總部資源的訪問控制，H3C防火墻具有虛擬化、ACL加速等技術優(yōu)勢，其虛擬化特性可大大簡化訪問控制策略的部署，ACL加速特性可提升總部大業(yè)務量下的訪問控制效率。

IPS產品實現應用層安全威脅防御，H3C IPS具有三庫合一、高性能等技術優(yōu)勢，其中病毒特征庫采用了專業(yè)防病毒廠商卡巴斯基授權的`SafeStream庫，可以有效防護各種詭異的混合型安全威脅;其獨特的FIRST引擎技術可保證IPS開啟所有特征規(guī)則(上萬條)后，性能不衰減。同時，H3C IPS產品可以有效阻斷蠕蟲、病毒等產生的掃描探測流量，以避免這些垃圾流量侵蝕寶貴的廣域網帶寬資源。

ACG產品實現廣域網帶寬優(yōu)化，H3C ACG可識別各種廣域網業(yè)務，如Notes等辦公業(yè)務、電力調度業(yè)務、Oracle等數據庫業(yè)務、視頻會議、SNMP等網管業(yè)務;并提供自定義協議接口，可根據客戶自身應用的負載特征和交互特征自定義應用協議。在識別出各種廣域網業(yè)務的基礎上，ACG可對關鍵業(yè)務進行帶寬保證，對其他業(yè)務按優(yōu)先級進行智能流量調度。同時，對于廣域網上的一些網絡濫用業(yè)務(如在線多媒體、上傳下載等)，ACG可自動識別并進行限流或阻斷。

三、 二級網安全設計

二級網在整個廣域網中承上啟下，安全級別較高，訪問控制策略復雜，所以在二級網的廣域網出口采用功能專一的安全設備實現安全防護和性能保護。 相對總部而言，二級網的流量相對較小，所以，對于大型廣域網的二級網，可以采用H3C高端千兆安全產品F1000、T1000、ACG2000等，在確保獲得專業(yè)安全業(yè)務的同時，又能滿足二級網對性能的需求。

四、 三級網安全設計

三級網的安全級別相對較低，但分布廣、網點多，要求安全設備易管理、易部署，所以在三級網的廣域網出口部署功能綜合的安全產品UTM。H3C UTM集成了防火墻、IPS、防病毒、帶寬管理等功能，同時支持基于TR069的安全策略分發(fā)，非常方便于遠程分支機構的安全業(yè)務部署。

安全管理設計

在總部部署H3C的安全管理平臺SecCenter，實現廣域網全網安全威脅統一監(jiān)控和安全策略統一管理。對于大型的廣域網，還需要在二級網也部署SecCenter，實現分級的安全管理。

五、方案特點

1.立體化的安全防護

通過防火墻和IPS的有機結合和功能互補，為用戶提供2-7層的全面安全防護，確保了總部和二級網的安全，同時UTM綜合的安全功能確保了三級網的安全。H3C IPS、UTM可以定期更新攻擊特征和病毒特征規(guī)則，為用戶提供持續(xù)的專業(yè)安全保護。

2. 精細化的流量調度和廣域網帶寬優(yōu)化

通過ACG的7層QoS功能，可以針對各種關鍵業(yè)務進行帶寬保障和帶寬的動態(tài)分配，實現精細化流量調度，節(jié)約帶寬資源。H3C ACG產品可根據報文負載特征識別包括廣域網常見應用在內的3000多種應用協議，并可以根據不同用戶廣域網的特殊業(yè)務定制協議特征。在識別后，H3C ACG可以定義出最多三層通道，在每層通道里都可以部署精細化的流量調度策略，包括帶寬保證、帶寬借用、帶寬限制、封堵、連接限制、優(yōu)先級改寫等， 可方便地實現對廣域網關鍵業(yè)務(如視頻會議等)的帶寬保證，對濫用業(yè)務(如上傳下載等)的限制;同時，H3C ACG支持通道帶寬的動態(tài)分配，并根據用戶數量的變化動態(tài)調整帶寬分配，保證帶寬資源高效與公平利用。

3. 安全與網絡的融合

H3C的防火墻、IPS、ACG等安全業(yè)務都可通過插卡的形式嵌入到廣域網路由器或交換機上，形成融合的安全解決方案，可減少管理運維成本、提高整網可靠性。同時，H3C的安全產品與廣域網上的網絡設備和EAD終端形成整網聯動，構建動態(tài)的安全防御體系。

4.高性能

H3C的安全產品全線采用了多核分布式架構，安全業(yè)務并行處理，顯著降低處理時延。其中，H3C IPS產品的入侵防御引擎采用了多項國家專利技術，可確保開啟所有(上萬條)攻擊特征規(guī)則和病毒特征規(guī)則時，性能不衰減。

5.易管理

通過SecCenter實現廣域網全網安全策略的統一管理、實現全網安全事件的統一監(jiān)控，通過TR069可方便地對分支端設備進行策略分發(fā)。