值得一看的sonicwall防火墙知识

相关搜索: 防火墙, sonicwall, 知识

sonicwall防火墙
1    sonicwall防火墙背景
  sonicwall，inc.成立于1991年，主要进行全面互联网安全解决方案设计、开发和生产，为广大的市场提供访问安全、增值安全服务和交易安全产品。通过提供高性能固件产品和增值安全服务，sonicwall公司全面的解决方案在不牺牲网络性能的情况为各类机构和组织提供了全面的深度安全保护。所服务的对象包括：soho、sme、企业、服务提供商、电子商务、政府、教育和保健机构。sonicwall是全球中小型企业市场中工人的领导厂商，其解决方案广泛应用于分布式企业环境、政府、零售业销售点、医疗保健领域以及服务供应商行业。
  sonicwall互联网安全设备为各类组织提供一流的安全平台，保护其网络免受互联网安全威胁。其易于使用和高性能的特点，受到业界媒体（如infoworld，pcmagazine，networkworld和internetweek）的高度称赞。通过集成高性能的防火墙固件与增值的安全服务（如网络防病毒、虚拟专用网络（vpn）、使用数字证书的强大验证功能、内容过滤和其他安全服务），sonicwall互联网安全设备可提供全面的安全解决方案。
  sonicwall采用软硬件一体化设计，在高性能硬件平台上，利用先进的防火墙技术和sonicwall专有的安全高效的实时操作系统，再加上世界领先的加密算法、身份认证技术以及网络防病毒技术，是一个强大的集应用级防火墙、入侵报警、内容过滤、vpn、网络防病毒等多种安全策略为一体的稳定可靠的高性能网络安全系统。其完善的产品系列和卓越的性能价格比为不同规模、不同行业、不同上网方式的用户提供安全、快速、灵活、超值的网络安全解决方案。

2    sonicwall的产品特点
  sonicwall防火墙是众多互联网安全设备中的一个代表，它之所以能在网络安全市场上占用重要的位置，是因为其产品具有全面的网络防护功能和良好的性能，下面具体介绍一个sonicwall防火墙的特点。
1.        功能全面
  sonicwall防火墙实现一个状态数据包监测引擎来处理和过滤数据包，并且集成了大量的安全特征，包括虚拟专用网（vpn）、基于网络反病毒的病毒防护、内容过滤和利用数字证书的强验证机制等安全特征，下面来了解sonicwall防火墙有些功能。
（1）防火墙
  采用最先进的“全状态检测”技术，防范各种dos(ping of death blocked，ip spoof detected等)，ddos, man in the middle 攻击；支持ddn，xdsl，cable modem， isdn等多种上网方式；支持双向nat网络地址转换、端口映射、dhcp server/client；自动检测攻击并通过e-mail或call机报警；提供详细的系统日志和访问日志管理，防止黑客的攻击和破坏。
  （2）vpn
  通过icsa认证的ipsec vpn；可以采用168位加密算法，支持数字证书的身份认证方式；支持gateway to gateway 和 client to gateway模式；支持动态域名解析；兼容其他vpn产品，如check ponit firewall -1,cisco pix,axent raptor,nortel contivity; 为企业建立安全、经济的信息通信。
  

  （3）网页内容过滤
可以通过域名、ip地址、关键字段和时间段控制任意电脑上网或控制其是否享受某类型internet服务；支持cyber not\web sense等第三方不良网站清单；过滤active x，cookies，java等危险文件；提供访问审计日志。
  （4）网络防病毒
全球第一家通过icsa认证的asp模式防毒产品，采用mcafee病毒引擎和病毒代码，强制执行防病毒安全策略，保证实时升级到最新病毒码，彻底清查邮件和邮件附件中的病毒，全球首次真正实现防病毒工作的零维护。
（5）高容错、高可靠性
支持双机冗余，保证网络连接的高可靠性；gx系列拥有电源冗余系统。
（6）ssl加速
提高认证速度高达50倍，提高电子商务效率。
（7）带宽管理
支持应用服务歇息的带宽分配和队列的优先级别设定，保证足够的带宽给重要的网络应用，提高网络利用效率，管理方便。
2.        性能强大
  sonicwall防火墙独特的软硬件一体化结构，专有操作系统，asic芯片硬件加速，10/100m自适应网络接口；不同型号防火墙带宽在nat条件下可以达到从75mbps到1.67gbps；不同型号支持的最大的并发连接数；从6000个到500000个；vpn最大支持10000个鬓发通道，在168位加密算法下最大带宽285mbps。
3.        安全、稳定
  sonicwall防火墙还具有安全、稳定的特点，具体体现在以下几个方面；
●        通过icsa（国际计算机安全协会）、中国公安部双重认证。
●        特殊的硬件结构，稳定可靠，满足7*24小时工作的严格需求。
●        专有的实时操作系统，固化于硬件中，抗攻击能力强。
●        独特的基于密码技术的管理员身份认证方式。
●        配置了dmz网络隔离端口。
●        能防范各种dos(ping of death blocked,ip spoof detected 等)，ddos,man in the middle攻击。
●        能自动识别攻击并报警。
●        支持ipsec vpn，支持数字证书的高级身份认证方式。
●        面向internet的强制性网络防病毒策略。
4.        安装、使用、维护都非常方便
  sonicwall防火墙还具有易安装、易使用和易维护的特点，具体体现在以下几个方面：
●        完全图形化的浏览器管理界面，并支持命令行、串口、远程管理等多种其他方式。
●        预置的安全策略。
●        详细的系统日志管理。
●        可以通过全球管理系统进行集中的远程管理。
●        支持xdsl,cable modem等宽屏上网方式。
●        支持大型网络结构。
5.        最优的性价比
  sonicwall提供了在同等价位上最全面的功能应用和最强劲的处理性能，拥有最佳的性能价格比。
3        sonicwall的产品及功能描述
sonicwall网站（）提供了一个容易使用的产品分析工具，用户可以通过它来决定哪一种网络安全产品最适合自己的需要。产品分析工具提出了许多问题，如关于网络大小、接口和要求的连接速度、vpn访问需要、用户数量和涉及用户的安全威胁类型等等。sonicwall的防火墙产品很多，在这里介绍其中的几种最新产品。
1. sonicwall pro 5060
  作为sonicwall pro系列互联网安全平台一名成员的sonicwall pro 5060，是一个高性能、多服务千兆网络安全平台，可保护用户及关键数据免遭将当今的数据密集型网络至于危险境地的动态及复杂攻击的威胁。pro 5060将高速网关防病毒、防间谍程序、入侵防护、内容过滤及防垃圾邮件能力与高级无线lan特性、全状态包检测防火墙及ipsec vpn集成在一个易部署及管理的解决方案中。可提供10/100/1000铜缆/光纤端口两种版本的pro5060，集成了各种互联网与安全特性，使其成为应用的理想选择。
  除gb全状态检测性能外，pro 5060还配备了sonicos增强版，可实现业务连续性与isp故障切换、wan冗余与负载均衡、基于对象与策略的管理等灵活性。pro 5060还提供带有2000个全球vpn客户许可证、viewpoint报告软件、1年网关防病毒、防间谍程序及入侵防护、30天内容过滤服务与网关强制网络防病毒及90天sonicwall技术支出的标准版。
  通过一个web界面或利用sonicwall行业领先的全球管理系统（gms）。很容易将pro5060作为多防火墙与vpn环境的一部分来管理。这能为管理员提供一套经济与功能强大的工具，来从一个中央位置对整体安全策略进行快速部署、配置与管理。
  主要特点与优势：
①实时网关防病毒、防间谍程序与入侵防护
  通过集成对sonicwall网关防病毒、防间谍程序与入侵防护服务支持，pro 5060可将安全从网络核心扩展至网络周界，从而提供对各种最新威胁的实时保护，包括病毒、间谍程序、蠕虫、特洛伊木马、软件漏洞及其他恶意代码等。
  ②802.1q虚拟lan
  pro 5060利用vlan id标签分配的虚拟端口来提供对802.1q vlan的支持。虚拟端口可提供许多类似物理端口的特性，包括域分配、dhcp服务器、nat与访问规则控制等。
  ③实时黑名单垃圾邮件过滤
  pro 5060可利用dns来查询实时黑名单列表（rbl），用于跟踪已知垃圾邮件及开放转发smtp服务器，并拒绝来自列表中服务器的smtp连接。
  ④动态rip与ospf路由
  pro 5060可提供对ospf（开放最短第一路径）及rip（路由信息协议）动态路由协议的完全支持。
  ⑤功能强大的内容过滤
  pro 5060支持sonicwall公司的内容过滤服务，可提供企业级可扩展内容过滤服务来提高生产力与安全，无需额外的服务或部署成本。
⑥深度包检测防火墙
  pro 5060具有一个配置及高性能深度包检测防火墙，可用来对web、e-mail、文件传输、windows服务及dns等关键互联网服务提供更广泛的保护。
  ⑦集成无线lan服务
  除为一款集成防火墙与vpn安全设备外，当将其增加至网络中且对所有无线与有线流量都进行了安全策略后，pro 5060还能充当一台可自动检测及配置sonicpoints（sonicwall无线接入点）的安全无线交换机与控制器。
⑧专用高性能硬件架构
通过卸载与加密有关的处理器开销，pro 5060可提供最大可能的保护：2.4gbps以上的全状态包检测防火墙与500mbps的3des及aes vpn吞吐量，isp故障切换与负载均衡。pro 5060还可以通过将一个用户自定义端口指定为可用于“主动-被动”故障切换配置的备份wan端口，来为分配或负载共享输出wan流量提供一种高度有效的手段。
⑨每安全域多个端口
网管员将sonicwall pro 5060上的多个物理端口分组至逻辑“域”中来方便管理域灵活配置。这能在各种网络拓扑中部署sonicwall防火墙时提供极大的灵活性、可扩展性与增强的内部安全。
2.sonicwall pro 4100
sonicwall pro 4100 是一款将防病毒、防间谍程序、入侵防护、防垃圾邮件、防网络钓鱼以及内容过滤技术集成在一台设备中的高速互联网网关。
pro 4100的核心是一个功能强大的深度包检测引擎，它能实时扫描网络流量，并在恶意威胁入侵网络以前在网关处将其屏蔽。通过从sonicwall数据中心自动下载安全更新可实现动态网络保护。无需管理员干预即可为网络提供对最新威胁的防护。pro 4100通过不间断连接至sonicwall动态更新特征数据库，而能收到有关互联网安全威胁的最新信息，因此即使是最新的威胁也无法透过。
横跨10个千兆以太网端口的稳健“可信网络”保护。pro 4100一共具有10个千兆以太网端口，可提供足够的端口密度来将网络划分成多个域。例如，可以用其中的端口来创建单独的lan或dmz、第二wam以及其他定制网络安全域。也可以配置一个硬件故障切换端口来获得连续的网络正常运行时间。对于更复杂的网络部署，pro 4100可将安全扩展至虚拟及实际连接的无线lan，从而免受来自企业网内部、联网各部门或数据中心区之间的网络威胁。
创新的sonicwall clean vpn技术。远程连接虽能提高员工的生产力，但也会将网络暴露于任何可能的威胁下。pro 4100具有创新的sonicwall clean vpn技术，可在移动用户及分支机构连接接威胁网络以前对其进行净化。除扫描远程流量中的威胁外，clean vpn技术还能提供报警，使用户能及时隔离并控制潜伏在威胁。
企业级联网、路由与防火墙特性。pro 4100以一台设备提供企业级联网、路由及防火墙功能。通过一台设备中综合采用多种技术，pro 4100可减少部署时间、是现行操作自动化并提高网络的可靠性。pro 4100允许在当今高性能及复杂网络环境下进行灵活部署、无缝集成及精细访问控制，可以依靠他来获得绝对的网络保护、效率与控制。
主要特点与优势：
①强大的面重组深度包检测引擎
  sonicwall pro 4100利用一个免重组（re-assembly free）深度包检测防火墙，来消除无限文件大小及无线并行连接所带来的威胁，从而提供终极可扩展性。
②实时网关防病毒、防间谍程序、蠕虫、特洛伊木马、网络钓鱼及缓冲溢出等软件脆弱性在内的各种动态威胁。
③综合应用控制
sonicwall pro 4100提供精细访问控制来避免管理员认定的对等与即时消息应用等非业务网络流量
④集成高可用性与负载均衡
  sonicwall pro 4100具有高可用性及带宽管理性，可提高总体网络带宽并保持网络正常工作时间，确保对关键网络资源的不间段访问。
⑤基于标准的ip 语音（ voip）
sonicwall pro 4100还具有voip的能力，可以从通信设备到sip代理、h.323gatekeeper(网守)及呼叫服务器等voip设备的ip语音基础设施提供最高水平的安全保护。
⑥ 安全分布式无线lan服务
    sonicwall pro 4100 可用作安全无线交换机和控制器，自动检测及配置用于分布式网络环境下安全远程接入的sonicwall及sonicwall无线接入点。
⑦板载服务质量（qos）特性
sonicwall pro 4100具有行业标准的802.1p与服务区分代码点（dscp）服务等级（cos）指示器，可提供对voip、多媒体内容及关键业务应用而言至关重要的强大及灵活带宽管理   
⑧高级路由服务
sonicwall pro 4100具有内置路由服务，可提供对优先开放最短路径（ospf）协议与路由器信息协议（rip）等动态路由协议的完全支持，确保网络路由可用性以及与现有路由基础设施相集成的便利性。
⑨高级联网与安全特性
  sonicwall pro 4100可提供高级联网与安全特性，包括802.1qvlan、wan/wan故障切换、安全域及面向对象的管理、负载均衡、高级nat模式等，并能提供精细配置灵活性与综合保护。
3. sonicwall tz 170 wireless
  作为sonicwall tz 170 系列一个组成部分的tz170 sp无线，是一个高性能、多层网络安全平台，它将tz 170系列的最佳特性（包括802.11b/g无线、自动故障转移与返回技术以及深度包检测防火墙等）集成在一台设备中，通过在主宽带连接故障时自动切换至备份wan连接或集成模拟modem, tz 170 sp 无线可确保对其有线及无线lan上的关键数据进行连续的访问。双宽带wan连接与内置模拟modem,在加上安全802.11b/g无线，使tz 170 sp无线成为第一种能提供自动带宽---宽带—模拟wan冗余、从而实现空前的有线与无线网络正常工作时间的设备。
  每台tz 170 sp 无线均配有sonicos增强版，可提供出色业务连续性与诸如isp故障
转移、基于策略的nat、基于对象的管理等高级联网特性。tz 170 sp 无线还集成了实时网关防病毒、防间谍程序、入侵防护与防垃圾邮件功能，可提供对病毒、间谍程序、蠕虫、特洛伊木马及其他恶意攻击的保护。
主要特点与优势：
①集成防火墙、vpn与无线接入点
tz 170 sp无线将深度包检测防火墙、ipsec vpn与802.11b/g接入技术集成在一个易使用解决方案中，从而可减少与支持多个解决方案有关的时间与成本。
②故障切换与故障返回技术
通过在宽带连接中断是切换至模拟wan连接，tz 170 sp无线可确保连续的ipsec vpn隧道连接，一旦宽带连接重新建立，tz 170 sp无线即可自动故障返回，从而提供最高可能的连接。
③实时网关防病毒、防间谍程序于入侵防护
通过集成对sonicwall 网关防病毒、防间谍程序与入侵防护服务的支持，tz 170 sp无线可将安全从网络核心扩展至网络周界，从而提供对各种最新威胁的实时防护，包括病毒、间谍程序、蠕虫、特洛伊木马、软件漏动及其他恶意代码等。
④功能强大的内容过滤
tz 170 sp无线支持sonicwall 公司的内容过滤服务，可提供企业级、可扩展内容过滤服务来提高生产力与安全，且无需额外的服务器或部署成本。
⑤实时黑名单垃圾邮件过滤
tz 170 sp无线可利用dns来查询实时黑名单列表（rbl），用于跟踪已知垃圾邮件及开放转发smtp服务器，并拒绝来自列表中的服务器的smtp连接。
⑥深度包检测防火墙
tz 170 sp无线具有一个可配置及高性能深度包检测防火墙，可用对web、e-mai、文件传输、windows服务及dns等关键互联网服务提供更广泛的保护。
⑦宽带至模拟wan冗余
tz 170 sp 无线是唯一一种能提供从主宽带wan连接故障转移及故障返回至备份宽带wan连接，或模拟wan连接的设备，从而能通过wan冗余来提供空前的网络正常工作时间。

⑧无线入侵检测服务
通过检测并防护3种普通的威胁：非法接入点、分散攻击与联合掩没攻击，tz 170 sp无线可提供对无线网络的保护。

⑨无线访客服务
tz 170 sp 无线使网管员能给  许其无线连接至互联网但不提供对企业网络访问的非经常性访客用户（例如咨询顾问与承包人等）创建一个临时用户。
⑩wan isp 故障切换与负载均衡
tz 170 sp 无线还可通过将一个可选端口配置成备份wan端口来提供高度可靠的网络连接与稳健性能。此备份wan端口可用于“主动---主动” 负载共享或故障切换配置中，来为最大化总体网络带宽提供一种高度有效的手段。
(11) 综合集中管理支持
  每台sonicwall 互联网安全设备都能用sonicwall公司的获奖产品————全球管理系统（gms）来进行管理。gms可为网管员提供一套用于简化整体安全策略、vpn及服务的配置、执行与管理的工具，所有工作全部能从一个中心位置上执行。
4. sonicwall tele3
sonicwall tele3 开发了通过宽带dsl或者线缆连接并且超过5个用户的网络，其性能特点如下：
●lan/wan的10/100m自适应以太口、1个serial的console配置口，支持5个用户。
●带5tunnels的vpn
●可升级到10tunnels。
●3des（168bit）:20mbps
●支持6000个同时连接。
●防火墙性能：75mbps.
●cybersentry tm vpn专用高速安全处理器。
tele3互联网安全产品是一款容易部署的企业级防火墙。它附带vpn连接功能以方便远程用户和长期出差的用户快速而安全地访问他们的网络资源。tele3使用直观的浏览器管理界面和管理向导，减少了安装和管理安全连接访问的时间。
桌面型的tele3为icsa认证，并符合ipsec vpn标准，是一种全状态检测型的硬件防火墙。tele3能够快速的访问企业资源，并兼容基于ipsec vpn网关标准的其他厂家的产品。
基于sonicwall cybersentry安全处理芯片，tele3在具有硬件加速的3des vpn 的产品中发挥出最好的性能和最大的吞吐量。在超负荷的加密情况下，cybersentry安全处理芯片为宽带连接发挥最好的性能。
tele3支持sonicwall 安全服务的全部模块，包括网络杀毒、内容过滤和身份认证服务。这减少了成本和安装单个设备和软件包的复杂性。
tele3不需要操作系统维护（如unix、microsoft 2000）,减少了不必要的安全漏洞。它适用于大型企业的网络结构，能在本地部署并进行远程管理，包括命令行、浏览器和snmp方式。为了实现集中的管理和策略设定的功能，sonicwall全球管理系统被设计用来减少安全需求管理的任务。
tele3互联网安全产品符合发展中的企业对避免受到互联网安全威胁，保护有价值数据安全的需求。tele3防火墙使用sonicwall公司的cybersentry安全处理芯片，可以执行多用户防火墙和vpn的功能。
sonicwall tele3的特性和优势：
①直观的浏览器管理界面
tele3直观的浏览器管理界面和管理向导，减少了安装和管理安全连接访问的时间。
②ipsec vpn
tele3包含企业级vpn功能，使用户能够快速安全的访问企业资源，它兼容基于ipsec vpn网关标准的任何厂家的产品。
③灵活完整的安全服务
tele3提供其他安全连接服务，支持sonicwall安全服务的全部模块，如网络杀毒、互联网内容过滤和身份认证服务。没有需要的服务以后可以单独安装。
④icsa 认证的防火墙
tele3符合企业级防火墙的工业标准，是通过icsa认证的全状态检测型防火墙。
⑤cybersentry 安全处理芯片
使用sonicwall cybersentry 安全处理芯片，提高了vpn和防火墙性能。在超符合的加密情况下，cybersentry安全处理芯片为宽带连接发挥最好性能。
⑥自动更新
sonicwall 自动更新服务在可用的情况下，一旦确认当前用网络安全漏洞或新增功能，就会向管理员发出新软件升级警告。
⑦灵活的远程管理
tele3使用于大型企业的网络结构，它可以进行本地管理，从而减轻了管理任务，在两台设备之间它可以用命令行或者是sonicwall全球管理系统进行管理。
⑧支持完整的网络协议
tele3支持全面的宽带连接需求，包括网络地址解析（nat），动态地址配置协议（dhcp），互联网连接共享。它还支持以太网点到点协议（pppoe），这是广泛用于dsl连接协议。