產品及解決方案 / 產品列表 / 邊界安全 / 下一代防火墻 NGF

產品概述

優炫下一代防火墻（Next Generation Firewall，簡稱NGF）是一款可以全面應對應用層威脅的高性能防火墻。通過深入洞察網絡流量中的用戶、應用和內容，并借助全新的高性能單路徑異構并行處理引擎，能夠為用戶提供有效的應用層一體化安全防護，幫助用戶安全地開展業務并簡化用戶的網絡安全架構。

優炫下一代防火墻集成了狀態檢測防火墻、遠程接入、網關防病毒、反間諜軟件、反垃圾郵件、入侵防御系統、內容與應用程序過濾、數據泄漏防護、即時通訊管理、帶寬管理、多鏈路管理等多種安全防護功能，并可以提供優秀的處理能力。優炫下一代防火墻是一個可擴展的架構并支持 IPv6，滿足用戶對未來網絡的安全需求。

產品特性

強大的加固安全操作系統
優炫下一代防火墻采用了一套智能的強大的加固安全操作系統。在此安全系統上，并行運行多種網絡安全防護模塊，如IPS、網頁過濾、應用程序控制、病毒掃描、Web應用防火墻、反垃圾郵件、帶寬管理等。經過優化的安全操作系統，可以在優炫軟件專用多核平臺上發揮其高性能的優勢。
基于身份識別的全面安全防護
優炫下一代防火墻提供基于身份識別的全面安全防護，以抵御當前存在的復雜的混合型威脅：蠕蟲、病毒、惡意軟件、數據丟失、身份盜竊、來自應用程序如即時通訊軟件的威脅、隱含在HTTPS中的威脅等等。
基于身份識別的安全管理
優炫下一代防火墻利用身份識別來提升安全性與可管理性。通過識別用戶身份，管理員可以實施對應用程序的管理以及帶寬的管理等多項內容，同時不會影響工作效率與連接性。
提供獨立的網絡接口連接服務器
優炫下一代防火墻可以通過獨立的網絡接口連接需要訪問的服務器，如網頁服務器、郵件服務器、FTP 服務器等，創建DMZ區域保證外部的通訊訪問，同時提升內部局域網絡的安全。
獨特的融合技術，支持多種安全防護功能高效并行處理
優炫下一代防火墻采用了獨特的融合技術，允許在一條防火墻策略中集成調度多種安全防護功能，如IP控制、用戶身份驗證、通訊端口控制、IPS策略、防毒策略、網頁過濾策略、應用程序過濾策略、帶寬管理策略等。將多重安全保護與網絡連通性相結合，可以大大地提高系統執行效率，真正實現并行數據處理。

功能參數

-八層技術（用戶身份）防火墻
-多安全區域規劃
-基于身份的訪問控制策略
-設備識別、地點識別
-訪問控制條件：用戶身份、源/目的區域、MAC地址、IP地址、服務端口
-安全策略：IPS、網頁過濾、應用程序過濾、防病毒、反垃圾郵件、流量管理
-基于國家區域的流量控制
-基于時間計劃的訪問控制
-支持多對一、一對多、多對多、一對一的多種NAT模式
-H.323、SIP 的 NAT 穿越
-DoS/DDoS 攻擊防御
-MAC 過濾、IP-MAC 地址捆綁
-欺騙保護

-基于 WRR 的多鏈路負載均衡
-接口類型：橋接、鏈路匯聚、VLAN、TAP、WWAN
-支持路由、透明、混合工作模式
-支持USB接口3G/4G無線網卡
-全功能的DNS、DHCP 服務器
-支持 RIP、OSPF、BGP等多種動態路由協議
-支持ICAP，可與第三方設備集成
-支持 IPv6

-支持設備本地數據庫認證
-支持與AD域、RADIUS服務器的遠程認證
-支持基于瀏覽器的認證方式
-支持身份認證客戶端方式
-支持免客戶端認證方式
-支持單點一次性認證方式
-支持對登錄用戶的IP地址與MAC地址限制

-支持流量最大限制、流量最小保證
-支持最多8個優先級劃分
-支持流量配額管理
-支持基于 IP 地址、通訊端口的流量管理
-支持基于用戶身份的流量管理
-支持針對應用程序的流量管理
-支持針對網站的流量管理

-協議：PPTP、L2TP、IPSec、SSL
-加密算法：DES/3DES、AES、Twofish、Blowfish、Serpent
-算法：MD5、SHA-1
-認證：預共享密鑰、數字證書
-支持 IPSec NAT穿越
-支持 DPD、PFS
-支持點對點互聯、移動用戶接入
-提供網頁與隧道模式SSL接入

-特征庫：預置 4500余種特征，可自定義特征
-IPS 策略：預置多種基于區域的防護規則，可自定義規則
-過濾條件：按分類、危害性、平臺與目標
-IPS 動作：推薦、允許包、丟棄包、禁用、丟棄會話、重置、旁路會話
-基于用戶身份的策略
-特征庫自動升級、手動升級
-支持工控行業的SCADA特征庫

-發現并攔截病毒、蠕蟲、木馬
-間諜軟件、惡意代碼、釣魚網站防御
-特征庫自動升級、手動升級
-可以掃描 HTTP、HTTPS、FTP、SMTP/S、POP3、IMAP
-針對用戶身份定制掃描計劃
-提供用戶隔離區域
-基于文件大小掃描與投遞
-基于文件類型攔截

-進出雙向垃圾郵件掃描
-實時黑名單查詢（RBL）
-MIME 頭檢測
-基于郵件頭、郵件大小、發件人、收件人的過濾
-RDP技術甄別垃圾郵件
-實時病毒郵件爆發防御
-IP 地址信譽評估
-提供用戶隔離區域
-IP 地址黑白名單
-垃圾郵件通知信

-支持網頁分類過濾，89種分類，可自定義分類
-基于 URL、關鍵字、文件類型的過濾
-支持對 HTTP、HTTPS的保護
-攔截惡意代碼、釣魚 URL、嫁接URL
-攔截 Java Applets、Cookies、ActiveX
-兼容 CIPA
-數據泄漏控制
-基于時間的控制

-實現 7 層（應用）與 8 層（用戶身份）結合控制與可視化
-提供 2000 余種預置應用程序特征庫
-過濾條件：按分類、風險等級、技術特征
-基于時間的控制
-識別工控行業 SCADA應用

-支持透明部署、反向代理部署
-防止SQL 注入、跨站攻擊、會話劫持、URL 篡改、Cookie 毒害等攻擊
-Web服務器身份隱藏
-允許過濾 HTTP 方法
-限制訪問連接數量
-支持錯誤重定向技術
-URL 大小寫驗證
-SSL 卸載

-支持主-被模式雙機熱備份
-支持主-主模式雙機運行
-支持多橋組接口

-提供實時監控與歷史查詢
-集成 IPS、網頁過濾、WAF、防病毒、反垃圾郵件、用戶認證、系統與管理等上百種類型的報告
-支持Syslog 服務器

-提供基于瀏覽器的圖形化管理界面
-支持命令行管理（Telnet、SSH、串口）
-可劃分管理員角色
-支持 SNMP（v1/2/3）

部署方式

路由模式
場景設置：
1) 作為一臺標準防火墻部署；
2) 置換現有標準防火墻設備；
3) 作為網關傳輸控制所有流量；
4) 實現鏈路負載均衡，并可設置設備冗余能力。
透明模式
場景設置：
1) 保留現有標準防火墻與路由器，部署在這些設備內部；
2) 部署設備時不想改動內部網絡配置；
3) 與網關一樣傳輸控制所有流量。

典型應用

（1）企業互聯網邊界的應用

企業互聯網邊界應用示意圖

優炫下一代防火墻部署在企業總部及各分支機構互聯網出口，防止黑客入侵，精細控制訪問權限，防止非法訪問，防止企業機密信息被竊取，有效保護企業的關鍵業務。
（2）數據中心的應用

數據中心應用示意圖

優炫下一代防火墻部署在大型數據中心的核心業務出入區，以及互聯網出口、廣域網邊界等區域，為數據中心用戶提供精細的控制訪問權限，防止非法訪問，防止機密信息被竊取，提供應用層安全防護，保障核心業務獲取必要的帶寬資源。