2012 保 留 一 切 权 利 非 经 本 公 司 书 面 许 可, 任 何 单 位 和 个 人 不 得 擅 自 摘 抄 复 制 本 文 档 内 容 的 部 分 或 全 部, 并 不 得 以 任 何 形 式 传 播 商 标 声 明 和 其 他 华 为 商 标 均 为 华 为 技 术 有 限 公 司

Transcription

1 华 为 SVN2000&5000 系 列 安 全 接 入 网 关 产 品 概 述 文 档 版 本 1.1 发 布 日 期 2014/8/18 华 为 技 术 有 限 公 司

2 2012 保 留 一 切 权 利 非 经 本 公 司 书 面 许 可, 任 何 单 位 和 个 人 不 得 擅 自 摘 抄 复 制 本 文 档 内 容 的 部 分 或 全 部, 并 不 得 以 任 何 形 式 传 播 商 标 声 明 和 其 他 华 为 商 标 均 为 华 为 技 术 有 限 公 司 的 商 标 本 文 档 提 及 的 其 他 所 有 商 标 或 注 册 商 标, 由 各 自 的 所 有 人 拥 有 注 意 您 购 买 的 产 品 服 务 或 特 性 等 应 受 华 为 公 司 商 业 合 同 和 条 款 的 约 束, 本 文 档 中 描 述 的 全 部 或 部 分 产 品 服 务 或 特 性 可 能 不 在 您 的 购 买 或 使 用 范 围 之 内 除 非 合 同 另 有 约 定, 华 为 公 司 对 本 文 档 内 容 不 做 任 何 明 示 或 默 示 的 声 明 或 保 证 由 于 产 品 版 本 升 级 或 其 他 原 因, 本 文 档 内 容 会 不 定 期 进 行 更 新 除 非 另 有 约 定, 本 文 档 仅 作 为 使 用 指 导, 本 文 档 中 的 所 有 陈 述 信 息 和 建 议 不 构 成 任 何 明 示 或 暗 示 的 担 保 华 为 技 术 有 限 公 司 地 址 : 深 圳 市 龙 岗 区 坂 田 华 为 总 部 办 公 楼 邮 编 : 网 址 : 客 户 服 务 邮 箱 : support@huawei.com 客 户 服 务 电 话 : i

3 1 前 言 1 前 言 读 者 对 象 本 文 档 介 绍 了 SVN2000/SVN5000 系 列 产 品 的 定 位 特 点 软 硬 件 结 构 典 型 组 网 应 用 操 作 和 维 护 遵 循 标 准 和 技 术 指 标 本 文 档 主 要 适 用 于 以 下 工 程 师 : 网 络 规 划 工 程 师 数 据 配 置 工 程 师 现 场 维 护 工 程 师 网 管 管 理 员 符 号 约 定 在 本 文 中 可 能 出 现 下 列 标 志, 它 们 所 代 表 的 含 义 如 下 符 号 说 明 表 示 有 高 度 潜 在 危 险, 如 果 不 能 避 免, 会 导 致 人 员 死 亡 或 严 重 伤 害 表 示 有 中 度 或 低 度 潜 在 危 险, 如 果 不 能 避 免, 可 能 导 致 人 员 轻 微 或 中 等 伤 害 表 示 有 潜 在 风 险, 如 果 忽 视 这 些 文 本, 可 能 导 致 设 备 损 坏 数 据 丢 失 设 备 性 能 降 低 或 不 可 预 知 的 结 果 表 示 能 帮 助 您 解 决 某 个 问 题 或 节 省 您 的 时 间 表 示 是 正 文 的 附 加 信 息, 是 对 正 文 的 强 调 和 补 充 1

4 1 前 言 通 用 格 式 约 定 格 式 说 明 宋 体 正 文 采 用 宋 体 表 示 黑 体 一 级 二 级 三 级 标 题 Block Label 采 用 黑 体 楷 体 警 告 提 示 等 内 容 用 楷 体 表 示 Terminal Display 格 式 Terminal Display 格 式 表 示 屏 幕 输 出 信 息 此 外, 屏 幕 输 出 信 息 中 夹 杂 的 用 户 从 终 端 输 入 的 信 息 采 用 加 粗 字 体 表 示 用 双 引 号 表 示 文 件 路 径 如 C:\Program Files\Huawei 命 令 行 格 式 约 定 格 式 粗 体 斜 体 意 义 命 令 行 关 键 字 ( 命 令 中 保 持 不 变 必 须 照 输 的 部 分 ) 采 用 加 粗 字 体 表 示 命 令 行 参 数 ( 命 令 中 必 须 由 实 际 值 进 行 替 代 的 部 分 ) 采 用 斜 体 表 示 [ ] 表 示 用 [ ] 括 起 来 的 部 分 在 命 令 配 置 时 是 可 选 的 { x y... } 表 示 从 两 个 或 多 个 选 项 中 选 取 一 个 [ x y... ] 表 示 从 两 个 或 多 个 选 项 中 选 取 一 个 或 者 不 选 { x y... } * [ x y... ] * 表 示 从 两 个 或 多 个 选 项 中 选 取 多 个, 最 少 选 取 一 个, 最 多 选 取 所 有 选 项 表 示 从 两 个 或 多 个 选 项 中 选 取 多 个 或 者 不 选 &<1-n> 表 示 符 号 & 前 面 的 参 数 可 以 重 复 1~n 次 # 由 # 开 始 的 行 表 示 为 注 释 行 图 形 界 面 元 素 引 用 约 定 格 式 意 义 带 双 引 号 的 格 式 表 示 各 类 界 面 控 件 名 称 和 数 据 表, 如 单 击 确 定 > 多 级 菜 单 用 > 隔 开 如 选 择 文 件 > 新 建 > 文 件 夹, 表 示 选 择 文 件 菜 单 下 的 新 建 子 菜 单 下 的 文 件 夹 菜 单 项 2

5 1 前 言 键 盘 操 作 约 定 格 式 加 的 字 符 意 义 表 示 键 名 如 Enter Tab Backspace a 等 分 别 表 示 回 车 制 表 退 格 小 写 字 母 a 键 1+ 键 2 表 示 在 键 盘 上 同 时 按 下 几 个 键 如 Ctrl+Alt+A 表 示 同 时 按 下 Ctrl Alt A 这 三 个 键 键 1, 键 2 表 示 先 按 第 一 键, 释 放, 再 按 第 二 键 如 Alt,F 表 示 先 按 Alt 键, 释 放 后 再 按 F 键 鼠 标 操 作 约 定 格 式 意 义 单 击 快 速 按 下 并 释 放 鼠 标 的 一 个 按 钮 双 击 连 续 两 次 快 速 按 下 并 释 放 鼠 标 的 一 个 按 钮 拖 动 按 住 鼠 标 左 键 不 放, 移 动 鼠 标 修 订 记 录 文 档 版 本 01 ( ) 修 改 记 录 累 积 了 每 次 文 档 更 新 的 说 明 最 新 版 本 的 文 档 包 含 以 前 所 有 文 档 版 本 的 更 新 内 容 实 验 局 版 本 3

6 2 产 品 定 位 和 特 点 2 产 品 定 位 和 特 点 关 于 本 章 2.1 产 品 定 位 SVN2000 和 SVN5000 系 列 产 品 是 华 为 技 术 有 限 公 司 最 新 推 出 的 一 系 列 安 全 接 入 网 关, 主 要 应 用 于 内 网 的 入 口 处, 实 现 对 接 入 用 户 的 控 制 管 理, 可 以 广 泛 的 应 用 于 各 种 运 营 级 网 络 或 者 企 业 网 络 2.2 产 品 特 点 SVN 具 有 强 大 的 SSL VPN 功 能 完 备 的 整 体 安 全 防 护 丰 富 的 用 户 权 限 管 理 方 式 强 大 的 定 制 开 发 能 力 灵 活 的 组 网 适 应 能 力 卓 越 的 性 能 电 信 级 的 可 靠 性 设 计 和 增 强 的 易 用 功 能 2.1 产 品 定 位 SVN2000 和 SVN5000 系 列 产 品 是 华 为 技 术 有 限 公 司 最 新 推 出 的 一 系 列 安 全 接 入 网 关, 主 要 应 用 于 内 网 的 入 口 处, 实 现 对 接 入 用 户 的 控 制 管 理, 可 以 广 泛 的 应 用 于 各 种 运 营 级 网 络 或 者 企 业 网 络 本 文 档 面 向 SVN2000 V200R001 和 SVN5000 V200R001 版 本 SVN2000 和 SVN5000 系 列 产 品 采 用 电 信 级 的 可 靠 硬 件 平 台, 安 全 的 实 时 嵌 入 式 操 作 系 统, 为 企 业 行 业 运 营 商 的 远 程 安 全 办 公 远 程 维 护 以 及 其 他 远 程 安 全 接 入 应 用 提 供 了 高 性 价 比 的 解 决 方 案 SVN2000 和 SVN5000 系 列 产 品 集 成 了 极 为 丰 富 的 功 能, 包 括 SSL VPN IPSec VPN GRE VPN MPLS VPN 防 火 墙 攻 击 防 范 功 能 以 及 领 先 的 三 层 特 性, 例 如 IPv6 MPLS 动 态 路 由 策 略 路 由 等, 使 得 企 业 行 业 和 运 营 商 用 户 可 以 在 一 台 设 备 中 部 署 各 种 所 需 的 安 全 服 务, 能 够 有 效 降 低 安 全 方 案 的 部 署 成 本 基 于 这 些 丰 富 的 功 能, SVN 能 够 在 多 种 组 网 环 境 下 作 为 远 程 接 入 网 关 和 多 媒 体 隧 道 网 关 提 供 服 务 远 程 接 入 网 关 通 过 在 企 业 内 网 的 入 口 处 部 署 SVN2000 和 SVN5000 系 列 产 品, 移 动 办 公 用 户 客 户 企 业 分 部 员 工 只 要 可 以 上 Internet, 就 可 以 随 时 随 地 访 问 企 业 内 网 资 源 4

7 2 产 品 定 位 和 特 点 SVN2000 和 SVN5000 系 列 产 品 也 可 以 部 署 在 运 营 商 机 房, 由 运 营 商 租 用 给 企 业, 企 业 租 用 SVN2000 和 SVN5000 系 列 产 品 服 务 之 后, 外 部 用 户 如 出 差 员 工 企 业 分 部 员 工 可 以 通 过 专 有 的 门 户 专 线 去 访 问 企 业 总 部 的 资 源 用 户 还 可 以 通 过 手 机 自 带 的 L2TP over IPSec VPN 等 软 件 访 问 企 业 内 网 资 源 多 媒 体 隧 道 网 关 在 VoIP 组 网 应 用 中,SVN2000 和 SVN5000 系 列 产 品 作 为 多 媒 体 隧 道 网 关 部 署 在 VoIP 服 务 器 所 在 网 络 的 入 口 处, 通 过 多 媒 体 隧 道 功 能 使 得 VoIP 客 户 端 与 VoIP 服 务 器 之 间 的 通 信 不 受 NAT 限 制, 能 够 穿 越 防 火 墙 和 HTTP 代 理 服 务 器, 为 语 音 视 频 等 多 媒 体 业 务 提 供 端 到 端 的 私 网 穿 越 和 安 全 加 密 能 力 SVN2000 系 列 产 品 包 括 以 下 产 品 型 号 : SVN2230 SVN2260 SVN5000 系 列 产 品 包 括 以 下 产 品 型 号 : SVN5530 SVN5560 文 中 如 果 没 有 特 殊 说 明, 则 以 SVN 统 称 这 四 款 产 品 2.2 产 品 特 点 SVN 具 有 强 大 的 SSL VPN 功 能 完 备 的 整 体 安 全 防 护 丰 富 的 用 户 权 限 管 理 方 式 强 大 的 定 制 开 发 能 力 灵 活 的 组 网 适 应 能 力 卓 越 的 性 能 电 信 级 的 可 靠 性 设 计 和 增 强 的 易 用 功 能 强 大 的 SSL VPN 功 能 SVN 支 持 Web 代 理 端 口 转 发 文 件 共 享 网 络 扩 展 和 多 媒 体 隧 道 等 SSL VPN 业 务 功 能 Web 代 理 Web 代 理 提 供 外 部 客 户 端 和 内 部 局 域 网 Web 服 务 器 通 信 中 转 功 能, 避 免 局 域 网 Web 服 务 器 直 接 暴 露 给 外 网 攻 击 者, 为 局 域 网 Web 服 务 器 提 供 理 想 的 安 全 保 护 Web 代 理 是 指 通 过 SVN 可 以 安 全 的 访 问 内 网 Web 资 源, 包 括 Webmail 和 Web 服 务 器, 它 将 来 自 远 端 浏 览 器 的 页 面 请 求 ( 采 用 HTTPS 协 议 ) 转 发 给 内 网 Web 服 务 器, 然 后 将 服 务 器 的 响 应 回 传 给 终 端 用 户 用 户 只 要 在 SVN 的 虚 拟 网 关 客 户 端 Web 页 面 上 安 装 控 件 后 即 可 访 问 Web 资 源 端 口 转 发 端 口 转 发 业 务 是 提 供 基 于 TCP 的 应 用 程 序 的 安 全 接 入, 是 一 种 非 Web 的 应 用 方 式 5

8 2 产 品 定 位 和 特 点 使 用 端 口 转 发 时, 通 过 在 客 户 端 安 装 ActiveX 控 件 来 监 听 用 户 发 起 的 TCP 服 务 请 求, 控 件 将 截 获 的 数 据 流 经 SSL 加 密 后 传 送 给 SVN, 由 SVN 解 密 并 解 析 后 传 送 给 相 应 的 应 用 服 务 器 端 口 转 发 在 应 用 级 对 用 户 访 问 进 行 控 制, 控 制 是 否 提 供 各 种 应 用 的 服 务, 如 :Telnet 远 程 桌 面 被 动 模 式 FTP(File Transfer Protocol) 等 服 务 SVN 支 持 如 下 应 用 服 务 : 单 端 口 单 服 务 应 用, 如 MS RDP Telnet SSH VNC(Virtual Network Computing) 单 端 口 多 服 务 应 用, 如 Lotus Notes 多 端 口 应 用, 如 动 态 端 口 应 用, 如 FTP Oracle 文 件 共 享 文 件 共 享 的 主 要 功 能 是 将 不 同 的 文 件 服 务 器 ( 如 支 持 SMB 协 议 的 Windows 系 统 支 持 NFS 协 议 的 Linux 系 统 ) 的 共 享 资 源 以 网 页 的 形 式 提 供 给 用 户 访 问 用 户 直 接 通 过 浏 览 器 就 能 在 内 网 文 件 系 统 上 创 建 和 浏 览 目 录, 进 行 下 载 上 传 改 名 删 除 等 文 件 操 作, 就 像 对 本 机 文 件 系 统 进 行 操 作 一 样 方 便 安 全 网 络 扩 展 网 络 扩 展 功 能 通 过 建 立 SSL(Secure Socket Layer) 隧 道, 实 现 了 对 所 有 基 于 IP 的 内 网 业 务 的 全 面 访 问 用 户 远 程 访 问 内 网 资 源 就 像 访 问 本 地 局 域 网 一 样 方 便, 适 用 于 各 种 复 杂 的 业 务 功 能 网 络 扩 展 提 供 了 两 种 使 用 方 式, 用 户 可 以 通 过 登 录 SVN 客 户 端 页 面, 安 装 ActiveX 控 件 启 用 网 络 扩 展 服 务, 或 者 下 载 安 装 独 立 的 网 络 扩 展 客 户 端 软 件 网 络 扩 展 支 持 三 种 访 问 模 式 : 全 路 由 模 式 在 全 路 由 模 式 下, 用 户 只 与 SVN 建 立 网 络 连 接, 只 能 对 企 业 内 网 进 行 访 问 分 离 模 式 在 分 离 模 式 下, 用 户 不 仅 能 够 经 过 SVN 安 全 远 程 访 问 企 业 内 网, 同 时 也 可 以 访 问 本 地 子 网 手 动 模 式 在 手 动 模 式 下, 用 户 不 仅 能 访 问 企 业 内 网 的 特 定 资 源 本 地 子 网, 还 能 访 问 Internet 的 各 种 资 源 多 媒 体 隧 道 多 媒 体 隧 道 功 能 支 持 TLS 和 TLS+UDPS 两 种 隧 道 传 输 模 式 主 要 为 IMS(Information Management System) 核 心 网 中 的 语 音 和 视 频 等 业 务 提 供 加 解 密 和 隧 道 穿 越 功 能 隧 道 密 钥 可 以 定 期 更 新, 防 止 加 密 数 据 被 破 解, 配 合 客 户 端 安 全 组 件 为 移 动 互 联 网 时 代 的 语 音 和 视 频 业 务 提 供 端 到 端 的 安 全 护 航 支 持 多 种 移 动 智 能 终 端 6

9 2 产 品 定 位 和 特 点 第 三 方 软 件 通 过 集 成 客 户 端 安 全 组 件, 可 以 在 苹 果 (iphone) 塞 班 (Symbian) 安 卓 (Android) 黑 莓 (Blackberry) 移 动 智 能 终 端 设 备 上 运 行, 也 可 以 运 行 在 Windows 系 统 的 PC 上 客 户 端 安 全 组 件 主 要 实 现 功 能 强 大 的 虚 拟 协 议 栈, 让 用 户 的 数 据 更 为 安 全 的 通 过 加 密 隧 道 传 输, 有 效 防 止 终 端 监 听 和 互 联 网 监 听 提 供 密 钥 定 期 更 新 功 能, 防 止 加 密 数 据 被 破 解, 为 用 户 提 供 端 到 端 的 安 全 UDP 业 务 快 转 支 持 流 媒 体 业 务 流 量 快 速 转 发, 减 小 网 关 处 理 时 延, 为 用 户 提 供 更 好 的 数 据 通 信 体 验 UDP 报 文 压 缩 在 移 动 互 联 网 时 代, 智 能 终 端 的 跨 越 式 发 展 和 网 络 带 宽 建 设 的 滞 后, 使 无 线 通 讯 平 均 带 宽 变 得 很 小,UDP 报 文 压 缩 功 能 将 传 输 的 数 据 进 行 压 缩 以 降 低 网 络 时 延, 提 高 网 络 使 用 率, 为 用 户 提 供 更 经 济 和 更 高 性 能 的 数 据 通 信 服 务 虚 拟 桌 面 用 户 可 以 使 用 虚 拟 桌 面 客 户 端 通 过 SSL VPN 网 关, 远 程 安 全 访 问 自 己 的 办 公 电 脑 处 理 业 务, 大 大 提 高 了 工 作 效 率 SSL 加 速 SVN 提 供 SSL 加 速 功 能, 将 内 网 服 务 器 上 的 SSL 加 解 密 工 作 卸 载 到 自 身 处 理, 极 大 提 高 内 网 服 务 器 的 性 能, 提 升 用 户 访 问 内 网 服 务 的 速 度 负 载 均 衡 SVN 支 持 负 载 均 衡 功 能, 能 够 为 用 户 提 供 Web 服 务 的 安 全 接 入 和 负 载 均 衡, 提 升 用 户 访 问 Web 服 务 的 安 全 性 和 速 度 SVN 提 供 对 内 网 Web 服 务 器 的 负 载 均 衡, 根 据 负 载 均 衡 算 法 和 会 话 保 持 算 法 选 择 内 网 Web 服 务 器, 并 将 客 户 端 接 入 请 求 转 发 给 该 Web 服 务 器 当 Web 服 务 器 出 现 异 常 时 SVN 会 通 过 健 康 检 测 功 能 自 动 识 别, 避 免 将 客 户 端 接 入 请 求 转 发 给 不 可 用 的 Web 服 务 器, 以 保 证 访 问 的 可 靠 性 完 备 的 整 体 安 全 防 护 接 入 终 端 安 全 保 障 SVN 提 供 完 备 的 整 体 安 全 防 护, 包 括 接 入 终 端 的 安 全 SVN 网 关 设 备 的 安 全 内 网 服 务 器 的 安 全 以 及 数 据 传 输 的 安 全 等 特 性 通 过 制 定 严 格 的 终 端 安 全 检 查 策 略, 在 允 许 设 备 接 入 企 业 内 网 之 前 验 证 和 确 保 终 端 设 备 符 合 企 业 的 安 全 规 范, 必 要 时 可 拒 绝 接 入 通 过 这 种 方 式 将 可 能 存 在 的 安 全 威 胁 在 事 前 进 行 防 范 通 过 绑 定 终 端 标 识 码, 可 以 在 远 程 终 端 接 入 时 判 断 终 端 的 标 识 码, 只 有 被 允 许 的 终 端 才 能 够 接 入 企 业 内 网, 获 得 访 问 资 源 的 权 限 终 端 安 全 7

10 SVN 提 供 了 终 端 安 全 特 性, 主 要 包 括 如 下 功 能 : 主 机 检 查 2 产 品 定 位 和 特 点 检 查 用 户 用 来 访 问 内 网 资 源 的 主 机 是 否 符 合 安 全 要 求 主 机 检 查 功 能 还 支 持 基 于 角 色 进 行 访 问 控 制, 即 将 角 色 与 主 机 检 查 策 略 进 行 关 联, 只 有 满 足 主 机 检 查 策 略 通 过 条 件 的 角 色 才 能 访 问 内 网 资 源 检 查 规 则 支 持 以 下 多 项 自 动 检 测 和 修 复 功 能 : 杀 毒 软 件 检 查 防 火 墙 检 查 注 册 表 检 查 文 件 检 查 端 口 检 查 进 程 检 查 操 作 系 统 检 查 缓 存 清 理 实 现 客 户 端 的 零 痕 迹 访 问 缓 存 清 理 支 持 以 下 功 能 : 浏 览 器 缓 存 清 理 文 件 缓 存 清 理 浏 览 器 密 码 清 除 访 问 历 史 记 录 清 除 指 定 文 件 清 除 终 端 标 识 码 绑 定 SVN 网 关 设 备 安 全 防 护 SVN 提 供 用 户 账 号 与 指 定 终 端 绑 定 功 能 用 户 登 录 时,SVN 的 客 户 端 软 件 将 根 据 客 户 端 的 硬 件 信 息 提 取 接 入 终 端 的 标 识 码, 并 发 给 SVN 进 行 匹 配, 只 有 在 匹 配 通 过 后 才 允 许 用 户 访 问 内 网 资 源 终 端 标 识 码 与 终 端 一 一 对 应 终 端 标 识 码 绑 定 策 略 有 以 下 三 种 : 用 户 和 标 识 码 一 对 一 绑 定 ( 即 指 定 用 户 只 能 在 指 定 终 端 接 入 ) 用 户 和 标 识 码 一 对 多 ( 一 个 用 户 绑 定 多 台 终 端 ) 用 户 和 标 识 码 多 对 一 ( 多 个 用 户 绑 定 一 台 终 端 ) SVN 网 关 设 备 采 用 华 为 公 司 具 有 自 主 知 识 产 权 的 专 有 VRP 操 作 系 统, 该 操 作 系 统 经 过 安 全 加 固, 不 易 被 攻 破, 相 比 一 般 通 用 操 作 系 统 更 加 安 全 VRP 操 作 系 统 在 华 为 公 司 交 换 机 路 由 器 产 品 中 经 过 全 球 用 户 长 时 间 广 泛 使 用, 安 全 程 度 值 得 信 赖 SVN 网 关 设 备 对 自 身 提 供 灵 活 的 安 全 保 活 策 略, 数 据 报 文 在 进 行 SSL 协 议 处 理 之 前, 先 经 过 了 可 配 置 的 TCP/IP 层 过 滤 检 查 可 配 置 的 TCP/IP 层 报 文 检 测 包 括 畸 形 报 文 检 测 异 常 报 文 处 理 IP 层 基 于 流 量 统 计 的 攻 击 检 测 TCP 基 于 流 量 统 计 的 攻 击 检 测 等 8

11 2 产 品 定 位 和 特 点 数 据 传 输 安 全 内 网 服 务 器 安 全 防 护 当 远 程 用 户 通 过 SVN 访 问 企 业 内 网 服 务 器 时, 数 据 的 传 输 路 径 可 以 划 分 为 两 段 一 是 从 客 户 端 到 SVN, 需 要 经 过 公 网 ; 另 一 部 分 是 从 SVN 到 内 网 服 务 器 内 网 的 数 据 传 输 被 视 为 是 安 全 的 而 客 户 端 到 SVN 之 间 的 数 据 传 输 则 面 临 着 诸 多 的 安 全 威 胁,SVN 网 关 能 够 提 供 强 有 力 的 措 施 来 保 护 机 密 数 据 不 被 窃 取 或 是 篡 改 SVN 支 持 多 种 加 密 算 法 和 Hash 算 法 ( 包 括 MD5 SHA-1), 确 保 了 数 据 传 输 的 真 实 性 完 整 性 SVN 支 持 的 加 密 算 法 如 下 : 对 称 加 密 算 法, 包 括 3DES\DES RC4 AES 非 对 称 密 码 算 法, 包 括 RSA 除 了 这 些 常 用 的 标 准 加 解 密 算 法 外,SVN 还 支 持 更 高 强 度 的 自 定 义 加 密 算 法 的 集 成 另 外, 还 提 供 了 密 钥 定 时 更 新 的 功 能, 用 户 可 以 根 据 实 际 需 要 配 置 密 钥 更 新 的 时 间 间 隔 ( 最 高 频 度 为 每 一 小 时 更 新 一 次 ), 进 一 步 降 低 了 密 钥 被 破 解 的 风 险, 提 高 了 整 个 系 统 数 据 传 输 的 安 全 性 无 论 用 户 是 否 是 通 过 VPN 接 入 访 问 内 网 服 务 器,SVN 网 关 都 可 以 对 内 网 服 务 器 提 供 安 全 防 护 管 理 员 可 以 在 SVN 网 关 上 配 置 对 内 网 服 务 器 的 安 全 防 护 策 略, 包 括 增 强 的 报 文 过 滤 功 能 状 态 检 测 功 能 黑 名 单 过 滤 恶 意 主 机 IP 和 MAC(Media Access Control) 绑 定 以 及 多 种 强 大 的 攻 击 防 范 策 略 即 使 用 户 是 通 过 VPN 远 程 接 入 访 问 内 网 服 务 器, 管 理 员 配 置 的 安 全 防 护 策 略 仍 能 够 有 效 保 护 内 网 服 务 器 多 种 ACL 基 本 ACL 可 以 根 据 源 IP 地 址 对 报 文 进 行 访 问 控 制 高 级 ACL 可 以 根 据 源 IP 地 址 目 的 IP 地 址 源 端 口 目 的 端 口 协 议 报 文 进 行 访 问 控 制 基 于 MAC 的 ACL 可 以 根 据 源 MAC 地 址 目 的 MAC 地 址 数 据 帧 的 类 型 和 优 先 级 对 报 文 或 二 层 以 太 网 帧 进 行 访 问 控 制 增 强 的 报 文 过 滤 采 用 的 快 速 流 分 类 算 法 使 系 统 在 进 行 上 万 条 ACL 规 则 的 查 找 时, 性 能 基 本 不 受 影 响, 处 理 速 度 基 本 保 持 不 变 ASPF(Application Specific Packet Filter) 是 针 对 应 用 层 的 包 过 滤, 即 基 于 状 态 的 报 文 过 滤, 以 便 于 实 施 内 部 网 络 的 安 全 策 略 ASPF 能 够 检 测 试 图 通 过 SVN 的 应 用 层 协 议 会 话 信 息, 阻 止 不 符 合 规 则 的 数 据 报 文 穿 过 并 提 供 对 有 害 Java Applets 有 害 ActiveX 的 阻 断 状 态 检 测 功 能 状 态 检 测 是 一 种 高 级 通 信 过 滤 功 能 它 检 查 应 用 层 协 议 信 息 并 且 监 控 基 于 连 接 的 应 用 层 协 议 状 态 对 于 所 有 连 接, 每 一 个 连 接 状 态 信 息 都 被 监 控 并 用 于 动 态 地 决 定 数 据 包 是 否 被 允 许 通 过 设 备 或 丢 弃 状 态 检 测 技 术 在 网 络 层 实 现 所 有 需 要 的 安 全 能 力, 它 既 有 包 过 滤 机 制 的 速 度 和 灵 活, 也 有 代 理 型 防 火 墙 安 全 的 优 点 SVN 利 用 最 新 的 状 态 检 测 技 术 提 供 高 速 的 安 全 防 范 和 报 文 处 理 能 力 9

12 黑 名 单 过 滤 恶 意 主 机 2 产 品 定 位 和 特 点 SVN 网 关 可 以 提 供 丢 弃 黑 名 单 用 户 的 所 有 报 文 来 为 用 户 提 供 安 全 保 证 当 SVN 网 关 根 据 报 文 的 行 为 特 征 检 测 到 特 定 IP 地 址 的 用 户 的 攻 击 企 图 后, 主 动 将 其 加 入 黑 名 单 表 项, 过 滤 从 该 IP 地 址 发 送 的 报 文, 从 而 保 障 网 络 安 全 黑 名 单 可 以 由 管 理 员 手 工 添 加, 也 可 以 由 SVN 网 关 动 态 地 添 加 或 删 除 管 理 员 还 可 以 将 黑 名 单 与 ACL 关 联, 即 报 文 命 中 黑 名 单 后, 查 找 黑 名 单 关 联 的 ACL 策 略, 如 果 命 中 ACL 策 略 并 且 策 略 允 许 通 过, 则 报 文 可 以 通 过, 否 则 报 文 被 过 滤 丢 弃 黑 名 单 仅 对 IP 地 址 进 行 匹 配, 可 以 以 很 高 的 速 度 实 现 黑 名 单 表 项 匹 配, 从 而 快 速 有 效 地 屏 蔽 特 定 IP 地 址 的 用 户 IP 和 MAC 地 址 绑 定 IP 地 址 和 MAC 地 址 绑 定 是 避 免 IP 地 址 假 冒 攻 击 的 一 种 有 效 手 段 管 理 员 可 以 配 置 IP 地 址 和 MAC 绑 定, 根 据 配 置,SVN 网 关 在 IP 地 址 和 MAC 地 址 之 间 建 立 关 联 关 系 对 于 源 IP 地 址 与 源 MAC 地 址 不 匹 配 指 定 的 关 联 关 系 的 报 文, 将 予 以 丢 弃 对 于 匹 配 目 的 IP 地 址 的 报 文,SVN 将 该 报 文 发 送 到 关 联 关 系 中 该 IP 地 址 对 应 的 MAC 地 址 强 大 的 攻 击 防 范 能 力 防 范 多 种 DDoS 攻 击 SVN 网 关 可 以 有 效 地 检 测 出 这 些 类 攻 击 报 文, 通 过 丢 弃 这 些 报 文 等 处 理 措 施 避 免 攻 击 行 为, 同 时 将 这 些 攻 击 行 为 记 录 在 日 志 中 目 前, 可 以 防 范 多 种 DDoS 攻 击, 主 要 包 括 :SYN Flood 攻 击 ICMP Flood 攻 击 SIP Flood 攻 击 UDP Flood 攻 击 tcp-illegal-session 攻 击 HTTP Flood 攻 击 Land 攻 击 Smurf 攻 击 Fraggle 攻 击 WinNuke 攻 击 ICMP 重 定 向 或 不 可 达 报 文 TCP 报 文 标 志 位 ( 如 ACK SYN FIN 等 ) 不 合 法 Ping of Death 攻 击 Tear Drop 攻 击 等 防 范 扫 描 窥 探 攻 击 攻 击 者 通 过 扫 描 窥 探 就 能 大 致 了 解 目 标 系 统 提 供 的 服 务 种 类 和 潜 在 的 安 全 漏 洞, 为 进 一 步 侵 入 系 统 做 好 准 备 SVN 网 关 通 过 比 较 分 析, 可 以 灵 活 高 效 地 检 测 出 这 类 扫 描 窥 探 报 文, 从 而 预 先 避 免 后 续 的 攻 击 行 为 防 范 其 它 攻 击 丰 富 的 用 户 权 限 管 理 方 式 用 户 身 份 认 证 SVN 网 关 除 了 可 以 有 效 防 范 多 种 DDoS 攻 击 和 扫 描 窥 探 外, 还 可 以 有 效 防 范 IP Spoofing 攻 击 带 源 路 由 选 项 的 IP 报 文 攻 击 带 路 由 记 录 选 项 的 IP 报 文 攻 击 利 用 tracert 工 具 窥 探 网 络 结 构 等 其 他 攻 击, 确 保 系 统 访 问 权 的 安 全 SVN 支 持 多 种 用 户 认 证 方 式, 提 供 灵 活 的 授 权 方 式 以 及 细 粒 度 的 访 问 控 制 为 保 证 远 程 接 入 用 户 的 合 法 性,SVN 支 持 多 种 身 份 认 证 方 式 SVN 自 身 支 持 VPNDB(Virtual Private Network Database) 认 证 方 式, 即 在 SVN 上 建 立 本 地 用 户 数 据 库, 对 用 户 名 密 码 进 行 严 格 认 证, 用 户 无 需 另 外 建 立 认 证 系 统 10

13 灵 活 的 用 户 授 权 细 粒 度 的 访 问 控 制 2 产 品 定 位 和 特 点 同 时, 针 对 已 建 设 起 相 对 完 善 的 认 证 体 系 的 企 业,SVN 还 支 持 以 下 外 部 认 证 系 统 : 第 三 方 认 证 服 务 器, 包 括 RADIUS(Remote Authentication Dial in User Service) LDAP(Light Directory Access Protocol) AD(Active Directory) SecurID 数 字 证 书 认 证, 包 括 X.509 v3 数 字 证 书 USBKEY+ 数 字 证 书 SVN 支 持 多 级 证 书, 且 支 持 证 书 的 CRL(Certificate Revocation List) 和 OCSP (Online Certificate Status Protocol) 检 测, 保 证 证 书 的 有 效 和 安 全 除 此 之 外,SVN 还 支 持 本 地 口 令 认 证 短 信 认 证 图 形 码 校 验 和 终 端 标 识 码 校 验, 适 应 各 种 用 户 认 证 环 境 SVN 网 关 提 供 基 于 角 色 / 资 源 关 联 的 授 权 方 式 可 访 问 的 内 网 资 源 被 关 联 到 不 同 的 用 户 角 色 上, 属 于 某 角 色 的 用 户 可 以 访 问 该 角 色 关 联 的 内 网 资 源 通 过 将 可 访 问 资 源 与 具 体 用 户 剥 离, 可 灵 活 应 对 企 业 组 织 架 构 中 人 员 的 调 整, 减 少 管 理 员 权 限 管 理 的 工 作 量 SVN 网 关 提 供 外 部 组 的 授 权 映 射, 能 够 和 企 业 已 有 的 用 户 管 理 系 统 完 美 对 接 对 于 已 经 建 立 起 成 熟 的 IT 环 境 的 企 业, 这 些 企 业 一 般 已 经 具 有 严 格 配 置 的 用 户 权 限 管 理, 这 些 配 置 信 息 可 能 在 LDAP RADIUS 等 认 证 服 务 器 中 以 用 户 组 / 组 织 机 构 等 形 式 存 在 SVN 网 关 提 供 外 部 组 映 射 功 能, 通 过 这 个 功 能, 管 理 员 能 够 将 保 存 在 LDAP RADIUS 等 认 证 服 务 器 中 用 户 组 / 组 织 机 构 等 信 息 映 射 到 SVN 网 关 中,SVN 网 关 将 这 些 用 户 / 用 户 组 信 息 和 具 体 的 可 访 问 资 源 关 联 起 来 完 成 SVN 用 户 的 访 问 授 权 SVN 提 供 基 于 接 入 终 端 安 全 等 级 的 动 态 授 权 方 式 管 理 员 可 以 配 置 在 远 程 用 户 接 入 SVN 网 关 之 前 先 进 行 接 入 终 端 的 安 全 检 查, 并 将 安 全 检 查 结 果 作 为 获 得 用 户 角 色 的 条 件 在 这 种 方 式 下, 接 入 终 端 安 全 等 级 高 的 用 户 可 获 得 更 广 泛 的 内 网 资 源 访 问 权 限, 同 样 的 接 入 用 户 如 果 他 所 使 用 的 接 入 终 端 的 安 全 等 级 较 低 则 可 能 仅 获 得 受 限 的 内 网 资 源 访 问 权 限 除 了 提 供 灵 活 的 用 户 授 权 外,SVN 网 关 还 提 供 基 于 URL IP 地 址 和 端 口 的 访 问 控 制 强 大 的 定 制 开 发 能 力 客 户 端 安 全 组 件 SVN 的 多 媒 体 隧 道 功 能 提 供 定 制 开 发 能 力 跟 多 媒 体 隧 道 关 联 的 客 户 端 安 全 组 件 提 供 二 次 开 发 的 API 接 口, 可 以 将 SVN 的 客 户 端 安 全 组 件 和 上 层 应 用 软 件 进 行 集 成 通 过 二 次 开 发 可 以 满 足 各 种 复 杂 特 殊 的 应 用 场 景 目 前 应 用 较 多 的 是 VoIP 业 务 的 安 全 加 密 网 络 穿 越 的 场 景 SVN 客 户 端 组 件 称 为 安 全 加 密 组 件, 区 别 于 传 统 的 SSL VPN 客 户 端, 集 成 安 全 加 密 组 件 的 客 户 端 软 件 运 行 时, 不 需 要 在 系 统 中 安 装 虚 拟 网 卡 不 修 改 操 作 系 统 的 注 册 表 SVN 支 持 PC 各 种 平 台 的 智 能 手 机 终 端 的 接 入 SVN 通 过 提 供 多 种 跨 平 台 客 户 端 安 全 组 件, 终 端 开 发 商 可 以 根 据 自 身 的 操 作 系 统 类 型 集 成 相 应 平 台 的 组 件 终 端 通 过 使 用 安 全 加 密 组 件 的 网 络 通 信 接 口 实 现 私 网 穿 越 和 安 全 加 密 功 能 11

14 2 产 品 定 位 和 特 点 客 户 端 安 全 加 密 组 件 提 供 以 下 功 能 : 最 佳 的 防 火 墙 NAT 代 理 穿 越 能 力 端 到 端 安 全 加 密, 防 窃 听 封 杀 和 干 扰 自 动 检 测 网 络 穿 越 能 力, 智 能 选 择 SSL 或 UDP 加 密 隧 道 根 据 业 务 需 求, 可 封 装 指 定 的 SIP/RTP/RTCP 等 报 文 通 过 SSL 或 UDP 加 密 隧 道 传 输 客 户 端 安 全 加 密 组 件 支 持 以 下 软 终 端 的 集 成 : Windows 系 列 操 作 系 统 (Windows XP Windows Vista Windows 7 Windows Server 2003 Windows Server 2008) 的 PC 软 终 端 苹 果 (iphone) 安 卓 (Android) 塞 班 (Symbian) 黑 莓 (BlackBerry) 系 列 操 作 系 统 的 手 机 软 终 端 媒 体 数 据 压 缩 针 对 无 线 网 络 带 宽 资 源 紧 张 昂 贵 的 特 点,SVN 安 全 加 密 组 件 还 提 供 了 对 媒 体 数 据 流 进 行 压 缩 的 特 性, 该 特 性 可 以 由 管 理 员 操 作 启 动 或 者 关 闭 特 性 启 动 状 况 下, 在 UDPS 隧 道 中 传 输 的 流 媒 体 报 文 将 被 压 缩, 同 非 压 缩 的 报 文 相 比 较, 报 文 大 小 最 多 可 以 减 少 24 个 字 节, 对 于 负 载 只 有 百 来 个 字 节 的 语 音 数 据 流 报 文, 相 当 于 节 省 带 宽 20% 左 右, 可 以 有 效 的 减 轻 在 网 络 状 况 不 好 的 情 况 下 的 报 文 丢 失 和 语 音 延 迟 问 题 同 时, 由 于 启 用 压 缩 后 报 文 大 小 变 小, 加 快 了 该 报 文 的 后 续 处 理 速 度, 比 如 报 文 加 密 转 发 等 等, 从 而 提 高 了 SVN 网 关 的 处 理 效 率 另 外, 报 文 压 缩 也 相 应 的 提 高 了 传 输 的 安 全 性, 因 为 报 文 中 的 很 多 重 要 信 息 被 压 缩, 即 使 压 缩 报 文 被 中 途 拦 截, 且 拦 截 者 知 道 压 缩 的 原 理, 也 无 法 将 报 文 还 原 出 来, 从 而 无 法 进 行 相 应 的 篡 改 和 攻 击 灵 活 的 组 网 适 应 能 力 SVN 支 持 丰 富 的 VPN 路 由 协 议, 支 持 虚 拟 防 火 墙 功 能, 能 够 很 方 便 地 适 应 各 种 组 网 丰 富 的 VPN 特 性 SSL VPN 可 以 使 企 事 业 单 位 政 府 机 关 等 工 作 人 员 在 居 家 办 公 外 地 出 差 移 动 办 公 等 各 种 环 境 下 方 便 地 接 入 到 企 业 办 公 网 络, 访 问 办 公 内 网 中 各 项 业 务 资 源 IPSec VPN 可 以 对 不 同 分 支 机 构 网 络 之 间 的 数 据 通 信 提 供 安 全 顺 畅 的 VPN 加 密 保 护, 也 可 以 对 终 端 用 户 提 供 IPSec VPN 接 入 企 业 内 网 的 功 能 同 时 手 机 用 户 可 以 使 用 自 带 的 IPSec VPN 客 户 端 实 现 随 处 接 入 企 业 内 网, 特 别 适 合 已 经 习 惯 于 使 用 IPSec VPN 客 户 端 软 件 的 用 户 L2TP VPN 用 户 PC 上 只 要 安 装 VPN Client 或 者 使 用 PC 自 带 的 L2TP 客 户 端 就 可 以 方 便 的 接 入 企 业 内 网 用 户 也 可 以 通 过 手 机 自 带 的 L2TP over IPSec VPN 等 软 件 访 问 企 业 内 网 资 源 GRE VPN 12

15 2.2.6 卓 越 的 性 能 2 产 品 定 位 和 特 点 主 要 用 于 两 个 边 缘 路 由 器 或 者 终 端 系 统 与 边 缘 路 由 器 之 间 定 期 的 安 全 通 信 链 接, 适 合 一 些 小 型 点 对 点 的 网 络 互 连, 实 时 性 要 求 不 高, 要 求 提 供 地 址 空 间 重 叠 支 持 的 网 络 MPLS VPN 可 以 直 接 作 为 PE(Provider Edge) 设 备 挂 接 在 MPLS 网 络 里 面, 提 供 对 MPLS 流 量 的 边 缘 汇 聚 服 务 丰 富 的 路 由 功 能 SVN 支 持 IPv6 动 态 路 由 MPLS VPN 等 多 种 丰 富 的 路 由 协 议, 可 节 省 用 户 投 资, 降 低 组 网 成 本 SVN 可 以 配 置 静 态 路 由, 支 持 RIP-1 RIP-2 OSPF BGP 等 动 态 路 由 协 议, 还 具 有 根 据 用 户 制 定 的 策 略 进 行 路 由 选 择 的 机 制 SVN 可 参 与 路 由 协 议 运 算, 实 现 多 条 链 路 负 载 均 衡, 与 路 由 设 备 实 现 无 缝 对 接 虚 拟 防 火 墙 SVN 针 对 小 型 私 有 网 络 的 特 点, 提 出 多 实 例 解 决 方 案 即 将 一 台 SVN 从 逻 辑 上 划 分 为 多 台 虚 拟 防 火 墙, 分 别 为 多 个 小 型 私 有 网 络 提 供 独 立 的 安 全 保 障 对 于 网 络 运 营 商, 可 使 用 SVN 向 外 出 租 网 络 安 全 保 障 服 务 VPN 实 例 为 虚 拟 防 火 墙 提 供 相 互 隔 离 的 VPN 路 由,VPN 实 例 与 虚 拟 防 火 墙 是 一 一 对 应 的 目 前,SVN 支 持 IPSec 多 实 例 L2TP 多 实 例 NAT 多 实 例 LAN/WAN/DMZ 区 域 多 实 例 ACL 多 实 例 Session 多 实 例 黑 名 单 多 实 例 和 路 由 多 实 例 SVN 基 于 多 核 处 理 器 的 硬 件 构 架, 保 障 了 系 统 的 整 体 性 能 SVN2000 系 列 最 大 支 持 并 发 用 户 数 达 2500 个,SVN5000 系 列 最 大 支 持 并 发 用 户 数 达 个 SVN2000 系 列 每 秒 可 处 理 的 SSL 连 接 数 达 500 个,SVN5000 系 列 每 秒 可 处 理 的 SSL 连 接 数 达 6000 个 各 个 产 品 型 号 的 具 体 性 能 规 格 请 参 见 7.1 性 能 指 标 SVN5000 通 过 硬 件 加 密 卡 实 现 SSL 运 算, 具 备 极 高 的 SSL 处 理 能 力, 实 现 内 核 级 的 密 钥 交 换 和 批 量 加 密, 保 证 系 统 响 应 毫 秒 级 的 延 迟 通 过 UDP 报 文 压 缩 功 能 将 传 输 的 数 据 进 行 压 缩 以 降 低 网 络 时 延, 提 高 网 络 使 用 率, 为 用 户 提 供 更 经 济 和 更 高 性 能 的 数 据 通 信 服 务 电 信 级 的 可 靠 性 设 计 SVN 提 供 电 源 备 份 风 扇 备 份 整 机 双 机 热 备 份 和 链 路 备 份, 保 证 了 设 备 的 高 可 靠 性 设 备 级 可 靠 性 SVN5000 系 列 产 品 采 用 双 电 源 模 块, 两 个 电 源 模 块 可 以 互 相 热 备 份, 并 且 支 持 热 插 拔, 电 源 倒 换 时 不 影 响 系 统 运 行 风 扇 系 统 采 用 N+1 冗 余 设 计, 共 提 供 6 个 系 统 风 扇, 具 有 独 立 的 风 扇 框 同 时 支 持 温 度 监 控 风 扇 热 插 拔, 可 适 应 恶 劣 环 境 应 用 13

16 2 产 品 定 位 和 特 点 网 络 级 可 靠 性 支 持 双 机 热 备 份 功 能, 一 个 备 份 组 内 包 括 一 个 主 用 设 备 和 一 个 备 用 设 备 HRP 协 议 负 责 在 主 / 备 设 备 之 间 备 份 关 键 配 置 命 令 和 会 话 表 状 态 信 息, 从 而 确 保 主 用 SVN 出 现 故 障 时 能 由 备 用 SVN 平 滑 地 接 替 工 作 链 路 级 可 靠 性 增 强 的 易 用 功 能 虚 拟 网 关 支 持 定 制 页 面 配 置 向 导 可 控 的 用 户 自 助 密 码 管 理 支 持 将 多 个 物 理 上 的 以 太 网 接 口 进 行 捆 绑 聚 合 成 为 一 个 逻 辑 上 的 Eth-Trunk 接 口, 提 高 了 点 对 点 之 间 的 最 大 数 据 传 输 效 率 并 且, 如 果 Eth-Trunk 接 口 中 的 某 一 条 链 路 出 现 问 题, 其 他 链 路 将 分 担 其 流 量, 可 广 泛 适 用 于 各 种 组 网 环 境, 满 足 了 大 流 量 需 求 也 提 高 了 可 靠 性 SVN 支 持 虚 拟 网 关 定 制 页 面 配 置 向 导 和 可 控 的 用 户 自 助 密 码 管 理 SVN 网 关 支 持 虚 拟 网 关 功 能, 可 以 为 不 同 的 组 织 机 构 设 置 虚 拟 化 逻 辑 独 立 的 SVN 网 关 实 现 登 录 的 隔 离 不 同 的 虚 拟 网 关 可 以 设 置 独 立 的 IP 地 址 或 者 域 名 登 录 地 址, 并 进 行 完 全 独 立 的 管 理 配 置, 实 现 完 全 的 访 问 逻 辑 隔 离, 让 各 组 织 机 构 的 用 户 感 觉 类 似 有 单 独 的 一 台 SSL VPN 设 备 在 为 其 服 务 可 以 为 每 个 虚 拟 网 关 配 置 独 立 的 虚 拟 网 关 管 理 员, 该 类 型 的 管 理 员 可 以 对 所 属 的 虚 拟 网 关 进 行 独 立 的 配 置 和 管 理 SVN 网 关 支 持 对 各 虚 拟 网 关 进 行 独 立 的 页 面 定 制,SVN 的 页 面 定 制 功 能 包 含 : 定 制 用 户 登 录 页 面 的 窗 口 Title 页 面 Logo 图 片 和 欢 迎 辞 定 制 用 户 登 录 后 的 页 面 跳 转 完 整 的 用 户 登 录 页 面 定 制, 可 以 将 SVN 的 用 户 登 录 框 集 成 到 已 有 的 Portal 页 面 SVN 支 持 对 用 户 常 用 的 关 键 业 务 进 行 配 置 指 导, 在 Web 配 置 界 面 上 提 供 配 置 向 导, 通 过 step by step 的 方 式 快 速 的 指 导 入 门 级 用 户 完 成 基 本 的 配 置 SVN 提 供 如 下 配 置 向 导 : SSL VPN 远 程 接 入 业 务 的 配 置 向 导 IPSec VPN 远 程 接 入 业 务 的 配 置 向 导 管 理 员 可 以 灵 活 指 定 用 户 自 主 的 密 码 管 理 策 略, 可 以 大 幅 简 化 大 量 用 户 的 配 置 管 理 工 作, 提 高 企 业 的 IT 支 持 中 心 的 效 率 允 许 / 禁 止 用 户 自 助 修 改 密 码 14

17 2 产 品 定 位 和 特 点 用 户 密 码 强 度 可 以 配 置 用 户 密 码 有 效 期 控 制 超 时 前 的 提 醒 配 置 要 求 用 户 首 次 登 录 修 改 密 码 15

18 3 产 品 架 构 3 产 品 架 构 关 于 本 章 3.1 硬 件 结 构 SVN 由 一 体 化 机 箱 和 扩 展 插 槽 组 成, 提 供 风 扇 电 源 其 中 SVN5000 系 列 产 品 的 扩 展 插 槽 支 持 插 入 加 密 卡 3.2 软 件 结 构 软 件 系 统 为 模 块 化 结 构, 各 模 块 完 成 相 应 的 特 定 功 能 并 协 同 工 作 3.1 硬 件 结 构 产 品 外 观 SVN2000 前 面 板 SVN 由 一 体 化 机 箱 和 扩 展 插 槽 组 成, 提 供 风 扇 电 源 其 中 SVN5000 系 列 产 品 的 扩 展 插 槽 支 持 插 入 加 密 卡 介 绍 SVN 的 外 观, 包 括 前 面 板 后 面 板 以 及 接 口 等 情 况 SVN2000 由 一 体 化 机 箱 固 定 接 口 卡 SD 卡 组 成 设 备 的 一 体 化 机 箱 尺 寸 为 442mm 414mm 43.6mm( 宽 深 高 ), 可 以 安 装 在 19 英 寸 标 准 机 柜 中 SVN5000 由 一 体 化 机 箱 加 密 卡 组 成 设 备 的 一 体 化 机 箱 尺 寸 为 442mm 560mm 43.6mm( 宽 深 高 ), 可 以 安 装 在 19 英 寸 标 准 机 柜 中 SVN2000 分 为 直 流 机 型 和 交 流 机 型, 前 面 板 如 图 3-1 所 示 16

19 3 产 品 架 构 图 3-1 SVN2000 前 面 板 1. 交 流 电 源 插 座 2. 交 流 电 源 开 关 3. 系 统 复 位 键 4.Console 接 口 5.Micro-SD 卡 接 口 6.USB2.0 接 口 7.GE Combo 接 口 Micro-SD 卡 接 口 贴 有 防 拆 标 签, 请 不 要 随 意 撕 掉, 否 则 可 能 导 致 机 密 信 息 被 窃 取, 造 成 重 大 损 失 SVN2000 后 面 板 SVN2000 后 面 板 如 图 3-2 所 示 图 3-2 SVN2000 后 面 板 1.MIC1 插 槽 2.MIC2 插 槽 3.MIC3 插 槽 4.MIC4 插 槽 5.FIC5 插 槽 ( 内 置 4 GE 电 接 口 卡 ) 6.FIC6 插 槽 7. 槽 位 标 识 8. 接 地 端 子 SVN5000 前 面 板 SVN5000 前 面 板 如 图 3-3 所 示 17

20 3 产 品 架 构 图 3-3 SVN5000 前 面 板 1. 防 静 电 手 腕 带 插 孔 2. 系 统 复 位 键 3. 指 示 灯 4.Micro-SD 卡 接 口 5.FIC2 插 槽 6. 加 密 卡 7. 光 电 互 斥 接 口 8.10/100/1000M 以 太 网 电 接 口 9. 带 外 管 理 口 10.Console 接 口 11.USB 2.0 接 口 SVN5530/5560 支 持 2 个 FIC 接 口 卡 扩 展 插 槽 其 中 FIC1 插 槽 标 配 加 密 卡 图 3-3 中 2 号 系 统 复 位 键 目 前 只 有 热 重 启 功 能 SVN5530/5560 暂 不 支 持 图 3-3 所 示 4 号 Micro-SD 卡 插 槽 SVN5000 后 面 板 SVN5530/5560 的 后 面 板 如 图 3-4 和 图 3-5 所 示 图 3-4 SVN5000 直 流 机 型 后 面 板 图 3-5 SVN5000 交 流 机 型 后 面 板 1. 接 地 端 子 2. 电 源 指 示 灯 3. 电 源 开 关 4. 交 流 电 源 线 扎 线 孔 5. 电 源 接 口 6. 风 扇 框 18

21 3 产 品 架 构 加 密 卡 外 观 加 密 卡 的 主 要 功 能 是 用 于 实 现 SSL VPN 硬 件 加 密, 为 SVN 提 供 高 性 能 的 SSL VPN 协 议 处 理 能 力 只 有 SVN5000 系 列 产 品 支 持 在 FIC 扩 展 插 槽 中 插 入 加 密 卡 加 密 卡 的 外 观 如 图 3-6 所 示 图 3-6 加 密 卡 外 观 图 技 术 指 标 加 密 卡 的 技 术 指 标 如 表 3-1 所 示 表 3-1 加 密 卡 技 术 指 标 项 目 加 密 卡 丝 印 加 密 卡 尺 寸 ( 宽 深 高 ) 加 密 卡 功 耗 可 安 装 槽 位 描 述 HSVA 190.0mm 160.0mm 19.8mm 6W 所 有 FIC 扩 展 插 槽 说 明 SVN5000 系 列 产 品 标 配 加 密 卡, 固 定 安 装 在 FIC1 插 槽 系 统 配 置 介 绍 SVN 主 要 硬 件 配 置 和 环 境 要 求 SVN 的 系 统 配 置 如 表 3-2 所 示 表 3-2 SVN 的 系 统 参 数 和 整 机 设 备 参 数 项 目 SVN2000 SVN5000 扩 展 插 槽 4 个 MIC 扩 展 插 槽 2 个 FIC 扩 展 插 槽 说 明 2 个 FIC 扩 展 插 槽, 用 于 插 加 密 卡 19

22 3 产 品 架 构 项 目 SVN2000 SVN5000 FIC5 扩 展 插 槽 内 置 4 GE 电 接 口 卡, 其 他 扩 展 插 槽 暂 不 使 用 固 定 接 口 1 个 Console 接 口 1 个 SD 接 口 2 个 USB2.0 接 口 2 个 GE Combo 接 口 和 4 个 GE 电 接 口, 其 中 4 个 GE 电 接 口 位 于 一 个 FIC 扩 展 插 槽 中 1 个 Console 接 口 1 个 10/100/1000M 带 外 管 理 口 2 个 USB 2.0 接 口 4 个 GE Combo 接 口 和 5 个 GE 电 接 口 CPU XLS MHz XLR MHz 内 存 DDR2 2GB DDR2 8GB NVRAM 128KB 256KB Flash Memory 64MB 64MB CF 卡 - 2GB SD 卡 2GB - 外 型 尺 寸 (W D H) 442mm 414mm 43.6mm 442mm 560mm 43.6mm 重 量 ( 满 配 ) 5.4kg 8.4kg 额 定 输 入 电 压 最 大 输 入 电 压 AC:100V~240V (50Hz/60Hz) DC:- AC:90V~264V (50Hz/60Hz) DC:- AC:100V~240V (50Hz/60Hz) DC:-48V~-60V AC:90V~264V(47Hz~ 63Hz) DC:-36V~-72V 整 机 最 大 功 耗 100W 150W 工 作 环 境 温 度 长 期 :0 ~45 短 期 :-5 ~55 长 期 :0 ~45 短 期 :-5 ~55 工 作 环 境 湿 度 10%RH~90%RH, 非 冷 凝 5%RH~95%RH, 非 冷 凝 3.2 软 件 结 构 软 件 系 统 为 模 块 化 结 构, 各 模 块 完 成 相 应 的 特 定 功 能 并 协 同 工 作 20

23 3 产 品 架 构 安 全 接 入 子 系 统 访 问 控 制 子 系 统 配 置 管 理 子 系 统 系 统 支 撑 子 系 统 驱 动 模 块 和 硬 件 接 口 安 全 接 入 子 系 统 对 PC 智 能 移 动 手 机 等 终 端 的 安 全 接 入 提 供 保 障 实 现 的 主 要 功 能 有 : 多 媒 体 隧 道 网 络 扩 展 Web 代 理 端 口 转 发 文 件 共 享 和 终 端 安 全 访 问 控 制 子 系 统 通 过 多 种 认 证 授 权 方 式 对 访 问 内 网 的 用 户 或 者 客 户 端 进 行 访 问 控 制, 除 此 之 外, 还 通 过 策 略 来 过 滤 用 户 可 以 访 问 的 资 源 和 进 行 流 控 制 提 供 的 认 证 授 权 方 式 有 :VPNDB RADIUS LDAP SecurID AD 和 证 书 等 多 种 认 证 授 权 方 式 配 置 管 理 子 系 统 实 现 与 用 户 进 行 交 互 并 提 供 了 配 置 测 试 维 护 等 接 口 实 现 了 配 置 管 理 设 备 管 理 文 件 系 统 管 理 信 息 中 心 对 日 志 和 告 警 的 管 理 软 件 补 丁 管 理 和 VPNDB 数 据 库 管 理 系 统 支 撑 子 系 统 对 整 个 系 统 进 行 支 撑 实 现 的 主 要 功 能 有 : 路 由 功 能 协 议 栈 防 火 墙 功 能 ACL 和 IPSec 提 供 软 件 和 硬 件 进 行 连 接 的 基 本 支 撑 21

24 4 产 品 功 能 4 产 品 功 能 提 供 SVN 支 持 功 能 一 览 表, 方 便 快 速 查 阅 SVN 系 列 产 品 支 持 的 特 性 如 表 4-1 所 示 表 4-1 SVN 系 列 产 品 支 持 的 特 性 分 类 SSL VPN 功 能 说 明 多 媒 体 隧 道 支 持 TLS 和 TLS+UDPs 两 种 隧 道 传 输 模 式 支 持 UDP 业 务 快 转 支 持 UDP 报 文 压 缩 网 络 扩 展 所 有 复 杂 内 网 应 用 支 持 DHCP 方 式 或 地 址 池 方 式 分 配 客 户 端 虚 拟 IP 地 址 Web 代 理 Web 链 接 支 持 用 户 绑 定 虚 拟 IP 地 址 支 持 组 绑 定 虚 拟 IP 地 址 池 支 持 三 种 模 式 : 全 路 由 模 式 分 离 模 式 和 手 动 模 式 端 口 转 发 单 端 口 单 服 务 器 应 用 :Telnet MS RDP SSH VNC 等 单 端 口 多 服 务 器 应 用 :Lotus Notes 多 端 口 应 用 : 动 态 端 口 应 用 :FTP Oracle 文 件 共 享 SMB 文 件 系 统 (Windows) NFS 文 件 系 统 (Linux) 文 件 的 下 载 浏 览 上 传 改 名 删 除 目 录 的 新 建 浏 览 改 名 删 除 终 端 安 全 支 持 终 端 标 识 码, 可 以 基 于 终 端 硬 件 特 征 制 定 接 入 策 略 22

25 4 产 品 功 能 分 类 说 明 支 持 主 机 检 查, 在 接 入 时 检 查 终 端 的 操 作 系 统 版 本 补 丁 版 本 杀 毒 软 件 防 火 墙 软 件 等, 实 现 基 于 终 端 安 全 级 别 的 动 态 授 权 支 持 缓 存 清 理, 在 退 出 SSL VPN 连 接 后 清 理 终 端 上 的 访 问 痕 迹, 防 止 机 密 信 息 泄 露 认 证 VPNDB RADIUS LDAP AD SecurID X.509 v3 数 字 证 书 USBKEY+ 数 字 证 书 授 权 VPNDB RADIUS LDAP AD SecurID 策 略 虚 拟 网 关 源 IP 型 用 户 源 IP 型 用 户 目 的 IP 型 用 户 URL 型 组 源 IP 型 组 目 的 IP 型 组 URL 型 用 户 密 码 策 略 首 次 登 录 可 强 制 修 改 用 户 密 码 复 杂 度 策 略 可 定 制 设 置 和 提 醒 定 期 修 改 防 暴 力 破 解 锁 定 具 有 相 同 用 户 名 的 用 户 锁 定 来 自 用 一 源 IP 地 址 的 用 户 管 理 员 可 解 锁 指 定 的 用 户 用 户 抓 包 同 一 时 间 只 可 对 一 个 建 立 稳 态 连 接 的 用 户 进 行 抓 包 用 户 锁 定 用 户 锁 定 用 户 解 锁 密 码 算 法 加 密 算 法 :3DES\DES RC4 AES 非 对 称 密 码 算 法 :RSA Hash 算 法 :MD5 SHA-1 23

26 4 产 品 功 能 分 类 说 明 协 议 版 本 SSL2.0 SSL3.0 TLS1.0 防 火 墙 功 能 ACL 和 安 全 策 略 支 持 基 本 ACL 和 高 级 ACL 支 持 基 于 时 间 段 的 ACL 支 持 基 于 MAC 地 址 的 ACL 支 持 动 态 维 护 ACL 规 则 支 持 黑 名 单 IP 和 MAC 地 址 绑 定 支 持 应 用 层 过 滤 提 供 状 态 检 测 提 供 端 口 映 射 机 制 NAT 地 址 转 换 (NAT 和 PAT) 提 供 内 部 服 务 器 端 口 级 NAT 服 务 器 支 持 多 种 NAT ALG 攻 击 防 范 防 范 多 种 DoS 和 DDoS 攻 击 :SYN Flood ICMP Flood UDP Flood Get Flood WinNuke ICMP 重 定 向 和 不 可 达 报 文 Land Smurf Fraggle IP Spoofing 等 防 范 扫 描 窥 探 : 包 括 地 址 扫 描 端 口 扫 描 IP 源 站 选 路 选 项 IP 路 由 记 录 选 项 时 间 戳 刺 探 路 由 畸 形 报 文 攻 击 : 畸 形 IP 分 片 报 文 畸 形 TCP 报 文 超 大 ICMP 报 文 TearDrop Ping Of Death AAA 支 持 RADIUS 协 议, 提 供 PAP 和 CHAP 验 证 方 式 支 持 提 供 PPP Login 登 录 用 户 认 证 支 持 本 地 认 证 支 持 多 ISP 虚 拟 防 火 墙 支 持 虚 拟 防 火 墙 接 入 Ethernet 支 持 三 层 以 太 网 接 口 支 持 三 层 以 太 网 子 接 口 Eth-Trunk 支 持 三 层 Eth-Trunk 接 口 IP 业 务 ARP 静 态 ARP 支 持 三 层 Eth-Trunk 子 接 口 动 态 ARP ARP 代 理 免 费 ARP 24

27 4 产 品 功 能 分 类 说 明 DNS 支 持 本 地 静 态 域 名 支 持 DNS Client 支 持 DNS 代 理 支 持 DDNS 动 态 域 名 服 务 DHCP 支 持 DHCP Server 支 持 DHCP Client 支 持 DHCP 中 继 支 持 DHCP Snooping IP 单 播 策 略 路 由 支 持 IP 单 播 策 略 路 由 IPV6 IPv6 over IPv4 IPv4 over IPv6 路 由 IPv4 路 由 支 持 静 态 路 由 支 持 RIP OSPF BGP ISIS 等 动 态 路 由 支 持 路 由 策 略 和 路 由 叠 代 IPv6 路 由 支 持 静 态 路 由 支 持 RIPng OSPFv3 BGP4+ ISISv6 等 动 态 路 由 支 持 路 由 策 略 和 路 由 叠 代 系 统 管 理 信 息 中 心 对 日 志 告 警 Debug 信 息 进 行 管 理 和 输 出 SNMP 支 持 Snmp v1 支 持 Snmp v2c 支 持 Snmp v3 Web 管 理 支 持 通 过 HTTP 协 议 对 设 备 进 行 Web 管 理 支 持 通 过 HTTPS 协 议 对 设 备 进 行 Web 管 理 NTP 支 持 NTP 客 户 端 / 服 务 器 服 务 方 式 支 持 时 钟 对 等 体 服 务 方 式 支 持 NTP 局 域 网 广 播 服 务 方 式 支 持 NTP 组 播 服 务 方 式 支 持 NTP v3 协 议, 兼 容 v2 和 v1 协 议 Ping/Tracert 支 持 Ping/Tracert 维 护 和 可 靠 性 远 程 抓 包 支 持 远 程 抓 包 端 口 映 射 支 持 端 口 映 射 双 机 热 备 份 支 持 双 机 热 备 份 25

28 4 产 品 功 能 分 类 说 明 Link-Group 支 持 Link-Group MPLS&VPN 电 源 1+1 备 份 多 种 升 级 方 式 BGP/MPLS IP VPN 支 持 电 源 1+1 备 份 Web 方 式 升 级 FTP 方 式 升 级 TFTP 方 式 升 级 BootROM 方 式 升 级 支 持 BGP/MPLS IP VPN L2TP VPN 支 持 L2TP VPN IPSec VPN 支 持 IPSec VPN GRE VPN 支 持 GRE VPN CA 证 书 支 持 CA 证 书 QoS 流 量 监 管 支 持 流 量 监 管 流 量 整 形 支 持 流 量 整 形 接 口 限 速 支 持 接 口 限 速 拥 塞 管 理 支 持 拥 塞 管 理 拥 塞 避 免 支 持 拥 塞 避 免 基 于 类 的 QoS 支 持 基 于 类 的 QoS 日 志 系 统 日 志 系 统 重 启 记 录 网 口 状 态 记 录 温 度 告 警 记 录 风 扇 坏 记 录 License 导 入 记 录 用 户 日 志 上 下 线 时 间 登 录 失 败 记 录 操 作 行 为 管 理 员 日 志 上 下 线 时 间 登 录 失 败 记 录 操 作 行 为 日 志 特 性 分 级 查 看 26

29 4 产 品 功 能 分 类 说 明 日 志 导 出 条 件 查 询 27

30 5 产 品 和 应 用 场 景 5 产 品 和 应 用 场 景 关 于 本 章 5.1 移 动 办 公 组 网 应 用 通 过 SVN, 用 户 可 以 在 任 何 地 点 安 全 地 访 问 管 理 员 配 置 的 网 络 资 源, 实 现 真 正 的 移 动 办 公 5.2 VoIP 私 网 穿 越 组 网 应 用 通 过 在 运 营 商 侧 部 署 SVN, 将 VoIP 客 户 端 软 件 与 客 户 端 安 全 组 件 集 成, 用 户 在 启 用 IMS(IP Multimedia Subsystem) 业 务 时, 能 够 不 受 NAT 限 制 穿 越 防 火 墙 和 HTTP 代 理 设 备, 正 常 使 用 IMS 业 务 5.3 VoIP 加 密 保 护 组 网 应 用 当 用 户 进 行 语 音 呼 叫 收 发 即 时 消 息 时 由 SVN 完 成 消 息 的 加 密 和 解 密, 确 保 用 户 通 信 的 安 全 性 5.4 作 为 IPSec 设 备 进 行 总 部 到 分 支 机 构 的 互 联 组 网 应 用 SVN1 与 SVN2 之 间 建 立 IPSec 隧 道, 公 司 总 部 和 分 支 机 构 能 够 通 过 IPSec VPN 互 访 资 源 5.5 作 为 NAT Server 设 备 提 供 外 网 到 内 网 服 务 器 的 访 问 组 网 应 用 在 企 业 内 网 部 署 了 一 台 Web 服 务 器, 其 真 实 IP 是 私 网 地 址, 通 过 NAT Server 功 能 公 网 用 户 可 以 通 过 一 个 公 网 地 址 来 访 问 该 Web 服 务 器 5.1 移 动 办 公 组 网 应 用 通 过 SVN, 用 户 可 以 在 任 何 地 点 安 全 地 访 问 管 理 员 配 置 的 网 络 资 源, 实 现 真 正 的 移 动 办 公 智 能 手 机 移 动 办 公 组 网 应 用 SVN 可 以 与 智 能 手 机 配 合 使 用, 在 不 安 全 的 公 共 网 络 上 构 建 安 全 的 多 媒 体 隧 道, 满 足 大 量 智 能 手 机 移 动 办 公 用 户 的 接 入 需 求, 同 时 保 障 数 据 的 传 输 安 全 28

31 5 产 品 和 应 用 场 景 如 图 5-1 所 示, 智 能 手 机 通 过 自 带 的 L2TP 等 VPN 软 件, 安 全 的 接 入 企 业 内 网 图 5-1 智 能 手 机 移 动 办 公 组 网 图 固 定 终 端 移 动 办 公 组 网 应 用 固 定 终 端 移 动 办 公 用 户 通 过 网 络 浏 览 器 或 者 客 户 端 软 件, 就 可 以 实 现 安 全 地 访 问 管 理 员 配 置 的 网 络 资 源 如 图 5-2 所 示, 移 动 办 公 用 户 通 过 SSL 通 道, 安 全 的 接 入 企 业 内 网 图 5-2 固 定 终 端 移 动 办 公 组 网 图 29

32 5 产 品 和 应 用 场 景 5.2 VoIP 私 网 穿 越 组 网 应 用 通 过 在 运 营 商 侧 部 署 SVN, 将 VoIP 客 户 端 软 件 与 客 户 端 安 全 组 件 集 成, 用 户 在 启 用 IMS(IP Multimedia Subsystem) 业 务 时, 能 够 不 受 NAT 限 制 穿 越 防 火 墙 和 HTTP 代 理 设 备, 正 常 使 用 IMS 业 务 IMS 由 3GPP(3rd Generation Partnership Project) 在 R5 阶 段 引 入, 目 的 是 将 Internet 的 体 验 引 入 到 移 动 网 络, 结 合 两 者 的 优 点 IMS 问 世 之 后 立 即 得 到 了 3GPP2 ETSI (European Telecommunications Standards Institute) TISPAN(Telecommunications and Internet converged Services and Protocols for Advanced Networking) ITU-T(International Telecommunication Union-Telecommunication Standardization Sector) 等 众 多 标 准 化 组 织 的 认 同,IMS 核 心 架 构 也 得 到 了 这 些 组 织 的 完 全 重 用 IMS 除 全 面 考 虑 了 会 话 控 制 业 务 提 供 业 务 触 发 移 动 性 计 费 寻 址 方 式 等 特 性 之 外, 还 考 虑 了 QoS(Quality of Service) 安 全 NAT(Network Address Translation) 穿 透 与 PSTN(Public Switched Telephone Network) 和 PLMN(Public Land Mobile Network) 网 络 互 通 固 定 移 动 融 合 等 问 题 IMS 是 IP 网 上 进 行 多 媒 体 通 信 的 可 运 营 可 管 理 可 增 值 的 一 种 完 整 解 决 方 案 在 企 业 侧 部 署 IMS 业 务 时, 面 临 以 下 威 胁 : 正 常 使 用 IMS 业 务 需 要 开 放 大 量 的 端 口, 而 企 业 侧 防 火 墙 一 般 不 开 放 10000~ 之 间 的 UDP 端 口 号, 导 致 媒 体 流 无 法 穿 越 防 火 墙 大 中 型 企 业 的 用 户 普 遍 通 过 NAT/HTTP 代 理 上 网,SIP/RTP 报 文 无 法 穿 越 NAT/HTTP 代 理 设 备 为 了 解 决 以 上 威 胁, 采 取 以 下 解 决 方 案 : 在 SVN 设 备 上 配 置 多 媒 体 隧 道 功 能, 当 用 户 登 录 VoIP 客 户 端 软 件 时, 客 户 端 安 全 组 件 与 SVN 之 间 建 立 SSL 隧 道, 所 有 的 VoIP 通 信 数 据 都 通 过 此 SSL 隧 道 传 输 企 业 侧 防 火 墙 只 要 开 放 443 端 口, 可 以 实 现 媒 体 流 穿 越 防 火 墙 的 需 求 将 SIP/RTP 报 文 封 装, 并 通 过 SSL 隧 道 传 输, 可 以 实 现 穿 越 NAT 设 备 的 需 求 由 于 SIP/RTP 报 文 是 基 于 UDP 的,HTTP 代 理 是 基 于 TCP 的, 将 SSL 隧 道 配 置 成 TCP 和 UDP 的 传 输 模 式, 可 以 实 现 SIP/RTP 报 文 穿 越 HTTP 代 理 设 备 的 需 求 图 5-3 VoIP 私 网 穿 越 组 网 图 30

33 5 产 品 和 应 用 场 景 5.3 VoIP 加 密 保 护 组 网 应 用 当 用 户 进 行 语 音 呼 叫 收 发 即 时 消 息 时 由 SVN 完 成 消 息 的 加 密 和 解 密, 确 保 用 户 通 信 的 安 全 性 图 5-4 VoIP 加 密 保 护 组 网 图 VoIP 加 密 保 护 组 网 应 用 方 案 组 网 图 如 图 5-4 所 示 SVN 作 为 IMS 网 络 中 的 标 准 网 元, 实 现 多 媒 体 数 据 在 复 杂 网 络 下 的 传 输, 为 通 讯 过 程 中 的 报 文 传 输 提 供 安 全 保 障 用 户 只 需 在 手 机 终 端 上 运 行 与 客 户 端 安 全 组 件 集 成 的 软 件, 客 户 端 安 全 组 件 会 自 动 与 运 营 商 部 署 的 SVN 建 立 加 密 通 道 提 供 语 音 IM 等 端 到 端 加 密 的 通 信 安 全 解 决 方 案 用 户 在 使 用 加 密 业 务 过 程 中, 体 验 上 与 使 用 非 加 密 业 务 完 全 一 样 5.4 作 为 IPSec 设 备 进 行 总 部 到 分 支 机 构 的 互 联 组 网 应 用 SVN1 与 SVN2 之 间 建 立 IPSec 隧 道, 公 司 总 部 和 分 支 机 构 能 够 通 过 IPSec VPN 互 访 资 源 31

34 5 产 品 和 应 用 场 景 图 5-5 作 为 IPSec 设 备 进 行 总 部 到 分 支 机 构 的 互 联 组 网 图 5.5 作 为 NAT Server 设 备 提 供 外 网 到 内 网 服 务 器 的 访 问 组 网 应 用 在 企 业 内 网 部 署 了 一 台 Web 服 务 器, 其 真 实 IP 是 私 网 地 址, 通 过 NAT Server 功 能 公 网 用 户 可 以 通 过 一 个 公 网 地 址 来 访 问 该 Web 服 务 器 图 5-6 作 为 NAT Server 设 备 提 供 外 网 到 内 网 服 务 器 的 访 问 组 网 图 32

35 6 操 作 和 维 护 6 操 作 和 维 护 关 于 本 章 6.1 多 种 设 备 配 置 管 理 方 式 SVN 提 供 Web 登 录 Console 登 录 Telnet 登 录 SSH 登 录 对 设 备 进 行 配 置 管 理, 还 支 持 使 用 网 管 设 备 进 行 管 理 6.2 丰 富 的 系 统 维 护 功 能 SVN 提 供 远 程 抓 包 丢 包 统 计 多 种 升 级 方 式 强 大 的 Debug 功 能 灾 备 配 置 文 件 等 系 统 维 护 功 能, 为 故 障 分 析 和 定 位 提 供 了 有 效 的 数 据 6.3 增 强 的 日 志 管 理 SVN 能 输 出 文 本 方 式 的 Syslog 日 志, 为 设 备 事 件 的 记 录 提 供 了 强 有 力 的 支 撑 6.1 多 种 设 备 配 置 管 理 方 式 Web Console SVN 提 供 Web 登 录 Console 登 录 Telnet 登 录 SSH 登 录 对 设 备 进 行 配 置 管 理, 还 支 持 使 用 网 管 设 备 进 行 管 理 Web 配 置 方 式 基 于 sweb 平 台 SVN 提 供 基 于 GUI(Graphic User Interface) 的 Web 管 理 界 面, 为 用 户 提 供 友 好 的 配 置 和 管 理 界 面 SVN 支 持 通 过 HTTP(Hyper Text Transfer Protocol) 和 HTTPS(Secure Hyper Text Transfer Protocol) 协 议 访 问 Web 管 理 界 面 在 Web 管 理 界 面 中, 可 以 配 置 网 络 区 域 ( 包 括 LAN WAN 和 DMZ) ACL(Access Control List) NAT(Network Address Translation) 攻 击 防 范 黑 名 单 SSL VPN IPSec VPN 策 略 路 由 负 载 均 衡 双 机 热 备 等 功 能 和 各 种 统 计 参 数 支 持 配 置 终 端 与 Console 口 相 连 后, 在 配 置 终 端 上 对 设 备 进 行 配 置 和 维 护 33

36 6 操 作 和 维 护 Telnet 只 要 有 到 设 备 路 由 可 达 的 配 置 终 端,SVN 支 持 用 Telnet 方 式 在 终 端 上 对 设 备 进 行 配 置 和 维 护 SSH 基 于 SNMP 的 终 端 系 统 管 理 支 持 SSH(Secure Shell) 维 护 管 理 方 式, 实 现 在 不 能 保 证 安 全 的 网 络 上 提 供 安 全 信 息 保 障 和 强 大 认 证 功 能, 以 避 免 受 到 IP 地 址 欺 诈 明 文 密 码 截 取 等 攻 击 SVN 提 供 网 管 接 口, 使 用 SNMP(Simple Network Management Protocol) 简 单 网 络 管 理 协 议 与 网 管 系 统 通 信 SVN 支 持 以 下 网 管 系 统 的 管 理 : 华 为 公 司 网 管 平 台 M2000 华 为 公 司 网 管 平 台 I2000 华 为 公 司 网 管 平 台 U2000 华 为 公 司 网 管 平 台 VSM 6.2 丰 富 的 系 统 维 护 功 能 SVN 提 供 远 程 抓 包 丢 包 统 计 多 种 升 级 方 式 强 大 的 Debug 功 能 灾 备 配 置 文 件 等 系 统 维 护 功 能, 为 故 障 分 析 和 定 位 提 供 了 有 效 的 数 据 远 程 抓 包 远 程 抓 包 功 能 是 将 经 过 SVN 的 报 文 复 制 保 存 到 内 存 中, 然 后 将 保 存 的 报 文 发 送 到 特 定 的 主 机, 以 实 现 在 远 程 主 机 上 对 SVN 的 报 文 进 行 分 析 丢 包 统 计 SVN 提 供 多 种 丢 包 统 计 的 数 据, 有 效 提 供 了 丢 包 分 析 调 试 命 令 SVN 提 供 业 务 运 行 的 Debug 功 能, 在 线 记 录 用 户 指 定 的 业 务 运 行 时 刻 的 关 键 事 件 报 文 处 理 报 文 解 析 状 态 切 换 等 信 息 ; 为 用 户 在 调 测 设 备 及 组 网 方 案 时 提 供 了 有 利 的 支 持 ;Debug 可 以 根 据 指 定 业 务 ( 如 网 络 扩 展 业 务 ) 通 过 控 制 台 打 开 或 者 关 闭 SVN 提 供 系 统 操 作 的 Trace 功 能, 在 线 记 录 系 统 的 任 务 切 换 中 断 队 列 读 写 系 统 异 常 等 重 要 事 件, 系 统 发 生 故 障 重 起 后, 可 以 读 出 Trace 信 息 作 为 故 障 定 位 参 考 Trace 功 能 可 以 通 过 控 制 台 命 令 打 开 或 关 闭 灾 备 还 原 配 置 通 过 事 先 指 定 一 份 配 置 文 件 作 为 灾 备 配 置 文 件, 并 指 定 灾 备 配 置 文 件 作 为 下 次 启 动 的 配 置 文 件, 则 在 配 置 文 件 不 可 恢 复 时, 可 以 还 原 最 初 任 务 时 的 状 态 达 到 正 常 使 用 最 初 业 务 的 目 的 34

37 6 操 作 和 维 护 6.3 增 强 的 日 志 管 理 SVN 能 输 出 文 本 方 式 的 Syslog 日 志, 为 设 备 事 件 的 记 录 提 供 了 强 有 力 的 支 撑 丰 富 的 日 志 信 息 与 elog 联 动 elog 日 志 管 理 系 统 是 华 为 技 术 有 限 公 司 推 出 的 设 备 日 志 管 理 系 统 通 过 高 效 地 采 集 设 备 的 日 志, 用 户 能 及 时 了 解 安 全 设 备 和 网 络 设 备 的 运 行 情 况, 跟 踪 网 络 用 户 的 行 为, 迅 速 识 别 并 消 除 安 全 威 胁 SVN 系 列 支 持 与 elog 日 志 管 理 系 统 进 行 联 动, 实 现 日 志 信 息 的 海 量 存 储 与 快 捷 查 询, 有 效 帮 助 用 户 定 位 网 络 问 题 和 设 备 运 行 的 历 史 信 息 日 志 服 务 器 容 灾 最 多 支 持 向 4 个 日 志 服 务 器 发 送 日 志, 日 志 发 送 方 式 支 持 轮 询 和 并 发 两 种 35

38 7 技 术 指 标 7 技 术 指 标 关 于 本 章 7.1 性 能 指 标 介 绍 SVN 的 性 能 指 标 7.2 环 境 指 标 介 绍 SVN 的 环 境 指 标 7.3 遵 循 的 标 准 和 协 议 介 绍 SVN 遵 循 的 标 准 和 协 议 7.1 性 能 指 标 介 绍 SVN 的 性 能 指 标 表 7-1 SVN 产 品 整 机 性 能 指 标 项 目 SVN2230 SVN2260 SVN5530 SVN5560 并 发 用 户 数 ( 个 ) 每 秒 新 建 SSL 连 接 数 ( 个 ) 虚 拟 网 关 数 ( 个 ) IPSec 隧 道 数

39 7 技 术 指 标 项 目 SVN2230 SVN2260 SVN5530 SVN5560 ( 个 ) 7.2 环 境 指 标 介 绍 SVN 的 环 境 指 标 表 7-2 SVN 环 境 指 标 项 目 气 压 描 述 70kPa~106kPa 海 拔 -60 m (-197 ft) to 1800 m (6000ft) m (6000 ft) to 4000 m (13000 ft) 40 工 作 环 境 温 度 环 境 相 对 湿 度 存 储 温 度 长 期 :0 ~45 短 期 :-5 ~55 10%RH~90%RH, 非 冷 凝 -40 ~ 遵 循 的 标 准 和 协 议 介 绍 SVN 遵 循 的 标 准 和 协 议 表 7-3 ETS 相 关 标 准 标 准 名 ETS 说 明 Equipment Engineering; Environmental conditions and environmental tests for telecommunications equipment. part2-2: specification of environmental tests transportation ETS European telecommunication standard for equipment practice Part 3: Engineering requirements for miscellaneous racks and cabinets EN Version Electromagnetic compatibility and Radio spectrum Matters (ERM); Telecommunication network equipment; ElectroMagnetic Compatibility (EMC) requirements 37

40 7 技 术 指 标 表 7-4 IEC 相 关 标 准 标 准 名 IEC IEC IEC IEC IEC IEC IEC 说 明 Electromagnetic compatibility (EMC) Electromagnetic compatibility (EMC) - Part 4: Testing and measuring techniques - Section 2: Electrostatic discharge immunity test - Basic EMC publication Electromagnetic compatibility (EMC) - Part 4-3: Testing and measurement techniques; Radiated, radio-frequency, electromagnetic field immunity tes Electromagnetic compatibility (EMC) - Part 4: Testing and measuring techniques - Section 4: Electrical fast transient/burst immunity test - Basic EMC publication Electromagnetic compatibility (EMC) - Part 4: Testing and measurement techniques - Section 5: Surge immunity test Electromagnetic compatibility (EMC) - Part 4: Testing and measurement techniques - Section 6: Immunity to conducted disturbances, induced by radio-frequency fields Electromagnetic compatibility (EMC) - Part 3-2: Limits; Limits for harmonic current emissions (equipment input current <kleiner =>16 A per phase) IEC Electromagnetic compatibility (EMC) - Part 3: Limits; section 3: Limitation of voltage fluctuations and flicker in low-voltage supply systems for equipment with rated current <kleiner =>16 A IEC Safety of equipment electrically connected to a telecommunication network 表 7-5 ISO 相 关 标 准 标 准 名 ISO/IEC ISO/IEC 说 明 Information technology - Generic cabling for customer premises Information technology - Telecommunications and information exchange between systems - Local and metropolitan area networks - Common specifications - Part 2: LAN/MAN management 表 7-6 CISPR 相 关 标 准 标 准 名 CISPR 22 说 明 Information technology equipment - Radio disturbance characteristics - Limits and methods of measurement 38

41 7 技 术 指 标 表 7-7 ITU-T 相 关 标 准 标 准 名 说 明 I.430 [I.430] Recommendation I.430 (11/95) - Basic user-network interface - Layer 1 specification I.431 [I.431] Recommendation I.431 (03/93) - Primary rate user-network interface - Layer 1 specification 表 7-8 IEEE 相 关 标 准 标 准 名 IEEE802.3 IEEE802.3u IEEE802.1D IEEE802.3af 说 明 Carrier sense multiple access with collision detection (CSMA/CD) access method and physical layer specification Media Access Control (MAC) parameters, physical Layer, medium attachment units, and repeater for 100 Mb/s operation, type 100Base-T Media Access Control (MAC) Bridges DTE Power via MDI 表 7-9 国 家 相 关 标 准 标 准 名 YDN YDN GB/T GB GB GB GB/T GB/T GB/T GB 说 明 SDH 光 缆 系 统 及 设 备 的 线 性 复 用 段 保 护 线 性 复 用 段 自 愈 环 及 其 它 类 型 结 构 PDH 通 道 段 和 传 输 系 统 及 SDH 通 道 和 复 用 段 的 故 障 检 测 和 定 位 程 序 数 字 通 信 设 备 环 境 试 验 方 法 电 工 电 子 产 品 基 本 环 境 试 验 规 程 总 则 电 工 电 子 产 品 基 本 环 境 试 验 规 程 试 验 A: 低 温 试 验 方 法 电 工 电 子 产 品 基 本 环 境 试 验 规 程 试 验 B: 高 温 试 验 方 法 电 工 电 子 产 品 基 本 环 境 试 验 规 程 试 验 Ca: 恒 定 湿 热 试 验 方 法 电 工 电 子 产 品 环 境 试 验 第 二 部 分 : 试 验 方 法 试 验 Ea 和 导 则 : 冲 击 电 工 电 子 产 品 环 境 试 验 第 二 部 分 : 试 验 方 法 试 验 Eb 和 导 则 : 碰 撞 电 工 电 子 产 品 基 本 环 境 试 验 规 程 试 验 Cb: 设 备 用 恒 定 湿 热 试 验 方 法 39

42 7 技 术 指 标 标 准 名 GB/T GB GB 说 明 电 工 电 子 产 品 环 境 试 验 第 二 部 分 : 试 验 方 法 试 验 Fc 和 导 则 : 振 动 ( 正 弦 ) 电 工 电 子 产 品 基 本 环 境 试 验 规 程 试 验 N: 温 度 变 化 试 验 方 法 电 工 电 子 产 品 环 境 试 验 第 二 部 分 : 试 验 方 法 元 件 设 备 和 其 他 产 品 在 冲 击 (Ea) 碰 撞 (Eb) 振 动 (Fc 和 Fd) 和 稳 态 加 速 度 (Ga) 等 动 力 学 试 验 中 的 安 装 要 求 和 导 则 GB 电 工 电 子 产 品 基 本 环 境 试 验 规 程 高 温 低 温 试 验 导 则 GB/T 电 工 电 子 产 品 基 本 环 境 试 验 规 程 湿 热 试 验 导 则 GB 电 工 电 子 产 品 基 本 环 境 试 验 规 程 温 度 变 化 试 验 导 则 SJ ~ SJ SJ ~ SJ SJ/Z GB GB/T 一 般 电 子 产 品 运 输 包 装 基 本 试 验 方 法 一 般 电 子 产 品 运 输 包 装 基 本 试 验 方 法 电 子 产 品 防 护 包 装 和 装 箱 等 级 通 信 设 备 产 品 包 装 通 用 技 术 条 件 包 装 运 输 包 装 件 试 验 时 各 部 位 的 标 示 方 法 GB/T 移 动 通 信 设 备 运 输 包 装 GB GB GB/T 包 装 储 运 图 示 标 志 运 输 包 装 收 发 货 标 志 数 字 通 信 设 备 的 可 靠 性 要 求 和 试 验 方 法 40