曙光天罗TLFW-1000H防火墙

       曙光天罗TLFW-1000H防火墙定位于大型企业级的骨干网络应用，采用2U专用千兆安全平台，冗余电源设计，提供高速的数据转发能力，最多可扩展到9个网络接口。可以应用于政府、企业、教育网中心、高校、电力等网络的接入和隔离防护。曙光网络安全系列产品适用行业广泛，且获得国家各项权威认证，从而保障了用户整体网络和服务器系统的安全性能水准。

下载白皮书

技术特色：

一体化的软硬件设计

    系统与硬件紧密结合，发挥硬件最高效能，提高系统自身安全性。曙光天罗TLFW-1000H防火墙绝大部分应用功能都运行在内核态或芯片直接完成操作。只有管理系统设计到操作系统和用户态的部分应用。绝大部分系统功能是通过“芯片<->驱动程序<->内核”的方进行，此外，系统在不同状态转换中使用零拷贝的技术，即：在系统内部，一个数据包到来后一直到离开只有一个副本！而对于一般的系统数据处理需要经过三次拷贝，其中一次拷贝所需要的系统开销相当于接收/发送3至5个数据包。避免数据包副本在系统内部的拷贝是提高系统效率的主要方法之一。

高容错电源设计

    系统采用真正容错、热插拔电源。对于大部分型号的防火墙，都支持冗余电源设计，双电源都可以进行热插拔，大大提高系统的可靠性和稳定性，根据我们多年的经验，普通电源的寿命一般在2至3年之间，而曙光天罗TLFW-1000H防火墙的工业级电源的平均寿命在7年以上，但为了避免不必要的异常导致电源损坏，双电源涉及可以大大提高系统的可靠运行时间和最大工作时间。
    其次，双电源系统的每个电源模块并不是完全独立的，它们之间实时的相互监控，一旦其中一个电源模块发生故障，另一个电源模块会发出报警声音讯号（可以关停）直到损坏的电源模块被更换或者管理员关掉声音报警为止。

基于状态的包过滤

    曙光天罗TLFW-1000H防火墙可以基于连接的状态进行数据包过滤，极大地提高了系统的性能。状态包过滤，包括两个不同的理解方式。

• 状态包过滤是指可以根据数据流（会话）的状态进行有针对性地规则过滤，比如可以拒绝从一台主机发起的请求，但允许这台主机应答外部用户的请求，可通过防火墙对主机通讯的状态字进行针对性过滤，拒绝该主机发出的TCP syn 标志的数据包；
• 防火墙可以根据会话的状态进行不同的过滤流程。比如对于初始的会话，防火墙可以进行较为详细的过滤，一旦会话被认为是可信的，防火墙就会降低会话的检测流程，从而大大提高了防火墙的运行效率。这一功能就是行业内宣称的“自适应”防火墙，曙光天罗TLFW-1000H防火墙在这种自动辨别能力上可以做到2至7层的自适应。一般厂商子能做到2至4层。

多级过滤：

    曙光天罗TLFW-1000H防火墙可以基于数据包的源地址、目的地址、源端口、目标端口、协议标志位等进行过滤，提高了系统的防护能力。这里的多级是说曙光天罗TLFW防火墙不仅可以进行2至7层的过滤，而且可以对同一个会话同时进行多个层次，多个级别的过滤。如，在链路层上，曙光天罗TLFW防火墙可以直接支持基于MAC地址的管理模式。再比如，对于Web服务可以进行包过滤、应用层检测同时进行，既提高的安全性也提升了服务的质量和性能。

高级路由管理：

    曙光天罗TLFW-1000H防火墙提供业界最灵活的高级路由管理能力，将网络管理变成网管人员的一种享受。曙光天罗TLFW-1000H防火墙的路由管理可以分为路由表和路由策略表两个共同作用的快速表，使得路由控制更加灵活（可根据源/目的IP或子网定义策略）。内部设定100个路由优先级，特别是适于大型网络的改造。

基于规则的带宽管理：

    曙光天罗TLFW-1000H防火墙的带宽管理粒度细致，方便灵活。曙光天罗TLFW-1000H防火墙能够指定进行带宽管理的网络接口，支持多达8级。可以根据不同的协议、源/目的端口和源/目的地址（段）、时间六元组的任意组合进行控制。举例说明：我们打算限制特定网段对特定服务器的Web服务器的访问速率，曙光天罗TLFW-1000H防火墙可以轻松的完成这一操作。

内置入侵检测：

    曙光天罗TLFW-1000H防火墙内置简单入侵检测系统，能够检测到常用的攻击方式。由于曙光公司拥有自主知识产权的主机型和网络型IDS软件，所以在防火墙中嵌入一个精简的入侵检测模块对于提高防火墙的安全性有着显著的作用。

双机热备：

    为了保证网络的高可用性与高可靠性，曙光天罗TLFW-1000H防火墙提供了双机热备份功能，即在同一个网络节点使用两个配置相同的防火墙。正常情况下一个处于工作状态，为主防火墙，另一个处于备份状态，为从防火墙。当主防火墙发生意外down机、网络故障、硬件故障等情况时，主从防火墙自动切换工作状态，从防火墙代替主防火墙正常工作，从而保证了网络的正常使用。切换过程不需要人为操作和其他系统的参与，切换时间可以以秒计算。

透明代理：

    曙光天罗TLFW-1000H防火墙提供对常用高层应用服务（HTTP、FTP、SMTP、POP3、NNTP）的透明代理。用户不需要在自己的主机上作任何的有关代理服务器的设置，只需管理员在防火墙上配置相关的规则，用户通过防火墙进行的上述应用访问直接通过防火墙进行代理，这些配置对用户来说完全是透明的，极大得方便了用户建立和使用代理。

三权分立机制：

    曙光天罗TLFW-1000H防火墙在设计时充分考虑了防火墙本身的安全性，把防火墙的管理员分为超级管理员、系统管理员、安全策略员、日志审计员。使得在同一时刻，只能有一位防火墙的管理员来对防火墙进行管理，同时将管理员的账号和IP地址捆绑，在管理员登录防火墙系统时对其账号、密码、IP地址进行全面检查，从根本上保证了防火墙系统的安全性。

产品功能：

系统组成

• 曙光天罗TLFW-1000H防火墙（硬件）：是一个基于专用硬件平台的高级通信保护控制系统。
• 管理软件（软件）：是用来管理和配置防火墙的管理软件，由于曙光天罗TLFW-1000H防火墙采用基于WEB和通用串口管理，管理主机（管理防火墙的机器）只需具有IE浏览器或WINDOW系统下的超级终端软件。
• 审计管理器（软件）：是一个可运行于WindowsXP、Windows2000系统下，用于对曙光天罗TLFW-1000H防火墙提供的远程日志信息进行可视化审计的管理软件。

资质认证：

• 国家版权局颁发的《计算机软件著作权登记证书》
• 公安部颁发的《计算机信息系统安全专用产品售许可证》
• 中国国家信息安全测评认证中心颁发的《国家信息安全认证产品型号证书》
• 国家保密局颁发的《涉密信息系统产品检测证书》
• 中国人民解放军信息安全测评认证中心颁发的《军用信息安全产品认证证书》

TAG: 曙光防火墙