Hillstone移動互聯網安全接入解決方案
責編：admin ｜2015-02-04 14:57:34概述
本方案通過在移動互聯網接入側部署Hillstone下一代防火墻，通過網絡地址轉換（NAT）功能幫助移動運營商解決地址資源不足的問題。同時，進行網絡攻擊防護和用戶上網日志審計，保障移動數據業務穩定運營和滿足監管要求，具體可實現：
●私網用戶通過NAT方式高速訪問互聯網；
●防護來自Internet的DDoS等網絡攻擊；
●記錄用戶NAT、即時消息（IM）、URL等上網行為日志
1、安全需求
隨著移動運營商加強移動互聯網建設，實行全業務發展的營銷策略，智能手機、平板電腦等配備無線網卡的智能終端呈現普及化，IPTV、網絡游戲、網絡社交、手機支付、手機IM等各類型的互聯網應用呈爆炸性發展態勢。網絡、終端、應用的高速發展，使得移動互聯網的用戶數和流量帶寬都在持續高速增長，移動運營商亟需解決如下網絡安全問題：
●地址資源日益緊張，不能滿足用戶增長的速度；
●日益猖獗的網絡攻擊嚴重影響網絡的穩定運營；
●為滿足工信部監管要求，需要具有用戶上網日志審計的能力
2、解決方案
在移動互聯網接入側，Hillstone下一代防火墻作為綜合承載網元設備，旁掛在CE上，發揮如下作用：
●支持海量接入訪問：高性能的設備，以及獨有的端口復用功能，可滿足省級移動運營商的百萬級移動互聯網用戶，通過私網地址復用訪問移動運營商的移動業務平臺（如 WAP等），以及私網用戶通過NAT方式訪問互聯網帶來的性能要求；
●確保穩定運營：強大的網絡攻擊防御，可對移動運營商移動業務平臺及用戶提供相應的安全防護功能， 確保移動互聯網的穩定運營；
●滿足監管要求：Hillstone下一代防火墻可對省級移動運營商移動互聯網平臺的接入訪問進行有效記錄，包括NAT日志、IM上下線日志和URL日志，滿足安全事件溯源的監管要求。配合Hillstone高性能安全審計平臺，可實現海量日志的記錄，滿足保存不少于90天日志的監管要求。
3、方案效果
● 高性能高可靠
Hillstone下一代防火墻設備內部采用全并行冗余多核、主控冗余架構設計保障設備自身的高可靠性最高端設備，吞吐量最大可支持100Gbps吞吐，以及6000萬并發，同時能滿足百萬級別的用戶進行NAT地址轉換和進行移動業務平臺、互聯網業務的訪問；Hillstone下一代防火墻以雙機熱備模式旁掛部署在CE上，提供會話級別的狀態同步機制，防止業務系統單點故障，保證了網絡的高可靠性。
● 運營級的NAT技術
Hillstone下一代防火墻支持Full cone NAT、NAT444特性，提高NAT地址/端口的使用率，實現內外部接入用戶的互訪。Hillstone NAT技術機制透明性強, 支持多種相應的ALG功能，包括FTP, SIP、PPTP、RTSP、HTTP等主要應用協議及P2P類應用，支持電子商務，網銀，即時消息類等應用的穿透（Sticky NAT） , 支持IPSec的 NAT穿越，保障運營商VPN業務的正常運營。
Hillstone下一代防火墻獨有的端口復用技術，將單一IPv4地址可NAT的并發容量提升了至少16倍，使運營商有限IPv4地址資源得到更有效的利用。
在運營商IPv4地址資源緊缺及而IPv6還沒正式商用的階段，成熟的運營級NAT技術方案能快速部署保障運營商業務高速拓展的需求
● 基礎網絡安全防護
Hillstone下一代防火墻同時啟用了網絡攻擊防護功能，可以有效對抗來自互聯網的DoS/DDoS攻擊行為，并過濾各類畸形報文攻擊；同時Hillstone下一代防火墻支持深度應用識別技術，在此基礎上對網絡及客戶提供附加的安全防護功能，能有效識別出非法URL、網絡攻擊，保障移動運營商網絡及業務的正常運營。
● 應對監管要求的高性能日志檢索
Hillstonet安全審計平臺集中收集日志，內容包含NAT日志、IM上下線日志和URL日志，其入庫性能最高可達100,000EPS；Hillstone安全審計平臺提供高速日志檢索功能，平均檢索時間小于20秒，為移動運營商運維人員提供了一個高效的日志審計平臺。
● 部署方案擴展性靈活，適應快速增長的接入業務
Hillstone下一代防火墻采用接口與業務板卡分離的技術機制，當業務擴展時只需通過增加相應的業務板卡來實現，滿足業務的發展，具備靈活的擴展性，能平滑擴展到100G吞吐量及6000萬并發連接的需求，滿足百萬級用戶節點的業務需求。
● 應用QoS、安全防護等附加的增值功能
Hillstone下一代防火墻，還可以提供豐富的應用識別、應用QoS及網絡安全防御功能。Hillstone下一代防火墻基于角色的深度應用識別技術，可對不同用戶的不同應用在特定時間進行不同的應用QoS控制，同時也能對日常的網絡惡意代碼及非法內容進行識別、過濾，保障業務網的安全運營。