企业选购指南：国内防火墙系统大比拼

　　目前，国内已经有多家机构或公司研制开发出了自己的防火墙系统，通过国家公安部等机构测试的也已有数十家。下面我们就选取几种比较有代表性的产品，做一简单介绍。

　　NetShineTM FW5x00防火墙和虚拟专用网

　　Netshine FW5x00系列防火墙和VPN是由朗新信息科技自行开发的高性能产品，以价格适中、软硬件一体化以及易于安装配置等特点为客户提供功能全面的网络安全解决方案。

　　Netshine FW5x00系列防火墙在企业网和Internet之间设置一道有效的屏障，严密保护您的内部网络，使其免受黑客侵扰;Netshine通过检查、审核和认证出入企业网的数据交换来实现完备的访问控制功能。

　　Netshine FW5x00系列防火墙提供符合IPSec标准的虚拟专用网VPN功能模块。VPN功能模块能使您的企业与分支机构、合作伙伴之间构造出一条通过互联网络的安全透明的数据传输隧道，无须昂贵的租用专线或者专用网络。

　　Netshine FW5x00系列防火墙和VPN基于Linux操作系统。Linux是一个开放的、能够拥有全部源代码的操作系统，具有高效、稳定、安全等优良特性。

　　Netshine FW5x00系列防火墙全部采用C语言开发，具有卓越的性能，能胜任从小型至中大型网络的有严苛要求的安全防护工作，是企业和政府上网的理想选择。

　　Netshine FW5x00系列防火墙已通过中华人民共和国公安部的信息安全产品认证，并已在政府、企业以及军队得到广泛的应用。

　　◆ 基于Linux操作系统的防火墙本身的高度安全性

　　防火墙多数是运行在主机操作系统上的应用，操作系统的安全性直接影响防火墙系统的安全性。NetShine采用定制的、拥有全部源代码的Linux操作系统，并把操作系统内核中可能引起安全性问题的部分去除，避免了操作系统中可能存在的不为人知的后门，充分保证防火墙系统本身的安全性。

　　◆ 功能全面的访问控制

　　防火墙系统可以分为基于包过滤(Packet Filter)的防火墙和代理服务型(Proxy Service)的防火墙。包过滤型防火墙在网络层协议入栈时根据预先设定的安全策略检测原始包，对用户完全透明，具有较高的网络性能和更好的应用程序透明性，但不能防止应用层的攻击;相应地，应用层防火墙使全部网络交换都由运行特定服务(FTP、HTTP、SMTP等)的智能防火墙来代理，这种代理提供应用层控制的功能和防止应用层受攻击的保护。NetShine系列防火墙把包过滤和应用代理结合起来，形成混合类型的防火墙系统，提供更高的安全性能。

　　·完善的访问控制策略：提供基于源地址、目的地址、协议、端口、URL、URL表达式、时段、周期时段等访问控制方式;

　　·透明的代理服务：用户通过身份认证后可以使用网络层的代理建立透明通道，可以实现细粒度的访问控制。

　　·基于服务端口的应用访问过滤：支持对Oracle、Sybase、Informix、SQL Server等数据库系统的访问过滤

　　·多层次的访问权限设置：支持多层次的访问登录权限，为企业或政府的基于行政和职能的管理提供方便。

　　·基于URL级的细密控制：NetShine提供URL级的检测、统计功能，安全管理员根据检测结果，可以屏蔽某些敏感的网页。

　　◆ 严格的入侵检测以及防黑客攻击

　　·NetShine 可以通过扫描数据包检测可能受到的攻击，并发出报警信息。在访问Web资源时，可以根据安全策略从HTTP页面剥离 Java Applet、ActiveX等小程序及 Script等代码。

　　·Netshine 内置的防黑客攻击模块可检测并有效防止诸如缓冲区溢出、SYN攻击、Ping攻击、IP欺骗等目前黑客常用的攻击手段的攻击。

　　目前，国内已经有多家机构或公司研制开发出了自己的防火墙系统，通过国家公安部等机构测试的也已有数十家。下面我们就选取几种比较有代表性的产品，做一简单介绍。

　　◆ 内置虚拟专用网

　　绝大多数的互联网通信受到潜在的攻击，NetShine 系列防火墙内置的VPN功能结合了最有效的加密以及认证技术，确保企事业单位的数据在在互联网络上传输过程中的保密性和完整性，从而使单位员工、分公司、合作伙伴等可以基于互联网络建设一个安全经济的工作环境。利用Netshine VPN，远端用户可以安全、透明地利用互联网络进入企业内部网，无需改变现有的应用程序，也无须对现有的网络进行重组。

　　Netshine VPN与广泛的行业标准认证和授权系统兼容：符合Ipsec标准，支持IKE、DES、Triple DES(168位加密)、MD5、SHA等业界标准。

　　◆ 网络地址转换(NAT)

　　NetShine 支持双向网络地址转换，当用户从内部网访问外部网时，NAT 系统用一个或一组预先指定的合法的 Internet 地址为用户建立映射。如果内部网需要为 Internet 提供服务， NAT 系统可以为应用服务器建立静态映射，外部用户可直接访问该服务器或工作站。

　　◆ 高性能的安全处理

　　Netshine 系列防火墙全部采用C语言开发，并对代码进行了优化，使其在关键的处理上具有极高的性能。

　　优化的安全规则管理：一个企业内部网络的防火墙往往设置有数十条、数百条访问控制规则。如果不加以优化，按顺序匹配检查这些规则将会在很大程度上降低网络的性能。Netshine 系列防火墙首先检查保证规则的正确性和有效性，对无效的规则予以显示报警;然后通过先进的优化规则匹配算法来提高规则查找速度。在随后的运行中，防火墙动态地统计规则的匹配情况，并调整规则匹配算法，进一步提高性能。

　　◆ 防火墙的透明模式

　　NetShine 可以被用来作透明传输，可以不分配任何IP给NetShine 系列防火墙的网络接口，因而不需更改现有工作站的网络配置就可以实现网络安全防护，减少因网络安全改造而带来的网络重构负担。

　　◆ 简单的安装和伸缩性的管理

　　NetShine 提供基于Web的配置和管理模块，可以通过网络上任何一台具有浏览器的机器管理防火墙;管理维护模块采用全中文的符合中国人操作习惯的界面，并提供全中文的在线帮助，使您更加轻松地进行策略配置和管理。

　　◆ 完备的计费、审计以及统计分析功能

　　·NetShine 将通过防火墙交换的数据包记录到日志数据库，可以针对IP地址、IP网段、访问时间、用户等进行灵活查询、统计和分析，可以对数据日志进行备份和恢复;

　　·NetShine 对所受到的攻击以及可疑的IP包进行详细的分类记录，便于管理人员的事后分析。

　　·NetShine 提供标准的IP计费数据接口，便于进行二次高级计费功能开发。

　　◆ 紧凑的黑盒封装

　　·一体化的硬件设计，系统与硬件紧密结合，发挥硬件最高效能。

　　·减小用户物理空间占用体积

　　·提供高密度的机柜集成度

　　·标准的2U设计