曙光防火墙打造重庆港务局网络安全项目

　　在2007年春节即将到来的时候，大家都沉浸在节日的喜庆中，重庆港原有防火墙随着业务增长，随时有崩溃的危险，情况万分紧急。曙光公司重庆平台了解此情况后，心急万分，当天晚上即与信息安全事业部联系，于放假的第二天紧急空运了一台天罗TLFW-100S防火墙，和用户配合对防火墙进行安装调试，并进行了网络割接，确保网络畅通，解了用户的燃眉之急，在用户面前为曙光树立了良好的品牌形象，曙光防火墙产品也以优异的性能和良好的适应能力获得了用户的认可。

　　重庆港务局网络安全系统分析

　　重庆港系国家一类口岸，主要从事港口装卸、客货运输、水陆中转、仓储服务、物流配送、酒店旅游等多种综合性经营服务。重庆港务物流集团是具有现代企业制度雏型的大型国有独资企业，是重庆市重点企业。

　　重庆港务物流集团的网络组建于1996年，不仅连接港务集团的办公网络，而且与下属各级单位连通，是整个重庆港业务运转必不可少的信息载体，其网络结构和系统应用复杂多样：网络由集团中心网络和下属单位局域网组成，上行出口通过防火墙与Internet连接。防火墙在整个集团的网络安全体系中处于桥头堡的地位，具体拓扑结构如下图所示：

曙光防火墙一夫当关，保护内网安全

　　根据重庆港务局网络安全性的要求，在内网和外网连接的出入口配置曙光天罗防火墙，根据港务局应用服务的种类设定恰当的安全规则，从而保证内网安全不受侵害：

　　防火墙处于内外网的连接关口，可以为网络提供较高的基础安全服务，如：防止端口扫描、DDOS攻击等攻击数据包、控制用户网络访问行为、过滤P2P协议数据、建立带宽管理机制，对不同的外出访问占用的带宽进行统一的分配、抗IP欺骗，防止其他接口区域的IP被此接口区域内的主机冒用等等。

　　内网通过防火墙访问外网采用地址转换（SNAT）技术，外出访问的数据包出去的时候改变原地址（SNAT）；数据被动回来通过防火墙进入内网的时候改变目的地址（UN SNAT)。这样，就可以对外网屏蔽内部网络包括IP地址，网关等任何内网信息，从而提高了网络的安全性。

　　港务局网络服务器应用种类繁多，为提高网络服务的安全性，采用地址映射技术隐藏内部网络结构。用户访问服务器对外提供的服务，目的地址为防火墙网口地址，防火墙将访问服务器对进出的数据进行相应的地址转换（DNAT）。这样，即保证了网络访问的正常，又能有效地保护对外服务器的安全。

　　此外，从拓扑图上可以看出，移动办公和下属单位上行连接到集团网络中心，都通过信任度较低的Internet互联网络。在后续的项目中，将采用曙光防火墙内置的VPN功能，为集团中心和下属单位构建专用的加密隧道，防止异地互联时产生的数据泄密风险。

　　曙光防火墙功能全面，满足应用需求

　　曙光天罗防火墙以优异的性能、全面的功能、以及良好的网络兼容性获得重庆港务局用户的高度评价。曙光防火墙的突出特点可以归结为高安全性、高可靠性、高性能、高适用性的“四高”特点：

　　高安全性

　　使用专用的安全操作系统，专为安全应用设计开发，最大程度确保系统自身的安全性。管理系统采用国际流行的“三权分立”方法，形成一个相互制约的稳定系统。除本地串口管理方式外，管理员与防火墙之间的连接，采用128位的高强度加密通讯，黑客根本无法破解。

　　高可靠性

　　采用工业控制级硬件平台，相关的零部件全部达到工业级要求，确保物理层可靠性。专用的操作系统，系统内部全部使用零拷贝技术，充分保证了系统的性能，提高了可靠性。

　　高性能

　　精简的操作系统，专用硬件及先进的核心处理机制的完美结合，实现高吞吐量、高带宽的安全检测，确保安全的同时，保证正常的网络应用。高性能的数据通讯模型，采用自适应的设计模型，过滤和通讯处理并发处理。

　　高适用性

　　支持众多的网络通讯协议，并对各种协议可以进行细粒度的过滤，如IPX、NetBEUI和大部分的P2P协议，可以充分保证正常的网络应用。支持混合工作模式、高级路由、日志与审计、流量控制、双机热备、应用代理、双接入、内容过滤、VPN等强大的功能。

　　重庆港务集团项目的成功实施，为曙光网络安全产品在物流行业的应用和推广提供了典型的案例，树立了良好的典范。