IT承載網(wǎng)是承載企業(yè)信息化應(yīng)用的核心基礎(chǔ)網(wǎng)絡(luò),其支撐能力和規(guī)范程度將直接影響到企業(yè)內(nèi)部應(yīng)用系統(tǒng)間的互聯(lián)互通能力，影響到系統(tǒng)的應(yīng)用質(zhì)量和信息安全。海南聯(lián)通IT承載網(wǎng)是海南聯(lián)通全省的辦公網(wǎng)絡(luò)，承載著海南聯(lián)通OA，郵件，財務(wù)、ERP等十余種業(yè)務(wù)系統(tǒng)的日常交付。

“今天的IT承載網(wǎng)與過往相比發(fā)生了巨變，一方面當(dāng)前安全威脅不斷升級，使得我們必須進(jìn)一步增強防護(hù)措施，另一方面網(wǎng)絡(luò)用戶也發(fā)生了顯著變化，目前我們網(wǎng)絡(luò)中有20%的用戶在使用無線網(wǎng)絡(luò)接入，還有大量的遠(yuǎn)程接入VPN用戶，管理的難度進(jìn)一步增大”，海南聯(lián)通信息化部支撐中心主任王雄先生說。

據(jù)王雄介紹，海南聯(lián)通IT承載網(wǎng)是其最重要的網(wǎng)絡(luò)之一，網(wǎng)絡(luò)設(shè)計、建設(shè)、管理運維等都是按照電信級標(biāo)準(zhǔn)完成的，但隨著使用年限的增加，近年來還是暴露出了一些問題。

“從去年開始，我們發(fā)現(xiàn)網(wǎng)絡(luò)中開始有丟包、時延抖動較大的現(xiàn)象，不少部門向我們反應(yīng)網(wǎng)絡(luò)訪問的體驗變差”，經(jīng)過反復(fù)分析、排查，運維人員確認(rèn)部署于網(wǎng)絡(luò)出口的兩臺Cisco防火墻長時間處于超負(fù)荷運行的狀態(tài)。

由于先前設(shè)備的性能瓶頸和功能缺失，海南聯(lián)通隨即啟動了出口防火墻設(shè)備的升級項目，并組織了一系列的入圍測試工作。

“作為運營商網(wǎng)絡(luò)的設(shè)備，高性能、高可靠性是要考慮的首要問題，尤其是本次防火墻升級，我們要選擇的是一款具備應(yīng)用層安全防護(hù)能力的設(shè)備，對于性能的要求更為嚴(yán)格”，王雄說。

在眾多的參測廠商中，網(wǎng)康下一代防火墻超強的應(yīng)用識別能力以及功能全開啟后的高性能給用戶留下了深刻印象，憑借在測試過程中表現(xiàn)出的諸多亮點，網(wǎng)康下一代防火墻最終贏得了用戶的青睞。

高可靠、高性能滿足電信級標(biāo)準(zhǔn)

為了滿足IT承載網(wǎng)99.9%以上的可靠性要求，網(wǎng)康下一代防火墻采用了主被模式的HA部署架構(gòu)，由兩臺設(shè)備組成集群，設(shè)備配置、會話信息以及在線用戶信息等均在主、被設(shè)備間實時同步，保證了故障切換時業(yè)務(wù)無中斷。

網(wǎng)康下一代防火墻采用多級冗余確保高可靠性

在測試過程中，網(wǎng)康下一代防火墻的性能表現(xiàn)同樣得到了用戶的肯定，在逐步開啟各項安全功能后，設(shè)備的包轉(zhuǎn)發(fā)速率和處理延時并未有明顯變化，經(jīng)過長時間在線測試，表現(xiàn)出了極高的穩(wěn)定性。

“性能是應(yīng)用層安全設(shè)備的一大挑戰(zhàn)，為了實現(xiàn)完整的檢查，經(jīng)過設(shè)備的每一個數(shù)據(jù)包都要進(jìn)行拆包和解碼，這需要消耗大量的運算資源，為了保證我們的下一代防火墻能夠在保證性能的前提下完整交付功能，我們做了多方面的創(chuàng)新”，網(wǎng)康專家指出，硬件、軟件架構(gòu)以及處理機制，是制約設(shè)備性能提升的核心因素。

網(wǎng)康專家還談到，網(wǎng)康下一代防火墻采用了Intel專用高性能硬件平臺和DPDK軟件技術(shù)，所有數(shù)據(jù)包檢測均采用單路徑引擎的方式，僅需一次拆解即可實現(xiàn)應(yīng)用類型、木馬、病毒、惡意網(wǎng)址等威脅的檢測，從而保證了較小的性能衰減。同時，網(wǎng)康下一代防火墻采用病毒云查殺技術(shù)，這在國內(nèi)防火墻領(lǐng)域尚屬首創(chuàng)，由云端的海量資源代替設(shè)備本地查殺，同樣能夠降低設(shè)備的運算開銷。

據(jù)悉，在權(quán)威評測機構(gòu)賽可達(dá)實驗室的“東方之星”認(rèn)證測試中，網(wǎng)康下一代防火墻在開啟全部安全功能后，性能衰減可穩(wěn)定控制在50%左右，符合業(yè)界公認(rèn)的下一代防火墻性能考量標(biāo)準(zhǔn)。

應(yīng)用控制、可視化升級防護(hù)級別

隨著應(yīng)用程序的爆炸式發(fā)展，傳統(tǒng)防火墻已失去了對當(dāng)今網(wǎng)絡(luò)流量的“理解”能力，使得防火墻設(shè)備的訪問控制幾乎完全失效。

訪問控制能力的喪失，是對企業(yè)安全的最大威脅，由流量失控導(dǎo)致的應(yīng)用濫用、資源搶占僅是其一，一些高危應(yīng)用或攜帶威脅的流量可以輕易繞過安全設(shè)備檢查，是導(dǎo)致安全風(fēng)險升級的核心原因。

前不久，網(wǎng)康下一代防火墻支持識別的應(yīng)用數(shù)量率先突破3100種，此外還有700余種移動互聯(lián)網(wǎng)應(yīng)用。對網(wǎng)絡(luò)流量中人、應(yīng)用、內(nèi)容的超強識別能力，已然成為網(wǎng)康下一代防火墻最核心的競爭優(yōu)勢。

“下一代防火墻的應(yīng)用識別能力幫助我們解決了很多現(xiàn)實的問題”，據(jù)王雄介紹，在網(wǎng)康設(shè)備的幫助下，一些與業(yè)務(wù)無關(guān)或高危的應(yīng)用流量均被拒絕或限制，減少了威脅滲透的通道，同時，對于在網(wǎng)的智能終端設(shè)備，還可基于終端類型及應(yīng)用進(jìn)行識別和控制。安全使能應(yīng)用能夠有效支撐企業(yè)內(nèi)部的安全政策，并始終將防護(hù)級別維持在較高水平。

王雄還談到，安全管理者不應(yīng)僅充當(dāng)救火隊員的角色，他們始終在探索一種既能高效開展、又能切實有效的安全治理方式。

“作為一款防火墻產(chǎn)品，網(wǎng)康設(shè)備的可視化能力很出眾，無論是異常輸出還是事件溯源，都能夠非常直接的呈現(xiàn)出來，同時基于統(tǒng)計的結(jié)果對流量變化、可疑行為等進(jìn)行分析，這些為我們不斷優(yōu)化安全配置幫了大忙”，王雄說。

網(wǎng)康下一代防火墻助用戶實現(xiàn)全網(wǎng)可視

網(wǎng)康專家指出，在過往，90%的用戶不對防火墻進(jìn)行管理和檢查，而網(wǎng)絡(luò)始終在發(fā)生著變化，先前設(shè)定的安全配置很快就會失效。安全管理強調(diào)形成閉環(huán)，在部署了防御措施后仍要不斷的進(jìn)行檢查、調(diào)優(yōu)，動態(tài)調(diào)整的安全策略具有最高的有效性。下一代防火墻正在此方面改變著用戶的使用習(xí)慣，設(shè)備一旦上線，可首先幫助用戶評估網(wǎng)絡(luò)風(fēng)險，用戶根據(jù)風(fēng)險狀況并結(jié)合自身安全需求進(jìn)行安全配置，再通過可視化技術(shù)對全網(wǎng)狀態(tài)進(jìn)一步分析，最終基于分析結(jié)果調(diào)優(yōu)策略。通過“評估-防御-檢測-響應(yīng)”的閉環(huán)運行，安全防護(hù)將由單純的事件響應(yīng)推向面向風(fēng)險的控制。