曙光天罗防火墙解决方案（一）

4.多链路负载均衡的防火墙方案

对于大中型的网络中，为了保证应用服务的连续性、提高应用服务的网络带宽，可以选择多条ISP接入链路，实现链路的冗余与负载均衡（如下图）。

5.虚拟专网（VPN）实现分支机构与总部之间的安全连接

虚拟专网（VPN）采用隧道技术，在公共网络上构建安全的私有链路，实现敏感信息在公共网络上的安全传输。

VPN技术通常用于以下环境：

◆拥有多个分支机构的单位
◆拥有很多远程或移动用户的单位
◆需要进行远程维护系统的单位

VPN采用的部署方式有两种：site-to-site、client-to-site。

◆site-to-site部署方式用于分支机构与总部之间的连接，在此种方式下，两端的局域网内的客户机可以透明地使用VPN链路，而不需要任何额外的配置。
◆client-to-site部署方式用于移动办公用户到总部之间的连接，此种模式下，客户机需要安装相应的VPN客户端软件，并进行相应的配置。

较为典型的VPN应用环境是企业网络和政府网络中。各分支机构通过VPN隧道安全地接入上级局域网中，并通过防火墙实现其访问控制和安全防范。

下图所示为较为典型的site-to-site部署方式的拓扑图：

曙光天罗TLFW防火墙的VPN选件具有下述特性：

◆密钥管理系统，使用IKE协议进行会话密钥的自动协商，所有的VPN连接隔一段时间会自动的更换密钥。IKE协议使用共享密钥进行认证，将管理的复杂程度降低到最小。
◆支持的加密算法为DES、AES、RC4、RC5等加密算法。
◆支持的认证算法为MD5或SHA，可为AH或ESP协议所使用，确认了对话双方的身份，有效防止了使用身份伪装的主动攻击。
◆使用WEB中文管理界面，更易于管理。
◆可以使用证书或预共享密钥进行认证。
◆支持星型连接，支持网关<->网关、网关<->客户端连接。
◆只需要在网关上进行配置，终端用户无需知道连接的细节。

6.防火墙为高性能计算增加安全筹码

高性能计算作为第三大科学方法和第一生产力的地位与作用被广泛认识，并开始走出原来的科研计算向更为广阔的商业计算和信息化服务领域扩展。更多的典型应用在电子政务、石油物探、分子材料研究、金融服务、教育信息化和企业信息化中得以展现等等；与此同时高性能计算也给用户提供有可视化应用，要求系统能够作为可视化用的图形服务器。另外，用户还有海量存储和后备磁带库等灾难容错需求。

根据用户的应用情况，越来越多的高性能计算提供到商业用户中，也就是说高性能计算对外的情况是屡见不鲜。所以对于高性能计算对外提供服务牵涉到一个很重要的问题就是网络安全性问题。

较为典型的应用环境是企业网络和政府网络中。各机构通过内部的高性能计算机对外部的网络访问提供服务。将应用安全地接入到因特网中，并通过防火墙实现其访问控制和安全防范是我们首先需要考虑的。

 
曙光天罗防火墙可以从以下几个方面来保护高性能机群系统的安全：

访问控制

曙光天罗防火墙具有的访问控制功能，可以通过加密认证来限制外网用户对防火墙内部的机群系统的访问，没有得到密钥的用户无法进入机群系统，能保持很高的安全性。

安全过滤

曙光天罗防火墙自身带有的安全过滤模块能在防火墙内外网数据交互的时候对其进行深度包过滤检测。若是有不安全因素包括在数据中，防火墙可以通过检测定义对其过滤，使其无法通过防火墙，保障机群系统不遭到恶意代码的破坏。

抗攻击

曙光天罗防火墙自身具有很强的抗攻击能力，能适应各种险恶的网络环境，保证内部机群系统不因为防火墙的抵抗能力差而无法保持正常工作。

流量带宽管理

曙光天罗防火墙的带宽管理可以让用户随意调整网络的带宽流量；特有的流量计费功能更可以帮助用户实现网络流量计费，流量监控等功能。

防止非法入侵

曙光天罗防火墙内置的入侵检测模块，可以让系统对受到的攻击设有完备的记录功能，检测到危险信息时，系统可以根据管理员的设置断开连接，实现入侵主动防护，并且可以跟曙光NIDS进行联动，实现安全一体化。