曙光天罗防火墙解决方案（二）

◆DoS攻击拦截

曙光天罗TLFW防火墙中内置的抗Dos攻击模块可以有效的防止七大类二十余种DoS攻击，对DDoS攻击又有着很好的防止能力。

◆P2P协议过滤

可以根据策略控制类似电驴、BT之类的P2P通讯，保障网络资源的有效利用。可以过滤的P2P应用有：eDonkey、eMule、Kademlia、BitTorrent、extended BT、WinMX、SoulSeek、Ares、AresLite、AppleJuice、Direct Connect、Gnutella、KaZaA、FastTrack！！是目前最完善和最全的。

◆支持ADSL接入

ADSL(Asymmetric Digital Subscriber Line)，中文名字叫非对称数字用户线路，当在电话线两端分别放置ADSL MODEM时，在这段电话线上便产生了三个信息通道：

一个速率为 1.5Mbps-9Mbps的高速下行通道，用于用户下载信息；

一个速率为 16Kbps-1Mbps的中速双工通道，用于用户上传输出信息；

一个普通的老式电话服务通道，用于普通电话服务。

这三个通道可以同时工作,传输距离达3KM---5KM。

非数字用户线路(ADSL)与以往调制解调技术的主要区别在于其上下行速率是非对称的，即上下行速率不等，ADSL技术的高下行速率和相对而言较慢的上行速率非常适于做Internet浏览使用。由于接入成本相对较低，却可以获得较高的带宽，ADSL宽带接入日益普及。

目前ADSL接入分为两种方式：

一种是动态获取IP地址，就是用户没有固定的IP地址，在使用ADSL拨号软件时动态获得一个IP地址；

另一种是固定IP地址，即用户在申请ADSL服务时，服务商提供给用户固定的IP地址、网关、DNS等等。

曙光天罗TLFW防火墙早期仅支持固定IP的接入方式，为了响应动态获取IP接入ADSL的增多市场需求，目前曙光天罗TLFW防火墙也提供了对动态IP ADSL接入的支持，更好的为中小企业的网络安全提供保障。

ADSL接入是利用PPPOE协议进行协商和通讯的。曙光防火墙可以避免ADSL接入中PPPOE协议欺骗等漏洞。同时也支持断线重播功能。

◆多线路接入

支持多线路接入方式（比如同时接入电信和联通），并在多线路之间进行负载均衡；实时监测线路健康状况，从而自动取消/恢复线路的通信。

◆高级路由管理功能

曙光天罗TLFW防火墙的高级路由管理功能也是为了满足复杂网络拓扑结构应用防火墙的需求。通过防火墙的高级路由管理模块，为通过防火墙的数据报选择不同的路径，以保持网络的连同性。该模块的典型应用是当整个内部网络有两个或多个外出口的情况。

◆带宽控制功能

网络带宽是另一种重要的网络资源，一个网络环境其出口带宽是有限的，防火墙可以建立一套对带宽的管理机制，能够对不同的外出访问占用的带宽进行统一的分配。可以针对具体的通信（按照源地址）对网络带宽进行分配，使得某一类的访问所占用的带宽不能超过管理员为其分配的额度，从而不至于影响其它类的访问的正常进行。

曙光天罗TLFW防火墙具有粒度细致、方便灵活的带宽管理功能。管理员指定进行带宽管理的网络接口及该接口的带宽上限后，进行带宽级别的定义。曙光天罗TLFW防火墙支持多达8级，管理员可以选定级别数，然后定义每个级别的带宽比例。

◆双机热备功能

双机热备是曙光天罗TLFW防火墙高可靠性的一种处理方式。双机热备功能必须有两台防火墙协助工作完成，一台作为主防火墙，另一台作为备份防火墙，两台防火墙通过串口连接，互相实时监测，当主防火墙发生故障时，备份防火墙自动接管主防火墙，避免整个网络通信发生中断。

◆DHCP功能

DHCP的全称是动态主机配置协议（Dynamic Host Configuration Protocol），由IETF（Internet 网络工程师任务小组）设计，详尽的协议内容在RFC文档rfc2131和rfc1541里。目的就是为了减轻TCP/IP网络的规划、管理和维护的负担，解决IP地址空间缺乏问题。运行DHCP的服务器把TCP/IP网络设置集中起来，动态处理工作站IP地址的配置，用DHCP租约和预置的IP地址相联系，DHCP租约提供了自动在TCP/IP网络上安全地分配和租用IP地址的机制，实现IP地址的集中式管理，基本上不需要网络管理人员的人为干预。而且，DHCP本身被设计成BOOTP（自举协议）的扩展，支持需要网络配置信息的无盘工作站，对需要固定IP的系统也提供了相应支持。

曙光天罗TLFW防火墙既可以做DHCP客户又可以做DHCP服务器。

DHCP客户：防火墙每个接口都可以工作在这种模式下，可以动态的从网络上DHCP服务器上获得地址，适用于使用DHCP服务器统一管理IP地址的网络环境。

DHCP服务器：DHCP服务器可以启动在防火墙任意一个物理接口上，为与其相连的子网动态分配IP地址及相关信息，如网关、广播地址、DNS等等，可以通过使用防火墙的DHCP服务功能，节约购置专门的DHCP服务器的资金。

◆VPN

支持IPSEC/PPTP/MPLS/L2TP协议，提供端到端的安全隧道，支持IPsec、IKE和统一的证书管理，支持隧道的NAT穿越与明文的访问控制；支持3DES、DES加密算法与标准MD5、SHA-1认证算法。