VPN防火墙-腾铭科技

        vpn防火墙是指设置在不同网络（如可信任的企业内部网和不可信的公共网）或网络安全域之间的一系列部件的组合。它是不同网络或网络安全域之间信息的唯一出入口，能根据企业的安全政策控制（允许、拒绝、监测）出入网络的信息流，且本身具有较强的抗攻击能力。它是提供信息安全服务，实现网络和信息安全的基础设施。在逻辑上，vpn防火墙是一个分离器，一个限制器，也是一个分析器，有效地监控了内部网和Internet之间的任何活动，保证了内部网络的安全。

1． 腾铭防火墙的技术特点：安全的系统平台
内核采用自主开发的腾铭嵌入式Linux操作系统，全模块化设计，使用中间层理念，减小系统对硬件的依赖性。具有安全性、开放性、扩展性、模块化、标准化、可移植性等特征；
采用NP架构的最优硬件平台，提供全线速转发的能力，拥有更高的安全性和可控性。
基于Hash表的快速转发功能，极大提高了防火墙的吞吐率。

2．采用多种安全技术
包过滤技术
包过滤技术是腾铭vpn防火墙为系统提供安全保障的主要技术，它通过设备对进出网络的数据流进行有选择的控制与操作。包过滤操作通常在选择路由的同时对从互联网络到内部网络的包进行过滤。用户可以设定一系列的规则，指定允许哪些类型的数据包可以流入或流出内部网络；哪些类型的数据包的传输应该被拦截。包过滤规则以IP包信息为基础, 对IP包的源地址、 IP包的目的地址、封装协议(TCP/UDP/ICMP/IP Tunnel)、端口号等进行筛选。包过滤这个操作可以在路由器上进行，也可以在网桥，甚至在一个单独的主机上进行。
网络地址转换（NAT技术）
网络地址转换是一种用于把内部IP地址转换成临时的、外部的、注册的IP地址的标准。它允许具有私有IP地址的内部网络访问因特网。它还意味着用户不需要为其网络中每台机器取得注册的IP地址。
NAT的工作过程如图所示：

在内部网络通过安全网卡访问外部网络时，将产生一个映射记录。系统将外出的源地址和源端口映射为一个伪装的地址和端口，让这个伪装的地址和端口通过非安全网卡与外部网络连接，这样对外就隐藏了真实的内部网络地址。在外部网络通过非安全网卡访问内部网络时，它并不知道内部网络的连接情况，而只是通过一个开放的IP地址和端口来请求访问。腾铭防火墙根据预先定义好的映射规则来判断这个访问是否安全。当符合规则时，防火墙认为访问是安全的，可以接受访问请求，也可以将连接请求映射到不同的内部计算机中。当不符合规则时，防火墙认为该访问是不安全的，不能被接受，防火墙将屏蔽外部的连接请求。网络地址转换的过程对于用户来说是透明的，不需要用户进行设置，用户只要进行常规操作即可。

3．远程集中管理
腾铭vpn防火墙支持Web、Https、命令行等面向基于对象的管理配置方式，可通过安全的认证及管理信息的加密传输实现全局防火墙设备的本地、远程集中管理与监控。
腾铭防火墙主要采用全中文Web（Graphic User Interface）界面的配置方式，用户可以在不同操作系统平台、不同地域对防火墙进行配置和管理。

4．透明应用代理
腾铭vpn防火墙提供对常用高层应用服务（HTTP 、FTP 、SMTP 、POP3 、NNTP ）的透明代理。用户不需要在自己的主机上作任何的有关代理服务器的设置，只需管理员在防火墙上配置相关的规则，用户通过防火墙进行的上述应用访问就会由防火墙进行代理，这些配置对用户来说完全是透明的，极大的方便了用户使用代理。

5．支持MAC与IP地址绑定
为了防止IP欺骗、地址伪装或者受控（不可访问外网）的内部用户通过更换IP地址访问外网，腾铭防火墙允许绑定MAC地址（网卡的硬件地址）和IP地址，当发现某IP和绑定的MAC地址不相符时，将拒绝为该IP服务。MAC绑定技术主要用于绑定一些重要的管理员IP和特权IP。

6．流量控制策略
腾铭防火墙内置流量监视器，提供有完整的带宽控制策略。对流量的控制主要基于用户组的控制，是对通过防火墙各个网络接口的流量进行控制，从而防止某些应用或用户占用过多的资源，并且通过流量控制可以保证重要用户和重要接口的连接。

7．内容过滤技术
腾铭防火墙支持URL、关键字检测机制，能有效控制内部网络对某些站点的访问，屏蔽不良的、非法的网站，防止内网用户浏览邪教、色情等不良网站及网页。

8．抗攻击能力
腾铭防火墙可有效抵抗DOS/DDOS、嗅探、同步等多种攻击，阻止TCP、UDP 等端口扫描，防止源路由攻击、IP碎片包攻击、DNS/RIP/ICMP攻击、SYN 攻击。

9．适用更广泛的网络及应用环境
支持众多网络通信协议和应用协议，如DHCP 、ADSL 、IPX 、RIP 、ISL 、802.1Q 、Spanning tree 、DECnet 、NETBEUI、IPSEC、PPTP、H.323 、BOOTP、pppoe协议等，使腾铭防火墙适用网络的范围更加广泛，保证用户的网络应用并扩展IP 宽带接入及IP电话、视频会议、VOD 点播等多媒体应用。

10．智能路由管理
支持多线路捆绑技术，可实现带网络带宽的叠加；
采用智能路由分离技术，分流上网数据、扩充互联线路；
支持Qos服务，包括固定带宽分配、通信优先级管理、防丢包技术等，能为每个访问控制策略独立分配带宽，支持带宽的严格锁定和动态平衡方式；
支持DHCP、PPPOE、NTP、NAPT/PAT、NAT穿越、DNS增强版缓存；
提供管理服务器群的负载平衡能力；
可自由设定静态路由，支持集团用户的多级复杂网络。

11. 虚拟专用网（VPN）技术
基于国际标准IPsec、IKE协议构建，采用先进加密技术和算法，支持基于预共享密钥设备认证方式，支持密钥的自动更新，同时可保证会话密钥的完美向前保密；
特有高可靠性的DDNS访问技术，支持动态IP地址间的VPN安全互连，支持移动客户端软件的接入；
可以独立为每个VPN加密隧道进行“状态检测”和独立分配带宽，确保高安全性和高度的灵活性；
支持PPPoE、小区宽带、动态IP协议，支持ISDN、ADSL/xDSL等多种接入方式；
各型号产品分别允许建立200－1024条IPSEC通道，可组成网状连接；
采用细致的权限粒度控制技术，能细致到端口级别。