IT承載網(wǎng)是承載企業(yè)信息化應用的核心基礎網(wǎng)絡,其支撐能力和規(guī)范程度將直接影響到企業(yè)內(nèi)部應用系統(tǒng)間的互聯(lián)互通能力，影響到系統(tǒng)的應用質(zhì)量和信息安全。海南聯(lián)通IT承載網(wǎng)是海南聯(lián)通全省的辦公網(wǎng)絡，承載著海南聯(lián)通OA，郵件，財務、ERP等十余種業(yè)務系統(tǒng)的日常交付。

“今天的IT承載網(wǎng)與過往相比發(fā)生了巨變，一方面當前安全威脅不斷升級，使得我們必須進一步增強防護措施，另一方面網(wǎng)絡用戶也發(fā)生了顯著變化，目前我們網(wǎng)絡中有20%的用戶在使用無線網(wǎng)絡接入，還有大量的遠程接入VPN用戶，管理的難度進一步增大”，海南聯(lián)通信息化部支撐中心主任王雄先生說。

據(jù)王雄介紹，海南聯(lián)通IT承載網(wǎng)是其最重要的網(wǎng)絡之一，網(wǎng)絡設計、建設、管理運維等都是按照電信級標準完成的，但隨著使用年限的增加，近年來還是暴露出了一些問題。

“從去年開始，我們發(fā)現(xiàn)網(wǎng)絡中開始有丟包、時延抖動較大的現(xiàn)象，不少部門向我們反應網(wǎng)絡訪問的體驗變差”，經(jīng)過反復分析、排查，運維人員確認部署于網(wǎng)絡出口的兩臺Cisco防火墻長時間處于超負荷運行的狀態(tài)。

由于先前設備的性能瓶頸和功能缺失，海南聯(lián)通隨即啟動了出口防火墻設備的升級項目，并組織了一系列的入圍測試工作。

“作為運營商網(wǎng)絡的設備，高性能、高可靠性是要考慮的首要問題，尤其是本次防火墻升級，我們要選擇的是一款具備應用層安全防護能力的設備，對于性能的要求更為嚴格”，王雄說。

在眾多的參測廠商中，網(wǎng)康下一代防火墻超強的應用識別能力以及功能全開啟后的高性能給用戶留下了深刻印象，憑借在測試過程中表現(xiàn)出的諸多亮點，網(wǎng)康下一代防火墻最終贏得了用戶的青睞。

高可靠、高性能滿足電信級標準

為了滿足IT承載網(wǎng)99.9%以上的可靠性要求，網(wǎng)康下一代防火墻采用了主被模式的HA部署架構，由兩臺設備組成集群，設備配置、會話信息以及在線用戶信息等均在主、被設備間實時同步，保證了故障切換時業(yè)務無中斷。

網(wǎng)康下一代防火墻采用多級冗余確保高可靠性

在測試過程中，網(wǎng)康下一代防火墻的性能表現(xiàn)同樣得到了用戶的肯定，在逐步開啟各項安全功能后，設備的包轉(zhuǎn)發(fā)速率和處理延時并未有明顯變化，經(jīng)過長時間在線測試，表現(xiàn)出了極高的穩(wěn)定性。

“性能是應用層安全設備的一大挑戰(zhàn)，為了實現(xiàn)完整的檢查，經(jīng)過設備的每一個數(shù)據(jù)包都要進行拆包和解碼，這需要消耗大量的運算資源，為了保證我們的下一代防火墻能夠在保證性能的前提下完整交付功能，我們做了多方面的創(chuàng)新”，網(wǎng)康專家指出，硬件、軟件架構以及處理機制，是制約設備性能提升的核心因素。

網(wǎng)康專家還談到，網(wǎng)康下一代防火墻采用了Intel專用高性能硬件平臺和DPDK軟件技術，所有數(shù)據(jù)包檢測均采用單路徑引擎的方式，僅需一次拆解即可實現(xiàn)應用類型、木馬、病毒、惡意網(wǎng)址等威脅的檢測，從而保證了較小的性能衰減。同時，網(wǎng)康下一代防火墻采用病毒云查殺技術，這在國內(nèi)防火墻領域尚屬首創(chuàng)，由云端的海量資源代替設備本地查殺，同樣能夠降低設備的運算開銷。

據(jù)悉，在權威評測機構賽可達實驗室的“東方之星”認證測試中，網(wǎng)康下一代防火墻在開啟全部安全功能后，性能衰減可穩(wěn)定控制在50%左右，符合業(yè)界公認的下一代防火墻性能考量標準。

應用控制、可視化升級防護級別

隨著應用程序的爆炸式發(fā)展，傳統(tǒng)防火墻已失去了對當今網(wǎng)絡流量的“理解”能力，使得防火墻設備的訪問控制幾乎完全失效。

訪問控制能力的喪失，是對企業(yè)安全的最大威脅，由流量失控導致的應用濫用、資源搶占僅是其一，一些高危應用或攜帶威脅的流量可以輕易繞過安全設備檢查，是導致安全風險升級的核心原因。

前不久，網(wǎng)康下一代防火墻支持識別的應用數(shù)量率先突破3100種，此外還有700余種移動互聯(lián)網(wǎng)應用。對網(wǎng)絡流量中人、應用、內(nèi)容的超強識別能力，已然成為網(wǎng)康下一代防火墻最核心的競爭優(yōu)勢。

“下一代防火墻的應用識別能力幫助我們解決了很多現(xiàn)實的問題”，據(jù)王雄介紹，在網(wǎng)康設備的幫助下，一些與業(yè)務無關或高危的應用流量均被拒絕或限制，減少了威脅滲透的通道，同時，對于在網(wǎng)的智能終端設備，還可基于終端類型及應用進行識別和控制。安全使能應用能夠有效支撐企業(yè)內(nèi)部的安全政策，并始終將防護級別維持在較高水平。

王雄還談到，安全管理者不應僅充當救火隊員的角色，他們始終在探索一種既能高效開展、又能切實有效的安全治理方式。

“作為一款防火墻產(chǎn)品，網(wǎng)康設備的可視化能力很出眾，無論是異常輸出還是事件溯源，都能夠非常直接的呈現(xiàn)出來，同時基于統(tǒng)計的結果對流量變化、可疑行為等進行分析，這些為我們不斷優(yōu)化安全配置幫了大忙”，王雄說。

網(wǎng)康下一代防火墻助用戶實現(xiàn)全網(wǎng)可視

網(wǎng)康專家指出，在過往，90%的用戶不對防火墻進行管理和檢查，而網(wǎng)絡始終在發(fā)生著變化，先前設定的安全配置很快就會失效。安全管理強調(diào)形成閉環(huán)，在部署了防御措施后仍要不斷的進行檢查、調(diào)優(yōu)，動態(tài)調(diào)整的安全策略具有最高的有效性。下一代防火墻正在此方面改變著用戶的使用習慣，設備一旦上線，可首先幫助用戶評估網(wǎng)絡風險，用戶根據(jù)風險狀況并結合自身安全需求進行安全配置，再通過可視化技術對全網(wǎng)狀態(tài)進一步分析，最終基于分析結果調(diào)優(yōu)策略。通過“評估-防御-檢測-響應”的閉環(huán)運行，安全防護將由單純的事件響應推向面向風險的控制。