产品说明-天融网络卫士过滤网关系统TopFilter系列.doc

天融信网络卫士过滤网关系统 TopFilter 产品说明 天融信 TOPSEC? 北京市海淀区上地东路1号华控大厦100085 电话：+8610-座机电话号码 传真：+8610-座机电话号码 版权声明 本手册的所有内容，其版权属于北京天融信公司（以下简称天融信）所有，未经天融信许可，任何人不得仿制、拷贝、转译或任意引用。本手册没有任何形式的担保、立场倾向或其他暗示。 若因本手册或其所提到的任何信息引起的直接或间接的资料流失、利益损失，天融信及其员工恕不承担任何责任。本手册所提到的产品规格及资讯仅供参考，有关内容可能会随时更新，天融信恕不承担另行通知之义务。 版权所有 不得翻印? 1995-200天融信公司 商标声明 本手册中所谈及的产品名称仅做识别之用，而这些名称可能属于其他公司的注册商标或是版权，其他提到的商标，均属各该商标注册人所有，恕不逐一列明。 TopSEC?天融信 信息反馈 1 产品概述 4 2 产品特点介绍 4 3 产品功能 7 4 产品规格 9 5 运行环境与标准 9 6 典型应用 12 1） 部署在网关处 12 2） 部署在分段的企业网络中 13 7 产品资质 13 8 特别声明 14 产品概述 天融信网络卫士过滤网关系统采取了一个与单机防护不同的基于网络的病毒防护方案。它被设计成安装在网络边缘，在病毒侵入网络之前实时的阻止它们，并且没有传统解决方案通常都有的延时。具有真正的即插即用能力，只要部署好之后就可以进行网络协议数据的病毒过滤功能；目前基本可以支持主要的网络协议，SMTP、IM4、POP3、HTTP以及FTP协议。采用业界先进的扫描技术，所以具有优秀的扫描性能，对各协议的处理性能表现优越。 产品特点介绍 独创的TCP粘合技术 天融信网关系统基于透明代理技术实现。透明代理技术的优点是可以在应用层实现复杂的过滤。缺点是降低设备的吞吐，并且造成较大的网络延迟。TCP粘合技术显著的提升了透明代理的性能，大大降低了通信延时。连接粘合后的性能接近内核的路由转发。 TCP粘合连接的原理如下图所示。该结构与应用级代理的最大不同在于：客户端和服务器之间的连接在操作系统的核心层进行连接粘合。TCP粘合避免了数据包从核心空间到用户空间的拷贝和多次socket系统调用导致的上下文切换，显著提高了转发的性能，并且大大降低了通信延迟。 由于TCP粘合技术需要对两个连接上的报文进行处理，所以有很多TCP协议的细节需要注意。包括：对TCP报文序号的处理；对校验和的重新计算；对常见的TCP选项的协商和转换。如果客户端和服务器不是同一类型的系统，可能在TCP协议栈的实现上有所差异。因此必须要考虑协议兼容性，以保证双向通信的正确性。 透明扫描 大多数传统的解决方案工作在OSI的应用层，以代理的方式截获数据进行扫描：客户机首先连接到网关，防病毒网关再连接到真正的服务器，转发并扫描通过的数据流，这种方法丢失了很多有用的客户端及服务器的信息。邮件服务器往往需要知道客户机的地址来决定是否允许客户端通过它发送邮件，特别是现在的垃圾邮件实在是泛滥成灾，这一点尤其重要。网络卫士网关工作在3-7层，它能够完整地保留这些信息，使企业的网络更安全。 OSI网络层次 覆盖面 7．应用 传统的防病毒软件 天融信网络卫士网关 6. 表示 5. 会话 4. 传输 3. 网络 2. 数据链路 1. 物理 网络层的扫描 同时支持单双通道的病毒扫描 网络卫士过滤网关提供灵活的部署方案，根据客户的需要，它可以被部署在网络的任何地方，并且可以配置成单或双通道的病毒扫描模式。首先，网关是最合理和有效的部署位置，它可以从公司网络的入口处直接封堵住病毒；第二，可以将它部署在邮件服务器之间，分担网络负载；第三，可以将它部署在每个需要保护的网段中，分别进行病毒的扫描和防护。 网络卫士过滤网关在配置的时候可以设置成但通道的病毒放火模式；或者设置成双通道的病毒防护模式，用户除了可以象单通道的防护模式单独保护内网，也可以利用同一台过滤网关的第二条扫描通道单独对防火墙的DMZ区的服务器组实现病毒防护，更加增强了安全性，节省了企业的成本。 真正的即插即用的设备 传统的解决方案实施有一定的挑战性。网络管理员需要重定向网络数据流，这个过程可能会很复杂。例如：为了重定向SMTP数据流，管理员可能需要改变公司的DNS的MX设置；重定向HTTP数据流可能会更复杂。 而网络卫士过滤网关，改动现有网络的任何设置。一旦部署的位置被确定（参考部署选项），只需要连接上网线，开启电源就可以进行扫描。扫描时只需要配置管理IP地址。安装向导会指导管理员进行基本的设置，十分简单易懂。 主要网络协议防病毒保护 网络卫士过滤网关是现在为数不多的能处理所有主要网络协议的防病毒网关产品之一，它能处