Hillstone虚拟防火墙技术解决方案白皮书.pdf

Hillstone虚拟防火墙技术解决方案白皮书 范围： 市场类技术文档，面向售前工程师发布，作为售前工程师向客户传递产品功能原理及使用场景的素材文档，并可向有 需要的客户直接提供。 关键词：虚拟防火墙，按需分配，业务隔离，根VSYS，非根VSYS，专有对象，共享对象，HSCS，虚拟防火墙系统资源虚拟化 计算。 摘要： 本文介绍了虚拟防火墙的需求背景、Hillstone虚拟防火墙功能的基本原理以及典型组网场景。 缩略语： 缩略语 英文全称 中文 CPU Central Processing Unit 中央处理器 DNS Domain Name System 域名系统 HTTP Hypertext Transfer Protocol 超文本传输协议 VSYS Virtual System 虚拟系统 HSCS Hillstone CPU Score Hillstone CPU分值 虚拟防火墙市场需求 1.1 按需分配，节省投资 图1 使用虚拟防火墙进行业务灵活扩展 在传统数据中心方案中，业务服务器与防火墙基本上是一对一配比。因此，当业务增加时，用户需要购置新的 防火墙；而当业务减少时，对应的防火墙就闲置下来，导致投资浪费。虚拟防火墙技术以其灵活可扩展的特性帮助 用户保护投资，用户可以随时根据业务增减相应的虚拟防火墙。同时，通过使用虚拟防火墙的CPU资源虚拟化技 术，数据中心还可以为客户定量出租虚拟防火墙，例如，可以向某些客户出租10M吞吐量的虚拟防火墙，而向另一 些客户出租100M吞吐量的虚拟防火墙。 销售/服务热线：400-828-6655 1.2 业务隔离，互不影响 图2 使用虚拟防火墙进行业务隔离 数据中心业务类型多种多样，需要使用的防火墙策略也不同。例如，DNS服务器需要进行DNS Query Flood攻 击防护，而HTTP服务器则需要进行HTTP Get Flood攻击防护。虚拟防火墙的划分能够实现不同业务的专属防护策 略配置。同时，CPU资源虚拟化可隔离虚拟防火墙之间的故障，当单个虚拟防火墙受到攻击或资源耗尽时，其它虚 拟防火墙不会受到影响，这样就大大提升了各业务的综合可用性。 Hillstone虚拟防火墙功能简介 Hillstone的虚拟防火墙功能简称为VSYS，能够将一台物理防火墙在逻辑上划分成多个虚拟防火墙，每个虚拟 防火墙系统都可以被看成是一台完全独立的防火墙设备，拥有独立的系统资源，且能够实现防火墙的大部分功能。 每个虚拟防火墙系统之间相互独立，不可直接相互通信。不同型号的Hillstone物理防火墙设备支持的最大VSYS个 数不同，支持License控制的VSYS个数的扩展。 Hillstone虚拟防火墙功能包含以下特性： 每个VSYS拥有独立的管理员 每个VSYS拥有独立的安全域、地址簿、服务簿等 每个VSYS可以拥有独立的物理接口或