华为NGFW让你的网络简易高效

　　随着5年前有人提出NGFW概念，这5年内人们经过一系列对原有防火墙的改造升级，人们在过热期创造了UTM。UTM除了提供传统防火墙、VPN功能基础上，同时提供病毒防护、URL过滤、漏洞攻击防护、垃圾邮件防护、P2P/IM应用层流量控制和用户行为审计等安全功能。但是人们在使用中渐渐发现，UTM更像是一个All In One的一台设备，只是单纯的把设备芯片和引擎进行叠加，无法满足大规模需要高性能客户的需求。此时人们单纯改造原有防火墙，来实现NGFW的愿望到了破灭期，人们经过努力逐渐发现，与其改造一个部件，不如重新创造出一个部件。

　　华为推出了Secospace USG6000系列下一代防火墙。通过对应用、用户、内容、威胁、时间、位置的全面感知，将网络环境清晰的映射为业务环境，提供基于应用、用户的安全和QoS管理功能。在应用识别的基础上，提供强大的IPS、AV和数据防泄漏能力，全面、高性能地防护企业信息安全，满足ICT技术与网络威胁的快速发展。本文悉数介绍华为下一代防火墙USG6000系列产品如何应对NGFW的发展方向希望对它赋予更高的能力要求，满足ICT技术与网络威胁的快速发展。本文将追溯到重新定义NGFW的源头，悉数NGFW面临的诸多挑战来看NGFW的发展方向。

　　随着云计算、移动互联网、物联网等新兴技术被广泛使用，人们逐渐发现移动化、社交化、云和大数据是未来ICT领域的的发展趋势。根据Dimensional Research的调查结果显示，55%以上的受访企业认为移动安全是当前的TOP安全问题，其中71%的受访企业认为移动设备增加了安全事件，47%的受访企业有大量客户数据存储在移动设备上。随着安全场景的复杂化，人们网络中的安全产品越来越多，网络管理员发现网络设备过多网络中可能存在的故障点就越多，对网络的稳定性会造成威胁。

　　华为USG6000下一代防火墙，不仅可以利用自身的防火墙、NAT、安全域等功能对网络进行管理，还兼顾有IPS、AV、VPN、上网行为管理等设备的特性，满足一台设备解决一个网络环境中所有的安全产品所做的工作，使我们的网络环境变得简洁明了。

　　易，我们这里是指易于管理，客户网络环境可以利用一台设备充当3-5台设备，同时兼顾IPS、AV、VPN、上网行为管理等功能，避免出现每台设备单一维护，造成管理上混乱与复杂。

　　企业网管理应遵循“最低授权权限”原则，每一个控制应尽量精确匹配到每一个点位。传统方式依赖网络管理员做大量基于端口或协议的策略限制，如果后续需要优化，或者增加相应策略会显得混乱不堪，还可能导致策略冲突。

　　华为USG6000下一代防火墙，不仅提供传统网关防火墙手工配置安全防护策略，还支持Smart Policy技术，利用智能化手段帮助运维人员管理防护策略，提供基于环境的模板用于调用且可以提出安全建议，帮助运维人员较容易且有效的管理网络。

　　随着SDN(软件定义网络)的技术逐渐成熟，对防火墙概念更像是一个安全资源池的概念，随着人们的需要按需索取，接入网络的设备提供一个既能满足应用与用户的安全防护，又能兼顾拥有学习能力，可以利用自身不断更新注入的安全疫苗，为我们搭建起一套可以抵御当今乃至未来出现病菌的平台。

　　华为USG6000下一代防火墙，不仅支持一虚多防火墙虚拟化技术，可以对现网形成一个资源池，让用户按需索取，利用IPS-AV-URL功能集升级服务可以对网络进行不间断的升级更新，帮助客户的网络形成一个安全可靠可扩展的防御盾牌。

　　高，我们这里是指效率高，设备性能高，处理速度快。设备同时开启IPS、AV防病毒功能时，性能衰减不超过50%。

　　防火墙作为网络的安全出口，策略中心，对性能的要求是巨大。传统UTM叠加式NGFW，我们在同时开启IPS、AV防病毒等功能时候，通常性能只剩下20%-30%的设备性能，造成网络出口侧瓶颈，对网络流量无法做到有效转发；防火墙通常作为网络出口或者业务出口，对于多链路环境，应考虑链路负载均衡方式，避免出现端口流量不均衡的问题、

　　华为USG6000下一代防火墙，在应用识别后，多项安全处理是并行处理，大大降低处理延迟，并且全线下一代防火墙覆盖从2G吞吐量到T级吞吐量的业务需求，同时提供最低8端口配备，满足3大运营商和教育网的多出口环境接入。