如何利用山石防火墙做高可靠的组网?

日期:2014-9-19来源:山石网科

在一个部署了防火墙产品的重要网络中,防火墙设备一旦出现故障,必然会影响网络的安全运营,所以很多用户在购买防火墙的时候,都会根据自己网络情况认真考虑是采用单台设备组网,还是采用冗余备份的方式。但是,这真的可靠吗?

单双机部署均存在难以破解的故障

网络中部署单台防火墙设备时,无论其可靠性多高,系统都必然要承受因单点故障而导致网络业务中断的风险,而且部署在互联网出口的防火墙一般要使用网络地址转换(NAT)功能,因此无法使用Bypass来解决单点故障。

当双机部署时,单点故障问题可通过双活架构组网来规避,但防火墙是状态检测设备,如果仍是单机模式,会出现单台设备故障时,靠路由冗余切换过来的TCP流无法通过状态检测而中断。即使防火墙关闭状态检测,对于需要网络地址转换的流,由于没有NAT会话同步,也会导致中断,而且流的后续报文可能缺少应用特征关键字,导致流量应用类型识别不准,所以这些是网络管理员需要直接面对的难题。

怎样组建高度可靠的安全网络

山石网科防火墙提供了三种高可靠组网工作模式:AP模式、AA模式、对等模式。AP和AA模式都是两台防火墙通过山石网科集群管理协议建立互相备份关系(山石网科集群管理协议的基本原理请参考官网),而对等模式则是两台防火墙依赖组网中的路由冗余建立互相备份关系。

AP模式

两台设备(工作在透明模式或者路由模式)配置成一个“HA组”,一台作为主设备,另一台作为备份设备。主设备处于活动状态,转发报文,同时将其所有网络和配置信息以及当前会话信息传递给备份设备。当主设备出现设备或链路故障时,备份设备接替主设备工作,转发报文。这种主备模式具有较强冗余性,而且其网络结构简单,便于维护管理。

AA模式

两台设备(工作在透明模式或者路由模式)配置成两个“HA组”,一台在HA组1中作为主设备,在HA组0中作为备份设备;另一台在HA组1中作为备份设备,在HA组0中作为主设备。两台设备同时运行各自的工作,且相互监测对方的情况。当其中一台设备发生设备或链路故障时,另外一台设备运行其自身的工作并且接管故障设备的工作,以保证工作不间断。这种双主模式具有高性能以及负载均衡的优点。

图5 山石网科防火墙AA模式部署

对等模式

对等模式是山石网科为特殊组网场景考虑的解决方案。要求两台防火墙(工作在透明模式或者路由模式)部署在双活并且起了动态路由协议(如OSPF、BGP)的CE与PE之间,主要做访问控制和攻击防护,路由模式部署时一般还需要做网络地址转换。为了防止由于路由的冗余,会有非对称路由的问题出现:如下图所示,用户侧访问网络侧的流量走一台防火墙,而网络侧回用户侧的流量走了另一台防火墙。防火墙作为状态检测设备,无论是采用单机还是AP/AA模式部署,都会出现由于匹配不到会话,非对称流量无法通过状态检测而中断的问题,同时影响应用流量管理、入侵防御等多个功能。

图6 非对称流量组网场景

为此山石网科给出如下解决方案:两台防火墙单机部署,不使用山石网科集群管理协议,但增加互相会话备份和流量转发通道。一台设备先收到一条流的报文,则建立本地会话,同时向另一台防火墙同步对端会话,当另一台防火墙收到这条流的后续报文时,匹配到对端会话,则将流量转发到建有本地会话的防火墙上处理。这样能够保证同一条流的所有流量都由同一台防火墙来处理,延续会话的一致性,同时使得应用流量管理、入侵防御等功能能够正常使用。

图7 山石网科防火墙对等模式部署

建议使用的应用场景

企业互联网出口,防火墙通常作为网关部署在企业的互联网出口,网络地址转换(NAT)是必须的功能。一般来说企业网络内网用户和服务数量不多,为便于维护,内网用户和服务都希望配置相同的网关地址,因此建议选择两台防火墙AP模式部署。

数据中心网络出口,防火墙通常不作为网关部署在企业数据中心的网络出口,但网络地址转换(NAT)是必须的功能。由于企业数据中心具有业务多、数据流量大的特点,一般网关交换机都选择VRRP负载分担模式,此时需要防火墙的高可靠部署方案具有处理非对称流量的能力,因此需要选择两台防火墙对等模式部署。

运营商网络出口,防火墙通常不作为网关部署在运营商的网络出口,但网络地址转换(NAT)同样是必须的功能。由于运营商的运营网络出口具有数据流量大、可靠性要求高的特点,也需要选择两台防火墙AP模式部署。

微信公众号

TechTarget微信公众号二维码

TechTarget

官方微博

TechTarget中国官方微博二维码

TechTarget中国

网络防火墙>更多

相关推荐

技术手册>更多

  • 恶意软件检测与防御

    一般来说,恶意软件只是进入系统的切入点,通过下载和安装其他应用来获取管理权限,完成攻击。然而,随着网络安全战的持续胶着,威胁环境日益复杂,恶意软件也在连番升级……

  • 高级持续性威胁(APT)剖析与防护

    高级持续性威胁(APT)的目标是访问企业网络、获取数据,并长期地秘密监视目标计算机系统。这种威胁很难检测和清除,因为它看起来并不象是恶意软件,却深入到企业的计算系统中。此外,APT的设计者和发动者为逃避检测还会不断地改变其代码,从而持续地监视和指引其活动。那么,企业是否就拿这种威胁束手无策了呢?当然不是的。

  • 善用威胁情报 加固企业安全

    多年来,企业投资于安全信息和事件管理以及日志管理技术来收集、管理和分析日志。大规模数据分析领域的进步让企业使用程序得以从数据中发现异常活动和分析攻击。然而,企业很容易被从这些数据中获得的指标和警告所淹没。这正是威胁情报派上用场的时候。

  • 端点安全实用指南

    端点安全一直是令IT团队头痛的问题。如今,越来越多的员工使用自己的智能手机、平板电脑和笔记本进行工作,同时,这些设备中平台和服务数量日益增多,再加上云计算技术使用的增加,都让信息安全专业人士更加头痛。

TechTarget

最新资源
  • 存储
  • CIO
  • 数据库
  • 网络
  • 数据中心