如何利用山石防火墙做高可靠的组网?

日期:2014-9-19来源:山石网科

在一个部署了防火墙产品的重要网络中,防火墙设备一旦出现故障,必然会影响网络的安全运营,所以很多用户在购买防火墙的时候,都会根据自己网络情况认真考虑是采用单台设备组网,还是采用冗余备份的方式。但是,这真的可靠吗?

单双机部署均存在难以破解的故障

网络中部署单台防火墙设备时,无论其可靠性多高,系统都必然要承受因单点故障而导致网络业务中断的风险,而且部署在互联网出口的防火墙一般要使用网络地址转换(NAT)功能,因此无法使用Bypass来解决单点故障。

当双机部署时,单点故障问题可通过双活架构组网来规避,但防火墙是状态检测设备,如果仍是单机模式,会出现单台设备故障时,靠路由冗余切换过来的TCP流无法通过状态检测而中断。即使防火墙关闭状态检测,对于需要网络地址转换的流,由于没有NAT会话同步,也会导致中断,而且流的后续报文可能缺少应用特征关键字,导致流量应用类型识别不准,所以这些是网络管理员需要直接面对的难题。

怎样组建高度可靠的安全网络

山石网科防火墙提供了三种高可靠组网工作模式:AP模式、AA模式、对等模式。AP和AA模式都是两台防火墙通过山石网科集群管理协议建立互相备份关系(山石网科集群管理协议的基本原理请参考官网),而对等模式则是两台防火墙依赖组网中的路由冗余建立互相备份关系。

AP模式

两台设备(工作在透明模式或者路由模式)配置成一个“HA组”,一台作为主设备,另一台作为备份设备。主设备处于活动状态,转发报文,同时将其所有网络和配置信息以及当前会话信息传递给备份设备。当主设备出现设备或链路故障时,备份设备接替主设备工作,转发报文。这种主备模式具有较强冗余性,而且其网络结构简单,便于维护管理。

AA模式

两台设备(工作在透明模式或者路由模式)配置成两个“HA组”,一台在HA组1中作为主设备,在HA组0中作为备份设备;另一台在HA组1中作为备份设备,在HA组0中作为主设备。两台设备同时运行各自的工作,且相互监测对方的情况。当其中一台设备发生设备或链路故障时,另外一台设备运行其自身的工作并且接管故障设备的工作,以保证工作不间断。这种双主模式具有高性能以及负载均衡的优点。

图5 山石网科防火墙AA模式部署

对等模式

对等模式是山石网科为特殊组网场景考虑的解决方案。要求两台防火墙(工作在透明模式或者路由模式)部署在双活并且起了动态路由协议(如OSPF、BGP)的CE与PE之间,主要做访问控制和攻击防护,路由模式部署时一般还需要做网络地址转换。为了防止由于路由的冗余,会有非对称路由的问题出现:如下图所示,用户侧访问网络侧的流量走一台防火墙,而网络侧回用户侧的流量走了另一台防火墙。防火墙作为状态检测设备,无论是采用单机还是AP/AA模式部署,都会出现由于匹配不到会话,非对称流量无法通过状态检测而中断的问题,同时影响应用流量管理、入侵防御等多个功能。

图6 非对称流量组网场景

为此山石网科给出如下解决方案:两台防火墙单机部署,不使用山石网科集群管理协议,但增加互相会话备份和流量转发通道。一台设备先收到一条流的报文,则建立本地会话,同时向另一台防火墙同步对端会话,当另一台防火墙收到这条流的后续报文时,匹配到对端会话,则将流量转发到建有本地会话的防火墙上处理。这样能够保证同一条流的所有流量都由同一台防火墙来处理,延续会话的一致性,同时使得应用流量管理、入侵防御等功能能够正常使用。

图7 山石网科防火墙对等模式部署

建议使用的应用场景

企业互联网出口,防火墙通常作为网关部署在企业的互联网出口,网络地址转换(NAT)是必须的功能。一般来说企业网络内网用户和服务数量不多,为便于维护,内网用户和服务都希望配置相同的网关地址,因此建议选择两台防火墙AP模式部署。

数据中心网络出口,防火墙通常不作为网关部署在企业数据中心的网络出口,但网络地址转换(NAT)是必须的功能。由于企业数据中心具有业务多、数据流量大的特点,一般网关交换机都选择VRRP负载分担模式,此时需要防火墙的高可靠部署方案具有处理非对称流量的能力,因此需要选择两台防火墙对等模式部署。

运营商网络出口,防火墙通常不作为网关部署在运营商的网络出口,但网络地址转换(NAT)同样是必须的功能。由于运营商的运营网络出口具有数据流量大、可靠性要求高的特点,也需要选择两台防火墙AP模式部署。

微信公众号

TechTarget微信公众号二维码

TechTarget

官方微博

TechTarget中国官方微博二维码

TechTarget中国

评论
查看更多评论

敬请读者发表评论,本站保留删除与本文无关和不雅评论的权力。

网络防火墙>更多

相关推荐

技术手册>更多

  • 拒绝服务攻击宝典

    “拒绝服务”是如何攻击的?有什么方法和措施可以防范此类攻击?在新时代云趋势的环境下,拒绝服务攻击又会如何发展?有什么新的趋势?本技术手册将从三个方面为您提供详细的安全策略,包括:拒绝服务攻击的原理,拒绝服务攻击的防范和拒绝攻击与云。

  • 走进单点登录

    SSO,也就是单点登录(single sign-on),它是是一种认证方法,要求用户只登录一次,使用一个用户ID和密码,登录多个应用、系统或Web网站。企业的单点登录(SSO)为终端用户提供了改善用户经验,帮助IT员工减少管理大量应用上的密码的成本。在本技术专题指南中,将主要通过专家回答用户问题的方式,解密单点登录,带领大家走进单点登录。

  • 数据防护指南

    随着计算机应用的普及,计算机数据安全问题成为了日益突出的问题,特别是在网络环境下,数据的安全问题不仅涉及到系统数据和用户数据遭到逻辑级别或物理级别的损坏威胁,而且涉及到敏感数据通过网络泄漏的威胁。如何保护计算机数据安全已经是重大的战略问题。

  • SQL注入攻击

    SQL注入是一种安全漏洞。它是对数据库驱动的应用程序攻击的一个特定类型。在这种攻击中,攻击者操纵网站基于Web的界面,迫使数据库执行不良SQL代码。攻击者可以利用这个安全漏洞向网络表格输入框中添加SQL代码以获得访问权。而今天的SQL注入攻击者查找漏洞的技术更加先进。他们使用各种工具加快开发进程。

TechTarget

最新资源
  • 存储
  • CIO
  • 数据库
  • 网络
  • 数据中心
  • 云计算