USG9500数据中心防火墙

场景一：大型数据中心边界安全防护背景与挑战：近年来随着企业数据规模大幅度膨胀，企业的核心关键业务转向数据中心，同时成为了黑客攻击的新焦点。数据中心在云计算时代，从早期的业务大集中到目前基于虚拟化技术的服务器整合，这些变化对数据中心的安全带来了新的挑战。针对数据中心安全事件频繁的现象，其安全性已经成为数据中心能否提供高效、可用服务的关键。
大型数据中心边界防护场景客户需求：大型数据中心业务有服务虚拟化、计算资源按需分配、数据访问量不断增大、出口带宽不断增长的特点。随着数据中心的不断整合，导致支撑业务的服务器、虚拟机数量不断增加。在发展为云数据中心后，业务访问海量增长，远程访问规模不断膨胀，不同业务或者租户需要提供独立的安全业务平面，数据中心内流量监控管理更加复杂，同时也吸引了更多非法访问和攻击。这种趋势导致早期的出口安全设备在性能和功能上已经无法满足新的需求，成为数据中心的瓶颈。数据中心中的应用服务器，往往提供对外公共服务，也面临来自互联网黑客的入侵攻击，网络安全加固成为构筑安全运行的数据中心的前提条件。解决方案：如图所示，可以部署USG9500在大型IDC/VDC网络的入口。为了保证系统级的运行稳定性，可在出口处部署2台设备，可以采用Active-Active或者Active-Standby两种双机部署方案，提供毫秒级的业务倒换1）随着对数据量访问性能的要求增加，可以按需扩展业务板卡，而无需购买新的设备，降低每G功耗，实现业务平滑扩容。同时随着业务板卡的扩容，实现真实性能的线性叠加，保障客户的投资能够满足真实应用带宽的增加。2）USG9500一台设备可以虚拟为多台设备，分配个不同的租户，且每个虚拟系统的带宽、会话资源可以按需个性化定制，每个虚拟系统隔离，外部网络和内部网络安全隔离。满足云数据中心虚拟化后的租户租赁业务运营，某一个租户使用的业务资源达到上限，并不影响其他租户的使用。3）通过扩展IPS入侵防御板卡、Anti-DDoS板卡，可以阻止外部网络的病毒、攻击进入IDC内部网络。 场景二：广电和二级运营商网络出口安全防护背景与挑战 ：近年来随着广电及二级运营商逐步开展互联网接入服务的业务不多膨胀，在省级广电网络的互联网出口处，往往需要汇聚省辖所有地市的宽带用户流量，在用户上网高峰期，上网带宽得不到有效保障，单靠购买ISP链路带宽成本增加另广电企业无法接受，迫切需要改变增长模式，同时满足用户的使用。


广电和二级运营商网络出口典型场景客户需求：高峰上网时期，需要网关设备能够承受高峰期几百万广电用户同时在线时的上网流量。广电网络一般租用多个ISP的多条链路，常常出现多条链路流量复杂差别大，有效利用率不高的现象。且广电网络及二级运营商由于用户数规模庞大，部分用户的下载流量直接影响到其他用户的非下载应用体验，造成客户满意度的下降。解决方案：网络出口部署高端防火墙USG9500，满足高峰时期规模庞大的广电用户同时上网业务，解决由于出口网关本身处理性能的瓶颈导致的访问拥塞。鉴于广电网络租用多个ISP的多条链路的部署特点，提出通过链路聚合技术，捆绑多条链路作为一条逻辑链路，根据到不同ISP链路的结算费用的不同，配置权重，优选费用较低的链路，并可以根据下载/非下载类业务流量类型，定义业务优先级，区分转发的链路。根据识别出的业务，做相应的策略管控。最终使上网用户体验提升。场景三：教育网出口安全防护背景与挑战 ：高校的教育网络，通常承担着国内教育网CERNET和CERNET2两张网络，分别对应IPv4和IPv6网络。出口原有防火墙性能、稳定性和业务扩展性不足，同时支持IPv4、IPv6的双栈设备较少，影响着校园网络安全

教育网出口典型场景客户需求：随着高校的不断扩招，教育网络内部，高校的师生规模往往在几万人，接入的信息节点丰富多样，高峰时期师生的突发及高流量访问需求量大，对出口设备要求性能高。老的安全网关设备无法适应快速增长的带宽需求以及海量的并发访问量，容易造成触控访问拥塞。高校的出口，同时有都IPv4教育网，IPv6教育网和Internet三张网络的需求，由于网络初期发展建设的原因，缺少同时支持IPv4、IPv6协议栈的网关设备。高校内部资源有教学科研的服务器等，对外也提供部分业务，需要安全隔离防护。解决方案：高校教育网络出口部署高端防火墙USG9500，可满足校园网几万师生高峰期同时访问的并发量。作为IPv4、IPv6双协议栈安全网关，可以替代原有设备，并在未来带宽增加时，通过扩展业务板插卡，线性提升业务处理性能。通过划分不同安全域，实现服务器资源的隔离和保护，防范互联网的安全威胁。