互联网接入是企业典型的应用场景之一，也是企业网安全建设中首要关注的环节。随着企业网络接入规模的快速增长、互联网应用的多样化、应用协议的智能化，使得企业对互联网访问行为的安全管控难度越来越高。
Hillstone下一代防火墙，融合多种安全技术，能够为企业互联网提供精细化的管控，提升企业应对风险的能力，实现：
| ● | 为企业互联网应用提供更全面的安全监控与防护； | |
| ● | 杜绝员工访问恶意网站，减少恶意代码渗入企业网； | |
| ● | 针对企业多条互联网链路，提供智能链路负载均衡，提升链路利用率； | |
| ● | 基于应用的带宽控制为关键业务提供更好的资源保障，提升业务连续性。 |
1、安全需求
对于企业信息化系统而言，企业的网站发布，企业ERP、CRM等业务，企业邮箱，企业视频会议，通过互联网平台可实现更广泛、更便利、更经济的接入访问；同时互联网也为员工获取信息，掌握更新的讯息提供了途径。但另一方面，由于互联网的开放性，也使得通过互联网平台的业务访问面临诸多的安全问题，如果不能得到有效解决，将严重影响企业信息化的建设。归纳起来企业互联网出口需要解决的典型安全需求包括：
| ● | 有效抵御外部攻击，保护企业网站 | |
| 防范互联网黑客，企业恶意竞争对手通过互联网开放平台，对企业网进行拒绝服务类攻击，导致企业正常业务无法响应服务请求。 | ||
| ● | 防范员工访问恶意网站，防范病毒传播 | |
| 因防范员工无意访问挂马网站，导致恶意代码会通过互联网途径传播到企业网内部，从而引发大面积的设备中毒、网络瘫痪、应用停滞等事件的发生。 | ||
| ● | 实现多链路自动切换，保障业务连续 | |
| 多数企业的互联网出口都会租用多条ISP链路，在缺乏自动故障切换时，任何一条链路的故障都会在一定程度上影响一批人上网，为此需要引入多链路自动切换技术，提升上网访问连续性。 | ||
| ● | 合理控制流量，避免网络拥塞 | |
| 国内普遍习惯使用P2P进行文件下载，这种网络行为会过度占用带宽资源，严重影响其他正常网络访问。即使进行了扩容，但网络拥塞的现象很快又出现，因此必须对此类应用进行带宽限制，保障关键业务的连续性。 |
2、解决方案
Hillstone企业互联网出口网络安全解决方案，采用融合多种安全技术为一体的Hillstone下一代防火墙，部署在企业互联网出口链路的路由器和交换机之间，配置为路由模式，启用NAT技术为员工上网访问提供支持；同时下一代防火墙支持的多个接口，还能够单独将网站、邮件等对外服务器进行物理隔离，在网络安全层面为企业互联网应用带来：
Hillstone企业互联网出口网络安全解决方案
| ● | 有效抵御外部攻击，保护企业关键服务 | |
| Hillstone下一代防火墙在传统攻击检测的基础上，还提供了基于行为特征的攻击检测行为，通过对攻击行为的深入分析，来提供更有效的检测方法，在企业互联网出口，能够对关键的服务提供更有效的保护。 | ||
| ● | 访问网站的分类URL过滤 | |
| 防止员工因访问恶意网站而造成病毒传播，是企业互联网访问行为管控的要点，但对网站的识别与分类是实施网站分类管控的难点，Hillstone下一代防火墙内置的专业URL分类库，将互联网上常见的网站进行收集和分类，并能够实时进行升级，从而提升了分类管控的精度。 | ||
| ● | 多链路负载均衡提供可靠性保障 | |
| 下一代防火墙采用链路聚合和链路冗余等技术，针对企业多个互联网出口链路，提供更为可靠的保障，可确保当单条链路故障后，能够有效将业务访问切换到正常链路上，保障业务连续。 | ||
| ● | 链路实时监控与带宽控制 | |
| 下一代防火墙在应用识别的基础上，实时监控应用的流量状态，以及总体流量状态，同时根据出口链路的出口带宽占用率，灵活地提供不同的带宽控制策略，为关键应用分配足够的带宽资源。 |
3、方案效果
根据方案的建设内容可以看出，通过在企业互联网出口部署Hillstone下一代防火墙，能够有效防范来自互联网的攻击行为，有效管控员工的网络访问，同时也能够有效保护网站等服务的正常运行，并实现如下的建设效果：| ● | 对抗恶意攻击，保护网站应用 | |
| 企业网站经常遭到不明来历的海量连接请求，导致服务瘫痪，Hillstone下一代防火墙采用访问来源真实性检查技术，有效阻断上述非法访问，同时也保障了正常访问的连续性。 | ||
| ● | 限制访问恶意网站，防范病毒传播 | |
| Hillstone下一代防火墙内置专业的分类URL地址库，免除了系统管理人员手工维护的工作量，开启对恶意网站类地址的过滤策略后，因员工访问恶意网站而导致病毒传播的事件可以得到有效遏制。 | ||
| ● | 链路自动切换，保障业务连续 | |
| 针对企业的双出口链路，在Hillstone下一代防火墙上配置链路自动冗余模式，平时系统自动将访问流量在两条链路上均衡地分配和转发，一旦某条链路中断，下一代防火墙将自动切换流量到另一条链路，保障业务访问的连续。 | ||
| ● | 合理分配带宽，保护关键业务 | |
| Hillstone下一代防火墙配置的带宽控制技术，能够将非关键业务流量压缩，并为重要的业务访问提高带宽保障，从而使带宽分配更加合理，使关键业务的连续性得到更好的保证。 |