下一代防火墻，即Next Generation Firewall，簡稱NG Firewall，是一款可以全面應對應用層威脅的高性能防火墻。通過深入洞察網絡流量中的用戶、應用和內容，并借助全新的高性能單路徑異構并行處理引擎，NGFW能夠為用戶提供有效的應用層一體化安全防護，幫助用戶安全地開展業務并簡化用戶的網絡安全架構。

為什么要發展下一代防火墻？

一、 傳統防火墻無法適應新的網絡威脅和挑戰

在網絡安全的實際應用中通過安全防護體系保障網絡安全，安全防范體系具體實施的第一項內容就是在內部網和外部網之間構筑一道防線，以抵御來自外部的絕大多數攻擊，完成這項任務的網絡邊防產品我們稱其為防火墻。傳統防火墻可以分為四種類型，分別為包過濾、應用級網關、代理服務器和狀態檢測。

作為邊界網絡安全的第一道關卡防火墻經歷了包過濾技術、代理技術和狀態監視技術的技術革命，通過ACL訪問控制策略、NAT地址轉換策略以及抗網絡攻擊策略，有效的阻斷了一切未被明確允許的包通過，保護了網絡的安全，過濾不安全服務、阻止非法用戶和控制對特殊站點的訪問。

狀態檢測防火墻是上一代防火墻應用最廣泛的產品，但是它們面對新一代的安全威脅的作用越來越小。狀態檢測防火墻通過檢查數據包頭，分析和監視網絡層(L3)和協議層(L4)，基于一套用戶自定義的防火墻策略來允許、拒絕或轉發網絡流量。

然而隨著網絡的發展，黑客已經研究出大量的方法來繞過防火墻策略。狀態檢測防火墻存在著以下不足之處：1、無法檢測加密的Web流量；2、普通應用程序加密后，也能輕易躲過防火墻的檢測；3、對于Web 2.0應用程序防范能力不足；4、應用防護特性只適用于簡單情況；5、無法擴展深度檢測功能。

網絡環境的新需求迫使防火墻進行根本性的變革，因而催生出革命性的防火墻產品——下一代防火墻。

二、 下一代防火墻的到來和技術突破

1. 下一代防火墻的誕生

狀態檢測防火墻在地址/端口的網絡時代發揮了巨大作用，合理分隔了安全域，有效的阻止了外部攻擊。但對于使用僵尸網絡等傳播方式的威脅，第一代防火墻基本上是看不到的。隨著面向服務的架構和Web 2.0使用的增加，更多的通信通過更少的端口(如HTTP和HTTPS)和使用更少的協議傳輸，這意味著基于端口/協議的政策已經變得不能很好適應和奏效。

Gartner在2009年發布了一份名為《Defining the Next-Generation Firewall》，將下一代防火墻(NGFW)定義為在不同信任級別的網絡之間實時執行網絡安全政策的聯機控制。Gartner使用“下一代防火墻”這個術語來說明防火墻在應對業務流程使用IT的方式和威脅試圖入侵業務系統的方式發生變化時應采取的必要的演進。 根據Gartner的理論，NGFW 應該是一個高性能網絡安全處理平臺，至少應當具備以下幾個屬性：

（1）標準的第一代防火墻能力：包過濾、網絡地址轉換(NAT)、狀態性協議檢測、VPN等等；

（2）集成的而非僅僅共處一個位置的網絡入侵檢測：支持面向安全漏洞的特征碼和面向威脅的特征碼。IPS與防火墻的互動效果應當大于這兩部分效果的總和。集成具有高質量的IPS引擎和特征碼；

（3）應用意識和全棧可見性：識別應用和在應用層上執行的獨立端口和協議，而不是根據純端口、純協議和純服務的網絡安全政策；

（4） 額外的防火墻智能：防火墻收集外來信息來做出更好的阻止決定或建立優化的阻止規則庫。例子包括利用目錄集成將阻止行為與用戶身份綁在一起，或建立地址的黑白名單。

2. 下一代防火墻的革新

應用識別是防火墻未來發展的重要技術方向，基于應用的攻擊不斷變化，也要求防御技術必須有所提升。

下一代防火墻在性能、安全性、易用性、可管理性等方面有了質的飛躍，滿足用戶新的防御和管理需求。相比傳統防火墻和UTM（統一威脅管理，Unified Threat Management），下一代防火墻與它們的主要區別在于：

1）傳統防火墻局限于IP地址、接口層面的安全防護。從基于簡單包過濾技術防火墻到基于狀態檢測技術的防火墻，重點的防護還僅僅是停留在OSI模型的四層以內；

2）UTM是在“瘦防火墻”基礎上發展而來的，集防火墻、IPS、VPN等安全功能于一體的集成安全網關，其不足之處在于處理機制煩瑣，效率低下，內部安全模塊間缺少智能關聯；

3）下一代防火墻除了具備傳統防火墻功能外，更關注針對應用層面的安全防護。實時性、準確性、高效性也成為下一代防火墻的主要特點。它會根據深度包檢測引擎的檢測結果，自動識別到該流量在應用層執行的安全策略。流量控制需要更“精細化”的管理，不僅僅能夠對異常攻擊流量進行阻止或允許動作，更可用來進行基于應用層的QoS控制，控制粒度更為細致。

三、 下一代防火墻優勢和價值

1. 應用識別與控制

下一代防火墻依托先進的應用識別技術，在性能、安全性、易用性、可管理性等方面有了質的飛躍，下一代防火墻一般可識別超過上千種應用程序，而不論應用程序使用何種端口、協議、SSL、加密技術或逃避策略，有以下幾種應用識別方式：

1）第一步基于協議和端口的檢測 (傳統防火墻做法)。固定端口小于1024的協議，其端口通常是相對穩定，可以根據端口快速識別應用。

2）基于應用特征碼的識別，深入讀取IP包載荷內容中的OSI中的應用層信息，將解包后的應用信息與后臺特征庫進行比較來確定應用類型。

3）基于流量特征的識別，不同的應用類型體現在會話連接或數據流上的狀態各有不同，例如，基于P2P下載應用的流量模型特點為平均包長都在450字節以上、下載時間長、連接速率高、首選傳輸層協議為TCP等；NGFW基于這一系列流量的行為特征，通過分析會話連接流的包長、連接速率、傳輸字節量、包與包之間的間隔等信息來鑒別應用類型。

2. 用戶識別與控制

通過與認證系統的完美集成，對應用程序使用者實現基于策略的可視化和控制功能。提供基于用戶與用戶組的訪問控制策略，使管理員能夠基于各個用戶和用戶組來查看和控制應用使用情況。在所有功能中均可獲得用戶信息，包括應用控制策略的制定和創建、取證調查和報表分析。

管理員亦可將用戶信息編輯成Excel、TXT文件，將賬戶導入，實現快捷的創建用戶和分組信息。 支持多種身份認證方式，幫助組織管理員有效區分用戶，建立組織身份認證體系，進而形成樹形用戶分組，映射組織行政結構，實現用戶與資源的一一對應。下一代防火墻支持為未認證通過的用戶分配受限的網絡訪問權限，將通過Web認證的用戶重定向至顯示指定網頁，方便組織管理員發布通知。

3. 內容識別與管控

下一代防火墻可以將數據包還原的內容級別進行全面的威脅檢測，還可以針對黑客入侵過程中使用的不同攻擊方法進行關聯分析，從而精確定位出一個黑客的攻擊行為，有效阻斷威脅風險的發生，幫助用戶最大程度減少風險短板的出現，保證業務系統穩定運行。通過內容識別技術，下一代防火墻實現了阻止病毒、間諜軟件和漏洞攻擊，限制未經授權的文件和敏感數據的傳輸，控制與工作無關的網絡瀏覽等功能。

4. 流量管理與控制

傳統防火墻的QoS流量管理策略是簡單的基于數據包優先級的轉發，當用戶帶寬流量過大、垃圾流量占據大量帶寬，而這些流量來源于同一合法端口的不同非法應用時，傳統防火墻的QoS無能為力。

下一代防火墻提供基于用戶和應用的流量管理功能，能夠基于應用做流量控制，實現阻斷非法流量、限制無關流量保證核心業務的可視化流量管理價值。首先，下一代防火墻將數據流根據各種條件進行分類（如IP地址，URL，文件類型，應用類型等分類），分類后的數據包被放置于各自的分隊列中，每個分類都被分配了一定帶寬值，相同的分類共享帶寬，當一個分類上的帶寬空閑時，可以分配給其他分類，其中帶寬限制是通過限制每個分隊列上數據包的發送速率來限制每個分類的帶寬，提高了帶寬限制的精確度。

下一代防火墻可以基于不同用戶(組)、出口鏈路、應用類型、網站類型、文件類型、目標地址、時間段進行細致的帶寬劃分與分配，精細智能的流量管理既防止帶寬濫用，提升帶寬使用效率。

下一代防火墻有哪些產品呢？

RG-WALL 1600全新下一代防火墻

隨著社交網絡、云計算、大數據等新熱點的出現，互聯網邁向了歷史上從未有過的繁榮階段，隨之所面臨的信息化安全問題日益復雜。面對層出不窮的應用層威脅與未知威脅，“下一代防火墻”應時而生。

銳捷網絡從市場實際需求出發，結合多年的技術積累與“下一代防火墻”的發展趨勢，推出了RG-WALL 1600系列全新下一代防火墻。RG-WALL 1600系列全新下一代防火墻采用先進的CPU+ASIC硬件芯片融合技術，突破X86架構對應用層數據檢測的性能瓶頸。在安全能力上，不僅支持NAT、ACL、DDoS防御等傳統安全功能，同時，也支持豐富的應用級安全功能，包括病毒查殺、入侵檢測、APP檢測、文件過濾、惡意URL過濾等。提供多維度的應用層監控與分析，幫助用戶掌握風險，精準預警。RG-WALL 1600系列全新下一代防火墻支持與云安全中心的聯動，提供了立體有效的未知威脅防護方案。

全新下一代防火墻產品優勢

采用先進的CPU+ASIC硬件芯片融合技術，突破X86架構對應用層數據檢測的性能瓶頸。

不僅支持NAT、ACL、DDoS防御等傳統安全功能，也支持豐富的應用級安全功能，包括病毒查殺、入侵檢測、APP檢測、文件過濾、惡意URL過濾等。

提供多維度的安全監控分析，幫助用戶掌握風險，精準預警。

支持與云安全中心的聯動，提供了立體有效的未知威脅防護方案。

下一代防火墻融合硬件架構，保障應用層安全高性能

采用CPU+ASIC融合硬件架構，CPU處理連接的新建與維護等功能，多組ASIC芯片處理應用識別和安全檢查。

在應用層防護功能全部開啟的情況下，CPU利用率依然保持正常范圍，不影響網絡層安全的處理性能。

強勁的融合架構，不僅提高了數據轉發的效率，也保障了應用層安全防護的性能。

下一代防火墻全網可視化，掌握風險精準預警

可精準識別3000+互聯網應用，2.5億+URL地址。

對于潛在的安全風險，首先可針對應用、用戶、內容關聯分析，審計全網的事件日志。繼而通過數據分析處理，將事件日志分類、整合， 提供潛在威脅的預警。

提供多維度的安全監控分析，幫助用戶掌握風險，精準預警。

下一代防火墻豐富的多業務特性，簡化部署減少投資

兼顧基礎網絡功能與安全防護功能，具備虛擬防火墻、策略路由、WAN優化、負載均衡等組網能力，同時全面提供內容級安全防護， 包括：DDoS防御、僵尸網絡檢測、病毒防護、入侵防護、數據泄露防護等。

在一個頁面里即可完成全部功能的配置，不僅降低了安全運維工作量，同時避免因策略沖突帶來的網絡故障。

下一代防火墻云安全中心聯動，有效應對未知威脅

具備云安全中心聯動能力，提供全面且有效的未知威脅解決方案。當網絡中出現可疑文件時， 可將此文件上傳至云安全中心的云沙箱運行。一旦文件出現異常行為，進程在沙箱內終止， 不會感染到網絡中的任何主機與系統。幫助企業能夠繞過傳統防御手段的威脅與攻擊。

RG-WALL 1600-X9850全新下一代防火墻

互聯網的發展帶來了更為復雜、多樣的安全需求，出口網絡規模也由百兆、千兆升級到萬兆?？纱蠖鄶捣阑饓]有在這場變革中帶來令人期許的表現。宣稱指標與日俱增，但實際效果相差甚遠。究其原因，實際網絡環境中，64-256字節數據包最多，所以小包數據處理能力才是衡量防火墻產品性能的關鍵。RG-WALL 1600-X9850采用CPU+ASIC硬件架構，突破了X86及mips架構的性能瓶頸，融合銳捷安全多年來的技術積累。性能輕松滿足10萬人的出口需求。對于業務和接口，摒棄了復雜的模塊化設計，全部集成于主機上，無需額外的硬件配置即可享受高性能、多業務，豐富接口。同時，固化硬件配置、冗余電源、冗余風扇，實現99.999%的電信級可靠性。

此下一代防火墻優勢

小包性能衰減極小，100G的小包轉發性能，并發高達5000萬，輕松滿足10萬人出口需求。

2us超低延遲，超過100G的NAT轉發的網絡效率，提供更優秀的安全體驗。

采用先進的CPU+ASIC硬件架構，確保功能全開后的CPU利用率。

此下一代防火墻整體設計，一次交付全體驗

1摒棄分項采購設計，數據轉發、安全防護、接口各種業務出廠默認自帶，一次交付即可體驗。

2針對越來越繁雜的網絡安全威脅，完整提供包括入侵防御、防病毒、應用識別、垃圾郵件過濾等高性能安全防護手段。

3無需額外采購業務板，購買主機和授權即可享用全部功能與性能，極大簡化了采購和部署要求。

此下一代防火墻實現電信級可靠性

硬件均采用高可靠設計，提供電源冗余、風扇冗余，保障關鍵部分的可靠性。突破性的在百G防火墻采用全固化穩定設計。

部署方式上可支持主/主或主/備模式的冗余部署方案，保證業務不中斷。

穩定的設計，可實現電信級可靠性。

此下一代防火墻綠色節能，節約投資成本

主機形態為標準機架式3U設備，節省機房空間，降低設備產生的熱量。最大功率僅為840W。