功能服务器比拼大擂台――防火墙服务器篇

大家都知道防火墙的主要结构与我们所使用的服务器，甚至PC机差不多，它的防护机制通常是建立在软件系统之上（俗称“IOS”），与路由器差不多。而这种IOS并非普通意义上的***作系统，它要求既能满足网络设备应用需求，又需具有非常强的抵御攻击的能力，而不会像现在用的许多***作系统一样，存存这样或那样的安全漏洞。要开发这样的IOS系统谈何容易，所以一般仅限于少数几家大的网络设备商。正因如此，一直以来防火墙产品的价格都很贵，国外品牌通常在10万元以上，国内品牌便宜的也要5万元以上，所以实际上真正应用防火墙的只是一些大中型企业，小型企业并不多见。

　　现在许多服务器厂商开始寻求与软件防火墙开发商合作，利用两者在硬、软件方面的优势，打造新型的“防火墙服务器”。但是，这类服务器防火墙与传统的防火墙在性能和功能方面还是存在差距的，主要体现在服务器防火墙的过滤方式通常是采用性能较低、实现方式较为简单的静态包过滤类型，是基于OSI参考模型的传输层工作的。而现在主流的防火墙则是动态包过滤型，或者是基于OSI参考模型的应用层工作的网关应用型，这两种新型的防火墙过滤性能更好、防护功能更强。所以本文所介绍的这类服务器防火墙通常只能应用于规模较小、应用较为简单的中小企业网络中，属中低档防火墙产品。

　　目前真正拥有这一类服务器防火墙产品的并不多见，主要也是国内一些二线服务器厂商。本文要向大家推介的三款防火墙服务器产品如下：

　　宝德防火墙服务器
　　联志防火墙服务器
　　曙光高可用防火墙 DawningGate

　　 一、产品集中介绍

　　防火墙服务器由于其功能的特殊性，所以整套系统不再是一个硬件服务器产品那么简单，而是要集成一整套专门的防火墙***作系统和管理软件。

　　 1. 宝德防火墙服务器

　　宝德防火墙服务器是由宝德科技开发公司研发的一种专门针对局域网安全特点的专用网络安全设备。它能够配合相应的网络安全策略，有效防御网络黑客攻击，保护您正在使用的局域网的安全。

宝德防火墙服务器

　　宝德防火墙服务器是一款严密的软硬结合专用设备。在硬件配置上，标准配置采用英特尔PⅢ 1GHz处理器，256MB SD内存，20GB ATA硬盘和3块10/100Mbps自适应网卡。支持双电源，双机备份，确保服务器的高可***性。其实这些硬件配置并不是很重要，可以看出它的配置与现在主流的服务器相比要低许多。

　　防火墙服务器性能的真正决定因素还是软件方面。宝德防火墙服务器采用自主版权的专用安全***作系统，保证防火墙自身的安全。它具有无IP地址技术，简易、透明的使用与接入方式，可抵抗DoS/DDoS攻击。另外它采用模块化结构设计，可扩展性好，方便用户定制与升级。在管理方面，它支持远程管理与设置，并提供远程联机监控与警示。软件方面的功能非常丰富，几乎包括了所有的防火墙应的的功能。

　　宝德防火墙服务器的应用与专用防火墙一样，网络结构如下图。

网络结构图（点击看大图）

2. 联志防火墙服务器

　　联志防火墙服务器也是基于英特尔IA架构处理器的功能服务器产品。它独有的系统体系结构，使联志硬件防火墙将高速的性能、最大限度的安全性及简单易用等特点有机结合在一起，有效地消除了制约传统软件类防火墙的性能瓶颈，为企业的重要数据提供了最可***的安全保障。灵活多样的四种模式配置适用于任何现存的网络结构。即使在繁重的网络流量环境下也能确保通信安全可***。联志防火墙服务器采用模块化设计，用户可根据需要增加相应的软硬件模块，扩充系统能力。

联志防火墙服务器

　　 3. 曙光 DawningGate高性能防火墙服务器

　　这款 DawningGate高性能防火墙功能服务器是北京曙光公司与全球知名企业级安全及高可用性软件方案供应商――Stonesoft公司合作的产物。据悉，Stonesoft公司其在全球的用户超过8000个。据财富杂志统计，全球首富500强中有60%已使用了Stonesoft的产品，其中有90%属于银行和电信企业。Stonesoft公司是真正的防火墙专家，它的防火墙产品真可谓享誉全球，得到过无数荣耀。

曙光 DawningGate高性能防火墙服务器

　　这款DawningGate高性能防火墙服务器中的StoneGate防火墙提供众多实时可用的功能，较其它产品为用户节省更多额外成本，部分功能更是独一无二，超越市场上其它产品。除具有前面所介绍的宝德和联想防火墙的内容过滤、入侵检测、用户身份认证等所有标准防火墙功能外，它还具有许多专业防火墙的先进技术，它支持各种加密方式，如DES、3DES、AES、MD5、SHA-1、IKE、IPSec等；支持多种用户论证方式，如RADIUS, TACACS+, LDAP, 内部用户数据库等；支持多种自动报警模式，如电子邮件,、SMS (文本信息)、SNMP trap、Pager、用户定义的脚本等；支持多种防火墙日志记录方式，如内建的SQL关系型数据库、直接的文件存档、重定向到Syslog服务器等。它的最大技术亮点就是它多ISP联接功能。

　　DawningGate具有非常专业的防火墙安全***作系统，消除***作系统中的网络安全隐患。DawningGate的多层检测专利提供了更高水平的防火墙引擎技术。由多重链接技术驱动的高可用性VPN可以实现与多个互联网服务提供商（ISP）建立不间断的冗余型互联网链接能力。同时，还可提供少数防火墙产品所具有的真正千兆连接。多重ISP链接专利技术能对多重互联网链路进行容错及负载均衡，为Internet和 VPN交通提供最快的 可***性链接，网络结构如下图。

网络结构图（点击看大图）

　　独特功能多重连接技术，使得用户不再需要昂贵网络设备及复杂的配置，使用DawningGate防火墙就可以跨越多个ISP线路和租用线路，实现对多个互联网和虚拟专用网络的连接，从而使网络连接不再是用户网络的单一故障点。利用DawningGate的多重连接技术，对于由内而外的连接可以轻松实现网络的高可用性、负载均衡以及网络带宽的扩展。同时，DawningGate的多重连接技术对线路进行速率检测，所以用户的连接总是最优化的网络连接。

　　多重连接VPN在VPN的隧道中建立了多个子隧道，同时多重连接可以对子隧道进行持续监测，并可以将VPN信息流在子隧道之间转移，因此多重连接VPN技术为潜在的信息流提供了极佳的网络路由冗余能力和充足的数据吞吐率。

二、综合性能比较

　　以上这三款防火墙服务器在功能上来说，都具有一般防火墙所应具有的标准功能，如支持用户论证、IP地址过滤、拒绝攻击、NAT、流量统计与控制、日志记录分析和审计等功能。同时它们对诸如VPN通信、远程管理、透明连接和透明代理等技术提供支持。不过在用户访问控制上，宝德防火墙服务器更具优势，它可提供基于地址、协议、端口、用户、流量的访问控制；支持各种应用和各类协议，如基于HTTP、FTP的协议命令过滤，URL访问控制，文件访问控制，同时支持基于时间的访问控制，可以基于用户级权限控制。而在抵御攻击的能力方面，联志防火墙服务器稍具优势，除了基本的DoS和DDoS攻击可以防御外，联志防火墙服务器具还可检测SYN攻击、检测Tear Drop攻击、检测Ping of Death攻击、 检测IP Spoofing攻击、默认数据包拒绝、过滤源路由IP、动态过滤访问、支持Web、Radius及SecureID用户认证等功能。

　　在总体功能方面，宝德防火墙服务器更强些，它提供了较强的计费功能和计费开发接口、支持QoS、支持防火墙双机热备份与负载均衡（联志防火墙服务器也支持负载均衡）等比较先进的功能。曙光DawningGate高性能防火墙服务器与前面介绍的宝德防火墙服务器和联志防火墙服务器相比，无论在硬件配置和软件技术水平方面都具有较大优势。硬件配置方面，曙光DawningGate高性能防火墙服务器采用曙光公司的AP_Server专用功能服务器，其配置是真正的服务器架构，比起一般的PC架构强大许多。在防火墙软件系统方面，它的优点更是突出，凭借它的合作伙伴享誉全球的安全产品开发水平和经验，StoneGate系统的专业水平和防火墙功能更是非常专业和先进了。除了具备标准的防火墙功能外，它还具有许多非常明显的技术特色，这在前面已作介绍。它的多层检测防火墙引擎和多ISP连接专利技术更是引人注目，处于行业领先地位。

　　多层检测引擎技术可以更全面地对通信数据包和通信请求进行多层次检测，使得检测机制更完善，确保内网更安全。多重ISP连接专利技术能对多重互联网链路进行容错及负载均衡，为Internet和 VPN交通提供最快的可***性链接。 多重连接的VPN在VPN的隧道中建立了多个子隧道，同时多重连接可以对子隧道进行持续监测，并可以将VPN信息流在子隧道之间转移，因此多重连接VPN技术为潜在的信息流提供了极佳的网络路由冗余能力和充足的数据吞吐率。

　　综合起来比较的话，宝德防火墙服务器与联志防火墙服务器属于同一档次产品，宝德的性能和功能更佳些。宝德防火墙服务器具有较全面的访问控制过滤机制；而联志的抗攻击方面具有较强的能力。曙光的DawningGate高性能防火墙服务器则主要应用于高层次的WebCluser（互联网群集）环境，无论是防火墙过滤功能，还是防火墙功能都较前面的两款强许多。但可以肯定的是它的价格也较前两者的贵许多。