1、H3C SecPath M9000虛擬多業(yè)務網關介紹引入SecPath M9000系列產品是結合當前安全與網絡深入融合的技術趨勢，針對 大型企業(yè)、運營商和數據中心、云計算市場而推出的 新一代高性能多業(yè)務安全網關。目錄SecPath M9000產品概述SecPath M9000產品硬件架構SecPath M9000產品軟件特性SecPath M9000典型應用各行各業(yè)互聯(lián)網化趨勢加速運營商-互聯(lián)網業(yè)務基地、OTT金融-網銀業(yè)務互聯(lián)網企業(yè)-網上購物、社交、搜索政府-G2B、G2C業(yè)務互聯(lián)網4網絡帶寬飛速增長虛擬化、數據中心、高性能計算、 視頻點播等技術需求推動以太網朝 著更高、更快的方向快速發(fā)展。

2、2013年，國內三大運營商都進行了100G數據集采，百G時代逐漸落地2010年6月，IEEE 802.3ba 40G/100G標準2002年6月，IEEE 802.3ae 10G以太網標準發(fā)布1998年，IEEE通過了802.3z千兆標準1995年，IEEE通過了802.3u標準，將以太網的帶寬擴大為100Mbps。1983年IEEE 802.3工作組發(fā)布10BASE-5粗纜以太網標準，這是最早的以太網標準。1973年Metcalfe博士在施樂實驗室發(fā)明了以太網5網絡安全新挑戰(zhàn)P2PIPhoneIPadAndriodIMLinuxMac OS有線WindowWIFI3GSNS微博網盤 高清視頻

3、微信炒股 在線游戲6網絡安全設備需求多業(yè)務安全防護高性能、可擴展 虛擬化高可靠、易管理7SecPath M9000系列安全網關產品定位：大型數據中心 、大型企業(yè)及園區(qū)網出口、云服務提供商多租戶場景、運營商CGN等產品形態(tài)：全分布式硬件架構、多業(yè)務安全網關M9006M9010M90148全分布式硬件架構交換引擎交換引擎交換引擎處理器處理器主控引擎 主控引擎處理器業(yè)務引擎 業(yè)務引擎處理器接口單元處理器交換引擎業(yè)務引擎是各種安全板卡，可以對數據進行安全檢測、過濾和審計等。接口單元提供各種豐富、靈活的接口， 方便業(yè)務接入。主控引擎是設備的控制中心，負責設備的硬件監(jiān)控、配置管理等工作。123交換引擎負責

4、接口板和業(yè)務板之間數據 的高速轉發(fā)。94控制、交換、業(yè)務、接口完全物理分離高性能安全業(yè)務模塊FW吞吐量40G并發(fā)連接數3000萬每秒新建連接60萬LB吞吐量（L4）吞吐量（L7）并發(fā)連接數每秒新建連接20G10G3000萬60萬IPS吞吐量15G并發(fā)連接數3000萬每秒新建連接20萬10豐富的接口單元高密萬兆高速40/100G高密千兆NSQM1GP24TXEA0NSQM1GP48EB0NSQM1GT48EA0NSQM1TGS8EA0NSQM1TGX4EA0NSQM1TGS32SF0NSQM1QGS4SF0NSQM1CGC2SE011高速的交換引擎高速的交換芯片先進的CLOS架構支持N+1冗余備

5、份M9006：NSQM1FAB04B0M9010：NSQM1FAB08D0M9014：NSQM1FAB12D012智能分流（IFF）防火墻模塊防火墻模塊防火墻模塊登錄Master配置策略策略自動下發(fā) 到所有業(yè)務模塊業(yè)務流自接口單元進 入主控引擎1主控引擎2防火墻模塊防火墻模塊 防火墻模塊防火墻模塊IPS模塊LB模塊接口模塊多業(yè)務智能調度智能分流，全業(yè)務負載分擔智能業(yè)務分發(fā)業(yè)務引擎動態(tài)加入/退出， 流量自動分擔交13換網全面的安全保障大規(guī)模策略訪問控制多樣化VPN接入多鏈路智能調度全面流量分析高性能DDoS防護高性能入侵防御服務器負載均衡精細化應用管控大容量NAT專業(yè)病毒防護虛機擴容動態(tài)云計算虛

6、擬化安全防火墻FW負載均衡LBVPN網流分析NSM入侵防御IPS應用控制ACG14安全集群框架（SCF）SecPath M9000首創(chuàng)多核全分布式安全設備框架集 群技術，全面突破機框的限制，在簡化管理和部署的 基礎上同時實現了安全業(yè)務和安全性能的彈性擴展。FWIPS LBFW IPS LBFWIPSLBFWIPSLBFWIPSLB最多支持4框集群支持異構機框集群15安全ONE平臺（SOP），完全虛擬化，各SOP系統(tǒng)管理、轉發(fā)全部隔離資源分配靈活，所有資源分配均可保障、限制或搶占高性能，基于多核CPU架構、大容量內存以及高效的軟件系統(tǒng) 每個SOP可以獲得足夠的軟硬件資源可靠性高，一個SOP故障，

7、其它SOP不受影響FWIPS LBFWIPS LBFWIPS LBFWIPS LB16SecPath M9000系列產品硬件特性M900617M9014M9010主控板槽位222業(yè)務板+接口板槽位4812交換網板444電源466風扇槽位112SecPath M9000系列產品軟件規(guī)格每槽位帶寬(Gbps)每槽位帶寬(Gbps)48011201120整機交換容量(Tbps)整機交換容量(Tbps)1.928.9613.44吞吐量防火墻吞吐量(大包)120G240G400G防火墻吞吐量(混合包105G210G350G包轉發(fā)率(64Bytes)36M72M120M并發(fā)連接數并發(fā)連接數9000萬1.8

8、億3億每秒新建連接數每秒新建連接數（HTTP）180萬/秒360萬/秒600萬/秒M9006M9014M901018SecPath M9000產品形態(tài)IPSLB FWV7機框+V5安全板卡IPSLB FWV7機框+V7安全板卡19目錄SecPath M9000產品概述SecPath M9000產品硬件架構SecPath M9000產品軟件特性SecPath M9000典型應用SecPath M9000系列產品外觀 主控引擎 安全/接口業(yè)務板 電源21M9006M9010M9014SecPath M9000系列產品外觀 風扇 交換網板 出風口M9006M9010M901422SecPath M9

9、006產品23SecPath M9010產品24SecPath M9014產品25SecPath M9000主控引擎SecPath M9000全系列產品共用一款主控引 擎，每個框支持2塊，可以實現1+1備份。NSQM1SUPB0CPU多核（XLP316）內存8GFlash512MConsole1管理口126SecPath M9000接口板分類型號描述千兆NSQM1GT48EA0SecPath M9000 48端口千兆以太網電接口模塊NSQM1GP48EB0SecPath M9000 48端口增強型千兆以太網光接口模塊(SFP,LC)NSQM1GP24TXEA0SecPath M9000 16端

10、口千兆以太網光口(SFP,LC)+8端口千兆以太網Combo口+2端口萬兆以太網光接口模塊(XFP,LC)萬兆NSQM1TGX4EA0SecPath M9000 4端口萬兆以太網光接口模塊(XFP,LC)NSQM1TGS8EA0SecPath M9000 8端口萬兆以太網光接口模塊(SFP+,LC)NSQM1TGS32SF0SecPath M9000 32端口萬兆以太網光接口模塊(SFP+,LC)40GNSQM1QGS4SF0SecPath M9000 4端口40G以太網光接口板(QSFP+,MPO)100GNSQM1CGC2SE0SecPath M9000 2端口100G以太網光接口板(CF

11、P,LC)27SecPath M9000高性能業(yè)務處理板帶外管理consoleCF扣卡單獨網口，用于業(yè)務引擎獨立 升級業(yè)務CPU12*8G內存DDR3分布式內存互聯(lián)DDR3DDR3DDR3Shared CacheCpu0-cacheCpu1-cacheCpu2-cacheCpu3-Cpu4-Cpu5-cachecachecacheCpu6- cache。CpuN- cache網絡加速網絡接口高速消息交換網絡安全加速CPU自帶高性能加密引擎，保證高性能VPN業(yè)務處理新一代MIPS多核CPU，內置高速消息總線和共享內存，多核并行高速處理大容量TCAM保證大量策略及DDOS攻擊下的系統(tǒng)性能大內存配合

12、64位操作系統(tǒng)，提供千萬級并發(fā)管理CPU0TCAM28NSQM1FWCEA0SecPath M9000兼容業(yè)務處理板硬件規(guī)格1個Console接口1個CF卡接口，支持容量為256M、512M、1G的CF卡2個USB接口（預留）2個10/100/1000BASE-T電接口2個千兆Combo（光電復合）接口后插板10GE接口SecBlade IICF卡Console口2GE電口2GE Combo口CP U29內存SecPath M9000安全業(yè)務板現階段NSQM1FWCEA0FirewallLBIPSNSMACGSSL VPN將來LSQM1LBSC0LSQM1IPSC0LSQM1NSMSC0LSQ

13、M1ACGSC0LSQM1SSLSC0NSQM1LBCEA0NSQM1IPSCEA0NSQMNSMCEA030SecPath M9000交換網板網板型號適用機框每網板帶寬(High speed)每網板帶寬(Low speed)NSQ1FAB04B0M9006480Gbps/720Mpps80Gbps/120MppsNSQ1FAB08D0M9010960Gbps/1.44Gpps160Gbps/240MppsNSQ1FAB12D0M90141400Gbp/2.16Gpps240Gbps/360MppsM9006：NSQM1FAB04B031M9010：NSQM1FAB08D0M9014：NSQM

14、1FAB12D0SecPath M9000硬件架構主 控 引 擎 1+1冗 余獨立交換引擎 3+1冗余管理CPU管理Switch業(yè)務switch管理CPU0業(yè)務引擎CPU1FW引擎管理Switch業(yè)務switch管理CPU0業(yè)務引擎CPU1IPS引擎管理Switch業(yè)務switch管理CPU0業(yè)務引擎CPU1LB引擎管理Switch業(yè)務switch管理CPU面板口管理Switch業(yè)務switch管理CPU面板口管理Switch業(yè)務switch管理CPU面板口32IO引擎IO引擎IO引擎獨立管理總線，配置下發(fā)、狀態(tài)監(jiān)控 高速數據總線1、獨立的管理CPU和獨立管理總線，保證在大業(yè)務流量情況下，管理

15、可靠性2、高性能多核CPU和高速交換引擎保證數據的高速處理和轉發(fā)SecPath M9000系統(tǒng)轉發(fā)架構M9000數據轉發(fā)主要涉及接口單元、交換單元和安全引擎。三部分Swtich FabricSwitchIO/線卡SwitchIO/線卡SwitchIO/線卡SwitchIO/線卡SPESwitchSPESPESPESPESwitchSPESPESPE內部鏈路以太鏈路33接口單元交換單元安全引擎SecPath M9000數據轉發(fā)流程數據從線卡進來以后根據智能分流策略通過交換網板轉發(fā)至各安全板卡進行處理，處理完成以后再經交換網板送回線卡。SecBlade前插板負責安全業(yè)務處理，后插板負責數據轉發(fā)。匹

16、配轉發(fā)規(guī)則根據轉發(fā)表項找到出 口，并轉發(fā)到特定線 卡/業(yè)務卡選出實際物理口,把流量送到前插板安全CPU進行業(yè)務處 理安全CPU根據轉發(fā)表 項,把流量送到后插板根據轉發(fā)表項送到交 換板根據轉發(fā)表項找到出 口判斷為本芯片的出端 口報文，在對應物理 口發(fā)送線卡1線卡2交換網SecBlade 后插卡 交換芯片安全業(yè)務CPU轉發(fā)表/鄰接表引流策略34SecPath M9000電源模塊SecPath M9000兩種電源所有機框通用，M9006最多支持4個電源， M9010/M9014最多可支持6個電源。M9000電源支持N+M配置模式，靈活根據系統(tǒng)功耗配置模塊數量。LSUM1AC250035LSUM1DC

17、2400電源型號電源類型輸入電壓和電流范圍最大輸出功率LSUM1AC2500交流電源模塊100240V AC；50/60Hz；16A2500WLSUM1DC2400直流電源模塊-48V-60V DC；60A2400WSecPath M9000風扇模塊SecPath M9000 風扇采用冗余設計，風扇支持智能自動調速，同時風扇也支持設置特定轉速，可查詢風扇上各個葉片實時轉速。M9006風扇36M9010風扇M9014風扇SecPath M9000防塵網防塵網安裝在機箱散熱風道的進風口,用于防止大量灰塵被吸入機箱內部。M9006有兩塊防塵網，M9010有一塊，M9014有三塊。M9000的防塵網屬

18、于可選部件。37目錄SecPath M9000產品概述SecPath M9000產品硬件架構SecPath M9000產品軟件特性SecPath M9000典型應用SecPath M9000系統(tǒng)軟件架構主控引擎軟件系統(tǒng)業(yè)務引擎軟件系統(tǒng)ComwareComwareComwareiWareDrivers39接口板業(yè)務分流QOS報文轉發(fā)組播復制BFDFW會話管理域間策略NATVPN報文異常檢測DoS/DDoS攻 擊防范應用控制虛擬防火墻LBL4服務器負載L7服務器負載Outbound鏈 路負載Inbound鏈路 負載健康性檢測就近性探測持續(xù)性IPS病毒防御攻擊檢測URL過濾DDoS防范帶寬管理日志和

19、報表高可靠性主控引擎設備管理配置管理協(xié)議交互表項同步表項下發(fā)集群管理日志監(jiān)控單一類型業(yè)務引擎智能分流IO引擎FW業(yè)務引擎FW業(yè)務引擎FW業(yè)務引擎獨立交換引擎 3+1冗余 主 控 引 擎 1+1冗 余IO引擎IO引擎IO引擎FW引擎：路由策略到IO引擎IO引擎：引流策略到某一業(yè)務引擎主控配置、路由通過管理通道自動下發(fā)到各業(yè)務引擎主控根據業(yè)務引擎成員狀況，業(yè)務配置需求，自動下發(fā)正反向引流規(guī)則業(yè)務引擎針對隧道類業(yè)務，ALG業(yè)務動態(tài)下發(fā)正反向引流規(guī)則40多類型業(yè)務引擎智能分流IO引擎FW業(yè)務引擎IPS業(yè)務引擎LB業(yè)務引擎獨立交換引擎 3+1冗余 主 控 引 擎 1+1冗余IO引擎IO引擎IO引擎FW：

20、引流策略到IPS引擎IPS:引流策略到LB引擎LB:路由策略到IO引擎IO引擎：引流規(guī)則到FW引擎主控配置、路由自動下發(fā)到多業(yè)務引擎主控根據業(yè)務引擎成員狀況，業(yè)務配置需求，自動下發(fā)引流規(guī)則針對隧道類、ALG業(yè)務動態(tài)下發(fā)引流策略41NAT特性IMailWeb多功能PAT/NO-PATEasy-IPNAT ServerNAT StaticNAT444ALG(FTP/DNS/SIP）42高性能NAT 吞吐：400GNAT 新建：600萬/秒NAT 并發(fā)：3億可視化NAT連接數限制NAT二進制日志NAT444用戶/會話日志VPN特性總部InternetIPSec加密l2tp + IPSecGRE +

21、IPSecInternetInternet合作伙伴企業(yè)分支出差員工豐富的VPN功能：L2TP VPNGRE VPNIPSec VPNSSL VPNMPLS VPN高效的加密/認證算法：DES/3DESAESMD5/SHA-1多樣的認證方式：本地認證RADIUSLDAPPKI/CA43攻擊防范黑名單掃描攻 擊防范DDoS防范動態(tài)黑名單靜態(tài)黑名單地址掃描端口掃描畸形報文攻擊防范ICMP FloodUDP FloodSYN FloodDNS FloodFraggle攻擊檢測Land攻擊檢測WinNuke攻擊檢測TCP Flag攻擊檢測ICMP不可達報文攻擊檢測Smurf攻擊檢測超大ICMP報文攻擊

22、檢測44服務器負載均衡負荷60負荷60負荷60負荷60負荷60LBSW45全面的負載特性L4服務器負載L7服務器負載IPv6服務器負載豐富的調度算法（加權）輪詢（加權）最小連接（加權）隨機源地址（端口）散列ACL策略靈活的健康性檢測ICMPTCP/UDPSNMPSSLRadiusDNS/FTP/HTTPSMTP/POP3多樣化的持續(xù)性源IP地址（端口）目的IP地址（端口）Cookie插入/重寫/截取SIP的Call-IDHTTP報文頭鏈路負載均衡同時支持Outbound和Inbound鏈路負載支持持續(xù)性、ACL策略、ISP選路、就近性、調度算法等多種靈活的選路機制支持（加權）輪詢、隨機、最小連

23、接，源/目的地址散列，加權帶寬、 最大帶寬等多種豐富的調度算法。ISP1ISP31234561265ISP234LB46深度檢測路由器交換機IPS內部網絡漏洞庫協(xié)議庫病毒庫攻擊防范病毒檢測URL過濾DDoS防護帶寬管理統(tǒng)計報表三庫合一實現全面攻擊防御47安全集群框架(SCF)業(yè)務引擎集群-兩框集群-4框集群-異構集群FW1 FW2LB1 LB2IPS48FW組LB組IPS組安全集群主備模式SWSWSWSWIRF SWIRF SWA AS SASAAAS冗余口冗余口冗 余 組 IRF通過將主備設備接口加入冗余口，根據SCF主備狀 態(tài)阻斷備機鏈路通過將上下行冗余口加入冗余組，實現上下行聯(lián)動可以監(jiān)控

24、接口、鏈路、引擎狀態(tài)，實現主備切換49上下行聚合組網、獨立三層上行鏈路雙活業(yè)務引擎通過備份組實現主備trunk備份組1IRF備份組2備份組3VRRPtrunk安全N:N高可靠性業(yè)務引擎6業(yè)務引擎7業(yè)務引擎8業(yè)務引擎9業(yè)務引擎10業(yè)務引擎1業(yè)務引擎2業(yè)務引擎3業(yè)務引擎4業(yè)務引擎5IO引擎1IO引擎3IO引擎2IO引擎4業(yè)務引擎1業(yè)務引擎2 業(yè)務引擎3 業(yè)務引擎4IO引擎:1024:80 TCPNew Owner（主設備故障，新的轉發(fā)設備）12Director（備份）345:80-:1024 TCP1）IO引擎根據負載分擔算法將正向流分配到業(yè)務引擎1，該業(yè)務引擎 成為該數據流的所有者，成為主引擎2

25、）數據流所有者根據數據流五元組信息計算出備份引擎，將會話同步 給備份引擎3）主引擎故障4）對于原數據流，IO引擎通過負載分擔算法分發(fā)到引擎45）引擎4向備份引擎獲取主引擎信息，得知主引擎故障，從備份引擎 得到備份會話信息，然后成為該數據流新的主引擎主轉發(fā)引擎交 換 引 擎50安全集群優(yōu)勢51、普通雙機集群管理雙機獨立管理、依靠配置同步無 法保證主備配置完全一致，配置 沖突問題無法避免多臺設備SCF后，一體化管理，統(tǒng)一配置下發(fā)，不存在配 置沖突問題組網兩臺設備獨立、對外互聯(lián)IP至少2 個，一般3個，公網地址浪費多臺設備SCF后，對外邏輯上是一臺設備，互聯(lián)IP為1個VRRP方式下，依賴上下行設備

26、的二層通道通過內部互聯(lián)SCF鏈路協(xié)商，不依賴外部設備多組VRRP單獨協(xié)商，需要復雜track保持上下行一致冗余組方式通過將上下行接口加入同一冗余組，監(jiān)控接口鏈路、引擎狀態(tài)統(tǒng)一切換；引擎?zhèn)浞莘绞?，接口、鏈路聚合切換，引擎故障，引擎組 備份組切換，外部無感知雙主熱備模式下，任意接口、鏈 路、，整機切換，導致收斂時間 長，性能減半SCF內所有引擎N:N備份，接口故障、鏈路故障，所有引擎處理，性能不損失；引擎故障，損失一個引擎性能擴展性業(yè)務擴容時，需要整機斷電升級SCF內所有引擎N:N備份，任意引擎拔出插入，業(yè)務無影 響最多兩臺，要求硬件型號一致最多4臺設備、硬件型號可以不同安全SOP實現原理硬件平臺

27、操作系統(tǒng)基礎功能(驅動、任務調度、內存管理、定時器等)SOP1-OSSOP2-OSInit進程CLI進程SNMP進程OSPF進程Init進程CLI進程SNMP進程OSPF進程 用戶態(tài)空間轉發(fā)內核線程NAT內核線程ASPF內核線程數據轉發(fā)內核線程NAT內核線程ASPF內核線程數據 內核態(tài)空間52SOP架構優(yōu)勢FWIPSLBFWIPS LB傳統(tǒng)虛擬防火墻虛機方式SOP隔離VRF路由隔離操作系統(tǒng)隔離業(yè)務系統(tǒng)隔離業(yè)務虛擬化程度部分業(yè)務VPN實例化完全虛擬化完全虛擬化硬件資源分配不支持按CPU核數、內存大小按CPU、內存利用率分配虛擬防火墻規(guī)格多少多性能性能高性能低性能高可靠性一個實例故障，整機故障一個

28、系統(tǒng)故障，其它系統(tǒng)不受影響一個SOP故障，其它SOP不受影響FWIPS LBFWIPS LB53SOP CPU調度機制10%20%30%40%50%最小可以使用的CPU時間片 當前使用的時間片最大可使用的時間片金牌用戶，保證10%，最 大可使用40%銀牌用戶，保證5%，最大可使用15%銅牌用戶，無保證，最 大可使用10%10%20%30%40%50%所有租戶流量都大時，保證 金牌租戶的最低值54SOP虛擬資源池引擎1VFW1VFW2VFW3VFW3VFW5VFW6VFW7VFW8VFW9VFW10VFW11VFW12VFW13VFW14VFW15VFW16VFW17VFW18引擎2引擎3引擎4

29、引擎5引擎6虛墻的劃分以業(yè)務集群組為單位擴展業(yè)務板后，虛擬化擴展有如下兩種形態(tài)：縱向：單虛墻的能力不變，可劃分的虛墻數量增加橫向：單虛墻的能力增加，可劃分地虛墻數量不變VFW1VFW2VFW3VFW4VFW1VFW2VFW3VFW4VFW1VFW2VFW3VFW4VFW1VFW2VFW3VFW4VFW1VFW2VFW3VFW4VFW1VFW2VFW3VFW4引擎155引擎2引擎5引擎6VFW1VFW2VFW4VFW5引引擎3 擎集引擎4 群SOP接口虛擬化TrustRD User /16Market User /16Global VFWuntrustRD-VFWMarket-VFWTrustUntrust1、統(tǒng)一的NAT地址 池2、所有internet流 量審計untrust1、禁止HTTP、DNS服務、2、允許其他服務Trust1、允許http流 量2、其他禁止G0/0/1 共享接口DMZRD User /16Market User /16RD-VFWMarket-VFWTrustTrustNat outb