【ChinaBeta.Cn 网盟学院】
思科高端防火墙6503/6506/6509 产品要点和应用环境，解决方案应用
 Cisco Catalyst®6503/6506/6509高端防火墙是一种高速的、集成化的防火墙，可以提供业界最快的防火墙数据传输速率：5Gb的吞吐量，100000CPS，以及一百万个并发连接。在一个设备中最多可以安装四个FWSM防火墙模块，因而每个设备最高可以提供高达20Gb的吞吐量。作为世界领先的Cisco PIX防火墙系列的一部分，6503/6506/6509高端防火墙可以为大型企业和服务供应商提供无以伦比的安全性、可靠性和性能。
6503/6506/6509高端防火墙（FWSM）采用了Cisco PIX技术，并且运行Cisco PIX操作系统（OS）--一个实时的、牢固的嵌入式系统，可以消除安全漏洞，防止各种可能导致性能降低的损耗。这个系统的核心是一种基于自适应安全算法（ASA）的保护机制，它可以提供面向连接的全状态防火墙功能。利用ASA，FWSM可以根据源地址和目的地地址，随机的TCP序列号，端口号，以及其他TCP标志，为一个会话流创建一个连接表条目。FWSM可以通过对这些连接表条目实施安全策略，控制所有输入和输出的流量。
FWSM集成防火墙模块
6503/6506/6509高端防火墙是由FWSM防火墙服务模块安装在Cisco Catalyst 6500系列交换机或者Cisco 7600互联网路由器的内部而成，Cat6K的任何端口都可以充当防火墙端口，并且在网络基础设施中集成了状态防火墙安全。对于那些机架空间非常有限的系统来说，这种功能非常重要。Cisco Catalyst 6500 真正成为了那些需要各种智能化服务（例如防火墙接入、入侵检测、虚拟专用网（VPN））和多层LAN、WAN和MAN交换功能的客户的首选IP服务交换机。
适应未来需要
6503/6506/6509高端防火墙（FWSM）可以支持5Gb的吞吐量，因而可以提供无以伦比的性能，让用户无须对系统进行彻底的升级，就可以满足未来的要求。在Catalyst 6500中最多可以添加到四个FWSM，以满足用户不断发展的需求。
可靠性
FWSM防火墙模块建立在Cisco PIX技术的基础之上，并使用了同一个经过时间检验的Cisco PIX操作系统--一个安全的、实时的操作系统。FWSM可以利用行之有效的Cisco PIX技术检测分组，从而可以在同一个平台上提供性能和安全的独特组合。
低廉的整体运营成本
FWSM可以提供所有防火墙中最佳的性能价格比。由于FWSM防火墙模块是基于Cisco PIX防火墙的，所以培训和管理成本都很低，而且由于它是集成在Cat6K设备内部的，所以大大减少了需要管理的设备的数量。
易用性
Cisco PIX 设备管理器的直观的图形化用户界面（GUI）可以用于管理和配置FWSM。
| 主要特性 |
优点 |
| 性能 |
5 Gbps |
|
一百万个并发连接 |
|
每秒建立和断开超过10万个连接 |
| 多种接口 |
最多可以支持100个防火墙VLAN--任何Cisco Catalyst 4000 VLAN都可以充当防火墙VLAN |
|
支持802.1q 和ISL 协议 |
| 切入型代理 |
对每个VLAN实施安全策略 |
| 主要特性 |
优点 |
| 配置支持 |
控制台到命令行界面(CLI) |
|
Telnet 到Cisco PIX防火墙的内部接口 |
|
基于IPSec的Telnet到Cisco PIX防火墙的外部接口 |
|
SSH到 CLI |
|
SSL 到 Cisco PIX 设备管理器 |
| AAA 支持 |
通过TACACS＋和RADIUS支持，集成常见的身份认证、授权和记帐服务 |
| NAT/PAT 支持 |
提供动态/静态的网络地址解析（NAT）和端口地址解析（PAT） |
| Cisco PIX 设备管理器(PDM) |
简便、直观、基于Web的GUI可以支持远程防火墙管理 |
|
多种基于实时数据和历史数据的报告可以提供使用趋势、基本性能和安全事件等信息 |
| 安全网络管理 |
安全的、采用三重数据加密标准 (3DES)加密的网络管理接入 |
| 访问控制列表 |
最多支持128000条访问控制列表 |
| URL 过滤 |
在服务器中设定策略，并利用Websense软件检查输出的URL请求 |
| 命令授权 |
对所有CLI设置优先级，创建与这些优先级对应的用户账号或者登录环境。 |
| 对象群组 |
能够组合网络对象（例如主机）和服务（例如ftp和http） |
| 防范 DoS |
DNS 保护 |
|
Flood Defender |
|
Flood Guard |
|
TCP 阻截 |
|
单播反向路径发送 |
|
FragGuard和虚拟重组 |
| 路由 |
静态路由· 动态；例如路由信息协议（RIP）和开放最短路径优先（OSPF） |
| 高可用性 |
状态故障恢复--设备内部和设备之间 |
| 日志 |
全面的系统日志、FTP、URL和ACL日志 |
| 其他协议 |
H.323 V2 |
|
基于IP的NetBios |
|
RAS 第二版本 |
|
RTSP |
|
SIP |
|
XDMCP |
|
Skinny |
6503/6506/6509高端防火墙部署在企业园区的数据中心的网络拓扑中。
今天的企业不仅仅需要周边安全，还需要连接业务伙伴和提供园区安全区域，为企业中的各个部门提供安全服务。6503/6506/6509高端防火墙可以通过让用户和管理员以不同的策略在企业中设立安全域，提供一种灵活、经济、基于性能的解决方案。图2显示了一个利用状态过滤来建立不同的、基于VLAN的安全域的园区部署。
利用6503/6506/6509高端防火墙，用户可以为不同的VLAN制定相应的策略。
数据中心也需要用状态防火墙安全解决方案来保护数据，并以尽可能低的成本提供千兆位的性能。 6503/6506/6509高端防火墙可以通过在防火墙中提供最佳的性能价格比，最大限度地提高资本投资效率，让客户可以放弃过去那些需要另购防火墙负载均衡设备的、价格昂贵的防火墙产品。
思科IOS路由器防火墙产品及特性
思科公司的IOS路由器均提供强大的安全功能，在集成化要求很高的情况下，采用思科全系列路由器并配备安全功能的IOS软件也是一个灵活的选择。
Cisco IOS防火墙软件荟萃了多种多样功能强大的安全性功能，包括：
- 基于上下文的访问控制(CBAC)
- 入侵检测
- 身份验证代理
- 拒绝服务检测与预防
- 动态端口映射
- Java小应用封锁
- VPN、IPSec加密和QoS支持：
- 实时告警
- 网络事务跟踪记录
- 事件记录
- 防火墙管理
- 与Cisco IOS软件的集成
- 基本和高级数据流过滤：
- 基于政策的多接口支持
- 网络地址转换
- 基于时间的访问列表
- 对等路由器身份验证
| 
[软件应用]凤凰涅槃 驱动精灵2008归来 (01-03)
