防火墻在網(wǎng)絡(luò )安全體系中占據著(zhù)不可撼動(dòng)的位置，尤其是對銀行業(yè)用戶(hù)來(lái)說(shuō)，防火墻的重要性更是毋庸置疑。在普遍實(shí)現了數據大集中的情況下，銀行對數據中心出口的安全設備性能要求，明顯高于一些普通行業(yè)，因此這也成為網(wǎng)絡(luò )安全設備廠(chǎng)商實(shí)力的真實(shí)舞臺。
在中國農業(yè)銀行總行（以下簡(jiǎn)稱(chēng)：農總行）數據中心防火墻選型中，華三通信的高性能超萬(wàn)兆下一代防火墻展示出的性能優(yōu)勢，滿(mǎn)足了農行當前業(yè)務(wù)系統的出口安全需求，在技術(shù)和架構上也展示出了別具一格的領(lǐng)先優(yōu)勢，為用戶(hù)帶來(lái)了更多價(jià)值。
嚴苛選型的收獲
中國農業(yè)銀行作為國有四大行之一，其企業(yè)規模和業(yè)務(wù)范疇都是超大型，23000多家境內機構、15家境外機構以及網(wǎng)上銀行、電話(huà)銀行、掌上銀行等分銷(xiāo)渠道，所有的業(yè)務(wù)都要依托總行數據中心為核心的信息化系統來(lái)處理。
2014年，中國農業(yè)銀行總行數據中心為滿(mǎn)足國家安全審查建設，針對電子認證系統建設規劃，開(kāi)展了“某系統國家安全審查建設項目“萬(wàn)兆防火墻入圍選型工作。從銀行業(yè)務(wù)的特點(diǎn)出發(fā)，農總行對設備的性能提出了明確要求：防火墻吞吐40G以上，能夠實(shí)現基于用戶(hù)、應用的下一代防火墻特性以及負載均衡、VPN、多種路由協(xié)議等網(wǎng)絡(luò )特性。
H3C SecPath F5040在眾多產(chǎn)品中表現尤為突出，最終成功入圍農總行數據中心。作為下一代高性能萬(wàn)兆防火墻產(chǎn)品，H3C SecPath F5040采用了先進(jìn)的最新64位多核高性能處理器和高速存儲器，支持多維一體化安全防護，可從用戶(hù)、應用、時(shí)間、五元組等多個(gè)維度，對流量展開(kāi)IPS、AV、DLP等一體化安全訪(fǎng)問(wèn)控制，能夠有效的保證網(wǎng)絡(luò )的安全；支持多種VPN業(yè)務(wù)，如L2TP VPN、GRE VPN 、IPSec VPN和SSL VPN等，與智能終端對接實(shí)現移動(dòng)辦公；提供豐富的路由能力，支持RIP/OSPF/BGP/路由策略及基于應用與URL的策略路由；支持IPv4/IPv6雙協(xié)議棧同時(shí)，可實(shí)現針對IPV6的狀態(tài)防護和攻擊防范。
高可靠性是農總行最為關(guān)注的一個(gè)方面，H3C SecPath F5040防火墻采用互為冗余備份的雙電源模塊，支持可插拔的交、直流輸入電源模塊，同時(shí)支持雙機狀態(tài)熱備，充分滿(mǎn)足高性能網(wǎng)絡(luò )的可靠性要求，這對于銀行業(yè)務(wù)來(lái)說(shuō)有非常實(shí)際的意義。
此次能夠入圍農總行選型，是源于華三通信的整體實(shí)力。作為新IT基礎架構領(lǐng)域的領(lǐng)先廠(chǎng)商，華三通信不僅在網(wǎng)絡(luò )安全領(lǐng)域的技術(shù)和產(chǎn)品保持著(zhù)自己的優(yōu)勢，在安全應用服務(wù)方面更是有著(zhù)十分豐富的經(jīng)驗積累，能給農行提供更多保障。
價(jià)值體現不僅在性能，還在運維
目前，已經(jīng)有兩臺H3C SecPath F5040部署在農總行數據中心，作為數據中心出口的“屏障”，為網(wǎng)銀業(yè)務(wù)保駕護航。對于農總行IT部門(mén)而言，華三通信防火墻設備的到來(lái)，也減輕了在系統部署和運維環(huán)節的壓力。
采用雙機熱備，是高端用戶(hù)普遍采用的一種增強系統穩定性的方法。以往農總行數據中心采用的是VRRP+HA的雙機部署方式，這也是國內廠(chǎng)商設備的普遍方式。但這種方式的短板十分明顯，由于單組VRRP需要消耗三個(gè)IP地址，如果雙主方式需要兩組VRRP；兩臺設備需要單獨配置維護，部分配置需要能夠自動(dòng)備份。
這種傳統方式無(wú)疑需要消耗很多IP地址資源，同時(shí)需要提前規劃眾多的地址分配以及鏈路協(xié)議規則。農行總行的IT部門(mén)需要投入大量精力，來(lái)了解安全技術(shù)細節，熟悉雙機組網(wǎng)方式。
H3C SecPath F5040則改變了這一點(diǎn)。由于可以采用SCF集群雙機技術(shù)，雙機熱備的兩臺防火墻，在網(wǎng)絡(luò )拓撲中成為了一臺設備，對外呈現單節點(diǎn)、單IP，而且只需一次配置，也無(wú)需擔心配置備份問(wèn)題。由于設備的SCF功能已經(jīng)通過(guò)集群協(xié)議完成了大部分雙機配置工作，維護人員只需通過(guò)簡(jiǎn)單的界面來(lái)進(jìn)行部署與維護，而無(wú)需理會(huì )底層的技術(shù)細節，這樣就大大提升IT部門(mén)對防火墻設備維護的工作效率。
此外，華三通信防火墻的價(jià)值體現不僅僅在這一點(diǎn)上。由于H3C SecPathF5040具備了IPS、AV防毒、應用流控等多種高性能的深度安全防御擴展能力。因此，除了實(shí)現網(wǎng)絡(luò )出口的基本訪(fǎng)問(wèn)控制外，華三通信下一代防火墻可以在任何需要的時(shí)候開(kāi)啟高性能的多業(yè)務(wù)防護以及多種VPN接入手段，在不改變現有組網(wǎng)的情況下，便捷地獲得更加完整的邊界安全防護，同時(shí)多種安全防護業(yè)務(wù)可以在一條安全策略中統一集成，讓現有網(wǎng)絡(luò )防護更為簡(jiǎn)單易用。
結束語(yǔ)
對于任何一個(gè)用戶(hù)來(lái)說(shuō)，網(wǎng)絡(luò )安全是一個(gè)需要不斷完善、不斷提升的工作。農總行數據中心的網(wǎng)絡(luò )防火墻部署需求，也會(huì )持續提升。憑借著(zhù)在業(yè)界領(lǐng)先的產(chǎn)品技術(shù)和解決方案優(yōu)勢，華三通信將繼續在農行信息化建設中展現價(jià)值，為農行IT系統打造更堅實(shí)的屏障。
