防火墙在企业园区出口安全方案中的应用(ENSP实现)_基于ensp的大型企业双路由出口与双防火墙,以及两台三层交换机作为汇聚接入设备的

需求：

1、企业出口网关设备必须具备较高的可靠性，为了避免单点故障，要求两台设备形成双机热备状态。当一台设备发生故障时，另一台设备会接替其工作，不会影响业务正常运行。

2、企业从两个ISP租用了两条链路，要求出口网关设备可以识别流量的应用类型，将不同应用类型的流量送往合适的链路，提高链路利用率，避免网络拥塞。

3、企业内部用户分为研发部员工、市场部员工、生产部员工以及管理者，根据企业内部各个部门的实际业务需求，在出口网关设备上基于用户/部门和应用来制定访问控制策略。

4、为了实现企业内网大量用户通过公网地址访问Internet的目的，要求出口网关设备能够将私网地址转换为公网地址。

5、在网关设备上存储用户和部门的信息，体现公司的组织结构，供策略引用。在服务器区部署AD服务器，为实现基于用户的网络行为控制和网络权限分配提供基础。

6、对公司外的用户提供Web服务器和FTP服务器的访问。

7、企业内部网络面临来自Internet的非法访问、以及各种攻击和入侵行为，要求出口网关设备可以防范各种病毒、蠕虫、木马和僵尸网络攻击，保护公司网络的安全。此外，对公司员工访问的网站进行过滤，禁止所有成人网站和非法网站的访问。

8、要求出口网关设备防范针对企业内部网络的SYN Flood、UDP Flood攻击和畸形报文攻击。

9、要求出口网关设备可以基于应用的流量控制，对大量占用网络带宽的流量（如P2P流量）进行限制，保证关键业务的正常运行。此外，还可以基于不同用户/部门实施差异化的带宽管理。

10、要求出差和家庭办公的研发员工能够安全地使用公司的ERP系统和邮件系统，高级管理者和市场员工能够像在公司内网一样正常办公。

业务规划

1 IP、VLAN

部门 / 设备 / 用户	IP段	网关	Vlan
Market	10.1.11.0/24~10.1.15.0/24	网段内首个可用地址（VRRP）	11~15
Procure	10.1.21.0/24~10.1.25.0/24	网段内首个可用地址（VRRP）	21~25
Finance	10.1.31.0/24~10.1.35.0/24	网段内首个可用地址（VRRP）	31~35
HR	10.1.41.0/24~10.1.45.0/24	网段内首个可用地址（VRRP）	41~45
Wireless_Public	10.1.51.0/24~10.1.55.0/24	网段内首个可用地址（VRRP）	51~55
Services	10.1.60.0/24	网段内首个可用地址（VRRP）	60
Wireless_Guest