4、SRX 系列防火墙的部署与应用

SRX 系列防火墙的部署与应用

1. 双盒一体化优势

在网络部署中，两个设备可以如同一个单元般运行，这极大简化了高可用性（HA）部署。管理操作减少，同时流量能够从任一机箱的任意端口进出，相较于传统强制流量仅通过活动成员的模式，这种模式更加灵活。

2. 数据中心服务层

数据中心核心是所有服务器通信的网络中心，大部分连接都流经此处。数据中心核心的防火墙需要维持大量并发会话。服务器虽可能保持长期连接，但更易出现短时间的连接高峰。运行系统的高密度增加了并发连接的需求，尤其是每秒新连接的速率。若防火墙无法快速创建会话，交易就会丢失。

Juniper Networks SRX5800 服务网关是满足这些需求的理想平台。它是 SRX5000 系列中最大的成员，非常适合数据中心环境，能满足当下及未来的扩展需求。

在数据中心网络中，有一个名为服务层的位置，可在此为服务器提供服务，如 SRX5800 提供的有状态防火墙、入侵防御系统（IPS）、应用拒绝服务（AppDoS）防护和服务器负载均衡等。这能创建一个资源池，供不同服务器共享。不过，部署多个防火墙并分配负载会增加复杂性和管理成本，过去五年的趋势是进行整合。

在数据中心核心的服务层设计中，AppDoS 和 IPS 是两个关键服务。AppDoS 功能可查找针对服务器的 DoS 和 DDoS 模式、应用上下文（如 URL）以及单个客户端的连接速率，通过综合分析这三项内容，可阻止新型僵尸网络攻击。IPS 则通过数据流查找特定攻击，识别攻击后可选择阻止、记录或忽略威胁。由于所有连接关键服务器的流量都将通过 SRX5800，添加 IPS 技术能为服务层提供更多价值和安全保障。