G集群DDOS攻擊解決方案

1、XX電信網(wǎng)絡系統(tǒng)DDOS攻擊解決方案安徽中新軟件有限公司2007-9-5DDOS概述目前，DDOS攻擊越來越頻繁，攻擊規(guī)模越來越大，成為威脅互聯(lián)網(wǎng)最主要的攻擊模式。成功的DDOS攻擊所帶來的損失是巨大的，攻擊之下的門戶網(wǎng)站性能急劇下降，無法處理用戶訪問請求，最終導致系統(tǒng)癱瘓。由此而帶來高額的服務賠償，公司信譽也會因此蒙受損失。DDOS攻擊可以簡單的分為三類，即流量型攻擊、連接型攻擊和漏洞型攻擊。流量型攻擊依靠巨大的帶寬壓力來達到使目標系統(tǒng)拒絕服務的目的，源地址易于偽造，攻擊者難以定位；連接型攻擊利用網(wǎng)絡中預先“種植”的大量的傀儡機，通過頻繁訪問目標系統(tǒng)來達到拒絕服務的目的；而漏洞型攻擊則利用系

2、統(tǒng)缺陷，發(fā)送針對性的攻擊報文，使得目標系統(tǒng)癱瘓，最終拒絕服務。普通的網(wǎng)絡系統(tǒng)對于這兩種攻擊完全素手無策，因此對于IDC/ISP來說，建立專用的DDOS攻擊防護系統(tǒng)是必要的。關(guān)于中新金盾安徽中新軟件有限公司創(chuàng)立于2002年，是專業(yè)的網(wǎng)絡安全產(chǎn)品開發(fā)商。公司自成立起便致力于DDOS攻擊防護產(chǎn)品的研發(fā)。次年，“中新金盾抗DDOS防火墻” 正式推向市場，市場反應強烈。中新軟件在國內(nèi)抗拒絕服務技術(shù)產(chǎn)品方面一直處于領先地位，為全國各地的客戶提供創(chuàng)新的、客戶化的網(wǎng)絡安全設備、服務和解決方案，保證客戶長期穩(wěn)定的收益，并以良好的經(jīng)營業(yè)績和售后服務受到客戶推崇，產(chǎn)品覆蓋率達到70%。中新軟件目前已建立起一個強大的

3、營銷與服務網(wǎng)絡，并先后在北京、上海、重慶等地建立分公司，使得信息溝通更及時，售后服務更貼心。產(chǎn)品介紹目前流量型攻擊愈演愈烈，攻擊者頻繁的利用海量報文來對IDC/ISP實行打擊。中新金盾2000+DDOS防火墻，為本公司針對此種趨勢而推出的高性能產(chǎn)品。其采用雙線路接入，具有雙倍于單路防火墻的帶寬上限優(yōu)勢，可有效解決各種DDOS攻擊，確保您的投資收益。1、 性能指標中新金盾2000+DDOS防火墻的性能指標，列表如下：64字節(jié)128字節(jié)256字節(jié)及以上最大吞吐量200萬PPS190萬PPS150萬PPS最大處理帶寬1.2Gbps1.9Gbps1.99Gbps數(shù)據(jù)延時<40us最大連接數(shù)100

4、萬并發(fā)連接數(shù)10萬2、 接口描述網(wǎng)絡接口：四個千兆光口/電口，一個心跳口，一個管理口外設接口：一個標準串口管理接口：Console+Web3、 接入步驟中新金盾2000+DDOS防火墻的集群模式接入，如下圖所示：基本接入步驟為：1. 在上下層路由器/交換機上，需要將相應端口設為等價路由或鏈路聚合模式（可為Port Trunking, LACP或PAgP），保證流量平均分配到集群內(nèi)的各個防火墻上；2. 將上層路由器/交換機的引出線接入防火墻的入口，將下層路由器/交換機的引出線接入防火墻的出口；3. 將防火墻的心跳口接入心跳交換機，將防火墻的管理口連入管理終端。中新金盾解決方案針對XX電信的網(wǎng)絡接入環(huán)境，我們設計了基于中新金盾的DDOS防御系統(tǒng)，拓撲結(jié)構(gòu)如下圖所示：原網(wǎng)絡環(huán)境為16Gbps接入，因此我們設計在Cisco 7609和Cisco 3750之間接入兩組共8臺中新金盾2000+防火墻，使得攻擊承受能力可以達到16Gbps。防火墻之間數(shù)據(jù)交換，通過將心跳口連入心跳交換機實現(xiàn)。心跳交換機應獨立于其它網(wǎng)絡，避免影響主網(wǎng)絡通信。防火墻管理通過WEB接口管理結(jié)論中新金盾防火墻，基于嵌入式系統(tǒng)設計，專用的防御內(nèi)核加上高效的防御算法，使得處理效率遠遠大于其它同類別防火墻。我們的數(shù)據(jù)，在各種惡劣環(huán)境下，經(jīng)過反