网安之盾 华为USG6370下一代防火墙评测

　　时下全球网络环境日益恶化，针对各行各业的网络攻击数量和频率都显著增加。然而传统的防火墙和UTM在应对新的网络威胁面前，性能越发捉襟见肘，无法满足企业用户的安全需求。同时，不法黑客们则通过不断变换攻击手法，将获取敏感数据的手段变得更加隐蔽多样，这就迫使众多企业也不得不持续找寻能够与之应对的网络安全产品。对此，华为推出了安全旗舰产品USG6370下一代防火墙，可为各行业领域的企业和机构提供全面、高效、一体化的安全保护。下面就一起来近距离了解下这款防护网络安全的利器吧。

　　下一代防火墙 华为USG6370

　　华为USG6370下一代防火墙集传统防火墙、VPN、入侵防御、防病毒、数据防泄漏、带宽管理、Anti-DDoS、上网行为管理、反垃圾邮件等多种安全功能于一身，可为企业提供安全高效、简单灵活的一体化网络防护解决方案，是款面向中小企业、企业分支以及连锁机构推出的企业级下一代防火墙。

华为USG6370下一代防火墙

　　华为USG6370下一代防火墙整体外观为传统的黑色方正设计，做工细腻，彰显出扎实稳重的工艺品质。机身为1U架构，可上机架，尺寸为442×421×43.6mm，其超薄的机身更加适于部署在狭窄的机房空间里。

USG6370前方各端口及指示灯

　　华为USG6370搭载8个千兆以太网GE接口，还配有4个SFP光口，可扩展千兆电口/千兆光口/万兆光口，能够提供更好的部署灵活性和可扩展性。并且USG6370还配有2个USB接口，1个管理口和1个Console口，Console口是配置设备时使用的连接接口。

　　在USB接口上方则设计有电源（PWR）、系统状态（SYS）、管理口（MGMT）、模式（MODE）等清晰的LED指示灯，能够为用户随时了解设备的运行状态提供直观依据。

USG6370后视图

电源开关和电源接口

　　在华为USG6370后方，则设计有电源开关、电源接口和可拆卸的电源模块。在机身的一侧，可以看到5个主动散热风扇，而在另一侧，则可以看到大面积的散热孔，这样的设计可以使气流顺畅的进入机箱内部，并及时散出，为主控电路板等提供良好的散热效果，从而保证整机运行的稳定性。

侧视图

　　同时，华为USG6370还支持BYPASS插卡，可通过一台主机提供9大专业安全防护能力，成本更低，能够快速帮助企业实现一体化网络安全防护。下面再进入其Web配置界面了解下吧。

　　简单的快速配置向导

　　互联网时代，企业客户往往对IT设备有简单快捷的配置需求以及功能强大的应用需要，对此华为USG6370在配置与功能方面都下足功夫。在配置上，华为USG6370通过连接管理口或Console口，即可利用一个Web视图界面来管理所有的安全功能，降低了管控复杂性。

华为USG6370登录界面

　　作为一款面向下一代的防火墙设备，华为USG6370在安全防护层面上的考量相当全面，即使对于修改初始化密码这样的细节也不放过，并对用户进行弹窗提示。

登录后要求修改初始密码

    当成功登录到Web管理界面之后，便会自动弹出“快速向导”界面。对于中小企业用户来说，这项功能可以为其在设备配置上节省大量的人力和时间。只需通过点击下一步，即可根据提示，逐步完成防火墙的初步连网设置。

“快速向导”界面

　　具体分别为配置基本信息、配置系统时间、选择接入互联网方式、配置接入互联网参数、配置局域网接口、配置局域网DHCP服务、核对配置信息，之后就可完成快速的基本设置了。

配置基本信息

配置系统时间

选择接入互联网方式

配置接入互联网参数

配置局域网接口

配置局域网DHCP服务

核对配置信息

完成快速配置

    在完成“快速向导”，便可以看到能够掌控全局的“面板”界面。

“面板”界面

    在“面板”界面中，用户可以方便地查看设备资源信息、系统信息、接口流程统计信息、系统日志、License信息、控制资源、告警信息等关键内容，便于用户对设备的管控和调试。

    下面我们再来看看华为USG6370在功能细节上是否更具优势吧。

　　便捷一体化管理 功能强大

　　作为一款面向未来安全防护的下一代防火墙，华为USG6370不仅一机多能，更具有使用简单、管控精细、防护全面等特色，可为企业打造安全强大的下一代网络安全防护体系。

　　精准的访问控制

　　传统防火墙主要通过端口和IP进行访问控制，而下一代防火墙的核心功能则是访问控制。对此，华为USG6370在控制的维度和精细程度上都有较高的识别能力，能够基于应用、用户、时间、内容、威胁、位置6个维度对网络流量进行管控，准确识别超过6000种网络应用。

　　此外，USG6370不仅能识别出应用，更能对应用的不同功能进行区分，比其他厂商识别的更细。比如对于微信可以区分文字聊天和语音；对网盘类应用能够区分出上传和下载。并将内容层的防御与应用识别深度结合，一体化处理。

　　基于应用：运用多种技术手段，准确识别包括移动应用及Web应用内的6000+应用协议及应用的不同功能，继而进行访问控制和业务加速。例如：区分微信的语音和文字后采取不同的控制策略。

基于应用的防护

基于新应用创建防护策略 

　　基于用户：通过Radius、LDAP、AD等8种用户识别手段集成已有用户认证系统简化管理。基于用户进行访问控制、QoS管理和深度防护。

基于用户的识别

　　基于位置：与全球位置信息结合，识别流量发起的位置信息；掌控应用和攻击发起的位置，第一时间发现网络异常情况。可根据位置信息可以实现对不同区域访问流量的差异化控制，并支持根据IP自定义位置。

可基于位置进行安全防护

　　便捷的智能策略

　　由于下一代防火墙的防护范围和控制精度比传统防火墙大大增加，这对使用者的经验和技能提出了更高的要求。不过，华为USG6370却具备以快速部署策略、智能优化策略和智能精简策略为主的Smart Policy（智能策略）功能。

可根据网络的防护需要创建不同的安全策略

　　利用Smart Policy功能，USG6370能够通过应用场景模板快速部署安全策略；同时，主动分析企业网络中的实际流量，智能的推荐策略优化建议；自动发现功能重叠的冗余策略和长期没有命中的无用策略，帮助安全人员有效控制策略规模，简化管理。在安全专业人员短缺的今天，通过该功能让安全管理员无需过多的技能和时间就能做好管理，即可实现精准的安全防御。

　　全面的安全防护

　　今天，越来越多的信息资产连接到了互联网上，网络攻击和信息窃取形成巨大的产业链，这对下一代防火墙的防护范围提出了更高要求。因此，华为USG6370将数据防泄露、入侵防御、防病毒、Anti-DDoS、上网行为管理、VPN等多种功能集于一身。

    以数据防泄露为例，华为USG6370能够识别120种以上的真实文件类型，并能对其中30种最常见文件类型的内容进行安全检查和关键字过滤，如word文档、excel电子表格、pdf、C或java代码文件。其中，要想进行关键字过滤，可在定义内容过滤配置前定义关键字组，然后在定义内容过滤配置时引用关键字组。

关键字过滤

    这意味着无论是通过修改文件扩展名的方式，还是对文件压缩后传输，只要向外传输包含关键信息的代码或Office文档，就会被USG6370发现，杜绝了通过文件、邮件及发帖泄露企业机密的漏洞。

　　在入侵防御与Web防护方面，华为USG6370能够第一时间获取最新的威胁信息，准确检测并防御针对漏洞的攻击，并可防护各种针对web的攻击，包括SQL注入攻击和跨站脚本攻击。

入侵防御配置界面

入侵防御签名列表

基于URL的过滤防护

华为USG6370也支持Anti-DDoS攻击防范

    华为USG6370也支持Anti-DDoS攻击防范，可以识别和防范SYN flood、UDP flood等10+种DDoS攻击，识别500多万种病毒。

　　最大并发和每秒新增会话数实测

　　那么华为USG6370下一代防火墙在实际应用中的性能表现究竟如何呢？下面就通过实测来验证一下吧。（PS：此次测试在有背景流量，且应用识别、IPS等功能全部开启的情况下进行的！）

　　最大并发会话数测试：

华为USG6370下一代防火墙最大并发会话数测试结果图

最大并发会话数可达300万（测试结果节选）

　　每秒新增会话数测试：

华为USG6370下一代防火墙每秒新建会话数测试结果图

每秒新建会话数约1.2万（测试结果节选）

　　通过实际测试结果我们不难看出，在考虑到实际场景已有基础流量且部分功能开启的前提下，华为USG6370下一代防火墙的实际测试结果（其中，最大并发会话数的测试结果为300万，而每秒新建会话数的测试结果则约为1.2万），表现相当出色。而能够取得这样的测试成绩，正是得益于华为下一代防火墙的创新架构，这也使其在对比同类型产品时也更具竞争优势。

　　三层吞吐量实测结果

　　要想在安全功能与整体性能之间达到应用平衡并实现超越，可是对防火墙产品的重要考验，那么，华为USG6370下一代防火墙在三层吞吐量上的表现能否让人满意呢？一起来测试下吧。

　　三层吞吐量实测：

三层吞吐性能测试结果可达4000Mbps

时延平均仅为18uSec（微秒）

　　应用层纯HTTP流量环境实测：

在纯HTTP流量环境下，应用层吞吐性能可达到1800Mbps。

　　经过实测，华为USG6370下一代防火墙三层吞吐量可达4000Mbps，在应用层上的吞吐性能的表现相当给力，可达到1800Mbps。可见其在全新架构的智能感知引擎的支撑下，不仅保证了基础网络数据包的高速转发，更加确保了应用层安全处理的高性能，成功突破了安全设备的性能瓶颈。

　　总结：华为USG6370打造网络防护之盾

　　今天，面对层出不穷的网络威胁，企业希望部署一台性价比高、运维简单、防护功能强大的下一代防火墙。而华为USG6370采用全新架构的智能感知引擎，具有一体化处理架构、一体化描述语言和软硬结合一体化三大核心技术，可进行高效的网络防护。不仅如此，USG6370具有完备的安全功能、简单易用的管理、精细的管控和业务加速能力，能够出色的匹配万兆以下场景里企业网络对安全设备的要求，成为中小企业网络防护的好选择。