概述

Hillstone针对高校互联网出口的典型需求，突破传统NAT技术限制，创新性的提出端口复用技术，使公网IP地址数量不再成为制约高校互联网络发展的瓶颈。同时，Hillstone下一代防火墙还针对高校互联网出口多链路、高负载以及应用复杂的特点，提供集成安全防护、深度应用识别和多出口智能流量负载均衡等功能帮助高校互联网出口实现安全、有序管理，具体包括：

● 提供高性能安全防护。高效防范各种网络攻击和恶意代码，在校园网高负载、复杂应用的环境中保障业务运行效率和运行安全；

● 支持高容量NAT转换。通过创新的端口复用技术，在相同公网地址数量的情况下，地址转换空间扩充至16倍，支持更大规模、更高并发的网络应用；

● 实现网络高可靠。通过智能链路负载均衡技术，实现高校多出口链路的冗余备份与负载均衡，提高网络使用体验与可靠性；

● 保障关键业务带宽资源。利用深度应用识别与流量管控技术，为关键业务提供网络带宽的优先保证，避免资源滥用。

1、安全需求

高校校园网络作为数字化校园的基础支撑平台，承担着日常教学、校园办公、学生上网等多种功能。这种上网用户集中、网络应用复杂的环境使得高校的互联网出口具有不同于其他网络的典型特点，如高并发、多出口、应用复杂等特点，从安全需求来看：

● 由于高校学生上网集中以及存在大量P2P、网络视频等应用，网络承载的流量巨大，出口设备处于高负载状态，因此要求安全设备具备很高的处理性能；

● 高校网络出口通常采用NAT地址转换技术访问互联网，但公网地址数量有限，对于高并发和大规模的网络应用环境，地址数量很容易成为瓶颈，在无法扩充地址池的情况下需要提高公网地址的使用效率；

● 对多出口的网络环境，应能够根据不同的网络流量选择最优的网络出口，同时多出口之间应能够实现负载均衡与冗余备份，从而提高网络可靠性与应用效率；

● 要求对校园网中各种网络流量进行有序管理，避免P2P等网络流量占用大量带宽，影响关键业务运行效率；

2、解决方案

本方案中Hillstone下一代防火墙部署在校园网和互联网的出口链路之间，能够实现网络安全防护、NAT地址转换、出口链路负载均衡、网络流量管控等功能，保障高校校园网安全、可靠运行。

Hillstone下一代防火墙融合了多种安全防护技术，在传统防火墙的基础上，支持基于行为特征的检测技术，使安全防护更加全面有效。同时，功能的扩展并不意味着性能的牺牲，Hillstone下一代防火墙基于领先的软硬件全并行架构设计，通过Plus？ G2架构以及全并行流检测引擎实现一次解包，并行检测，提供了综合安全防护下的高性能保证。

高校用户在访问互联网时，通常需要在出口安全设备上进行NAT地址转换，使用本地运营商的链路访问互联网。传统NAT技术由于原理限制，一个IP地址理论上最高只能支持65535个会话。Hillstone通过技术创新，开发出独有的端口复用技术，突破传统NAT技术的端口数量限制，使地址转换空间扩展至原来的16倍，即一个IP地址支持16*65535个会话。这对于上网用户数量庞大，并且网络中有大量P2P等高并发应用的高校校园网来说，具有重要意义，可以避免出现由于地址空间不足而导致网络连接中断，应用不畅的现象。Hillstone通过这种独有的NAT端口复用技术，解决了高校校园网普遍面临的公网地址不足的难题，打破了网络规模扩展的瓶颈。

同时，对于高校互联网多出口的现状，Hillstone下一代防火墙支持出站动态探测功能，能够为网络流量智能选择速度最快的出口链路，结合策略路由，ISP路由等功能，实现多出口链路的智能选择与流量的负载均衡，提升链路的使用效率和可靠性。

高校网络另一典型特点是流量类型复杂，有P2P、网络游戏、娱乐视频等非关键业务，也有电子校务，网络教育，数字图书馆等关键业务。Hillstone下一代防火墙支持面向应用的流量识别与控制，在传统QoS的基础上，支持2-7层的流量管控，能够对各种网络应用进行灵活的带宽控制，保障关键业务得到优先带宽供应，提高业务运行效率。

3、方案效果

Hillstone高校互联网出口网络安全解决方案能够带来的运行效果，包括：

● 提供高性能互联网出口安全防护。Hillstone下一代防火墙采取全并行及多核架构设计，相比传统设备，能够大幅降低网络处理时延，保障网络业务高效运行；

● 消除公网地址数量有限而带来的网络应用瓶颈。通过NAT端口复用技术，扩充地址转换空间，满足高校校园网高并发和大规模网络应用对地址空间的需求；

● 提升互联网出口的带宽利用率与可靠性。通过智能链路选择与负载均衡技术，实现多出口链路的智能流量分担，增强用户网络使用体验；

● 实现面向应用的识别与带宽控制，支持深度应用识别和丰富灵活的带宽管控策略，为关键业务提供网络带宽保障，提高业务运行效率。