中兴通讯防火墙成功案例

1 背景介绍
中兴通讯是全球领先的综合通信解决方案提供商。公司成立于1985年，是在香港和深圳两地上市的大型通讯设备公司。公司通过为全球160多个国家和地区的电信运营商和企业网客户提供创新技术与产品解决方案，让全世界用户享有语音、数据、多媒体、无线宽带等全方位沟通。中兴通讯拥有通信业界完整的、端到端的产品线和融合解决方案，通过全系列的无线、有线、业务、终端产品和专业通信服务，灵活满足全球不同运营商和企业网客户的差异化需求以及快速创新的追求。2016年，中兴通讯实现营业收入1012.3亿元人民币,持续加大5G/4G、芯片、云计算、大数据、大视频、物联网等新兴技术的研发。目前，中兴通讯已全面服务于全球主流运营商及企业网客户，智能终端发货量位居美国前四。

2 用户面临的问题

2.1 服务器应用发布需求。

中兴通讯面对的用户都是外部企业，需要访问中兴通讯的内内网服务器资源很多，需要做多条映射服务出去。快速安全访问内部资源，提高公司办公效率。并且公司内部员工也要通过公网访问内部资源。

2.2 增加了带宽邮件发送还是很缓慢

中兴通讯员工每天要给客户发送很多邮件或接受很多客户的邮件。发送或接受的邮件一般都很大，发送10M的邮件需要30秒时间。怀疑是业务带宽不满足，于是新增200M的带宽。增加带宽以后，发现邮件发送时间还是很长，并没有解决问题。

3 用户网络拓扑

4 解决方法

4.1 运营商链路策略路由、负载均衡

针对内部服务器业务发布和办公业务、邮箱等走电信50M专线线路，P2P应用、多线程下载业务、web视频业务、UDP业务走200M拨号线路。实现不同业务走不通线路，访问外网做全局负载均衡。

4.2 策略流控

设置基于电信50M、联通200M流量通道，在电信50M流量通道中选择P2P应用、多线程下载、web视频业务、UDP下载业务等做限制10M带宽。

全局设置基于每用户选择P2P、web视频访问、游戏、UDP下载限制带宽300KB.

4.3 双向NAT映射
针对内部需要发布的服务器，在电信这条50M专线线路上做双向地址转换策略。基于源地址、源端口、目的地址、目的端口、服务映射。第二代防火墙保护了服务器的真实IP，防止黑客攻击内部服务器，防止内部资源泄露，为企业网络安全保驾护航。

5 用户使用效果

5.1 外部服务公司反映访问业务很大的提高了工作效率

5.2 公司内部发送10M的邮件只需10秒

5.3 公司内部无延迟访问互联网业务

5.4 防火墙检测出带有服务器的攻击行为