- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 新华三人才研学中心
- 关于我们
H3C SecPath M9000-AI-E多业务安全网关是新华三技术有限公司（以下简称H3C公司）结合云计算、5G、物联网、IPv6、大数据及高性能计算的发展趋势，针对云计算数据中心、运营商CGN、大型企业及园区网出口等市场推出的新一代高性能多业务安全网关。
H3C SecPath M9000-AI-E支持双GPU+双CPU+AI芯片的芯架构、以及AI算法加持的全新计算模块，全面支持攻击防范、异常流量清洗、未知威胁检测、服务器异常外联检测、敏感数据保护、web应用安全防护、访问控制、安全域划分、黑名单、流量监控、邮件过滤、网页过滤、应用层过滤等功能，能够有效的保证网络的安全；深度业务安全检测可更细致的为web服务器提供保护。采用ASPF（Application Specific Packet Filter）应用状态检测技术，可对连接状态过程和异常命令进行检测；支持多种VPN业务，如L2TP VPN、GRE VPN 、IPSec VPN、SSL VPN、MPLS VPN等，满足多种高性能VPN接入的需求；支持丰富的NAT特性，满足各大运营商的NAT需求；提供丰富的路由能力，支持静态路由、RIP/OSPF/BGP/ISIS路由策略及策略路由；全面支持IPv4/IPv6双协议栈。
H3C SecPath M9000-AI-E多业务安全网关充分考虑网络应用对高可靠性的要求，采用专业的多核全分布式CLOS架构，模块分离可拔插式设计，便于灵活组网和扩容。主控引擎1+1冗余，提供整机统一配置管理，支持安全集群；业务引擎和接口单元支持混插，可以根据性能需求灵活进行选择；风扇模块冗余，风扇框支持风扇状态监控，风扇支持无级调速，可以根据环境温度、单板配置自动分组调速；电源模块M+N备份，交、直流电源模块支持热插拔，多电源模块负载分担，可灵活根据系统功耗配置模块数量，保证模块高效工作。设备所有单元均支持热插拔，充分满足网络维护、升级、优化的需求。
采用控制、业务、数据相分离的全分布式架构，控制引擎、交换引擎、业务引擎及接口单元硬件分离，解耦合系统关键部件，提高系统可靠性；独立的硬件交换引擎，支撑高性能安全业务无阻塞处理及转发
独立的高性能控制引擎，实现系统统一配置管理和安全集群
安全业务引擎采用新多核高性能处理器，单板卡高速处理安全业务性能业界较高；一块硬件板卡上可同时提供L2～L7的全面安全防御，包括防火墙、NAT、LB、IPS、AV、ACG、VPN等；内置专业硬件TCAM，保证大容量策略表项的高速检索
内置模块化软件系统，支持多进程的调度，进程间运行空间隔离，单个进程的异常不会影响系统其他部分，提高系统可靠性；支持权限管理功能，基于特性、命令行、系统资源、WEB管理等级别定义用户读写权限，提高系统安全性；支持热补丁、支持ISSU，不中断业务的情况下实现系统升级，提高系统易用性
采用H3C公司拥有自主知识产权的软、硬件平台。产品应用从大中型企业用户到各大电信运营商，经历了多年的市场考验
支持状态1:1热备功能，支持Active/Active和Active/Passive两种工作模式，实现负载分担和业务备份
支持状态N:N热备功能，实现负载分担和业务备份，大幅提高系统可靠性
支持SCF（安全集群系统），支持多框集群，实现灵活管理和弹性扩展。
支持虚拟网线（inline）部署模式，支持旁路双主模式、镜像模式部署。
支持丰富的攻击防范功能 包括：Land、Smurf、UDP Snork attack、UDP Chargen DoS attack (Fraggle)、Large ICMP Traffic 、Ping of Death、Tiny Fragment 、Tear Drop、IP Spoofing、IP分片报文、ARP欺骗、ARP主动反向查询、TCP报文标志位不合法、超大ICMP报文、地址扫描、端口扫描等攻击防范，还包括针对SYN Flood、UPD Flood、ICMP Flood、DNS Flood、CC等常见DDoS攻击的检测防御。
支持统一管理 主机+多业务引擎始终作为一个网元进行统一管理，无需对每块插卡进行IP地址规划，在节省用户的IP地址的同时大量减少部署的复杂度，并且可以对设备实现全面的配置管理、性能监控和日志审计。
支持智能分流（IFF）部署多业务插卡后，流量自动在多个业务板卡内负载分担从而实现分布式处理。
支持安全集群框架（SCF）全面突破机框的限制，在简化管理和部署的基础上同时实现了安全业务和安全性能的弹性扩展，支持多台设备堆叠虚拟化成一台设备使用，实现客户侧的统一管理、统一配置。
支持安全ONE平台（SOP）采用创新的基于容器的虚拟化技术实现了真正意义上的虚拟防火墙，支持虚拟防火墙的创建、启动、关闭、删除功能，并可独立分配CPU/内存等计算资源，虚拟防火墙可独立管理，独立保存配置，具备会话管理、NAT、路由等功能。
支持安全区域管理 可基于接口、VLAN划分安全区域
支持包过滤 通过在安全区域间使用标准或扩展访问控制规则，借助报文中UDP或TCP端口等信息实现对数据包的过滤，支持按照时间段进行过滤
支持验证、授权和计帐（AAA）服务 包括：基于RADIUS/HWTACACS+/ LDAP(AD)、CHAP、PAP等的认证
支持静态和动态黑名单
支持静态NAT、源地址NAT、目的地址NAT
支持静态及动态运营商CGN NAT
支持Fullcone、Hairpin等P2P穿越技术
支持VPN功能 包括：支持L2TP、手工/自动方式IPSec、GRE、MPLS VPN等
支持丰富的路由协议支持IPv4、IPv6静态路由、等价路由、策略路由，以及BGP、RIPv2、OSPF、ISIS等动态IPv4路由协议，支持BGP4+、OSPFv3、ISISV6等动态IPv6路由协议
支持安全日志 支持操作日志、域间策略匹配日志、攻击防范日志；支持DS-LITE日志；支持NAT444日志，支持电信、联通、移动格式；
支持流量监控统计、管理。
深入的WEB安全防护 不局限于常规的IPS/AV防护，针对内网服务器，提供细致化的web应用防护，对于服务器最为头疼的C C攻击，异常外联，SQL注入、HTTP慢速攻击、跨站脚本等常见攻击行为，对来自Web应用程序客户端的各类请求进行内容检测和验证，确保其安全性与合法性，对非法的请求予以实时阻断，从而对各类网站进行有效防护。
未知威胁检测 单靠特征分析已不足以应对复杂的网络环境，面对典型的APT（Advanced Persistent Threat，高级持续性威胁）攻击沙箱技术是防御APT攻击最有效的方法之一，它用于构造隔离的威胁检测环境。H3C 安全网关通过将网络流量送入沙箱进行隔离分析，由沙箱给出是否存在威胁的结论。检测到某流量为恶意流量，设备将对流量实施阻断等处理。
终端识别，共享管理 终端识别是建立物联网安全连接的重要前提，用于识别物联网中的终端，。当终端流量流经设备时，H3C安全网关可以分析并提取出终端信息，例如终端的厂商、型号等，并支持在终端信息发生变更时（比如将原厂商的摄像头换为其他厂商的摄像头）向用户发送日志，提示用户。同时采用应用检测方式和 IPID检测方式对通过NAT技术或代理技术进行共享上网的行为进行识别和管理。
服务器异常外联检测 服务器外联防护是一种针对内网服务器的保护机制，可以有效识别服务器的主动外联行为，制定相应的外联防护策略来识别异常报文，并输出告警信息，以便管理员进行进一步的处理。为管理员检查服务器提供依据，进而防止服务器成为僵尸网络的一部分，对外发动攻击或对内进行渗透。
高精度、高效率的入侵检测引擎 采用H3C公司自主知识产权的FIRST（Full Inspection with Rigorous State Test，基于精确状态的全面检测）引擎。FIRST引擎集成了多项检测技术，实现了基于精确状态的全面检测，具有较高的入侵检测精度；同时，FIRST引擎采用了并行检测技术，软、硬件可灵活适配，大大提高了入侵检测的效率。
实时的病毒防护流引擎查毒技术，从而迅速、准确查杀网络流量中的病毒等恶意代码。
全面、及时的安全特征库 通过多年经营与积累，H3C公司拥有业界资深的攻击特征库团队，同时配备有专业的攻防实验室，紧跟网络的安全领域的最新动态，从而保证特征库的及时准确更新。
支持IPv6基础协议 支持TCP6,UDP6，RAWIP6，ICMPV6，PPPoEv6、DHCPV6 Server、DHCPv6 Client、DHCPV6 Relay、DNSv6、RADIUS6等协议；支持IPv6路由协议。支持静态路由、BGP4+\OSPFv3\ISISV6路由策略和策略路由；支持IPv6 ASPF。
支持IPV6攻击防范。支持IPv6 Multicast。
支持IPv6各种过渡技术 包括NAT-PT、IPv6 Over IPv4 GRE隧道、手工隧道、6to4隧道、IPv4兼容IPv6自动隧道、ISATAP隧道、NAT444、DS-Lite等。
集成链路负载均衡特性，通过链路状态检测、链路繁忙保护等技术，有效实现企业互联网出口的多链路自动均衡和自动切换。
一体化集成SSL VPN特性，满足移动办公、员工出差的安全访问需求，不仅可结合USB-Key、短信进行移动用户的身份认证，还可与企业原有认证系统相结合、实现一体化的认证接入。
DLP基础功能支持，支持邮件过滤，提供SMTP邮件地址、标题、附件和内容过滤；支持网页过滤，提供HTTP URL和内容过滤；支持网络传输协议的文件过滤；支持应用层过滤，提供Java/ActiveX Blocking和SQL注入攻击防范。
自检运维，策略风险调优 通过对安全策略的冗余及命中分析，识别出冗余和未命中的安全策略，以帮助管理员对设备上的安全策略进行深度分析和处理。同时通过应用层检测引擎智能地分析安全策略允许通过的流量中存在的潜在风险，为设备中所有安全策略的安全系数进行总体评估。
支持标准网管 SNMPv3，并且兼容SNMP v1和v2，可通过命令行界面进行设备管理及安全业务配置，满足专业管理和大批量配置需求
支持基于接口及IP的报文捕获 将捕获到的报文生成Wireshark（一种网络封包分析软件）可识别的.cap后缀文件，保存到本地或外部服务器，供用户分析诊断出入设备的流量。
支持丢包统计功能 用与分析和记录设备的转发流程和安全业务模块（如：攻击防范、会话管理和连接数限制等）丢弃报文的详细原因
支持网页诊断功能 当内网用户访问网页出现故障时，对网络进行基本的诊断，并给出故障原因。
支持报文示踪功能 支持真实流量、导入报文、构造报文等方式，用于分析和追踪设备中各个安全业务模块（如：攻击防范、uRPF、会话管理和连接数限制等）对报文的处理过程，通过查看报文示踪记录的详细信息，有利于管理员对网络故障的快速排查和定位。
图形化界面，提供简单易用的Web管理
通过H3C SSM管理系统，实现统一管理，集安全信息与事件收集、分析、响应等功能为一体，解决了网络与安全设备相互孤立、网络的安全状况不直观、安全事件响应慢、网络故障定位困难等问题，使IT及安全管理员脱离繁琐的管理工作，能够集中精力关注核心业务，极大提高工作效率
基于先进的深度挖掘及分析技术，采用主动收集、被动接收等方式，为用户提供集中化的日志管理功能，并对不同类型格式（Syslog、二进制流日志等）的日志进行归一化处理。同时，采用高聚合压缩技术对海量事件进行存储，并可通过自动压缩、加密和保存日志文件到DAS、NAS或SAN等外部存储系统，避免重要安全事件的丢失
提供丰富的报表，主要包括基于应用的报表、基于网流的分析报表等
可通过Web界面进行报告定制，定制内容包括数据的时间范围、数据的来源设备、生成周期以及输出类型等
属性 | M9000-AI-E4 | M9000-AI-E8 | M9000-AI-E16 |
主控板槽位数 | 2 | 2 | 2 |
最大业务槽位数 | 4 | 8 | 16 |
最大交换网板槽位数 | 无 | 4 | 4 |
冗余设计 | 主控、电源、风扇 | 主控、交换网板、电源、风扇 | 主控、交换网板、电源、风扇 |
尺寸（W X H X D） | 440mm×88.1mm×660mm（2RU） | 440mm×264mm×857mm（6RU） | 440mm×841.7mm×640mm （19RU） |
重量（kg） | < 30kg | < 140kg | <220kg |
总功耗(W) | <1300W | <2252W | <3360W |
环境温度 | 工作：0～45℃ 非工作：-40～70℃ | ||
运行模式 | 路由模式、透明模式、网桥模式 | ||
AAA服务 | Portal认证、RADIUS认证、HWTACACS认证、PKI /CA（X.509格式）认证、 域认证 支持手动密钥、IKEv2、冗余VPN网关、EAP认证、IKEv2重定向 | ||
多业务安全网关 | 虚拟多业务安全网关 安全区域划分 可以防御Land、Smurf、Fraggle、Ping of Death、Tear Drop、IP Spoofing、IP分片报文、ARP欺骗、ARP主动反向查询、TCP报文标志位不合法超大ICMP报文、地址扫描、端口扫描、SYN Flood、UPD Flood、ICMP Flood、DNS Flood等多种恶意攻击 动态包过滤，ASPF应用层报文过滤 静态和动态黑名单功能 MAC和IP绑定功能 基于MAC的访问控制列表 ICMPv6、DHCPv6 支持802.1q VLAN 透传 MLD、ND | ||
安全策略 | 基于域名（域名组）、服务、用户、应用、时间段等访问控制列表 支持策略风险等级划分，支持应用风险调优 策略可模糊查询，可检索冗余和无命中策略 支持策略分组，可通过NETCONF接口与第三方平台对接，以对策略进行新建、删除、修改、移动等动作 基于状态合法性的安全监测 支持基于黑白名单的访问控制，支持根据告警一键设置黑白名单 | ||
路由功能 | 支持静态路由 支持动态路由：RIP、OSPF、BGP、ISIS等路由协议 支持基于源/目的IP，源/目的端口、服务，基于应用类型和用户及用户组，基于出/入接口，链路状态等策略路由 | ||
病毒防护 | 支持基于IPV4与IPV6双栈的病毒特征检测和防护，可对邮件类病毒、web应用类病毒、常见文件病毒、木马、蠕虫，恶意网页、压缩数据、加壳和压缩包（zip、gzip、tar）病毒的查杀 支持病毒库手动和自动升级，支持手动导入特征库 支持云端病毒库 报文流处理模式 支持HTTP、FTP、SMTP、POP3协议 支持的病毒类型：Backdoor、Email-Worm、IM-Worm、P2P-Worm、Trojan、AdWare、Virus等支持病毒日志和报表 | ||
web安全防护 | 支持web安全检测 支持CC攻击防护 支持服务器异常外联检测，可自定义学习参数 支持网页挂马、木马、等攻击防护 支持对常见web服务（包括HTTP、FTP、SSH、SMTP、IMAP等）、常见数据库软件（MySQL、Oracle、MSSQL）的密码和口令暴力破解检测和防护 | ||
深度安全防护 | 支持对黑客攻击、蠕虫/病毒、木马、恶意代码、间谍软件/广告软件等攻击的防御，可根据不同场景，细分策略，制定入侵防御的模板 支持应用层（HTTP、HTTPS、DNS、FTP、SIP等）Flood攻击，可通过机器自学习，设定学习时间和阈值，自动根据结果生成DDoS防范策略 支持缓冲区溢出、SQL注入、IDS/IPS逃逸等攻击的防御 支持攻击特征库的分类（根据攻击类型、目标机系统进行分类）、分级（分高、中、低、提示四级） 支持攻击特征库的手动和自动升级（TFTP和HTTP） 支持对BT等P2P/IM识别和控制 支持URL识别，支持恶意URL阻断，可与云端URL服务器对接，以扩容URL地址库数量 对于未知威胁攻击，支持本地和云端沙箱对接，实时检测APT类攻击 支持与统一安全管理平台对接和纳管，便于全网安全态势防护 | ||
加密流量防护 | 支持HTTPS代理、ssl卸载，可对解密后的HTTPS加密流量进行内容检测与过滤、审计和攻击防护。 可对URL进行精细化分类和解密，提高防护效果 | ||
邮件/网页/应用层过滤 | 邮件过滤 SMTP邮件地址过滤 邮件标题过滤 邮件内容过滤 邮件附件过滤 网页过滤 HTTP URL过滤 HTTP内容过滤 应用层过滤 Java Blocking ActiveX Blocking SQL注入攻击防范 | ||
智能带宽控制 | 支持基于用户、IP、接口、服务的带宽保证，支持流量整形，支持每IP、每用户的最大/最小流量和连接数限速管理 可支持基于应用层协议设置流控策略，可设置最大/最小带宽、保证带宽、协议流量优先级等，支持八级管控 | ||
负载均衡 | 支持基于HTTP和HTTPS的应用层链路负载均衡 支持DNS透明代理，支持DNS过滤，支持智能DNS 支持服务器负载均衡 支持全局负载 支持链路健康状态检测 支持智能链路选择 | ||
NAT | 支持多个内部地址映射到同一个公网地址 支持多个内部地址映射到多个公网地址 支持内部地址到公网地址一一映射 支持端口复用技术，可增加NAT转换上限 支持源地址和目的地址同时转换，当源NAT地址池使用率超限时实时告警 支持外部网络主机访问内部服务器 支持内部地址直映射到接口公网IP地址 支持DNS映射功能 可配置支持地址转换的有效时间 支持多种NAT ALG，包括DNS、FTP、H.323、ILS、MSN、NBT、PPTP、SIP等 支持NAT444、NAT64 | ||
Microprobe | 内置NTA流量探针，支持流量监控统计、管理 | ||
IPv6 | IPV6状态防火墙 IPV6域间策略 IPV6攻击防范 IPV6连接数限制 IPv6协议： ICMPv6、PMTU、Ping6、DNS6、TraceRT6、Telnet6、DHCPv6 Client、DHCPv6 Relay等 IPv6路由：RIPng、OSPFv3、BGP4+、静态路由、策略路由、PIM-SM、PIM-DM等 IPv6过渡技术：NAT-PT、IPv6 Tunnel、NAT64(DNS64)、DS-LITE等 | ||
高可靠性 | 支持双机状态热备（Active/Active和Active/Backup两种工作模式） 支持集群统一配置管理 支持非对称路径 支持IPSec VPN的IKE状态同步 支持VRRP 支持静态及动态链路聚合 支持不间断升级ISSU 支持热补丁技术，可平滑升级，支持对不同版本的软件实现双机热备 支持BFD链路检测 | ||
易维护性 | 支持基于命令行的配置管理 支持Web方式进行远程配置管理 支持H3C iMC管理平台进行设备管理 支持标准网管 SNMPv3，并且兼容SNMP v1和v2 支持通过通过模拟部署的方式，可根据业务互访关系学习结果，对比待部署策略，便于运维人员管理安全策略，同时支持对黑白名单、应用类型、策略风险、安全规则、混合规则等方式对安全策略进行合规性检查 支持安全策略日志、NAT日志、安全防护日志、URL日志，可同时包含以上类型的日志字段，NAT日志可支持端口段分配，设备日志可轮询发送 | ||
环保与认证 | 支持欧洲严格的RoHS环保认证 | ||
H3C SecPath M9000-AI-E产品应用组网
双机状态热备技术，高可靠网络设计
强劲的业务处理能力
卓越的VPN加密处理能力
优异的防攻击能力，有效防止单包、Flood等攻击
丰富路由协议，实现安全与网络融合
主机 | 描述 | 备注 |
H3C SecPath M9000-AI-E8 | H3C SecPath M9000-AI-E8主机框 | 必配 |
H3C SecPath M9000-AI-E16 | H3C SecPath M9000-AI-E16主机框 | 必配 |
H3C SecPath M9000-AI-E4 | H3C SecPath M9000-AI-E4主机框 | 必配 |
主控制引擎模块 | H3C SecPath M9000-AI-E系列主控引擎 | 必配，1+1冗余 |
安全业务模块 | 描述 | 备注 |
SecBlade V 下一代防火墙A模块 | SecBlade 安全业务板 | 选配 |
SecBlade V 下一代防火墙B模块 | SecBlade 安全业务板 | 选配 |
接口模块 | 描述 | 备注 |
接口交换A模块(SH) | 选配 | |
2端口100G以太网光接口(QSFP28)+16端口万兆以太网光接口模块(SFP+) | 选配 | |
4端口40G以太网光接口(QSFP+)+16端口万兆 | 选配 | |
24端口万兆以太网光接口模块(SFP+) | 选配 | |
6端口100G以太网光接口模块(QSFP28) | 选配 | |
2端口100G以太网光接口(QSFP28)+16端口万兆以太网光接口模块(SFP+) | 选配 | |
4端口40G以太网光接口(QSFP+)+4端口千兆光 | 选配 | |
16端口万兆以太网光接口模块(SFP+) | 选配 | |
2端口40G以太网光接口(QSFP+)+8端口10G以太网光接口模块 | 选配 | |
4端口40G以太网光接口(QSFP+) | 选配 |
交换引擎 | 备注 | |
H3C SecPath M9000-AI-E8交换网板,A类 | 必配 | |
H3C SecPath M9000-AI-E16交换网板,A类 | 必配 |
电源模块 | 备注 |
2400W交流电源模块 | 必配 |
2400W直流电源模块 | 必配 |
3000W交流电源模块 | 必配 |
3000W交流&240V-380V高压直流电源模块 | 必配 |
650W交流电源模块 | 必配 |
650W直流电源模块 | 必配 |
风扇模块 | 备注 |
H3C 风扇框模块 | 必配 |
文档中心
软件下载
售前咨询
售后咨询
人工在线咨询
