客户概述

中国科学院心理研究所（以下简称“心理所”）是我国唯一的国家级心理学综合性研究所。心理所现有职工、科研人员和技术人员共、研究生、博士后近400人，拥有近500台计算机。
心理所信息中心综合服务系统包括图书馆及网络中心，其中网络中心为充分开发利用心理科学信息资源、促进信息交流与共享、提升科研管理水平提供网络信息服务平台，对于心理所的信息化建设起到了至关重要的作用。

用户网络现状及安全需求

心理所内部网络，通过50Mbps专线带宽访问Internet上的应用，通过一台路由器作为出口网关连接Internet，另有多台WWW服务器和办公服务器等作为对外窗口对Internet提供服务。在使用过程中，暴露出很多安全问题：

• 网管人员无法了解网络内部的应用流量类型和分布情况，网络出口拥塞情况下，无法采取相应的措施来保证业务应用的流畅运行；
• 内部工作人员和学生经常使用BT、迅雷、电驴、在线视频等工具从而造成巨大的流量从而挤占带宽，但缺乏相应管理手段应对；
• 对内部人员的上网访问行为无法进行记录和审计，出现内网违规事件需要及时找到直接责任人时，没有相应的证据。
• 内网经常出现ARP攻击，而且有时也经常遭受来自Internet上的外来攻击，导致出口路由器CPU高达90%多，严重时将导致设备宕机，影响心理所的正常办公。

在历经反复筛选之后，心理所从供应商的行业资历、技术实力、服务水平、产品功能、性能表现和产品的性价比等多方面考虑，最终将项目建设交给Hillstone山石网科公司，通过Hillstone SA-2010多核安全网关来实现安全防护、带宽管理和上网行为管理系统的部署。
经过严格的测试， Hillstone SA-2010多核安全网关无论从性能、功能、还是服务水平方面，都很好地解决了心里所网络中心之前遇到的问题，满足了实际应用需求。心里所最终将Hillstone SA-2010多核安全网关部署在心理所局域网出口处。
整个项目系统解决方案的拓扑如下图所示：

心理所网络拓扑图

• 实用的抗攻击能力
  Hillstone SA-2010上线后，网络内部的ARP攻击和欺骗得到明显抑制，来自外部DoS/DDoS和常见攻击也被有效阻断在网络出口外；同时，还能够针对零日攻击进行及时的判断和阻断，有效保护心理所的网络安全不受侵害；此外，Hillstone SA-2010多核安全网关具有强大的应用层检测能力以及应用层处理性能，为分析和阻挡各类攻击提供了强大的支持。
• 有效的监控和精确的带宽管理
  Hillstone SA-2010的监控功能轻松查看接口宽带使用情况、不同应用带宽使用情况以及不同IP地址的带宽使用情况，并根据情况进行了合理管控：
  1. 针对每个IP地址进行精确的带宽管理。对个别占用带宽太多的极端用户直接封堵，只留下HTTP应用和Mail应用；对所里领导和IT部门的PC做了足够的保障带宽；对其他用户做了基于每个IP地址的最大带宽限制。
  2. 针对P2P下载和P2P在线视频等非正常业务应用总带宽进行最大流量的限制。
  3. 对关键业务应用进行总的保障带宽控制。保证正常办公应用（如：OA、ARP系统、Mail系统、VPN应用等）有充足的带宽可用，确保了关键业务的流畅运行。
  4. 针对每个IP做了特别的增值服务——对每个IP内部的常见应用（如HTTP、Mail、HTTPS、VoIP系统等）带宽都做了适度的带宽保障。
  5. 还预留了弹性流量控制，保证了在非办公时间的晚上和周末，允许单个IP能在网络带宽空闲时用更多的带宽享用资源，上下行带宽最多可达2Mbps。
  通过以上灵活的精确化控制，网络流量做到了精细管理，保障了重点业务应用通畅、顺利的运行，对网络的流量也可以做到实时的监控和行之有效的管理，且预留的弹性流量控制功能也让带宽的利用率得到了充分提高。
• 高效的上网审计功能
  Hillstone SA-2010多核安全网关的日志记录、监控和上网审计功能，有效监控内网用户的各种上网行为和日志记录，同时对发现的问题也能提供相应的依据。设备上线后，通过多日的监控和日志审计，发现内网有多台计算机中了木马和病毒，由此很好地解决之前遭遇到的垃圾邮件，同时，Hillstone SA-2010还帮助用户找到滥发攻击和ARP欺骗的问题PC，通过相应策略进行有效处理。

中科院心理所的网管发出感慨：Internet给我们带来便利的同时，也带来了烦扰， Hillstone山石网科公司的SA系列多核安全网关，帮我们解决了安全防护问题，有效地进行应用识别和精确高效的带宽控制，还可以对违规事件进行监控和审计。Hillstone SA系列多核安全网关给了我们一个安全可靠、舒适可用的网络环境。