在经过一系列收购整合后，鹏博士旗下宽带产品的使用体验有了显著提升。尤其是电信通基于80/20原则组合而成的极速系列商用宽带产品，价格比电信联通同规格产品能低上一半，体验对大多数客户来说却可以更好。
但想达到这样的效果，网关需要进行一定的配置优化。要将电信通企业极速宽带用到极致，出口网关设备需要支持多WAN口、DPI引流和DNS劫持。因为我在3W咖啡是用Panabit摸索实现的，所以文中所有截图都是Panabit，其它设备理论上一样可行。
分类：博客
（左侧-5）观点/新闻（公开消息）/动态（非公开消息）
在3W感受未来互联生活
更便捷、更快速、更稳定，这是极速变化的互联网应用对网络基础架构永恒的要求。十年前坐在PC前，谁能想象移动互联时代是什么样子？但在上周末的3W智能生活开放日上，格物资讯搭建了一个科技感十足的Demo，让每个人都体验了未来的互联网！
打通云管端的关键是充足的接入带宽，在Demo中我们使用了电信通提供的500M优质链路。无论商用宽带还是家用宽带，都能借助其愈发丰富的内网资源，为主流互联网应用带来更好的使用体验。在互联网时代高质并不和高价划等号，好用不贵才正是每个企业或个人用户希望看到的。
什么？无线比有线慢？ok，这确实曾经是事实。但移动互联是不可逆的大势，科学家云集的行业领导者焉能坐视不理？在华为的鼎力支持下，3W也许成了国内第一家部署G级商用802.11ac无线网络的咖啡馆。毫无疑问，无论企业还是家庭，都会迅速奔向下一代高速无线网的怀抱。
高速宽带和高速无线摆在你面前，你要学会去珍惜，不要因为终端瓶颈而追悔莫及。师出名门的ALIENWARE威风八面，却极少有人注意到它在网络规格上的与众不同——是的，它同样还是一款为未来互联网做好准备的产品，现今也只有包括它在内的寥寥数款产品才能将颠覆性的应用体验带给每一位用户。
2013年国内安全厂商DDoS研究报告
最近DDoS领域比较热闹，隔三差五就有造成一定影响力的攻击事件出现。话说这个领域笔者久未跟踪已不太熟悉，这两天找了一些调研报告来学习，发现已不再全是海外厂商/研究机构出品。一些本土厂商也开始发布自己的研究成果，并且有其独到之处（例如本土化的数据），在此就分享两份笔者认为有干货并且内容保持客观中立的报告。
绿盟科技：2013年上半年DDoS威胁报告
绿盟科技算是国内在DDoS防护领域最资深的厂商之一，该公司基于广泛部署的防护设备（号称全球超过2500G的防护能力）收集攻防数据，保持对最新攻击态势的跟踪。基于168459次攻击事件、90次新闻报道和重大事故的应急响应处理，绿盟科技研究院分析整理了《2013年上半年DDoS威胁报告》，于上个月公开发布。
（点击报告封面下载PDF）
在报告中，绿盟科技分享了他们的对DDoS攻击的9大观点，涵盖了攻击的现状、对象和方法，全面且具有代表性。
观点1：平均每两天发生一起重大DDoS攻击事件，每两分钟发生一次普通DDoS攻击事件；
观点2：黑客行动主义是重大DDoS事件发生的最主要原因，其次是商业犯罪和网络战；
观点3：银行、政府和商业公司是DDoS攻击的最大受害者；
观点4：中国依然是DDoS攻击的主要受害者，其次是美国、香港、韩国等地；
观点5：三分之二的受害者遭遇多次攻击，6% 在10次以上；
观点6：TCP FLOOD和HTTP FLOOD是最主要的DDoS攻击方式，两者占总数的四分之三；
观点7：九成以上的DDoS攻击发生在半小时内，1.5%的攻击会持续一天以上；
观点8：峰值流量50Mbps以下的攻击占八成，包速率0.2Mpps以下的攻击占七成；
观点9：混合攻击所占比重逐步增加，其中一半是ICMP+TCP+UDP FLOOD的组合。
关于NGFW的一些观点（5）
必须承认，由于笔者懒惰的恶习，本文几乎太监。不过在抹了些天香断续胶之后，本文还是要继续到结束，尽管可能压根没人期待过。（编者按：不要妄自菲薄，至少有过几个厂商的PM说本系列文章不错并期待后续！）
链路负载均衡与VPN：不但要有还要好
相对于基于应用识别的访问控制，链路负载均衡与VPN属于传统技术，尤其是VPN，早就是防火墙的标配技术了，NGFW延续此技术几乎是不言自明顺理成章的事情。但是笔者还是决定在这里稍微罗嗦几句，因为这牵扯到笔者对于防火墙这一产品的理解。
链路负载均衡是在多互联网出口环境中需要用到的技术，可以有效的将m个运营商的n条链路（n≥m）的带宽好好利用起来。具体来说，其技术包括：内网访问外网时，根据目的地址对运营商链路进行优选，选择最优路径；外网访问内网时，确保往返路径的一致；将流量根据四层和七层的信息，尽可能均匀的分布在各条链路上；等等。总之，链路负载均衡技术就是最大效率的使用互联网出口链路的技术。
VPN技术本质上是一种接入技术，允许分支单位通过资费低廉的互联网实现类似于专线一样的安全接入能力。除了加密的IPSec VPN和SSL VPN技术以外，还包括不加密的L2TP、GRE等VPN技术。一般的防火墙主要支持前者，但是在某些特定的情况下，也可能会需要组合应用几种VPN技术。比如需要在VPN中跑路由协议时，一般就需要用到IPSec over GRE的组合VPN技术。
链路负载均衡与VPN技术在需求上的相同点，就是都是满足用户组网需要的技术，可以说是用户的刚性/准刚性需求。正因如此，它们才应该成为NGFW的核心功能。此外，它们和访问控制一样，可以让用户有非常明确的预期效果，这使得它们可以成为NGFW的核心功能。当“应该“并且”可以“时，它们也就”必然是“NGFW的核心功能了。
IPS与防病毒与其它：锦上添花
相对之前提到的基于应用的访问控制、链路负载均衡、VPN等功能，IPS、防病毒、用户认证、行为审计等功能虽然也是用户所需要的，但是它们的实现却如同段誉的六脉神剑一样，谁都不好说它们什么时候有用什么时候没用，无法给客户以明确的功能预期。
IPS与防病毒的误报和漏报问题就不需要多说了，需要额外说明的是用户认证和行为审计。按说用户认证的实现应该是可靠的，认证通过就是通过，不通过就是不通过。不过从实际效果来看，只要不结合终端软件部署的用户认证总会存在很多的绕过手段。而即便配合终端软件，也存在被破解和绕过的可能，这使得用户认证也变得不可靠起来。至于行为审计，它从网络流量中记录用户行为，理论上也应该是可靠的。不过看看在伟大的墙的封堵之下人民锻炼出来的种种智慧就可以猜想，行为审计的可靠性究竟怎么样。
实际上，用户认证、行为审计与IPS、防病毒的相似之处在于它们都是与人的行为进行对抗，而用机械的规则去对抗人的行为基本是不可能的。所以，IPS、防病毒、用户认证、行为审计这些功能确实是客户所需要的，但是由于实现的不可靠，在NGFW上只能算是添头，当扩展功能让客户尽可能的用用尚可，作为核心功能让客户依赖是绝对不行的。
结语
行文至此，本文已进入尾声。在这个差点太监的文章的最后，笔者想要强调的是：防火墙的本质其实不是一个安全产品，而是用于管理的网络产品。NGFW也好，NG-NGFW也好，NG^n的FW也好，其本质是不应该改变的——直至有一天，这些管理功能合并到其他网络产品里面去。
说白了，至少目前在国内，不能很好地做流控和组网的NGFW不是好路由器。在广域网的接入层，NGFW应该是中低端路由器的最佳替代者。这也是PaloAlto Networks这么一个还在赔钱的公司，会被认为是Cisco的挑战者、市值40亿美金的主要原因吧。
最后的最后：好吧，这个结尾其实有点草，不过大家会感觉它有点草的原因其实不是它本身有点草，而是前面废话太多。其实整篇文章总结下来应该可以用一条微博所替代：“防火墙的本质是用于访问控制的网络产品，NGFW作为其发展，应该以基于应用的访问控制为核心功能，同时增强其组网能力的链路负载均衡和VPN也应是核心功能，其它诸如IPS、防病毒、用户认证和行为审计等功能只应作为扩展功能。未来的NGFW应该可以替代路由器，成为广域网的接入层设备。“
（全文完）
华为USG6000：驶入NGFW超车道
之前发布的《华为：缔造敏捷的下一代企业网络》一文被某些读者评价为“不够干”，其实那篇只是HENC 2013的概述性文章（俗称帽子）；这篇重点写细节，希望能满足部分读者对干货的苛求。不过说到细节就只能写写安全了（这也是笔者在HENC 2013重点关注的领域），其它方面深了咱也不懂，只能保持一颗不明觉厉的心。
平心而论，华为安全的戏份在HENC 2013上并不多，不过援引某位不愿透露姓名的内部人士的说法，这已经是迄今为止华为主办的大会中安全内容比例最多的一次。在一些环节中也确实能感觉到华为安全在内部越来越受重视，比如USG6000全系列NGFW的发布被安排在9月3日上午的主论坛，由华为企业业务BG CTO 梁永健亲自主持（虽然他的普通话听着很吃力）。再比如USG6000系列中的顶级型号USG6680被放置在展区中的独立展位，与华为目前的扛鼎之作CE12800珠联璧合等等。
是的，华为全新发布的USG6000系列产品就是笔者眼中本次HENC 2013的最大亮点。说起来它并不神秘，从年初美国RSA大会开始，关于华为NGFW的小道消息就陆陆续续从各种渠道流传开来。企业网安全产品线甚至还举行过小型媒体推介会，为华为NGFW预热。但直到两个月后的HENC 2013，所有人才第一次看到、摸到了USG6000系列产品的实物。在这一刻，所有的猜测与谣传终于烟消云散。
（上为USG6000产品线中最低端型号USG6320，下为最高端型号USG6680）