UTM

华为统一威胁管理（UTM）产品以 USG2000/USG5000 系列安全网关为基础，在单一硬件或虚拟实例内集成了访问控制、内容安全、VPN 以及威胁检测与响应等完整功能。以下信息均来自公开技术文档与实验手册，无商业宣传内容。

一、产品定位与系列划分  

1. USG2000 系列：1U 桌面或机架设备，面向中小型企业、分支网点、SOHO 场景。常见型号 USG2110/2130/2210，整机最大吞吐量 2–10 Gbps，并发连接 50–100 万。  

2. USG5000 系列：2U 机架，面向大型企业园区或数据中心边缘。常见型号 USG5120/5150/5330，吞吐量 20–40 Gbps，并发 400–1000 万。  

3. 虚拟形态：USG-VA 镜像，支持 KVM/VMware/Xen 及华为云 HCS，性能随 vCPU/内存线性扩展，适用于云租户边界或虚拟化 DMZ。

二、硬件与系统架构  

• 处理器：多核 MIPS/ARM 或 x86 SoC，内置硬件加速引擎（Security Engine）专门处理正则匹配、加解密、IPS 特征匹配。  

• 接口：固化或模块化 GE/10GE/40GE/100GE 接口，可插 MIC/FIC 扩展卡提供 ADSL、LTE、E1/CE1、POS、光口等异构接入。  

• 可靠性：冗余电源、风扇热插拔；支持双机热备（Active/Standby、Active/Active）、链路捆绑、跨设备链路聚合。  

• 操作系统：VRP-Security V8R10，基于微内核设计，系统分区、双镜像、热补丁，支持 ISSU（In-Service Software Upgrade）。

三、功能模块与实现机制  

1. 状态检测防火墙  

  – 基于会话的五元组+协议状态机检查，支持 L2–L4 ACL、NAT（源、目的、双向、NAT64、DS-Lite）、ALG（FTP/SIP/H.323 等）。  

2. IPS（入侵防御系统）  

  – 签名库 10000+，支持基于漏洞、攻击行为、应用特征三种匹配模式；流重组 + 协议解码 + 内容匹配一体化引擎，单流一次解析并行输出多个结果 。  

  – 响应动作：丢弃、重置、限流、会话隔离、联动封锁源 IP。  

3. 网关防病毒  

  – 本地特征库 500 万+，云端沙箱联动；支持 HTTP/HTTPS（通过中间人解密）、SMTP/POP3/IMAP、FTP、SMB 协议流扫描；支持 PE、PDF、Office、脚本类文件静态启发式检测 。  

4. VPN  

  – IPsec VPN：支持 IKEv1/v2、国密 SM1/SM2/SM3/SM4、AES-GCM、ChaCha20-Poly1305，最大隧道数 1–10 万条（依型号）。  

  – SSL VPN：基于 Web 的零客户端接入，支持 SAML、LDAP、AD、Radius、双因子认证。  

  – L2TP/SSL 复合隧道、GRE over IPsec、SD-WAN 加密 Overlay。  

5. URL 过滤与应用识别  

  – 应用识别引擎 AIE 可识别 6000+ 协议/应用，支持自定义特征。URL 库 1 亿+，支持本地缓存、云端查询、正则表达式、关键字、文件类型组合策略。  

6. 数据防泄漏（DLP）  

  – 基于正则、指纹、关键字、文件类型、水印的综合匹配；支持 HTTP/HTTPS、SMTP、FTP、SMB 通道内容检查；可联动云端沙箱进行文档溯源。  

7. QoS 与流量整形  

  – 基于应用、用户、接口、VLAN、DSCP 的多级队列；支持 CAR、GTS、CBWFQ、HQoS；内置 4 级优先级队列。  

8. 高可用与管理  

  – 双机热备支持配置同步、会话同步、ARP 热备；支持静态路由、策略路由、OSPF/BGP/OSPFv3/BGP4+、ISIS、RIP/RIPng、IPv4/IPv6 双栈。  

  – 管理接口：Console、SSH、Telnet、HTTPS、SNMPv3、TR069、Netconf、RESTCONF；支持 Syslog、CEF、JSON 多格式日志输出。

四、性能数据（典型型号）  

• USG2210：  

 – 防火墙吞吐 4 Gbps，IPS 吞吐 1.8 Gbps，IPSec 吞吐 1.2 Gbps，并发连接 80 万，新建连接 3 万/秒。  

 – 硬件规格：1U，420 × 255 × 44 mm，5 kg，100 W 交流电源，工作温度 0–45 °C 。  

• USG5330：  

 – 防火墙吞吐 40 Gbps，IPS 吞吐 20 Gbps，IPSec 吞吐 15 Gbps，并发 1000 万，新建连接 30 万/秒。  

 – 扩展槽：4 × MIC + 2 × FIC，支持 10GE/40GE 光口卡。

五、部署模式  

1. 网关模式：路由/NAT 部署于互联网出口，所有流量强制经过策略检查。  

2. 透明模式：二层桥接，无需改动原有 IP 规划，适用于现网加固。  

3. 混合模式：部分接口桥接、部分接口路由，满足复杂拓扑。  

4. 虚拟化：同一硬件通过 VSYS 切分为 8–250 个独立虚拟防火墙，每个虚拟系统拥有独立接口、路由、策略、会话表。  

5. 云场景：USG-VA 以 vNIC 对接 VPC 路由器，实现租户级南北向、东西向微分段。

六、日志与合规  

• 支持本地硬盘循环存储或外接日志服务器；日志类别包括流量、威胁、系统、审计、调试五级。  

• 支持 GB/T 22239-2019（等保 2.0）、ISO 27001、PCI-DSS、GDPR 日志格式与审计要求；内置报表模板 100+，可自定义 SQL 查询导出。

七、授权与升级  

• 基础防火墙、NAT、路由功能为出厂默认；IPS、AV、URL、DLP、VPN 按功能模块 License 控制，可基于时间或并发数授权。  

• 特征库通过华为安全中心每周更新，支持离线包、HTTPS 自动拉取；升级过程不影响业务流量。