功能项
企业需求
运营商需求
UTMWALL混合流控
DPI七层流控
2）企事业单位接入带宽越来越大、越来越稳定，管理越来越规范，带宽空余的情况也越来越普遍，因此也不一定非要做流量控制；于此相反，运营商逐利的本质注定其要用有限的带宽接入无限的用户，因此必须做出口应用流量控制，以节省成本
2）在带宽空余时，不要限制非关键应用的带宽；
3）审计、定位、剔除个别用户的恶意流量
4）保障服务器应用接入的QoS
2）优先保证WEB浏览、网络游戏、网络聊天等交互式应用的QoS，尽量抑制去往外网的P2P流量
2)一步到位卖产品，在保障流控效果的前提下，绝不收取用户的流控特征库升级费
2）以维护七层流控特征库持续向用户收费为生
说明：除非关键应用有变化，否则不需要经常升级系统、变更策略
说明：由于互联网应用软件经常变化，所以需要经常升级系统、变更策略
2）不依赖于流量特征库，无需将时间花在升级特征库、调整流控策略上
2）依赖于厂家提供的流量特征库，平时需要频繁升级特征库、调整流控策略，时间成本巨大
说明：如果使用者是身兼管理员的个体户或企业业主则以上也不成问题
说明：ISP只关心网络的连通性，不关心用户的安全性
2）OS通过了公安部等权威部门的功能、性能及安全性检测
2）没有通过权威部门的功能、性能及安全性检测
安全漏洞详见最下方的参考文件。1） 100%控制非关键应用的带宽，从而100%保障关键应用的QoS；
2）后续维护不依赖于流量特征库，自主可控，长期有效，总体成本低；
3）可以在非互联网的专网内和服务器应用接入等场合发挥作用。
缺点：
无法按应用类型分析、控制出口流量的带宽。但仍有针对内网IP的应用审计和基于ISP IP数据库的策略路由。
按照应用类型精细控制出口流量的带宽和路由。
缺点：
1）特征库不包含用户关键应用的特征，只能通过抑制特征库中已有应用的带宽，来间接保障用户关键应用的QoS；
2）用户没有自主性，完全依赖厂家的售后支持，随时存在流控失效的风险，而且总体费用高；
3）无法在非互联网的专网内和服务器应用接入等场合发挥作用。
查看QoS对象实时应用情况，确认限流的效果
查看24小时之内各个网卡的带宽、会话数等使用趋势，并且留存至少60天的日志记录
包含源IP及端口、协议、目的IP及端口、动作、网卡、方向、时间、用户认证等18个子项，既可以作为内外网的安全策略也可以作为流控策略
与总控策略配合实现基于策略的QoS带宽控制
对于单IP限速，最好在接入交换机的端口上实现，这样做不仅效率高而且不影响网关的性能
与总控策略配合，控制单个用户各个应用的会话数及新建会话速率，可用于控制私接二级路由
说明：ISP只关心出口应用带宽分布，不关心某一具体源IP的流量明细
定时分析每个源IP的所有流量的会话，识别并记录持续流量和上传流量，动态剔除这样的会话，并暂时屏蔽目的IP，并且留存至少60天的记录
当上传流量异常大时就成了DoS攻击流量，此时绝对不能用DPI七层应用识别的带宽或路由策略去压制或分流这样的流量，只能立刻将其丢弃，否则只会适得其反、雪上加霜，系统资源将被耗尽直至崩溃！
5.7 总控策略
与总控策略配合，实现基于各大ISP IP数据库的出网和入网策略路由
对各总控策略中的源IP对象的各成员进行流量统计，即使当前无流量，仍能查看其历史流量统计
说明：ISP只关心出口应用带宽分布，不关心某一具体源IP的流量明细
实时查看当前流量状况，对源IP、应用以及流量明细这三种对象进行带宽、会话数、总流量等指标的排序，并且标示是否是持续流量和上传流量
说明：ISP只关心出口应用带宽分布，更不会强制中断
查询网络数据会话，包括源IP、源端口、协议、目的IP、目的端口、总控策略编号等查询条件，并可以将所查询到的会话强制中断
说明：数据量太大，不易留存和查询，一般用Netflow流量日志
实时记录网络数据包，包括时间、源IP、源端口、协议、目的IP、目的端口、总控策略编号及部分数据内容，是联网单位、涉密单位必配的审计手段
一条会话输出一条netflow数据流，与包过滤日志相比，效率更高、体积更小，更方便集中存储和查询
1.10 在线主机
没有按应用类别叠加的带宽趋势图，但有各源IP各七层应用关键特征流量（不是其全部流量）的带宽、会话数统计和日志，需要特殊应用特征库的支持
说明：能够直接定义关键应用，就能100%保障关键应用的QoS，不需要通过七层识别、控制非关键应用的带宽来间接保障
系统自动分析80端口流量，并把不符合HTTP协议的目的IP放入FAKE80_ip对象，再在总控策略里对其进行带宽、会话数等的控制；另外还可以自定义IPS策略，阻拦具有某一七层特征值的流量
说明：只有多WAN环境才有必要进行七层应用策略路由
系统自动分析80端口流量，并把不符合HTTP协议的目的IP放入FAKE80_ip对象，再在总控策略里对其进行策略路由
说明：ISP不能阻拦用户的网络应用，只能控制网络应用的带宽
6.2 特殊应用功能设置
7.5 IDP特征值规则
对远程应用、下载存储、网络游戏、网络视频、聊天通讯、网银支付、证券交易等网络应用一键勾选阻拦；对一万多种非法攻击进行七层特征值过滤并阻拦
说明：ISP汇聚层流量太大，一般会通过交换机端口镜像的方式实时查看部分流量
实时查询网络流量，可以显示数据包的7层内容，查询条件包括源IP、源端口、协议、目的IP、目的端口、总控策略编号等，不需要先记录、再下载查看
包括DNS域名查询（https URL的域名）、URL、WEBPOST内容、WEB邮件正文、BBS论坛发帖内容等日志，本地留存至少60天，还可以显示URL级的实时带宽
说明：ISP不能阻拦用户的WEB请求
6.6 DNS&URL库
对URL的各个组成部分分别进行内容匹配并阻拦
二层IP&MAC地址绑定
4.2 SNMP监控
通过三层交换机的IP&MAC地址绑定
5.7 总控策略
8.3 用户组
WEB认证（本地、RADIUS、LDAP）
9.3 PPPOE总体设置
PPPoE认证
9.1 PPTP总体设置
PPTP VPN认证
10.3 IPSEC VPN网关
IPSEC VPN认证