先一正向型隔離裝置配置

智能隔離裝置（正向型）用戶手冊目錄產(chǎn)品介紹 錯誤!未定義書簽。產(chǎn)品分發(fā)與安裝 1正向隔離裝置配置管理 2安全策略配置 2用戶管理 5日志管理 5系統(tǒng)調試 6典型應用環(huán)境配置案例 7二層交換機模式配置 7三層交換機模式配置 8附錄 9串口故障診斷 9網(wǎng)絡故障診斷 10虛擬主機IP、靜態(tài)NAT介紹 10使用安全隔離裝置的建議 121產(chǎn)品介紹電力專用網(wǎng)絡安全隔離裝置（正向型）用于安全區(qū)I/II到非安全區(qū)In的單向數(shù)據(jù)傳遞。智能隔離裝置網(wǎng)絡安全隔離產(chǎn)品（正向型）的硬件結構如下圖1所示。本產(chǎn)品硬件采用X86體系結構高性能嵌入式計算機芯片，雙機之間通過高速物理光纖隔離模塊進行物理連接。內外網(wǎng)串口可以用來連接配置終端，方便管理人員對網(wǎng)絡安全隔離設備的控制。圖1網(wǎng)絡安全隔離裝置硬件結構圖正向隔離裝置的前面板圖如下圖2所示。前面板上內網(wǎng)和外網(wǎng)各有4個10M/100M的以太網(wǎng)接口以及各一個配置串口，內網(wǎng)配置串口用來配置正向隔離裝置內網(wǎng)端鏈路規(guī)則，并監(jiān)控內網(wǎng)側的狀態(tài)信息，外網(wǎng)配置串口用來配置外網(wǎng)鏈路規(guī)則，并監(jiān)控外網(wǎng)側的狀態(tài)信息，內網(wǎng)網(wǎng)口用來連接內網(wǎng)，外網(wǎng)網(wǎng)口用來連接外網(wǎng)，內外網(wǎng)口的網(wǎng)卡指示燈綠燈亮，表示網(wǎng)口與網(wǎng)絡正確連接，黃燈亮表示網(wǎng)絡速率是100M，暗表示網(wǎng)絡速率是10M，閃爍表示有數(shù)據(jù)正在接收或發(fā)送。圖2網(wǎng)絡安全隔離裝置（正向型）前面板圖圖3網(wǎng)絡安全隔離裝置（正向型）后面板圖產(chǎn)品分發(fā)與安裝網(wǎng)絡安全隔離裝置（正向型）產(chǎn)品分發(fā)包括硬件和軟件兩大部分。用戶在使用本產(chǎn)品時，應先檢查硬件產(chǎn)品是否具有先一科技的標志，外觀是否有損壞現(xiàn)象。如有以上現(xiàn)象，請勿使用并及時與本公司取得聯(lián)系，處理相關事宜。為了產(chǎn)品穩(wěn)定、可靠的運行，請勿私自打開隔離裝置機箱。隔離裝置隨機帶有一張配置軟件安裝光盤、一根串口配置線，用于在安裝WindOWS2000/XP/win7/等操作系統(tǒng)的計算機上進行配置。安裝完成后，啟動配置管理軟件，軟件界面如下圖4所示。圖4正向隔離裝置配置軟件主界面網(wǎng)絡安全隔離裝置的安裝和部署非常簡單，隔離裝置部署在網(wǎng)絡的唯一出口處，通過內網(wǎng)接口和外網(wǎng)接口，分別與內網(wǎng)和外網(wǎng)相連。內網(wǎng)和外網(wǎng)的數(shù)據(jù)交換必須通過隔離裝置，以便保護安全的內部網(wǎng)絡，安裝拓撲圖如下圖5所示。圖5隔離裝置安裝網(wǎng)絡拓撲圖正向隔離裝置配置管理安全策略配置1）用隨機附帶的配置串口線連接到安全隔離裝置的內外網(wǎng)配置串口（console）。2）啟動安全隔離裝置的配置軟件，然后點擊‘串口配置’菜單，在點擊‘串口配置’選項，選擇相應的串口，一般配置軟件會自動識別本機串口，界面如下圖6所示，接著設置好波特率，數(shù)據(jù)位，超時等（串口配置按默認界面即可）。圖6安全隔離裝置配置軟件啟動界面3）點擊‘連接’選項。如果連接成功，系統(tǒng)將會提示成功連接串口（圖7），點擊OK即可；如果連接失敗，系統(tǒng)也會提示連接串口失?。▓D8）。程序會反復重連5次，5次都失敗后，程序會自動退出。用戶請參考《附錄5.1串口故障診斷》一節(jié)仔細檢查串口設置。排除故障后，再次重試連接。圖7圖8點擊主界面‘規(guī)則配置’菜單下的‘配置規(guī)則’選項，系統(tǒng)會提示輸入用戶名和口令（圖9）進行權限認證。隔離裝置默認的系統(tǒng)管理員用戶名為root，密碼為root。用戶在第一次使用隔離裝置后，請立刻修改系統(tǒng)管理員口令。圖9用戶登錄成功后，隔離裝置會自動導出本地已存在的配置規(guī)則（此規(guī)則為模板規(guī)則，用戶安裝此規(guī)則規(guī)范配置也可自行配置），導出成功后進入‘配置系統(tǒng)規(guī)則主界面’（圖10）配置用戶規(guī)則。（注意：界面導出的規(guī)則是本地的默認規(guī)則文件rule.buf，在配置程序的rule文件夾下）數(shù)據(jù)綜合過濾功能能夠為隔離裝置提供基本的安全保障，裝置根據(jù)系統(tǒng)管理員預先設定的規(guī)則檢查數(shù)據(jù)包以決定哪些數(shù)據(jù)容許通過，哪些數(shù)據(jù)不能通過，保護內部安全網(wǎng)絡免受外部攻擊。數(shù)據(jù)過濾依據(jù)：數(shù)據(jù)包的傳輸協(xié)議類型，容許TCP和UDP。數(shù)據(jù)包的源端地址，目的端地址。數(shù)據(jù)包的源MAC地址，目的端MAC地址。綜合過濾規(guī)則提供網(wǎng)絡安全隔離裝置允許還是拒絕IP包的依據(jù)，隔離裝置對收到的每一個數(shù)據(jù)包進行檢查，從它們的包頭中提取出所需要的信息，如源MAC址、目的MAC地址、源IP地址、目的IP地址、協(xié)議類型等，再與已建立的規(guī)則逐條進行比較，并執(zhí)行所匹配規(guī)則的策略，或執(zhí)行默認策略。規(guī)則配置中，IP地址的形式為X.X.X.X的范圍取0-255,MAC地址的形式為XX-XX-XX-XX-XX-XX，其中X為十二位十六進制數(shù)，延時是指本條鏈路數(shù)據(jù)包的發(fā)送間隔時間，單位是毫秒,默認設置是10ms，在無特殊情況下請勿更改。常用操作步驟說明添加增加新的規(guī)則。當用戶要增加了新的規(guī)則后，首先點擊‘添加’按鈕即可將規(guī)則添加到配置軟件的規(guī)則隊列中，然后在界面填寫相應的配置，填寫完后點“修改”按鈕，如果需要保存則點擊“保存配置”按鈕保存到本地默認文件中。修改對已有的規(guī)則進行編輯修改。選擇要修改的規(guī)則，修改規(guī)則中的參數(shù)后，點擊‘修改’按鈕，確認修改；否則不會保存修改過的參數(shù)?！飫h除刪除一條已有的規(guī)則。選擇要刪除的規(guī)則，點擊‘刪除’按鈕，則選定的規(guī)則將被刪除；如果需要刪除全部規(guī)則，點擊‘刪除全部’按鈕即可。復制根據(jù)一條已有的規(guī)則復制出一條新的規(guī)則。選擇要復制的規(guī)則，點擊‘復制’按鈕，會復制出一條與原規(guī)則相似的規(guī)則，在復制規(guī)則中修改相應的各項內容。修改完畢后，點擊‘修改’按鈕確認修改。保存保存操作收集各個參數(shù)的輸入數(shù)據(jù)，將規(guī)則文件保存到配置終端的內存中，還能夠將規(guī)則保存在本地用戶指定的規(guī)則文件中。當用戶對隔離裝置的規(guī)則配置完成后，點擊‘保存配置’按鈕，提示用戶已保存的規(guī)則總數(shù)并將規(guī)則文件保存在配置終端默認文件中。如果需要保存在本地用戶指定的規(guī)則文件中，點擊‘保存本地’按鈕，將規(guī)則保存在本地的規(guī)則文件中。上傳配置將規(guī)則文件上傳到隔離裝置中。在規(guī)則配置完成后，點擊‘保存配置’按鈕，保存規(guī)則文件。然后點擊‘上傳裝置’按鈕，將規(guī)則導入到隔離裝置的安全存儲區(qū)中。上傳配置成功后，系統(tǒng)會提示“上傳配置成功”。下載配置導出存儲在隔離裝置內的規(guī)則配置文件。點擊‘下載配置’按鈕，出現(xiàn)導出系統(tǒng)規(guī)則進度條。導出規(guī)則成功后，系統(tǒng)會提示成功“下載配置成功”，點擊“保存配置”，此時規(guī)則文件保存在配置終端的默認配置文件中。注意：系統(tǒng)默認拒絕所有網(wǎng)絡報文通過，只有在規(guī)則配置中允許的報文才可以通過。隔離裝置不容許出現(xiàn)重復規(guī)則，當兩條規(guī)則的重復時，會出現(xiàn)報警信息，提醒用戶對規(guī)則進行修改。根據(jù)不同的隔離方案，規(guī)則有不同的配置，請參考《四、典型應用隔離方案規(guī)則設定范例》。用戶管理為了更好地管理隔離裝置，在隔離裝置中可以設置兩類用戶：超級用戶和普通用戶。超級用戶和普通用戶的權限不同：超級用戶可以增加、刪除、修改隔離裝置的配置規(guī)則，可以增加或刪除隔離裝置的普通用戶，可以查詢隔離裝置的日志等；普通用戶只可以查看隔離裝置的配置規(guī)則和日志等。（注意：隔離裝置現(xiàn)在只能設置一個超級用戶root）修改口令：點擊‘用戶管理’菜單下的‘修改口令’選項,系統(tǒng)會驗證用戶的合法身份（圖11），身份認證成功后，自動彈出‘修改口令’窗口（圖12），同時系統(tǒng)會自動鎖定當前已經(jīng)登錄的用戶名，用戶只需輸入新口令修改口令即可。（注意：用戶只需要登錄隔離裝置一次，如果與隔離裝置的連接沒有斷開，登陸的用戶權限一直有效）圖11圖122）用戶察看：點擊‘用戶管理’菜單下的‘察看用戶’選項察看用戶。察看用戶需要使用超級用戶root身份登錄（圖13），登錄成功后，會出現(xiàn)導出用戶列表進度條。導出成功后會自動彈出‘用戶列表’窗口（圖14），超級用戶在這里可以添加或刪除普通用戶。添加或刪除用戶后，點擊‘上傳’按鈕系統(tǒng)會自動更新用戶列表。（注意：系統(tǒng)禁止刪除超級用戶root）圖13圖14日志管理‘日志管理’功能用于查看隔離裝置的運行日志，以供用戶分析隔離裝置的運行狀況。登錄成功后，會出現(xiàn)系統(tǒng)日志分析界面如下圖15所示，輸入你要導出日志的鏈路號，點擊“確定”按鈕，成功后會自動下載日志到‘日志列表’窗口（圖16），點擊‘保存分析結果’按鈕可以將日志保存到本地文件。圖15圖16系統(tǒng)調試隔離裝置提供了一個非常實用的系統(tǒng)診斷工具，用來診斷隔離裝置與網(wǎng)絡的連接是否正常。點擊‘系統(tǒng)調試’菜單下的‘系統(tǒng)診斷工具’選項診斷網(wǎng)絡連接情況（圖17）。Ping診斷命令：“診斷命令”提供了“「行8”命令。通過此命令可以用來診斷隔離裝置是否與內外網(wǎng)絡物理連接正常。圖17系統(tǒng)診斷工具以下是一個網(wǎng)絡連接診斷示例：圖18網(wǎng)絡連接診斷示例圖內網(wǎng)主機真實地址為192.168.10.100,虛地址為192.168.20.240；外網(wǎng)主機真實地址為192.168.20.100,虛地址為192.168.10.240。假設隔離裝置與內外網(wǎng)絡已經(jīng)連接好,并且已經(jīng)配置好規(guī)則。具體診斷步驟如下所述:1、首先測試隔離裝置與內網(wǎng)的連接是否正常。將配置串口線連接到隔離裝置的內網(wǎng)配置口，連接串口成功后,選擇系統(tǒng)診斷界面中的Ping命令,源地址輸入外網(wǎng)主機的虛地址，目的地址輸入內網(wǎng)主機的真實地址。本例中源地址輸入192.168.10.240,目的地址輸入192.168.10.100。2、點擊‘開始調試’按鈕,系統(tǒng)會提示正在導出系統(tǒng)調試信息。如果診斷信息為Pingsuccess:192.168.10.100to192.168.10.100,則表示隔離裝置與內網(wǎng)網(wǎng)絡連接正常（圖19）。否則診斷信息應為Pingerror。圖19網(wǎng)絡連接診斷結果3、測試隔離裝置與外網(wǎng)的連接是否正常,與測試內網(wǎng)連接類似。將配置串口線連接到隔離裝置的外網(wǎng)配置口，源地址應該輸入內網(wǎng)主機的虛地址(192.168.20.240)，目的地址輸入外網(wǎng)主機的真實地址(192.168.20.100)。2)遠程Ping診斷命令：為了方便用戶進行網(wǎng)絡鏈路診斷，隔離裝置支持遠程Ping診斷。具體診斷步驟如下所述：1、首先測試隔離裝置與內網(wǎng)的連接是否正常。在內網(wǎng)通信計算機(如上圖所示的計算機192.168.10.100)上打開WindoWS命令行窗口，運行Ping命令，目標地址為外網(wǎng)的虛擬IP地址(192.168.10.240)。如果能Ping通外網(wǎng)的虛擬地址，則表示隔離裝置與內網(wǎng)網(wǎng)絡連接正常，否則請檢查隔離裝置與內網(wǎng)的網(wǎng)絡連接。2、測試隔離裝置與外網(wǎng)的連接是否正常,與測試內網(wǎng)連接類似。在外網(wǎng)的通信計算機(如上圖所示的計算機192.168.20.100)上打開WindoWS命令行窗口，運行Ping命令，目標地址為內網(wǎng)的虛擬IP地址(192.168.10.240)，如果能Ping通內網(wǎng)的虛擬地址，則表示隔離裝置與外網(wǎng)網(wǎng)絡連接正常，否則請檢查隔離裝置與外網(wǎng)的網(wǎng)絡連接。4典型應用環(huán)境配置案例網(wǎng)絡安全隔離裝置針對電力系統(tǒng)四安全區(qū)的網(wǎng)絡拓撲結構，采用多種形式滿足二次系統(tǒng)安全防護體系的要求。二層交換機模式配置網(wǎng)絡環(huán)境描述：內網(wǎng)主機為客戶端，IP地址為192.168.10.100,虛擬IP為192.168.20.240,MAC地址為AA-EE-BB-EC-Cd-DE;外網(wǎng)主機為服務端，IP地址為192.168.20.100,虛擬IP為192.168.10.240,MAC地址為AA-EE-BB-EC-CE-DF,假設SerVer程序數(shù)據(jù)接收端口為9000。圖20二層交換機網(wǎng)絡拓撲圖基本信息規(guī)則名稱：Tcp-IickJ協(xié)詼類型：TCF內網(wǎng)酒置工F地址： 192.1&8.10.100外網(wǎng)我置工F地址: 192,168.20,100MAC:M-EE-BB-EC-CB-IEMAC:AA-EE-BB-EC-CE-Df虛概TP: 192,16S,20.240虛概工P: 192,16S,i0,≥40延時；10端口；9000圖21注意:如果隔離裝，虛擬置兩邊主機是同一網(wǎng)段IP地址與真實的IP地址可以設置相同。例如主機C(192.168.10.100)，與主機D(192.168.10.200)進行通信，此時可以把主機C的虛擬IP地址設置為192.168.10.100，主機D的虛擬IP地址設置為192.168.10.200。三層交換機模式配置網(wǎng)絡環(huán)境描述：內網(wǎng)主機為客戶端，IP地址為192.168.10.115；外網(wǎng)主機為服務端，IP地址為192.168.20.248,假設Server程序數(shù)據(jù)接收端口為9000。隔離裝置兩端連接的交換機為三層交換機(具有路由功能)。三層交換機與隔離裝置內網(wǎng)口連接的Vlan段的IP地址為192.168.18.135，MAC地址00-E0-DE-ED-34-E5。三層交換機與隔離裝置外網(wǎng)口連接的Vlan段的IP地址為192.168.18.136，MAC地址為00-E0-DE-ED-78-F7。由于隔離裝置兩端三層交換機路由功能的存在會修改經(jīng)它轉發(fā)出去的數(shù)據(jù)報文的源MAC地址，修改為三層交換機本身的MAC地址，同時隔離裝置兩端三層交換機之間要交換ARP報文，因此在規(guī)則設置時，需要同時配置兩條規(guī)則：一條規(guī)則為內網(wǎng)主機與外網(wǎng)主機之間實際通信的規(guī)則，其中內頌AC地址應填寫與隔離裝置內網(wǎng)口連接的三層交換機的MAC地址，外網(wǎng)MAC地址應填寫與隔離裝置外網(wǎng)口連接的三層交換機的MAC地址，必須設置內外網(wǎng)MAC地址綁定。另外一條規(guī)則為兩臺三層交換機之間交換ARP報文的規(guī)則，MAC地址的設置與上一條規(guī)則相同。（此模式用戶暫時不用配置）圖22實際通信規(guī)則配置:圖23基本信息物則名稱：Tcp_Arp協(xié)議類型：TCP內網(wǎng)配置工T地址： 192,L6θ,1S,135外網(wǎng)配置工P地址： 132.ieS,1S,136ΓAJC: 00-EC-DE-ED-34-E5MAC: OO-EO-DI-ED-Ts-FT虛擬工F：192.l.6θ,18.135虛概工F： 192.168.18.136延時：10端口：9000圖245附錄串口故障診斷用戶在配置隔離裝置的時候，如果出現(xiàn)串口連接反復失敗的情況，可能是由于以下原因造成，請按照以下步驟對串口進行診斷：1、串口的COM端口選擇不正確。查看串口配置線與計算機的哪一個串口連接。一般來說計算機自帶的串口A為COM1，串口B為COM2。如果是使用USB轉串口線額外增加的串口，需要打開“設備管理器”，在端口選項下具體查看串口使用的COM端口，確認COM端口選擇正確。2、隔離裝置配置串口故障。將配置程序的速率設置為‘115200’，數(shù)據(jù)流控制設置為‘無’。重新啟動隔離裝置，等待網(wǎng)閘重啟（約1分鐘左右）如果用客戶端配置程序內網(wǎng)外均登錄不了網(wǎng)閘規(guī)則配置界面，說明此串口連接有問題，請聯(lián)系網(wǎng)閘技術支持人員。3、配置計算機串口兼容性不好或串口配置線已壞。使用配置軟件始終無法連接到隔離裝置，請在配置計算機的“設備管理器”的端口選項下將相應的COM端口速率設置為‘115200’，數(shù)據(jù)流控制設置為‘無’，重新?lián)Q一根配置串口線后再次重試。4、隔離裝置負荷較重。隔離裝置負荷較重時，CPU使用率過高，串口通訊進程可能無法及時得到CPU響應。建議選擇隔離裝置負荷較輕時重試或重啟。5、隔離裝置反復重啟，請與本公司聯(lián)系。網(wǎng)絡故障診斷用戶在使用隔離裝置的時候，如果內外網(wǎng)無法正常通訊，請按照以下步驟對網(wǎng)絡進行診斷：1、確認內外網(wǎng)主機與隔離裝置物理連接正常。隔離裝置現(xiàn)在支持直接Ping功能，內網(wǎng)主機直接Ping外網(wǎng)主機的虛擬IP，如果成功說明內網(wǎng)主機與隔離裝置物理連接正常；外網(wǎng)主機直^ing內網(wǎng)主機的虛擬IP，如果成功說明外網(wǎng)主機與隔離裝置物理連接正常。如果Ping失敗，請仔細檢查內外網(wǎng)主機與網(wǎng)絡的物理連接及連接的網(wǎng)口信號指示燈。2、隔離裝置規(guī)則配置參數(shù)錯誤。請仔細閱讀《典型應用隔離方案規(guī)則設定范例》一節(jié)，確認規(guī)則配置正確，或者尋求本公司的技術支持。3、內外網(wǎng)通訊程序沒有按照隔離裝置的內的編程原則設計。請使用隨機光盤上的測試軟件測試內外網(wǎng)的數(shù)據(jù)通訊是否正常。虛擬主機IP、靜態(tài)NAT介紹為了實現(xiàn)處于不同網(wǎng)段的主機之間的相互訪問，隔離裝置采用了虛擬IP、靜態(tài)NAT技術。所謂的虛擬IP，就是在隔離裝置中針對內外網(wǎng)的兩臺主機，虛擬出兩個IP地址，內網(wǎng)主機虛擬出一個外網(wǎng)的IP地址，外網(wǎng)的主機虛擬出一個內網(wǎng)的IP地址，這樣內網(wǎng)主機就可以通過訪問外網(wǎng)主機的虛擬IP達到訪問外網(wǎng)主機的目的，同時外網(wǎng)主機也可以通過訪問內網(wǎng)主機的虛擬IP達到訪問內網(wǎng)主機的目的。有了以上兩個虛擬IP地址，內外網(wǎng)主機之間的通訊被映射為兩個部分：內網(wǎng)對內網(wǎng)的通訊，外網(wǎng)對外網(wǎng)的通訊。具體示例如圖47所示：內網(wǎng)主機IP地址為192.168.0.39,分配一個與外網(wǎng)主機在同一網(wǎng)段的虛擬IP地址202.102.93.1；外網(wǎng)主機IP地址為202.102.93.54,分配一個與內網(wǎng)主機在同一網(wǎng)段的虛擬IP地址192.168.0.1。當內網(wǎng)主機上的Client端向外網(wǎng)主機上的SerVer端發(fā)起TCP連接請求時，報文的源IP地址為192.168.0.39，目的IP地址為外網(wǎng)主機的虛擬IP地址192.168.0.1。經(jīng)過隔離裝置的NAT轉換后，到達外網(wǎng)的報文的源IP地址為內網(wǎng)主機的虛擬IP地址202.102.93.1,目的IP地址為外網(wǎng)主機的IP地址202.102.93.54。從外網(wǎng)主機到內網(wǎng)主機的TCP應答報文源IP地址是外網(wǎng)主機的IP地址202.102.93.54，目的IP地址是內網(wǎng)主機的虛擬IP地址202.1