H3C SecPath GAP基本功能配置指南.docx

H3C SecPath GAP基本功能配置指南.docx

《H3C SecPath GAP基本功能配置指南.docx》由会员分享，可在线阅读，更多相关《H3C SecPath GAP基本功能配置指南.docx（16页珍藏版）》请在冰豆网上搜索。

H3CSecPathGAP基本功能配置指南

H3CSecPathGAP2000系列

基本功能配置指南

1简介1

2配置前提1

3H3CSecPathGAP2000基本功能配置举例1

3.1组网需求1

3.2配置思路2

3.3使用版本2

3.4配置步骤2

3.4.1通过B/S方式登录网闸2

3.4.2网络配置3

3.4.3通道设置7

3.4.4策略设置10

3.5验证配置13

1简介

本文档介绍了H3CSecPathGAP2000的配置举例。

H3CSecPathGAP2000用于隔离网络数据交换。

提供HTTP、SMTP、POP3、FTP、ORACLE、等应用级检测通道。

使用户可以在两边网络隔离的前提下，即底层TCP/IP协议彻底阻断的情况下，实现上述应用的互访。

专用于解决政府、军工、医院、工商、税务、金融、公检法等行业隔离网络信息交换问题。

2配置前提

本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。

如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。

本文档中所配置举例中，NETA、HOSTB、NETC到网闸外端口路由可达，网闸内端口到

ServerA和ServerB路由可达。

本文假设您已了解H3CSecPathGAP2000特性。

3H3CSecPathGAP2000基本功能配置举例

3.1组网需求

如图1所示，NETA、HOSTB、NETC代表外网允许访问的终端。

ServerA和ServerB属于内网对外开放服务器。

部署网闸后，配置2条应用通道，使得仅允许外网NETA、HOSTB、NETC可以访问到内网的这两台FTP服务器。

3.2配置思路

∙首先统计过网闸的应用有哪些，在此测试环境中仅FTP应用

∙调查这些应用分别部署在哪些服务器上，在此环境上FTP服务部署在内网ServerA和

ServerB上

∙将所有需要被访问服务器的IP以及服务端口PORT统计全，设计服务映射列表。

申请内外端需要的IP地址。

在此测试环境中网闸外端分配2个IP分别为内网2台服务器做映射。

3.3使用版本

本举例是在H3Ci-WareSoftware,Version3.1,ESS6001版本上进行配置和验证的。

3.4配置步骤

3.4.1通过B/S方式登录网闸

通过网闸MAN管理口登录网闸，打开浏览器输入https:

//192.168.0.1，（MAN口为专用管理口，其他网口不允许管理配置网闸）

默认账号：

admin；默认密码：

adminh3c。

3.4.2网络配置

点击“网络管理”→“网卡绑定”，选择内端机的SLOT0/1和SLOT0/2。

图3网卡绑定

点击“增加绑定”后会弹出连接状态监测方式选项框，如下图：

表1连接状态检测方式表

选项

监测方式

备注

MII

仅监测物理连接是否正常

ARP

借助ARP响应机制，检测链路层是否可达

需要设置同网段其它设备的IP，通常设置网关IP

点击“保存”后完成网卡绑定，如下图：

图5完成网卡绑定

点击“网络管理”→“内端机”，选中新增的绑定网口，设置网闸内端系统的IP。

点击“添加IP”，设置完后点“保存”退出.

图7新建IP

点击“网络管理”→“外端机”设置网闸外端系统的IP。

图8设置网闸外端系统的IP

图9添加IP

如果需要配置多个IP，可以继续添加。

图10配置多个IP

点击“路由管理”设置两端机的路由。

图11路由管理

点击“新增路由”按钮添加路由。

注意“端机口”参数，由于网闸是多机体系，请注意所添加的路由是在哪一端系统上的。

设置完毕后点“保存”退出。

图13设置外端路由

3.4.3通道设置

针对需要开放的服务，配置网闸通道，点击“通道管理”。

点击“添加通道”。

图15添加通道

该通道意思是，内网服务器ServerA192.168.10.30，其21端口的FTP服务映射到网闸外端口

172.16.1.11的21端口上。

当外网的用户访问ftp:

//172.16.1.11时，网闸会将请求摆渡到内网。

随后以192.168.1.10这个连接IP作为源地址，192.168.10.30作为目标地址重新封装数据包，发送给ServerA。

如果不需要对源或通过的内容做过滤，这样就可以使用通道了。

新添加的通道默认启用。

图18默认启用通道

3.4.4策略设置

每条通道都可以对访问源IP进行限制。

或者根据所选通道类型对相应内容进行过滤。

这些都需要通过配置策略和挂载策略来实现。

点击“策略管理”→“客户端地址”配置源地址限制，如下图：

点击“策略管理”中的“新增”添加策略集，如下图：

图20添加策略集

策略集有两种过滤类型，分别是“白名单”和“黑名单”，设置完后点“保存”退出。

每个策略集可以容纳多条策略，点击策略中的“新增”，设置具体策略。

图22设置策略

按照测试环境要求，在“客户端地址”策略集中定义了一个白名单策略集，其中包含网段

172.16.1.0/24、188.33.0.0/24，以及终端172.16.11.250/32。

图23白名单策略集

将策略集挂载到通道上。

停用通道后，编辑通道。

图24编辑通道

选择需要挂载的策略集，在此测试环境中，仅“允许访问源1”中的三条策略对象访问此通道，即通过网闸访问内网ServerA的FTP服务，ServerB的FTP通道配置类似。

修改完成之后，需要启用通道才能使用。

3.5验证配置

通过HostA、NetB、NetC分别访问ftp:

//172.16.1.11和ftp:

//172.16.1.12。

图26172.16.1.11界面

图28172.16.1.12界面

应用都能正常访问。

通过其他访问源访问ftp:

//172.16.1.11和ftp:

//172.16.1.12。

图30其他访问源访问ftp:

//172.16.1.12

通过其他访问源，应用都无法正常访问。

不同于普通路由交换设备。

网闸连通性不能用单纯的ping或telnet来测试连通性。

由于网闸摆渡的仅仅是应用层数据，所以只能通过应用来测试。

网闸配置完后需要根据不同的业务来进行测试和验证其连通性。