先一正向型隔离装置配置.docx

先一正向型隔离装置配置.docx

《先一正向型隔离装置配置.docx》由会员分享，可在线阅读，更多相关《先一正向型隔离装置配置.docx（12页珍藏版）》请在冰豆网上搜索。

先一正向型隔离装置配置

智能隔离装置（正向型）用户手册

1产品介绍

2产品分发与安装3

3正向隔离装置配置管理5

3.1安全策略配置5

3.2用户管理9

3.3日志管理11

3.4系统调试12

4典型应用环境配置案例15

4.1二层交换机模式配置16

4.2三层交换机模式配置17

5附录18

5.1串口故障诊断19

5.2网络故障诊断19

5.3虚拟主机IP、静态NAT介绍20

5.4使用安全隔离装置的建议22

1产品介绍

电力专用网络安全隔离装置（正向型）用丁安全区I/II到非安全区III的

单向数据传递。

智能隔离装置网络安全隔离产品（正向型）的硬件结构如下图1所示。

本产品硬件采用X8林系结构高性能嵌入式计算机芯片，双机之间通过高速物理光纤隔离模块进行物理连接。

内外网申口可以用来连接配置终端，方便管理人员对网络安全隔离设备的控制。

正向隔离装置的前面板图如下图2所示。

前面板上内网和外网各有4个

10M/100M勺以太网接口以及各一个配置申口，内网配置申口用来配置正向隔离装置内网端链路规则，并监控内网侧的状态信息，夕卜网配置申口用来配置外网链路规则，并监控外网侧的状态信息，内网网口用来连接内网，外网网口用来连接外网，内外网口的网卡指示灯绿灯亮，表示网口与网络正确连接，黄灯亮表示网络速率是100M暗表示网络速率是10M闪烁表示有数据正在接收或发送。

图3网络安全隔离装置（正向型）后面板图

2产品分发与安装

网络安全隔离装置（正向型）产品分发包括硬件和软件两大部分。

用户在使用本产品时，应先检查硬件产品是否具有先一科技的标志，外观是否有损坏现象。

如有以上现象，请勿使用并及时与本公司取得联系，处理相关事宜。

为了产品稳定、可靠的运行，请勿私自打开隔离装置机箱。

隔离装置随机带有一张配置软件安装光盘、一根申口配置线，用丁在安装Windows2000/XP/win7/等操作系统的计算机上进行配置。

安装完成后，启动配置管理软件，软件界面如下图4所示。

‘13]也」ns—宜•止向丑庆曜序

丰匚钏的6*1附Hi日市算w

留命牌密装妄・正仙_型

|-〒宿吠,cor/京F

L—

图4正向隔离装置配置软件主界面

必须通过隔离装置，以便保护安全的内部网络，安装拓扑图如下图5所示

3正向隔离装置配置管理

3.1安全策略配置

1）用随机附带的配置申口线连接到安全隔离装置的内外网配置申口（console）2）启动安全隔离装置的配置软件，然后点击’申口配置’菜单，在点击’申口

配置’选项，选择相应的申口，一般配置软件会自动识别本机申口，界面如下图

3）点击’连接’选项。

如果连接成功，系统将会提示成功连接申口（图7）,点击

OP®可；如果连接失败，系统也会提示连接申口失败（图8）。

程序会反复重连5次,5次都失败后，程序会自动退出。

用户请参考《附录5.1申口故障诊断》一节

仔细检查申口设置。

排除故障后，再次重试连接

4）点击主界面’规则配置’菜单下的’配置规则’选项，系统会提示输入用户

名和口令（图9）进行权限认证。

隔离装置默认的系统管理员用户名为root,密码

为root。

用户在第一次使用隔离装置后，请立刻修改系统管理员口令。

5）用户登录成功后，隔离装置会自动导出本地已存在的配置规则（此规则为模板规则，用户安装此规则规范配置也可自行配置），导出成功后进入’配置系统规则主界面’（图10）配置用户规则。

（注意：

界面导出的规则是本地的默认规则文件rule.buf，在配置程序的rule文件夹下）

数据综合过滤功能能够为隔离装置提供基本的安全保障，装置根据系统管理

员预先设定的规则检查数据包以决定哪些数据容许通过，哪些数据不能通过，保

护内部安全网络免受外部攻击。

数据过滤依据：

★数据包的传输协议类型，容许TCPUDP

★数据包的源端地址，目的端地址。

★数据包的源MA地址，目的端MA鼬址。

综合过滤规则提供网络安全隔离装置允许还是拒绝IP包的依据，隔离装置对收到的每一个数据包进行检查，从它们的包头中提取出所需要的信息，如源MAC址、目的MAC地址、源IP地址、目的IP地址、协议类型等，再与已建立的规则逐条进行比较，并执行所匹配规则的策略，或执行默认策略。

规则配置中，IP地址的形式为X.X.X.X的范围取0-255,MAC地址的形式为XX-XX-XX-XX-XX-XX其中X为十二位十六进制数，延时是指本条链路数据包的发送间隔时间，单位是毫秒，默认设置是10m§在无特殊情况下请勿更改。

常用操作步骤说明

★添加

增加新的规则。

当用户要增加了新的规则后，首先点击’添加’按钮即可将

规则添加到配置软件的规则队列中，然后在界面填写相应的配置，填写完后点“修改”按钮，如果需要保存则点击“保存配置”按钮保存到本地默认文件中。

★修改

对已有的规则进行编辑修改。

选择要修改的规则，修改规则中的参数后，

点击’修改’按钮，确认修改；否则不会保存修改过的参数。

★删除

删除一条已有的规则。

选择要删除的规则，点击’删除’按钮，则选定

的规则将被删除；如果需要删除全部规则，点击’删除全部’按钮即可。

★复制

根据一条已有的规则复制出一条新的规则。

选择要复制的规则，点击’复

制’按钮，会复制出一条与原规则相似的规则，在复制规则中修改相应的各项内容。

修改完毕后，点击’修改’按钮确认修改。

★保存

保存操作收集各个参数的输入数据，将规则文件保存到配置终端的内存中，还能够将规则保存在本地用户指定的规则文件中。

当用户对隔离装置的规则配置完成后，点击’保存配置’按钮，提示用户已保存的规则总数并将规则文件保存在配置终端默认文件中。

如果需要保存在本地用户指定的规则文件中，点击’保存本地’按钮，将规则保存在本地的规则文件中。

★上传配置

将规则文件上传到隔离装置中。

在规则配置完成后，点击’保存配置’按钮，保存规则文件。

然后点击’上传装置’按钮，将规则导入到隔离装置的安全存储区中。

上传配置成功后，系统会提示“上传配置成功”。

★下载配置

导出存储在隔离装置内的规则配置文件。

点击’下载配置’按钮，出现

导出系统规则进度条。

导出规则成功后，系统会提示成功“下载配置成功”，点击“保存配置”，此时规则文件保存在配置终端的默认配置文件中。

注意：

系统默认拒绝所有网络报文通过，只有在规则配置中允许的报文才可以通过。

隔离装置不容许出现重复规则，当两条规则的重复时，会出现报警信息，提醒用户对规则进行修改。

根据不同的隔离方案，规则有不同的配置，请参考《四、典型应用隔离方案规则设定范例》。

3.2用户管理

为了更好地管理隔离装置，在隔离装置中可以设置两类用户：

超级用户和普通用户。

超级用户和普通用户的权限不同：

超级用户可以增加、删除、修改隔离装置的配置规则，可以增加或删除隔离装置的普通用户，可以查询隔离装置的日

志等；普通用户只可以查看隔离装置的配置规则和日志等。

（注意：

隔离装置现在只能设置一个超级用户root）

1）修改口令：

点击’用户管理’菜单下的’修改口令’选项，系统会验证用

户的合法身份（图11）,身份认证成功后，自动弹出’修改口令’窗口（图

12）,同时系统会自动锁定当前已经登录的用户名，用户只需输入新口令修

改口令即可。

（注意：

用户只需要登录隔离装置一次，如果与隔离装置的连接没有断开，登陆的用户权限一直有效）

2）用户察看：

点击’用户管理’菜单下的’察看用户’选项察看用户。

察看用户需要使用超级用户root身份登录（图13）,登录成功后，会出现导出用户列表进度条。

导出成功后会自动弹出’用户列表’窗口（图14）,超级用户在这里可以添加或删除普通用户。

添加或删除用户后，点击’上传’按钮系统会自动更新用户列表。

（注意：

系统禁止删除超级用户root）

3.3日志管理

'日志管理’功能用丁查看隔离装置的运行日志，以供用户分析隔离装置的运

行状况。

登录成功后，会出现系统日志分析界面如下图15所示，输入你要导出日

志的链路号，点击“确定”按钮，成功后会自动下载日志到’日志列表’窗口（图

16）,点击’保存分析结果’按钮可以将日志保存到本地文件

图15

图16

3.4系统调试

隔离装置提供了一个非常实用的系统诊断工具，用来诊断隔离装置与网络的

连接是否正常。

点击’系统调试’菜单下的’系统诊断工具’选项诊断网络连接情况（图17）。

1）Ping诊断命令:

“诊断命令”提供了“ping”命令。

通过此命令可以用来诊断隔离装置是否与内外网络物理连接正常。

以下是一个网络连接诊断示例:

图18网络连接诊断示例图

内网主机真实地址为192.168.10.100,虚地址为192.168.20.240;外网主机

真实地址为192.168.20.100,虚地址为192.168.10.240。

假设隔离装置与内外网

络已经连接好，并且已经配置好规则。

具体诊断步骤如下所述：

1、首先测试隔离装置与内网的连接是否正常。

将配置申口线连接到隔离装

置的内网配置口，连接申口成功后，选择系统诊断界面中的ping命令，源地址输

入外网主机的虚地址，目的地址输入内网主机的真实地址。

本例中源地址输入

192.168.10.240,目的地址输入192.168.10.100。

2、点击’开始调试’按钮，系统会提示正在导出系统调试信息。

如果诊断

信息为pingsuccess:

192.168.10.100to192.168.10.100,则表示隔离装置与

内网网络连接正常（图19）。

否则诊断信息应为pingerror。

3、测试隔离装置与外网的连接是否正常，与测试内网连接类似。

将配置申口

线连接到隔离装置的外网配置口，源地址应该输入内网主机的虚地址

（192.168.20.240），目的地址输入外网主机的真实地址（192.168.20.100）。

2）远程Ping诊断命令：

为了方便用户进行网络链路诊断，隔离装置支持远程ping诊断。

具体诊断步骤如下所述：

1、首先测试隔离装置与内网的连接是否正常。

在内网通信计算机（如上图

所示的计算机192.168.10.100）上打开windows#令行窗口，运行ping命令，目

标地址为外网的虚拟IP地址（192.168.10.240）

如果能ping通外网的虚拟地址，则表示隔离装置与内网网络连接正常，否则请检查隔离装置与内网的网络连接。

2、测试隔离装置与外网的连接是否正常，与测试内网连接类似。

在外网的通信计算机（如上图所示的计算机192.168.20.100）上打开windows#令行窗口，运行ping命令，目标地址为内网的虚拟IP地址（192.168.10.240），如果能ping通内网的虚拟地址，则表示隔离装置与外网网络连接正常，否则请检查隔离装置

与外网的网络连接。

4典型应用环境配置案例

网络安全隔离装置针对电力系统四安全区的网络拓扑结构,

采用多种形式满足二次系统安全防护体系的要求。

4.1二层交换机模式配置

网络环境描述：

内网主机为客户端，IP地址为192.168.10.100，虚拟IP为192.168.20.240,

MAC地址为AA-EE-BB-EC-CD-DE外网主机为服务端，IP地址为192.168.20.100,虚拟IP为192.168.10.240,MA地址为AA-EE-BB-EC-CE-DF假设Server程序数据接收端口为9000。

图20二层交换机网络拓扑图

图21

注意:

如果隔离装，虚拟置两边主机是同一网段IP地址与真实的IP地址可以设置相