H3C SecPath GAP基本功能配置指南.docx

1、H3C SecPath GAP基本功能配置指南H3C SecPath GAP2000 系列基本功能配置指南1简介 12配置前提 13H3C SecPath GAP2000 基本功能配置举例 13.1组网需求 13.2配置思路 23.3使用版本 23.4配置步骤 23.4.1通过B/S方式登录网闸 23.4.2网络配置 33.4.3通道设置 73.4.4策略设置 103.5验证配置 131简介本文档介绍了 H3C SecPath GAP2000 的配置举例。H3C SecPath GAP2000 用于隔离网络数据交换。提供 HTTP、SMTP、POP3、FTP、ORACLE、等应用级检测通道。使

2、用户可以在两边网络隔离的前提下，即底层 TCP/IP 协议彻底阻断的情况下， 实现上述应用的互访。专用于解决政府、军工、医院、工商、税务、金融、公检法等行业隔离网络信息交换问题。2配置前提本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。本文档中所配置举例中，NETA、HOSTB、NETC 到网闸外端口路由可达，网闸内端口到ServerA 和 ServerB 路由可达。本文假设您已了解 H3C SecPath GAP2000 特性。3H3C SecPath GAP2

3、000 基本功能配置举例3.1组网需求如 图 1 所示，NETA、HOSTB、NETC代表外网允许访问的终端。ServerA和ServerB属于内网对外开放服务器。部署网闸后，配置 2 条应用通道，使得仅允许外网NETA、HOSTB、NETC可以访问到内网的这两台FTP服务器。3.2配置思路首先统计过网闸的应用有哪些，在此测试环境中仅 FTP 应用调查这些应用分别部署在哪些服务器上，在此环境上 FTP 服务部署在内网 ServerA 和ServerB 上将所有需要被访问服务器的 IP 以及服务端口 PORT 统计全，设计服务映射列表。 申请内外端需要的 IP 地址。在此测试环境中网闸外端分配

4、2 个 IP 分别为内网 2 台服务器做映射。3.3使用版本本举例是在 H3C i-Ware Software, Version 3.1, ESS 6001 版本上进行配置和验证的。3.4配置步骤3.4.1通过B/S方式登录网闸通过网闸 MAN 管理口登录网闸，打开浏览器输入 https:/192.168.0.1，（MAN 口为专用管理口，其他网口不允许管理配置网闸）默认账号：admin；默认密码：adminh3c。3.4.2网络配置点击“网络管理”“网卡绑定”，选择内端机的 SLOT0/1 和 SLOT0/2。图3 网卡绑定点击“增加绑定”后会弹出连接状态监测方式选项框，如下图：表1 连接状

5、态检测方式表选项监测方式备注MII仅监测物理连接是否正常ARP借助ARP响应机制，检测链路层是否可达需要设置同网段其它设备的IP，通常设置网关IP点击“保存”后完成网卡绑定，如下图：图5 完成网卡绑定点击“网络管理”“内端机”，选中新增的绑定网口，设置网闸内端系统的 IP。点击“添加 IP”，设置完后点“保存”退出.图7 新建 IP点击“网络管理”“外端机”设置网闸外端系统的 IP。图8 设置网闸外端系统的 IP图9 添加 IP如果需要配置多个 IP，可以继续添加。图10 配置多个 IP点击“路由管理”设置两端机的路由。图11 路由管理点击“新增路由”按钮添加路由。注意“端机口”参数，由于网闸

6、是多机体系，请注意所添加的路由是在哪一端系统上的。设置完毕后点“保存”退出。图13 设置外端路由3.4.3通道设置针对需要开放的服务，配置网闸通道，点击“通道管理”。点击“添加通道”。图15 添加通道该通道意思是，内网服务器 Server A 192.168.10.30，其 21 端口的 FTP 服务映射到网闸外端口172.16.1.11 的 21 端口上。当外网的用户访问 ftp:/172.16.1.11 时，网闸会将请求摆渡到内网。随后以 192.168.1.10 这个连接 IP 作为源地址，192.168.10.30 作为目标地址重新封装数据包，发送给 Server A。如果不需要对源或

7、通过的内容做过滤，这样就可以使用通道了。新添加的通道默认启用。图18 默认启用通道3.4.4策略设置每条通道都可以对访问源 IP 进行限制。或者根据所选通道类型对相应内容进行过滤。这些都需要通过配置策略和挂载策略来实现。点击“策略管理”“客户端地址”配置源地址限制，如下图：点击“策略管理”中的“新增”添加策略集，如下图：图20 添加策略集策略集有两种过滤类型，分别是“白名单”和“黑名单”，设置完后点“保存”退出。每个策略集可以容纳多条策略，点击策略中的“新增”，设置具体策略。图22 设置策略按照测试环境要求，在“客户端地址”策略集中定义了一个白名单策略集，其中包含网段172.16.1.0/24

8、、188.33.0.0/24，以及终端 172.16.11.250/32。图23 白名单策略集将策略集挂载到通道上。停用通道后，编辑通道。图24 编辑通道选择需要挂载的策略集，在此测试环境中，仅“允许访问源 1”中的三条策略对象访问此通道，即通过网闸访问内网 Server A 的 FTP 服务，Server B 的 FTP 通道配置类似。修改完成之后，需要启用通道才能使用。3.5验证配置通过Host A、Net B、Net C分别访问ftp:/172.16.1.11 和 ftp:/172.16.1.12。图26 172.16.1.11 界面图28 172.16.1.12 界面应用都能正常访问。通过其他访问源访问 ftp:/172.16.1.11 和 ftp:/172.16.1.12。图30 其他访问源访问 ftp:/172.16.1.12通过其他访问源，应用都无法正常访问。不同于普通路由交换设备。网闸连通性不能用单纯的 ping 或 telnet 来测试连通性。由于网闸摆渡的仅仅是应用层数据，所以只能通过应用来测试。网闸配置完后需要根据不同的业务来进行测试和验证其连通性。