光单向安全隔离数据自动导入系统管理员手册.docx

1、光单向安全隔离数据自动导入系统管理员手册网神SecSIS 3600光单向安全隔离数据自动导入系统管理员手册声明本手册所含内容如有任何变动，恕不另行通知。在法律法规允许的最大范围内，网神信息技术（北京）股份有限公司除就本手册和产品应负的瑕疵担保责任外，无论明示或默示，不作其他任何担保，包括（但不限于）本手册中推荐使用产品的适用性和安全性、产品的适销性和适合某特定用途的担保。在法律法规的最大允许范围内，网神信息技术（北京）股份有限公司对于您的使用或不能使用本产品而发生的任何损害（包括，但不限于直接或间接的个人损害、商业利润的损失、业务中断、商业信息的遗失或任何其他损失），不负任何赔偿责任。本手册的

2、信息受到版权保护，本手册的任何部分未经网神信息技术（北京）股份有限公司的事先书面许可，任何单位与个人不得以任何方式影印或复印。网神信息技术（北京）股份有限公司北京市海淀区上地开发区开拓路7号先锋大厦前言感谢您使用网神信息技术（北京）股份有限公司的网神SecSIS 3600光单向安全隔离数据自动导入系统，您能成为我们的用户，是我们莫大的荣幸。为了使您尽快熟练地使用网神SecSIS 3600光单向安全隔离数据自动导入系统，我们随机配备了内容详细的管理员手册。网神SecSIS 3600光单向安全隔离数据自动导入系统必须通过管理主机对光单向安全隔离数据自动导入系统进行设置管理。这本手册能帮助您更好地管

3、理设置。希望用户在遇到设置问题的时候能在手册里得到帮助。我们对管理员手册的编排力求内容全面而又简单易懂，从中您可以获取有关安装步骤、系统设置、基本操作、软硬件使用方法以及安全注意事项等各方面的知识。在第一次安装和使用之前，请务必仔细阅读所有资料，这会有助于您更好地使用本产品。这本手册的读者对象是网神SecSIS 3600光单向安全隔离数据自动导入系统的管理员。在安装光单向安全隔离数据自动导入系统之前及过程中，为更好地应用与配置，同时避免可能出现的各类问题，请仔细阅读本手册。我们认为手册中所提供的信息是正确可靠的，请尽量避免人为的失误。 谢谢您的合作！ 网神信息技术（北京）股份有限公司安全使用注

4、意事项本章列出的安全使用注意事项，请仔细阅读并在使用网神SecSIS 3600光单向安全隔离数据自动导入系统过程中严格执行。这将有助于更好地使用和维护您的光单向安全隔离数据自动导入系统。1 光单向安全隔离数据自动导入系统应用环境为温度10 35和湿度40% 80%；存储环境为温度0 70，湿度20% 95%。2 采用交流220V电源。3 必须使用三芯带接地保护的电源插头和插座。良好的接地是您的光单向安全隔离数据自动导入系统正常工作的重要保证。对于光单向安全隔离数据自动导入系统来说，如果缺少接地保护线，在机箱的金属背板上可能会出现感应电压。虽然不会对人体造成伤害，但在接触时，可能会产生麻、痛等轻

5、微触电的感觉。另外，如果您擅自更换标准电源线，可能会带来严重后果。特别提示： 遇到故障，请不要自行拆卸光单向安全隔离数据自动导入系统，建议与我们的技术支持人员（免费咨询电话：400-610-8220）取得联系，以获得最佳解决方案。 光单向安全隔离数据自动导入系统的搬运应注意： 本光单向安全隔离数据自动导入系统的搬运最好使用出厂原包装。搬运之前请清点好所有部件和随机附带的资料。 最好将各个部件和随机附带的资料按出厂时的包装还原。 光单向安全隔离数据自动导入系统不可带电搬运，任何零部件不可带电插拔，否则可能损坏光单向安全隔离数据自动导入系统。 将光单向安全隔离数据自动导入系统打包完成后，用胶带封箱

6、，即可搬运。光单向安全隔离数据自动导入系统搬运过程中，请不要剧烈碰撞和跌摔，不可雨淋。搬运过程请远离强静电，强磁场环境。3 正确规范的操作是安全的保证。第一章 准备工作1.1产品介绍 光单向安全隔离数据自动导入系统是利用光的单向传输特性，在两个相互物理隔离的网络间安全、高速、可靠地进行单方向传输数据的网络安全设备。系统采用专有隔离硬件和协议，并采用国际上最新的信息轮渡机制，集成了安全操作系统、内容过滤、病毒查杀、访问控制和安全审计等多种安全技术，对传输数据的类型、内容等进行检查和过滤，提供可信任的专用信息单向传输服务，光单向安全隔离数据自动导入系统可广泛应用于政府、军队、金融、能源等机密要害部

7、门。1.2产品特点 物理层安全隔离本系统遵循严格物理隔离的原则，采用双主机加上光单向隔离硬件的体系架构，确保两个网络之间无物理层的直接连接，实现物理隔离。 专有交换卡内外主机系统中安全检测与控制处理单元采用专有光单向硬件交换电路设计的单通道高速数据光交换卡。数据交换卡具有独立的硬件交换控制逻辑，无OS及任何“软”控制，自主完成数据的单向交换。 协议阻断在两个主机系统之间采用专有协议，阻断TCP/IP协议的连接。这样基于操作系统的漏洞攻击和网络层协议的攻击基本被杜绝或者只发生在主机系统一侧，从而实现一种隔离交换的安全。1.3产品功能网神SecSIS 3600光单向安全隔离数据自动导入系统根据不同

8、的应用需求，量身定制功能模块，满足用户的不同应用需求，主要包括： 网络配置：完成设备网络参数的基本配置以及高可用性的配置。管理员配置：管理员源地址的访问控制，权限分配，新增管理员及参数设置。文件交换：实现将网闸一侧的文件安全可控的摆渡到另外一侧。 数据库同步：实现将网闸一侧的数据库信息安全可控的摆渡到另外一侧。 单向TCP：在内外网隔离环境下实现对TCP数据的单向传输。单向UDP：在内外网隔离环境下实现对UDP数据的单向传输。单向JMS：在内外网隔离环境下实现对JMS数据消息的单向传输。防护设置：用于配置设备是否进行抗攻击设置、ICMP应答。工具箱：系统许可证、配置管理、系统时间、修改口令，版

9、本等信息的管理。关闭系统：安全重启和安全关机。安全退出：退回设备登陆界面。第二章 登陆管理界面光单向安全隔离数据自动导入系统(以下简称“单向网闸”)提供两种管理方式，Web管理和串口管理，下面介绍登陆界面的操作和管理的菜单功能。单向网闸使用了安全套接字层 （SSL）协议，在单向网闸连接期间，所有的交换信息均被SSL加密，默认的访问端口为443。2.1 Web管理单向网闸分A网管理和B网管理:A网默认管理地址为：https:/10.0.0.2B网默认管理地址为：https:/10.0.0.1默认管理用户名：admin ；默认密码：admin默认日志用户名：auditor ；默认密码：audito

10、r用户管理机地址设置与管理地址同一网段（10.0.0.*/24），用交叉线与单向网闸的A网管理口和B网管理口相连。管理机网卡设置(10.0.0.6/255.255.255.0)；如下图： 打开IE浏览器，输入https:/10.0.0.2（以A网为例） 配置管理员：用户名admin；密码admin 日志管理员：用户名auditor；密码auditor如下图：点击“登录”进入管理界面，如下图：菜单区：系统的所有功能菜单，不同的功能对应不同的菜单配置区：配置系统相关参数的区域显示区：显示系统在A网或B网管理页面2.2串口管理基于串口连接，提供命令行方式的基本配置管理和灾难恢复功能，提供了管理的安全

11、、方便与灵活性。可以提供恢复出厂设置、关闭远程管理等基本管理功能。配置终端参数：点击“确定”出现如一图：输入用户名：hawk；密码：hawk，即可登陆串口管理网闸；提示符下输入“？”或“help”回车，如下图：串口命令表如下：命令名称描述？|help帮助功能，列如串口下可以执行的所有命令clear清屏，清空屏幕显示信息service web 开启或关闭web管理服务service ssh 开启或关闭ssh管理服务config default恢复出厂配置passwd修改串口口令netcap ip port抓包工具ping Ping测试webpass此命令用来恢复Web管理员的密码webcert开

12、启或关闭GUI证书校验功能setip配置管理口的IP地址detect检测闸另一端主机是否正常show cpu显示cpu 信息show memory显示内存信息show disk显示存储器（cf卡、硬盘）使用信息show proc显示当前进程show interface显示端口信息show link显示连接信息show gw显示路由信息show arp显示arp表show ver显示系统版本quit|exit退出串口管理第三章 网络配置 该模块主要配置系统的相关网络配置；网卡配置、网络地址、管理地址、热备地址、路由配置、DNS、IPMAC绑定等功能。3.1网卡配置 用于配置系统的网络接口的属性，

13、有net模式 net模式,网络接口作为独立网口使用，可以直接连接相关网络； 参数说明参数名称描述备注网络设备选择配置的网络接口（net1，net2，net3，net4）网络接口显示net1与面板丝印一致属性可选net属性网络接口作为独立网口使用，可以直接连接相关网络确定提交配置3.2网络地址 用于配置系统网络接口的IP地址参数说明参数名称描述备注网络设备选择要配置IP地址的网络接口可选接口包括有net模式的接口以及IP地址网络接口的IP地址可在一个网络接口上配置多个同多段或不同网段的IP地址，不同接口可以配置同一网段的IP地址，每个接口最多支持配置255个地址子网掩码网络接口的子网掩码删除删除

14、现有的IP地址配置勾选相应网络接口后的删除选框，点击确定即可删除选定接口的IP地址增加增加新的网络地址确定提交配置配置说明： 增加网络地址，点击【增加】，选择网络设备net1，IP地址：192.168.252.100，子网掩码：255.255.255.0，点击【确定】，增加地址成功。 修改网络地址，修改net1的192.168.253.103的IP地址为192.168.253.100，点击【确定】，修改地址成功。 删除网络地址，标记要删除的IP地址192.168.253.100，点击【确定】，删除地址成功。3.3管理地址 用于配置系统的管理地址参数说明参数名称描述备注网络设备默认为manage

15、，不可更改IP地址管理接口的IP地址管理地址不能与网络口地址为同一网段子网掩码管理接口的子网掩码确定提交配置配置说明： 修改管理地址，修改管理地址为10.0.0.66，在原地址10.0.0.1上修改地址为10.0.0.66，子网掩码：255.255.255.0，点击【确定】，修改地址成功。注意：管理地址不能与网络口地址为同一网段。3.4路由配置 用于配置系统不同接口到不同网络的路由信息参数说明参数名称描述目标网段网络要到达目标网段有三种配置方式；第一种为默认路由方式；第二种为网络地址；第三种为具体的主机地址子网掩码网络要到达目标网段的子网掩码目标地址为主机地址时，子网掩码为4个255网关地址网

16、络要到达目标网段的下一跳址网关地址与接口设备地址必须同一网段。接口设备网络路由使用的接口设备网关地址与接口设备地址必须同一网段。删除删除对应路由配置增加增加新的网络地址确定提交配置配置说明： 增加默认路由，点击【增加】，目标网段0.0.0.0，子网掩码0.0.0.0，网关地址10.30.10.252，接口设备manage，点击【确定】，增加默认路由成功。 增加目的网络192.168.253.0的路由，点击【增加】，目标网段192.168.253.0，子网掩码255.255.255.0，网关地址192.168.253.252，接口设备net1，点击【确定】，增加路由成功。 增加到主机192.16

17、8.254.100的路，点击【增加】，目标主机地址192.168.254.100，子网掩码255.255.255.255，网关地址192.168.254.252，接口设备net3，点击【确定】，增加主机路由成功。 删除192.168.253.0路由，标记要删除的到网段192.168.253.0路由，点击【确定】，删除路由成功。注意：新增到达目的网段路由的网关地址与接口设备必须是同一网段，如不是路由无效。3.5 DNS配置 用于配置系统的DNS地址参数说明参数名称描述备注IP地址DNS地址，最多可添加3个DNS地址删除删除对应DNS配置增加增加新的DNS确定提交配置配置说明： 新增DNS，点击【

18、增加】，IP地址202.106.0.20，点击【确定】，增加成功。 修改DNS，修改DNS为202.106.0.90，在原DNS 202.106.0.20上修改地址为202.106.0.90，点击【确定】，修改成功。 删除DNS，标记要删除的DNS 202.106.0.90，点击【确定】，删除成功。3.6 IPMAC绑定 用户手工绑定相关机器的IP地址和MAC地址，防止IP地址和MAC地址非法篡改参数说明参数名称描述备注默认允许所有使用系统应用的机器都允许使用本系统，没有限制配置默认允许，所有地将都将能够访问网闸，包括管理口和网络口默认禁止只有符合下面IP/MAC配置才可以使用本系统IP地址计

19、算机的IP地址IP/MAC绑定以后，只有两个完全对应，该用户方可访问，修改IP地址和MAC地址都会影响使用MAC地址计算机IP地址对应的MAC地址，格式：00:00:00:00:00:00删除删除配置增加增加配置确定提交配置配置说明： 新增绑定，点击【增加】，默认允许，IP地址10.0.0.245，MAC地址F0:DE:F1:9B:4B:B8，点击【确定】，增加成功。 删除绑定，标记要删除的10.0.0.245，点击【确定】，删除成功。3.7 IPMAC探测系统自动探测相关机器的IP地址和MAC地址，选择绑定的机器IP和MAC，防止IP地址和MAC地址非法篡改。参数说明参数名称描述备注默认允许

20、所有使用系统应用的机器都允许使用本系统，没有限制选择默认允许，所有地址都将能够访问默认禁止只有符合下面IP/MAC配置才可以使用本系统IP地址计算机的IP地址IP/MAC绑定以后，只有两个都符合是，该用户方可访问，修改IP地址和MAC地址都会影响使用MAC地址计算机IP地址对应的MAC地址，格式：00:00:00:00:00:00绑定绑定IP和对应的MAC地址增加增加配置确定提交配置配置说明： 绑定，标记要绑定的IP和对应MAC，点击【确定】，绑定成功 修改绑定，修改10.0.0.245 MAC为00:0A:E4:3F:A1:38，在原10.0.0.245上修改IP地址为10.0.0.8，点击

21、【确定】，修改成功。第四章 管理员配置 可以配置管理员源地址的访问控制，新增管理员组，新增管理员等参数设置4.1访问控制用于控制管理系统的管理机的源IP地址是否允许或禁止管理系统，使系统的管理是否是安全可控的。参数说明参数名称描述备注默认允许默认情况下允许所有有效的管理IP进行管理，规则可以配置禁止管理的IP规则即可以配置允许管理的IP，也可以配置禁止管理的IP默认禁止默认禁止情况下禁止所有有效的管理IP进行管理，规则配置允许管理的规则即可配置允许管理的，也可以配置禁止管理的客户端地址管理主机的IP地址客户端端口管理主机连接管理系统使用的端口允许/禁止控制管理主机是否可以管理系统删除删除配置增

22、加增加配置确定提交配置配置说明： 新增访问控制，点击【增加】，默认禁止，客户端地址10.0.0.7，10.0.0.8客户端端口any，allow，点击【确定】，增加成功，只有地址为10.0.0.7，10.0.0.8的才可以访问系统 修改访问控制，修改客户端地址为10.0.0.7，客户端端口any，deny，点击【确定】，修改成功，10.0.0.7不能访问系统，只有10.0.0.8的可以访问系统 删除配置，标记要删除的10.0.0.7，点击【确定】，删除成功。4.2管理员组配置 用于增加新的管理员组参数说明参数名称描述备注用户组编码标示用户组的编码，必须是3或4位有效数字取值范围：100到500

23、0，不可以与默认组编码重复用户组名称用户组名称可以使用字母和数字组合，长度小于20个字符增加增加配置确定提交配置配置说明： 新增配置，点击【增加】，用户组编码800，用户组名称“技术部”， 点击【确定】，增加成功。 删除配置，标记要删除的用户组编码800，点击【确定】，删除成功。4.3组权限配置设置不同管理员组拥有不同的管理系统的权限 点击“checker”出现如下图所示： 可以从中选取“checker”用户登陆后可以看到哪些配置项。注意：必须先选择主菜单，再选择相对应的子菜单才生效。4.4管理员配置根据不同用户使用系统的权限，配置不同用户的用户属于不同的用户组，可以新增加用户。参数说明参数名

24、称描述备注角色名称选择不同的用户组可选择的用户组包括默认用户组admin和auditor组以及自行增加的用户组管理员账号设置管理员可以使用字母和数字组合，长度小于20个字符管理员口令设置管理员的口令可以使用字母和数字组合，长度小于20个字符删除删除配置增加增加配置确定提交配置配置说明： 新增配置，点击【增加】，角色为“admin”，管理员账号test，管理员口令test，点击【确定】，增加成功。管理账号只支持小写字母组合。4.5登录管理 用于配置管理员登陆失败的次数、达到配置的登陆失败次数时的锁定时间界面无操作的超时时间等配置参数参数说明参数名称描述备注使用管理员证书认证可配置是否使用证书对通

25、过WEB界面管理系统的终端进行认证默认情况下不认证，如要使用证书认证，必须先再【安装证书】配置项中安装管理员证书，再来此处配置，重启设备后生效允许登陆失败的次数用管理员帐号对设备进行管理时，最多允许输入几次错误的密码达到设定值时，管理员帐号即锁定超时时间管理界面的超时时间登陆管理界面后，无操作的情况下，多长时间超时，超时后必须重新登陆管理界面锁定时间连续输入设定次数的错误密码后，管理员号锁定的时间确定提交配置4.6安装证书 用于安装根证书和管理员证书，安装完成后，即可配置使用证书对管理终端进行认证【安装根证书】【步骤1】：点击【第一步：安装根证书】弹出下图：【步骤2】：点击【打开】弹出如下图：

26、提示安装证书；【步骤3】：点击【安装证书】弹出下图：【步骤4】点击【下一步】弹出下图：注：证书存储目录有两咱选择，可以默认根据证书类型自动存储，也可自己指定证书存储目录。【步骤5】点击【下一步】弹出下图：【步骤6】点击【完成】弹出下图：提示“导入成功”，至此根证书导入成功，点击“确定”【安装管理员证书】【步骤1】点击【第二步：安装管理员证书】弹出下图：【步骤2】：点击【打开】弹出下图：【步骤3】：点击【下一步】弹出如下图：【步骤4】：点击【下一步】弹出如下图所示：密码：123456【步骤5】：点击【下一步】弹出如下图所示：注：证书存储目录有两咱选择，可以默认根据证书类型自动存储，也可自己指定证

27、书存储目录。【步骤6】：点击【下一步】弹出如下图所示：【步骤7】：点击【完成】弹出如下图所示：提示“管理员证书”安装成功，点击“确定”。4.7更换证书 用于更新管理员证书【更新证书】【步骤1】点击【浏览】选择要更新的本地证书，如下图：【步骤2】：点击【打开】如下图：【步骤3】：点击【更新】，如下图：界面提示证书更新成功。4.8重启管理服务 用于重启WEB管理服务点击“重新启动web管理程序”界面提示如下图：重启“WEB服务”成功。第五章 文件交换通过单向网闸提供客户端的方式，实现将文件从文件发送服务器下传输到A网，A网将文件摆渡到B网，B网再将文件发送到文件接收服务器下。文件交换模块提供独立任

28、务运行、提供访问控制，病毒检测等功能；提供病毒扫描功能、提供文件名和扩展名关键字过滤以及文件内容关键字过滤等过滤条件；提供源端复制、源端移动、源端删除三种传输方式。【A网】：【B网】：5.1 FTP交换 用于提供FTP模式的文件单向导入。【A网】5.1.1 FTP服务器主要配置A网闸对外提供ftp服务器所用监听端口。参数说明参数名称描述备注监听端口对外提供链接端口默认为21优先级FTP文件任务和其他文件交换任务之间的优先级别与B网任务一致加冗FTP文件单向导入发送的次数与B网任务一致存储空间上限文件传输时在A网缓存的空间大小文件记录上限文件传输时在A网记录的文件个数限制文件记录上限的范围是1-99999999确定确定配置参数5.1.2 用户配置配置登录用户信息，主要包括用户名、用户密码、用户目录名。以便外面通过客户端形式连接到网闸FTP服务器上。参数说明参数名称描述备注用户名配置外网登陆A网闸时所用的用户名可以使用字母和数字组合，长度小于32个字符密码配置外网登陆A网闸时所用的用户密码可以使用字母和数字组合，长度小于32个字符用户目录名任意定义，内部通过添加前缀添加到指定目录下可以使用字母和数字组合，长度小于32个字符删除删除用户增加增加新的用户确定确定配置参数5.1.3 启动配置用于配置FTP服务的启动、重启、停止等。参数说明参数名称描述备注设