南瑞反向隔离SYSKEEPER-2000 安全防护强度高

二、产品分发与安装



SysKeeper-2000?网络安全隔离装置(反向型)完整的产品分发包包括硬件和?软件两大部分。用户在使用本产品时,应先检查产品是否具有?NARI?标志,外观?是否有损坏现象。如有以上现象,请勿使用?}及时与本公司取得联系,处理相关?事宜。为了产品稳定、可靠的运行,请勿私自打开隔离装置机箱。
隔离装置随机带有一张配置软件安装光盘和一根串口配置线,用于在安装?Windows2000/XP/2003/NT/9x?操作系统的计算机上配置隔离装置。





















图?4????反向隔离装置配置软件主界面


SysKeeper-2000?网络安全隔离装置的安装和部署非常简单,隔离装置部署在?网络的一出口处,通过内网接口和外网接口,分别与内网和外网相连。内网和?外网的数据交换必须通过隔离装置,以便保护安全的内部网络。





图?5????隔离装置安装网络拓扑图


三、配置隔离装置



3.1?规则配置?



1、由于隔离装置的配置是通过配置终端的串口与隔离装置进行通讯的,所?以首先必须配置终端串口。使用随机附带的串口配置线将配置终端的串口与隔离?装置的外网配置口(Console)连接起来。然后点击‘串口配置’菜单,在‘端口’?选项下选择串口的?COM?端口(图?6)。

图?6?




2、点击‘连接’选项。如果连接成功,系统将会提示成功连接串口(图?7);


如果连接失败,系统也会提示连接串口失败(图?8)。?{序会反复重连?5?次,5?次?都失败后,?{序会自动退出。用户应该参考《附录??5.1?串口故障诊断》一节仔细?检查串口设置。排除故障后,再次重试连接。



图?7?



图?8?


3、点击‘规则配置’菜单下的‘配置规则’选项(图?9),系统会提示输入?用户名和口令(图?10)进行权限认证。隔离装置默认的系统管理员用户名/口令是?root/root。用户在使用隔离装置后,请立刻修改系统管理员口令。

图?9?





图?10


4、用户登录成功后,隔离装置会自动导出已存在的配置规则(图?11),导出?成功后进入‘配置系统规则’主界面(图?12)配置用户规则。(注意:从安全角度?考虑,本地不保留规则配置文件,每次启动时都从隔离装置导出)
























图?11

























图?12
南瑞反向隔离SYSKEEPER-2000
反向隔离装置的前面板图如图?2?所示。前面板有?8?个指示灯,分别是电源指


示灯、内网灯、外网灯、告警灯、加密卡状态灯、数据加密灯、智能卡读写器状?态灯、智能卡读写灯。内网灯亮表示有数据从内网传输到外网;外网灯亮表示有?数据从外网传输到内网,如果内外网数据传输的流量太小,可能观察不到内外网?灯的闪烁,此时可以根据后面板网卡指示灯的情况观察是否有数据接收和发送。?告警灯亮并伴有声音告警表示隔离装置正受到网络恶意攻击。加密卡状态灯亮表?示隔离装置内置有数据加密卡,数据加密灯闪烁表示加密卡正在加解密数据;智?能卡读写器状态灯闪烁表示隔离装置内置有智能卡读写器,智能卡读写器状态灯?亮表示智能卡读写器插槽中有智能?IC?卡,智能卡读写灯亮表示智能卡上的用户?数据正在被读取。


图?2????SysKeeper-2000?网络安全隔离装置(反向型)前面板图


后面板图如图?3?所示。隔离装置设计有双电源,一个电源作为主电源供电,?另一个作为辅电源备份,两个电源可以在线无缝切换。内网配置口用来监控内网?侧的状态信息;外网配置口用来配置反向隔离装置,并监控内网侧的状态信息。?内网网口用来连接内网;外网网口用来连接外网。内外网口的网卡指示灯绿灯亮?表示网口与网络正确连接;黄灯亮表示网络速率是??100M,暗表示网络速率是
10M,闪烁表示有数据正在接收或发送。双机接口支持隔离装置的双机热备。告?警接口支持使用专用协议输出报警信息。

图?3?SysKeeper-2000?网络安全隔离装置(反向型)后面板图
SysKeeper-2000网络安全隔离装置(反向型)



产品简介
SysKeeper-2000电力专用网络专用安全隔离装置(反向型)是位于调度数据网络与公用信息网络之间的一个安全防护装置,用于安全区III到安全区I/II的单向数据传递。反向型隔离装置内嵌智能IC卡读写器,在实现安全隔离的基础上,采用数字签名技术和数据加密算法保证反向应用数据传输的安全性。因此,该设备的应用将有助于进一步提高电网调度系统的整体安全性和可靠性,并为建立全国电网二次系统安全防护体系提供有力保障。
外形:标准1U
网络接口:2个百兆网卡接口、双机热备接口
外设接口:2个终端接口(RS232)、告警接口
智能IC卡读写器接口:配套两片32K智能IC卡片
材料:重负荷钢
指示器:LED电源指示灯﹑安全隔离设备状态指示灯﹑网络适配器状态指示灯
尺寸(长×宽×高):350.1×430×40.3?mm
重量:5?kg
工作温度:-5℃~50℃
输出功率:20W
平均无故障时间(MTBF)>60000小时(100%负荷)
SysKeeper-2000?反向隔离?
装置?(单?bit)用户手册?
e
一、产品介绍



SysKeeper-2000?网络安全隔离装置(反向单?bit)的硬件系统基于?RISC?体系结?构的嵌入式微处理器(Motorola?PowerPC),双?CPU?之间通过高速传输芯片进行物?理连接,两个处理系统不同时连通;主板上分别集成两个以太网接口用来连接要?隔离的两个网络,集成一个串口用来连接配置终端,使用户能够方便的配置和监?控隔离装置;支持完备的安全事件告警机制,采用标准?Syslog?日志协议输出报?警信息;双机接口支持隔离装置的双机热备和链路冗余备份,避免重要数据的丢?失;硬件看门狗时刻监控系统状态,保证隔离装置稳定、可靠的运行。


图?1??SysKeeper-2000?网络安全隔离装置(反向型)硬件结构框图


SysKeeper-2000?网络安全隔离装置(反向单?bit?型)的软件系统基于特别裁剪?的嵌入式?Linux?内核,实现两个安全区之间的非网络方式的安全的数据交换;取?消所有网络功能,采取无?IP?地?}的透明监听方式,支持网络地?}转换,报文综?合过滤,割断穿透性的??TCP?连接;单向数据通信控制,单向连接控制;反向隔?离装置采用带签名的?E?语言进行传输,只允许传输采取?E?语言格式书写的文件,?装置中对传输的?E?语言文件进行检查,如此便能将病毒文件、非文本文件和非?E?语言文件阻隔,大限度保障内网高安全区的安全,在更深层次上保证数据传输?的机密型和完整性。




反向隔离装置的前面板图如图?2?所示。前面板有?8?个指示灯,分别是电源指


示灯、内网灯、外网灯、告警灯、加密卡状态灯、数据加密灯、智能卡读写器状?态灯、智能卡读写灯。内网灯亮表示有数据从内网传输到外网;外网灯亮表示有?数据从外网传输到内网,如果内外网数据传输的流量太小,可能观察不到内外网?灯的闪烁,此时可以根据后面板网卡指示灯的情况观察是否有数据接收和发送。?告警灯亮?}伴有声音告警表示隔离装置正受到网络恶意攻击。加密卡状态灯亮表?示隔离装置内置有数据加密卡,数据加密灯闪烁表示加密卡正在加解密数据;智?能卡读写器状态灯闪烁表示隔离装置内置有智能卡读写器,智能卡读写器状态灯?亮表示智能卡读写器插槽中有智能?IC?卡,智能卡读写灯亮表示智能卡上的用户?数据正在被读取。


图?2????SysKeeper-2000?网络安全隔离装置(反向型)前面板图


后面板图如图?3?所示。隔离装置设计有双电源,一个电源作为主电源供电,?另一个作为辅电源备份,两个电源可以在线无缝切换。内网配置口用来监控内网?侧的状态信息;外网配置口用来配置反向隔离装置,?}监控内网侧的状态信息。?内网网口用来连接内网;外网网口用来连接外网。内外网口的网卡指示灯绿灯亮?表示网口与网络正确连接;黄灯亮表示网络速率是??100M,暗表示网络速率是
10M,闪烁表示有数据正在接收或发送。双机接口支持隔离装置的双机热备。告?警接口支持使用专用协议输出报警信息。
南瑞反向隔离SYSKEEPER-2000
4.4??两个?网?络?通?过?二?层?交?换?机?双?机?双?网?连?接



网络环境描述:


内网主机为服务端,两块网卡的?IP?地?}为?192.168.0.8/192.168.1.8,虚?拟?IP?分别设置为?10.1.0.9/10.1.1.9;外网主机为客户端,两块网卡的?IP?地?}?为?10.1.0.8/10.1.1.8,虚拟?IP?分别设置为?192.168.0.9/192.168.1.9,同网段?的?IP?相互通讯,?{序默认通过?0?号网段通讯,0?号网段不通的情况下切换到?1?号网段进行通讯。两台隔离装置双机热备(采用交叉连接线将外网双机热备接口?FailOver?连接起来),配置规则相同。假设?Server??{序数据接收端口为?9898。

图?35
在二层交换双机双网的环境下,通信规则的配置原则如下:热备份主机和备?机的配置规则完全相同。在主备机的配置规则中,需要配置两条实际通信规则,



拟?IP?设置可以参考二层交换机环境下单隔离装置通信规则配置原则。


实际通信规则配置?1:






实际通信规则配置?2:
图?36




图??37