江苏南瑞反向隔离SYSKEEPER-2000供应商

反向隔离装置的前面板图如图?2?所示。前面板有?8?个指示灯,分别是电源指


示灯、内网灯、外网灯、告警灯、加密卡状态灯、数据加密灯、智能卡读写器状?态灯、智能卡读写灯。内网灯亮表示有数据从内网传输到外网;外网灯亮表示有?数据从外网传输到内网,如果内外网数据传输的流量太小,可能观察不到内外网?灯的闪烁,此时可以根据后面板网卡指示灯的情况观察是否有数据接收和发送。?告警灯亮并伴有声音告警表示隔离装置正受到网络恶意攻击。加密卡状态灯亮表?示隔离装置内置有数据加密卡,数据加密灯闪烁表示加密卡正在加解密数据;智?能卡读写器状态灯闪烁表示隔离装置内置有智能卡读写器,智能卡读写器状态灯?亮表示智能卡读写器插槽中有智能?IC?卡,智能卡读写灯亮表示智能卡上的用户?数据正在被读取。


图?2????SysKeeper-2000?网络安全隔离装置(反向型)前面板图


后面板图如图?3?所示。隔离装置设计有双电源,一个电源作为主电源供电,?另一个作为辅电源备份,两个电源可以在线无缝切换。内网配置口用来监控内网?侧的状态信息;外网配置口用来配置反向隔离装置,并监控内网侧的状态信息。?内网网口用来连接内网;外网网口用来连接外网。内外网口的网卡指示灯绿灯亮?表示网口与网络正确连接;黄灯亮表示网络速率是??100M,暗表示网络速率是
10M,闪烁表示有数据正在接收或发送。双机接口支持隔离装置的双机热备。告?警接口支持使用专用协议输出报警信息。

图?3?SysKeeper-2000?网络安全隔离装置(反向型)后面板图
SysKeeper-2000网络安全隔离装置(反向型)



产品简介
SysKeeper-2000电力专用网络专用安全隔离装置(反向型)是位于调度数据网络与公用信息网络之间的一个安全防护装置,用于安全区III到安全区I/II的单向数据传递。反向型隔离装置内嵌智能IC卡读写器,在实现安全隔离的基础上,采用数字签名技术和数据加密算法保证反向应用数据传输的安全性。因此,该设备的应用将有助于进一步提高电网调度系统的整体安全性和可靠性,并为建立全国电网二次系统安全防护体系提供有力保障。
外形:标准1U
网络接口:2个百兆网卡接口、双机热备接口
外设接口:2个终端接口(RS232)、告警接口
智能IC卡读写器接口:配套两片32K智能IC卡片
材料:重负荷钢
指示器:LED电源指示灯﹑安全隔离设备状态指示灯﹑网络适配器状态指示灯
尺寸(长×宽×高):350.1×430×40.3?mm
重量:5?kg
工作温度:-5℃~50℃
输出功率:20W
平均无故障时间(MTBF)>60000小时(100%负荷)
4.4??两个?网?络?通?过?二?层?交?换?机?双?机?双?网?连?接



网络环境描述:


内网主机为服务端,两块网卡的?IP?地?}为?192.168.0.8/192.168.1.8,虚?拟?IP?分别设置为?10.1.0.9/10.1.1.9;外网主机为客户端,两块网卡的?IP?地?}?为?10.1.0.8/10.1.1.8,虚拟?IP?分别设置为?192.168.0.9/192.168.1.9,同网段?的?IP?相互通讯,?{序默认通过?0?号网段通讯,0?号网段不通的情况下切换到?1?号网段进行通讯。两台隔离装置双机热备(采用交叉连接线将外网双机热备接口?FailOver?连接起来),配置规则相同。假设?Server??{序数据接收端口为?9898。

图?35
在二层交换双机双网的环境下,通信规则的配置原则如下:热备份主机和备?机的配置规则完全相同。在主备机的配置规则中,需要配置两条实际通信规则,



拟?IP?设置可以参考二层交换机环境下单隔离装置通信规则配置原则。


实际通信规则配置?1:






实际通信规则配置?2:
图?36




图??37
反向隔离装置技术规范
功能和性能
序号
名称
单位
数值
1
*网络接口

10/100M通信接口?2(内网)
10/100M通信接口?2(外网)
内网配置接口1
外网配置接口1(或与双机热备接口复用)
2
外设接口

终端管理接口(RS-232)2
usb接口2
3
设备厚度
U
1
4
*数据包有效网络吞吐率
Mbit/s
≥35(100条安全策略,1024字节报文长度)
5
数字签名速率
个/秒
268
6
数据转发延时
ms
≤10
7
满负荷数据包丢弃率

0
8
平均无故障时间(MTBF)
h
>50000(100%负荷)
9
*返回确认报文长度
bit
≤1
10
*日志规范
满足《电力二次系统安全告警日志格式规范》要求
江苏南瑞反向隔离SYSKEEPER-2000供应商
4.3??两个?网?络?通?过?三?层?交?换?机?连?接



网络环境描述:


内网?101?号网段主机为服务端,IP?地?}为?192.1.101.1,外网?1?号网段主机?为客户端,IP?地?}为?172.17.1.104,假设内网?Server??{序数据接收端口为?9898,?隔离装置内外网卡都使用?eth0。内网划分为?2?个网段(20?号网和?101?号网),外?网也划分为?2?个网段(1?号网和?4?号网),三层交换机做了路由使得这两个网段?可以互通。隔离装置的内网口与内网?20?号网段相连,连接端的三层交换机网关?地?}为?192.1.20.254;隔离装置的外网口与外网?4?号网段相连,连接端的三层交?换机网关地?}为?172.17.4.16。在规则设置时,需要设置两条规则:条规则为?外网主机与内网主机实际通信的规则。另外一条为虚拟路由规则,在与隔离装置?相连接侧,必须设置虚拟路由规则,本例中需在隔离装置的内网侧和外网侧,同?时设置虚拟路选项,即将相应的虚拟路由选项都设置为“是”。





图?32
在三层交换环境下,通信规则的配置原则如下:在隔离装置的内、外网侧均?为三层路由交换环境,外网的虚拟?IP?地?}必须与隔离装置内网侧相连接的三层?交换机网段为同一网段(本例中外网?1?号网段主机?172.17.1.104?的虚拟?IP?设置?为内网?20?号网段的?IP?地?}?192.1.20.31);内网的虚拟?IP?地?}必须与隔离装置?外网侧相连接的三层交换机网段为同一网段(本例中内网??101??号网段主机?
192.1.101.1?的虚拟?IP?设置为外网?4?号网段的?IP?地?}?172.17.4.31)。?实际通信规则配置:














图?33
虚拟路由规则的配置原则如下:与三层交换机相连接侧必须设置虚拟路由选?项,本例中需在隔离装置的内外网侧同时设置虚拟路由选项,即将相应的内、外?网虚拟路由选项选则为“是”,内网对应的外网虚拟?IP?设置为与隔离装置内网侧?相连接的三层交换机网关地?}(本例中配置为?192.1.20.254);外网对应的内网?虚拟?IP?设置为与隔离装置外网侧相连接的三层交换机网关地?}(本例中配置为




172.17.4.16)。



虚拟路由规则配置:

















图?34
四、典型应用隔离方案规则设定范例



4.1??两个?网?络?通?过?二?层?交?换?机?连?接



网络环境描述:


内网主机为服务端,IP?地?}为?192.168.0.1,虚拟?IP?为?10.144.0.2;外网?主机为客户端,IP?地?}为?10.144.0.1,??虚拟?IP?为?192.168.0.2,假设?Server??{序数据接收端口为?9898,隔离装置内外网卡都使用?eth0。在二层交换的环境?下,通信规则的配置原则如下:外网虚拟?IP?地?}须与内网?IP?地?}为同一网段,?内网虚拟?IP?地?}须与外网?IP?地?}为同一网段,且虚拟地?}必须在真实网络环境?中没有被其它的主机和业务系统占用。













图?27
实际通信规则配置:












图?28
注意:如果隔离装置两边主机是同一网段,虚拟IP地?}与真实的IP地?}相同。例?如主机C(10.144.100.1),与主机D(10.144.100.2)进行通信,此时可以把主机C的


虚拟IP地?}设置为?10.144.100.1,主机D的虚拟IP地?}设置为?10.144.100.2。




4.2??两个?网?络?通?过?路?由?器?连?接



网络环境描述:


内网主机为服务端,IP?地?}为?192.168.0.5;外网主机为客户端,IP??地?}?为?10.144.0.6,?假设?Server??{序数据接收端口为?8000,隔离装置内外网卡都使?用?eth0。路由器为内外网之间的网关,路由器与隔离装置内网口连接的网段的?网关地?}为?10.144.0.1。此这种网络环境下进行规则配置时,需要同时配置两?条规则:一条规则为外网主机与内网主机之间实际通信规则,另外一条为虚拟路?由规则。

图?29
在路由环境下,通信规则的配置原则如下:在隔离装置的外网侧为二层交换?环境,因此配置规则与上例二层环境的配置相同,即外网的?IP?地?}与内网的虚?拟?IP?为同一网段(本例内网虚拟?IP?地?}配置为?10.144.0.3);在隔离装置的内?网侧为路由环境,外网的虚拟?IP?必须与隔离装置内网侧相连接的路由器网段为?同一网段(本例外网虚拟?IP?地?}配置为?10.144.0.2)。
实际通信规则配置:












图?30
虚拟路由规则的配置原则如下:与路由器相连接侧必须设置虚拟路由选项,




本例中需在隔离装置的内网侧设置虚拟路由选项,即将相应的内网虚拟路由选项


选则为“是”,对应的外网虚拟??IP??设置为路由器的网关地?}(本例中配置为
10.144.0.1);外网虚拟路由选项选择为“否”,对应的内网虚拟??IP?与通信规则?中相同(本例中配置为?10.144.0.3)。



虚拟路由规则:













图?31



注意:如果隔离装置的内网侧为三层交换机(启用路由功能),外网侧为二层交


换机环境,则规则的设置与上述路由环境完全一致。
江苏南瑞反向隔离SYSKEEPER-2000供应商
5.2?网络故障诊断?



用户在使用隔离装置的时候,如果内外网无法正常通讯,请按照以下步骤对?网络进行诊断:
1、确认隔离装置与网络物理连接正常。因为隔离装置支持双机热备功能,?如果隔离装置与网络物理连接不正常,隔离装置会切换到备机模式。使用“超级?终端”观察正向隔离装置内网的启动信息,如果有“I??want??change??to??main?machine”信息显示,表示隔离装置工作在主机模式,隔离装置与网络连接正常;?否则工作在备机模式,请仔细检查隔离装置与网络的物理连接。
2、确认内外网主机与隔离装置物理连接正常。隔离装置现在支持有限的?ping?诊断功能,具体诊断方法请参考本手册?3.5?节《系统调试》,如果诊断成功?说明内外网主机与隔离装置物理连接正常。如果?ping?失败,请仔细检查内外网?主机与网络的物理连接。
3、隔离装置规则配置参数错误。请仔细阅读第四章《典型应用隔离方案规?则设定范例》一节,确认规则配置正确。或者寻求本公司的技术支持。
4、内外网通讯?{序没有按照隔离装置的编?{原则设计。请使用随机光盘上?的测试软件测试内外网的数据通讯是否正常。
江苏南瑞反向隔离SYSKEEPER-2000供应商