中网物理隔离网闸-Gap用户手册.pdf

《中网物理隔离网闸-Gap用户手册.pdf》由会员分享，可在线阅读，更多相关《中网物理隔离网闸-Gap用户手册.pdf（134页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、目 录前 言 关 于 本 手 册.错误！未定义书签。1.内容.错误！未定义书签。2.使用对象.错误！未定义书签。3.使用指南.错误！未定义书签。4.使用约定.错误！未定义书签。5.获得本手册.错误！未定义书签。6.技术支持.错误！未定义书签。第一章 公司隔离网闸X-GAP原理介绍.错误！未定义书签。1.1 隔离网闸GAP概述.错误！未定义书签。1.1.1 为什么需要隔离网闸.错误！未定义书签。1.1.2 何谓隔离网闸GAP.错误！未定义书签。1.2 公司隔离网闸X-GAP的技术原理.41.3 产品组成、功能及特点.121.3.1 X-GAP 产品组成.121.3.2 X-GAP产品主要功能.1

2、51.3.3 X-GAP产品主要特点.18第二章产品及安装说明.192.1 产品组成.192.2 环境要求.192.2.1 物理环境要求.192.2.2 网络环境要求.202.2.3 辅助设备要求.212.3 拆箱检查.212.4 安装准备.242.4.1 安装前的准备工作.242.4.2 安装前的测试工作.242.5 网闸X-GAP硬件安装.252.5.1 准备工作.252.5.2 安装须知及注意事项.252.5.3 安装步骤.262.6 X-GAP管理软件的安装.272.7 启动网闸及管理软件.302.7.1 开启网闸设备.302.7.2 修改管理主机IP地址.302.7.3 启 动“客户

3、端管理软件”并登录网闸.32第三章X-GAP系统配置.343.1 系统配置.343.2 系统状态.363.3 内部主机的配置.373.4 外部主机的配置.403.5 冗余备份的配置.423.5.1 双机热备工作原理.423.5.2 双机热备实现方法.433.5.3 真地址与虚地址设置注意事项.433.5.4“冗余备份”的配置.443.6 系统管理员.45第四章外出访问服务.484.1 配 置“浏览”服务.484.1.1 浏览服务.494.1.2 HTTP 请求”控制.534.1.3 HTTP 内容”过滤.564.1.4 高级选项.584.2 FTP 服务.594.2.1 配置“FTP 服务”.

4、594.2.2 FTP 命令”控制.624.2.3 FTP文件内容过滤.634.3 收邮件服务.644.3.1 配 置“收邮件”服务.644.3.2 邮件内容过滤.694.4 发邮件服务.704.4.1 配 置“发邮件”服务.704.4.2 SMTP 命令”过滤.724.4.3 邮件内容过滤.73第五章准出交换服务.745.1 定制 TCP.745.2 FTP 服务.765.3 ORACLE 数据库.785.4 定制 UDP.80第六章准入交换服务.816.1 定制 TCP.826.2 FTP 服务.846.3 ORACLE 数据库.856.4 定制 UDP.87第七章审计管理.897.1 日

5、志控制.897.2 日志服务器的设置.907.3 日志告警设置.917.4 日志查看.92第八章主机安全.948.1 防扫描.948.2 防入侵.968.3 防攻击.97第九章认证管理.999.1 认证服务器的配置.1009.2 认证规则的配置.1019.2.1 如何添加一条认证规则.1029.2.2 如何删除一条认证规则.1029.3 认证用户管理.1039.3.1 如何添加一个用户.1049.3.2 如何删除一个用户.1059.4 客户端的配置.1059.4.1 安 装“客户端认证管理”软件.1059.4.2 设 置“客户端认证管理”软件.107第十章数据库同步管理.1101 0.1 功能

6、特点.1101 0.2 数据库要求.11110.2.1 Oracle 数据库.11110.2.2 SQLServer 数据库.11210.2.3 Sybase 数据库.1121 0.3 配置管理.1121 0.3.1 数据源管理.11410.3.2 同步任务管理.1151 0.3.3 数据库同步任务的运行与终止.117附录A常见故障原因及处理方法.118附录B产品硬件规格说明.119附录C隔离网闸常见问题及解答.120C.1 网闸常见概念问题解答.120C.2 网闸常见技术问题解答.1241.2公司隔离网闸X-GAP的技术原理公司隔离网闸X-GAP是公司公司自主研制开发，具有自主知识产权的、新

7、一代、高安全性的国产隔离防护设备，它是公司公司在网络安全领域多年耕耘的技术结晶，是公司公司奉献给业界的精品。下面我们对公司隔离网闸X-GAP的技术原理做一介绍。我们知道互联网是基于TCP/IP来实现的，而所有的攻击都可以归纳为基于对TCP/IP的OSI数据通信模型的某一层或多层的攻击，因此公司隔离网闸X-GAP首先就是要断开TCP/IP的OSI数据模型的所有层，由此消除目前TCP/IP网络存在的攻击，在此基础上再考虑如何安全地实现数据交换的问题。物理层的断开物理层是可以被攻击的。尤其物理层的逻辑表示是可以被攻击的。对网络层的逻辑表示的攻击方法主要是欺骗和伪造，因此可以利用认证和鉴别的方法来防止

8、欺骗和伪造，这就是常用的IP和MAC地址绑定的办法。对MAC地址本身直接进行访问控制也是可行的，这就是MAC防火墙。最后的办法是把物理层完全断开，没有网络功能，因而也就没有来自网络的攻击。物理层的断开是一个复杂的概念。并不是没有人眼看得见的东西连接，就是物理层的断开，如无线通信，人眼是看不见的，但物理层是连接的。也不是人眼看得见的东西有接触就是物理层的连接，如用一个木头把两个计算机连着，尽管它是一个现实中的物理连接,却不能基于该连接建立一个OSI模型中的数据链路的连接，因此不是一个OSI模型意义上的物理层的连接。从这个意义上讲，要确定它是连接的也困难，要确定它不连接也是困难的。由于空气和真空的

9、普遍性，还无法对任何两台计算机确认它们不存在某种现实中的连接，至少证明是困难的。而空气和真空是可以传播电磁波的。因此，不能简单地给物理层的断开下一个定义。从技术上来定义，一个物理层上的断开，应 该 是“不能基于一个物理层的连接，来完成一个OSI模型中的数据链路的建立。我们来检查一下该定义的正确性。无线传输，基于电磁波这种人眼看不见的物理介质的连接，可以建立 一 个 O S I模型中的数据链路的连接，因此不是物理层的断开。一个木头连接两个计算机，尽管它是一个现实中的连接，却不是严格意义上O SI模型中的物理连接，也无法建立一个OSI模型中的数据链路，因此是断开的。物理层的断开，可 能 导 致 O

10、 S I模型其他层的工作机制失效。因此可以减少其他层的攻击。但物理层的断开，只解决基于物理层的攻击，并不暗示可以解决对O SI模型其他层的攻击。我们确实发现存在一个基于开关的FTP断点续传的应用的例子，说明物理层断开并不保证可以消除对其他层的攻击。【解答】：这里所表述“物理层的断开”是一个技术概念，是强调OSI模型的物理层断开的必要性，而政府的各项规定中所指的“物理隔离”是一个政策性概念，是强调不存在网络通信，网络连接。数据链路层的断开数据链路是在物理层上建立一个可以进行数据通信的数据链路，是一个通信协议的概念。只要存在通信协议就可以被攻击。数据链路是可以被攻击的。例如，早期的电话公司如 Be

11、ll公司就饱受通信黑客攻击之苦，现在的许多TCP/IP Over PPP拨号连接，可以通过字典攻击方法，不断的猜测用户的密码，让正常的用户无法建立合法的连接，形成拒绝服务攻击。所以，隔离网闸X-GAP也必须断开任何可能基于物理层建立的数据链路通信。数据链路的断开意味着什么？首先，必须消除可以建立通信链路的控制信号，因为这些信号是可以被攻击的、存在风险的。其次，每一次的数据传输，是否能够到达或正确性方面是没有保证的。再次，不能建立一个会话机制。因此，用技术术语来定义，数据链路的断开是指上一次数据传输与下一次数据传输的相关性的概率为零。因此，没有数据链路的传输数据是没有可靠性保证的。数据链路的断开

12、，破坏了通信的基础，也因此消除了基于数据链路的攻击。同上面的道理一样，看起来数据链路的断开大大降低了对其他层的攻击，但不能排除。我们可以想像一下，不可靠的数据广播和传输，不代表不能正确的传输一次正确的数据，因此还是存在基于上层攻击的可能性。【解答】：链路层的断开，就必须消除所有的通信链路协议。任何基于通信协议的数据交换技术，都无法消除数据链路的连接，如基于以太、串口通信或高速串口通信 协 议 的 USB和火线等均无法实现链路层断开，通过不可路由 协 议（如：IPX/SPX、NetBEUI等）的协议转换来实现数据交换，也没有实现链路层的断开。网 络层的断开网络层的攻击是互联网最主要的攻击，如我们

13、熟知的IP 碎片攻击、源路由攻击、IP欺骗、IP 伪造、Ping Flooding、Ping of Death等大量的攻击，都是针对IP 协议来进行攻击的。网络层的断开，就是要剥离所有的IP 协议。因为剥离了 I P,就不会基于IP 包来暴露内部的网络结构，就没有真假IP 地址之说，也没有IP 碎片，就消除了所有基于IP 协议的攻击。传输层的断开利 用 T C P的三次握手机制，是可以攻击T C P协议的，如目前流行的SYN Flooding攻击、ACK Flooding攻击等都是利用T C P的三次握手机制。对 UDP协议的攻击，则可以通过流量攻击、强化 UDP通信的不可靠性，达到拒绝服务的

14、目的。传输层的断开，就是剥离TCP或 UDP协议。由此，消除基于TCP或 UDP的攻击。会话层的断开攻击者通过窃取合法用户的会话信息，然后冒充该用户，以达到非授权访问的目的，或窃取合法用户的权限和信息，这是一种典型的应用攻击，如基于Cookies或 Token会话的攻击。在一些电子商务、电子政务或B B S 的应用中，用户进行身份认证登陆后，有一套完整的用户权限控制机制，而这种机制很多是利用会话来实现的。一旦黑客成功地对会话进行攻击，就掌握了用户的权限。会话层的断开实际上是断开一个应用会话的连接，消除交互式的应用会话，从而避免基于会话的各种攻击。表现层的断开OSI的表现层是通过格式翻译，数据的

15、压缩与解压缩，数据的加密与解密来提供标准的应用接口，保证不同的系统可以进行正常的应用通信。对表现层的攻击，当然是针对格式翻译和数据处理来进行攻击的如Unicode攻击、以及计算溢出攻击等。表现层的断开，就是剥离表现层的编码或协议，剥离了表现层就消除了跨平台应用的风险和攻击。应用层的断开对应用层的攻击是目前最为严重的攻击。对应用层的攻击包括的面非常宽，如对应用协议漏洞的攻击、对应用数据的攻击、对应用操作系统平台的攻击等。应用层的断开，就是消除或剥离了所有的应用协议。应用层的断开不完全是应用层的代理。有些应用层的代理只是检查应用协议是否符合规范，并不去实现剥离和重组的功能,因此，并没有真正实现应用

16、层的断开，只是实现了应用层的检查。对O SI每一层的断开，尽管降低了其他层被攻击的概率，但并没有从理论上排除其他层的攻击。断开了某一层，照样存在对其他层攻击的风险。因此，公司隔离网闸X-GAP要求对OSI模型所有各层进行全面的断开。公司隔离网闸X-GAP把网络OSI各层断开了、不连接、不连通,但是隔离网闸X-GAP不是为了断开而断开，不是只考虑隔离，不讲交换，而是为了安全地交换数据才进行网络隔离、网络断开。因此，在网络隔离的环境下如何交换数据，才 是X-GAP真正的目的。以下的组图可以给用户个清晰的概念，X-GAP基于网络隔离的数据交换是如何实现的。以下所有的组图定义，外网是安全性不高的互联网

17、，内网是安全性很高的内部专用网络。正常情况下，隔离设备的外部主机和外网相连，隔离设备的内部主机和内网相连，外网和内网是完全断开的。保证网络之间是完全断开的。隔离设备存在一个独立的纯粹的存储介质，和一个单纯的调度和控制电路。控制台图1-1:内外网与固态存储介质都没有连接当外网需要有数据到达内网的时候，以电子邮件为例，隔离设备的外部主机先接受数据，并发起对隔离设备的非TCP/IP协议的数据连接，隔离设备将所有的协议剥离，将原始的数据写入存储介质。根据不同的应用，可能有必要对数据进行完整性和安全性检查，如防病毒和恶意代码等。图1-2：外网主机向固态存储介质写操作一旦数据完全写入隔离设备的存储介质，隔

18、离设备立即中断与外网的连接。转而发起对内网的非TCP/IP协议的数据连接。隔离设备将存储介质内的数据推向内网。内网收到数据后，立即进行TCP/IP的封装和应用协议的封装，并交给应用系统。这个时候内网电子邮件系统就收到了外网的电子邮件系统通过隔离设备转发的电子邮件。图1-3：内网主机向固态存储介质读操作在控制台收到完整的交换信号之后，隔离设备立即切断隔离设备于内网的直接连接。图1-4：内外网与固态存储介质都没有连接如果这时，内网有电子邮件要发出，隔离设备的内部主机先接受内部的数据后，并建立与内网之间的非TCP/IP协议的数据连接。隔离设备剥离所有的TCP/IP协议和应用协议,得到原始的数据，将数

19、据写入隔离设备的存储介质，对其进行防病毒处理和防恶意代码检查，然后中断与内网的直接连接。图 1-5：内网主机向固态存储介质写操作一旦数据完全写入隔离设备的存储介质，隔离设备立即中断与内网的连接。转而发起对外网的非T C P/I P 协议的数据连接。隔离设备将存储介质内的数据推向外网。外网收到数据后，立即进行T C P/I P 的封装和应用协议的封装，并交给系统。图 1-6：外网主机向固态存储介质读操作控制台收到信息处理完毕后，立即中断隔离设备与外网的连接，恢复到完全隔离状态。控制台图1-7：内外网与固态存储介质都没有连接每一次数据交换，隔离设备经历了数据的接收，存储和转发三个过程。网络隔离的一

20、个特征，就是内网与外网永不连接，内网和外网在同一时间最多只有一个同隔离设备建立非TCP/IP协议的数据连接。其数据传输机制是存储和转发。X-G A P的网络隔离好处是明显的，即使外网在最坏的情况下，内网都不会有任何破坏，修复外网系统也是非常容易的。因此，公司隔离网闸X-G A P至少是三模块架构，有两个是主机，一个是基于独立的控制电路控制的固体存储介质，我们通常称之为“2+1”架构。其中，双主机之间是永远网络断开的，以达到物理隔离的目的，双主机之间的信息交换是通过拷贝、镜像、反射等借助第三方非网络方式来完成，以物理隔离为目的的安全系统。公司隔离网闸X-G A P,中断了网络的直接和间接通信连接

21、，剥离了 T C P/I P协议，中断了应用的客户和服务器会话，还原应用数据，通过代理方式执行所有的应用协议检查和内容检查，达 到“只有符合全部安全政策的数据才能通过，其他都拒绝”的安全策略。公司隔离网闸X-G A P建立了一个对网络攻击是免疫的安全系统，即消除了来自网络的威胁和风险。【建议】：需要对隔离网闸G A P技术有深入了解的用户，请参阅机械工业出版社出版发行的 网络隔离与网闸一书，作者为万平国先生，该书是国家信息化安全教育认证I S E C系列教材之一。1.3 产品组成、功能及特点1.3 .1 X-G A P产品组成硬件组成公司隔离网闸X-GAP硬件产品主要由以下设备组成：令双主机系

22、统，连接于外网的主机称为外网机，连接于内网的主机称为内网机；令 一个基于SCSI控制的开关系统，SCSI控制总线分别和网闸的内网机和外网机的SCSI控制器相连，这样内网机和外网机不仅拥有各自独立的系统和数据空间，又能通过开关系统的暂存设备进行数据交换。【解答】：通 过SCSI控制系统来实现X-GAP网闸开关，能够真正实现OSI模型物理层和链路层的断开。SCSI控制系统作为网闸开关系统是国际公认的、领先的技术。【提示】：本手册是针对公司隔离网闸X-GAP 8000系列产品的用户手册，X-GAP8000系列产品全部是采用SCSI控制系统来实现X-GAP网闸开关的。软件组成公司隔离网闸X-GAP产品

23、的软件系统从逻辑上分为3个部分，外部单边代理、内部单边代理、开关控制软件。外部单边代理连接外部不可信网络，内部单边代理连接内部可信网络，它们通过开关控制软件进行信息和数据交换，开关控制隔断了网络的连接，实现纯数据驱动的交换，数据上没有加载控制协议。令 开关控制软件：用于快速的在外部单边代理、内部单边代理之间交换信息和数据。令外部单边代理：接收外部的请求，解析出应用协议，过滤数据内容，保证数据中不包含危险命令。令 内部单边代理：通过传输控制软件接收外网传入的请求和数据，解析出应用协议,过滤数据内容，保证数据中不包含危险命令。【解答】：我们称应用协议的剥离和重建技术为单边代理技术，所谓的单边代理技

24、术是相对双边而言的。双边代理技术，是指一台计算机有两个网卡，并且执行代理功能。数据包从一个网卡进，从另外一个网卡出。单边代理技术，只有一个网卡，这种情况下，应用协议必须还原成为原始数据，给用户查看，而不能是包，因此是一个完整的应用协议剥离和重建技术。功能模块X-GAP产品的软件系统从功能模块上，可以划分如下：专用的安全操作系统采用自主可控的、专用的安全操作系统N O S,是基于BSD系统改造的、最小化的安全内核，加固的、性能优化的安全操作系统。BSD 比 LINUX稳定、安全性高、性能更优越，最重要的是B SD 的开放源码许可证，准许用户自己改造为商用，而不用公开自己的代码。网络隔离由外部主机

25、、内部主机和开关系统组成。外部主机连接外网，内部主机连接内网，网闸的内外网主机在任何时候均是断开的、网络隔离的，从物理上来隔离和阻断潜在攻击的连接，其中包括一系列的阻断特征，如：没有通信连接、没有命令、没有协议、没有TCP/IP连接、没有应用连接、没有包转发等。数据摆渡网闸的外部主机包含外部单边代理、内部主机包含内部单边代理，内外网主机代理之间的文件交换均通过X-GAP的开关系统来摆渡。对没有提供单边代理服务应用的包将无法通过，只有提供相关的应用单边代理服务，在剥离TCP/IP基础之上，才能将应用 协 议“剥离”，屏蔽应用协议可能的漏洞，然后通过开关电路将纯粹的裸数据“摆渡”到对方，保证数据交

26、换的安全性。协议中止X-GAP系统从网络第一层一直工作到网络第七层，X-GAP中止了所有的网络协议，数据包还原为文件。X-G A P不支持任何开放的通信协议，不支持任何开放的网络协议，也不采用私有协议，X-G A P摆渡的数据只有读写两个命令和文件，没有任何协议，远高于协议转换的安全性。内核防护X-GAP的内核是专有的、裁剪加固的高安全性内核。X-GAP系统采用了公司独有的宙斯盾抗攻击网关内核，为 X-GAP本身提供了具有最高强度的抗DoS/DDoS攻击特性，还支持防扫描的功能(Anti-Scan)和嵌入式的入侵检测防御功能(IDP)。应用安全对不同的应用，第七层的协议不同，检查的机制和模块也

27、不相同，检查的内容可以包括内容检测、防恶意代码、防泄密、文件类型控制等。X-G A P可方便的通过协议、域名、文件类型、关键词等条件设置安全策略，防止网络资源被非法使用。过滤VBScrpit、JavaScrpit、ActiveX等脚本，过滤内容包括协议命令、关键词、URL等。支持黑白名单。可以对浏览器中输入的各种关键词和敏感字符串进行限制，预防内网用户因访问外网网站时，在浏览器的访问请求中出现有意或无意泄密的可能；X-GAP支持禁止内部信息的外泄，支持单向传输和单向访问功能。访问控制X-GAP的外部主机和内部主机都支持访问控制功能。安全审计X-GAP日志审计模块能够记录和审计所有途径X-GAP

28、的应用服务和用户信息。身份认证X-GAP身份认证管理是用于管理用户访问X-GAP服务端口的认证、授权、访问控制-1.3.2 X-GAP产品主要功能按照支持的应用或服务来划分，公司隔离网闸X-GAP产品主要支持如下应用或服务：文 件交换服务文件交换是网闸最基本的一项服务。网闸将一个文件从外部主机摆渡到内部主机，或将一个文件从内部主机摆渡到外部主机，同时保证两个网络是网络隔离的。HTTP访问对一些内部网来讲，因为安全的原因，内部的用户是禁止外出访问的。通过网闸，内部用户可以在网络隔离的情况下，通过实时交换来访问外网的网站。Web服务对一些高安全性的内部网，是禁止外部的用户直接连接内部的服务器的，但

29、又不愿意把 WEB服务器放在外网上。在这种情况下，可以通过网闸来保证外部网络与内部网络在网络隔离的情况下，通过实时交换服务，准许内部的W EB服务器安全地向外提供服务。FTP访问对于一些行业应用，原来已经投资的软件很多采用了 FTP协议。因此，要求支持客户 对 FTP的访问。网闸实现了在网络隔离的情况下，实现了 FTP协议。FTP服务对一些高安全性的内网，是禁止外部的用户直接连接内部的服务器的，但又不愿意把FTP服务器放在外网上。在这种情况下，可以通过网闸来保证外部网络与内部网络在网络隔离的情况下，通过实时交换服务，准许内部的FTP服务器安全地向外提供服务。SMTP电子邮件服务网闸实现了内部的

30、用户在网络隔离的情况下，使用外部的SMTP服务器。POP3服务网闸实现了内部的用户在网络隔离的情况下，使用外部的POP3服务器。数据库访问服务网闸实现了外部用户在网络隔离的情况下，可以查询内部的数据库，目前支持的应用数据库包括 ORACLE、SYBASE.MSSQL.MYSQL、ODBC 等。数据库同步服务网闸实现了外部的数据库在网络隔离的情况下，与内部数据库的同步，目前支持的应用数据库包括 ORACLE、SYBASE.MSSQL.MYSQL、ODBC 等。DNS服务网闸实现了内部网用户在网络隔离的情况下，使用外部的DNS服务器。定制服务网闸可以实现某些特定的协议的TCP或 UDP的固定端口的

31、服务和访问。X-GAP能够根据客户的实际应用需要，提供定制TCP/UDP代理服务，如对MessageQ,LDAP,RADIUS服务等。这包括为可信内网用户通过X-GAP访问不可信外网的基于TCP/UDP通信协议提供安全代理服务，也提供为不可信外网用户通过X-GAP访问可信内网的基于TCP/UDP通信协议提供的安全代理服务。以下是公司隔离网闸x GAP各型号产品的功能列表:序号功能X-GAP8100X-GAP8200X-GAP850001外出访问服务浏览XXqFTP服务XXq收邮件XXq发邮件XXq02准出交换服务定制TCPqqqFTP服务qqqOracle数据库Xqq定制UDPqqq03准入交

32、换服务定制TCPTqFTP服务q7qOracle数据库Xq定制UDPqqq04审计管理qq05主机安全qq!06认证服务qq07数据库同步Xqq1.3.3 X-GAP产品主要特点 真正的物理隔离X-GAP断开了两个网络，断开了 OSI模型的所有七层网络协议，中止了所有的通信,在网络的第七层将包还原为原始数据或文件，然 后 以“摆渡文件”的形式来传递和交换数据，没有任何包、命令和TCP/IP协 议（包 括 UDP和 ICMP）可以穿透X-G A P,真正实现了 “拷盘原理二 基 于 SCSI的开关系统X-GAP开关系统是通过SCSI控制系统来实现的。SCSI控制系统作为网闸的开关系统是国际公认的

33、、领先的技术。X-GAP将 SCSI开关功能在系统的内核中实现，远远优于其它常见的开关技术。遵 循 RFC的互联网国际标准X-GAP在剥离第七层的应用协议的时候，完全遵守相关的RFC国际标准。因此对应用的兼容性支持好。具有可定制的特性X-GAP采用模块化结构，具有灵活的定制特性。X-GAP可以满足为特殊行业定制具体的业务需求，如支持IPSEC的 VPN等。易于管理和配置X-GAP的系统设计充分考虑到用户的使用和配置，为用户提供的GUI图形配置界面和管理接口简单易用，安全管理员可以直观方便地配置系统和安全策略。第二章产品及安装说明本章包括公司隔离网闸X-GAP产品的说明及要求，及随机附带的部件资

34、料检查和硬件安装，这有助于您更好地维护公司隔离网闸X-GAP的硬件。在安装公司隔离网闸X-GAP之前，应当安排必要的时间，为准备事项作好预期的准备工作。这里为用户提供必要的X-GAP安装准备的建议，主要包括网络规划、确定X-GAP安装位置、部署、准备安装的管理软件等，另外在这里还对公司隔离网闸X-GAP的硬件安装进行说明，供用户参考，目的就是为了通过合理的操作来支持和实现用户的安全目标。2.1 产品组成公司X-GAP物理隔离网闸主要由以下几部分组成：一台X-GAP网闸硬件产品：通常安装于需要隔离的内外网络之间，它由双主机系统和一个基于SCSI的开关控制系统组成；X-G AP客户端管理软件：安装

35、在内部网选定的管理主机上，用于在内部网通过内部主机对网闸进行配置和管理；客户端身份认证软件：安装于内部或外部网络用户的客户机上，用于内部网或外部网的用户身份认证，通过认证的请求才能使用网刖X-G A P,该模块的安装是可选的；日志接收服务器软件：安装于专用的日志服务器上，及时接收网闸X-GAP传递过来的日志信息，实现X-GAP日志的查询和审计管理。2.2环境要求2.2.1物理环境要求X-GAP网闸产品的物理环境应符合如下要求：输入电压：AC 220V；输入频率：50Hz；电源功耗：200W；工作温度：0 6 0 摄氏度；存储温度：-2 0 8 0 摄氏度；工作湿度：5 95%,非冷凝；存储湿度

36、：5 95%,非冷凝。2.2.2 网络环境要求安装使用X-GAP网闸产品之前，首先需要了解现有网络环境，以判断是否符合X-GAP网闸的使用要求。X-GAP网闸适用的网络环境为：在两个封闭的、没有连接的网络之间。除网闸之外，这两个网络是完全断开、不联网的。与网闸相连接的设备可以是这两个网络中的交换机、路由器、服务器等设备。与网闸内端机相连是可信的“内网”，与网闸外端机相连的是不可信的“外网”；用户在使用网闸的时候，一般已经完成了网络的建设。在这种情况下，有两种可能性，一是两个完全断开的网络，现在需要交换数据，必须在网络隔离的情况下进行数据交换，因此要用网闸；二是已经连接的网络，根据安全策略要求，

37、必须进行分开，但分开后必须要进行交换数据，因此要用网闸。由于X-GAP网闸产品是一个网络隔离设备，网络隔离后，两个网络是断开的，因此没有IP 地址上的特殊要求，两个网络是完全不相关的。这个地方有时候理解起来有点困难。有一个用户，把一个网络分为两个，用网闸进行了网络隔离。用户原来的IP 地址和网络结构都没有变化。由于使用了网闸，尽管地址是原来的，但现在是两个网络，完全断开，没有关系。但用户经常被IP 地址搞混淆，费了好大的力气，才搞明白，原来连着的一个网段，现在被隔离断开了，尽管地址还是原来的，但现在还是被断开了。【建议】：建议部署网闸的用户，无论在任何情况下，无论网络是多么简单，最好把拓扑结构

38、在纸上画一下。如果你不能画清楚，你绝对无法把它搞安全。这是一个非常好的方法来帮助你回避错误。2.2.3 辅助设备要求为了便于用户配置和管理公司隔离网闸X-G A P,建议配备如下辅助设备：一台管理主机：一台可以与公司隔离网闸X-GAP的“内部主机”通讯的主机，安装Win98或 Win 2000操作系统，用来安装网闸的客户端“配置管理软件”，便于用户对网闸进行配置和管理。一台日志服务器：一台可以与公司隔离网闸X-GAP的“内部主机”通讯的主机,安装Win98或 Win 2000操作系统，用来安装“日志接收系统”，以便接收从网闸发送出来的日志信息，并对日志信息进行分析和审核。如果需要使用Conso

39、le 口对“公司隔离网闸X-GAP”进行管理，则需要一根9 针对 9 针 Console线。【提示1】：用于配置和管理隔离网闸X-GAP的“管理主机”应当放在网闸内端机一侧，而不是网闸外端机的一侧。【提示2】：目前公司隔离网闸Console 口的管理还没有对用户开放，需要公司X-GAP技术工程师操作。2.3拆箱检查在打开包装之后，请您先对照产品清单，检查随机附带的电源线、专用SCSI数据线等附件是否齐全，如有缺损请及时和销售人员联系。序列号名称数量1装箱清单1张2公司隔离网闸X-GAP产品1 台3电源线2 根4专用SCSI数据线2 根4用户使用手册光盘1张5客户管理软件安装光盘1张6产品合格证

40、1张7服务卡1张【建议】：取出设备后，不要将外包装丢弃，在需要搬运时，请务必使用原包装，它是为您的公司隔离网闸X-G A P专门设计的包装，具备良好的防震功能。每当您需要维修服务时也最好用原包装将隔离网闸X-G A P设备返回到公司公司的维修服务部门。公司隔离网闸X-G A P前面板外观见图2-1：图2-1：X-GAP网闸产品外观图公司隔离网闸X-G A P用户操作手册公司隔离网闸X-GAP背面外观见图2-2：图2-2：X-GAP网闸产品背面外观图2.4安装准备在安装网闸X-GAP产品之前，应当安排必要的时间，为准备事项作好预期的准备工作。这里为用户提供必要的X-GAP安装准备的建议，主要包括

41、安装前的准备工作、安装前的测试工作、准备书面的安装信息及步骤，供用户参考。对于具有安装网闸X-GAP经验的工程师，可以跳过该节内容。【提示】：网闸X-GAP的安装本身并不复杂，但特别强调在安装网闸产品之前的准备工作尤其是书面的准备十分必要。2.4.1 安装前的准备工作不要急于安装设备。坐下来，拿出纸和笔，写一个详细的书面安装计划。内容至少包括如下信息：网络的拓扑结构图；网络IP地址分配，掩码，网关和路由信息；网闸的IP地址，掩码，网关和路由信息；网闸的安全管理员，用户和主机的访问策略；网闸的备份；网闸的电力保证与备份；网闸的位置与物理安全。2.4.2 安装前的测试工作安装前的测试，有两个内容，

42、-一 是指网闸X-GAP设备本身安装前的测试，二是网络在网闸安装前的断开测试。网闸设备本身的测试，主要是开箱检查和开机检查。用户根据厂商提供的资料进行一一检查就可以。遇到问题，用户不应该自己动手处理，而应该立即同厂商联系，由厂商来解决存在的问题。网闸X-GAP是一个网络隔离设备，但并不能保证两个网络的其他地方不存在连接。公司隔离网闸X-G A P用户操作手册如内网的用户存在拨号上网的，或存在其它的连接通道。图 23 是一个典型的存在潜通道的网络。在这种情况下，尽管安装了网络隔离设备，内网和外网还有其他的连接链路。私自拨号连接外网图2-3：旁路连接示意图网络隔离断开的检查是保证网络隔离断开的基本

43、保障措施。通过物理确认的检查办法，定期的进行检查。也可以采用防外联的专业软件检查工具，也可以向厂商单独购买一个隔离断开的检查软件。2.5网闸X-GAP硬件安装公司隔离网闸X-GAP机箱符合工业机柜的标准，它的标准高度为2 U,可以顺利的安装 到 19”标准机柜中去，该机箱是以固定方式安装，避免在机柜中抽拉。2.5.1 准备工作准备一条直连或交叉网线和一台用于管理公司隔离网闸X-G AP的带网卡的计算机（PC机），做为X-GAP的管理主机。2.5.2 安装须知及注意事项为了避免由于环境原因而导致的机器故障，请您在安装公司隔离网闸X-GAP时，注意遵循如下安全指导方针:建议公司X-GAP工作于标准

44、的机房环境中；请不要把公司X-GAP堆放在其它设备上，建议安装于标准的19英寸机架上。封闭机架必须有足够的通风条件，确保机架不是过分拥挤，设备机架的外侧应该具有百叶窗板，并且有风扇以冷却空气。在开放机架上安装机箱时，确保机架的构架不会挡住进气口或排气口。如果机箱是滑动安装的，当沿滑槽把它固定到机架上时，注意检查其位置。在连接电源线之前请仔细检查公司X-GAP的电源开关是否处于关闭的状态。通电之前再检查工作区域可能存在的危险。例如，地面潮湿，电线没有接地，接地是否可靠，线包皮磨损等。请不要将X-GAP放置在有水的地方，也不要让液体进入X-G AP,同样将X-GAP放置在远离热源的地方。请 将 X

45、-GAP放置在平坦、干净的固定平台，应当尽量使用UPS不间断电源。【提示】：用户在安装X-GAP的过程中，最好佩带防静电手环。2.5.3 安装步骤1.公司X-GAP设备可以放置在桌面上，也可以安装在个标准的19英寸机架上。如果是安装在19英寸机架上时，则需要一个十字螺丝刀、设备架安装工具和四个与设备架相匹配的螺丝。2.用 X-GAP产品包中提供的电源线连接公司X-GAP网闸和电源插座（确保公司X-GAP产品的电源供应是AC 220V,同时连接电源线之前确认公司X-GAP产品电源开关处于关闭状态）。3.按下表所示的连线方式连接网闸与其它网络设备：X-G A P 接口连接网段交换机/集线器连接路由

46、器/连接主机外网口连接外网宜接连接交叉连接内网口连接内网直接连接交叉连接4.打开连接公司X-GAP的电源，如果线路连接正确，则电源指示灯会变亮。公司隔离网闸X-G A P用户操作手册5.按照上述安装步骤安装好硬件后，就可以配置公司X-GAP设备了。【警告】：1.请不要带电插拔电缆，注意操作电源的安全。2.如果电源指示灯未变亮并发现不出问题，请与销售商联系。3.如果把新设备连接到局域网上时，请查阅相关设备的用户手册，以了解设备电源是否需要被切断。4.在公司X-GAP断电前需使用软件关机，否则将延长下次开机的启动时间，并可能丢失数据。5.请勿随意拆卸机箱，网闸X-GAP设备如出现故障请与销售商联系

47、，否则公司公司将不予赔偿，并不予提供售后服务。2.6 X-GAP管理软件的安装网闸X-GAP是通过X-GAP的“客户端管理软件”进行管理的，将 X-GAP 客户端管理软件（该软件在随机的光盘中）”安装到准备好的管理主机上，即可实现对X-GAP的安全管理。“客户端管理软件”的应用平台为Windows操作系统。只有网闸的安全管理员才可以使用该软件。【注 意 1】：X-GAP的“客户端软件”必须安装在网闸内端机一侧，不能安装在网闸外端机即外部代理服务器一侧。【注 意 2】：不能在外网配置和管理公司X-GAP网闸，这是由该网闸产品的安全设计原则所决定的，只有这样才能有效的确保X-GAP的安全策略不被外

48、网黑客篡改，确保内网安全。1.将安装光盘插入管理主机的光驱双击Gapconf-setup,屏幕弹出如图2-4 所示的“欢迎使用”对话框；X-造WF贩权法和丽条约的保护.强烈推荐你在运行比安装程序机退出所有Endows程序.羯 驾 飕 磐 装 麻 闭 唾 行 的 任 何 程 序。点辐 翳 盛 器 魏 鹭 财 重 据田 蓟 可 取 消图2-4：管理软件安装示意图一2.单击“下一步”屏幕弹出如图2-5所示的“安装目录提示”对话框，在此可修改客户端管理软件的安装目录；图2-5：管理软件安装示意图二3.单 击“下一步”弹出如图2 6所录的确认安装对话框;公司隔离网闸X-G A P用户操作手册图 2-6：

49、管理软件安装示意图三4.单击“下一步”系统开始自动安装“客户端管理”软件，安装完成后弹出如图27 所示的“安装完成提示”对话框，图 2-7：管理软件安装示意图四5.单击“完成”按钮，X-GAP 客户端管理”软件安装成功。2.7启动网闸及管理软件2.7.1 开启网闸设备打开网闸X-GAP电源开关后，大约90秒后网闸启动完成。2.7.2 修改管理主机IP地址若“管理主机”与“网闸”之间通过“交换机”相连，则“管理主机”必须同X-GAP网闸的“内端机”处于同一网段才可登录网闸对其进行配置管理，所以首次通过管理主机登录X-GAP网闸之前，必须先修改“管理主机”的IP地址使其与网闸的“内端机”处于同一网

50、段。公司X-GAP网闸出厂时默认“内端机”的IP地址为192.168.8.1,用户可将“管理主机”的主地址修改为192.16880/24网段中的任一地址,如：修改为192.168.8.200。下面我们以Windows 2000 Professional为例，介绍如何修改“管理主机”的IP地址：1.在“管理主机”桌面上的“网络邻居”图标上单击鼠标右键打开右键菜单，然后单击“属性”命令打开“网络邻居”窗口，再双击“本地连接”可打开如图28 所示的对话框；图 2-8：WINDOWS本地连接状态示意图2.单 击“属性”按钮屏幕弹出如图29 所示的对话框;公司隔离网闸X-G A P用户操作手册图 2-9