纵向加密NetKeeper-2000调试手册

《纵向加密NetKeeper-2000调试手册》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、纵向加密NetKeeper-2000调试手册一、产品介绍电力专用加密认证网关安置在电力控制系统的内部局域网与电力调度数据网络的路由器之间，用来保障电力调度系统纵向数据传输过程中的数据机密性、完整性和真实性。按照“分级管理”要求，纵向加密认证网关部署在各级调度中心及下属的各厂站，根据电力调度通信关系建立加密隧道（原则上只在上下级之间建立加密隧道），加密隧道拓扑结构是部分网状结构。二、加密认证网关配置管理2.1系统初始化加密认证网关投入使用前，需要进行设备的初始化操作，初始化操作内容包括安装调度证书服务系统根证书、装置管理系统证书、本装置的主备操作员证书、与本装置通信的对端设备证书以及本装

2、置的设备私钥。2.2证书申请2.3安全管理2.3.1证书管理2.3.2远程监控2.4安全策略配置加密认证网关位于电力控制系统的内部局域网与电力调度数据网络的路由器之间，为透明安全防护装置。网关的内网接口连接内部局域网，外网接口连接数据网，每个网络接口可以设置一个或者多个虚拟地址。加密认证网关的安全策略设置主要包括系统配置、网络配置、路由配置、隧道配置、策略配置等。2.4.1系统配置系统配置主要配置加密认证网关的系统信息，主要包括以下几个内容：系统名称：装置的名称，便于远程标识装置的基本信息。网关地址：加密网关的外网地址或者外网卡上用于被管理或审计所设置的地址。远程地址：远程的装置管理系

3、统、日志审计系统或者远程调试计算机的网络地址。系统类型：包括装置管理、日志审计、远程调试证书：在系统类型配置为装置管理时必须配置相应的装置管理的证书名称2.4.2网络配置加密认证网关共有5个以太网接口，其中任意网口都可以设置成内网口或者外网口。在实际的配置中，需要对加密认证网关的网络接口配置虚拟地址以便和内外网进行通信，内外网虚拟地址可以为相同网段，也可以为不同网段。网络接口：为所要配置的装置网口的名称，例如eth0/eth1等接口类型：为装置网口的类型，分别有PRIVATE（内网口）、PUBLIC（外网口）、BACKUP（互备口）、CONFIG（配置口）、BRIDGE（桥接口）IP地

4、址：为所要配置网口的IP地址子网掩码：为所要配置网口的掩码接口描述：为所要配置网口的相关描述信息VLANID：为所要配置网口的VLANID信息2.4.3路由配置加密认证网关需要对加密和解密过的IP报文进行路由选择，路由配置信息针对加密网关的内外网虚拟地址，通过路由地址关联内外网的网络地址信息。路由名称：路由信息的名称描述网络接口：要用到路由的出口网卡的名称一般为外网口。目的网络：要实现通信的外网侧的所在网段。目的掩码：为路由信息的目的网络地址的子网掩码。网关地址：加密网关的外网口通信地址VLANID:为所要配置的网口vlan信息。2.4.4隧道配置隧道为加密认证网关之间协商的安全传输通

5、道，隧道成功协商之后会生成通信密钥，进入该隧道通信的数据由通信密钥进行加密，隧道可以设置隧道周期和隧道容量，当隧道的通信时间达到指定传输周期后或者数据通信量达到指定容量后，加密网关之间会重新进行隧道密钥的协商，保证数据通信的安全。隧道名称:隧道的相关描述。隧道ID:隧道的标识，关联隧道的所有信息。隧道模式:隧道模式分为两类：加密、明通。明通模式下，隧道两端装置不进行密钥协商，隧道中的所有数据只能通过明通方式（但可以对数据包进行安全过滤与检查，即只有配置了相关的通信策略的数据传输才能通过装置，否则装置会将不合法的报文全部丢弃）进行传输；加密模式下，隧道中的数据报文会根据协商好的密钥将相关

6、通信策略的数据报文进行封装和加密，保证数据传输的安全性。隧道本端地址：为本端隧道的地址，即本侧加密网关的外网虚拟IP地址。隧道对端主地址：为对端隧道的主地址，即对端加密网关（主机）的外网虚拟IP地址。主装置证书名称：对端主隧道的证书名称。对端加密网关的主设备证书名称需与初始化导入的对端加密网关证书名称一致。隧道对端备地址：为对端隧道的备用地址，即对端加密网关（备机）的外网虚拟IP地址。如果对端无备用装置，则隧道备地址为0。备装置证书：对端备隧道的证书名称。对端加密网关的备设备证书名称需与初始化导入的对端备加密网关证书名称一致隧道周期：隧道密钥的存活周期（以小时为基本计量单位）。超过设定

7、的存活周期，装置会自动重新协商密钥。隧道容量：为隧道内可加解密报文总字节数的最大值，在隧道内加解密报文的总字节数一旦超过此值，隧道密钥立刻失效，装置会自动重新协商密钥。2.4.5策略配置加密通信策略用于实现具体通信策略和加密隧道的关联以及数据报文的综合过滤，加密认证网关具有双向报文过滤功能，与加密机制分离，独立工作，在实施加密之前进行。隧道ID：为隧道配置中设定的隧道ID信息。通过此信息，可以将策略关联到具体的隧道,以便对需要过滤的报文进行加解