《SJW07A纵向加密装置课件》由会员分享，可在线阅读，更多相关《SJW07A纵向加密装置课件（36页珍藏版）》请在金锄头文库上搜索。
1、珠海市鸿瑞软件技术有限公司珠海市鸿瑞软件技术有限公司北京兴唐纵向加密装置SJW07-A珠海市鸿瑞软件技术有限公司研制背景和意义l兴唐加密装置是电力二次系统安全防护体系中电力兴唐加密装置是电力二次系统安全防护体系中电力调度数据保密通信的专用密码设备，是电力二次系调度数据保密通信的专用密码设备，是电力二次系统安全防护的核心设备。统安全防护的核心设备。l按照电力系统专用纵向加密认证装置技术规范按照电力系统专用纵向加密认证装置技术规范的要求设计与研制。的要求设计与研制。l该装置位于电力控制系统的内部局域网与电力调度该装置位于电力控制系统的内部局域网与电力调度数据网络的路由器之间，为电力通信提供安全可靠
2、数据网络的路由器之间，为电力通信提供安全可靠的服务。的服务。珠海市鸿瑞软件技术有限公司基本工作原理n符合符合IP加密认证装置技术规范加密认证装置技术规范v2.7.0的功能要求和设备互联互的功能要求和设备互联互通要求。通要求。n协议处理依据业界普遍遵循的协议处理依据业界普遍遵循的IPSec标准，密钥管理采用公私钥体标准，密钥管理采用公私钥体制，采用国家密码管理局批准的密码方案。制，采用国家密码管理局批准的密码方案。 n采用采用ESP隧道模式，不仅提供基本的数据加解密功能，而且提供数隧道模式，不仅提供基本的数据加解密功能，而且提供数据包完整性认证、据包完整性认证、IP地址封装屏蔽、安全策略审查等安
3、全功能。地址封装屏蔽、安全策略审查等安全功能。珠海市鸿瑞软件技术有限公司密码机(解密)l密码机的工作机制密码机的工作机制信源(发送者)密码机(加密)信宿(接收者) 密钥K加密隧道密钥K 证书认证加密技术原理珠海市鸿瑞软件技术有限公司主要功能lIP层通信加密，符合层通信加密，符合IPSec，密文采用封装安全载荷（，密文采用封装安全载荷（ESP）；）；l一对多加密模式，适应所有广域网络，扩展性好，灵活性高；一对多加密模式，适应所有广域网络，扩展性好，灵活性高；l密钥管理采用公私钥体制，符合密钥管理采用公私钥体制，符合X.509标准，使用标准，使用BASE-64编码，由调度证编码，由调度证书服务系统
4、一签发；书服务系统一签发；l可使用符合电力系统专用纵向加密认证装置技术规范要求的证书服务系可使用符合电力系统专用纵向加密认证装置技术规范要求的证书服务系统下发的数字证书和操作员卡；统下发的数字证书和操作员卡；l采用透明网桥模式，不影响原有网络和终端设备的配置，系统扩展性好采用透明网桥模式，不影响原有网络和终端设备的配置，系统扩展性好l支持双机热备功能；支持双机热备功能；l具有完善的自检、声光组合告警提示，以及自愈功能；具有完善的自检、声光组合告警提示，以及自愈功能；l具有完备的审计功能；具有完备的审计功能；l支持本地设置和远程管理，并提供在线软升级和更换密钥的功能；支持本地设置和远程管理，并提
5、供在线软升级和更换密钥的功能；l基于基于Windows图形界面的专用配置管理软件对设备进行各类配置管理工作，图形界面的专用配置管理软件对设备进行各类配置管理工作，界面友好，操作便捷；界面友好，操作便捷；l支持配置备份和恢复、软件升级。支持配置备份和恢复、软件升级。珠海市鸿瑞软件技术有限公司基本工作方式l透明网桥方式工作；透明网桥方式工作；l只需一个只需一个IP地址，支持位掩码（借用地址，支持位掩码（借用地址）；地址）；l对密码机进行策略配置后，密码机自动进对密码机进行策略配置后，密码机自动进行双向认证、密钥协商，不需要管理中心行双向认证、密钥协商，不需要管理中心的参与；的参与；l建立加密隧道，
6、局域网用户不需要关心安建立加密隧道，局域网用户不需要关心安全加密的技术细节，身份鉴别和信息加密全加密的技术细节，身份鉴别和信息加密过程始终是透明的，系统将针对过程始终是透明的，系统将针对IP包自动包自动进行安全加密操作；进行安全加密操作；l支持支持VLAN Trunk;支持支持VLAN与隧道绑定与隧道绑定l支持双机热备工作方式；支持双机热备工作方式；l支持基于加密隧道的明通功能，根据安全支持基于加密隧道的明通功能，根据安全策略，可以对不同的隧道分别设置加密或策略，可以对不同的隧道分别设置加密或明传；明传；l为故障应急处理，提供安全按钮方式的硬为故障应急处理，提供安全按钮方式的硬旁路明通；旁路明
7、通；l可接受统一的装置管理系统的远程监控和可接受统一的装置管理系统的远程监控和管理。管理。l根据根据IP、端口号、协议等指定安全策略、端口号、协议等指定安全策略珠海市鸿瑞软件技术有限公司l网络适应性强网络适应性强作为内嵌密码模块的双网口透明网桥设备，对其作为内嵌密码模块的双网口透明网桥设备，对其他主机而言是透明的，只需占用一个他主机而言是透明的，只需占用一个IPIP地址，不地址，不影响原有网络拓扑结构，也无须更改网络设备或影响原有网络拓扑结构，也无须更改网络设备或局域网计算机的设置，它所提供的密通道对局域局域网计算机的设置，它所提供的密通道对局域网内的计算机是透明的，这一特性极大地方便了网内的
8、计算机是透明的，这一特性极大地方便了最终用户。最终用户。 适应适应802.1Q VLAN802.1Q VLAN等网络环境。等网络环境。珠海市鸿瑞软件技术有限公司功能特点安全性安全性完善的自主安全防护措施完善的自主安全防护措施物理锁物理锁开机毁钥开机毁钥l无论是在带电工作或是不带电的情况下，打开机壳，密钥都会被自动销毁，增强了系统的安全无论是在带电工作或是不带电的情况下，打开机壳，密钥都会被自动销毁，增强了系统的安全性。性。安全加固内核安全加固内核l修改了协议栈，对于网络数据的处理完全可控。涉及的安全协议全部都是定制的，可以更有效修改了协议栈，对于网络数据的处理完全可控。涉及的安全协议全部都是定
9、制的，可以更有效地防御攻击。地防御攻击。l毁钥告警毁钥告警电源电源l工业电源工业电源l双电源双电源l支持直流电源模块支持直流电源模块l失效告警失效告警l可在线热替换，不中断业务可在线热替换，不中断业务l标准尺寸标准尺寸双算法芯片冗余双算法芯片冗余l在密码模块的设计过程中，充分考虑了用户潜在的提速和扩容需求，赋予了密码模块良好的可扩展在密码模块的设计过程中，充分考虑了用户潜在的提速和扩容需求，赋予了密码模块良好的可扩展性，支持两块性，支持两块SSX06算法芯片并行工作，使密码模块处理能力线性增加，可以保证系统平滑地提速算法芯片并行工作，使密码模块处理能力线性增加，可以保证系统平滑地提速和扩容。兼
10、顾性能和灵活性，可根据用户要求选配单芯卡或双芯卡。即使有一块芯片不可用，并不和扩容。兼顾性能和灵活性，可根据用户要求选配单芯卡或双芯卡。即使有一块芯片不可用，并不妨碍另一块芯片全速运行。妨碍另一块芯片全速运行。珠海市鸿瑞软件技术有限公司支持双机热备支持双机热备l支持双机热备运行模式，即同一网点的两台纵向加密认支持双机热备运行模式，即同一网点的两台纵向加密认证装置互为主备机，在出现链路等故障时，主备机会快证装置互为主备机，在出现链路等故障时，主备机会快速自动切换，保障通信连续性。从所保护的局域网中的速自动切换，保障通信连续性。从所保护的局域网中的通信机到本地接入路由器之间的路径上，任何环节（包通
11、信机到本地接入路由器之间的路径上，任何环节（包括设备或链路出现故障），设备都能正确识别，实现路括设备或链路出现故障），设备都能正确识别，实现路径切换。径切换。软件和关键数据校验软件和关键数据校验软件设计软件设计l软件设计过程中，始终坚持软件设计过程中，始终坚持KISS（Keep It Simple, Stupid!）原则，避免复杂性以增强可靠性。）原则，避免复杂性以增强可靠性。l防御性软件设计，有效防止缓冲区溢出。防御性软件设计，有效防止缓冲区溢出。l坚持最小权限原则，只允许核心模块拥有超级用户权限。坚持最小权限原则，只允许核心模块拥有超级用户权限。珠海市鸿瑞软件技术有限公司硬件看门狗硬件看门
12、狗l硬件故障时能够自动重启，无需人工干预；硬件故障时能够自动重启，无需人工干预；软件失效监控软件失效监控l监控进程负责对密码模块、远程管理进程和密钥同步进监控进程负责对密码模块、远程管理进程和密钥同步进程等进行监控，一旦发现异常情况，监控进程将予以审程等进行监控，一旦发现异常情况，监控进程将予以审计记录，同时尝试进行修复。计记录，同时尝试进行修复。失效告警失效告警l电源失效，声光告警电源失效，声光告警l算法芯片失效，声光告警算法芯片失效，声光告警l关键部件失效，声光告警关键部件失效，声光告警l网口连接故障，声光告警网口连接故障，声光告警l其他告警其他告警珠海市鸿瑞软件技术有限公司CA系统及证书
13、签发珠海市鸿瑞软件技术有限公司加密隧道的建立1 12 23 34 4珠海市鸿瑞软件技术有限公司加密装置的配置内容n导出证书请求导出证书请求n签发证书签发证书n拓扑分析拓扑分析n选择相应的配置方法选择相应的配置方法n配置网络设置配置网络设置n导入证书导入证书n添加隧道添加隧道n添加策略添加策略n明通、密通配置明通、密通配置珠海市鸿瑞软件技术有限公司导出证书请求n当密码机处在出厂态和初始态时，采用向导式初始化流程当密码机处在出厂态和初始态时，采用向导式初始化流程珠海市鸿瑞软件技术有限公司导出证书请求n产生证书请求后，点击按钮产生证书请求后，点击按钮“下一步下一步”，弹出，弹出“导出设备证书请求导出
14、设备证书请求”，证书请求采用，证书请求采用X.509格式，使用格式，使用BASE-64编码，后缀为编码，后缀为*.pem。珠海市鸿瑞软件技术有限公司拓扑分析n分析本地密码机的接入方式分析本地密码机的接入方式n本地保护机的地址范围本地保护机的地址范围n目的保护机的地址范围目的保护机的地址范围n目的密码机的接入方式目的密码机的接入方式n业务数据传输协议业务数据传输协议n业务数据是否明通或密通通信业务数据是否明通或密通通信珠海市鸿瑞软件技术有限公司接入前环境调查注意事项l了解接入位置的连接方式了解接入位置的连接方式也就是路由器与交换机的连接方式，在一般的环境下，我们分为也就是路由器与交换机的连接方式
15、，在一般的环境下，我们分为两种情况：两种情况：1、普通的二层或三层接入、普通的二层或三层接入2、Trunk封装接入封装接入lTrunk封装接入封装接入了解了解Trunk上一共跑了多少个上一共跑了多少个Vlan、各、各Vlan号、各号、各Vlan的掩码位的掩码位数（如存在数（如存在30位掩码，加密机只能借用交换机的地址）、业务系统属位掩码，加密机只能借用交换机的地址）、业务系统属于那个于那个Vlan、是否使用、是否使用802.1Q协议封装、传输时协议封装、传输时Vlan标签有否被剥离标签有否被剥离（例如（例如Vlan 1，多数品牌的交换机的，多数品牌的交换机的Vlan 1都默认为不带标签，所以一
16、都默认为不带标签，所以一般禁止使用般禁止使用Vlan 1）。）。l使用哪个厂家的路由器及交换机使用哪个厂家的路由器及交换机这里特意提到思科的交换机，目前思科的主流交换机，每开启一这里特意提到思科的交换机，目前思科的主流交换机，每开启一个个Vlan时都会同时打开一个归属于这个时都会同时打开一个归属于这个Vlan的生成树，如果遇到的生成树，如果遇到30位位掩码的掩码的Vlan时，在设备接入后，很有可能被生成树检测到时，在设备接入后，很有可能被生成树检测到IP冲突，从冲突，从而将交换机的出口端口关闭，这样会使得交换机与上层断开连接。而将交换机的出口端口关闭，这样会使得交换机与上层断开连接。l路由器和
17、交换机上有没有配置控制访问列表阻碍设备接入路由器和交换机上有没有配置控制访问列表阻碍设备接入l需通往哪里、需通什么业务、对端加密机部署状态需通往哪里、需通什么业务、对端加密机部署状态珠海市鸿瑞软件技术有限公司部署方案1普通二层接入珠海市鸿瑞软件技术有限公司部署方案2封装接入（两个都不借）珠海市鸿瑞软件技术有限公司部署方案3封装接入（一个借一个不借）珠海市鸿瑞软件技术有限公司部署方案4封装接入（两个都借）珠海市鸿瑞软件技术有限公司各环境归总及配置细节与区别l一、普通的二层或三层接入一、普通的二层或三层接入只配一个只配一个IP地址，最多再配下路由，不需要陪地址，最多再配下路由，不需要陪Vlan及及
18、MAC。l二、二、Trunk封装接入（这里假设封装接入（这里假设Trunk上跑了两个上跑了两个Vlan）1、两个都不借用地址（两个、两个都不借用地址（两个Vlan都不为都不为30位掩码）：位掩码）：IP设置为业务设置为业务Vlan的地址，的地址，不启用虚拟不启用虚拟IP；配置；配置VLAN，启用，启用VLAN，装置属于业务，装置属于业务VLAN，不启用，不启用ARP，交换机交换机IP不设置；不配不设置；不配MAC。2、一个借一个不借（其中一个、一个借一个不借（其中一个Vlan为为30位掩码）：位掩码）： IP设置为业务设置为业务Vlan的地址，的地址，启用虚拟启用虚拟IP；配置；配置VLAN，
19、启用，启用VLAN，装置属于业务，装置属于业务VLAN，非借用地址，非借用地址VLAN（一般为业务（一般为业务Vlan）启用）启用ARP；配置；配置MAC，路由器，路由器MAC绑业务绑业务VLAN网网关关MAC，交换机，交换机MAC绑加密机的绑加密机的MAC。3、两个都借（两个、两个都借（两个Vlan都为都为30位掩码）位掩码） ： IP设置为业务设置为业务Vlan的地址，启用虚拟的地址，启用虚拟IP；配置；配置VLAN，启用，启用VLAN，装置属于业务，装置属于业务VLAN，不启用，不启用ARP；配置；配置MAC，路由器路由器MAC绑业务绑业务VLAN网关网关MAC，交换机，交换机MAC绑业
20、务绑业务VLAN的的MAC。珠海市鸿瑞软件技术有限公司两个都不借配置细节1IP设置为业设置为业务务Vlan的地的地址，不启用址，不启用虚拟虚拟IP。珠海市鸿瑞软件技术有限公司两个都不借配置细节2配置配置VLAN，启用启用VLAN，装置属于装置属于业务业务VLAN，不启用不启用ARP，交换机交换机IP不设置。不设置。珠海市鸿瑞软件技术有限公司一个借一个不借配置细节1 IP设置为设置为业务业务Vlan的地址，的地址，启用虚拟启用虚拟IP。珠海市鸿瑞软件技术有限公司一个借一个不借配置细节2 配置配置VLAN，启用启用VLAN，装置属装置属于业务于业务VLAN，非借用非借用地址地址VLAN（一般（一般
21、为业务为业务Vlan）启用启用ARP。珠海市鸿瑞软件技术有限公司一个借一个不借配置细节3 配置配置MAC，路由器，路由器MAC绑业绑业务务VLAN网关网关MAC，交换机，交换机MAC绑加绑加密机的密机的MAC。珠海市鸿瑞软件技术有限公司两个都借配置细节1IP设置为业务设置为业务Vlan的地址，的地址，启用虚拟启用虚拟IP。珠海市鸿瑞软件技术有限公司两个都借配置细节2配置配置VLAN，启用启用VLAN，装置属于装置属于业务业务VLAN，不启用不启用ARP；珠海市鸿瑞软件技术有限公司两个都借配置细节3配置配置MAC，路由器路由器MAC绑绑业务业务VLAN网关网关MAC，交换机交换机MAC绑绑业务业
22、务VLAN（交换（交换机本身）机本身）的的MAC。珠海市鸿瑞软件技术有限公司导入证书n分别导入根证书、管理中心证书（分别导入根证书、管理中心证书（IP）、对机证书（）、对机证书（IP）珠海市鸿瑞软件技术有限公司添加隧道n根据对机证书添加隧道根据对机证书添加隧道珠海市鸿瑞软件技术有限公司添加隧道n隧道添加成功后主界面就会有相应的隧道状态显示隧道添加成功后主界面就会有相应的隧道状态显示,如果隧如果隧道是打开状态的话道是打开状态的话,说明与对方密码机的连接成功。说明与对方密码机的连接成功。珠海市鸿瑞软件技术有限公司添加隧道n根据本地保护地址和目的保护地址进行添加策略。根据本地保护地址和目的保护地址进行添加策略。n根据用户要求配置明通通信，还是密通通信。根据用户要求配置明通通信，还是密通通信。珠海市鸿瑞软件技术有限公司谢谢 谢！谢！地址：珠海市唐家大学路地址：珠海市唐家大学路101101号清华科技园创业大楼号清华科技园创业大楼A A座座606606电话电话: (0756) 3612098: (0756) 3612098（8 8线）线） 传真传真: (0756)3612902: (0756)3612902
