防火墻的配置迪普DPtech-FW1000目錄ONTENTSC1防火墻裝置的配置2防火墻裝置的配置提升3附錄：常見問題防火墻裝置的配置01基本知識查詢操作基本知識功能報文轉發流程應用場景概念

“防火墻”是指一種將內部網絡和外部網絡邏輯隔離技術。通過對流經它的網絡通信進行掃描，可基于MAC、IP地址、協議、端口、時間段等方式限制內部網絡和外部網的通信。保障網絡的安全。-概念

網絡安全的屏障強化網絡安全策略監控審計防止內部信息的外泄日志記錄與事件通知功能報文轉發流程應用防火墻在分析IP報頭、建立會話狀態的基礎上，可通過識別4-7層報文協議，對應用層數據進行DPI處理下一步處理安全策略：過濾規則應用防火墻符合不符合丟棄符合轉發檢測包頭會話連接狀態緩存表IP包應用層檢測應用場景服務劃分為邏輯隔離的實時子網和非實時采用不同強度的安子網，分別連接控制區和非控制區根據能源局36號文《電力監控系統安全防護總體方案》防火墻部署如下區域：01生產控制大區內的業務系統之間02管理信息大區內部查詢操作登陸設備查看設備基本信息網絡配置查詢包過濾規則查詢日志查詢將調試計算機的IP地址設置為：0/24以網線連接到防火墻的ETH8口（業務口支持自動識別交叉或者直連雙絞線）在網頁瀏覽器輸入：

https：//默認用戶名：admin默認密碼：admin_default登陸設備登陸設備訪問Web管理系統需注意如下內容：?確認客戶端主機與設備管理口通訊正常。?建議使用IE9或以上版本的瀏覽器，屏幕分辨率為1440*900及以上。?設備默認支持管理員使用HTTP或HTTPS協議登錄Web管理系統的最大連接數為5。?Web管理系統不支持瀏覽器自帶的后退、前進、刷新等操作，進行這些操作可能會導致Web頁面顯示不正常。?用戶登錄后，如果對Web界面不進行操作的時間超過5分鐘，系統將超時并退回到登錄頁面，必須重新登錄才能繼續使用。查看設備基本信息選擇【基本】=>【設備監控】=>【系統監控】=>【設備狀態】，進入設備狀態查看頁面，可查看內容包括設備信息和設備狀態，如下圖所示。網絡配置查詢IP地址查詢選擇【基本】=>【網絡管理】=>【接口管理】=>【組網配置】查詢操作-網絡配置查詢靜態路由查詢選擇【基本】=>【網絡管理】=>【單播IPV4路由】=>【靜態路由】網絡配置查詢包過濾規則查詢選擇【基本】=>【防火墻】=>【包過濾策略】包過濾規則查詢依次打開“基本”—“防火墻”—“包過濾策略”可查看包過濾規則日志查詢選擇【基本】=>【日志管理】，可查詢系統日志、操作日志、業務日志、診斷日志信息。02二層防火墻配置流程三層防火墻配置流程網絡配置包過濾規則配置防火墻裝置配置提升設備管理日志管理二層防火墻配置二層防火墻配置流程Page19VIIIVIIVIVIVIIIIII設備初始化配置安全域添加服務/服務組配置接口參數添加管理路由配置包過濾策略配置VLAN-IF地址添加地址對象配置完成二層防火墻配置二層防火墻配置流程設備初始化配置接口參數配置VLAN-IF地址配置安全域添加管理路由添加地址對象添加服務/服務組配置包過濾策略Password:<DPTECH>resetfactorydefaultWarning:resetfactorydefault.Areyousure?(Y/N)[N]:y說明：若為trunk模式，則修改工作模式為“二層接口”，類型為“trunk”，并在vlan設置中配置“所屬valn”及“默認vlan”。說明：高優先級可訪問優先級低，反之不可訪問；不同域下的相同優先級，互相不可訪問；相同域下的相同優先級，互相可以訪問。說明：多個IP地址對象，可添加到一個IP地址對象組中。注意：IP地址子網掩碼的劃分。注意：請正確配置服務協議，源、目的端口。說明：將鼠標放置IP對象或服務組上，可查看詳細配置。注意：策略先后順序決定匹配順序，可通過操作中的“向上復制”、“向下復制”及“刪除”進行控制。三層防火墻配置三層防火墻配置流程Page21IXVIIIVIIVIVIVIIIIII設備初始化添加靜態路由配置目的NAT配置接口參數配置安全域配置包過濾策略配置地址對象配置源NAT配置NAT日志輸出配置完成三層防火墻配置三層防火墻配置流程Page22設備初始化配置接口參數配置地址對象添加靜態路由配置安全域配置源NAT配置目的NAT配置包過濾策略Password:<DPTECH>resetfactorydefaultWarning:resetfactorydefault.Areyousure?(Y/N)[N]:y配置NAT日志輸出說明：多個IP地址對象，可添加到一個IP地址對象組中。注意：IP地址子網掩碼的劃分。說明：高優先級可訪問優先級低，反之不可訪問；不同域下的相同優先級，互相不可訪問；相同域下的相同優先級，互相可以訪問。說明：設備提供靈活的NAT復用方式，可以選擇借用出接口、NAT地址池、和特定的流不做NAT功能，部署起來非常靈活，可以滿足各種各樣的需要。說明：當外網映射的端口與內網服務器使用的端口一致，高級配置選擇“缺省配置”即可；若不同，則需指定服務器內網端口。說明：將鼠標放置IP對象或服務組上，可查看詳細配置。注意：策略先后順序決定匹配順序，可通過操作中的“向上復制”、“向下復制”及“刪除”進行控制。說明1：日志源IP是設備IP地址，必須保證設備與日志服務器網絡互通。說明2：日志源端口配置1024端口以上，0—1024是預留端口。注意：日志服務器端口是9505，必須勾選“輸入日志使能”。網絡配置安全域配置選擇【基本】=>【網絡管理】=>【網絡對象】=>【安全域】將需要使用的接口加入到安全域中。（注意：業務接口一定要加入到安全域中才能正常工作）網絡配置接口配置選擇【基本】=>【網絡管理】=>【接口管理】=>【組網配置】在相應的接口上可以直接配置需要的IP地址。網絡配置路由配置選擇【基本】=>【網絡管理】=>【單播IPV4路由】=>【靜態路由】即可配置靜態路由。網絡配置服務對象配置

選擇【基本】=>【網絡管理】=>【網絡對象】=>【服務】=>【自定義服務對象】。添加需要限制或者放通的服務對象。NAT配置源NAT配置

選擇【業務】=>【NAT配置】=>【源NAT】=>【源NAT】，進入源NAT策略配置頁面，如下圖所示。

? NAT配置目的

NAT配置

選擇【業務】=>【NAT配置】=>【目的NAT】，進入目的NAT策略配置頁面，如下圖所示。包過濾規則配置選擇【基本】=>【防火墻】=>【包過濾策略】添加需要的策略即可。注意：策略匹配的方式為從上至下，所以添加策略時要按照需求在中間插入，一般不會直接在最后添加策略。設備管理設備參數設置

選擇【基本】=>【系統管理】=>【設備設置】=>【設備信息設置】，進入設備信息設置頁面，如下圖所示。設備管理管理員配置

選擇【基本】=>【系統管理】=>【管理員】=>【管理員】，進入管理員配置頁面。管理員子模塊的功能包括查看當前管理員、管理員設置、管理員認證設置、登錄參數設置。設備管理SNMP配置選擇【基本】=>【系統管理】=>【SNMP配置】=>【SNMP配置】，進入SNMP配置頁面。可配置項包括SNMP版本配置、SNMPTrap配置、設備信息配置和IP地址列表配置設備管理配置文件管理

選擇【基本】=>【系統管理】=>【配置文件】=>【配置文件】，進入配置文件管理頁面。保存當前配置文件到設備將保存的配置文件導出到本地上傳本地配置文件到設備日志管理系統日志配置

選擇【基本】=>【日志管理】=>【系統日志】=>【系統日志配置】，進入系統日志配置頁面，如下圖所示。日志管理操作日志配置

選擇【基本】=>【日志管理】=>【操作日志】=>【操作日志配置】，進入操作日志配置頁面，如下圖所示。日志管理業務日志配置

選擇【基本】=>【日志管理】=>【業務日志配置】，進入業務日志配置頁面，如下圖所示。03網絡周期性中斷網絡異常中斷策略未生效附錄：常見問題網絡周期性中斷某些應用為“長連接應用”，即該會話在規定時間內無需老化，若不配置長連接參數，將導致此類應用訪問異常，需根據實際場景設置長會話老化時間。網絡異常中斷不同型號的設備在“每秒新建數”、“每秒并發數”、“最大吞吐量”及“最大會話數”等參數存在差異，當流量數據達到某一極限值時，將無法對新的流量、會話進行處理DMZ的一臺服務器已開放視頻會議、文件共享、Web應用等服務，為保證視頻會議通訊正常，已在高級安全業務中開啟會話上連接。由于沒有對源、目的地址及服務進行精細化配置，導致從Trust訪問DMZ所有數據均建立成“長連接會話”，一段時間后達到設備最大會話規格，致使新連接無法建立，老連接無法老化，發生網絡中斷事故網絡異常中斷錯誤配置正確配置策略未生效1）配置錯誤導致將鼠標放置策略上，查看顯示的信息是否正確，如地址掩碼及端口信息策略未生效2）是否命中包過濾策略開啟“命中”功能顯示，查看網絡中是否有數據報文匹配此策略策略未生效3）兩策略存在包含關系包過濾策略匹配順序是從上到下依次匹配，需嚴格遵守先明細后模糊的原則。錯誤的配置，將使得數據優先匹配“范圍大”的策略，導致“范圍小”的策略失效，需調整策略順序解決此問題物理隔離裝置配置南瑞SysKeeper-2000目錄ONTENTSC1隔離裝置基本配置2隔離裝置配置提升3附錄:常見問題01隔離裝置基本配置基本知識查詢操作基本知識技術原理應用場景功能要求概念

網絡隔離（NetworkIsolation），主要是指把兩個或兩個以上可路由的網絡（如TCP/IP）通過不可路由的協議（如IPX/SPX、NetBEUI等）進行數據交換而達到隔離目的。由于其原理主要是采用了不同的協議，所以通常也叫協議隔離（ProtocolIsolation）。概念技術原理服務劃分為邏輯隔離的實時子網和非實時采用不同強度的安子網，分別連接控制區和非控制區

下圖表示沒有連接時內外網的應用狀況，從連接特征可以看出這樣的結構從物理上完全分離。技術原理服務劃分為邏輯隔離的實時子網和非實時采用不同強度的安子網，分別連接控制區和非控制區

當外網需要有數據到達內網的時候，外部的服務器立即發起對隔離設備的非TCP/IP協議的數據連接，隔離設備將所有的協議剝離，將原始的數據寫入存儲介質。51技術原理服務劃分為邏輯隔離的實時子網和非實時采用不同強度的安子網，分別連接控制區和非控制區

一旦數據完全寫入隔離設備的存儲介質，隔離設備立即中斷與外網的連接。轉而發起對內網的非TCP/IP協議的數據連接。隔離設備將存儲介質內的數據推向內網。內網收到數據后，立即進行TCP/IP的封裝和應用協議的封裝，并交給應用系統。

在控制臺收到完整的交換信號之后，隔離設備立即切斷隔離設備于內網的直接連接技術原理服務劃分為邏輯隔離的實時子網和非實時采用不同強度的安子網，分別連接控制區和非控制區

內網有業務數據要發出，隔離設備收到內網建立連接的請求之后，建立與內網之間的非TCP/IP協議的數據連接。隔離設備剝離所有的TCP/IP協議和應用協議，得到原始的數據，將數據寫入隔離設備的存儲介質。技術原理服務劃分為邏輯隔離的實時子網和非實時采用不同強度的安子網，分別連接控制區和非控制區

一旦數據完全寫入隔離設備的存儲介質，隔離設備立即中斷與內網的連接。轉而發起對外網的非TCP/IP協議的數據連接。隔離設備將存儲介質內的數據推向外網。外網收到數據后，立即進行TCP/IP的封裝和應用協議的封裝，并交給系統技術原理服務劃分為邏輯隔離的實時子網和非實時采用不同強度的安子網，分別連接控制區和非控制區數據交換過程：接受、存儲和轉發經歷了數據的接受、存儲和轉發三個過程。由于這些規則都是在內存和內核中完成的，因此速度上有保證，可以達到100%的總線處理能力。

特征：內網與外網永不連接內網和外網在同一時間最多只有一個同隔離設備建立非TCP/IP協議的數據連接。技術原理服務劃分為邏輯隔離的實時子網和非實時采用不同強度的安子網，分別連接控制區和非控制區基于代碼、內容等隔離的反病毒和內容過濾技術基于物理鏈路層的物理隔離技術基于網絡層隔離的防火墻技術網絡隔離技術分類技術原理服務劃分為邏輯隔離的實時子網和非實時采用不同強度的安子網，分別連接控制區和非控制區

要具有高度的自身安全性要確保網絡之間是隔離的要保證網間交換的只是應用數據要對網間的訪問進行嚴格的控制和檢查要在堅持隔離的前提下保證網絡暢通和應用透明網絡隔離技術需要具有的安全要點隔離的關鍵點要盡量提高網間數據交換的速度，并且對應用能夠透明支持，以適應復雜和高帶寬需求的網間數據交換。網絡隔離的關鍵點網絡隔離技術要點

非網絡方式的安全的數據交換透明工作方式基于多種方式的報文過濾和控制支持NAT防止穿透性TCP聯接可定制的應用層解析功能，支持應用層特殊標記識別功能要求網絡隔離裝置分類-正向型（FID）安全、方便的維護管理方式01防止穿透性TCP聯接02具有可定制的應用層解析功能，支持應用層特殊標記識別。03

安全、方便的維護管理方式功能要求網絡隔離裝置分類-反向型（BID）應用場景服務劃分為邏輯隔離的實時子網和非實時采用不同強度的安子網，分別連接控制區和非控制區

根據能源局36號文《電力監控系統安全防護總體方案》縱向加密認證裝置部署如下區域：

生產控制大區與管理信息大區之間查詢操作正向物理隔離配置查詢反向物理隔離配置查詢登錄設備正向傳輸軟件的使用反向傳輸軟件的使用將調試計算機的IP地址設置為：3/24以網線連接到裝置配置口啟動客戶端軟件syskeeper.jar（正反向同一款）默認用戶名：admin默認密碼：Nari.6712登陸設備登陸設備啟動物理隔離裝置配置軟件，出現如圖登陸設備點擊【用戶登錄】->【登錄】，輸入用戶名admin，密碼Nari.6712，登錄設備登陸設備-左側按紐介紹上傳配置，將已保存的參數上傳到裝置

下載配置，將裝置上的參數下載到客戶端軟件界面

打開保存在本地的參數配置文件保存參數配置在客戶端軟件界面保存參數到本地新建資源刪除資源復制資源粘貼資源編輯資源正向物理隔離配置-規則配置查詢點擊【規則配置】->【策略配置】，出現策略配置界面：正向物理隔離配置-規則配置查詢選擇一條策略，點擊編輯策略，出現如下圖正向物理隔離配置-日志配置查詢點擊【日志配置】->【日志配置】，出現日志配置界面：正向物理隔離配置-日志配置查詢規則配置中，配置允許日志發送的策略69反向物理隔離配置-規則配置查詢點擊【規則配置】->【策略配置】，出現策略配置界面：反向物理隔離配置-規則配置查詢選擇一條策略，點擊編輯策略，出現如下圖71反向物理隔離配置-日志配置查詢點擊【日志配置】->【日志配置】，出現日志配置界面：72反向物理隔離配置-日志配置查詢規則配置中，配置允許日志發送的策略正向傳輸軟件的使用發送端軟件啟動Windows系統：雙擊軟件Client.jarLiunx系統：#cd/home/usr#java-jarClient.jar正向傳輸軟件的使用發送端登錄點擊【用戶登錄】->【登錄】，彈出軟件登錄界面，默認密碼為空正向傳輸軟件的使用配置發送任務點擊【任務設置】->【設置文件任務】，彈出任務設置對話框點擊【增加任務】，顯示此條任務的各項參數正向傳輸軟件的使用啟動發送任務雙擊“NotStart”，或者點擊將啟動本條任務點擊菜單欄中【任務管理】->【啟動所有文件傳輸任務】將啟動所有的任務。正向傳輸軟件的使用接收端軟件啟動Windows系統：雙擊軟件Server.jarLiunx系統：#cd/home/usr#java-jarServer.jar正向傳輸軟件的使用接收端登錄點擊【用戶登錄】->【登錄】，彈出軟件登錄界面，默認密碼為空正向傳輸軟件的使用配置接收任務點擊【任務】->【任務配置】，彈出任務配置對話框點擊【增加】，配置本條任務參數正向傳輸軟件的使用啟動接收任務雙擊“NotListening”，或者點擊將啟動本條任務點擊菜單欄中【任務】->【啟動所有任務】將啟動所有的任務反向傳輸軟件的使用發送端軟件啟動Windows系統：雙擊軟件Client.jarLiunx系統：#cd/home/usr#java-jarClient.jar反向傳輸軟件的使用發送端登錄點擊【用戶登錄】->【登錄】，彈出軟件登錄界面，默認密碼為空反向傳輸軟件的使用安全設置點擊【任務管理】

【安全設置】按鈕，彈出安全配置框反向傳輸軟件的使用安全設置（1）客戶端密鑰更新反向傳輸軟件的使用安全設置（2）生成客戶端證書請求文件，并導出反向傳輸軟件的使用安全設置（3）導入反向隔裝置證書點擊【導入PEM證書】按鈕，彈出證書導入框反向傳輸軟件的使用配置發送任務點擊【任務設置】->【設置文件任務】，彈出任務設置對話框任務參數配置后，點擊【增加任務】，會在任務列表中增加一條記錄反向傳輸軟件的使用啟動發送任務雙擊“NotStart”，或者點擊將啟動本條任務點擊菜單欄中【任務管理】->【啟動所有文件傳輸任務】將啟動所有的任務。反向傳輸軟件的使用接收端軟件啟動Windows系統：雙擊軟件Server.jarLiunx系統：#cd/home/usr#java-jarServer.jar反向傳輸軟件的使用接收端登錄點擊【用戶登錄】->【登錄】，彈出軟件登錄界面，默認密碼為空反向傳輸軟件的使用配置接收任務點擊【任務】->【任務配置】，彈出任務配置對話框點擊【增加】，顯示此條任務的各項參數92反向傳輸軟件的使用啟動接收任務雙擊“NotListening”，或者點擊將啟動本條任務點擊菜單欄中【任務】->【啟動所有任務】將啟動所有的任務9302正向物理隔離配置隔離裝置配置提升反向物理隔離配置登錄設備正向傳輸軟件的使用反向傳輸軟件的使用左側按紐介紹上傳配置，將已保存的參數上傳到裝置

下載配置，將裝置上的參數下載到客戶端軟件界面

打開保存在本地的參數配置文件保存參數配置在客戶端軟件界面保存參數到本地新建資源刪除資源復制資源粘貼資源編輯資源將調試計算機的IP地址設置為：3/24以網線連接到裝置配置口啟動客戶端軟件syskeeper.jar（正反向同一款）默認用戶名：admin默認密碼：Nari.6712登陸設備登陸設備啟動物理隔離裝置配置軟件，出現如圖登陸設備點擊【用戶登錄】->【登錄】，輸入用戶名admin，密碼Nari.6712，登錄設備正向物理隔離配置-規則配置點擊【規則配置】->【策略配置】，出現策略配置界面：正向物理隔離配置-規則配置選擇一條策略，點擊編輯策略，出現如下圖正向物理隔離配置-規則配置規則名稱：對此條規則進行描述協議類型：根據傳輸報文的協議選擇TCP或UDP【內網配置】IP地址：內網主機IP地址端口：由于內網主機發送文件的端口一般沒有特殊規定，發送端口號隨機，故一般寫0虛擬IP：內網主機的虛擬IP地址，最終會寫到外網測網卡上網卡：選擇內網測通過哪個網卡通訊網關：如果在三層環境下，設備內網測與內網主機不在一個網段，此處填寫設備內網測所在的網段的網關地址；如果是二層環境，默認為是否設置路由：內網測為二層環境，選擇否；三層環境，選擇是MAC地址綁定：沒有特殊要求，一般填寫12個0正向物理隔離配置-規則配置【外網配置】IP地址：外網主機IP地址端口：根據分配給外網主機接受文件的端口，填寫相應的端口號虛擬IP：外網主機的虛擬IP地址，最終會寫到內網測網卡上網卡：選擇外網測通過哪個網卡通訊網關：如果在三層環境下，設備外網測與外網主機不在一個網段，此處填寫設備外網測所在的網段的網關地址是否設置路由：外網測為二層環境，選擇否；三層環境，選擇是MAC地址綁定：沒有特殊要求，一般填寫12個0正向物理隔離配置-日志配置點擊【日志配置】->【日志配置】，出現日志配置界面：正向物理隔離配置-日志配置規則配置中，配置允許日志發送的策略104反向物理隔離配置-規則配置點擊【規則配置】->【策略配置】，出現策略配置界面：主要按鈕介紹：上傳配置，對配置完成的策略進行導入裝置操作

新建策略，點擊后新建一條默認的策略

刪除資源，選擇一條策略后，點擊后此按鈕刪除

編輯資源，選中一條策略后，點擊此按鈕后進行編輯反向物理隔離配置-規則配置選擇一條策略，點擊編輯策略，出現如下圖正向物理隔離配置-規則配置規則名稱：對此條規則進行描述

協議類型：UDP【外網配置】IP地址：外網主機IP地址端口：由于外網主機發送文件的端口一般沒有特殊規定，發送端口號隨機，故一般寫0虛擬IP：外網主機的虛擬IP地址，最終會寫到內網測網卡上網卡：選擇外網測通過哪個網卡通訊網關：如果在三層環境下，設備外網測與外網主機不在一個網段，此處填寫設備外網測所在的網段的網關地址。如果是二次環境，默認為是否設置路由：外網測為二層環境，選擇否；三層環境，選擇是MAC地址綁定：沒有特殊要求，一般填寫12個0107反向物理隔離配置-規則配置【內網配置】IP地址：內網主機IP地址端口：根據分配給內網主機接受文件的端口，填寫相應的端口號虛擬IP：內網主機的虛擬IP地址，最終會寫到外網測網卡上網卡：選擇內網測通過哪個網卡通訊網關：如果在三層環境下，設備內網測與內網主機不在一個網段，此處填寫設備內網測所在的網段的網關地址是否設置路由：內網測為二層環境，選擇否；三層環境，選擇是MAC地址綁定：沒有特殊要求，一般填寫12個0108反向物理隔離配置-證書管理配置點擊【規則配置】->【證書管理】，出現證書管理配置界面109反向物理隔離配置-證書管理配置點擊上傳證書按鈕如在本地選擇的證書是外網主機發送客戶端的證書，證書類型選擇“通信證書”如在本地選擇的證書為帶簽名的E語言文件的驗簽證書，證書類型選擇“驗簽證書”彈出上傳證書界面110反向物理隔離配置-證書管理配置【規則配置】->【導入E語言模板】，出現如下界面本地導入相應的應E語言模板，上傳即可。111反向物理隔離配置-日志配置點擊【日志配置】->【日志配置】，出現日志配置界面：112反向物理隔離配置-日志配置規則配置中，配置允許日志發送的策略正向傳輸軟件的使用發送端軟件啟動Windows系統：雙擊軟件Client.jarLiunx系統：#cd/home/usr#java-jarClient.jar正向傳輸軟件的使用發送端登錄點擊【用戶登錄】->【登錄】，彈出軟件登錄界面，默認密碼為空正向傳輸軟件的使用配置發送任務點擊【任務設置】->【設置文件任務】，彈出任務設置對話框點擊【增加任務】，顯示此條任務的各項參數正向傳輸軟件的使用啟動發送任務雙擊“NotStart”，或者點擊將啟動本條任務點擊菜單欄中【任務管理】->【啟動所有文件傳輸任務】將啟動所有的任務。正向傳輸軟件的使用接收端軟件啟動Windows系統：雙擊軟件Server.jarLiunx系統：#cd/home/usr#java-jarServer.jar正向傳輸軟件的使用接收端登錄點擊【用戶登錄】->【登錄】，彈出軟件登錄界面，默認密碼為空正向傳輸軟件的使用配置接收任務點擊【任務】->【任務配置】，彈出任務配置對話框點擊【增加】，配置本條任務參數正向傳輸軟件的使用啟動接收任務