【導讀】本白皮書中的內容是南瑞加密認證關用戶手冊。權利歸南瑞集團公司信息系統(tǒng)分公司所有。未經本公司許可，不得轉印、影印或復印。本資料將定期更新，如預獲取最新相關信息，

　　

【正文】 絡拓撲如下圖所示。策略配置以加密網關 2 為例。 圖表 44 路由配置網絡拓撲圖 NetKeeper2020II 縱向加密認證網關用戶手冊 37 系統(tǒng)配置 圖表 45 路由模式 系統(tǒng)配置 網絡配置 圖表 46 路由 模式 網絡配置 路由配置 圖表 47 路由 模式 路由配置 隧道配置 NetKeeper2020II 縱向加密認證網關用戶手冊 38 圖表 48 路由 模式 隧道配置 策略配置 圖表 49 路由 模式 規(guī)則配置 VLAN 環(huán)境配置 加密網關支持 VLAN 接入，典型配置拓撲如下 圖所示。交換機上劃分了兩個 VLAN網段（ VLAN 10/VLAN 20），在 路由器與交換機相連的端口劃分子端口，使子端口與交換機上的 VLAN 通過 建立對應通信關系。通信節(jié)點 B 位于交換機的 VLAN10 網段。策略配置以加密網關 2 為例。 圖表 50 VLAN環(huán)境網絡拓撲 系統(tǒng)配置 圖表 51 VLAN環(huán)境 系統(tǒng)配置 NetKeeper2020II 縱向加密認證網關用戶手冊 39 網絡配置 圖表 52 VLAN環(huán)境 網絡配置 注意：此處需要配置網絡的 VLAN ID。 路由配置 圖表 53 VLAN環(huán)境 路由配置 隧道配置 圖表 54 VLAN環(huán)境 隧道配置 NetKeeper2020II 縱向加密認證網關用戶手冊 40 策略配置 圖表 55 VLAN環(huán)境 規(guī)則配置 NAT 模式配置 加密認證網關系統(tǒng)支持 NAT 地址轉換（地址偽裝和目的地址轉換），保護內網私有地址，典型網絡拓撲如下圖所示。加密網關 1 啟 動地址轉化功能，策略配置以加密網關1 為例。 圖表 56 NAT環(huán)境網絡拓撲 系統(tǒng)配置 圖表 57 NAT模式－系統(tǒng)配置 NetKeeper2020II 縱向加密認證網關用戶手冊 41 網絡配置 圖表 58 NAT模式－網絡配置 路由配置 圖表 59 NAT模式 路由配置 隧道配置 圖表 60 NAT模式 隧道配置 地址轉化配置 需要配置兩條 NAT 規(guī)則，一條規(guī)則為地址偽裝規(guī)則，用于對本端發(fā)出去的報文進行地址偽裝匹配，另一條規(guī)則為端口映射規(guī)則，用于對端訪問本端內網提供的網絡服務。 1) 源地址轉化（地址偽裝）規(guī)則 NetKeeper2020II 縱向加密認證網關用戶手冊 42 圖表 61 NAT模式 源地址轉化配置 2) 目的地址轉化（端口映射）規(guī)則 圖表 62 目的地址轉換配置 NetKeeper2020II 縱向加密認證網關用戶手冊 43 策略配置 圖表 63 NAT模式 策 略配置 網橋模式配置 當加密網關具備多進多出功能時，需要對裝置的網橋模式進行配置。 典型拓撲 如下所示 ， 假設 加密網關 1 啟動網橋功能，策略配置以加密網關 1 為例。 1 9 2 . 1 6 8 . 0 . 11 9 2 . 1 6 8 . 0 . 21 9 2 . 1 6 8 . 0 . 31 0 . 1 4 4 . 9 8 . 11 9 2 . 1 6 8 . 0 . 41 9 2 . 1 6 8 . 0 . 41 0 . 1 4 4 . 9 8 . 2 5 21 0 . 1 4 4 . 9 8 . 2 5 2加 密 網 關 1加 密 網 關 2 圖表 64 網橋模式網絡拓撲圖 NetKeeper2020II 縱向加密認證網關用戶手冊 44 系統(tǒng)配置 圖表 65 網橋模式 系統(tǒng)配置 橋接配置 圖表 66 網橋模式 橋接接口配置 這里將裝置的 eth0、 eth eth2 劃分在一個橋接組 中，定義虛擬網卡名稱為 mybridge，保存后的界面如下圖 ，網卡 ID 是根據用戶選擇的各個網卡所得到的一個值 。 圖表 67 網橋模式 網橋配置 NetKeeper2020II 縱向加密認證網關用戶手冊 45 網絡配置 設置網絡接口為 BRIDGE，接口類型為 PRIVATE，接口描述為橋接配置中設置的虛擬網卡的名稱 mybridge； 將 eth3 設置為外網口并配置相應的 ip 地址 ，接口描述和類型 為 PUBLIC，具體配置界面如下圖所示： 圖表 68 網橋模式 內網網絡配置 圖表 69 網橋模式 外網網絡配置 圖表 70 網橋模式 網絡配置 NetKeeper2020II 縱向加密認證網關用戶手冊 46 路由配置 圖表 71 網橋模式 路由配置 路由接口選擇 eth3， 網關地址為 （圖中沒有看到） ， 由路由器完成不同網段之間的 數據 轉發(fā)。 隧道配置 圖表 72 網橋模式 隧道配置 NetKeeper2020II 縱向加密認證網關用戶手冊 47 策略配置 圖表 73 網橋模式 策略配置 配置相應的通信規(guī)則，將加密網關 1 內網側的通信機器的具體通信放開實現通信 上述為橋接模式 的配置策略且 內網側的機器都在同 一網段。當內網側 的機器不在同網段時可以分別選擇不同的網口作為內網口并設置相應的地址經由外網口路由發(fā)出，同樣可以實現多進多出的功能。 借用地址 配置 在實際的網絡接入環(huán)境中，用戶從 安全 考慮 將網絡地址子網掩碼設置為,共 4 個地址 ，如下圖所示。 由于網絡地址 、 廣播地址占用兩個地址 ， 所以加密網關沒有 辦法配置可用 的虛擬 地址 ，為此需要進行借用地址配置。 1 92 . 1 6 8. 0. 1/ 25 5. 2 55 . 2 5 5. 2 5 2 1 92 . 1 6 8. 0. 2/ 25 5. 2 55 . 2 5 5. 2 5 21 92 . 1 6 8. 0. 4/ 25 5. 2 55 . 2 5 5. 2 4 8 圖表 74 借用地址網絡拓撲 NetKeeper2020II 縱向加密認證網關用戶手冊 48 網絡配置 圖表 75 地址借用 網絡配置 ARP 代理 配置 圖表 76 地址借用 ARP 代理配置 ARP 代理作用就是裝置內網接口代理路由器地址 ,而外網接口代理交換機地址 .這樣裝置就能夠接收到兩側的報文。 MAC 地址 綁定配置 圖表 77 地址借用 ARP 綁定配置 MAC綁定的作用就是從裝置發(fā)出的報文通過 MAC綁定 ,在不發(fā)送 ARP地址請求的前提下進行報文的直接發(fā)送。 NetKeeper2020II 縱向加密認證網關用戶手冊 49 雙機配置 下圖為某現場的雙機工作網絡拓撲 ,雙機位于不同的網段 .同時要求雙機支持流量負載均衡 。 圖表 78 雙機工作拓撲圖 從上圖的配置可以看出此時裝置在 VLAN 環(huán)境下借用地址 ,并且支持雙機 . 雙機主備對等 ,所以其雙機配置一樣 . 網絡配置 圖表 79 雙機網絡配置 NetKeeper2020II 縱向加密認證網關用戶手冊 50 ARP 代理配置 圖表 80 雙機 ARP 代理配置 MAC 地址綁定配置 圖表 81 雙機 MAC 地址綁定配置 隧道配置 圖表 82 雙機隧道配置 5 系統(tǒng) 指標 硬件指標 外形：標準 1U 網絡接口 :7 個百兆網卡接口 外設接口： 1 個終端接口 (RS232) 電源接口：雙電源接口 規(guī)格： 材料：重負荷鋼 NetKeeper2020II 縱向加密認證網關用戶手冊 51 散熱：兩個 35 毫米的散熱風扇，帶空氣過濾網 指示器： LED 電源指示燈﹑安全隔離設備狀態(tài)指示燈﹑網絡適配器狀態(tài)指示燈 尺寸 (長寬高 ): 430 毫米 重量： 3 千克 電源 : 輸入電壓： 220V AC177。 20% 輸入頻率： 47～ 63HZ 電源功耗： 25W 平均無故障時間 (MTBF)60000 小時 (100%負荷 ) 工作環(huán)境 : 工作溫度： 10176。55176。 存儲溫度： 20176。80176。 工作濕度： 5～ 95%，非冷凝 存儲濕度： 5～ 95%，非冷凝 性能指標： 100M LAN 環(huán)境下，明文數據包吞吐量 95Mbps（ 100 條安全策略、 1024 字節(jié)報文長度） 100M LAN 環(huán)境下，密文數據包吞吐量 20Mbps（ 100 條安全策略、 1024 字節(jié)報文長度） 最大并發(fā)加密隧道數： 200 條 100M LAN 環(huán)境下，加密隧道建立延遲＜ 1s 數據包轉發(fā)延遲：＜ 2ms （ 50％密文數據包吞吐量） 滿負荷數據包丟棄率： 0 NetKeeper2020II 縱向加密認證網關用戶手冊 52 附錄 1:證書簽發(fā)說明（ ） 1. 將加密認證網關配套光盤證書文件下的 openssl 目錄放到 C:\Program Files\ 文件夾內。如下圖所示： 圖表 83 證書簽發(fā)工具結構 2. CA 目錄說明 CA 目錄存放 CA 的 證 書 與 私 鑰 ， 其 中 CA 證書 存儲在 C:\Program Files\openssl\CA\ 文件中， CA 公私 密鑰對加密 存儲 在 C: \Program Files\openssl \CA\private\ 文件中。 保護私鑰的通行碼為 123456。 3. 簽發(fā)證書 將加密網關的證書請求文件放在 C:\Program Files\openssl\CA\temp 目錄下并改名為，然后執(zhí)行 sign 腳本（在 Windows 命令行下運行），按照提示進行證書簽發(fā)。簽發(fā)完成的證書文件為 。 1) 運行 sign 腳本。 NetKeeper2020II 縱向加密認證網關用戶手冊 53 圖表 84 證書簽發(fā)腳本 2) 輸入證書驗證碼證書 在彈出的命令窗口中按照如下提示進行操作，其中 Enter pass phrase for 的口令為 123456。 圖表 85 證書簽發(fā) 3) 簽發(fā) 證書 在 Sign the certificate?〔 y/n〕命令行選 y； mit?〔 y/n〕命令行選 y,完成證書簽發(fā)工作。簽發(fā)完成的證書文件為 C:\Program Files\openssl\CA\temp\。 圖表 86 證書簽發(fā)成功 4) 最后的工作 將生成的 改名為需要的文件名（如 等），導入到與本設備通信的對端加密網關中。具體可以參考加密網關用戶手冊。 NetKeeper2020II 縱向加密認證網關用戶手冊 54 附錄 2:圖片列表 圖表 1 加密網關部署示意圖 .......................................................................................... 6 圖表 2 NetKeeper2020L 縱向加密認證網關 .............................................................. 7 圖表 3 加密認證網關硬件結構圖 .................................................................................. 7 圖表 4 加密網關配置軟件 .............................................................................................. 8 圖表 5 加密認證網關配置軟件啟動界面 .................................................................... 9 圖表 6 登陸界面 ............................................................................................................ 10 圖表 7 裝置的地址簿 ...................................................................... 錯誤 !未定義書簽。 圖表 8 用戶登陸 ...................................................