sjw07-a縱向加密裝置

1、電力二次系統(tǒng)安全防護縱向加密,,北京興唐縱向加密裝置SJW07-A,研制背景和意義,興唐加密裝置是電力二次系統(tǒng)安全防護體系中電力調(diào)度數(shù)據(jù)保密通信的專用密碼設備，是電力二次系統(tǒng)安全防護的核心設備。按照《電力系統(tǒng)專用縱向加密認證裝置技術(shù)規(guī)范》的要求設計與研制。該裝置位于電力控制系統(tǒng)的內(nèi)部局域網(wǎng)與電力調(diào)度數(shù)據(jù)網(wǎng)絡的路由器之間，為電力通信提供安全可靠的服務。,基本工作原理,符合《IP加密認證裝置技術(shù)規(guī)范v2.7.0》的功能要求和設備互聯(lián)

2、互通要求。協(xié)議處理依據(jù)業(yè)界普遍遵循的IPSec標準，密鑰管理采用公私鑰體制，采用國家密碼管理局批準的密碼方案。 采用ESP隧道模式，不僅提供基本的數(shù)據(jù)加解密功能，而且提供數(shù)據(jù)包完整性認證、IP地址封裝屏蔽、安全策略審查等安全功能。,密碼機(解密),密碼機的工作機制,信源(發(fā)送者),,密碼機(加密),,信宿(接收者),,,密鑰K,,,證書認證,,加密技術(shù)原理,主要功能,IP層通信加密，符合IPSec，密文采用封裝安全載荷（ESP）；

3、一對多加密模式，適應所有廣域網(wǎng)絡，擴展性好，靈活性高；密鑰管理采用公私鑰體制，符合X.509標準，使用BASE-64編碼，由調(diào)度證書服務系統(tǒng)一簽發(fā)；可使用符合《電力系統(tǒng)專用縱向加密認證裝置技術(shù)規(guī)范》要求的證書服務系統(tǒng)下發(fā)的數(shù)字證書和操作員卡；采用透明網(wǎng)橋模式，不影響原有網(wǎng)絡和終端設備的配置，系統(tǒng)擴展性好支持雙機熱備功能；具有完善的自檢、聲光組合告警提示，以及自愈功能；具有完備的審計功能；支持本地設置和遠程管理，并提供在線軟

4、升級和更換密鑰的功能；基于Windows圖形界面的專用配置管理軟件對設備進行各類配置管理工作，界面友好，操作便捷；支持配置備份和恢復、軟件升級。,基本工作方式,透明網(wǎng)橋方式工作；只需一個IP地址，支持３０位掩碼（借用地址）；對密碼機進行策略配置后，密碼機自動進行雙向認證、密鑰協(xié)商，不需要管理中心的參與；建立加密隧道，局域網(wǎng)用戶不需要關(guān)心安全加密的技術(shù)細節(jié)，身份鑒別和信息加密過程始終是透明的，系統(tǒng)將針對IP包自動進行安全加密操作

5、；支持VLAN Trunk;支持VLAN與隧道綁定支持雙機熱備工作方式；支持基于加密隧道的明通功能，根據(jù)安全策略，可以對不同的隧道分別設置加密或明傳；為故障應急處理，提供安全按鈕方式的硬旁路明通；可接受統(tǒng)一的裝置管理系統(tǒng)的遠程監(jiān)控和管理。根據(jù)IP、端口號、協(xié)議等指定安全策略,網(wǎng)絡適應性強作為內(nèi)嵌密碼模塊的雙網(wǎng)口透明網(wǎng)橋設備，對其他主機而言是透明的，只需占用一個IP地址，不影響原有網(wǎng)絡拓撲結(jié)構(gòu)，也無須更改網(wǎng)絡設備或局域網(wǎng)計算

6、機的設置，它所提供的密通道對局域網(wǎng)內(nèi)的計算機是透明的，這一特性極大地方便了最終用戶。 適應802.1Q VLAN等網(wǎng)絡環(huán)境。,功能特點,安全性—完善的自主安全防護措施物理鎖開機毀鑰無論是在帶電工作或是不帶電的情況下，打開機殼，密鑰都會被自動銷毀，增強了系統(tǒng)的安全性。安全加固內(nèi)核修改了協(xié)議棧，對于網(wǎng)絡數(shù)據(jù)的處理完全可控。涉及的安全協(xié)議全部都是定制的，可以更有效地防御攻擊。毀鑰告警電源工業(yè)電源雙電源支持直流電源模塊

7、失效告警可在線熱替換，不中斷業(yè)務標準尺寸雙算法芯片冗余在密碼模塊的設計過程中，充分考慮了用戶潛在的提速和擴容需求，賦予了密碼模塊良好的可擴展性，支持兩塊SSX06算法芯片并行工作，使密碼模塊處理能力線性增加，可以保證系統(tǒng)平滑地提速和擴容。兼顧性能和靈活性，可根據(jù)用戶要求選配單芯卡或雙芯卡。即使有一塊芯片不可用，并不妨礙另一塊芯片全速運行。,支持雙機熱備支持雙機熱備運行模式，即同一網(wǎng)點的兩臺縱向加密認證裝置互為主備機，在出現(xiàn)鏈

8、路等故障時，主備機會快速自動切換，保障通信連續(xù)性。從所保護的局域網(wǎng)中的通信機到本地接入路由器之間的路徑上，任何環(huán)節(jié)（包括設備或鏈路出現(xiàn)故障），設備都能正確識別，實現(xiàn)路徑切換。軟件和關(guān)鍵數(shù)據(jù)校驗軟件設計軟件設計過程中，始終堅持KISS（Keep It Simple, Stupid!）原則，避免復雜性以增強可靠性。防御性軟件設計，有效防止緩沖區(qū)溢出。堅持最小權(quán)限原則，只允許核心模塊擁有超級用戶權(quán)限。,硬件看門狗硬件故障時能夠自動

9、重啟，無需人工干預；軟件失效監(jiān)控監(jiān)控進程負責對密碼模塊、遠程管理進程和密鑰同步進程等進行監(jiān)控，一旦發(fā)現(xiàn)異常情況，監(jiān)控進程將予以審計記錄，同時嘗試進行修復。失效告警電源失效，聲光告警算法芯片失效，聲光告警關(guān)鍵部件失效，聲光告警網(wǎng)口連接故障，聲光告警其他告警,,CA系統(tǒng)及證書簽發(fā),,,,,,加密隧道的建立,1,2,3,4,加密裝置的配置內(nèi)容,導出證書請求簽發(fā)證書拓撲分析選擇相應的配置方法配置網(wǎng)絡設置導入證書添加隧

10、道添加策略明通、密通配置,導出證書請求,當密碼機處在出廠態(tài)和初始態(tài)時，采用向?qū)匠跏蓟鞒?導出證書請求,產(chǎn)生證書請求后，點擊按鈕“下一步”，彈出“導出設備證書請求”，證書請求采用X.509格式，使用BASE-64編碼，后綴為*.pem。,拓撲分析,分析本地密碼機的接入方式本地保護機的地址范圍目的保護機的地址范圍目的密碼機的接入方式業(yè)務數(shù)據(jù)傳輸協(xié)議業(yè)務數(shù)據(jù)是否明通或密通通信,接入前環(huán)境調(diào)查注意事項,了解接入位置的連接方式

11、也就是路由器與交換機的連接方式，在一般的環(huán)境下，我們分為兩種情況：1、普通的二層或三層接入2、Trunk封裝接入Trunk封裝接入了解Trunk上一共跑了多少個Vlan、各Vlan號、各Vlan的掩碼位數(shù)（如存在30位掩碼，加密機只能借用交換機的地址）、業(yè)務系統(tǒng)屬于那個Vlan、是否使用802.1Q協(xié)議封裝、傳輸時Vlan標簽有否被剝離（例如Vlan 1，多數(shù)品牌的交換機的Vlan 1都默認為不帶標簽，所以一般禁止

12、使用Vlan 1）。使用哪個廠家的路由器及交換機這里特意提到思科的交換機，目前思科的主流交換機，每開啟一個Vlan時都會同時打開一個歸屬于這個Vlan的生成樹，如果遇到30位掩碼的Vlan時，在設備接入后，很有可能被生成樹檢測到IP沖突，從而將交換機的出口端口關(guān)閉，這樣會使得交換機與上層斷開連接。路由器和交換機上有沒有配置控制訪問列表阻礙設備接入需通往哪里、需通什么業(yè)務、對端加密機部署狀態(tài),部署方案1－普通二層接入,部署方案

13、2－封裝接入（兩個都不借）,部署方案3－封裝接入（一個借一個不借）,部署方案4－封裝接入（兩個都借）,各環(huán)境歸總及配置細節(jié)與區(qū)別,一、普通的二層或三層接入只配一個IP地址，最多再配下路由，不需要陪Vlan及MAC。二、Trunk封裝接入（這里假設Trunk上跑了兩個Vlan）1、兩個都不借用地址（兩個Vlan都不為30位掩碼）：IP設置為業(yè)務Vlan的地址，不啟用虛擬IP；配置VLAN，啟用VLAN，裝置屬于業(yè)務VLAN

14、，不啟用ARP，交換機IP不設置；不配MAC。2、一個借一個不借（其中一個Vlan為30位掩碼）： IP設置為業(yè)務Vlan的地址，啟用虛擬IP；配置VLAN，啟用VLAN，裝置屬于業(yè)務VLAN，非借用地址VLAN（一般為業(yè)務Vlan）啟用ARP；配置MAC，路由器MAC綁業(yè)務VLAN網(wǎng)關(guān)MAC，交換機MAC綁加密機的MAC。3、兩個都借（兩個Vlan都為30位掩碼） ： IP設置為業(yè)務Vlan的地址，啟用虛擬IP；配置VLA

15、N，啟用VLAN，裝置屬于業(yè)務VLAN，不啟用ARP；配置MAC，路由器MAC綁業(yè)務VLAN網(wǎng)關(guān)MAC，交換機MAC綁業(yè)務VLAN的MAC。,兩個都不借配置細節(jié)1,IP設置為業(yè)務Vlan的地址，不啟用虛擬IP。,兩個都不借配置細節(jié)2,配置VLAN，啟用VLAN，裝置屬于業(yè)務VLAN，不啟用ARP，交換機IP不設置。,一個借一個不借配置細節(jié)1,IP設置為業(yè)務Vlan的地址，啟用虛擬IP。,一個借一個不借配置細節(jié)2,配置VLAN，啟用VLA

16、N，裝置屬于業(yè)務VLAN，非借用地址VLAN（一般為業(yè)務Vlan）啟用ARP。,一個借一個不借配置細節(jié)3,配置MAC，路由器MAC綁業(yè)務VLAN網(wǎng)關(guān)MAC，交換機MAC綁加密機的MAC。,兩個都借配置細節(jié)1,IP設置為業(yè)務Vlan的地址，啟用虛擬IP。,兩個都借配置細節(jié)2,配置VLAN，啟用VLAN，裝置屬于業(yè)務VLAN，不啟用ARP；,兩個都借配置細節(jié)3,配置MAC，路由器MAC綁業(yè)務VLAN網(wǎng)關(guān)MAC，交換機MAC綁業(yè)務VLAN（交

17、換機本身）的MAC。,導入證書,分別導入根證書、管理中心證書（IP）、對機證書（IP）,添加隧道,根據(jù)對機證書添加隧道,添加隧道,隧道添加成功后主界面就會有相應的隧道狀態(tài)顯示,如果隧道是打開狀態(tài)的話,說明與對方密碼機的連接成功。,,添加隧道,根據(jù)本地保護地址和目的保護地址進行添加策略。根據(jù)用戶要求配置明通通信，還是密通通信。,謝 謝！,地址：珠海市唐家大學路101號清華科技園創(chuàng)業(yè)大樓A座606電話: (0756) 3612098（8