sjw07-a縱向加密裝置

1、電力二次系統(tǒng)安全防護(hù)縱向加密,,北京興唐縱向加密裝置SJW07-A,研制背景和意義,興唐加密裝置是電力二次系統(tǒng)安全防護(hù)體系中電力調(diào)度數(shù)據(jù)保密通信的專用密碼設(shè)備，是電力二次系統(tǒng)安全防護(hù)的核心設(shè)備。按照《電力系統(tǒng)專用縱向加密認(rèn)證裝置技術(shù)規(guī)范》的要求設(shè)計(jì)與研制。該裝置位于電力控制系統(tǒng)的內(nèi)部局域網(wǎng)與電力調(diào)度數(shù)據(jù)網(wǎng)絡(luò)的路由器之間，為電力通信提供安全可靠的服務(wù)。,基本工作原理,符合《IP加密認(rèn)證裝置技術(shù)規(guī)范v2.7.0》的功能要求和設(shè)備互聯(lián)

2、互通要求。協(xié)議處理依據(jù)業(yè)界普遍遵循的IPSec標(biāo)準(zhǔn)，密鑰管理采用公私鑰體制，采用國(guó)家密碼管理局批準(zhǔn)的密碼方案。 采用ESP隧道模式，不僅提供基本的數(shù)據(jù)加解密功能，而且提供數(shù)據(jù)包完整性認(rèn)證、IP地址封裝屏蔽、安全策略審查等安全功能。,密碼機(jī)(解密),密碼機(jī)的工作機(jī)制,信源(發(fā)送者),,密碼機(jī)(加密),,信宿(接收者),,,密鑰K,,,證書(shū)認(rèn)證,,加密技術(shù)原理,主要功能,IP層通信加密，符合IPSec，密文采用封裝安全載荷（ESP）；

3、一對(duì)多加密模式，適應(yīng)所有廣域網(wǎng)絡(luò)，擴(kuò)展性好，靈活性高；密鑰管理采用公私鑰體制，符合X.509標(biāo)準(zhǔn)，使用BASE-64編碼，由調(diào)度證書(shū)服務(wù)系統(tǒng)一簽發(fā)；可使用符合《電力系統(tǒng)專用縱向加密認(rèn)證裝置技術(shù)規(guī)范》要求的證書(shū)服務(wù)系統(tǒng)下發(fā)的數(shù)字證書(shū)和操作員卡；采用透明網(wǎng)橋模式，不影響原有網(wǎng)絡(luò)和終端設(shè)備的配置，系統(tǒng)擴(kuò)展性好支持雙機(jī)熱備功能；具有完善的自檢、聲光組合告警提示，以及自愈功能；具有完備的審計(jì)功能；支持本地設(shè)置和遠(yuǎn)程管理，并提供在線軟

4、升級(jí)和更換密鑰的功能；基于Windows圖形界面的專用配置管理軟件對(duì)設(shè)備進(jìn)行各類配置管理工作，界面友好，操作便捷；支持配置備份和恢復(fù)、軟件升級(jí)。,基本工作方式,透明網(wǎng)橋方式工作；只需一個(gè)IP地址，支持３０位掩碼（借用地址）；對(duì)密碼機(jī)進(jìn)行策略配置后，密碼機(jī)自動(dòng)進(jìn)行雙向認(rèn)證、密鑰協(xié)商，不需要管理中心的參與；建立加密隧道，局域網(wǎng)用戶不需要關(guān)心安全加密的技術(shù)細(xì)節(jié)，身份鑒別和信息加密過(guò)程始終是透明的，系統(tǒng)將針對(duì)IP包自動(dòng)進(jìn)行安全加密操作

5、；支持VLAN Trunk;支持VLAN與隧道綁定支持雙機(jī)熱備工作方式；支持基于加密隧道的明通功能，根據(jù)安全策略，可以對(duì)不同的隧道分別設(shè)置加密或明傳；為故障應(yīng)急處理，提供安全按鈕方式的硬旁路明通；可接受統(tǒng)一的裝置管理系統(tǒng)的遠(yuǎn)程監(jiān)控和管理。根據(jù)IP、端口號(hào)、協(xié)議等指定安全策略,網(wǎng)絡(luò)適應(yīng)性強(qiáng)作為內(nèi)嵌密碼模塊的雙網(wǎng)口透明網(wǎng)橋設(shè)備，對(duì)其他主機(jī)而言是透明的，只需占用一個(gè)IP地址，不影響原有網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，也無(wú)須更改網(wǎng)絡(luò)設(shè)備或局域網(wǎng)計(jì)算

6、機(jī)的設(shè)置，它所提供的密通道對(duì)局域網(wǎng)內(nèi)的計(jì)算機(jī)是透明的，這一特性極大地方便了最終用戶。 適應(yīng)802.1Q VLAN等網(wǎng)絡(luò)環(huán)境。,功能特點(diǎn),安全性—完善的自主安全防護(hù)措施物理鎖開(kāi)機(jī)毀鑰無(wú)論是在帶電工作或是不帶電的情況下，打開(kāi)機(jī)殼，密鑰都會(huì)被自動(dòng)銷毀，增強(qiáng)了系統(tǒng)的安全性。安全加固內(nèi)核修改了協(xié)議棧，對(duì)于網(wǎng)絡(luò)數(shù)據(jù)的處理完全可控。涉及的安全協(xié)議全部都是定制的，可以更有效地防御攻擊。毀鑰告警電源工業(yè)電源雙電源支持直流電源模塊

7、失效告警可在線熱替換，不中斷業(yè)務(wù)標(biāo)準(zhǔn)尺寸雙算法芯片冗余在密碼模塊的設(shè)計(jì)過(guò)程中，充分考慮了用戶潛在的提速和擴(kuò)容需求，賦予了密碼模塊良好的可擴(kuò)展性，支持兩塊SSX06算法芯片并行工作，使密碼模塊處理能力線性增加，可以保證系統(tǒng)平滑地提速和擴(kuò)容。兼顧性能和靈活性，可根據(jù)用戶要求選配單芯卡或雙芯卡。即使有一塊芯片不可用，并不妨礙另一塊芯片全速運(yùn)行。,支持雙機(jī)熱備支持雙機(jī)熱備運(yùn)行模式，即同一網(wǎng)點(diǎn)的兩臺(tái)縱向加密認(rèn)證裝置互為主備機(jī)，在出現(xiàn)鏈

8、路等故障時(shí)，主備機(jī)會(huì)快速自動(dòng)切換，保障通信連續(xù)性。從所保護(hù)的局域網(wǎng)中的通信機(jī)到本地接入路由器之間的路徑上，任何環(huán)節(jié)（包括設(shè)備或鏈路出現(xiàn)故障），設(shè)備都能正確識(shí)別，實(shí)現(xiàn)路徑切換。軟件和關(guān)鍵數(shù)據(jù)校驗(yàn)軟件設(shè)計(jì)軟件設(shè)計(jì)過(guò)程中，始終堅(jiān)持KISS（Keep It Simple, Stupid!）原則，避免復(fù)雜性以增強(qiáng)可靠性。防御性軟件設(shè)計(jì)，有效防止緩沖區(qū)溢出。堅(jiān)持最小權(quán)限原則，只允許核心模塊擁有超級(jí)用戶權(quán)限。,硬件看門狗硬件故障時(shí)能夠自動(dòng)

9、重啟，無(wú)需人工干預(yù)；軟件失效監(jiān)控監(jiān)控進(jìn)程負(fù)責(zé)對(duì)密碼模塊、遠(yuǎn)程管理進(jìn)程和密鑰同步進(jìn)程等進(jìn)行監(jiān)控，一旦發(fā)現(xiàn)異常情況，監(jiān)控進(jìn)程將予以審計(jì)記錄，同時(shí)嘗試進(jìn)行修復(fù)。失效告警電源失效，聲光告警算法芯片失效，聲光告警關(guān)鍵部件失效，聲光告警網(wǎng)口連接故障，聲光告警其他告警,,CA系統(tǒng)及證書(shū)簽發(fā),,,,,,加密隧道的建立,1,2,3,4,加密裝置的配置內(nèi)容,導(dǎo)出證書(shū)請(qǐng)求簽發(fā)證書(shū)拓?fù)浞治鲞x擇相應(yīng)的配置方法配置網(wǎng)絡(luò)設(shè)置導(dǎo)入證書(shū)添加隧

10、道添加策略明通、密通配置,導(dǎo)出證書(shū)請(qǐng)求,當(dāng)密碼機(jī)處在出廠態(tài)和初始態(tài)時(shí)，采用向?qū)匠跏蓟鞒?導(dǎo)出證書(shū)請(qǐng)求,產(chǎn)生證書(shū)請(qǐng)求后，點(diǎn)擊按鈕“下一步”，彈出“導(dǎo)出設(shè)備證書(shū)請(qǐng)求”，證書(shū)請(qǐng)求采用X.509格式，使用BASE-64編碼，后綴為*.pem。,拓?fù)浞治?分析本地密碼機(jī)的接入方式本地保護(hù)機(jī)的地址范圍目的保護(hù)機(jī)的地址范圍目的密碼機(jī)的接入方式業(yè)務(wù)數(shù)據(jù)傳輸協(xié)議業(yè)務(wù)數(shù)據(jù)是否明通或密通通信,接入前環(huán)境調(diào)查注意事項(xiàng),了解接入位置的連接方式

11、也就是路由器與交換機(jī)的連接方式，在一般的環(huán)境下，我們分為兩種情況：1、普通的二層或三層接入2、Trunk封裝接入Trunk封裝接入了解Trunk上一共跑了多少個(gè)Vlan、各Vlan號(hào)、各Vlan的掩碼位數(shù)（如存在30位掩碼，加密機(jī)只能借用交換機(jī)的地址）、業(yè)務(wù)系統(tǒng)屬于那個(gè)Vlan、是否使用802.1Q協(xié)議封裝、傳輸時(shí)Vlan標(biāo)簽有否被剝離（例如Vlan 1，多數(shù)品牌的交換機(jī)的Vlan 1都默認(rèn)為不帶標(biāo)簽，所以一般禁止

12、使用Vlan 1）。使用哪個(gè)廠家的路由器及交換機(jī)這里特意提到思科的交換機(jī)，目前思科的主流交換機(jī)，每開(kāi)啟一個(gè)Vlan時(shí)都會(huì)同時(shí)打開(kāi)一個(gè)歸屬于這個(gè)Vlan的生成樹(shù)，如果遇到30位掩碼的Vlan時(shí)，在設(shè)備接入后，很有可能被生成樹(shù)檢測(cè)到IP沖突，從而將交換機(jī)的出口端口關(guān)閉，這樣會(huì)使得交換機(jī)與上層斷開(kāi)連接。路由器和交換機(jī)上有沒(méi)有配置控制訪問(wèn)列表阻礙設(shè)備接入需通往哪里、需通什么業(yè)務(wù)、對(duì)端加密機(jī)部署狀態(tài),部署方案1－普通二層接入,部署方案

13、2－封裝接入（兩個(gè)都不借）,部署方案3－封裝接入（一個(gè)借一個(gè)不借）,部署方案4－封裝接入（兩個(gè)都借）,各環(huán)境歸總及配置細(xì)節(jié)與區(qū)別,一、普通的二層或三層接入只配一個(gè)IP地址，最多再配下路由，不需要陪Vlan及MAC。二、Trunk封裝接入（這里假設(shè)Trunk上跑了兩個(gè)Vlan）1、兩個(gè)都不借用地址（兩個(gè)Vlan都不為30位掩碼）：IP設(shè)置為業(yè)務(wù)Vlan的地址，不啟用虛擬IP；配置VLAN，啟用VLAN，裝置屬于業(yè)務(wù)VLAN

14、，不啟用ARP，交換機(jī)IP不設(shè)置；不配MAC。2、一個(gè)借一個(gè)不借（其中一個(gè)Vlan為30位掩碼）： IP設(shè)置為業(yè)務(wù)Vlan的地址，啟用虛擬IP；配置VLAN，啟用VLAN，裝置屬于業(yè)務(wù)VLAN，非借用地址VLAN（一般為業(yè)務(wù)Vlan）啟用ARP；配置MAC，路由器MAC綁業(yè)務(wù)VLAN網(wǎng)關(guān)MAC，交換機(jī)MAC綁加密機(jī)的MAC。3、兩個(gè)都借（兩個(gè)Vlan都為30位掩碼） ： IP設(shè)置為業(yè)務(wù)Vlan的地址，啟用虛擬IP；配置VLA

15、N，啟用VLAN，裝置屬于業(yè)務(wù)VLAN，不啟用ARP；配置MAC，路由器MAC綁業(yè)務(wù)VLAN網(wǎng)關(guān)MAC，交換機(jī)MAC綁業(yè)務(wù)VLAN的MAC。,兩個(gè)都不借配置細(xì)節(jié)1,IP設(shè)置為業(yè)務(wù)Vlan的地址，不啟用虛擬IP。,兩個(gè)都不借配置細(xì)節(jié)2,配置VLAN，啟用VLAN，裝置屬于業(yè)務(wù)VLAN，不啟用ARP，交換機(jī)IP不設(shè)置。,一個(gè)借一個(gè)不借配置細(xì)節(jié)1,IP設(shè)置為業(yè)務(wù)Vlan的地址，啟用虛擬IP。,一個(gè)借一個(gè)不借配置細(xì)節(jié)2,配置VLAN，啟用VLA

16、N，裝置屬于業(yè)務(wù)VLAN，非借用地址VLAN（一般為業(yè)務(wù)Vlan）啟用ARP。,一個(gè)借一個(gè)不借配置細(xì)節(jié)3,配置MAC，路由器MAC綁業(yè)務(wù)VLAN網(wǎng)關(guān)MAC，交換機(jī)MAC綁加密機(jī)的MAC。,兩個(gè)都借配置細(xì)節(jié)1,IP設(shè)置為業(yè)務(wù)Vlan的地址，啟用虛擬IP。,兩個(gè)都借配置細(xì)節(jié)2,配置VLAN，啟用VLAN，裝置屬于業(yè)務(wù)VLAN，不啟用ARP；,兩個(gè)都借配置細(xì)節(jié)3,配置MAC，路由器MAC綁業(yè)務(wù)VLAN網(wǎng)關(guān)MAC，交換機(jī)MAC綁業(yè)務(wù)VLAN（交

17、換機(jī)本身）的MAC。,導(dǎo)入證書(shū),分別導(dǎo)入根證書(shū)、管理中心證書(shū)（IP）、對(duì)機(jī)證書(shū)（IP）,添加隧道,根據(jù)對(duì)機(jī)證書(shū)添加隧道,添加隧道,隧道添加成功后主界面就會(huì)有相應(yīng)的隧道狀態(tài)顯示,如果隧道是打開(kāi)狀態(tài)的話,說(shuō)明與對(duì)方密碼機(jī)的連接成功。,,添加隧道,根據(jù)本地保護(hù)地址和目的保護(hù)地址進(jìn)行添加策略。根據(jù)用戶要求配置明通通信，還是密通通信。,謝 謝！,地址：珠海市唐家大學(xué)路101號(hào)清華科技園創(chuàng)業(yè)大樓A座606電話: (0756) 3612098（8