联想网御 网闸技术宝典

1、联想网御网闸技术宝典联想网御网闸技术宝典作者：王义成完稿时间：2009 年 1 月 21 日版本：V1.0联想网御科技（北京）有限公司1联想网御网闸技术宝典声明s 本手册所含内容若有任何改动，恕不另行通知。s 在法律法规的最大允许范围内，联想网御科技（北京）有限公司除就本手册和产品应负的瑕疵担保责任外，无论明示或默示，不作其它任何担保，包括（但不限于）本手册中推荐使用产品的适用性和安全性、产品的适销性和适合某特定用途的担保。s 在法律法规的最大允许范围内，联想网御科技（北京）有限公司对于您的使用或不能使用本产品而发生的任何损坏（包括，但不限于直接或间接的个人损害、商业利润的损失、业务中断、商业

2、信息的遗失或任何其它损失），不负任何赔偿责任。s 本手册含受版权保护的信息，未经联想网御科技（北京）有限公司书面允许不得对本手册的任何部分进行影印、复制或翻译。联想网御科技（北京）有限公司中国北京海淀区中关村南大街 6 号中电信息大厦 8 层联想网御科技（北京）有限公司2联想网御网闸技术宝典章节目录章节目录.3第 1 章前言.41.1导言.41.2本书适用对象.41.3本书适合的产品.41.4相关参考手册.4第 2 章工作原理.52.1硬件结构.52.2软件结构.62.2.1工作原理.62.2.2适用场合.82.2.3访问模式.82.3功能模块.92.3.1交换类.92.3.2访问类.102.

3、3.3 HA 模块.112.3.4安全通道.12第 3 章故障排除.133.1提前准备.133.2一般步骤.133.2.1物理环境检查.133.2.2连通性检查.143.2.3资源存在性检查.143.2.4案例分析.143.3寻求支持.153.4抓包分析.153.4.1格式说明.153.4.2网卡、主机、协议及端口等参数.163.4.3逻缉运算符.163.4.4抓包长度、抓包个数、保存文件参数.163.4.5将抓包文件传回 ethereal 分析.163.4.6及时清理抓包现场.16第 4 章常见问题解答.174.1无客户端文件交换.174.2有客户端文件交换.174.3数据库同步.184.4

4、安全浏览.254.5 FTP 访问.254.6邮件传输.264.7数据库传输.264.8定制访问.27联想网御科技（北京）有限公司3联想网御网闸技术宝典4.9 安全通道274.10 HA284.11 统一用户认证284.12 其他28联想网御科技（北京）有限公司4联想网御网闸技术宝典第 1 章前言1.1 导言网闸技术宝典是联想网御 SIS 安全隔离与信息交换系统技术支持手册中的一本。该手册介绍了网闸基本技术原理、常见问题解答及技术故障排除指南等。1.2 本书适用对象本手册适用于负责支持、维护 SIS 网闸的技术支持人员，是对联想网御 SIS 安全隔离网闸进行软件故障排查时的必备手册。使用本手册

5、的读者，应掌握 TCP/IP 协议，IP 地址及子网掩码等基本知识；同时，也应掌握常见网络应用服务(如：HTTP、FTP、SMTP、POP3、Oracle、Sql Server 等等)的工作原理和使用方法等。1.3 本书适合的产品本书适合联想网御 SIS 安全隔离与信息交换系统系列产品，以后简称“联想网御 SIS 安全隔离网闸”，俗称“网闸”，不再说明。1.4 相关参考手册联想网御 SIS 安全隔离与信息交换系统 WEB 界面操作手册、联想网御 SIS 安全隔离与信息交换系统数据库同步客户端操作手册、带客户端文件交换用户使用手册等。第 2 章工作原理2.1 硬件结构联想网御 SIS-3000

6、系列安全隔离与信息交换系统硬件架构采用“2+1”模型结构设计，即内网主机系统、外网主机系统加上隔离交换矩阵。内外主机系统采用专有工控主板设计，性能稳定、质量可靠，隔离交换矩阵采用专有硬件交换电路设计的双通道隔离交换模块，隔离交换模块拥有完全的自主知识产权。隔离交换模块基于专有的 Leadsec ASIC 安全隔离芯片和交换芯片，是内外网主机系统唯一的连接部件，因此内外主机系统之间不存在任何网络设备连接。其中，Leadsec ASIC 安全隔离芯片通过多线程并行固化处理将数据块转化为自有协议格式的数据包，交换芯片的交换子系统和开联想网御科技（北京）有限公司5联想网御网闸技术宝典关控制子系统实现对

7、数据的临时缓存和安全交换。网闸产品示意图如下：硬件架构原理图如下：联想网御 SIS-3000 系列安全隔离与信息交换系统硬件架构原理图通过交换芯片的开关控制子系统，隔离交换模块首先断开彼此之间的物理连接，分别通过 ASIC 芯片连接内外网主机系统，内外网主机系统通过 ASIC 芯片将数据块封装为自有协议格式写入交换芯片的交换子系统和/或通过 ASIC 芯片读出交换子系统缓存将自有协议格式数据拆封为数据块，完成一次摆渡；然后隔离交换模块通过开关控制子系统断开与内外网主机系统的连接，彼此之间建立连接，自动进行协商，实现数据交换，完成二次摆渡。通过这种双摆渡技术，内外网络永远不会直接连接，由于采用专

8、门设计的硬件隔离交换模块进行数据交换，没有任何管理接口，因此，内外网主机系统之间无法进行基于网络协议的数据交换，从而从硬件层面保证了内外网主机系统之间的安全隔离。隔离交换模块具有独立的硬件交换控制逻辑，无 OS 及任何“软”控制，自主完成数据的交换，主机系统只负责把数据块传递到隔离交换模块，由隔离交换模块根据硬件控制逻辑自动完成自有协议的封装和数据交换，自动同步两侧控制逻辑，进行互斥的读写操作，同时还具有自动数据完整性校验，当发现数据错误时，自动重传，保证数据的完全正确，从而实现内外网主机系统真正的物理隔离交换。联想网御科技（北京）有限公司6联想网御网闸技术宝典2.2 软件结构2.2.1工作原

9、理安全隔离与信息网闸采用“代理安全隔离”机制，实现网络隔离、协议落地，通过对应用协议解析和数据的还原，具有对应用层数据进行强制检查、内容过滤和访问控制。安全隔离技术的工作原理是使用带有多种控制功能的固态开关读写介质连接两个独立的主机系统，模拟人工在两个隔离网络之间的信息交换。其本质在于：两个独立主机系统之间，不存在通信的物理连接和逻辑连接，不存在依据 TCP/IP 协议的信息包转发，只有格式化数据块的无协议“摆渡”。 被隔离网络之间的数据传递方式采用完全的私有方式，不具备任何通用性。安全隔离与信息交换系统两侧网络之间所有的 TCP/IP 连接在其主机系统上都要进行完全的应用协议还原，还原后的应

10、用层信息根据用户的策略进行强制检查后，以格式化数据块的方式通过隔离交换矩阵进行单向交换，在另外一端的主机系统上通过自身建立的安全会话进行最终的数据通信，即实现“协议落地、内容检测”。这样，既从物理上隔离、阻断了具有潜在攻击可能的一切连接，又进行了强制内容检测，从而实现最高级别的安全。协议分析原理图如下：协议分析内容检查服务服务内自有协议外ApplicationApplicationApplicationApplication部部PresentationPresentationPresentationPresentation主主机SessionSession隔离交换机DoSSessionSess

11、ion模块TransportTransportTransportTransportNetworkNetworkPortNetworkNetworkDataData LinkLinkIPDataData LinkLinkPhysicalPhysicalMACPhysicalPhysicalSocket会话Socket会话不可信网工作原理示意图如下：联想网御科技（北京）有限公司7联想网御网闸技术宝典图 网闸工作原理示意图特点：1) TCP/IP 会话阻断；2) 子网 1 中的访问客户端只能连接“网闸客户端（与外部客户端相连的网闸主机系统）”；2.2.2适用场合由于网闸设备最大的特性是网络隔离与协议

12、落地，而确保被隔离网络之间通信的安全性是其核心目标。与防火墙等网络设备相比，其安全性更高，而性能相对不足。根据以上特点，我们推荐以下用法：n 子网中核心数据服务器的访问保护：根据应用协议的不同采用相应的功能模块，如数据库服务器、WEB 服务器、邮件服务器、FTP 服务器等；n 不同密级网络之间的数据迁移，即：不同网络的数据不允许直接传输，只能通过网闸主动转移，换言之，数据的转移是“被动的”；n 网络之间不允许直接访问，必须被隔离；n 针对具体应用协议，要求对协议内容进行过滤；不适合用法：n 大中型子网边界，其往往对网络流量要求很高；n 对数据转发的性能（包括带宽、并发、吞吐等）要求很高；n 不

13、支持广播包（包括多播、组播）穿越网闸；n 特殊应用协议：1) 部分动态应用协议；2) 部分不支持类似 NAT 穿越的应用协议；联想网御科技（北京）有限公司8联想网御网闸技术宝典特别指出：在要求双机热备、负载均衡的网络部署中，网闸的部署模式不支持“全交叉”模式（该模式常用于交换机），这是由网闸工作原理所决定的。2.2.3访问模式“访问类”功能是网闸的主要应用之一，根据外部应用客户端跨网闸访问“目的服务器地址”的不同，分为“透明访问”、“普通访问”两种模式。两种应用模式具体的比较如下：透明访问普通访问含义外部客户端，“无视”网闸的存在，外部客户端通过访问相连网直接访问网闸另一侧的真实服务器闸地址，

14、再由网闸连接真实服地址；务器；原理区别两者相同两者相同配置区别1）只需配置网闸客户端任务，无需必须同时配置网闸客户端、服配置网闸服务端任务；务端任务，且对应任务之间的2）客户端添加一条路由，指向网闸； 任务号必须相同；访问目的地址网闸另一侧的真实服务器地址与客户端相连一侧的网闸地址网闸两侧网络支持支持地址同网段网闸两侧网络支持支持地址不同网段双机热备支持支持负载均衡不支持支持2.3 功能模块根据功能应用、配置的不同，网闸功能模块主要分成两大类：交换类、访问类。n 交换类交换类功能主要应用于“数据服务器（文件服务器、数据库服务器）之间”的数据交换，包括“文件交换”、“数据库同步”两个模块。n 访

15、问类访问类功能则主要应用于“客户端、服务器模式（B/S 和 C/S）”的数据访问，包括安全浏览、 FTP 访问、数据库访问、邮件访问、定制访问等5 个模块。2.3.1交换类交换类模块包括文件交换、数据库同步两个模块。其核心功能在于把一侧服务器中的数据同联想网御科技（北京）有限公司9联想网御网闸技术宝典步到另一侧服务器中，使两侧的服务器保持数据同步。交换类原理示意图如下：图 网闸交换类原理图1. 数据处理流程如上图所示，与源服务器（如子网 1 中的服务器）相连的网闸主机系统称为“网闸客户端”，与目的服务器（子网 2 中的服务器）相连的网闸主机系统称为“网闸服务端”。一般来说（文件交换客户端版本除

16、外），基本数据处理流程如下：1) 数据采集：由网闸客户端主动采集指定源服务器的数据；2) 内容检查：检查原始用户数据的内容；3) 访问控制：若内容检查通过，则转入下一步，否则丢弃数据；4) 数据重组：将允许通过的数据格式转换成内部专用格式；5) 数据摆渡：通过安全隔离模块，将重组后的内部数据“摆渡”到“网闸服务端”；6) 数据还原：还原“网闸客户端”发送过来的内部数据；7) 数据发布：将还原的数据发布到子网 2 的指定目的服务器；以上步骤中，第 15 步在“网闸客户端”中完成，第 67 步在“网闸服务端”完成。2. 软件配置对于交换类功能模块，配置网闸软件系统时，需要分别配置“网闸客户端”、“

17、网闸服务端”的任务，并且相应的“任务号”要求一致。2.3.2访问类访问类模块包括安全浏览、FTP 访问、数据库传输、邮件传输、定制访问（TCP/UDP）等五个模块。此时网闸常部署在客户端与服务器之间，用于保护核心服务器的访问安全、数据安全。原理示意图如下：联想网御科技（北京）有限公司10联想网御网闸技术宝典访问访问问访图 网闸访问类原理示意图1. 数据处理流程如上图所示，基本数据处理流程如下：1) 客户端首先连接“网闸客户端”，并发送访问请求；2) 网闸客户端收到客户端的连接请求后，分析其请求的合法性；3) 若该请求合法，则将请求数据包转换成内部专用格式；4) 通过安全隔离模块，摆渡转换后的请

18、求数据包；5) 网闸服务端收到摆渡过来的内部请求数据包后，向同侧的真实服务器发起连接请求；6) 真实服务器相应网闸服务端的请求，并回复数据；7) 网闸服务端收到服务器返回的数据，通过安全隔离模块摆渡到网闸客户端；8) 网闸客户端根据访问控制规则，检查数据内容，若允许则发送给访问客户端，否则丢弃。2. 透明访问原理访问类模块中包含“透明访问”、“普通访问”两种模式。从工作原理角度看，两种模式没有区别，即都具备网络隔离、协议落地、内容检查等。唯一不同的是，在应用部署（配置）方面有区别：1) 透明访问：l 客户端访问目的地址为真实的服务器地址，而非网闸的地址；l 客户端地址与真实服务器地址不同网段时

19、，在客户端中增加一条路由；l 透明访问模式支持同网段模式（确切地说，网闸客户端入口地址与网址服务端出口地址同网段，即网闸两侧网口地址同网段），同时在该应用方式下，在网闸客户端网口中配置一个对端同 IP 的地址；2) 普通访问：（略，参见 3.2.3 节）2.3.3HA 模块1. 双机热备联想网御科技（北京）有限公司11联想网御网闸技术宝典双机热备，是指一台设备正常工作，另外一台设备通过心跳线监控其运行状态，当发生死机/掉电，网口掉线等问题时，从机自动接替主机的工作。工作原理图如下：线跳心网内线跳心网外由于网闸是 2+1 的结构，每台网闸内部实际是两台主机，所以，会有两条心跳线，分别监控对方对应

20、的主机。如上图，如果主闸的内网主机出现问题，从闸的内网主机会通过心跳线发现问题，主闸的外网主机也会通过内部的交换信息发现对端出了问题，它会自动把自己变成从闸状态，同时通过心跳线通知从闸的外网主机。对交换类的功能，双机热备状态下，只有主闸在进行交换的工作，从闸进程处于睡眠状态，当切换后，从闸进程才开始工作，主闸进程进入睡眠状态。对访问类的功能，双机热备是基于虚拟 IP 的工作原理，两台热备的机器共享一个虚拟 IP，主闸响应虚拟 IP 的请求，当主闸异常，从闸接管主闸运行时，从闸开始响应虚拟IP 的请求，切换过程从闸备会自动刷新客户端相邻主机的arp 表，保证从闸切换的瞬间开始，新的数据包会送到新

21、的主闸来。如果访问是双向的，那么需要在两端都要配置虚拟IP，以响应两端的访问。由于网闸是应用层设备，应用层的会话信息无法实现同步，所以在切换的瞬间，当前的 TCP 会话会中断，但新的会话立即可以建立，网络中断的时间在1-2s 中。2. 负载均衡由于网闸是应用层设备，在性能上存在天然的瓶颈，负载均衡就变得更加重要，联想网御网闸最多可以实现 16 台设备的负载均衡。联想网御科技（北京）有限公司12联想网御网闸技术宝典内 主设备 外网交换 网内网心外网心跳跳从设备内外网交换 网内 从设备 外网交换 网对交换类的功能，以现在的工作原理，源和目的主机不会允许两个进程写同一个文件，而网闸无法知道伙伴网闸的

22、进程情况，无法协调两个进程的工作，所以现在不支持文件交换的负载均衡。对访问类的功能，在一组负载均衡的设备中，两台设备共享虚拟 IP，互为备份，其中主闸同时承担负载均衡器的功能，由它以会话为单位，将访问按轮转的方式均匀分发到所有的网闸上。如上图，第一个访问，从主闸转发，第二个访问，主闸转发给从闸，从闸转发给服务器，从服务器返回的数据，从闸会直接返回客户端，不再经过主闸的处理。第三个访问类似于第二个访问，主闸转发给第三台网闸，由它转发给服务器，从服务器返回的数据，也会直接返回客户端，不再经过主闸的处理。由于网闸的主要负载是应用层的访问压力，单纯根据会话信息分发访问请求不需要多少资源，所以主闸在承担

23、负载分发的同时也承担访问的处理。从闸在处理主闸分发给它的请求的同时，通过心跳线监控主闸的状态，如果主闸存在问题，它会自动接过虚拟 IP，同时开始负责负载的分发。其他的网闸，只会接受负载均衡器分发的请求并处理。负载均衡器在分发请求的同时，会动态监控负载均衡组里的所有主机，这一监控过程是通过 Arp 的解析完成的，如果发现有某些主机异常（死机/线路不通），它会自动将其从分发的主机组中剔出，不再把请求分发给它，也就是说具备自我调整能力。2.3.4安全通道安全通道模块是在上市版本 中推出的，与其他应用模块相比，其侧重解决两个方面的问题：1. 解决性能问题有时用户将网闸用于大型网络的

24、出口处，性能压力比较大。网闸标准功能模块通过协议代理、内容深度检查等功能实现应用数据的安全摆渡，如系统可能要将 HTTP 网页解压缩进行数据安全检查，但这样会消耗很多系统资源，在用户在乎效率的地方不太合适，因此开发了安全通道模块，联想网御科技（北京）有限公司13联想网御网闸技术宝典去掉一些消耗资源较多的功能，加速数据隔离摆渡，以获得高并发、高吞吐量的效果。2. 特殊协议支持网闸通过代理方式实现协议终止和协议重组，只能一对一进行配置，但有些应用协议使用跳变的端口或一个端口段，管理员需要配置很多条规则，易用性方面存在问题。因此我们开发了安全通道模块，在系统启动时预先配置了多条规则，以满足该需求，这

25、些规则支持一个端口段，会根据应用协议使用的端口的变化，像滑动窗口一样变化，如某个时间段应用端口在 1000-2000 范围内，系统会自动将规则配置在这个范围内。安全通道模块不支持下列情形：1) 无法针对应用协议，对其内容过滤；2) 不支持负载均衡；第 3 章故障排除3.1 提前准备当网闸出现问题时，实施人员做到以下几点(至少要心中有数)：1）、了解整个网络拓扑，了解网闸在网络拓扑中的位置；2）、仔细检查当前网闸硬件型号、产品批次以及软件版本等等；3）、了解网闸中配置了哪些模块，这些模块中配置什么应用服务，采用什么访问模式；4）、确认网闸上配置信息是否正确；5）、出故障前网闸状态及出故障后网闸状

26、态，究竟对网闸做了哪些操作；6）、检查问题的出现频度，是偶发事件还是经常性事件，有无规律可循；7）、确认是否首次安装网闸；8）、备份已有配置文件，做好配置截图工作。3.2 一般步骤3.2.1物理环境检查当发现网络不通或资源不可用时，应先检查物理环境，确保应急方案实现的有效性。检查内容如下：连接主机的网络是否可用、连接主机的电源线是否可用具体处理方法如下：1) 确保电源线正常连接并正常供电。如果发现异常，拨掉电源线再插上。如果按此方案操作后还发现电源有异常，请更换电源线。2) 检查网络口，确保网线正常连接并正常传输数据。如果发现异常，拨掉网线再插上。如果按此方法操作后还发现网线有异常，请更换网络

27、连接线。联想网御科技（北京）有限公司14联想网御网闸技术宝典3.2.2连通性检查当发现如果网络管理员没有发现物理环境出现问题，请按如下方法进行连通性检查：1）用 ping 命令检查内网主机与网闸内端机之间的连通性；2）用 ping 命令检查外网主机与网闸内端机之间的连通性；3）通过隔离卡状态检查网闸内部的连通性；l检查硬件面板上的隔离卡指示灯带格式的l: 项目符号和编l登录 WEB 网页检查隔离卡状态号l 登录后台检查隔离卡状态4) 网络不通情况下，可以用 PC 机替代网闸进行实验，将 PC 网络地址配置成网闸网络口地址。5）如果前三个步骤检查没问题，说明网闸硬件正常，内外连通正常6) 如果第

28、三步出现问题，请重启网闸5 次左右，重启仍无法解决请求助产品专家7) 如果前两个步骤检查有问题，查找网络原因，然后重复前面的步骤。如果前几个步骤过后还发现网络不能连通，请直接通过产品专家寻求帮助。3.2.3资源存在性检查如果网络管理员没有发现网络连通性有问题，请按如下方法进行资源存在性检查：1) 不接入网闸，先检查用户应用服务是否正常启动。如发现正常启动请向下执行，如发现无法正常启动请先解决用户应用服务无法正常启动的问题。2) 接入网闸后，用 telnet 命令检查用户应用服务是否正常，如执行：telnet 8080，如果出现”Escape ”等字样，则表明应用服务启动正常，

29、大部分 HTTP 资源还可执行 “get /”后按两个回车得到相关的页面信息；3) 如果资源不可用，请检查用户应用服务是否正常启动，如果确定有问题请客户先解决该问题；4) 如果确定网闸是否正常启动，请检查网闸配置是否正常；5) 如果前几个步骤过后还发现服务启动不正常，请直接通过技术支持寻求帮助。 带格式的l: 项目符号和编号3.2.4案例分析n 发现问题通过 FTP 客户端下载、上传文件为什么失败？(采用普通访问)拓扑图见下。n 网络拓扑n 解决步骤根据上面的网络拓扑图，具体排查步骤如下：1、物理环境检查明显发现，外网侧与路由器之间网络口灯不亮，换了根网线，问题解决。2、连通性检查联想网御科技

30、（北京）有限公司15联想网御网闸技术宝典检查隔离卡状态OK ping OK ping OK ping Failed# 路由有问题，修改路由器配置，问题解决 ping OK3、资源存在性检查在 主机上：telnet 21OK在 网闸内侧后台主机： telnet 21OK #说明 FTP 服务器正常但是还是不能上传、下载文件？我们开始检查网闸配置文件信息，发现：使用

31、了错误的模块，当前使用定制访问模块，因为 FTP 协议有主被动之分，不能使用简单的定制访问模块来解决，建议使用专门的 FTP 访问模块或安全通道模块。最后，问题彻底解决。3.3 寻求支持根据以上前期准备及一般步骤的排查，如果仍然解决不了，寻求热线支持或专家支持。在寻求支持前，需要向热线或专家提供如下的详细信息，以便让热线工程师或专家作出正确的判断进而提供可用的解决方案：1、提供网闸的硬件型号、生产批次、软件版本号及升级包情况等；2、提供详细的与网闸相关的网络拓扑图；3、详细描述项目需求情况；4、提供详细的应用服务情况：配置了哪些应用服务，采用了何种访问模式(普通、透明)，占用的端口及数据流量(

32、访问量)等；5、提供必要的配置文件，抓取相关的页面配置图；6、如果有数据库参与工作，必要时提供数据库脚本；7、提供错误的日志信息及有用的抓包信息；3.4 抓包分析前提：内外网同时进行抓包分析：可以内网链接串口，外网连接SSH 进行抓包在网闸上抓包使用 tcpdump 工具。抓包分析如下：注意：只有 dump 用户才有权限进行抓包分析。3.4.1格式说明格式：tcpdump -ni 网络接口 表达式说明：网络接口 - eth0,eth1,表达式 - 类型、传输方向、协议、特殊等关键字、逻辑运算符等等3.4.2网卡、主机、协议及端口等参数 -i eth2表示在 fe3 口上抓包联想网御科技（北京）

33、有限公司16联想网御网闸技术宝典host 表示抓发往或源自 主机的包tcp (udp)表示抓 tcp 包或 udp 包port 80表示抓 80 端口的包例子：tcpdump i eth2 host and tcp and port 80表示从 fe3 口上抓源自或发往 主机的 TCP 80 端口的包。3.4.3逻缉运算符and表示“与”or表示“或”not表示“非”()表示“( )”例子：tcpdump (host or host ) and not udp表示抓源自或发往 或 且不是 udp 的数据包。3.4.4抓包长度、抓包个数、保存文件参数-s 0表示抓完整的数据包-c 100表示抓 100 个数据包(