农村商业银行内网准入项目竣工文档

1、百度文库让每个人平等地提升自我XX农村商业银行内网准入项目竣工文 档目录一、项目概述3二、部署架构4三、实施内容5交换机路由器配置17华为AR46-40路由器配置举例17迈普3840路由器配置举例17H3C S5500交换机配置18五、故障排查及应急预案18重大网络故障18特殊设备识别18客户端注册故障1815一、项目概述内网准入项目用于解决不可信终端的随意接入可能带来的网络及信息资源 的安全问题，对于不可信终端的定义，主要包含以下情况：内网存在风险漏洞的终端，例如未安装杀毒软件、未安装关键补丁；存在不安全策略配置的终端；未经身份授权的终端；外来未经访问许可的终端；越权访问的终端；项目以终端验

2、证和终端安全为基础，通过身份认证以及安全域控制等手段, 从根本上保证接入网络的终端可信程度，并控制可信计算机的访问权限，为农信 系统的终端入网安全管理提供强有效的保障，规避来自于内部的信息安全风险。二、部署架构S，T区办公区生产区S+T区 办公区生产区 S+T区 办公区 生产区如上图，在市联社服务器区部署北信源安全管理服务器，用于全网准入的集 中管理。此外每区县部署一台4路旁接准入网关和安全认证服务器，用于安全准 入。其中4路分别为：1路接主核心交换机镜像口，2路接主路由器策略路山口, 3路接备核心交换镜像口，4路接备路由策略路山口。三、实施内容EDP服务器的安装SQL2005的安装点击下一步

3、|§ii eras oft SQL Server ?005 安箍程乐系统配置检查下一步(H) ;诘若待，正在梅追家境中是否有潜在的安装间慰。iA11总计0错误©成功M成功0君吉J决IE内S泊息母股鳗件要求成功ns功能要求成功3拄起的堇斯月动要求成功;性能生机野汁为:转要求成功2冢汉安蝴径极限要求成功QInternet Explorer 力求成功。二肝目录妾求成功aASP的t版本注册要求成功WDAC坂本的勒氏妾求成功梃 报告® 带助® |点击下一步iis组件的安装WinPcap的安装点击“安装WinPcap网卡驱动模块”，进入安装向导页面，如下图所示:点击

4、【Next，如下图所示:同意WinPcap许可证协议，并点击I Agree】。如下图所示:安装成功后，点击【Finish】退出安装程序，如下图所示:SQL数据库服务器环境初始化的安装在“系统各模块安装界面”选择“安装数据库初始化模块”进入“系统环境初始 化”界面，如下图所示：配置数据库服务器地址和连接数据库验证方式。因为安装数据库时身份验证方式 选择的是混合模式，所以这里请使用SQL身份认证。SQL Server数据库地址为 代表本地计算机IP。SQL用户名填写“sa”,密码填写安装S本Server 数据库时所设置的sa密码。填写完毕后，点击【下一步】后，进行数据库初始 化。如下图所示：系统正

5、在进行数据库初始化。点击【完成】完成数据库初始化。用工nitEnv-系统环境初始化)ON FHMARY GOANSI NULLS ONQUOIEDJDEXTIFIER ONANSI PADDING ONTM<?R»T提示Jilode , Encryptic.Mode , Encryptic!初始修i据库结构成功，网页平台的安装在“系统各模块安装界面”选择“安装WEB管理平台模块”进入“安装WEB管理平台模块”界面，如下图所示:同意软件许可证协议，并点击【是】，如下图所示:内同安全笆理杀统C冏页平台）讲可证怫谀请仔细阅倭下面的许可证协以。技PAGE DDWff建以登春历奴的剌余郃

6、分。软件产品许可协议：北京北信源欤件股份有限公司特此按本协设的条款和条件同用尸授权使用和复制北信源软件（以下祢本条级“）的非独冢讦可，而用尸特此技 照本协议条款和条件接受本讦可。用尸一旦付港购买本系统所签的主部北京北信源软外股份有限公司是本协议中何用尸许可、租货或销售的 一切知识产权的所有人，有权何用尸讦可、租货或销售前逑知识产权。M款，印决得本协议所规定的软件许可。除本协议具体规定的以外，未 授予用户任何许可，无论明示的或默示的。上一步）|星© 否面输入用户名、公司名及序列号，软件序列号可从用户卡、光盘封面或说明书封面 获得。输入完毕后，点击【下一步，如图所示：选择WEB管理平台安

7、装路径，建议选择默认安装路径，然后点击【下一步，如 图所示：输入数据库服务器IP地址及数据库的用户名和密码。这里输入的是“."， 本地服务器地址，您可以根据实际情况填写服务器IP地址。建议使用sa数据库 用户。输入完毕后，点击【下一步，如下图所示：设置WEB管理平台虚拟目录，建议使用默认名称，然后点击【下一步】，如下图 所示：百度文库让每个人平等地提升自我厂竞速I17确认设置信息，点击【下一步】开始进行文件复制，如下图所示:开始复制文件究带及件前话3者设置.藏嘴罐耀瞄嘤翳嘉爵歌何设置'"击“上一当前设置：名号录址录户列金地呻用 OIIIP虚:jinshengxrei

8、:OJBIMDFOHOLLIJBIIHFGPCOFBFAFCFKFEFGErcCBLFG：c:vmvRms：192.168.88.50:VR7EIS语速U您填写的信息 按下一步开始复制文件IrvUonShie|上一步）正在复制WEB管理平台程序文件安装成功，点击【完成】退出安装。安装完成安装程序已完砒计复机中安装百度文库让每个人平等地提升自我RegionManage 的安装1、点击“是”内网安全管理系综（区球管理器!许可证协议话仔细阅读下面的许可证协议-22按PAGE DOW健以查看协议的乘I余部分°软件产品许可协议：北京北信源软件股份有限公司是本协议中向用户许可、租赁或销售的 一切

9、知识产权的所有大，有权向用户许可、租赁或销售前述知识产权。 北京北信源软件股份有限公司特此按本协议的条款和条件向用尸授权使用 和复制北信源软件 < 以下称“本系统“）的非独家许可，而用户特此按 照本协议条款和条件接受本许可。用户一旦付清购买本系统所需的全部 价款，即获得本协议所规定的软件许可，除本协议具体规定的以外，未予用尸任何许可，无论明示的或默示的。打印电）是否接受上述许可证协议中的全部条款？如果选择“否”，则安装程 序将关闭。要安装内网安全管理系统（区域笞理器），必须接受本 协议。InstallShield（上一步起“是9|否®1|2、输入序列号，然后点击下一步。授枕序列

10、号您可以从用户卡、光盘封面或说明书封面获得?用户名QJ）：F公司名称定）：序列号 ：iBJACAKHKGCGHGFGBGGGBGJGJHCBJAOGNInstaUShield<上一步®l|下一步国）| 取消 |3、点击下一步用安全管理系统（区域管理器）选择目的地位置选择安装程序在其中安装文件的文件夹口 安装程序将在以下文件夹中安装内网安全管理系统（区域管理器）O 要安装到此文件夹，请单击"下一步"。要安装到苴它文件夹,请单击“浏览 然后选择其它文件夹.浏览忠）目的地文件夹C : ,VRVRegionNan.ageInstalls hie Id4、点击下一步E

11、DP服务器web管理平台的配置准入网关的配置交换机路由器配置华为AR46-40路由器配置举例acl number 3040rule 0 permit ip source destination number 3050rule 0 permit ip source destination rule 1 permit ip source destination连接网关的接口description zhunruip address zhunru deny node 1if-match acl 3040apply ip-address next-hop zhunru permit node 2if-m

12、atch acl 3050apply ip-address next-hop具体接口调用如SerialW/l：0interface Seriall/0/l:0ip policy route-policy zhunru迈普3840路由器配置举例ip access-list extended 12001 permit ip exitip access-list extended 13002 permit ipany3 permit ipanyexitinterface gigaethernet2description To_zhunruip addresskeepalive gateway zhu

13、nru deny 10match ip address 1200set ip next-hop zhunru permit 20match ip address 1300set ip next-hop exit将策略路由应用到互连各网点路由的接口上如：s5yO/l:Oint s5)/l:0ip policy route-map zhunruexitH3C S5500交换机配置mirroring-group 1 localinterface GigabitEthernetlX)/9镜像 口mirroring-group 1 monitor-portinterface GigabitEthernetlX)/18匚聚mirroring-group 1 mirroring-port bothinterface GigabitEthernetlX)Z23一交换上联mirroring-group 1 mirroring-port both五、故障排查及应急预案重大网络故障由于交换、路由配置均按照可逃生的模式进行配置，如果出现大面积网络中 断，可立即断掉设备链路，网络可立即恢复正常模式。特殊设备识别目前通过在青州市农商行试点，已经研发了对身份证阅读器、升腾字符终端、 升腾S+T主机的识别，如果出现新的特殊设备，且无法安装客户端，可进行抓包 识别，后台研发。抓包代码：tcpdump - i et