H3C SecPath GAP2000基本功能配置指南

1、iH3C SecPath GAP2000 系列基本功能配置指南目录 HYPERLINK l _bookmark5 简介 HYPERLINK l _bookmark6 1 HYPERLINK l _bookmark5 配置前提 HYPERLINK l _bookmark7 1 HYPERLINK l _bookmark5 H3C SecPath GAP2000 基本功能配置举例 HYPERLINK l _bookmark8 1 HYPERLINK l _bookmark5 组网需求 HYPERLINK l _bookmark9 1 HYPERLINK l _bookmark10 配置思路 HYP

2、ERLINK l _bookmark11 2 HYPERLINK l _bookmark10 使用版本 HYPERLINK l _bookmark13 2 HYPERLINK l _bookmark10 配置步骤 HYPERLINK l _bookmark14 2 HYPERLINK l _bookmark10 通过B/S方式登录网闸 HYPERLINK l _bookmark15 2 HYPERLINK l _bookmark16 网络配置 HYPERLINK l _bookmark17 3 HYPERLINK l _bookmark18 通道设置 HYPERLINK l _bookmark

3、19 7 HYPERLINK l _bookmark20 策略设置 HYPERLINK l _bookmark21 10 HYPERLINK l _bookmark22 验证配置 HYPERLINK l _bookmark23 13简介本文档介绍了 H3C SecPath GAP2000 的配置举例。H3C SecPath GAP2000 用于隔离网络数据交换。提供 HTTP、SMTP、POP3、FTP、ORACLE、等应用级检测通道。使用户可以在两边网络隔离的前提下，即底层 TCP/IP 协议彻底阻断的情况下， 实现上述应用的互访。专用于解决政府、军工、医院、工商、税务、金融、公检法等行业隔

4、离网络信息交换问题。配置前提本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。本文档中所配置举例中，NETA、HOSTB、NETC 到网闸外端口路由可达，网闸内端口到ServerA 和 ServerB 路由可达。本文假设您已了解 H3C SecPath GAP2000 特性。H3C SecPath GAP2000 基本功能配置举例组网需求如 HYPERLINK l _bookmark12 图 1 所示，NETA、HOSTB、NETC代表外网允许访问的终端。Serve

5、rA和ServerB属于内网对外开放服务器。部署网闸后，配置 2 条应用通道，使得仅允许外网NETA、HOSTB、NETC可以访问到内网的这两台FTP服务器。图1 H3C SecPath GAP2000 基本功能配置举例组网图配置思路首先统计过网闸的应用有哪些，在此测试环境中仅 FTP 应用调查这些应用分别部署在哪些服务器上，在此环境上 FTP 服务部署在内网 ServerA 和ServerB 上将所有需要被访问服务器的 IP 以及服务端口 PORT 统计全，设计服务映射列表。 申请内外端需要的 IP 地址。在此测试环境中网闸外端分配 2 个 IP 分别为内网 2 台服务器做映射。使用版本本举

6、例是在 H3C i-Ware Software, Version 3.1, ESS 6001 版本上进行配置和验证的。配置步骤通过B/S方式登录网闸通过网闸 MAN 管理口登录网闸，打开浏览器输入 ，（MAN 口为专用管理口，其他网口不允许管理配置网闸）默认账号：admin；默认密码：adminh3c。图2 登陆界面网络配置点击“网络管理”“网卡绑定”，选择内端机的 SLOT0/1 和 SLOT0/2。图3 网卡绑定点击“增加绑定”后会弹出连接状态监测方式选项框，如下图：图4 创建聚合网卡表1 连接状态检测方式表选项监测方式备注MII仅监测物理连接是否正常ARP借助ARP响应机制，检测链路层是

7、否可达需要设置同网段其它设备的IP，通常设置网关IP点击“保存”后完成网卡绑定，如下图：图5 完成网卡绑定点击“网络管理”“内端机”，选中新增的绑定网口，设置网闸内端系统的 IP。图6 设置网闸内端系统的 IP点击“添加 IP”，设置完后点“保存”退出.图7 新建 IP点击“网络管理”“外端机”设置网闸外端系统的 IP。图8 设置网闸外端系统的 IP点击“添加 IP”，设置完后点“保存”退出.图9 添加 IP如果需要配置多个 IP，可以继续添加。图10 配置多个 IP点击“路由管理”设置两端机的路由。图11 路由管理点击“新增路由”按钮添加路由。注意“端机口”参数，由于网闸是多机体系，请注意所

8、添加的路由是在哪一端系统上的。设置完毕后点“保存”退出。图12 新增路由图13 设置外端路由通道设置针对需要开放的服务，配置网闸通道，点击“通道管理”。图14 通道管理点击“添加通道”。图15 添加通道图16 设置通道参数该通道意思是，内网服务器 Server A 0，其 21 端口的 FTP 服务映射到网闸外端口1 的 21 端口上。当外网的用户访问 1 时，网闸会将请求摆渡到内网。随后以 0 这个连接 IP 作为源地址，0 作为目标地址重新封装数据包，发送给 Server A。图17 Server B 的 FTP 通道如果不需要对源或通过的内容做过滤，这样就可以使用通道了。新添加的通道默认

9、启用。图18 默认启用通道策略设置每条通道都可以对访问源 IP 进行限制。或者根据所选通道类型对相应内容进行过滤。这些都需要通过配置策略和挂载策略来实现。点击“策略管理”“客户端地址”配置源地址限制，如下图：图19 配置源地址限制点击“策略管理”中的“新增”添加策略集，如下图：图20 添加策略集策略集有两种过滤类型，分别是“白名单”和“黑名单”，设置完后点“保存”退出。图21 新增策略集每个策略集可以容纳多条策略，点击策略中的“新增”，设置具体策略。图22 设置策略按照测试环境要求，在“客户端地址”策略集中定义了一个白名单策略集，其中包含网段/24、/24，以及终端 50/32。图23 白名单

10、策略集将策略集挂载到通道上。停用通道后，编辑通道。图24 编辑通道选择需要挂载的策略集，在此测试环境中，仅“允许访问源 1”中的三条策略对象访问此通道，即通过网闸访问内网 Server A 的 FTP 服务，Server B 的 FTP 通道配置类似。修改完成之后，需要启用通道才能使用。验证配置通过Host A、Net B、Net C分别访问 HYPERLINK 1/ 1 和 HYPERLINK 2/ 2。图25 访问 HYPERLINK 1/ 1图26 1 界面图27 访问 HYPERLINK 2/ 2图28 2 界面应用都能正常访问。通过其他访问源访问 HYPERLINK 1/ 1 和 HYP