威讯安全隔离与信息交换系统用户手册概述

1、 威讯安全隔离与信息交换系统用户手册威讯安全隔离与信息交换系统用户手册郑州市威讯计算机有限公司- 2 -目 录1.公司简介12.产品简介12.1产品概述12.2工作原理13.硬件安装33.1产品清单33.2网络接口34.图形化管理配置34.1系统登录34.2用户管理64.2.1添加用户64.2.2编辑用户74.2.3删除用户84.2.4密码重置94.2.5修改个人资料与密码105.系统管理115.1安全设置115.2时间设置125.3系统控制135.4配置管理146.报表管理146.1系统资源列表157.网络管理157.1数据接口167.2管理接口167.3网关域名178.认证管理178.1证

2、书设置188.2用户管理189.日志管理209.1日志设置209.2登录日志219.3管理日志219.4系统日志2210.TCP管理2310.1基本设置2310.2访问控制2410.3地址控制2411.UDP管理2511.1基本设置2511.2访问控制2611.3地址控制2612.TNS管理2712.1基本设置2712.2访问控制2812.3地址控制2813.WEB管理2913.1基本设置2913.2地址控制3013.3内容过滤3013.4访问时间控制3113.5用户认证3114.FTP管理3214.1基本设置3214.2访问控制3314.3用户认证3314.4地址控制3414.5文件过滤34

3、14.6命令过滤3515.SOCKS管理3515.1基本设置3615.2用户认证3615.3地址控制3716.邮件管理3716.1基本设置3816.2地址控制3816.3邮件过滤3917.数据库同步管理3917.1基本设置4017.2数据源管理4017.3新建任务4117.4任务列表4418.文件同步管理4418.1基本设置4518.2数据源管理4518.3新建任务4618.4任务列表471.公司简介郑州市威讯计算机有限公司成立于2001年，是一家拥有网络安全自主知识产权、专门从事网络安全产品研发和销售并提供整体解决方案的高科技民营企业。公司自成立以来，就以网络安全技术为核心竞争力。公司依托中

4、国人民解放军国防科技大学、中国人民解放军信息工程大学等科研机构强大的科研力量，与省电力公司和新乡电力公司多年在电力专用安全设备研究上进行合作，致力于网络安全产品的研究开发和前沿性安全技术探索，公司通过提供核心网络安全产品以及完善的售前方案咨询和售后安全技术服务，全力开拓国内外的网络安全市场。经过两年多的发展，公司现已成为我国信息安全领域具有一定实力和市场影响力的企业。2.产品简介2.1产品概述威讯安全隔离与信息交换系统（简称“威讯网闸”）是威讯公司独立研制的拥有自主知识产权的新一代网络安全隔离产品，专门用于满足不同安全等级网络间的隔离与信息安全交换的需求。它采用专有硬件和高度模块化的设计思路，

5、集安全隔离、数据实时交换、网络过滤、访问控制、协议分析、内容检查、数据私有化、安全决策等多种安全技术于一体，保证网络链路层安全隔离的前提下，提供可靠的、高效的、特定的数据交换服务或单向数据传输服务。2.2工作原理威讯安全隔离与信息交换系统主要由内网主机模块、外网主机模块(均包含安全检测)、隔离控制处理模块和存储介质四部分构成。网闸通过专有隔离硬件设备彻底实现不同安全等级网络间链路层与网络层的隔离。内网主机模块、外网主机模块分别连接可信网络和非可信网络，专门负责对来自可信网络和非可信网络的数据信息进行预处理、内容检测、协议分析、访问控制和安全决策等一系列安全检查，剥离出原始数据，数据经格式化后，

6、转换成只有威讯网闸可以识别的专有格式数据块，最后交付专有隔离硬件模块验证和处理。专有隔离硬件采用专用的硬件设计，逼真地模拟人工数据交换的全过程，通过专有安全芯片实现切换控制和数据中转，并通过身份验证，确保数据来源合法及安全。完全阻断信任网络与非信任网络间的TCP/IP连接，剥离通用协议，将数据信息格式化为只有威讯网闸可以识别的专有数据格式，从一边网络摆渡到另一边网络，同时采用多种安全技术对交换的数据进行安全检查，最大程度地保证数据信息交换的安全，充分满足了网络间边界防护和数据信息安全交换的需求。3.硬件安装3.1产品清单在打开包装之后，请您先检查随机附带的电源线、用户手册等物品是否齐全，所有部

7、件请对照装箱单进行检查，如有缺损请及时和销售人员联系。注：取出设备后，不要将外包装丢弃，在需要搬运时，请务必使用原包装，它是为您的安全隔离与信息交换系统专门设计的包装，具备良好的防震功能。每当您需要维修服务时也最好用原包装将威讯安全隔离与信息交换系统设备返回到郑州市威讯计算机有限公司的维修服务部门。物 品 名 称数量威讯安全隔离与信息交换系统1威讯安全隔离与信息交换系统的电源线1威讯安全隔离与信息交换系统的串口线1威讯安全隔离与信息交换系统管理员手册13.2网络接口端口内网IP地址外网IP地址备注E0管理接口50数据通讯接口51E1HA接口数据通讯接

8、口51E2数据通讯接口50数据通讯接口51E3数据通讯接口50数据通讯接口51SFP0数据通讯接口无数据通讯接口无X-BNSS-600特有SFP1数据通讯接口无数据通讯接口无X-BNSS-600特有4.图形化管理配置4.1系统登录 接通电源，开启威讯安全隔离与信息交换系统。 在管理计算机上启动Internet浏览器（目前仅支持IE），本手册以IE6.0为例。在地址栏中输入威讯安全隔离与信息交换系统内网的管理接口IP地址（各款产品型号的默认管理接口为E0）。例如：输入登录内网主机模块管理

9、端口默认设置IP地址和端口号“50:8080/”，输入完后回车（出于安全考虑，本链接采用SSL128位加密传输）。弹出对话框要求用户确认安全证书，点击“是（Y）”按钮，如图（4.1.1）所示：（图 4.1.1）注：此对话框只会在用户第一次登录时出现。 浏览器中显示威讯安全隔离与信息交换系统（简称管理系统）的登录界面，如图（4.1.2）所示：（图 4.1.2） 输入用户名和密码，用户名为admin ,密码为 wxadmin9 用户名必须为字母、数字、下划线且不能为空，长度为216位。密码必须为字母、数字、下划线且不能为空，长度为616位。 当输入错误的用户名或

10、密码时会有相应的提示信息，注意：如果输入错误的用户名或密码的次数等于系统设置登录出错的次数时（默认出错3次），用户将被锁定，此时用户输入正确用户名与密码也不允许登录系统，当用户锁定时间超出时间预设范围的时候，解除锁定。 管理系统默认只允许一个用户登录，当有用户使用时登录系统，会提示登录失败。 管理系统只允许指定的客户端IP可以登录（指定的IP指的是你本机的IP地址），系统默认客户端IP没有限制。均可以登录，详细设置见5.1安全设置。 输入正确的用户名密码、用户未被锁定、IP被系统指定，并且没用用户在使用系统时，进入系统，系统会自动判断用户的身份，决定用户的权限。 点击“确定”按钮，浏览器显示威

11、讯安全隔离与信息交换系统管理的主界面如图（4.1.3）所示：（图4.1.3）如图（4.1.3）所示，管理系统主要包括用户管理、系统管理、报表管理、网络管理、认证管理、日志管理、TCP管理、UDP管理、TNS管理、WEB管理、FTP管理、SOCKS管理、邮件管理、数据库同步管理以及文件同步管理等功能。4.2用户管理（图4.2.1）用户管理可以为管理系统添加新用户或删除、编辑用户，也可以为用户指定权限。如果某一用户忘记了登录密码可以通过密码重置功能重置其密码。超级管理员权限由系统初始化完成不能编辑其权限。4.2.1添加用户（图）点击【用户管理】页面左上方的【添加用户】进入添加用户界面

12、（如图）。输入基本信息帐号、密码、姓名以及其他信息。注意：帐号、密码与姓名是必填内容。基本信息输入完后进行权限设置，用户权限也可以不分配。选中右侧红色方框中的模块如系统管理，点击【添加】按钮将其移动到左侧绿色方框中完成权限添加。信息输入完成后，点击下方的【添加】按钮完成用户添加工作。 如图（图）4.2.2编辑用户（图）点击用户管理页面上某一条用户信息中的【编辑】进入用户编辑界面（如图）修改基本信息姓名为”test_123”。基本信息修改完后，修改用户权限。选中右侧红色方框中的模块如UDP管理，点击【添加】按钮将其移动到左侧绿

13、色方框中完成权限添加。以上信息输入完成后，点击下方的【设置】按钮完成用户添加工作。如图（图）4.2.3删除用户（图）点击用户管理页面上某一条用户信息中的【删除】出现提示框，确认删除点击OK（确认）按钮删除用户（如图）。注意：admin用户无法删除和密码重置，当前使用的用户也无法删除。4.2.4密码重置（图）点击用户管理页面上某一条用户信息中的【密码重置】，对应记录会出现【下载重置文件】选项，点击此选项会出现对话框如图保存或打开文件。文件内容为重置此用户密码的访问地址如图（图）复制文件

14、内容到IE浏览器地址栏，按下回车键转到重置密码页如图。为了安全每条地址只能使用一次，重新设置好密码以后，该地址会自动失效。（图）4.2.5修改个人资料与密码可以通过点击页面右上方的【个人信息】和【修改密码】两个功能来修改个人资料和密码。如图和图（图）（图）5.系统管理（图5.1）系统管理实现对系统的基本管理，由安全设置、时间设置、系统控制、许可设置和配置管理五部分组成。5.1安全设置（图5.1.1）安全设置是对管理系统访问和操作进行安全验证，防止非法入侵的设置。选择左侧菜单【安全设置】进入安全设置界面如图5.1

15、.1，可以对管理系统的安全设置进行修改。需要设置的部分包括一下内容： 允许最大登录出错次数在登录系统时允许出错的最大次数，如果超出最大次数，帐号将被锁定，锁定时间由系统设置决定。 锁定用户时间 系统会话时间系统会话时间是用户在不做任何操作的超时时间，如果超出此时间，用户在进行操作，系统会返回登录界面，用户需要重新登录才能继续使用。 管理客户端地址控制管理客户端地址控制设置成开启时，只有管理客户端地址列表中的IP才能访问管理系统。 添加管理客户端输入IP地址，然后点击下方的【添加】按钮进行添加。5.2时间设置（图5.2.1）时间设置是对系统时间进行设置和查看。选择左侧菜单【时间设置】进入时间设置

16、界面如图5.2.1，可以通过【时间设置】来设置内网与外网系统时间。（图5.2.2）点击日期文本框，页面会弹出选择日期界面如图5.2.2，可以通过该界面选择要设置的日期。时间选择可以通过日期右侧的三个下拉列表框进行设置。日期时间填写完成以后，点击界面下方的【设置】按钮完成时间设置。点击页面下方的【刷新时间】按钮查看内外网时间与系统已经运行时间。5.3系统控制（图5.3.1）选择左侧菜单【系统控制】进入系统控制界面如图5.3.1,用户可以通过【重启系统】、【关闭系统】控制网闸启停。还可以通过SSHD服务控制的【启动服务】、【停止服务】控制网闸SSHD服务的启停。5.4配置管理（图5.4.1）选择左

17、侧菜单【配置管理】进入系统控制界面如图5.4.1 配置导入点击配置导入栏的【浏览（Browse）】按钮出现对话框，选择要导入的配置文件确定，再点击右侧的【导入】按钮完成配置导入。 配置导出 病毒库升级点击导入病毒库文件栏的【浏览（Browse）】按钮出现对话框，选择要导入的病毒库文件确定，再点击右侧的【导入】按钮完成配置导入。6.报表管理（图6.1）报表管理是对系统的信息进行统一集中展示，其中系统资源列表显示了当前系统的CPU、内存、磁盘的使用状况。6.1系统资源列表（图6.1.1）选择左侧菜单【系统资源列表】进入系统资源列表界面如图6.1.17.网络管理（图7.1）网络管理是对系统的网络接口

18、、域名和网关的统一配置和管理，由管理接口、数据接口和网关域名组成。7.1数据接口（图7.1.1）选择左侧菜单【数据接口】进入数据接口管理界面如图7.1.1首先可以选择要设置接口的网络类型，通过【内网】【外网】按钮切换。然后填写号接口的IP地址和子网掩码，在点击【添加】按钮将其加入到列表中。最后，点击列表下方的【设置】按钮生效。7.2管理接口（图7.2.1）选择左侧菜单【管理接口】进入管理接口管理界面如图7.2.1填写IP地址以及子网掩码进行设置。7.3网关域名（图7.3.1）选择左侧菜单【网关域名】进入网管域名管理界面如图7.3.1首先可以选择要设置接口的网络类型，通过【内网】【外网】按钮切换

19、。然后可以直接填写或修改网关和备注。如果需要设置域名可以在域名服务器地址设置中填写，点击【添加】按钮将其加入到列表中。最后，点击列表下方的【设置】按钮生效。8.认证管理（图8.1）认证管理实现系统认证用户、证书的统一管理，包括证书设置和用户管理。8.1证书设置（图8.1.1）证书设置是用来设置证书有效期和重新生成证书选择左侧菜单【证书设置】进入证书设置管理界面，添加证书有效期， 执行【设置】按钮生效。点击【重新生成证书】，可以重新生成服务器证书。注意：重新生成服务器证书后，原来的用户证书将全部失效。8.2用户管理（图8.2）点击【添加认证用户】进入添加用户界面（如图8.2.1），按照规定格式输

20、入用户基本信息。（图8.2.1）选择申请认证的模块，左侧方框为已认证的模块，右侧为未认证的模块。点击下方的【添加】按钮完成认证用户添加工作。 添加用户成功后，点击【详细】可查看添加用户的详细信息。点击【编辑】修改用户的基本信息和用户申请的服务，点击【设置】按钮修改成功。如图（8.2.2）（图8.2.2）点击【删除】，删除认证用户。注意：如果用户有审批过的摸块，则必须删除引用再删除认证用户。9.日志管理（图9.1）日志管理是实现对系统产生的日志的统一展示，可以进行日志属性设置、日志查询、导出等操作，包括管理日志、登录日志和系统日志。9.1日志设置选择【日志设置】进入日志设置界面如图（9.1.1）

21、，设置日志的文件大小、回滚次数，选择日志类型（默认全部选择），执行设置生效。（图9.1.1）9.2登录日志选择【登录日志】进入登录日志界面如图（9.2.1），查看用户登录相关的日志发生时间、日志类型、描述信息，可以根据查询条件查询相关日志，可以对日志执行导出操作。（图9.2.1）9.3管理日志选择【管理日志】进入管理日志界面如图（9.3.1），查看系统管理相关的日志发生时间、日志类型、描述信息，可以根据查询条件查询相关日志，可以对日志执行导出操作。（图9.3.1）9.4系统日志选择【系统日志】进入系统日志界面，如图（9.4.1），查看系统模块相关的日志网络类型、发生时间、日志类型、描述信息。选

22、择模块，可以根据查询条件查询相关日志，可以对日志执行导出操作。（图9.4.1）（图9.4.2）10.TCP管理进入TCP管理主页面，如图（10.1），可以启动、关闭或重启TCP服务。（图10.1）TCP管理是实现TCP应用的数据交换，包括基本设置、地址控制和访问控制三部分。10.1基本设置如图（10.1.1），选择【是否随系统启动】，系统启动时将自动启动TCP服务，输入【连接控制数】，执行设置，操作成功。重启TCP服务生效。（图10.1.1）10.2访问控制如图（10.2.1），选择【网络类型】，本地地址来自网闸数据接口，本地端口为网闸本地要监听的端口，目的地址（域）为要转发的IP地址和域名，

23、目的端口为目的地址对应的端口号。添加记录，执行设置，操作成功。（图10.2.1）填写完访问控制信息后点击【添加】按钮,将信息插入到列表，然后点击【设置】按钮生效。10.3地址控制如图（10.3.1），选择【网络类型】。黑名单方式允许未指定的IP地址均可以访问，白名单方式只允许指定的IP地址可以访问。通过改变地址过滤方式对IP地址、MAC地址、IP+MAC地址进行管理。输入源地址、目的地址、端口，添加记录，执行设置，操作成功。（图10.3.1）填写完访问控制信息后点击【添加】按钮,将信息插入到列表，然后点击【设置】按钮生效。11.UDP管理进入UDP管理主页面，如图（11.1），可以启动、关闭或

24、重启UDP服务。（图11.1）UDP管理，实现UDP应用的数据交换，包括基本设置、地址控制和访问控制三部分。11.1基本设置如图（11.1），选择【是否随系统启动】，系统启动时将自动启动UDP服务，执行设置，操作成功。（图11.1.1）11.2访问控制如图（11.2.1），选择【网络类型】，本地地址来自网闸数据接口，本地端口为网闸本地要监听的端口，目的地址（域）为要转发的IP地址和域名，目的端口为目的地址对应的端口号。添加记录，执行设置，操作成功。重启UDP服务生效。（图11.2.1）11.3地址控制如图（11.3），选择【网络类型】。黑名单方式允许未指定的IP地址均可以访问，白名单方式只允许

25、指定的IP地址可以访问。通过改变地址过滤方式对IP地址、MAC地址、IP+MAC地址进行管理。输入源地址、目的地址、端口，添加记录，执行设置，操作成功。（图11.3）填写完地址控制信息后点击【添加】按钮,将信息插入到列表，然后点击【设置】按钮生效。12.TNS管理进入TNS管理主页面，如图（12.1），可以启动、关闭或重启TNS服务。（图12.1）TNS管理，实现TNS应用的数据交换，包括基本设置、地址控制和访问控制三部分。12.1基本设置如图（12.1.1），选择【是否随系统启动】，系统启动时将自动启动TNS服务，输入【连接控制数】，执行设置，操作成功。重启TNS服务生效。（图12.1.1）

26、12.2访问控制如图（12.2.1），选择【网络类型】，本地地址来自网闸数据接口，本地端口为网闸本地要监听的端口，目的地址（域）为要转发的IP地址和域名，目的端口为目的地址对应的端口号。添加记录，执行设置，操作成功。（图12.2.1）12.3地址控制如图（12.3.1），选择【网络类型】。黑名单方式允许未指定的IP地址均可以访问，白名单方式只允许指定的IP地址可以访问。通过改变地址过滤方式对IP地址、MAC地址、IP+MAC地址进行管理。输入源地址、目的地址、端口，添加记录，执行设置，操作成功。（图12.3.1）填写完地址控制信息后点击【添加】按钮,将信息插入到列表，然后点击【设置】按钮生效。

27、13.WEB管理进入WEB管理主页面，如图（13.1），可以启动、关闭或重启WEB服务。（图13.1）WEB管理，实现安全的网页浏览和访问，包括基本设置、地址控制、内容过滤、时间控制、用户认证等部分。13.1基本设置如图（13.1.1），选择【是否随系统启动】，传输方向，输入【连接控制数】，服务端口，执行设置，操作成功。（图13.1.1）13.2地址控制如图（13.2），选择【网络类型】。黑名单方式允许未指定的IP地址均可以访问，白名单方式只允许指定的IP地址可以访问。通过改变地址过滤方式对IP地址、MAC地址、IP+MAC地址进行管理。输入源地址，添加记录，执行设置，操作成功。（图13.2）

28、13.3内容过滤如图（13.3），选择【网络类型】，选择黑白名单方式，添加要过滤的URL；选择要过滤的命令；选择要过滤的脚本和MIME类型，执行设置，操作成功。（图13.3）13.4访问时间控制如图（13.4），选择【网络类型】，添加星期对应的访问时间。清空所有记录，直接点设置，系统将默认全天（00:0023:59）可以访问。选择“星期”下拉菜单新增访问时间（可以增加多个时间段，时间段重叠自动叠加），执行设置，操作成功。（图13.4）13.5用户认证如图（13.5），选择【网络类型】，选择【是否需要用户认证】。用户认证模块数为通过用户认证的最多模块数。域名提示为认证时提示的域名。未认证用户来自

29、认证用户管理模块。已认证用户为通过认证的用户，可以自由添加。执行设置，操作成功。（图13.5）14.FTP管理进入FTP管理主页面，如图（14），可以启动、关闭或重启FTP服务。（图14）14.1基本设置如图（14.1），选择【是否随系统启动】，输入【连接控制数】，执行设置，操作成功。（图14.1）14.2访问控制如图（14.2），选择【网络类型】，本地地址来自网闸数据接口，本地端口为网闸本地要监听的端口，目的地址为要转发的IP地址，目的端口为目的地址对应的端口号。添加记录，执行设置，操作成功。（图14.2）14.3用户认证如图（14.3），选择【网络类型】，选择【是否需要用户认证】。未认证用

30、户来自认证用户管理模块。已认证用户为通过认证的用户，可以自由添加。执行设置，操作成功。（图14.3）14.4地址控制如图（14.4），选择【网络类型】，黑名单方式允许未指定的IP地址均可以访问，白名单方式只允许指定的IP地址可以访问。通过改变地址过滤方式对IP地址、MAC地址、IP+MAC地址进行管理。输入源地址、目的地址、端口，添加记录，执行设置，操作成功。（图14.4）14.5文件过滤如图（14.5），选择【网络类型】，选择黑白名单方式，添加要过滤的文件格式、关键字、选择文件大小上线，是否扫描病毒，执行设置，操作成功。（图14.5）14.6命令过滤如图（14.6），选择【网络类型】，要过滤

31、的命令，执行设置，操作成功。（图14.6）15.SOCKS管理进入SOCKS管理主页面，如图（15），可以启动、关闭或重启SOCKS服务。（图15）15.1基本设置如图（15.1），选择【是否随系统启动】，传输方向，输入【连接控制数】，服务端口，执行设置，操作成功。重启SOCKS服务生效。（图15.1）15.2用户认证如图（15.2），选择【网络类型】，选择【是否需要用户认证】。未认证用户来自认证用户管理模块。已认证用户为通过认证的用户，可以自由添加。执行设置，操作成功。（图15.2）15.3地址控制如图（15.3），选择【网络类型】，黑名单方式允许未指定的IP地址均可以访问，白名单方式只允许

32、指定的IP地址可以访问。通过改变地址过滤方式对IP地址、MAC地址、IP+MAC地址进行管理。输入源地址，添加记录，执行设置，操作成功。（图15.3）16.邮件管理进入邮件管理主页面，可以启动、关闭或重启邮件服务。（图16）16.1基本设置如图（16.1），选择【是否随系统启动】，传输方向，输入【最大连接数】，smtp和pop3服务端口，执行设置，操作成功。（图16.1）16.2地址控制如图（16.2），选择【网络类型】，黑名单方式允许未指定的IP地址均可以访问，白名单方式只允许指定的IP地址可以访问。通过改变地址过滤方式对IP地址、MAC地址、IP+MAC地址进行管理。输入源地址、目的地址、

33、端口，添加记录，执行设置，操作成功。（图16.2）16.3邮件过滤如图（16.2），选择【网络类型】，添加要过滤的关键字，添加对应的smtp和pop3服务器，选择黑白名单方式，添加邮件帐号，选择是否允许附件，如允许，可对附件的大小，是否扫描病毒进行限制，执行设置，操作成功。 （图16.3）17.数据库同步管理进入数据库同步管理主页面，如图（17），可以启动、关闭或重启数据库同步服务。（图17）17.1基本设置如图（17.1），选择【是否随系统启动】，执行设置，操作成功。（图17.1）17.2数据源管理如图（17.2）填写数据源信息，然后点击【添加】按钮加入到下面数据源列表（图17.2）如图17.3用户可以对数据源进行编辑、删除、查看错误记录和测试连接等操作（图17.3）17.3新建任务如图17.4新建任务第一步包括任务的名称、同步方向、同步方式、冲突策略、最大处理记录数、同步时间、随服务启动和数据源选择等。 任务名称是用户建立任务的唯一标示，如果用户输入的名称已经在其他任务中引用则无法进行下一步。 同步方向是用来制定数据同步的方向，如选择内网到外网，这时创建的任务将是从内网数据源同步到外数据源中。 同步方式目前只有一种增量同步 冲突策略是针对目的数据库INSERT数据时的应对策略 最大处理记录数默认为100,如果