工业防火墙产品技术培训课件

MVS工业防火墙产品技术培训

2015年7月MVS工业防火墙产品技术培训1内容纲要工业防火墙功能介绍FAQ工业防火墙典型配置案例MVS产品需求收集系统内容纲要工业防火墙功能介绍FAQ工业防火墙典型配置案例MVS工业防火墙概述工业防火墙所涉及领域

制造业、资源、化工、交通、能源、金融行业安全事件

2010年：“网络超级武器”Stuxnet 2008年：荷兰地铁脱轨事件 2011年：美国伊利诺伊州供水系统破坏事件安全事件发生的原因

自动化建设早，重点注重物理安全

工业以太网推广、两化（信息化和工业化）融合趋势

工业防火墙概述工业防火墙所涉及领域3工业防火墙硬件介绍硬件介绍工业环境中对硬件的要求无风扇宽温（-40-70℃）湿度（5％-95％无凝结）防护等级IP40（防尘不防水）产品型号星辰：201D、203D、1100R星云：F201D、F203D、F1100R

工业防火墙硬件介绍硬件介绍4工业防火墙硬件介绍硬件产品导轨式F201D：二串口+二口以太网（bypass）

工业防火墙硬件介绍硬件产品5工业防火墙硬件介绍硬件产品导轨式F302D：二串口+五口以太网

串口以太网口（bypass）以太网口工业防火墙硬件介绍硬件产品串口以太网口（bypass）以太网6工业防火墙硬件介绍硬件产品机架式F1100R

适用于工业现场的机房环境工业防火墙硬件介绍硬件产品适用于工业现场的机房环境7工业防火墙功能介绍安全防护-模式全通模式

所有报文通过，安全策略不生效调试模式

所有报文通过，记录日志防护模式

根据策略进行流量匹配（通过或丢弃）工业防火墙功能介绍安全防护-模式8工业防火墙功能介绍安全防护-安全策略具有方向性

基于接口进行策略控制基于MAC进行策略控制基于IP进行策略控制

工业防火墙功能介绍安全防护-安全策略9工业防火墙功能介绍安全防护-策略动作允许

禁止DPI（只针对工业协议）

工业防火墙功能介绍安全防护-策略动作10工业防火墙功能介绍安全防护-协议1工业防护模型（内置知名工业厂商协议，可根据用户进行自定义）

工业防火墙功能介绍安全防护-协议111工业防火墙功能介绍安全防护-协议2自定义协议（新增二层协议）

工业防火墙功能介绍安全防护-协议212工业防火墙功能介绍安全防护-协议3预置上百种工业协议

工业防火墙功能介绍安全防护-协议313工业防火墙功能介绍安全防护-协议4预置通用协议（传统协议保留）动态协议（传统协议保留）

工业防火墙功能介绍安全防护-协议414工业防火墙功能介绍工业DPI-OPCOPC核心技术为动态端口解析与FTP协议相类似目前OPC只实现了底层端口解析未做应用层数据过滤

工业防火墙功能介绍工业DPI-OPC15工业防火墙功能介绍工业DPI-Modbus-1基本功能RESET回复（异常、丢弃报文进行回复）异常回复（中断连接时回复Modbus异常功能码）合规性检查状态检查

工业防火墙功能介绍工业DPI-Modbus-116工业防火墙功能介绍工业DPI-Modbus-2过滤机制黑白名单机制（非白即黑）单/多个功能码进行控制功能码输入范围进行细粒度控制

工业防火墙功能介绍工业DPI-Modbus-217工业防火墙功能介绍工业DPI-IEC104控制报文类型/事件（五遥一脉）遥调、遥控、遥信、遥测、遥视、遥脉控制帧格式S、I、U（I：数据帧为、S：确认帧、U：保活帧）细粒度控制信息体地址控制控制值进行控制

工业防火墙功能介绍工业DPI-IEC10418工业防火墙功能介绍串行DPI-1串行链路之Modbus协议本身无变化，只是物理媒介为串行总线串行接口为console切换为通信口管理与通信不能同时共存机架式设备不支持

工业防火墙功能介绍串行DPI-119工业防火墙功能介绍串行DPI-2ModbusRTU配置异：需要指定Master接口同：与以太网共用Modbus策略模块

工业防火墙功能介绍串行DPI-220工业防火墙功能介绍工业VPN工业VPN=IPSec

VPN（裁剪版）支持sitetosite模式支持预共享秘钥认证支持国际算法

工业防火墙功能介绍工业VPN21工业防火墙功能介绍高可用性HA只支持主备模式

工业防火墙功能介绍高可用性22内容纲要工业防火墙功能介绍FAQ工业防火墙典型配置案例MVS产品需求收集系统内容纲要工业防火墙功能介绍FAQ工业防火墙典型配置案例MVS23登录管理界面WEB管理工业防火墙浏览器证书导入

设备随机光盘找到工业防火墙管理证书，拷贝到管理PC上，本地双击证书，按照提示进行安装，需要输入密码时输入“hhhhhh”或“123456”，当出现导入成功后点击确定完成。登录管理界面WEB管理工业防火墙24登录管理界面WEB管理VPN登录管理页面Pc与设备的eth0或eth1相连（eth0与eth1出厂默认在brg0中）管理PC配置IP：00/24(VPN默认管理主机)IE浏览器输入https://54:8889弹出证书选择时，选择刚导入浏览器的证书登录用户名：administrator、密码默认为lion@LL99登录管理界面WEB管理VPN25Modbus配置拓朴工业防火墙透明接入用二台pc安装Modbus防真软件模拟流量IFWModbus-slaveModbus-mastereth0eth1IP:00IP:01Modbus配置拓朴IFWModbus-slaveModbu26Modbus配置Modbus配置思路-1了解用户组网，我们设备以何种模式接入用户现场流量分布用户现场Modbus协议策略实现是否需要产生日志及日志采集方式

Modbus配置Modbus配置思路-127Modbus配置Modbus配置思路-2配置基本网络（接口IP、路由、模块制授权）新建Modbus策略（此实例中只放行功能码1、2）新建防火墙策略（引用Modbus策略）产生日志，日志保存在本地Modbus配置Modbus配置思路-228Modbus配置第一步：基本网络配置

1）设备透明接入（eth0与eth1加入到brg0中）2）开户Modbus模块许可。Modbus配置第一步：基本网络配置29Modbus配置第二步：添加Modbus策略

工业DPI>>Modbus>>“新建”采用白名单方式允许功能码1和2通过，丢弃其它所有Modbus流量Modbus配置第二步：添加Modbus策略30Modbus配置第三步：添加防火墙规则

安全防护>>“资产”新建Modbus_slave地址为01，Modbus_master地址为00Modbus配置第三步：添加防火墙规则31Modbus配置第四步：添加防火墙策略

安全防护>>安全策略新建策略并引用Modbus策略，动作为DPI、记录日志新建策略选择感兴趣流（资产）并配置流量方向选择预置工业协议（Modbus-tcp）选择策略方向（DPI）并引用Modbus策略记录日志Modbus配置第四步：添加防火墙策略32Modbus配置第五步：测试-slave配置

测试PC-slave配置，以功能码1为例Modbus配置第五步：测试-slave配置33Modbus配置第六步：测试-Master配置

测试PC-Master配置，以功能码1为例Modbus配置第六步：测试-Master配置34Modbus配置第七步：测试

在PC-Master软件poll上查看功能码1和2连接成功，功能码3和4未连接成功

在防火墙上查看日志，功能码1和2的流量通过，功能码3和4的流量被丢弃Modbus配置第七步：测试35ModbusRTU配置拓朴工业防火墙串行总线接入用二台pc安装Modbus防真软件模拟流量（RS-232)IFWModbus-slaveModbus-masterttyS1ttyS0consoleconsoleModbusRTU配置拓朴IFWModbus-slaveMo36Modbus配置Modbus配置思路-1RS-232不受防火墙策略控制，不考虑防火墙模式串行总线流量分布（单一流量）用户现场Modbus协议策略实现是否需要产生日志及日志采集方式

Modbus配置Modbus配置思路-137Modbus配置Modbus配置思路-2配置基本网络（接口波特率、数据位、校验等）新建Modbus策略（此实例中只放行功能码1、2）策略配置（指定Master接口，并引用DPI策略）产生日志，日志保存在本地Modbus配置Modbus配置思路-238ModbusRTU配置第一步：基本网络配置

1）设备串行接入（CONSOLE1与CONSOLE2分别与pc的COM口相连）2）开户ModbusRTU模块许可。ModbusRTU配置第一步：基本网络配置39ModbusRTU配置第二步：添加ModbusRTU策略

串行DPI>>ModbusRTU>>“新建”采用白名单方式允许功能码1和2通过，丢弃其它所有Modbus流量ModbusRTU配置第二步：添加ModbusRTU策略40ModbusRTU配置第三步：接口设置

串行DPI>>接口设置“切换工作模式”将串口管理模式配置为通信模式

波特率、数据位、奇偶校验等与用户现场设备保持一致ModbusRTU配置第三步：接口设置41ModbusRTU配置第四步：策略配置

串行DPI>>ModbusRTU设置master接口、引用DPI策略、记录日志master接口设置：master接口端对应ModbusRTU设备的“master”端，别一个接口对应slave端。此应用实例中CONSOLE0与master设备相连，CONSOLE1与slave设备相连

ModbusRTU配置第四步：策略配置42ModbusRTU配置第五步：测试-slave配置

测试PC-slave配置，以功能码1为例ModbusRTU配置第五步：测试-slave配置43Modbus配置第六步：测试-Master配置

测试PC-Master配置，以功能码1为例Modbus配置第六步：测试-Master配置44Modbus配置第七步：测试

在PC-Master软件poll上查看功能码1和2连接成功，功能码3和4未连接成功

在防火墙上查看日志，功能码1和2的流量通过，功能码3和4的流量被丢弃Modbus配置第七步：测试45内容纲要VPN功能介绍FAQVPN典型配置案例MVS产品需求收集系统内容纲要VPN功能介绍FAQVPN典型配置案例MVS产品需求MVS需求收集系统使用MVS已创建产品需求收集系统，各办事处可将用户提出的需求提交给公司，也可对比其它产品将本公司产品功能不满足之处提出，待审核之后会及时给出答复，若需求被采纳，将会有礼品赠送！MVS需求收集系统使用MVS已创建产品需求收集系统，47MVS需求收集系统使用提交方式：访问公司VPN地址：84使用各自的VPN账号或使用需求收集账号进行认证：

用户名：xuqiu密码：xuqiu选择MVS产品需求收集管理系统MVS需求收集系统使用提交方式：48MVS需求收集系统使用进入需求系统之后选择“需求列表”》“新增”将标题、产品线、需求方、作者、描述清楚即可提交需求，待审核之后会及时回复MVS需求收集系统使用进入需求系统之后选择“需求列表”》“新49内容纲要VPN功能介绍FAQVPN典型配置案例MVS产品需求收集系统内容纲要VPN功能介绍FAQVPN典型配置案例MVS产品需求FAQ1.管理端访问不了？本地PC的IP是否是00本地PC是否能ping通VPN设备brg0口本地PC浏览器是否导入了正确的管理员证书。2.防火墙策略不生效？防火墙模式是否为防护模式FAQ1.管理端访问不了？51FAQ3.源目的相同的Modbus策略不向下匹配。新建二条Modbus策略M1与M2，M1放行功能码1，M2放行功能码2；新建二条安全策略源目的地址相同，P1引用Modbus策略M1，P2引用M2；此时只有功能码为1的Modbus流量可以通过；若要对多个功能码做精细化防护只能在一条ModbusDPI策略中实现；工业环境中Modbus设备独享IPFAQ3.源目的相同的Modbus策略不向下匹配。52FAQ4.IEC104模块LicenseIEC104模块license需要单独开启5.硬件bypass设备断电、重启过程中bypass软件故障bypass机架式设备不支持bypass6.设备断电到重启bypass过程中会丢几个包？二个，在设备加载配置过程中（软件故障）也处于bypass状态FAQ4.IEC104模块License53FAQ7.串口设置为通信口又忘记管理IP怎么管理设备？机架式设备不支持ModbusRTU所以不存在此问题导轨式设备电源旁边有个Reset健，按此健设备恢复到生产之后的状态（出厂状态）8.是否支持电源冗余？

导轨式设备支持FAQ7.串口设置为通信口又忘记管理IP怎么管理设备？54谢谢！谢谢！55演讲完毕，谢谢观看！演讲完毕，谢谢观看！56MVS工业防火墙产品技术培训

2015年7月MVS工业防火墙产品技术培训57内容纲要工业防火墙功能介绍FAQ工业防火墙典型配置案例MVS产品需求收集系统内容纲要工业防火墙功能介绍FAQ工业防火墙典型配置案例MVS工业防火墙概述工业防火墙所涉及领域

制造业、资源、化工、交通、能源、金融行业安全事件

2010年：“网络超级武器”Stuxnet 2008年：荷兰地铁脱轨事件 2011年：美国伊利诺伊州供水系统破坏事件安全事件发生的原因

自动化建设早，重点注重物理安全

工业以太网推广、两化（信息化和工业化）融合趋势

工业防火墙概述工业防火墙所涉及领域59工业防火墙硬件介绍硬件介绍工业环境中对硬件的要求无风扇宽温（-40-70℃）湿度（5％-95％无凝结）防护等级IP40（防尘不防水）产品型号星辰：201D、203D、1100R星云：F201D、F203D、F1100R

工业防火墙硬件介绍硬件介绍60工业防火墙硬件介绍硬件产品导轨式F201D：二串口+二口以太网（bypass）

工业防火墙硬件介绍硬件产品61工业防火墙硬件介绍硬件产品导轨式F302D：二串口+五口以太网

串口以太网口（bypass）以太网口工业防火墙硬件介绍硬件产品串口以太网口（bypass）以太网62工业防火墙硬件介绍硬件产品机架式F1100R

适用于工业现场的机房环境工业防火墙硬件介绍硬件产品适用于工业现场的机房环境63工业防火墙功能介绍安全防护-模式全通模式

所有报文通过，安全策略不生效调试模式

所有报文通过，记录日志防护模式

根据策略进行流量匹配（通过或丢弃）工业防火墙功能介绍安全防护-模式64工业防火墙功能介绍安全防护-安全策略具有方向性

基于接口进行策略控制基于MAC进行策略控制基于IP进行策略控制

工业防火墙功能介绍安全防护-安全策略65工业防火墙功能介绍安全防护-策略动作允许

禁止DPI（只针对工业协议）

工业防火墙功能介绍安全防护-策略动作66工业防火墙功能介绍安全防护-协议1工业防护模型（内置知名工业厂商协议，可根据用户进行自定义）

工业防火墙功能介绍安全防护-协议167工业防火墙功能介绍安全防护-协议2自定义协议（新增二层协议）

工业防火墙功能介绍安全防护-协议268工业防火墙功能介绍安全防护-协议3预置上百种工业协议

工业防火墙功能介绍安全防护-协议369工业防火墙功能介绍安全防护-协议4预置通用协议（传统协议保留）动态协议（传统协议保留）

工业防火墙功能介绍安全防护-协议470工业防火墙功能介绍工业DPI-OPCOPC核心技术为动态端口解析与FTP协议相类似目前OPC只实现了底层端口解析未做应用层数据过滤

工业防火墙功能介绍工业DPI-OPC71工业防火墙功能介绍工业DPI-Modbus-1基本功能RESET回复（异常、丢弃报文进行回复）异常回复（中断连接时回复Modbus异常功能码）合规性检查状态检查

工业防火墙功能介绍工业DPI-Modbus-172工业防火墙功能介绍工业DPI-Modbus-2过滤机制黑白名单机制（非白即黑）单/多个功能码进行控制功能码输入范围进行细粒度控制

工业防火墙功能介绍工业DPI-Modbus-273工业防火墙功能介绍工业DPI-IEC104控制报文类型/事件（五遥一脉）遥调、遥控、遥信、遥测、遥视、遥脉控制帧格式S、I、U（I：数据帧为、S：确认帧、U：保活帧）细粒度控制信息体地址控制控制值进行控制

工业防火墙功能介绍工业DPI-IEC10474工业防火墙功能介绍串行DPI-1串行链路之Modbus协议本身无变化，只是物理媒介为串行总线串行接口为console切换为通信口管理与通信不能同时共存机架式设备不支持

工业防火墙功能介绍串行DPI-175工业防火墙功能介绍串行DPI-2ModbusRTU配置异：需要指定Master接口同：与以太网共用Modbus策略模块

工业防火墙功能介绍串行DPI-276工业防火墙功能介绍工业VPN工业VPN=IPSec

VPN（裁剪版）支持sitetosite模式支持预共享秘钥认证支持国际算法

工业防火墙功能介绍工业VPN77工业防火墙功能介绍高可用性HA只支持主备模式

工业防火墙功能介绍高可用性78内容纲要工业防火墙功能介绍FAQ工业防火墙典型配置案例MVS产品需求收集系统内容纲要工业防火墙功能介绍FAQ工业防火墙典型配置案例MVS79登录管理界面WEB管理工业防火墙浏览器证书导入

设备随机光盘找到工业防火墙管理证书，拷贝到管理PC上，本地双击证书，按照提示进行安装，需要输入密码时输入“hhhhhh”或“123456”，当出现导入成功后点击确定完成。登录管理界面WEB管理工业防火墙80登录管理界面WEB管理VPN登录管理页面Pc与设备的eth0或eth1相连（eth0与eth1出厂默认在brg0中）管理PC配置IP：00/24(VPN默认管理主机)IE浏览器输入https://54:8889弹出证书选择时，选择刚导入浏览器的证书登录用户名：administrator、密码默认为lion@LL99登录管理界面WEB管理VPN81Modbus配置拓朴工业防火墙透明接入用二台pc安装Modbus防真软件模拟流量IFWModbus-slaveModbus-mastereth0eth1IP:00IP:01Modbus配置拓朴IFWModbus-slaveModbu82Modbus配置Modbus配置思路-1了解用户组网，我们设备以何种模式接入用户现场流量分布用户现场Modbus协议策略实现是否需要产生日志及日志采集方式

Modbus配置Modbus配置思路-183Modbus配置Modbus配置思路-2配置基本网络（接口IP、路由、模块制授权）新建Modbus策略（此实例中只放行功能码1、2）新建防火墙策略（引用Modbus策略）产生日志，日志保存在本地Modbus配置Modbus配置思路-284Modbus配置第一步：基本网络配置

1）设备透明接入（eth0与eth1加入到brg0中）2）开户Modbus模块许可。Modbus配置第一步：基本网络配置85Modbus配置第二步：添加Modbus策略

工业DPI>>Modbus>>“新建”采用白名单方式允许功能码1和2通过，丢弃其它所有Modbus流量Modbus配置第二步：添加Modbus策略86Modbus配置第三步：添加防火墙规则

安全防护>>“资产”新建Modbus_slave地址为01，Modbus_master地址为00Modbus配置第三步：添加防火墙规则87Modbus配置第四步：添加防火墙策略

安全防护>>安全策略新建策略并引用Modbus策略，动作为DPI、记录日志新建策略选择感兴趣流（资产）并配置流量方向选择预置工业协议（Modbus-tcp）选择策略方向（DPI）并引用Modbus策略记录日志Modbus配置第四步：添加防火墙策略88Modbus配置第五步：测试-slave配置

测试PC-slave配置，以功能码1为例Modbus配置第五步：测试-slave配置89Modbus配置第六步：测试-Master配置

测试PC-Master配置，以功能码1为例Modbus配置第六步：测试-Master配置90Modbus配置第七步：测试

在PC-Master软件poll上查看功能码1和2连接成功，功能码3和4未连接成功

在防火墙上查看日志，功能码1和2的流量通过，功能码3和4的流量被丢弃Modbus配置第七步：测试91ModbusRTU配置拓朴工业防火墙串行总线接入用二台pc安装Modbus防真软件模拟流量（RS-232)IFWModbus-slaveModbus-masterttyS1ttyS0consoleconsoleModbusRTU配置拓朴IFWModbus-slaveMo92Modbus配置Modbus配置思路-1RS-232不受防火墙策略控制，不考虑防火墙模式串行总线流量分布（单一流量）用户现场Modbus协议策略实现是否需要产生日志及日志采集方式

Modbus配置Modbus配置思路-193Modbus配置Modbus配置思路-2配置基本网络（接口波特率、数据位、校验等）新建Modbus策略（此实例中只放行功能码1、2）策略配置（指定Master接口，并引用DPI策略）产生日志，日志保存在本地Modbus配置Modbus配置思路-294ModbusRTU配置第一步：基本网络配置

1）设备串行接入（CONSOLE1与CONSOLE2分别与pc的COM口相连）2）开户ModbusRTU模块许可。ModbusRTU配置第一步：基本网络配置95ModbusRTU配置第二步：添加ModbusRTU策略

串行DPI>>ModbusRTU>>“新建”采用白名单方式允许功能码1和2通过，丢弃其它所有Modbus流量ModbusRTU配置第二步：添加ModbusRTU策略96ModbusRTU配置第三步：接口设置

串行DPI>>接口设置“切换工作模式”将串口管理模式配置为通信模式

波特率、数据位、奇偶校验等与用户现场设备保持一致ModbusRTU配置第三步：接口设置97ModbusRTU配置第四步：策略配置

串行DPI>>ModbusRTU设置master接口、引用DPI策略、记录日志master接口设置：master接口端对应ModbusRTU设备的“master”端，别一个接口对应slave端。此应用实例中CONSOLE0与master设备相连，CONSOLE1与slave设备相连

ModbusRTU配置第四步：策略配置98ModbusRTU配置第五步：测试-slave配置

测试PC-slave配置，以功能码1为例ModbusRTU配置第五步：测试-slave配置99Modbus配置第六步：测试-Master配置

测试PC-Master配置，以功能码1为例Modbus配置第六步：测试-Master配置100Modbus配置第七步：测试

在PC-Master软件poll上查看功能码1和2连接成功，功能码3和4未连接成功

在防火墙上查看日志，功能码1和2的流量通过，功能码3和4的流量被丢弃Modbus配置第七步：测试101内容纲要VPN功能介绍FAQVPN典型配置案例MVS产