先一正向型隔離裝置配置

智能隔離裝置（正向型）用戶手冊目錄產(chǎn)品介紹 錯(cuò)誤!未定義書簽。產(chǎn)品分發(fā)與安裝 1正向隔離裝置配置管理 2安全策略配置 2用戶管理 5日志管理 5系統(tǒng)調(diào)試 6典型應(yīng)用環(huán)境配置案例 7二層交換機(jī)模式配置 7三層交換機(jī)模式配置 8附錄 9串口故障診斷 9網(wǎng)絡(luò)故障診斷 10虛擬主機(jī)IP、靜態(tài)NAT介紹 10使用安全隔離裝置的建議 121產(chǎn)品介紹電力專用網(wǎng)絡(luò)安全隔離裝置（正向型）用于安全區(qū)I/II到非安全區(qū)In的單向數(shù)據(jù)傳遞。智能隔離裝置網(wǎng)絡(luò)安全隔離產(chǎn)品（正向型）的硬件結(jié)構(gòu)如下圖1所示。本產(chǎn)品硬件采用X86體系結(jié)構(gòu)高性能嵌入式計(jì)算機(jī)芯片，雙機(jī)之間通過高速物理光纖隔離模塊進(jìn)行物理連接。內(nèi)外網(wǎng)串口可以用來連接配置終端，方便管理人員對網(wǎng)絡(luò)安全隔離設(shè)備的控制。圖1網(wǎng)絡(luò)安全隔離裝置硬件結(jié)構(gòu)圖正向隔離裝置的前面板圖如下圖2所示。前面板上內(nèi)網(wǎng)和外網(wǎng)各有4個(gè)10M/100M的以太網(wǎng)接口以及各一個(gè)配置串口，內(nèi)網(wǎng)配置串口用來配置正向隔離裝置內(nèi)網(wǎng)端鏈路規(guī)則，并監(jiān)控內(nèi)網(wǎng)側(cè)的狀態(tài)信息，外網(wǎng)配置串口用來配置外網(wǎng)鏈路規(guī)則，并監(jiān)控外網(wǎng)側(cè)的狀態(tài)信息，內(nèi)網(wǎng)網(wǎng)口用來連接內(nèi)網(wǎng)，外網(wǎng)網(wǎng)口用來連接外網(wǎng)，內(nèi)外網(wǎng)口的網(wǎng)卡指示燈綠燈亮，表示網(wǎng)口與網(wǎng)絡(luò)正確連接，黃燈亮表示網(wǎng)絡(luò)速率是100M，暗表示網(wǎng)絡(luò)速率是10M，閃爍表示有數(shù)據(jù)正在接收或發(fā)送。圖2網(wǎng)絡(luò)安全隔離裝置（正向型）前面板圖圖3網(wǎng)絡(luò)安全隔離裝置（正向型）后面板圖產(chǎn)品分發(fā)與安裝網(wǎng)絡(luò)安全隔離裝置（正向型）產(chǎn)品分發(fā)包括硬件和軟件兩大部分。用戶在使用本產(chǎn)品時(shí)，應(yīng)先檢查硬件產(chǎn)品是否具有先一科技的標(biāo)志，外觀是否有損壞現(xiàn)象。如有以上現(xiàn)象，請勿使用并及時(shí)與本公司取得聯(lián)系，處理相關(guān)事宜。為了產(chǎn)品穩(wěn)定、可靠的運(yùn)行，請勿私自打開隔離裝置機(jī)箱。隔離裝置隨機(jī)帶有一張配置軟件安裝光盤、一根串口配置線，用于在安裝WindOWS2000/XP/win7/等操作系統(tǒng)的計(jì)算機(jī)上進(jìn)行配置。安裝完成后，啟動配置管理軟件，軟件界面如下圖4所示。圖4正向隔離裝置配置軟件主界面網(wǎng)絡(luò)安全隔離裝置的安裝和部署非常簡單，隔離裝置部署在網(wǎng)絡(luò)的唯一出口處，通過內(nèi)網(wǎng)接口和外網(wǎng)接口，分別與內(nèi)網(wǎng)和外網(wǎng)相連。內(nèi)網(wǎng)和外網(wǎng)的數(shù)據(jù)交換必須通過隔離裝置，以便保護(hù)安全的內(nèi)部網(wǎng)絡(luò)，安裝拓?fù)鋱D如下圖5所示。圖5隔離裝置安裝網(wǎng)絡(luò)拓?fù)鋱D正向隔離裝置配置管理安全策略配置1）用隨機(jī)附帶的配置串口線連接到安全隔離裝置的內(nèi)外網(wǎng)配置串口（console）。2）啟動安全隔離裝置的配置軟件，然后點(diǎn)擊‘串口配置’菜單，在點(diǎn)擊‘串口配置’選項(xiàng)，選擇相應(yīng)的串口，一般配置軟件會自動識別本機(jī)串口，界面如下圖6所示，接著設(shè)置好波特率，數(shù)據(jù)位，超時(shí)等（串口配置按默認(rèn)界面即可）。圖6安全隔離裝置配置軟件啟動界面3）點(diǎn)擊‘連接’選項(xiàng)。如果連接成功，系統(tǒng)將會提示成功連接串口（圖7），點(diǎn)擊OK即可；如果連接失敗，系統(tǒng)也會提示連接串口失敗（圖8）。程序會反復(fù)重連5次，5次都失敗后，程序會自動退出。用戶請參考《附錄5.1串口故障診斷》一節(jié)仔細(xì)檢查串口設(shè)置。排除故障后，再次重試連接。圖7圖8點(diǎn)擊主界面‘規(guī)則配置’菜單下的‘配置規(guī)則’選項(xiàng)，系統(tǒng)會提示輸入用戶名和口令（圖9）進(jìn)行權(quán)限認(rèn)證。隔離裝置默認(rèn)的系統(tǒng)管理員用戶名為root，密碼為root。用戶在第一次使用隔離裝置后，請立刻修改系統(tǒng)管理員口令。圖9用戶登錄成功后，隔離裝置會自動導(dǎo)出本地已存在的配置規(guī)則（此規(guī)則為模板規(guī)則，用戶安裝此規(guī)則規(guī)范配置也可自行配置），導(dǎo)出成功后進(jìn)入‘配置系統(tǒng)規(guī)則主界面’（圖10）配置用戶規(guī)則。（注意：界面導(dǎo)出的規(guī)則是本地的默認(rèn)規(guī)則文件rule.buf，在配置程序的rule文件夾下）數(shù)據(jù)綜合過濾功能能夠?yàn)楦綦x裝置提供基本的安全保障，裝置根據(jù)系統(tǒng)管理員預(yù)先設(shè)定的規(guī)則檢查數(shù)據(jù)包以決定哪些數(shù)據(jù)容許通過，哪些數(shù)據(jù)不能通過，保護(hù)內(nèi)部安全網(wǎng)絡(luò)免受外部攻擊。數(shù)據(jù)過濾依據(jù)：數(shù)據(jù)包的傳輸協(xié)議類型，容許TCP和UDP。數(shù)據(jù)包的源端地址，目的端地址。數(shù)據(jù)包的源MAC地址，目的端MAC地址。綜合過濾規(guī)則提供網(wǎng)絡(luò)安全隔離裝置允許還是拒絕IP包的依據(jù)，隔離裝置對收到的每一個(gè)數(shù)據(jù)包進(jìn)行檢查，從它們的包頭中提取出所需要的信息，如源MAC址、目的MAC地址、源IP地址、目的IP地址、協(xié)議類型等，再與已建立的規(guī)則逐條進(jìn)行比較，并執(zhí)行所匹配規(guī)則的策略，或執(zhí)行默認(rèn)策略。規(guī)則配置中，IP地址的形式為X.X.X.X的范圍取0-255,MAC地址的形式為XX-XX-XX-XX-XX-XX，其中X為十二位十六進(jìn)制數(shù)，延時(shí)是指本條鏈路數(shù)據(jù)包的發(fā)送間隔時(shí)間，單位是毫秒,默認(rèn)設(shè)置是10ms，在無特殊情況下請勿更改。常用操作步驟說明添加增加新的規(guī)則。當(dāng)用戶要增加了新的規(guī)則后，首先點(diǎn)擊‘添加’按鈕即可將規(guī)則添加到配置軟件的規(guī)則隊(duì)列中，然后在界面填寫相應(yīng)的配置，填寫完后點(diǎn)“修改”按鈕，如果需要保存則點(diǎn)擊“保存配置”按鈕保存到本地默認(rèn)文件中。修改對已有的規(guī)則進(jìn)行編輯修改。選擇要修改的規(guī)則，修改規(guī)則中的參數(shù)后，點(diǎn)擊‘修改’按鈕，確認(rèn)修改；否則不會保存修改過的參數(shù)。★刪除刪除一條已有的規(guī)則。選擇要刪除的規(guī)則，點(diǎn)擊‘刪除’按鈕，則選定的規(guī)則將被刪除；如果需要刪除全部規(guī)則，點(diǎn)擊‘刪除全部’按鈕即可。復(fù)制根據(jù)一條已有的規(guī)則復(fù)制出一條新的規(guī)則。選擇要復(fù)制的規(guī)則，點(diǎn)擊‘復(fù)制’按鈕，會復(fù)制出一條與原規(guī)則相似的規(guī)則，在復(fù)制規(guī)則中修改相應(yīng)的各項(xiàng)內(nèi)容。修改完畢后，點(diǎn)擊‘修改’按鈕確認(rèn)修改。保存保存操作收集各個(gè)參數(shù)的輸入數(shù)據(jù)，將規(guī)則文件保存到配置終端的內(nèi)存中，還能夠?qū)⒁?guī)則保存在本地用戶指定的規(guī)則文件中。當(dāng)用戶對隔離裝置的規(guī)則配置完成后，點(diǎn)擊‘保存配置’按鈕，提示用戶已保存的規(guī)則總數(shù)并將規(guī)則文件保存在配置終端默認(rèn)文件中。如果需要保存在本地用戶指定的規(guī)則文件中，點(diǎn)擊‘保存本地’按鈕，將規(guī)則保存在本地的規(guī)則文件中。上傳配置將規(guī)則文件上傳到隔離裝置中。在規(guī)則配置完成后，點(diǎn)擊‘保存配置’按鈕，保存規(guī)則文件。然后點(diǎn)擊‘上傳裝置’按鈕，將規(guī)則導(dǎo)入到隔離裝置的安全存儲區(qū)中。上傳配置成功后，系統(tǒng)會提示“上傳配置成功”。下載配置導(dǎo)出存儲在隔離裝置內(nèi)的規(guī)則配置文件。點(diǎn)擊‘下載配置’按鈕，出現(xiàn)導(dǎo)出系統(tǒng)規(guī)則進(jìn)度條。導(dǎo)出規(guī)則成功后，系統(tǒng)會提示成功“下載配置成功”，點(diǎn)擊“保存配置”，此時(shí)規(guī)則文件保存在配置終端的默認(rèn)配置文件中。注意：系統(tǒng)默認(rèn)拒絕所有網(wǎng)絡(luò)報(bào)文通過，只有在規(guī)則配置中允許的報(bào)文才可以通過。隔離裝置不容許出現(xiàn)重復(fù)規(guī)則，當(dāng)兩條規(guī)則的重復(fù)時(shí)，會出現(xiàn)報(bào)警信息，提醒用戶對規(guī)則進(jìn)行修改。根據(jù)不同的隔離方案，規(guī)則有不同的配置，請參考《四、典型應(yīng)用隔離方案規(guī)則設(shè)定范例》。用戶管理為了更好地管理隔離裝置，在隔離裝置中可以設(shè)置兩類用戶：超級用戶和普通用戶。超級用戶和普通用戶的權(quán)限不同：超級用戶可以增加、刪除、修改隔離裝置的配置規(guī)則，可以增加或刪除隔離裝置的普通用戶，可以查詢隔離裝置的日志等；普通用戶只可以查看隔離裝置的配置規(guī)則和日志等。（注意：隔離裝置現(xiàn)在只能設(shè)置一個(gè)超級用戶root）修改口令：點(diǎn)擊‘用戶管理’菜單下的‘修改口令’選項(xiàng),系統(tǒng)會驗(yàn)證用戶的合法身份（圖11），身份認(rèn)證成功后，自動彈出‘修改口令’窗口（圖12），同時(shí)系統(tǒng)會自動鎖定當(dāng)前已經(jīng)登錄的用戶名，用戶只需輸入新口令修改口令即可。（注意：用戶只需要登錄隔離裝置一次，如果與隔離裝置的連接沒有斷開，登陸的用戶權(quán)限一直有效）圖11圖122）用戶察看：點(diǎn)擊‘用戶管理’菜單下的‘察看用戶’選項(xiàng)察看用戶。察看用戶需要使用超級用戶root身份登錄（圖13），登錄成功后，會出現(xiàn)導(dǎo)出用戶列表進(jìn)度條。導(dǎo)出成功后會自動彈出‘用戶列表’窗口（圖14），超級用戶在這里可以添加或刪除普通用戶。添加或刪除用戶后，點(diǎn)擊‘上傳’按鈕系統(tǒng)會自動更新用戶列表。（注意：系統(tǒng)禁止刪除超級用戶root）圖13圖14日志管理‘日志管理’功能用于查看隔離裝置的運(yùn)行日志，以供用戶分析隔離裝置的運(yùn)行狀況。登錄成功后，會出現(xiàn)系統(tǒng)日志分析界面如下圖15所示，輸入你要導(dǎo)出日志的鏈路號，點(diǎn)擊“確定”按鈕，成功后會自動下載日志到‘日志列表’窗口（圖16），點(diǎn)擊‘保存分析結(jié)果’按鈕可以將日志保存到本地文件。圖15圖16系統(tǒng)調(diào)試隔離裝置提供了一個(gè)非常實(shí)用的系統(tǒng)診斷工具，用來診斷隔離裝置與網(wǎng)絡(luò)的連接是否正常。點(diǎn)擊‘系統(tǒng)調(diào)試’菜單下的‘系統(tǒng)診斷工具’選項(xiàng)診斷網(wǎng)絡(luò)連接情況（圖17）。Ping診斷命令：“診斷命令”提供了“「行8”命令。通過此命令可以用來診斷隔離裝置是否與內(nèi)外網(wǎng)絡(luò)物理連接正常。圖17系統(tǒng)診斷工具以下是一個(gè)網(wǎng)絡(luò)連接診斷示例：圖18網(wǎng)絡(luò)連接診斷示例圖內(nèi)網(wǎng)主機(jī)真實(shí)地址為192.168.10.100,虛地址為192.168.20.240；外網(wǎng)主機(jī)真實(shí)地址為192.168.20.100,虛地址為192.168.10.240。假設(shè)隔離裝置與內(nèi)外網(wǎng)絡(luò)已經(jīng)連接好,并且已經(jīng)配置好規(guī)則。具體診斷步驟如下所述:1、首先測試隔離裝置與內(nèi)網(wǎng)的連接是否正常。將配置串口線連接到隔離裝置的內(nèi)網(wǎng)配置口，連接串口成功后,選擇系統(tǒng)診斷界面中的Ping命令,源地址輸入外網(wǎng)主機(jī)的虛地址，目的地址輸入內(nèi)網(wǎng)主機(jī)的真實(shí)地址。本例中源地址輸入192.168.10.240,目的地址輸入192.168.10.100。2、點(diǎn)擊‘開始調(diào)試’按鈕,系統(tǒng)會提示正在導(dǎo)出系統(tǒng)調(diào)試信息。如果診斷信息為Pingsuccess:192.168.10.100to192.168.10.100,則表示隔離裝置與內(nèi)網(wǎng)網(wǎng)絡(luò)連接正常（圖19）。否則診斷信息應(yīng)為Pingerror。圖19網(wǎng)絡(luò)連接診斷結(jié)果3、測試隔離裝置與外網(wǎng)的連接是否正常,與測試內(nèi)網(wǎng)連接類似。將配置串口線連接到隔離裝置的外網(wǎng)配置口，源地址應(yīng)該輸入內(nèi)網(wǎng)主機(jī)的虛地址(192.168.20.240)，目的地址輸入外網(wǎng)主機(jī)的真實(shí)地址(192.168.20.100)。2)遠(yuǎn)程Ping診斷命令：為了方便用戶進(jìn)行網(wǎng)絡(luò)鏈路診斷，隔離裝置支持遠(yuǎn)程Ping診斷。具體診斷步驟如下所述：1、首先測試隔離裝置與內(nèi)網(wǎng)的連接是否正常。在內(nèi)網(wǎng)通信計(jì)算機(jī)(如上圖所示的計(jì)算機(jī)192.168.10.100)上打開WindoWS命令行窗口，運(yùn)行Ping命令，目標(biāo)地址為外網(wǎng)的虛擬IP地址(192.168.10.240)。如果能Ping通外網(wǎng)的虛擬地址，則表示隔離裝置與內(nèi)網(wǎng)網(wǎng)絡(luò)連接正常，否則請檢查隔離裝置與內(nèi)網(wǎng)的網(wǎng)絡(luò)連接。2、測試隔離裝置與外網(wǎng)的連接是否正常,與測試內(nèi)網(wǎng)連接類似。在外網(wǎng)的通信計(jì)算機(jī)(如上圖所示的計(jì)算機(jī)192.168.20.100)上打開WindoWS命令行窗口，運(yùn)行Ping命令，目標(biāo)地址為內(nèi)網(wǎng)的虛擬IP地址(192.168.10.240)，如果能Ping通內(nèi)網(wǎng)的虛擬地址，則表示隔離裝置與外網(wǎng)網(wǎng)絡(luò)連接正常，否則請檢查隔離裝置與外網(wǎng)的網(wǎng)絡(luò)連接。4典型應(yīng)用環(huán)境配置案例網(wǎng)絡(luò)安全隔離裝置針對電力系統(tǒng)四安全區(qū)的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，采用多種形式滿足二次系統(tǒng)安全防護(hù)體系的要求。二層交換機(jī)模式配置網(wǎng)絡(luò)環(huán)境描述：內(nèi)網(wǎng)主機(jī)為客戶端，IP地址為192.168.10.100,虛擬IP為192.168.20.240,MAC地址為AA-EE-BB-EC-Cd-DE;外網(wǎng)主機(jī)為服務(wù)端，IP地址為192.168.20.100,虛擬IP為192.168.10.240,MAC地址為AA-EE-BB-EC-CE-DF,假設(shè)SerVer程序數(shù)據(jù)接收端口為9000。圖20二層交換機(jī)網(wǎng)絡(luò)拓?fù)鋱D基本信息規(guī)則名稱：Tcp-IickJ協(xié)詼類型：TCF內(nèi)網(wǎng)酒置工F地址： 192.1&8.10.100外網(wǎng)我置工F地址: 192,168.20,100MAC:M-EE-BB-EC-CB-IEMAC:AA-EE-BB-EC-CE-Df虛概TP: 192,16S,20.240虛概工P: 192,16S,i0,≥40延時(shí)；10端口；9000圖21注意:如果隔離裝，虛擬置兩邊主機(jī)是同一網(wǎng)段IP地址與真實(shí)的IP地址可以設(shè)置相同。例如主機(jī)C(192.168.10.100)，與主機(jī)D(192.168.10.200)進(jìn)行通信，此時(shí)可以把主機(jī)C的虛擬IP地址設(shè)置為192.168.10.100，主機(jī)D的虛擬IP地址設(shè)置為192.168.10.200。三層交換機(jī)模式配置網(wǎng)絡(luò)環(huán)境描述：內(nèi)網(wǎng)主機(jī)為客戶端，IP地址為192.168.10.115；外網(wǎng)主機(jī)為服務(wù)端，IP地址為192.168.20.248,假設(shè)Server程序數(shù)據(jù)接收端口為9000。隔離裝置兩端連接的交換機(jī)為三層交換機(jī)(具有路由功能)。三層交換機(jī)與隔離裝置內(nèi)網(wǎng)口連接的Vlan段的IP地址為192.168.18.135，MAC地址00-E0-DE-ED-34-E5。三層交換機(jī)與隔離裝置外網(wǎng)口連接的Vlan段的IP地址為192.168.18.136，MAC地址為00-E0-DE-ED-78-F7。由于隔離裝置兩端三層交換機(jī)路由功能的存在會修改經(jīng)它轉(zhuǎn)發(fā)出去的數(shù)據(jù)報(bào)文的源MAC地址，修改為三層交換機(jī)本身的MAC地址，同時(shí)隔離裝置兩端三層交換機(jī)之間要交換ARP報(bào)文，因此在規(guī)則設(shè)置時(shí)，需要同時(shí)配置兩條規(guī)則：一條規(guī)則為內(nèi)網(wǎng)主機(jī)與外網(wǎng)主機(jī)之間實(shí)際通信的規(guī)則，其中內(nèi)頌AC地址應(yīng)填寫與隔離裝置內(nèi)網(wǎng)口連接的三層交換機(jī)的MAC地址，外網(wǎng)MAC地址應(yīng)填寫與隔離裝置外網(wǎng)口連接的三層交換機(jī)的MAC地址，必須設(shè)置內(nèi)外網(wǎng)MAC地址綁定。另外一條規(guī)則為兩臺三層交換機(jī)之間交換ARP報(bào)文的規(guī)則，MAC地址的設(shè)置與上一條規(guī)則相同。（此模式用戶暫時(shí)不用配置）圖22實(shí)際通信規(guī)則配置:圖23基本信息物則名稱：Tcp_Arp協(xié)議類型：TCP內(nèi)網(wǎng)配置工T地址： 192,L6θ,1S,135外網(wǎng)配置工P地址： 132.ieS,1S,136ΓAJC: 00-EC-DE-ED-34-E5MAC: OO-EO-DI-ED-Ts-FT虛擬工F：192.l.6θ,18.135虛概工F： 192.168.18.136延時(shí)：10端口：9000圖245附錄串口故障診斷用戶在配置隔離裝置的時(shí)候，如果出現(xiàn)串口連接反復(fù)失敗的情況，可能是由于以下原因造成，請按照以下步驟對串口進(jìn)行診斷：1、串口的COM端口選擇不正確。查看串口配置線與計(jì)算機(jī)的哪一個(gè)串口連接。一般來說計(jì)算機(jī)自帶的串口A為COM1，串口B為COM2。如果是使用USB轉(zhuǎn)串口線額外增加的串口，需要打開“設(shè)備管理器”，在端口選項(xiàng)下具體查看串口使用的COM端口，確認(rèn)COM端口選擇正確。2、隔離裝置配置串口故障。將配置程序的速率設(shè)置為‘115200’，數(shù)據(jù)流控制設(shè)置為‘無’。重新啟動隔離裝置，等待網(wǎng)閘重啟（約1分鐘左右）如果用客戶端配置程序內(nèi)網(wǎng)外均登錄不了網(wǎng)閘規(guī)則配置界面，說明此串口連接有問題，請聯(lián)系網(wǎng)閘技術(shù)支持人員。3、配置計(jì)算機(jī)串口兼容性不好或串口配置線已壞。使用配置軟件始終無法連接到隔離裝置，請?jiān)谂渲糜?jì)算機(jī)的“設(shè)備管理器”的端口選項(xiàng)下將相應(yīng)的COM端口速率設(shè)置為‘115200’，數(shù)據(jù)流控制設(shè)置為‘無’，重新?lián)Q一根配置串口線后再次重試。4、隔離裝置負(fù)荷較重。隔離裝置負(fù)荷較重時(shí)，CPU使用率過高，串口通訊進(jìn)程可能無法及時(shí)得到CPU響應(yīng)。建議選擇隔離裝置負(fù)荷較輕時(shí)重試或重啟。5、隔離裝置反復(fù)重啟，請與本公司聯(lián)系。網(wǎng)絡(luò)故障診斷用戶在使用隔離裝置的時(shí)候，如果內(nèi)外網(wǎng)無法正常通訊，請按照以下步驟對網(wǎng)絡(luò)進(jìn)行診斷：1、確認(rèn)內(nèi)外網(wǎng)主機(jī)與隔離裝置物理連接正常。隔離裝置現(xiàn)在支持直接Ping功能，內(nèi)網(wǎng)主機(jī)直接Ping外網(wǎng)主機(jī)的虛擬IP，如果成功說明內(nèi)網(wǎng)主機(jī)與隔離裝置物理連接正常；外網(wǎng)主機(jī)直^ing內(nèi)網(wǎng)主機(jī)的虛擬IP，如果成功說明外網(wǎng)主機(jī)與隔離裝置物理連接正常。如果Ping失敗，請仔細(xì)檢查內(nèi)外網(wǎng)主機(jī)與網(wǎng)絡(luò)的物理連接及連接的網(wǎng)口信號指示燈。2、隔離裝置規(guī)則配置參數(shù)錯(cuò)誤。請仔細(xì)閱讀《典型應(yīng)用隔離方案規(guī)則設(shè)定范例》一節(jié)，確認(rèn)規(guī)則配置正確，或者尋求本公司的技術(shù)支持。3、內(nèi)外網(wǎng)通訊程序沒有按照隔離裝置的內(nèi)的編程原則設(shè)計(jì)。請使用隨機(jī)光盤上的測試軟件測試內(nèi)外網(wǎng)的數(shù)據(jù)通訊是否正常。虛擬主機(jī)IP、靜態(tài)NAT介紹為了實(shí)現(xiàn)處于不同網(wǎng)段的主機(jī)之間的相互訪問，隔離裝置采用了虛擬IP、靜態(tài)NAT技術(shù)。所謂的虛擬IP，就是在隔離裝置中針對內(nèi)外網(wǎng)的兩臺主機(jī)，虛擬出兩個(gè)IP地址，內(nèi)網(wǎng)主機(jī)虛擬出一個(gè)外網(wǎng)的IP地址，外網(wǎng)的主機(jī)虛擬出一個(gè)內(nèi)網(wǎng)的IP地址，這樣內(nèi)網(wǎng)主機(jī)就可以通過訪問外網(wǎng)主機(jī)的虛擬IP達(dá)到訪問外網(wǎng)主機(jī)的目的，同時(shí)外網(wǎng)主機(jī)也可以通過訪問內(nèi)網(wǎng)主機(jī)的虛擬IP達(dá)到訪問內(nèi)網(wǎng)主機(jī)的目的。有了以上兩個(gè)虛擬IP地址，內(nèi)外網(wǎng)主機(jī)之間的通訊被映射為兩個(gè)部分：內(nèi)網(wǎng)對內(nèi)網(wǎng)的通訊，外網(wǎng)對外網(wǎng)的通訊。具體示例如圖47所示：內(nèi)網(wǎng)主機(jī)IP地址為192.168.0.39,分配一個(gè)與外網(wǎng)主機(jī)在同一網(wǎng)段的虛擬IP地址202.102.93.1；外網(wǎng)主機(jī)IP地址為202.102.93.54,分配一個(gè)與內(nèi)網(wǎng)主機(jī)在同一網(wǎng)段的虛擬IP地址192.168.0.1。當(dāng)內(nèi)網(wǎng)主機(jī)上的Client端向外網(wǎng)主機(jī)上的SerVer端發(fā)起TCP連接請求時(shí)，報(bào)文的源IP地址為192.168.0.39，目的IP地址為外網(wǎng)主機(jī)的虛擬IP地址192.168.0.1。經(jīng)過隔離裝置的NAT轉(zhuǎn)換后，到達(dá)外網(wǎng)的報(bào)文的源IP地址為內(nèi)網(wǎng)主機(jī)的虛擬IP地址202.102.93.1,目的IP地址為外網(wǎng)主機(jī)的IP地址202.102.93.54。從外網(wǎng)主機(jī)到內(nèi)網(wǎng)主機(jī)的TCP應(yīng)答報(bào)文源IP地址是外網(wǎng)主機(jī)的IP地址202.102.93.54，目的IP地址是內(nèi)網(wǎng)主機(jī)的虛擬IP地址202.1