登录

欢迎user新华三退出

国家 / 地区

  • 产品与解决方案
  • 行业解决方案
  • 服务
  • 支持
  • 合作伙伴
  • 新华三人才研学中心
  • 关于我们

H3C SecPath GAP2000系列安全隔离与信息交换系统 典型配置(E6005 E6006 E6008)-5W113

10-透明映射配置举例

本章节下载  (608.13 KB)

10-透明映射配置举例

目  录

1 简介

2 配置前提

3 H3C SecPath GAP2000透明映射配置举例

3.1 组网需求

3.2 使用版本

3.3 配置步骤

3.3.1 通过B/S方式登录网闸

3.3.2 网络配置

3.3.3 通道设置

3.3.4 源端路由设置

 

1 简介

本文档介绍了H3C SecPath GAP2000的透明映射配置举例。

H3C SecPath GAP2000用于隔离网络数据交换。提供HTTP、HTTP PROXY、SMTP、POP3、FTP、ORACLE、SIP-28281、RTSP等应用级检测通道。使用户可以在两边网络隔离的前提下，即底层TCP/IP协议彻底阻断的情况下，实现上述应用的互访。专用于解决医院、工商、税务、金融等行业隔离网络信息交换问题。

在某些特殊应用协议中，源端发起方必须访问目标实际IP。应用方无法通过调试客户端设置，来访问映射地址，因为不是所有协议都支持映射方式访问。比如ORACLE、SQL SERVER数据库集群，或者部分WEB服务。因为这类应用有个特点，就是会重定向第二次会话连接。服务端会将实际受理访问的IP放在第一次请求的响应报文中，返回给源端。源端发起的第二次访问会绕开配置好的网闸监听IP，直接向对端服务器实际IP发起访问。在这种情况下，需要这对这些特殊的IP配置透明映射通道。

2 配置前提

本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。

本文假设您已了解H3C SecPath GAP2000特性。

3 H3C SecPath GAP2000透明映射配置举例

3.1  组网需求

网闸虽然不能直接配置路由、桥接功能，但可以通过特殊的配置方法，实现类似于路由器或桥接的功能。这种配置方法被叫做透明映射。

如图3-1所示HOST1、HOST3代表外网访问的终端，HOST1和网闸外端同网段，HOST3同网闸外端不同网段。HOST2属于内网对外开放服务器。部署网闸后，配置1条应用通道，使得HOST1、HOST3可以通过服务器实际IP访问到内网的HOST2服务器。

图3-1 H3C SecPath GAP2000透明映射配置举例组网图

 

3.2  使用版本

本举例是在E6006P06版本上进行配置和验证的。

3.3  配置步骤

3.3.1  通过B/S方式登录网闸

通过网闸MAN管理口登录网闸，打开浏览器输入https://192.168.0.1，（MAN口为专用管理口，其它网口不允许管理配置网闸）

系统管理员默认账号：admin；默认密码：adminh3c

安全管理员默认账号：secrecy；默认密码：secrecyh3c

图3-2 登录界面

  

 

3.3.2  网络配置

该配置在系统管理员admin下操作

点击“网络管理”→“IP地址管理”→“内端机”，选中SLOT0/0网卡，设置网闸内端系统的IP。

图3-3 设置网闸内端系统的IP

 

点击“网络管理”>“IP地址管理”>“外端机”，选中SLOT0/0，点击“+”设置网闸外端系统的IP。

图3-4 设置外端系统IP，

 

其中，22.1.1.254是外端直连IP，可作为外网到内网184.0.0.219的下一条网关地址。额外添加的184.0.0.219/24是作为监听IP，此处的掩码和内网服务器实际网段无关。

图3-5 设置网闸外端路由

 

图3-6 设置网闸外端网关22.1.1.1

3.3.3  通道设置

该配置在安全管理员secrecy下操作

针对需要开放的服务，配置网闸通道，点击“通道管理”，如下图：

图3-7 通道管理

 

点击“添加通道”，监听IP选择和目标服务器相同IP。

图3-8 添加通道

 

图3-9 设置通道参数

 

该通道的作用是，外网请求方HOST1、HOST3，将数据请求发送到网闸外端184.0.0.219/接口上，网闸外端机184.0.0.219这个IP会将报文接收下来，并做信息落地处理，然后将请求摆渡到内网。随后以184.0.0.254这个连接IP作为源地址，将数据发给HOST2:184.0.0.219/24服务器上。这样就达到一个目的，网闸接收报文的目标IP和网闸发送出去的目标IP一致，对于源端HOST1、HOST3来说就好像路由到内网服务器，不需要为映射IP调整代码或修改配置文件（有些服务所使用的框架是无法修改底层会话机制的）。

图3-10 启用通道

 

3.3.4  源端路由设置

HOST1：22.1.1.80/24和网闸外端22.1.1.254/24是同网段，当HOST1要访问184.0.0.219时，需要自身添加静态路由，将网闸22.1.1.254/24视为下一跳地址。

设备

目标

下一跳网关

HOST1

184.0.0.219/32

22.1.1.254

 

HOST3：22.2.2.80/24和网闸外端22.1.1.254/24是不同网段，HOST3访问184.0.0.219的下一跳，需要指向三层设备，三层设备上的路由需要将184.0.0.219/32下一跳指向网闸22.1.1.254.

设备

目标

下一跳网关

HOST3

0.0.0.0/0.0.0.0

22.2.2.1

三层设备

184.0.0.219/32

22.1.1.254

 

不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!

新华三官网
联系我们