SMC-2000裝置管理系統(tǒng)-用戶使用手冊

精品文檔SMC-2000裝置管理系統(tǒng)用戶手冊南京南瑞集團公司信息系統(tǒng)分公司（版權(quán)所有 翻版必究）1歡迎下載。精品文檔目錄目錄2第一章、產(chǎn)品簡介41.1 簡介41.2 物品清單51.3 軟件使用環(huán)境5第二章、軟件使用說明62.1、軟件安裝62.2、系統(tǒng)登錄62.3、系統(tǒng)初始化91、添加CA證書102、添加OP證書103、測試硬件104、修改PIN碼102.4、系統(tǒng)設(shè)置111、設(shè)置定時查詢和sping時間間隔112、設(shè)置服務(wù)器IP123、設(shè)置系統(tǒng)名稱124、設(shè)置實時畫面背景色125、設(shè)置默認(rèn)布局132.5、節(jié)點管理141、增加區(qū)域節(jié)點：142、增加裝置節(jié)點：153、編輯節(jié)點（地區(qū)或裝置）164、刪除節(jié)點（地區(qū)或裝置）175、移動或復(fù)制節(jié)點172.6、裝置管理181.裝置查詢功能182.裝置管理功能223.其他功能282.7、系統(tǒng)服務(wù)311、啟停定時查詢312、查詢系統(tǒng)日志323、Syslog日志分析324、裝置時間同步33第三章、問題與解答34第四章、客戶服務(wù)35第一章、產(chǎn)品簡介1.1 簡介SMC-2000裝置管理系統(tǒng)（以下簡稱SMC）是南京南瑞集團信息系統(tǒng)公司為配合縱向加密認(rèn)證裝置的大規(guī)模部署和管理，遵循通用開放、功能齊全、運行穩(wěn)定、簡單易用和跨平臺部署的設(shè)計原則，自主研制并推出的。SMC可為電力公司及下屬單位所轄的加密認(rèn)證裝置提供集中的、在線的遠程安全管理服務(wù)，它通過經(jīng)認(rèn)證加密的管理報文以在線方式實現(xiàn)對不同廠家的縱向加密認(rèn)證裝置的實時監(jiān)測和管理。其部署示意圖如下：圖1.1 部署示意圖1.2 物品清單u 標(biāo)準(zhǔn)1U服務(wù)器一臺u 電源線兩根u 網(wǎng)線一根u 串口線一根u 機箱鑰匙一套u 智能卡兩張u 使用手冊一本u 光盤一張u 物品清單一張u 質(zhì)檢卡一張1.3 軟件使用環(huán)境軟件環(huán)境裝有Java虛擬機（JDK1.6）的任何操作系統(tǒng)硬件環(huán)境CPU：1 GHz 32 位 (x86) 或 64 位 (x64) 內(nèi)存：512 MB系統(tǒng)內(nèi)存及以上顯卡：標(biāo)準(zhǔn)VGA，24位真彩色 其它：光驅(qū)、鼠標(biāo)第二章、軟件使用說明2.1、軟件安裝SMC是基于Java虛擬機（JDK1.6）開發(fā)的軟件產(chǎn)品，必須運行在Java虛擬機上，所以您的電腦必須先裝光盤中附帶的JDK1.6版本Java虛擬機?？截惞獗P中的smc-2000.jar，perties和Readme.txt三個文件至您的電腦中，請確保在同一目錄下。其中smc-2000.jar是客戶端主程序，perties是客戶端配置文件，Readme.txt是客戶端版本更新說明。2.2、系統(tǒng)登錄請先確認(rèn)客戶端程序所在的電腦與裝置管理系統(tǒng)服務(wù)器在網(wǎng)絡(luò)上可達。用寫字板程序打開pertier文件，修改ServerIP的值4為服務(wù)器的IP地址并保存。如下圖所示：#Update SpingTime value-最新一次修改的配置項#Tue Apr 20 10:58:10 CST 2010-最新一次修改的時間ServerIP=4-服務(wù)端IP地址SysName=smc-2000-系統(tǒng)名字BGColor=-1-背景顏色PerformanceTime=5000-性能查詢和流量查詢的刷新時間（毫秒）ntpIP=3-NTP服務(wù)器IP地址SpingTime=20000-sping查詢的查詢間隔時間（毫秒）SocketTimeOut=5000-客戶端與服務(wù)端通信的超時時間（毫秒）圖2.2.1 配置文件雙擊smc-2000.jar啟動客戶端軟件，出現(xiàn)如下界面，要求驗證KEK卡：圖2.2.2 KEK卡PIN碼驗證對話框請先在服務(wù)端讀卡器上插入KEK卡，然后輸入初始密碼：1234abcd通過KEK卡驗證后出現(xiàn)請求操作員卡PIN碼驗證對話框，如下圖所示：圖2.2.3 操作員卡PIN碼驗證對話框請在服務(wù)器讀卡器上插入操作員卡，然后輸入初始密碼：1234abcd注意：如果連續(xù)三次輸錯KEK卡密碼，則KEK卡會鎖死失效，需要重新制作！如果連續(xù)三次輸錯操作員卡密碼，客戶端會自動退出。輸入正確的密碼后即成功登陸裝置管理系統(tǒng)。下圖為測試環(huán)境的一個截圖，在此作為參考：圖2.2.4 程序主界面圖2.2.5 以列表方式顯示裝置節(jié)點界面說明： 圖2.2.4是客戶端主界面，上側(cè)是菜單及快捷圖標(biāo)；左側(cè)是所轄裝置的樹形結(jié)構(gòu)；右側(cè)上為實時動態(tài)圖標(biāo)顯示，右側(cè)下為實時信息滾動顯示。其中表示裝置節(jié)點sping查詢正常，即網(wǎng)絡(luò)上可達；表示裝置節(jié)點sping查詢不正常，可能是裝置問題也可能是網(wǎng)絡(luò)問題，需要排查。藍線表示兩臺裝置間隧道協(xié)商正常，紅線表示隧道協(xié)商不正?；蛘哌€沒進行隧道狀態(tài)查詢。 圖2.2.5是圖表顯示的簡化，以列表方式顯示所轄節(jié)點。便于在節(jié)點多的情況下通過點擊列表頭實現(xiàn)排序，從而快速找到要查詢的節(jié)點。紅色背景表示裝置節(jié)點sping查詢不正常，可能是裝置問題也可能是網(wǎng)絡(luò)問題，需要排查。2.3、系統(tǒng)初始化您初次登陸系統(tǒng)后，首先需進行系統(tǒng)初始化操作。初始化操作的內(nèi)容包括裝置管理系統(tǒng)密鑰對生成、證書請求文件導(dǎo)出等（證書請求文件導(dǎo)出后，由數(shù)字證書服務(wù)系統(tǒng)簽發(fā)為裝置管理系統(tǒng)的數(shù)字證書）。具體操作步驟如下：1) 點擊“初始化”中的“系統(tǒng)密鑰初始化”菜單，系統(tǒng)自動生成裝置管理系統(tǒng)公私密鑰對。2) 點擊“初始化”中的“生成證書請求”菜單，填寫好相應(yīng)的內(nèi)容后，生成證書請求文件。圖2.3.1 初始化菜單圖2.3.2 生成證書請求文件待證書系統(tǒng)簽發(fā)好證書后，進行部分證書的導(dǎo)入工作，此操作通過“安全管理”來實現(xiàn)，在完成這一步驟后，系統(tǒng)將處于正常工作狀態(tài)：圖2.3.3 安全管理1、 添加CA證書CA證書是由證書系統(tǒng)簽發(fā)的根證書，主要是用來驗證加密裝置證書。圖2.3.4 添加CA證書2、 添加OP證書OP證書是由證書系統(tǒng)簽發(fā)的操作員證書，用來驗證操作員是否合法。添加對話框與上類似。3、 測試硬件可以通過客戶端來檢測服務(wù)端的加密卡和讀卡器是否存在故障。4、 修改PIN碼修改兩張智能卡的密碼，修改時需要插入相應(yīng)的智能卡。2.4、系統(tǒng)設(shè)置 這里主要是對系統(tǒng)進行一些基本設(shè)置，如下圖所示：圖2.4.1 系統(tǒng)設(shè)置1、 設(shè)置定時查詢和sping時間間隔共分三種查詢，sping查詢，設(shè)備狀態(tài)查詢和隧道狀態(tài)查詢。設(shè)置的時間間隔按節(jié)點數(shù)的多少而定。Sping查詢一般設(shè)為一分鐘以內(nèi)，裝置狀態(tài)查詢一般設(shè)為半小時左右，隧道狀態(tài)查詢一般設(shè)為一小時左右。圖2.4.2 設(shè)置sping間隔圖2.4.3 設(shè)置查詢間隔2、 設(shè)置服務(wù)器IP用來設(shè)置登陸服務(wù)器的ip，作用與手動修改配置文件一樣。圖2.4.4 設(shè)置服務(wù)器IP地址3、 設(shè)置系統(tǒng)名稱用來設(shè)置軟件的標(biāo)題欄顯示的名稱。圖2.4.5 設(shè)置系統(tǒng)名稱4、 設(shè)置實時畫面背景色可以根據(jù)自己的喜好來設(shè)置背景色，默認(rèn)是灰色。圖2.4.6 設(shè)置背景色5、 設(shè)置默認(rèn)布局在節(jié)點數(shù)量多而亂的情況下，可以通過這個功能來重新對節(jié)點進行布局。2.5、節(jié)點管理節(jié)點管理是指對裝置管理系統(tǒng)所轄的裝置按照不同的類別（地域、廠站級別或資產(chǎn)所屬等）分類進行管理，即對主界面左邊的樹形結(jié)構(gòu)進行增刪改操作。圖2.5.1 節(jié)點管理您可以通過主界面的節(jié)點管理菜單進行操作。具體的操作主要有增加區(qū)域節(jié)點、增加裝置節(jié)點、刪除選中節(jié)點、編輯選中節(jié)點、移動或復(fù)制選中節(jié)點等。同樣，您也可以通過主界面左側(cè)的樹形列表右鍵菜單直接實現(xiàn)節(jié)點管理（右鍵菜單比“節(jié)點管理”菜單多了一個“移動或復(fù)制節(jié)點”菜單）。1、 增加區(qū)域節(jié)點：在界面左側(cè)的樹形列表中選中根節(jié)點或某個區(qū)域節(jié)點點擊右鍵，選擇增加區(qū)域節(jié)點操作，如下圖所示。配置信息填寫完成后，界面左側(cè)樹形列表會實時將新加入的區(qū)域節(jié)點顯示出來。這里要注意的是“SMC地址”必須準(zhǔn)確填寫服務(wù)器的ip地址。此地址用來跟此區(qū)域節(jié)點下的縱向裝置進行網(wǎng)絡(luò)通信。若填錯，將導(dǎo)致通信失敗。圖2.5.2 增加區(qū)域節(jié)點2、 增加裝置節(jié)點：區(qū)域節(jié)點添加完成后，可以增加本區(qū)域所管轄的裝置節(jié)點，按下圖所示填入相關(guān)的信息。其中裝置IP地址不可以重復(fù)，證書文件為所管理加密網(wǎng)關(guān)的設(shè)備證書，界面左側(cè)樹形列表會實時將新加入的裝置節(jié)點顯示出來。圖2.5.3 增加裝置節(jié)點添加區(qū)域節(jié)點和裝置節(jié)點后，在裝置管理系統(tǒng)操作界面的右側(cè)點擊相應(yīng)的節(jié)點會實時地顯示所屬區(qū)域和裝置的描述信息。3、 編輯節(jié)點（地區(qū)或裝置） 在左側(cè)樹形結(jié)構(gòu)上選擇需要編輯的節(jié)點，右鍵選擇編輯節(jié)點，如果選擇的是區(qū)域節(jié)點，則在如下窗口中進行編輯：圖2.5.4 編輯區(qū)域節(jié)點如果選擇的是裝置節(jié)點，則在如下窗口中進行編輯，可以對名稱，ip，所屬父節(jié)點，裝置模式和裝置證書進行修改：圖2.5.5 編輯裝置節(jié)點4、 刪除節(jié)點（地區(qū)或裝置） 刪除節(jié)點分為刪除區(qū)域節(jié)點和刪除裝置節(jié)點。如果需要刪除區(qū)域節(jié)點，在裝置管理系統(tǒng)主界面左側(cè)選中相應(yīng)區(qū)域節(jié)點，點擊右鍵，然后選擇“刪除選中節(jié)點”。如果需要刪除裝置節(jié)點，在裝置管理系統(tǒng)主界面左側(cè)選中相應(yīng)裝置節(jié)點，點擊右鍵，然后選擇“刪除選中節(jié)點”。注意：如果刪除裝置節(jié)點，則裝置的隧道、策略信息也都會被刪除。 如果刪除選中區(qū)域節(jié)點，則該地區(qū)的子區(qū)域及子區(qū)域下的裝置以及裝置的信息都會被刪除，因此執(zhí)行此操作必須慎重考慮。圖2.5.6 刪除節(jié)點5、 移動或復(fù)制節(jié)點 此功能主要是為了方便用戶修改裝置節(jié)點的所屬父節(jié)點，既可以直接修改父節(jié)點也可以生成個不同父節(jié)點下的備份，便于實時監(jiān)控顯示。如果您需要移動或復(fù)制裝置節(jié)點，請在裝置管理系統(tǒng)主界面左側(cè)選中相應(yīng)裝置節(jié)點，點擊右鍵，然后選擇“移動或復(fù)制節(jié)點”。圖2.5.7 移動或復(fù)制節(jié)點2.6、裝置管理裝置管理是指對裝置管理系統(tǒng)所轄的縱向裝置進行遠程實時管理?？梢栽趯崟r畫面或列表中可選擇節(jié)點，通過右鍵菜單進行操作。圖2.6.1 裝置管理裝置管理包括如下內(nèi)容：1. 裝置查詢功能l 裝置狀態(tài)查詢在列表顯示區(qū)需要查詢的裝置上點擊右鍵，選擇“加密裝置查詢”-“裝置狀態(tài)查詢”。若網(wǎng)絡(luò)或裝置存在問題，則返回超時信息，如下圖所示： 圖2.6.2 查詢裝置狀態(tài)超時提示框如成功，則返回相應(yīng)的裝置信息，如下圖所示。圖2.6.3 裝置狀態(tài)信息查詢l 裝置日志查詢在列表顯示區(qū)需要查詢的裝置上點擊右鍵，選擇“加密裝置查詢”-“裝置日志查詢”。有兩種查詢方式：按時間段查詢和按條數(shù)查詢。圖2.6.4按時間段查詢?nèi)罩緢D2.6.5 按條數(shù)查詢?nèi)罩緇 裝置鏈路查詢通過此功能，可以查看到裝置上的鏈路情況，每條鏈路匹配到的隧道和策略也能全部列出來，能夠幫助用戶排查問題。圖2.6.6 鏈路查詢裝置性能查詢和流量查詢 此功能能反映出裝置的cpu和內(nèi)存使用情況，以及加解密包數(shù)，實現(xiàn)對裝置的實時監(jiān)控。圖2.6.7實時流量圖圖2.6.8實時性能圖2. 裝置管理功能此菜單下的子菜單能夠?qū)崿F(xiàn)對裝置的各項配置的增刪改查功能，以下一一介紹：l 系統(tǒng)配置系統(tǒng)配置主要是配置加密裝置的裝置管理系統(tǒng)地址，證書和日志審計服務(wù)器地址。圖2.6.9 系統(tǒng)配置l 網(wǎng)絡(luò)配置網(wǎng)絡(luò)配置主要是配置加密裝置的網(wǎng)卡地址（具體配置方法請參考加密裝置使用說明書）圖2.6.10 網(wǎng)絡(luò)配置l 路由配置路由配置主要配置加密裝置的路由規(guī)則，或者策略路由（具體配置方法請參考加密裝置使用說明書）圖2.6.11 路由配置l 裝置隧道管理V1裝置隧道管理包括查詢隧道、遍歷隧道、添加隧道、刪除隧道、重置隧道、設(shè)置隧道工作模式等。這是裝置管理系統(tǒng)使用最頻繁的功能之一。a) 查詢隧道在界面右側(cè)的實時畫面區(qū)，選中需要查詢的裝置，點擊右鍵，選擇裝置隧道管理，如下圖所示。在隧道管理主界面左側(cè)顯示的是裝置的隧道列表，單擊隧道號即可在右側(cè)的界面中會實時顯示出該條隧道的相關(guān)信息。如隧道的當(dāng)前工作狀態(tài)、工作模式、加解密報文統(tǒng)計等。隧道列表能通過點擊表頭進行升降序排列。圖2.6.12 裝置隧道管理主界面b) 添加隧道在上圖所示的隧道管理主界面，選擇“添加隧道”按鈕，會彈出添加隧道界面，填寫對端裝置的IP地址、互備裝置地址（沒有互備則填寫0）、工作模式等。圖2.6.13 添加隧道點擊“確認(rèn)”后系統(tǒng)會彈出如下對話框，提示對端裝置同步添加隧道：（本例是在裝置1添加到裝置3的隧道）圖2.6.14 隧道同步點擊“確定”，自動彈出對端裝置的添加隧道對話框。注意：兩端的隧道都添加完成后，還需要導(dǎo)入對端裝置證書，進行協(xié)商通訊！請參見2.6.5證書替換。 c) 刪除隧道在隧道管理主界面左側(cè)選中相應(yīng)的隧道號，點擊“刪除隧道”按鈕，則會刪除相關(guān)的隧道信息。d) 設(shè)置隧道工作模式隧道的工作模式分為明通、密通、選擇性加密。在隧道管理主界面左側(cè)選中相應(yīng)的隧道號，點擊“設(shè)置模式”按鈕，將對隧道的工作模式進行設(shè)置，如下圖所示。圖2.6.15 設(shè)置隧道e) 遍歷隧道遍歷隧道用于將裝置的所有相關(guān)隧道信息寫入裝置管理系統(tǒng)的數(shù)據(jù)庫內(nèi)，在裝置添加新隧道或者初次查詢裝置隧道時請執(zhí)行此操作。保存裝置的隧道之后，就可以在實時界面中監(jiān)控查詢各個隧道的狀態(tài)，觀察隧道工作是否正常等。l 裝置隧道管理V2此功能跟隧道管理V1差不多，區(qū)別在于V1側(cè)重于查詢單條隧道的詳細信息，V2側(cè)重于查詢?nèi)克淼赖目傆[信息（增刪改查功能與V1類似，這里不重復(fù)了）圖2.6.16 隧道管理V2l 裝置策略管理V1裝置策略管理包括查詢策略、添加策略、刪除策略、保存策略等。策略從屬于隧道，因此需要先選中相關(guān)的隧道后再進行策略的操作。這也是裝置管理系統(tǒng)使用最頻繁的功能之一。a) 查詢策略在策略管理主界面左側(cè)選中某條隧道，右側(cè)就會列出所選隧道的所有安全策略，如下圖所示。策略內(nèi)容包括源起始地址、源終止地址、目標(biāo)起始地址、目標(biāo)終止地址、方向、協(xié)議、加密方式、源起始端口和源終止端口、目的起始端口和目的終止端口等。隧道列表能通過點擊表頭進行升降序排列。圖2.6.17 隧道安全策略管理主界面b) 添加策略在策略管理主界面左側(cè)選中相應(yīng)的隧道號，點擊“添加策略”按鈕，如下圖所示。圖2.6.18 添加策略點擊“確認(rèn)”，彈框提示是否同步更新對端裝置策略：圖2.6.19 策略同步若需要同步更新，則自動轉(zhuǎn)到對端裝置的策略添加對話框。具體填寫要求可以參考加密認(rèn)證網(wǎng)關(guān)用戶手冊中的相關(guān)說明。c) 刪除策略選擇相應(yīng)的策略號，點擊“刪除策略”按鈕，刪除選中的安全策略。刪除完畢彈框提示修改對應(yīng)策略。d) 編輯策略選擇相應(yīng)的策略號，點擊“編輯策略”，即可修改策略各參數(shù)。刪除完畢彈框提示修改對應(yīng)策略。e) 復(fù)制策略選擇相應(yīng)的策略號，點擊“復(fù)制策略”，即可以選中的策略為基礎(chǔ)，進行必要修改后生成為新的策略。同“添加策略”,也會提示是否同步更新對端裝置策略。l 裝置策略管理V2此功能跟策略管理V1差不多，區(qū)別在于V1側(cè)重于查詢單條隧道上的策略信息，V2側(cè)重于查詢?nèi)克淼郎系娜坎呗孕畔ⅲㄔ鰟h改查功能與V1類似，這里不重復(fù)了）圖2.6.20 策略管理V23. 其他功能l 證書替換 裝置管理系統(tǒng)支持采用加密管理報文對所管轄的縱向加密網(wǎng)關(guān)進行證書替換操作，如果選擇的證書與已有證書名不重復(fù)，則為添加證書。替換證書操作用于對加密裝置的的證書進行更新。在界面右側(cè)的實時畫面區(qū)，選中需要查詢的裝置，點擊右鍵，選擇“裝置證書替換”，如下圖所示圖2.6.21 證書替換l 裝置重啟在所屬區(qū)域加密網(wǎng)關(guān)出現(xiàn)異?；蛘咝枰{(diào)試時，可以使用此命令。裝置重啟成功或失敗都會返回相應(yīng)的消息。裝置重啟需要一段時間（大約20秒），等裝置完全啟動后，可以對裝置進行其它的操作。圖2.6.22 裝置重啟l 重置裝置策略ID此功能用來整理加密裝置的策略ID編號，特別在經(jīng)過多次增刪策略后。圖2.6.23 重置裝置策略IDl 導(dǎo)出規(guī)則備份此功能可以用來遠程導(dǎo)出加密裝置的規(guī)則備份，便于統(tǒng)一管理，便于加密裝置出現(xiàn)問題后及時恢復(fù)。圖2.6.24 導(dǎo)出規(guī)則備份l Syslog日志分析請參考2.7.3 syslog日志分析.2.7、系統(tǒng)服務(wù)系統(tǒng)服務(wù)主要是一些顯示的設(shè)置，包括刷新實時畫面，設(shè)置顯示模式和設(shè)置自動查詢選項。還包括日志查詢和時間同步功能。圖2.7.1 系統(tǒng)服務(wù)1、 啟停定時查詢啟停定時查詢是指對定時查詢的項目進行設(shè)置，包括sping查詢，裝置查詢和隧道查詢。打勾表示停止。圖2.7.2 啟停定時查詢這里的定時查詢是指裝置管理系統(tǒng)能夠通過定時器自動去對所轄裝置進行如上三種查詢，并把裝置的運行狀態(tài)在右側(cè)的實時畫面中動態(tài)刷新。2、 查詢系統(tǒng)日志查詢系統(tǒng)日志包括用戶操作的內(nèi)容和相關(guān)操作的完成情況，可以手動的將這些日志信息刪除。系統(tǒng)會以不同顏色區(qū)分不同類型的日志。查詢結(jié)果能通過點擊表頭進行升降序排列。圖2.7.3 系統(tǒng)日志查詢3、 Syslog日志分析Syslog日志分析是指對各個加密裝置發(fā)往裝置管理系統(tǒng)的日志進行統(tǒng)計分析，能夠分析出哪種類型的日志占的比重大；哪些加密裝置操作頻繁等等情況。圖2.7.4 syslog的TOP10圖2.7.5 查詢到的syslog日志4、 裝置時間同步此功能可以使裝置管理系統(tǒng)跟NTP服務(wù)器進行對時，然后再把時間同步到所轄的各個加密裝置，確保各個裝置的時間是準(zhǔn)確的。首先修改NTP服務(wù)器地址，然后點擊“修改信息”，此時保存了NTP服務(wù)器地址。點擊“同步SMC”