安全接入網(wǎng)關(guān)冗余功能使用手冊(cè)

1、安全接入網(wǎng)關(guān)冗余功能用戶手冊(cè)南瑞集團(tuán)公司2014年7月1.產(chǎn)品介紹31.1 產(chǎn)品概述31.2 冗余功能介紹32.環(huán)境需求33.環(huán)境拓?fù)?4.功能點(diǎn)分析45. 系統(tǒng)配置說明45.1 主AG設(shè)備配置45.2 備AG設(shè)備配置71. 產(chǎn)品介紹1.1 產(chǎn)品概述國家電網(wǎng)公司USAP3000信息安全接入系統(tǒng)是構(gòu)建堅(jiān)強(qiáng)智能電網(wǎng)信息安全接入體系的核心基礎(chǔ)安全防護(hù)設(shè)施，承擔(dān)智能電網(wǎng)各種復(fù)雜網(wǎng)絡(luò)環(huán)境下智能終端安全接入、實(shí)時(shí)監(jiān)控、數(shù)據(jù)安全傳輸與交換、主動(dòng)防御預(yù)警等重要功能。在本次的產(chǎn)品更新中，將會(huì)添加新增的主備的冗余切換功能；提高網(wǎng)絡(luò)的性能，增強(qiáng)網(wǎng)絡(luò)的及時(shí)恢復(fù)功能！1.2 冗余功能介紹當(dāng)網(wǎng)絡(luò)拓?fù)渲写嬖趦膳_(tái)SDS設(shè)備時(shí)

2、，并且SDS設(shè)備之間有多條冗余鏈路。因此，只要在網(wǎng)絡(luò)中找一臺(tái)SDS充當(dāng)核心，指明該活動(dòng)鏈路到集中監(jiān)管(MC)即。其他的備用SDS設(shè)備，將處于down狀態(tài)，鏈路全部被block（阻塞）。當(dāng)活動(dòng)鏈路失效之后，再啟用備用SDS設(shè)備，同時(shí)block（阻塞）鏈路作為活動(dòng)鏈路，從而保證網(wǎng)絡(luò)的連通性（提高網(wǎng)絡(luò)性能）。2. 環(huán)境需求硬件信息數(shù)量功能信息PC2臺(tái)擁有VPN客戶端軟件SSLVPN（安全接入網(wǎng)關(guān)）2臺(tái)擁有冗余功能的SSLVPN交換機(jī)2臺(tái)千兆網(wǎng)卡交換機(jī)SDS（數(shù)據(jù)交換設(shè)備）2臺(tái)擁有冗余功能的SDSMC(集中監(jiān)管設(shè)備)1臺(tái)正常配置MC3. 環(huán)境拓?fù)?冗余功能的測(cè)試拓?fù)洌ù藞D中的sslvpn都為小寫）4.

3、 功能點(diǎn)分析工作設(shè)備運(yùn)行狀態(tài)PCVPN客戶端工作正常，可以正常連接SSLVPN服務(wù)器SSLVPN（安全接入網(wǎng)關(guān)）vpn_server進(jìn)程工作正常，能夠讓VPN客戶端正常連接SSLVPN，實(shí)現(xiàn)冗余功能。交換機(jī)工作正常，如果高端交換機(jī)，需注意VLAN的配置SDS（數(shù)據(jù)交換）需要配置正常，代理規(guī)則配置OK，并且能夠?qū)崿F(xiàn)冗余功能。MC（集中監(jiān)管）配置正常，需要可以正常下發(fā)策略5. 系統(tǒng)配置說明5.1 主AG設(shè)備配置1、配置IP地址，eth1:192.168.1.1；eth2:2.0.0.12、注意：此次集中監(jiān)管服務(wù)IP為虛擬口的IP地址(此處為2.0.0.5)。3、配置vi /etc/sysconfi

4、g/network文件，修改內(nèi)容：HOSTNAME=sslvpn_1，為當(dāng)臺(tái)設(shè)備的名稱(配置后注意需要重新啟動(dòng))。rootUSAP $cat /etc/sysconfig/networkNETWORKING=yesHOSTNAME=sslvpn_1 #配置該設(shè)備的名稱配置主機(jī)名稱4、配置vi /etc/hosts文件，配置192.168.1.1的主機(jī)名為sslvpn_1，配置192.168.1.2的主機(jī)名為sslvpn_2。rootUSAP $cat /etc/hosts192.168.1.1 sslvpn_1 #配置主SSLVPN設(shè)備的，eth1的IP地址以及該設(shè)備的hostname192.

5、168.1.2 sslvpn_2 #配置備SSLVPN設(shè)備的，eth1的IP地址以及該設(shè)備的hostname5、配置vi /etc/ha.d/ha.cf文件rootUSAP $cat /etc/ha.d/ha.cfdebugfile /var/log/ha-debuglogfile /var/log/ha-loglogfacility local0keepalive 2deadtime 30warntime 10initdead 60udpport 694ucast eth1 192.168.1.2 #用于心跳檢測(cè)對(duì)端設(shè)備的健康狀況/設(shè)置當(dāng)前配置心跳的接口以及對(duì)端設(shè)備的IP地址ping_gro

6、up group1 192.168.1.2 192.168.1.10 #用于進(jìn)行檢測(cè)對(duì)端設(shè)備的健康狀況，PING這兩個(gè)IP地址，看是否都能夠PING通 （注意：建議此處如果有網(wǎng)關(guān)地址，可以配置網(wǎng)關(guān)地址）。ping_group group2 2.0.0.3 2.0.0.4 #同上respawn hacluster /usr/lib/heartbeat/ipfail #加入該命令：用于加ipfail插件，該插件主要用于PING包檢測(cè)，如果以上GROUP組中所有的IP地址都PING不通，則會(huì)DOWN掉虛擬接口，另外一臺(tái)的AG的虛擬口將會(huì)UP。auto_failback on #用于開啟是否進(jìn)行主備搶

7、占機(jī)制node sslvpn_1 #加入主的hostnamenode sslvpn_2 #加入備的hostname6、配置vi /etc/ha.d/haresources文件rootUSAP $cat /etc/ha.d/haresources sslvpn_1 IPaddr:192.168.1.3/24/eth1 ldirectord usap_sslvpn #該命令是用于配置主SSLVPN的名稱（注意：此處的名稱決定了哪臺(tái)sslvpn為主，兩端需一致），虛擬口的IP地址，與虛擬口綁定的端口eth1，以及需要拉起的進(jìn)程5.2 備AG設(shè)備配置1、配置IP地址，eth1:192.168.1.2；

8、eth2:2.0.0.22、注意：此次集中監(jiān)管服務(wù)IP為虛擬口的IP地址(此處為2.0.0.5)。3、配置vi /etc/sysconfig/network文件，修改內(nèi)容：HOSTNAME=sslvpn_2，為當(dāng)臺(tái)設(shè)備的名稱。（配置名稱后，設(shè)備需要重啟）rootUSAP $cat /etc/sysconfig/networkNETWORKING=yesHOSTNAME=sslvpn_2 #配置該設(shè)備的名稱配置主機(jī)名稱4、配置vi /etc/hosts文件，配置192.168.1.1的主機(jī)名為sslvpn_1，配置192.168.1.2的主機(jī)名為sslvpn_2。rootUSAP $cat /e

9、tc/hosts192.168.1.1 sslvpn_1 #配置主SSLVPN設(shè)備的，eth1的IP地址以及該設(shè)備的hostname192.168.1.2 sslvpn_2 #配置備SSLVPN設(shè)備的，eth1的IP地址以及該設(shè)備的hostname5、配置vi /etc/ha.d/ha.cf文件rootUSAP $cat /etc/ha.d/ha.cfdebugfile /var/log/ha-debuglogfile /var/log/ha-loglogfacility local0keepalive 2deadtime 30warntime 10initdead 60udpport 694

10、ucast eth1 192.168.1.1 #用于心跳檢測(cè)對(duì)端設(shè)備的健康狀況/設(shè)置當(dāng)前配置心跳的接口以及對(duì)端設(shè)備的IP地址ping_group group1 192.168.1.1 192.168.1.10 #用于進(jìn)行檢測(cè)對(duì)端設(shè)備的健康狀況，PING這兩個(gè)IP地址，看是否都能夠PING通（注意：建議此處如果有網(wǎng)關(guān)地址，可以配置網(wǎng)關(guān)地址）。ping_group group2 2.0.0.3 2.0.0.4 #同上respawn hacluster /usr/lib/heartbeat/ipfail #加入該命令：用于加ipfail插件，該插件主要用于PING包檢測(cè)，如果以上GROUP組中所有的IP地址都PING不通，則會(huì)DOWN掉虛擬接口，另外一臺(tái)的AG的虛擬口將會(huì)UP。auto_failback on #用于開啟是否進(jìn)行主備搶占機(jī)制node sslvpn_1 #加入主的hostnamenode sslvpn_2 #加入備的hostname6、配置vi /etc/ha.d/haresources文件rootUSAP $