SJW07-A II型网络密码机使用说明书v2.2

版本号：V2.2 受控号：

SJW07-A II型网络密码机

使用说明书

SJW07-A II型.00SM

拟制/设计：日期：

审核：日期：

标准化：日期：

批准：日期：

兴唐通信科技有限公司

SJW07-A网络密码机使用说明书（保密资料，妥善保管）

数据通信科学技术研究所

SJW07-A网络密码机

使用说明书

版本

2.2

出版日期

2010年11月

著作权注意事项

本书版权为数据通信科学技术研究所所有。未经数据通信科学技术研究所书面同意，任何公司、单位或个人，不得用任何手段复制本手册的部分或全部内容。

对印刷错误的更正，所述信息谬误的勘误，以及产品的改进，均由数据通信科学技术研究所随时做出解释，恕不预先通知，修正内容将编入再版说明书中。

商标

所有在本手册使用的商标为该商标所有人的资产。

业务联系方式

地址：北京海淀区学院路40号

邮编：100191

电话：(010)62301244

目录

1引言 (1)

1.1 设备简介 (1)

1.2 预期读者 (1)

1.3 文档结构 (1)

2安装 (3)

2.1 装箱单 (3)

2.2 外观图 (4)

2.3 密码机的安装 (4)

2.4 安装完成后检查 (8)

2.5 配置管理软件安装 (9)

3工作原理 (11)

3.1 典型应用拓扑 (11)

3.2 双机与主主隧道 (12)

3.3 安全证书机制 (12)

3.4 密钥体系 (12)

3.5 人机卡认证 (13)

3.6 远程管理 (13)

I

3.7 设备状态说明 (13)

3.8 日志和审计 (13)

3.9 声光指示 (14)

3.10 旁路开关 (14)

4本地配置 (15)

4.1 初始配置流程 (15)

4.2 配置功能详解 (20)

4.3 隧道管理 (25)

4.4 策略管理 (29)

4.5 系统配置 (32)

4.6 日志管理 (44)

5日常使用 (46)

5.1 开机和关机 (46)

5.2 工作环境 (46)

5.3 常见故障的识别和排除 (47)

附录A：常见问题解答 (48)

附录B：端口与电缆定义 (50)

附录C：技术参数 (52)

附录D：密码机状态表 (53)

II

1 引言

1.1 设备简介

SJW07-A 网络密码机（以下简称SJW07-A ）用于实现在IP 网络上的数据加密传输，用于商用密码领域。通过SJW07-A 可在公网（如Internet 或其他商业性网络）之上构造安全的VPN 系统。 SJW07-A 主要应用于全国电力二次系统，基于全国电力调度数据网络构建安全VPN ，为上下级控制系统之间的广域网通信提供认证与加密服务，实现数据传输的机密性、完整性保护。

SJW07-A 在电力系统中的专用称谓是“电力专用纵向加密认证装置（简称装置）”，除非做特别说明，本文不区分SJW07-A 和装置。

1.2 预期读者

本手册对SJW07-A 的功能、使用方法及日常维护做了详细的介绍。预期读者是SJW07-A 的使用和维护人员，请相关人员在使用或维护密码机前认真阅读本手册。

1.3 文档结构

为了能够更快的了解本手册的内容，现将手册的基本结构介绍如下：

第一章：引言

简述SJW07-A 网络密码机的适用领域及本手册的基本结构。

引 言 Chapter

1

第二章：安装

介绍如何安装SJW07-A的软硬件。

第三章：工作原理

介绍SJW07-A的应用拓扑和基本概念。

第四章：本地配置

介绍如何通过配置管理软件对SJW07-A进行配置和管理。第五章：日常使用

介绍SJW07-A的日常使用方法和常见故障排除

2 安装

2.1 装箱单

打开设备包装箱后，请先确认配件是否齐全： 1. SJW07-A 网络密码机主机1台 2. 操作员卡2张 3. 电源线2条 4. 专用配置电缆1条 5. 测试用直通网线2条 6. 测试用交叉网线3条

7. 上架耳片2件（含沉头螺钉8个） 8. 机箱钥匙2把

9. 司环胶垫1套（共4个） 10. 上架螺钉和螺母各4个 11. 使用说明书1本 12. 用户光盘1张 13. 合格证1张

如果发现配件与装箱单不符，请及时与供货商联系。

安 装 Chapter

2

2.2 外观图

2.2.1 前面板示意图

智能IC 卡插槽

智能IC 卡指示灯

告警加解密状态系统运行电源

图 1 SJW07-A

前面板示意图

2.2.2 后面板示意图

机箱锁

接地端子

主备装置心跳

网口

第1路外网以太

网口第1

路内网以太网口

旁路开关配置串口

热备电源1交流电源插座

热备电源1电源开关

热备电源1指示灯

热备电源

2交流电源插座

热备电源

2电源开关

热备电源2指示灯

旁路

非旁路

第

2路外网以太网口电源报警开关第2路n 内网以太网口

图 2 SJW07-A 后面板示意图

2.3 密码机的安装

2.3.1 安装密码机到19英寸机柜

SJW07-A 网络密码机高度为标准1U ，宽度为19英寸，是按照19英寸标准机柜的尺寸进行设计的。为保障密码机能够稳定、可靠地运行，推荐把密码机安装在机柜上。安装过程如下：

第一步：检查机柜的接地与稳定性。用螺钉将上架耳片固定在密码机前面板两侧；

第二步：将密码机放置在机柜的一个托盘上，根据实际情况，沿

机柜导槽移动密码机至合适位置，注意保证密码机与导槽间的合适位置；

第三步：用螺钉将密码机通过上架耳片固定在机柜两端的固定导槽上，保证密码机位置水平并牢固。

密码机的固定角铁并不用来承重，它只起固定作用，密码机安装于19英寸机柜时，密码机机箱的下边要有滑道（固定在机架上）来支撑密码机。

2.3.2安装密码机到工作台

很多情况下，用户并不具备19英寸标准机柜，此时，人们经常用到的方法就是将密码机放置在干净的工作台上，此种操作比较简单，操作中，只要注意如下事项即可：

●保证工作台的平稳性与良好接地。

●密码机四周留出10cm的散热空间。

●不要在密码机上放置重物。

2.3.3连接保护地线

警告：密码机保护地线的正常连接是密码机防雷、抗干扰的重要保障，所以用户在安装、使用密码机时，必须首先正确接好保护地线。

SJW07-A密码机的电源输入端接有噪声滤波器，其中心地与机

箱直接相连，称作保护地（即PGND，亦作机壳地），此保护地必须良好接地，以使感应电、泄露电能够安全流入大地，并提高整机的抗电磁干扰的能力。对于由外部网络连接，如E1/T1、ISDN/PSTN等线路的串入而引起的雷击高压，也由此地线提供保护。

说明：SJW07-A不提供保护地线，需要用户单独购买。

SJW07-A网络密码机的保护地端子位于机箱后面板，在机箱的左侧靠边的位置，有接地标识。

请用一根保护地电缆（PGND Cable）将该点与大地连接起来，拧紧固定螺母，以保证良好接地，要求接地电阻不大于5欧姆。如果密码机是安装在19英寸标准机柜上，则要求19英寸标准机柜接地。 警告：密码机工作时必须良好接地（保护地），否则密码机无法可靠防雷，可能造成密码机及其对端设备的损坏。

2.3.4连接电源线

1.交流电源

交流电源输入范围：190V～240V AC；50～60Hz

2.建议使用的交流电源插座

建议使用有接地点接头的单相三线电源插座，或多功能PC电源插座。电源的接地点要可靠接地，一般楼房在施工布线时，已将本楼供电系统的电源接地点埋地，用户需要确认本楼电源地是否已经接好。

3.交流电源线连接

第一步：确认保护地已经正确连接至大地，如连接在机房接地排的接线柱上。

第二步：密码机电源开关置于关闭位置，将密码机的电源线一端插到密码机机箱后面板的电源插座上，另一端插到外部的交流电源插座上。

第三步：把密码机电源开关打开。

第四步：检查密码机后面板的电源指示灯是否变亮，灯亮则表示电源连接正确。

注意：密码机上电之前，必须先连接好地线。

2.3.5密码机网线连接

密码机通过10BaseT/100BaseTX RJ45以太网口与路由器、交换机或集线器等网络设备相连。密码机的外网口与外部网相连，内网口与内部网相连，心跳口用于双机互备。

将随机附带的直通/交叉网线一端连接到密码机的外/内网口，另一端连接到路由器、交换机或集线器的以太网口。

有关网络设备端口的更多的信息请参考网络设备使用手册。

设置为双机互备的两台密码机必须用随机附带的交叉网线将心跳口连接起来。

2.3.6配置电缆连接

1. 配置电缆

配置电缆是一根8芯电缆，一端是压接的RJ-45插头，插入密码机的配置口里；另一端则同时带有一个DB-9（孔）插头，可插入配置终端的9芯（针）串口插座。

2. 配置电缆连接

通过终端配置密码机时，配置电缆的连接步骤如下：

第一步：将配置电缆的DB-9孔式插头接到要对密码机进行配置的PC或终端的串口上。

第二步：将配置电缆的RJ-45一端连到密码机的配置口（Console）上。

由于PC机串口不支持热插拔，不能在密码机带电的情况下，将串口插入或者拔出PC机。当连接PC和密码机时，应先安装配置电缆的DB9端到PC机，再连接RJ45到密码机；在拆下时，先拔出RJ45端，再拔下DB9端。

连接时请认准接口上的标识，以免误插入其它接口。

只有当需要设置密码机时，才需要用配置电缆连接密码机和PC。

2.4安装完成后检查

●检查选用电源与密码机的标识电源是否一致；

●检查地线是否连接；

●检查配置电缆、电源输入电缆连接关系是否正确；

检查接口线缆是否都在室内走线，无户外走线现象；若有户外走线情况，请检查是否进行了交流电源防雷插排、网口防雷器

等的连接。

2.5配置管理软件安装

操作员可以使用随机光盘中附带的配置管理软件在WINDOWS PC上对密码机进行配置管理。配置管理软件的安装步骤如下：首先执行随机光盘中的安装文件“SJW07-A配置终端.exe”，弹出安装对话框，如图：

图 3 安装向导1

点击下一步弹出选择安装目录对话框，如图3：

图 4 安装向导2

点击下一步弹出快捷方式对话框，如图4：

图 5 安装向导3

点击下一步弹出安装对话框，点击安装按钮，安装结束。在桌面上会有一个配置终端的快捷方式，点击快捷方式进入配置终端软件。

3 工作原理

3.1

图 6三个局域网通过SJW07-A 构成安全VPN 的示意图

上图为SJW07-A 网络密码机的典型应用拓扑：

1. 每一个局域网根据具体情况可在由一到两台密码机保护下，同其它局域网互联；从而使整个系统成为一个安全的VPN 系统。

2. 装置证书服务系统采用离线方式工作，不与广域网相连。

3. 密码机管理中心直接与各密码机通信，实现对全系统密码机的集中管理。

工 作 原 理 Chapter

3

3.2双机与主主隧道

当局域网中配备两台SJW07-A网络密码机时，可将密码机配置成主主隧道运行模式，即两台密码机之间不需要心跳口连线，都以主密码机身份工作。即当主密码机发生故障时，对端密码机能够快速发现这条主隧道不可用，并将认证和加密传输处理工作切换到另外一条主隧道上，保障通信连续性。

推荐每个局域网中配备两台SJW07-A网络密码机，并把密码机配置成主主隧道运行模式，以提高系统可用性。

3.3安全证书机制

证书采用X.509格式，共有4类，分别为根证书、管理中心证书、对端密码机设备证书（简称对机证书）、操作员证书。装置证书服务系统采用离线方式工作，所有证书均由装置证书服务系统统一签发。

根证书：用于验证其它证书的有效性。

管理中心证书：用于与管理中心通信。

操作员证书：用于人机卡认证。

对机证书：用于与其它密码机同步工作密钥，与IP地址绑定。

3.4密钥体系

SJW07-A网络密码机采用三级密钥：主密钥、设备密钥、工作密钥。

主密钥：由密码机硬件噪声源随机生成，存储在密码机内部；又称保护密钥，负责加密保护密码机中所有的密钥。

设备私钥：设备公私钥对由密码机的密码模块产生，设备私钥被主密钥加密后存储在密码机内部。设备公钥以证书请求方式导出，由装置证书服务系统签发成设备证书并发布。

工作密钥：工作密钥由密码机在工作时产生，不需要保存，动态更新。

密码机具有开壳毁钥功能，当密码机检测机箱顶盖到被非法打开后，则立即销毁主密钥和设备密钥。

3.5人机卡认证

操作员具有对密码机配置管理的权限，负责密码机的操作和管理，可由具有较高权限的机房管理人员承担。

在登录进入密码机配置界面时，会进行操作员口令、操作员卡和密码机之间的交叉认证，认证通过后才能对密码机进行配置。

3.6远程管理

密码机安装管理中心证书后，密码机管理中心可直接与密码机通信，对其进行远程配置和监控。

3.7设备状态说明

密码机共有两种状态：出厂/初始态和工作态。这两种状态在一定的条件下相互转换，状态转换时需要重新启动密码机。

初始态：密码机出厂时，默认为该状态。处于初始态时需要用户通过配置终端做一些初始配置。

工作态：初始配置结束后，密码机正常的工作状态。

3.8日志和审计

密码机在启动和运行过程中，发生的事件和错误都有日志记录，用户可以通过配置管理软件查看事件和定位故障。

操作员对密码机进行的操作也有日志记录，便于对其进行归纳和分析。

日志文件存在密码机中，日志文件最大占用512K空间。当日志文件大于512K时，则删除较旧的256K。

3.9声光指示

密码机在工作的过程中，通过前面板指示灯和蜂鸣器的不同组合实现声光指示。正常情况下，显示密码机的状态；当密码机出现故障时，声光告警，提示用户。

密码机状态表参见附录D。

3.10旁路开关

旁路开关为拨动开关，有2种状态：旁路和非旁路。密码机正常运行于加密状态下时，请置此开关于非旁路模式；如果需要跨过密码机进行物理明通通信，请置此开关于旁路模式（关机可以实现相同功能）。

4 本地配置

SJW07-A 网络密码机采用图形化配置界面，具有友好、便捷等优点。在PC 机上运行配置管理软件前，请用配置电缆连接PC 和密码机（参见“配置电缆连接”）。软件正常运行后，会根据密码机的当前状态，显示不同的用户界面。

4.1 配置连接选择

启动密码机管理终端首先选择怎样连接密码机，可以选择通过串口或者网口连接密码机。

图 7 选择通信方式对话框

注：通过网口通信，须填写密码机的IP 地址。

本 地 配 置 Chapter

4