田阳电厂二次系统安全部署方案V1.1解决方案.docVIP

中国南方电网电力调度通信中心 电力二次系统安全防护设施改造项目 田阳电厂安全设备部署方案 目 录 1 背景概述 3 2 现状描述 4 3 实施内容 5 4 部署方案 6 4.1 田阳电厂安全设备的部署 6 4.2 田阳电厂改造后的安全设备部署 6 5 实施步骤 9 5.1 测试计划 9 5.2 实施单位与分工 9 5.3 实施步骤 10 背景概述 为了确保南网总调调度数据网的安全稳定运行，确保二次系统安全防护工程的顺利实施，结合田阳电厂实时与非实时业务系统与总调调度数据网互联的具体情况，编写本方案，为部署纵向装置、防火墙做好准备。 现状描述 当前百色田阳电厂实时与非实时子网业务网关配置于AR4640路由器上，接入调度数据网： 田阳电厂实时与非实时网络拓扑图 实施内容 目前田阳电厂调度数据网上未部署二次安全设备，本次实施的内容包括两部分：实时VPN上部署纵向认证加密装置、非实时VPN上部署硬件防火墙。 本次实时的主要内容包括： 调整调度数据网网络拓扑，迁移实时VPN与非实时VPN相关业务网关地址到业务接入交换机上； 实时VPN上部署纵向认证加密装置，进行数据加密测试； 非实时VPN上部署硬件防火墙，进行安全策略测试； 南网总调通过南端装置管理系统对田阳电厂纵向认证加密装置进行管理与配置； 南网总调在防火墙管理服务器上登陆到防火墙WEB介面进行管理与配置。 部署方案 田阳电厂安全设备的部署 本次田阳电厂电力系统二次安全防护改造，在实时VPN两则设备上，即两台华为S3100交换机之间放置纵向认证加密装置；非实时VPN两则设备上，也是在两台华为S3100交换机之间放置硬件防火墙，纵向认证加密装置与硬件防火墙均使用透明的部署模式，不影响现有调度数据网的网络结构。 目前网络使用端口情况如下表： 序号 本端设备 本端端口 对端设备 对端端口 华为AR4640 路由器 Link0 S3100交换机 Eth0/16 华为S3100 交换机 Eth1/0/16 路由器-AR4640 Link0 Eth1/0/1 远动系统 Eth1/0/2 远动系统 Eth1/0/5 脱硫系统 Eth1/0/9 故障录波系统 Eth1/0/12 关口表 田阳电厂改造后的安全设备部署 安全设备部署改造后的拓扑： 改造后网络使用端口情况如下表： 序号 本端设备 本端端口 对端设备 对端端口 1 华为AR4640 路由器 Link0 S3100交换机 Eth0/16 2 华为S3100 交换机 Eth1/0/16 路由器-AR4640 Link0 Eth1/0/1 南瑞纵向 加密装置 Eth1 Eth1/0/9 防火墙 Eth1 3 S3100 实时交换机 Eth1/0/24 南瑞纵向 加密装置 Eth0 Eth1/0/1 远动系统 Eth1/0/2 远动系统 Eth1/0/3 脱硫业务 4 S3100 非实时交换机 Eth1/0/24 防火墙 Eth0 Eth1/0/1 关口表 Eth1/0/2 故障录波系统 实施步骤 测试计划 序号 工作内容 时间安排 参与单位 南瑞纵向加密装置安装 2009年8月16日 广西南宁市伟斌众业信息技术有限公司、田阳电厂 东软防火墙安装 2009年8月16日 广西南宁市伟斌众业信息技术有限公司、田阳电厂 H3C交换机安装 2009年8月16日 广西南宁市伟斌众业信息技术有限公司、田阳电厂 实施单位与分工 本次田阳电厂部署的安全设备由于涉及到多个厂家不同类型设备，所以需要明确每一方的工作内容，以便顺利完成整个测试过程。 各单位分工介面： 序号 单位名称 南网总调工作负责人 田阳电厂负责人 实施内容 1 广西南宁市伟斌众业信息技术有限公司 磨正坤 范一凡 南瑞纵向加密装置安装 2 广西南宁市伟斌众业信息技术有限公司 李凡 范一凡 东软防火墙安装 3 H3C厂家 李凡 范一凡 H3C交换机安装 实施步骤 以下是实施的步骤： 实施步聚：前期准备 序号 工作分项 内容描述 操作人员 检查人 测试前的备份工作 对田阳电厂一台华为AR4640路由器与一台华为S3100交换机配置备份。 颜晓斌 范一凡 网络连通性检查 测试到达总调自动化网络的连通性 颜晓斌 范一凡 业务可用性检查 测试远动、故障录波等业务系统的可用性 颜晓斌 范一凡 检查工具是否到位 测试设备、网线等 颜晓斌 范一凡 检查人员：范一凡 第一阶段：调整调度数据网拓扑结构 序号 工作分项 备注 操作人员 检查人 在原来的S3