计算机网络物理安全和系统隔离技术概要

计算机网络与信息安全技术教学课件 V08.081物理安全和系统隔离技术物理安全和系统隔离技术第第 13 章章2基本内容u网络和信息安全离不开设备安全，只有确保实体的安全才能谈得上使用安全。本章介绍物理实体安全与隔离技术相关知识。313.1 物理安全技术13.1 概述 物理安全又叫实体安全（物理安全又叫实体安全（Physical Security），是保护），是保护计算机设备、设施（网络及通信线路）免遭地震、水灾、计算机设备、设施（网络及通信线路）免遭地震、水灾、火灾、有害气体和其他环境事故（如电磁污染等）破坏的火灾、有害气体和其他环境事故（如电磁污染等）破坏的措施和过程。措施和过程。实体安全技术主要是指对计算机及网络系统的环境、实体安全技术主要是指对计算机及网络系统的环境、场地、设备和通信线路等采取的安全技术措施。场地、设备和通信线路等采取的安全技术措施。物理安全技术实施的目的是保护计算机及通信线路免物理安全技术实施的目的是保护计算机及通信线路免遭水、火、有害气体和其他不利因素遭水、火、有害气体和其他不利因素(人为失误、犯罪行人为失误、犯罪行为为)的损坏。的损坏。4 影响计算机网络实体安全的主要因素如下：影响计算机网络实体安全的主要因素如下：1 1）计算机及其网络系统自身存在的脆弱性因素。）计算机及其网络系统自身存在的脆弱性因素。2 2）各种自然灾害导致的安全问题。）各种自然灾害导致的安全问题。3 3）由由于于人人为为的的错错误误操操作作及及各各种种计计算算机机犯犯罪罪导导致致的的安全问题。安全问题。13.1.2 影响物理安全的因素影响物理安全的因素 物物理理安安全全包包括括：环环境境安安全全、电电源源系系统统安安全全、设设备备安全和通信线路安全。安全和通信线路安全。13.1 物理安全技术513.1.3 物理安全的内容物理安全的内容 1)1)环环境境安安全全：应应具具备备消消防防报报警警、安安全全照照明明、不不间间断断供供电电、温湿度控制系统和防盗报警。温湿度控制系统和防盗报警。2)2)电电源源系系统统安安全全：电电源源安安全全主主要要包包括括电电力力能能源源供供应应、输输电线路安全、保持电源的稳定性等。电线路安全、保持电源的稳定性等。3)3)设设备备安安全全：要要保保证证硬硬件件设设备备随随时时处处于于良良好好的的工工作作状状态态，建建立立健健全全使使用用管管理理规规章章制制度度，建建立立设设备备运运行行日日志志。同同时时要要注注意保护存储媒体的安全性，包括存储媒体自身和数据的安全。意保护存储媒体的安全性，包括存储媒体自身和数据的安全。4)4)通通信信线线路路安安全全：包包括括防防止止电电磁磁信信息息的的泄泄漏漏、线线路路截截获获，以及抗电磁干扰。以及抗电磁干扰。13.1 物理安全技术6 物理安全包括以下主要内容物理安全包括以下主要内容:1 1）计计算算机机机机房房的的场场地地、环环境境及及各各种种因因素素对对计计算算机机设设备的影响。备的影响。2 2）计算机机房的安全技术要求。）计算机机房的安全技术要求。3 3）计算机的实体访问控制。）计算机的实体访问控制。4 4）计算机设备及场地的防火与防水。）计算机设备及场地的防火与防水。5 5）计算机系统的静电防护。）计算机系统的静电防护。6 6）计算机设备及软件、数据的防盗防破坏措施。）计算机设备及软件、数据的防盗防破坏措施。7 7）计算机中重要信息的磁介质的处理、存储和处理）计算机中重要信息的磁介质的处理、存储和处理手续的有关问题。手续的有关问题。13.1.3 物理安全的内容物理安全的内容(续续)13.1 物理安全技术713.1.4 13.1.4 物理安全涉及的主要技物理安全涉及的主要技术标准准 （1 1）GB/T 2887-2000GB/T 2887-2000 电子子计算机算机场地通用地通用规范范 （2 2）GB/T 9361-1988GB/T 9361-1988 计算站算站场地安全要求地安全要求 （3 3）GB/T 14715-1993GB/T 14715-1993 信息技术设备用信息技术设备用UPSUPS通用技术条件通用技术条件 （4 4）GB 50174-GB 50174-19199393 电子子计算机机房算机机房设计规范范 计算算机机机机房房建建设至至少少应遵遵循循国国标GB/T GB/T 2887-20002887-2000和和GB/T GB/T 9361-19889361-1988，满足足防防火火、防防磁磁、防防水水、防防盗盗、防防电击、防防虫虫害害等要求，并配等要求，并配备相相应的的设备。13.1 物理安全技术813.2 电磁防护与通信线路安全13.2.1 电磁兼容和电磁辐射的防护 计算机网算机网络系系统的各种的各种设备都属于都属于电子子设备，在工作，在工作时都都不可避免地会向外不可避免地会向外辐射射电磁波，同磁波，同时也会受到其他也会受到其他电子子设备的的电磁波干磁波干扰，当，当电磁干磁干扰达到一定的程度就会影响达到一定的程度就会影响设备的正常的正常工作。工作。电磁磁辐射泄密的危射泄密的危险。913.2 电磁防护与通信线路安全13.2.1 电磁兼容和电磁辐射的防护 电磁磁辐射防射防护的措施的措施：(1)(1)一一类是是对传导发射的防射的防护，主要采取，主要采取对电源源线和信号和信号线加装性能加装性能良好的良好的滤波器，减小波器，减小传输阻抗和阻抗和导线间的交叉耦合；的交叉耦合；(2)(2)对辐射的防射的防护可分可分为：1)1)采用各种采用各种电磁屏蔽措施磁屏蔽措施，如，如对设备的金属屏蔽和各种接插件的屏蔽，的金属屏蔽和各种接插件的屏蔽，同同时对机房的下水管、暖气管和金属机房的下水管、暖气管和金属门窗窗进行屏蔽和隔离；行屏蔽和隔离；2)2)干干扰的防的防护措施措施，即在，即在计算机系算机系统工作的同工作的同时，利用干，利用干扰装置装置产生生一种与一种与计算机系算机系统辐射相关的射相关的伪噪声向空噪声向空间辐射来掩盖射来掩盖计算机系算机系统的工作的工作频率和信息特征。率和信息特征。1013.2 电磁防护与通信线路安全13.2.1 电磁兼容和电磁辐射的防护 抗干抗干扰措施措施：（1 1）屏蔽屏蔽 （2 2）滤波）滤波 （3 3）隔离）隔离 （4 4）接地）接地11 用一种用一种简单（但很昂（但很昂贵）的高技）的高技术加加压电缆，可以，可以获得通信得通信线路上的物理安全。路上的物理安全。通信通信电缆密封在塑料套管中，并在密封在塑料套管中，并在线缆的两端充气加的两端充气加压。线上上连接了接了带有有报警器的警器的监示器，用来示器，用来测量量压力。如力。如果果压力下降，力下降，则意味意味电缆可能被破坏了，技可能被破坏了，技术人人员还可以可以进一步一步检测出破坏点的位置，以便及出破坏点的位置，以便及时进行修复。行修复。距离大于最大距离大于最大长度限制的系度限制的系统之之间，不采用光，不采用光纤线通通信；或加信；或加强强复制器的安全，如用加复制器的安全，如用加压电缆、警、警报系系统和加和加强强警警卫等措施。等措施。Modem Modem的安全性。的安全性。13.2 电磁防护与通信线路安全13.2.2 通信线路安全技术 1213.3 系统隔离技术13.3.1 隔离的概念 安安全全域域是是以以信信息息涉涉密密程程度度划划分分的的网网络络空空间间。涉涉密密域域就就是是涉涉及及国国家家秘秘密密的的网网络络空空间间。非非涉涉密密域域就就是是不不涉涉及及国国家家的的秘秘密密，但但是是涉涉及及本本单单位位，本本部部门门或或者者本本系系统统的的工工作作秘秘密密的的网网络络空空间间。公公共共服服务务域域是是指指既既不不涉涉及及国国家家秘秘密密也也不不涉涉及及工工作作秘秘密密，是是一一个向因特网络完全开放的公共信息交换空间。个向因特网络完全开放的公共信息交换空间。1 1、安全域、安全域 电电子子政政务务的的内内网网和和外外网网要要实实行行严严格格的的物物理理隔隔离离。政政务务的的外外网网和和因因特特网网络络要要实实行行逻逻辑辑隔隔离离，按按照照安安全全域域的的划划分分，政政府府的的内内网网就就是是涉涉密密域域，政政府府的的外外网网就就是是非非涉涉密密域域，因因特特网网就就是是公公共共服服务域。务域。13 网网络络隔隔离离（Network Network IsolationIsolation），主主要要是是指指把把两两个个或或两两个个以以上上可可路路由由的的网网络络（如如TCP/IPTCP/IP）通通过过不不可可路路由由的的协协议议（如如IPX/SPXIPX/SPX、NetBEUINetBEUI等等）进进行行数数据据交交换换而而达达到到隔隔离离目目的的。由由于于其其原原理理主主要要是是采采用用了了不不同同的的协协议议，所所以以通通常常也也叫叫协协议议隔隔离（离（Protocol IsolationProtocol Isolation）。）。2 2、网网络隔离隔离 第一代隔离技第一代隔离技术完全的隔离完全的隔离第二代隔离技第二代隔离技术硬件卡隔离硬件卡隔离 第三代隔离技第三代隔离技术数据数据转播隔离播隔离 第四代隔离技第四代隔离技术空气开关隔离空气开关隔离 第五代隔离技第五代隔离技术安全通道隔离安全通道隔离 13.3 系统隔离技术13.3.1 隔离的概念14 右图右图表示没有表示没有连接接时内外网的内外网的应用状况，从用状况，从连接特征可以看出接特征可以看出这样的的结构从物理上完全分离。构从物理上完全分离。13.3 系统隔离技术13.3.2 网络隔离的原理15 当外网需要有数据到当外网需要有数据到达内网的达内网的时候候，以，以电子子邮件件为例，外部的服例，外部的服务器立器立即即发起起对隔离隔离设备的非的非TCP/IPTCP/IP协议的数据的数据连接，接，隔离隔离设备将所有的将所有的协议剥剥离，将原始的数据写入存离，将原始的数据写入存储介介质。13.3 系统隔离技术13.3.2 网络隔离的原理16 一旦数据完全写入隔一旦数据完全写入隔离离设备的存的存储介介质，隔离，隔离设备立即中断与外网的立即中断与外网的连接。接。转而而发起起对内网的非内网的非TCP/IPTCP/IP协议的数据的数据连接。接。隔离隔离设备将存将存储介介质内的内的数据推向内网。内网收到数据推向内网。内网收到数据后，立即数据后，立即进行行TCP/IPTCP/IP的封装和的封装和应用用协议的封装，的封装，并交并交给应用系用系统。在控制台收到完整的交换信号之后，隔离设备立即切断在控制台收到完整的交换信号之后，隔离设备立即切断隔离设备于内网的直接连接隔离设备于内网的直接连接 13.3 系统隔离技术13.3.2 网络隔离的原理17 内网有内网有电子子邮件要件要发出，隔离出，隔离设备收到内网建收到内网建立立连接的接的请求之后，建立求之后，建立与内网之与内网之间的非的非TCP/IPTCP/IP协议的数据的数据连接。隔离接。隔离设备剥离所有的剥离所有的TCP/IPTCP/IP协议和和应用用协议，得到原始的数，得到原始的数据，将数据写入隔离据，将数据写入隔离设备的存的存储介介质。13.3 系统隔离技术13.3.2 网络隔离的原理18 一旦数据完全写入隔一旦数据完全写入隔离离设备的存的存储介介质，隔离，隔离设备立即中断与内网的立即中断与内网的连接。接。转而而发起起对外网的非外网的非TCP/IPTCP/IP协议的数据的数据连接。接。隔离隔离设备将存将存储介介质内的内的数据推向外网。外网收到数据推向外网。外网收到数据后，立即数据后，立即进行行TCP/IPTCP/IP的封装和的封装和应用用协议的封装，的封装，并交并交给系系统 13.3 系统隔离技术13.3.2 网络隔离的原理19 每一次数据交每一次数据交换，隔离，隔离设备经历了数据的了数据的接受接受、存存储和和转发三个三个过程。由于程。由于这些些规则都是在内存和内核中完成的，因此速度都是在内存和内核中完成的，因此速度上有保上有保证，可以达到，可以达到100%100%的的总线处理能力。理能力。物理隔离的一个特征，物理隔离的一个特征，就是内网与外网永不就是内网与外网永不连接，内网和外网在同一接，内网和外网在同一时间最多只有一个最多只有一个同隔离同隔离设备建立非建立非TCP/IPTCP/IP协议的数据的数据连接。接。其数据其数据传输机制是存机制是存储和和转发。物理隔离的好。物理隔离的好处是明是明显的，即使外网在的，即使外网在处在最坏的情在最坏的情况下，内网也不会有任何破坏，修复外网系况下，内网也不会有任何破坏，修复外网系统也非常容易。也非常容易。13.3 系统隔离技术13.3.2 网络隔离的原理20 1 1基于代基于代码、内容等隔离的反病毒和内容、内容等隔离的反病毒和内容过滤技技术 2 2基于网基于网络层隔离的防火隔离的防火墙技技术 3 3基于物理基于物理链路路层的物理隔离技的物理隔离技术 13.3 系统隔离技术13.3.2 网络隔离技术分类211 1网网络隔离技隔离技术需要具有的安全要点需要具有的安全要点2 2网网络隔离的关隔离的关键点点 隔离的关键点就成了要尽量提高网间数据交换的速度，并且对应用能隔离的关键点就成了要尽量提高网间数据交换的速度，并且对应用能够透明支持，以适应复杂和高带宽需求的网间数据交换。够透明支持，以适应复杂和高带宽需求的网间数据交换。要具有高度的自身安全性要具有高度的自身安全性要确保网要确保网络之之间是隔离的是隔离的 要保要保证网网间交交换的只是的只是应用数据用数据 要要对网网间的的访问进行行严格的控制和格的控制和检查 要在要在坚持隔离的前提下保持隔离的前提下保证网网络畅通和通和应用透明用透明 13.3 系统隔离技术13.3.4 网络隔离技术要点与发展方向223 3隔离技隔离技术的未来的未来发展方向展方向 通过专用通信设备、专有安全协议和加密验证机制及应通过专用通信设备、专有安全协议和加密验证机制及应用层数据提取和鉴别认证技术，进行不同安全级别网络之间用层数据提取和鉴别认证技术，进行不同安全级别网络之间的数据交换，彻底阻断网络间的直接的数据交换，彻底阻断网络间的直接TCP/IPTCP/IP连接，同时对网连接，同时对网间通信的双方、内容、过程施以严格的身份认证、内容过滤、间通信的双方、内容、过程施以严格的身份认证、内容过滤、安全审计等多种安全防护机制，从而保证了网间数据交换的安全审计等多种安全防护机制，从而保证了网间数据交换的安全、可控，杜绝了由于操作系统和网络协议自身漏洞带来安全、可控，杜绝了由于操作系统和网络协议自身漏洞带来的安全风险。的安全风险。13.3 系统隔离技术13.3.4 网络隔离技术要点与发展方向23 网闸是使用带有多种控制功能的固态开关读写介质连接网闸是使用带有多种控制功能的固态开关读写介质连接两个独立主机系统的信息安全设备。两个独立主机系统的信息安全设备。物理隔离网闸所连接的两个独立主机系统之间不存在通物理隔离网闸所连接的两个独立主机系统之间不存在通信的物理连接、逻辑连接、信息传输命令、信息传输协议，信的物理连接、逻辑连接、信息传输命令、信息传输协议，不存在依据协议的信息包转发，只有数据文件的无协议不存在依据协议的信息包转发，只有数据文件的无协议“摆摆渡渡”，且对固态存储介质只有，且对固态存储介质只有“读读”和和“写写”两个命令。所两个命令。所以，物理隔离网闸从物理上隔离、阻断了具有潜在攻击可能以，物理隔离网闸从物理上隔离、阻断了具有潜在攻击可能的一切连接，使的一切连接，使“黑客黑客”无法入侵、无法攻击、无法破坏，无法入侵、无法攻击、无法破坏，实现了真正的安全。实现了真正的安全。13.4 隔离网闸2413.4.1 13.4.1 网网闸的的发展展 网闸，又称安全隔离与信息交换系统，是新一代高安全度的企网闸，又称安全隔离与信息交换系统，是新一代高安全度的企业级信息安全防护设备，它依托安全隔离技术为信息网络提供了更业级信息安全防护设备，它依托安全隔离技术为信息网络提供了更高层次的安全防护能力，不仅使得信息网络的抗攻击能力大大增强，高层次的安全防护能力，不仅使得信息网络的抗攻击能力大大增强，而且有效地防范了信息外泄事件的发生。而且有效地防范了信息外泄事件的发生。第第一一代代网网闸闸的的技技术术原原理理是是利利用用单单刀刀双双掷掷开开关关使使得得内内外外网网的的处处理理单单元元分分时时存存取取共共享享存存储储设设备备来来完完成成数数据据交交换换的的。安安全全原原理理是是通通过过应应用用层层数数据据提提取取与与安安全全审审查查达达到杜绝基于协议层的攻击和增强应用层安全的效果。到杜绝基于协议层的攻击和增强应用层安全的效果。第第二二代代网网闸闸正正是是在在吸吸取取了了第第一一代代网网闸闸优优点点的的基基础础上上，利利用用专专用用交交换换通通道道PETPET（Private Private Exchange Exchange TunnelTunnel）技技术术，在在不不降降低低安安全全性性的的前前提提下下能能够够完完成成内内外外网网之之间间高高速速的的数数据据交交换换，有有效效地地克克服服了了第第一一代代网网闸闸的的弊弊端端。第第二二代代网网闸闸的的安安全全数数据交换过程是通过专用硬件通信卡、私有通信协议和加密签名机制来实现。据交换过程是通过专用硬件通信卡、私有通信协议和加密签名机制来实现。13.4 隔离网闸2513.4.2 13.4.2 网网闸的工作原理的工作原理 隔离网闸（安全隔离与信息交换隔离网闸（安全隔离与信息交换,GAPGAP），是在保证两个网络安），是在保证两个网络安全隔离的基础上实现安全信息交换和资源共享的技术。全隔离的基础上实现安全信息交换和资源共享的技术。13.4 隔离网闸2613.4.3 13.4.3 隔离网隔离网闸的特点的特点 1 1）专用用硬硬件件设计保保证了了物物理理隔隔离离下下的的信信息息交交流流。GAPGAP均均采采用用专用用隔隔离离硬硬件件的的设计完完成成隔隔离离功功能能，硬硬件件设计保保证在在任任意意时刻刻网网络间的的链路路层断断开开，阻阻断断TCP/IPTCP/IP协议以以及及其其他他网网络协议；同同时该硬硬件件不不提提供供编程程软接接口口，不不受受系系统控控制制，仅提提供供物理上的控制开关。物理上的控制开关。这样黑客无法从黑客无法从远程程获得硬件的控制得硬件的控制权。2 2）集集合合多多种种安安全全技技术消消除除数数据据交交换中中的的安安全全隐患患。在在专用用硬硬件件基基础上上，紧密密集集成成了了内内核核防防护、协议转化化、病病毒毒查杀、身身份份验证、访问控控制制、安安全全审计等等模模块。这些模些模块可以与隔离硬件可以与隔离硬件结合形成整体的防御体系。合形成整体的防御体系。3 3）网网闸以以安安全全隔隔离离为基基础，并并集集成成多多种种防防护技技术，其其软硬硬一一体体设计形形成成整整体多体多层面的安全防面的安全防护。4 4）灵活高效数据交）灵活高效数据交换形式确保形式确保应用需求。用需求。GAPGAP产品都提供了多种数据交品都提供了多种数据交换方方式以式以满足足业务应用。如公安部信息通信局与天行网安公司用。如公安部信息通信局与天行网安公司联合研制的天行安全隔合研制的天行安全隔离网离网闸（Topwalk-GAPTopwalk-GAP）提供了文件交）提供了文件交换、邮件交件交换、数据、数据库交交换和提供和提供APIAPI应用用接口的消息模接口的消息模块，同，同时具有具有较高的高的传输速率和低延速率和低延迟性。性。13.4 隔离网闸2713.5 13.5 典型典型产品介品介绍 天御天御60006000网络物理隔离系统网络物理隔离系统 2813.5 13.5 典型典型产品介品介绍 天御天御60006000系列网系列网络物理隔离系物理隔离系统是由北京和信网安科技有是由北京和信网安科技有限公司与中国科学院中力机限公司与中国科学院中力机电新技新技术有限公司有限公司联合开合开发的网的网络安全安全产品。在保品。在保证内外网物理隔离的情况下，内外网物理隔离的情况下，实现安全高效的安全高效的数据交数据交换，为解决内网的安全解决内网的安全问题提供了全新的解决方案。提供了全新的解决方案。在在保保证必必须安全的前提下，尽可能互安全的前提下，尽可能互联互通。互通。13.5.1 13.5.1 产品概况品概况 13.5.2 13.5.2 安全策略安全策略 外网服务器的外网服务器的TCP/IPTCP/IP协议栈关闭，内外网服务器之间采用纯数据进行传输协议栈关闭，内外网服务器之间采用纯数据进行传输内网和外网之内网和外网之间采用采用专有的通有的通讯协议，有效防止黑客从外网攻入内网，有效防止黑客从外网攻入内网内网向外内网向外发起的起的连接需接需经过内网服内网服务器的身份器的身份认证外网主外网主动发起的起的连接无法建立，只有内网接无法建立，只有内网请求的回求的回应数据可以数据可以进入内网入内网 2913.5 13.5 典型典型产品介品介绍 产品的安装部署产品的安装部署 30 物理安全物理安全在整个计算机网络信息系统安全体系中占有重在整个计算机网络信息系统安全体系中占有重要地位，也是其他安全措施得以实施并发挥正常作用的基础要地位，也是其他安全措施得以实施并发挥正常作用的基础和前提条件。计算机信息系统物理安全的内涵是保护计算机和前提条件。计算机信息系统物理安全的内涵是保护计算机信息系统设备、设施以及其他媒体免遭地震、水灾、火灾等信息系统设备、设施以及其他媒体免遭地震、水灾、火灾等环境事故以及人为操作失误或错误及各种计算机犯罪行为导环境事故以及人为操作失误或错误及各种计算机犯罪行为导致的破坏。包含的主要内容为机房安全技术、电源系统安全致的破坏。包含的主要内容为机房安全技术、电源系统安全技术、通信线路安全技术、计算机系统设备安全技术等。技术、通信线路安全技术、计算机系统设备安全技术等。隔离技术隔离技术的发展、现状及工作原理，重点应掌握安全隔的发展、现状及工作原理，重点应掌握安全隔离网闸（离网闸（GAPGAP）的工作原理：协议控制、数据转换、安全审查、）的工作原理：协议控制、数据转换、安全审查、身份认证等。同时应将安全隔离网闸与传统防火墙对比地学身份认证等。同时应将安全隔离网闸与传统防火墙对比地学习，理解它们间的异同，特别是在安全机制、硬件设计、网习，理解它们间的异同，特别是在安全机制、硬件设计、网络协议处理、遭攻击后果等方面的区别。络协议处理、遭攻击后果等方面的区别。本章小结本章小结 31n9、要学生做的事，教职员躬亲共做；要学生学的知识，教职员躬亲共学；要学生守的规则，教职员躬亲共守。5月-245月-24Friday,May 17,2024n10、阅读一切好书如同和过去最杰出的人谈话。07:00:11 07:00:11 07:005/17/2024 7:00:11 AMn11、一个好的教师，是一个懂得心理学和教育学的人。5月-2407:00:11 07:00May-2417-May-24n12、要记住，你不仅是教课的教师，也是学生的教育者，生活的导师和道德的引路人。07:00:11 07:00:11 07:00Friday,May 17,2024n13、He who seize the right moment,is the right man.谁把握机遇，谁就心想事成。5月-245月-2407:00:11 07:00:11 May 17,2024n14、谁要是自己还没有发展培养和教育好，他就不能发展培养和教育别人。17 五月 20247:00:11 上午07:00:11 5月-24n15、一年之计，莫如树谷；十年之计，莫如树木；终身之计，莫如树人。五月 247:00 上午5月-2407:00May 17,2024n16、提出一个问题往往比解决一个更重要。因为解决问题也许仅是一个数学上或实验上的技能而已，而提出新的问题，却需要有创造性的想像力，而且标志着科学的真正进步。2024/5/17 7:00:1107:00:11 17 May 2024n17、儿童是中心，教育的措施便围绕他们而组织起来。7:00:11 上午7:00 上午07:00:11 5月-24 谢谢观赏谢谢观赏 You made my day!You made my day!我 们，还 在我 们，还 在 路路 上上