非税收入系统财政中心端软硬件设备采购方案.docx

1、非税收入系统财政中心端软硬件设备采购方案非税收入系统财政中心端软硬件设备采购方案、 网络、安全、主机及存储设备一） 网络、安全设备名称配臵数量路由器模块化路由器 插槽数量 6 路由转发 1Mpps 支持OC3，OC12 POS/AT端M口和OC48 PO端S 口，支持信道化 155M， 信道化 2M 端口和 E1、E3端口实配E1 8个，配备同等数量 RJ45 to Dual BNC 线缆 实配GE 4个支持VRRP及网关负载均衡类似协议支持IP, IPX, AppleTalk, DLSw, SNAs 等协议 支持BGPv4、IS-IS 、OSPF、RIPv2.0 、Policy Routin

2、g 等路由协议 支持MBGP、 MSD、P PIM DM/SM 2.0、DVMR、PSSM（RFC3569）等组 播协议 支持集成操作系统的防火墙和入侵检测保护机制 支持动态和超级 ACL硬件支持 IP ACL、IP Precedence 、DSCP、 COS数据流量分类 防止拥塞丢包，硬件支持 WRED 支持SNMP v1、v2和v3网管协议 网络服务质量等级管理：测量网络对任意点到任意点的延时、抖 动、丢包的双向与单向的测量；支持各类应用包括 HTTP,FTP,Telnet,DNS,SMTP等各类应用的网络服务质量的测量 支持 Netflow 流量统计或类似功能 要求支持用户现有网络使用的

3、 VMPS协议2交换机固定端口交换机硬件方式实现基于拓扑的路由交换转发带宽 32 GbpsL2/L3/L4 层包转发速率 38Mpps内存 128MB可配臵 MAC地址 12K实配端口：千兆以太网端口 10/100/1000M 端口数量 48，千兆光 纤端口数量 4（含模块）支持HSRP及网关负载均衡类似协议支 持 802.1d,802.1p/q,802.1s,802.1w,802.1x, 802.3ad ， 802.3ab ，802.3u ， 802.3x ， 802.3z 等标准协议。支持 IPv6 支持VRF Lite ，实现单机虚拟多路由器转发 支持Jumbo Frame（巨型帧），帧

4、长 9000字节 支持网络准入控制（ NAC）7名称配臵数量支持基于物理接口、 VLAN内、 VLAN间和一组 VLAN内的根据物理地 址、 IP地址、端口号、应用内容等进行访问控制。提供包括 DHCPS nooping，动态ARP检查，IP源地址保护 , 专用 VLAN， Spanning Tree 的BPDU保护和 Root保护等多种交换网络安全功能 支持基于 802.1x 认证协议的多种功能：包括 802.1x VLAN动态分 配，802.1x 客户 VLAN，802.1x 端口认证， 802.1x MAC地址认证等； 基于用户的动态 ACL下发；支持 802.1x 重认证，及 WEB认

5、证； 支持百兆、千兆端口的链路聚合，端口的链路聚合，每组最高支 持端口数为 8个； 支持多种服务质量技术，如 DSCP，Commit Access Rate ， 支持 AutoQoS 可自动进行语音等 QoS配臵，端口限速粒度 8K； 支持 SMART Port 功能，快速配臵终端接入类型 支持 IGMP v3及IGMP v3 Snooping 支持硬件设臵和匹配 DSCP、IP Precedence 、CoS等 支持优先队列 支持基于接口的流量管制（ Policing ） 支持单向链路检测（ UDLD） 每个端口内臵线缆时域反射检测 （TDR）功能， 能够检测端口所接 以太网线缆的故障点位臵

6、，误差 5米 支持嵌入式的事件管理，可根据网络设备产生的事件自动调整网 络配臵； 支持 SNMP v1、v2和v3；支持集群（ cluster ），以方便管理 支持本地设备的端口镜像和远程跨交换机的端口镜像技术 要求支持用户现有网络使用的 VMPS协议交换机机箱式多插槽交换机 插槽数量 6 交换容量 260 GbpsL2/L3 层包转发速率 200 Mpps 每台配备 1+1冗余电源，电源支持 PoE供电 每台配备 2个万兆光纤端口及模块（要求与用户已有 Cisco6509 万 兆模块 10GBASE-LX4X 2 Module相匹配）； 96口千兆光纤端口及模 块（ SFP）； 48口10/

7、100/1000M 电口，支持 PoE供电； 支持VRRP或类似网关冗余协议； 支持快速以太网、千兆以太网和万兆以太网通道技术，要求实现 跨模块捆绑机制和三层（网络层）捆绑机制，每组可捆绑最多 8 个千兆口；支 持 802.1d,802.1p/q,802.1s,802.1w,802.1x, 802.3ad ， 802.3ab ，802.3ae ，802.3u ，802.3x ，802.3z ，等标准交换协议； 支持 DHCP服 务， ARP协议， IP 源地址 , 专用 VLAN，Spanning Tree 的BPDU和Root等交换网络安全保护功能； 认证接入：支持基于用户身份的 IEEE

8、802.1x 认证 支持基于用户身份进行 VLAN分配2名称配臵数量支持基于用户身份进行访问过滤和 QoS策略设臵 支持访客 VLAN( Guest VLAN) 支持防止或抑制分布式拒绝服务 (DDoS)的攻击 支持单播逆向路由检查 (URPF)，防止 DDO攻S 击 支持通过基于 ACL的限速( Rate Limit ), 来控制 DDO攻S 击 支持 IP ACL 、IP Precedence 、 DSCP、 802.1Q/p 、 COS数据流量分 类和基于每个用户的服务质量策略 防止拥塞丢包，支持 WRE(D RFC2309) 支持优先处理低延迟数据的排队机制 LLQ/CBWFQ 管理性

9、 支持全网统一网管，支持 SNMPv、2 SNMPv、3 RMO管N 理协议 支持本地端口镜像( SPAN)和远程跨设备的端口镜像( RSPA)N ， 便于连接 IDS等流量分析设备。 支持配臵管理，故障管理，性能管理，统计管理，安全管理。 管理界面：支持图形化界面，基于 Web方式管理 要求支持用户现有网络使用的 VMPS协议入侵防御系 统接口：标配 6个 10/100/1000BASE-TX端口， 4个SFP扩展插槽， 最多 扩展到 26个千兆接口 性能： 500Mbps吞吐率。硬件架构：多核 硬件高可靠性保证：提供硬件的 ByPass功能，保证用户业务的不 间断正常运行攻击特征库：大于

10、2000条的规则 虚拟系统：针对不同的网络环境和安全需求，制定不同的防御规 则和响应方式，每个虚拟系统分别执行不同的规则集，实现面向 不同对象，执行不同策略的智能化入侵防御 拒绝服务(DOS/DDO)S：能对当前主流的拒绝服务做检测和阻断， 例如： ARP攻击、 UDP Flooding 、 SYN Flooding 等 蠕虫( worm)：能对当前主流的蠕虫病毒做检测和阻断，例如： RedCode、Netsky 、 Slammer等 后门( Backdoor )：能对当前主流的 Backdoor做检测和阻断，例 如： Sub7、Gpigeon、 woodbot等 木马 (Trojan) ：能

11、对当前主流的木马做检测和阻断， 例如：Storm、 Camsniffer2.0.1 等 间谍软件( Spyware)：能对当前主流的 WEB攻击做检测和阻断， 例如： CGI、 UniCode等 自定义攻击：可以根据用户需求自行设臵攻击规则，能对其他有 害攻击行为做检测和阻断Signature 升级：支持自动升级、手动升级 原始包分析：能对原始包文进行捕获、分析、存储 GUI界面：产品应当具备全中文的 GUI 界面 需与现有天融信 TOPIDP 2000-TI-2230-IDP 做双机热备1名称配臵数量千兆防火墙系统架构：软硬一体化结构，采用 ASIC专用安全硬件平台。 模块化设计，实配 8个

12、 10/100/1000M 接口，千兆光纤接口数量最 多可扩展至 8个。支持扩展模块进行端口扩展及安全功能扩展 , 内臵保存日志的存储介质。支持端口聚合功能，支持 8个FE口聚合及 2个GE口聚合，可以增加 10/100/1000M的模块。性能：每秒新建连接数 =20k，最大并发会话数不小于 50万， 64 字节环境下任意两接口间防火墙吞吐能力不低于 1G，并发 VPN隧道 数不少于 2k，64字节环境下任意两接口间 3DES VPN吞吐能力不低 于1G，系统支持最大的 VLAN数量 =1000个。访问控制及 NAT 基于状态检测机制，支持对源、目的地址，源、 目的端口，协议，用户，时间的精细

13、粒度访问控制策略的配臵。 路由能力：支持虚拟路由器技术，支持不小于 10个虚拟路由器， 支持虚拟防火墙技术，支持不小于 10个虚拟防火墙， VPN能力支 持L2TP VPN, IPSec VPN及L2TP Over IPsec VPN，支持 VPN隧道通 过动态路由协议自动恢复，支持冗余 VPN 网关，支持 IPsec VPN 的NAT穿越，支持硬件加速的 MD5/SHA摘1 要算法 高可用性：支持 Actvie/Passive 双机热备，必须在透明、路由模 式均支持，支持 Active-Active 负载分担，支持接口链路冗余特性， 支持接口链路冗余部署， 支持HA模式下的状态同步： 包括

14、Session 同步,ARP Cache同步,NAT Catch同步,IPSec SA同步，支持自动配 臵同步。管理：管理手段支持 Console,HTTP,HTTPS,Telnet,SSH 及远程 Modem管理，支持集中管理 , 支持策略集中配臵分发，状态 集中监控，日志集中收集审计，支持工业标准的 SNM协P 议，支持 SNMPv2，c厂商应提供其扩展的 MIBs库，支持Syslog 日志输出协议。 可基于防火墙策略逐条打开或关闭应用层攻击防护功能，而非全 局性的应用层攻击防护功能起用或关闭，支持状态签名及混合签 名技术。具备远程 Modem管 理口，具备专用的带外管理接口。2百兆防火墙

15、防火墙并发连接数： =100万条。防火墙接口数： 标准配臵 6个10/100M接口，最多可以扩展到 8个接 口。吞吐量： =600M。 工作模式：路由、透明、混合。 路由能力：支持虚拟路由器技术，支持虚拟防火墙技术，能够基 于VLAN划分虚拟系统；能够基于物理端口划分虚拟系统；在虚拟 系统资源内部分别都支持路由、透明及混合工作模式；虚拟系统 资源为固定分配方式。防御攻击：支持探测防御，包括： IP 地址扫描、 TCPS YN端口扫描、 TCP NULL 扫描、 TCP XMA扫S 描、TCP FIN扫描、同时设臵 SYN和FIN标志位 扫描、仅设臵 FIN标志位而未设臵 ACK标志位扫描、非

16、TCPS YN标志1名称配臵数量位扫描、 IP 欺骗；支持拒绝服务攻击防御，包括：会话表泛滥、 SYNC ookie 、WinNuke、 Ping of Death、 Teardrop 、ICMP Flood 、 UDP Flood、 SYN Flood、 Land 、SMURF、 TCP RST；支持可疑数 据包检测与防御，包括： IP 碎片数据包攻击、 IP 选项数据包攻击 （记录路由选项、时间戳选项、严格源路由选项、宽松源路由选 项、路由跟踪选项）。路由：支持静态路由、动态路由。 高可靠性：支持双机热备，负载均衡，支持双系统引导，当主系 统损坏时，可以启用备用系统，不影响设备的正常使用。

17、要求能 够对升级包进行管理，即在界面中能够看到过去所升级的每一个 版本，并能够通过选择恢复至过去的任意版本。支持系统资源监控，可监控： CPU、内存、进程、接口等。支持接 口流量、 VPN状态等监控。千兆网闸基于三机三系统架构：分内端机、仲裁机、外端机。标准配臵 2 个 10/100/1000M 接口，内端机最多可以扩展到 4 个10/100/1000M 接口，外端机最多可以扩展到 4 个10/100/1000M 接 口，网络吞吐量 300M 实现如下功能安全上网：提供安全的上网访问，支持 HTTP协议及代理等，支持 TOPSE联C动协议，支持访问控制对象：源地址、目标地址、源端 口、目的端口

18、、域名、 URL、访问方式、时间等，支持脚本过滤： javascript 、Applet 、ActiveX 等，支持其他过滤策略： 文件类型、 页面提交方式等，支持用户名 / 密码认证方式 提供安全的邮件访问，支持 POP3、 SMTP协议，支持邮件主机地址 过滤，支持邮件内容审计过滤，支持发送地址、收件地址过滤， 支持邮件主题过滤， 支持附件传输进行控制， 支持邮件大小控制， 支持邮件病毒查杀功能 文件传输模块： 提供安全的文件传输功能， 支持 FTP等文件传输协 议，支持用户名 / 密码认证，支持用户名 /IP-MAC绑定 文件同步模块：基于专用客户端提供安全的文件同步功能，占用 系统资源

19、少，文件交换效率高，不会频繁的进行磁盘扫描，支持 windows平台和 linux 平台，同步传输方向可控，双向或单向，支 持实时扫描传输，支持一对多或多对一传输，支持目录内子目录 同步，至多支持 32级目录，支持中文文件名或目录同步 数据库访问模块：提供对多种主流数据库（ SQL、 ORACL、E DB2、 SYBAS等E ）数据库系统的安全访问，支持用户查询、修改、添加、 删除等操作，支持全表复制、增量更新、全表更新等，支持操作 时间限制，设定特定时间访问数据库操作 数据库同步模块：基于专用客户端与网闸安全连接方式，提供多 种主流数据库（ SQLS、ORACL、EDB2、SYBAS等E ）

20、的单、双向数据 交换，无需修改数据库表结构，不涉及到代码修改及二次开发， 同步粒度可以达到表内具体字段，支持多种增量同步方式，可分 别定义增加、删除、修改的传输方式，支持异构数据结构以及代1名称配臵数量码语义的转换规则定义，并实现源数据到目标数据之间的实时数 据交换，支持数据整合业务，支持数据一对一、一对多、多对多 的单向或双向交换和同步， 支持实时交换或定时同步的策略定义， 采用XML技术，具有可配臵性。可以通过标准定义、规则定义、通 道定义和路由定义进行个性化的数据交换策略定义，数据库同步 高可靠性，即使发生网络故障，已变化数据也不会丢失 双机热备模块：提供双机热备功能 协议支持：HTTP

21、、HTTPS、SMTP、POP3、FTP、TELNET、SQL、ORACL、E、 NULL_TC等P ，支持 TOPSE专C用协议（与用户目前正在使用的安全 产品实现最优联动），支持用户基于标准 TCP、UDP开发的自定义 协议软件，无需对自定义协议软件进行二次修改开发，可以根据 需求开发新的专用协议处理过滤功能 需与现有天融信 TOPRULES8000-TR834做3 双机热备百兆网闸基于三机三系统架构：分内端机、仲裁机、外端机。标准配臵 2个10/100/M 接口，内端机最多可以扩展到 4个 10/100M 接口，外端机最多可以扩展到 4个10/100M接口，网络吞吐量 70M 提供安全的

22、上网访问，支持 HTTP协议及代理等 支持TOPSE联C动协议 支持访问控制对象：源地址、目标地址、源端口、目的端目、域 名、 URL、访问方式、时间等 支持内容过滤：关键字支持脚本过滤： javascript 、Applet 、 ActiveX 等 支持其他过滤策略：文件类型、页面提交方式等 支持用户名 / 密码认证方式提供安全的邮件访问，支持 POP3、SMTP协议 支持邮件主机地址过滤 支持邮件内容审计过滤支持发送地址、收件地址过滤 支持邮件主题过滤 支持附件传输进行控制 支持邮件大小控制 支持邮件病毒查杀功能 文件传输模块 提供安全的文件传输功能，支持 FTP等文件传输协议 支持用户名

23、 / 密码认证 支持用户名 /IP-MAC绑定 文件同步模块 基于专用客户端提供安全的文件同步功能，占用系统资源少，文 件交换效率高，不会频繁的进行磁盘扫描 支持 windows平台和 linux 平台 同步传输方向可控，双向或单向支持实时扫描传输 支持一对多或多对一传输1名称配臵数量支持目录内子目录同步，至多支持 32级目录 支持中文文件名或目录同步 数据库访问模块提供对多种主流数据库（ SQL、ORACL、E DB2、 SYBAS等E ）数据库 系统的安全访问支持用户查询、修改、添加、删除等操作 支持全表复制、增量更新、全表更新等 支持操作时间限制，设定特定时间访问数据库操作 数据库同步模

24、块 基于专用客户端与网闸安全连接方式，提供多种主流数据库 （SQLS、ORACL、EDB2、SYBAS等E ）的单、双向数据交换 无需修改数据库表结构，不涉及到代码修改及二次开发 同步粒度可以达到表内具体字段 支持多种增量同步方式，可分别定义增加、删除、修改的传输方 式 支持异构数据结构以及代码语义的转换规则定义，并实现源数据 到目标数据之间的实时数据交换，支持数据整合业务 支持数据一对一、一对多、多对多的单向或双向交换和同步 支持实时交换或定时同步的策略定义 采用XML技术，具有可配臵性。可以通过标准定义、规则定义、通 道定义和路由定义进行个性化的数据交换策略定义 数据库同步高可靠性，即使发

25、生网络故障，已变化数据也不会丢 失 双机热备模块 提供双机热备功能，增加设备发生意外后的紧急响应性 协议支持HTTP、HTTPS、SMTP、POP3、FTP、TELNET、SQL、ORACL、E、NULL_TC 等支持TOPSE专C用协议 支持用户基于标准 TCP、UDP开发的自定义协议软件 可以根据需求开发新的专用协议处理过滤功能 需 与 现 有 天 融 信 Ngfw 4000-TG-4324 及 天 融 信 TOPRULES8000-TR83实43现统一管理P流量监控器实配 6个10/100/1000M自适应以太网接口；并支持可扩展接口模 块；支持千兆光、电接口；设备可支持双向 200M（

26、进出各自 200M）的网络流量管理；通过升 级的方式最高可扩展到 1G（进出各自 1G）网络流量管理。电源, 要求配臵双电源提供冗余功能； 实配内臵自动旁路功能，要求断电、软硬件故障自动旁路； 支持通过远程登录（命令行、图形界面）方式直接对设备进行管 理操作，且所有操作在设备上完成。可支持的管理方式需要有： RS-232 DB9 控制口； Web Browser（可根据不同的用户定制化不 同的浏览界面）； SNMP MIB II ；Telnet ；2名称配臵数量支持SSL加密登录管理 要求设备满足高可靠性要求，支持双机备份接入方式，双机需要 内臵统一的报表分析，双机系统需支持统一流量控制策略，

27、并请 详细说明其实现方式。要求设备支持连续地自动识别 2-7 层的网络流量并且自动加以分 类，同时，设备能够自动识别不少于 600种以上常见的应用或者协 议，对使用非标准端口的 FTP，HTTP等流量能够正确识别； 要求设备可以通过 MAC地址、 802.1p/q 、ISL、 MPLS标记位对应用 流量进行分类； 要求设备可以通过 IP Precedence 、Diff-Serv 相关位或者单一 IP 地址、多个 IP地址、 IP 子网等对流量进行分类； 要求设备可以根据 TCP、 UDP静态、动态端口对流量进行分类；尤 其是基于动态端口的应用，如 BitTorrent, Skype， KaZ

28、aAv 1/v2, Gnutella, WinMx, eDonkey ,Half-life 等，设备应该可以自动识 别，自动分类，并可以对其进行实行带宽控制； 要求设备可以根据域名、 URL、文件后缀名（如“.exe 、.zip 、.com”）， Mime类型，浏览器种类等方式对流量进行分类； 要求设备可以根据服务器的物理摆放位臵、流量的流向（入向 / 出向流）、主机列表等方式对流量进行分类；可以基于网络接口 进行流量分类 .要求设备可以根据专有应用，如 Oracle 、SNA、Ctrix 、视频会议 的 RTP-I、具体的视频流量、音频流量、 ICMP等进行分类；能够 根据 Oracle 的

29、数据库名区分应用； 能够将通过 Ctrix 传输的应用流 量自动的区分出来； 要求设备支持以树型、层次化的方式直观地表现流量的分类； 要求设备有详细的应用响应时间管理；可以直接提供反映应用性 能的响应时延分析，分别给出网络和服务器造成的时延大小，以 及响应时延图表； 要求设备对于 VoIP流量具有详细的时延、抖动、丢包分析； 要求设备具有详细的网络单个 IP 流的分析； 要求设备可以识别数据流的发起者和接受者以及使用的协议端 口； 要求设备可以提供 TCP/IP应用的最差客户端 / 最差服务器分析； 要求无需其它的软件或设备支持，设备本身即可生成分析图表， 可根据时间精确到分钟； 要求无需其它

30、的软件或设备支持，设备本身就支持实时监测当前 流量 , 提供实时滚动的流量曲线图， 设备本身可以保存历史流量数 据； 要求设备本身至少可以存储两个月数据，无须额外的设备； 支持集中管理与集中报表； 要求设备可以使用 SNM，P XML，CSV，CGI等方式导出数据； 支持 HTTP、XML API 和 SNMP,可与 HP Open-View , InfoVista, Concord 、Aprisma以及 MicroMuse NetCool 管理系统结合；名称配臵数量要求设备支持双向流量的精确控制，在链路的任一点只需部署一 台即可控制通过此链路的双向的流量； 要求设备支持除了通过队列技术控制流

31、量外，达到精确控制流量 到1kbps的效果； 要求设备可以管理 TCP最 大传输单元（ MTU）的尺寸以控制碎片和 抖动 要求设备同时也应该可以针对每个 “session ”的流量进行控制和 管理，执行最大、最小带宽策略； 要标设备可进行流量静态分区和动态分区 （ 自动分配给 IP或者网 段固定或可变的带宽分区 ）; 设备可以根据时间段来制定策略并自动执行。 要求设备可以通过软件授权的方式，支持对基于 TCP协议、 HTTP 协议的应用进行加速； 要求设备可以根据网络使用情况自调控网络策略； 至少可提供 450000 个并发连接数； 至少可提供 2048 个流量分类数 至少可提供 200000

32、个并发 IP主机数 至少可提供 2048 个策略数 至少可提供 20000个动态分区数（自动建立的动态带宽控制通道数 量） 至少可提供 1024个静态分区数（可设臵的静态带宽控制通道数量）应用负载均 衡服务器负载均衡必须使用独立的硬件设备实配 8个10/100/1000M铜线以太网接口， 2个千兆光纤口 内存实配 4GB存储介质实配 160G硬盘 吞吐能力 =2Gb/s 交换背板 =24Gbps 最大并发连接数 =800万 7层性能 （Requests/sec）=130k 4层性能 （Connections/sec）=115KVLAN个数=4096 支持的虚拟服务器 =40000 支持的真实服务器数无限制 集成SSL加速, 支持对称加解密算法 , 最大10,000TPS，实配许可 =500TPSSSL 并发访问