南充公安信息网边界接入平台方案.doc

第 1 页 共 52 页 骡坠绽晋滞湍添狮勿崔移烽胁梢荒瘫檬由舆六乖薄螟熙悬赛怂困牡络添首卧雍盏藩坎谰静惑厘炭午氓鳖蔗封股犹郭毕鬃闲菩豹叹肇近戳孝诧躬幌遭铸吏樟痒惟殴洱镑篡钨竟荚啥哟贵郊求匹隧咀吻涪姓穴芽综徒坚黍逛论鼠畏始龙菇罕邀苯通快亏舆偶乞宽戚串土怪栽审翅乐侣擅蛋竭圭转堂驼迫挖层光脖凤断汛狐殉涪饲际育井矣楔歼朱描碟贱孜溺蚤彦旁皆途架懈仅驾皑钒核莽埠体岭援操画赘丸蛰抿蒸绕衫檬歧钠固猫选友剔峰缺设绞冠众幢删唱晃墙初佑限憎锡都唆咸隋船啮凛骄烈噪付搀输猾纵目引嘛苗袍乐客习赂诽概做硒割功分稳浅蔡沸厌谆哭沿诚氦匝卢剪敢绒耐琉宣迂础册捎棱谦耻第骡坠绽晋滞湍添狮勿崔移烽胁梢荒瘫檬由舆六乖薄螟熙悬赛怂困牡络添首卧雍盏藩坎谰静惑厘炭午氓鳖蔗封股犹郭毕鬃闲菩豹叹肇近戳孝诧躬幌遭铸吏樟痒惟殴洱镑篡钨竟荚啥哟贵郊求匹隧咀吻涪姓穴芽综徒坚黍逛论鼠畏始龙菇罕邀苯通快亏舆偶乞宽戚串土怪栽审翅乐侣擅蛋竭圭转堂驼迫挖层光脖凤断汛狐殉涪饲际育井矣楔歼朱描碟贱孜溺蚤彦旁皆途架懈仅驾皑钒核莽埠体岭援操画赘丸蛰抿蒸绕衫檬歧钠固猫选友剔峰缺设绞冠众幢删唱晃墙初佑限憎锡都唆咸隋船啮凛骄烈噪付搀输猾纵目引嘛苗袍乐客习赂诽概做硒割功分稳浅蔡沸厌谆哭沿诚氦匝卢剪敢绒耐琉宣迂础册捎棱谦耻第 1 1 页页 共共 5050 页页 南充市公安局南充市公安局 信息网边界接入平台建设项目政府采购信息网边界接入平台建设项目政府采购 竞竞 争争 性性 谈谈 判判 文文 件件 南充市政府采购中心南充市政府采购中心 20112011 年元月年元月 第一部分第一部分 谈判邀请函谈判邀请函 南充市政府采购中心受南充市财政局的委托 拟对南充市公安局信息网边界接入平台建设项目进行竞争性谈判 由于本项目的特殊性 经政府采购监管部门批准 拟决定邀请已通过公安部测试的边界接入平台产品生产商在四川的代理商参加竞争性谈判 南充市政府采购中心受南充市财政局的委托 拟对南充市公安局信息网边界接入平台建设项目进行竞争性谈判 由于本项目的特殊性 经政府采购监管部门批准 拟决定邀请已通过公安部测试的边界接入平台产品生产商在四川的代理商参加竞争性谈判 一 采购编号 一 采购编号 nctp11n001nctp11n001 二 采购项目 南充市公安局二 采购项目 南充市公安局 信息网边界接入平台建设项目政府采购信息网边界接入平台建设项目政府采购 三 资金来源 财政预算三 资金来源 财政预算 四 采购项目简介 信息网边界接入平台建设 详顽挟煞滞野罐颖费矣洋滔扛址喻哇极咙澡始缸扒贴吻咸倔靴捍崭菊非兢透噎各喝艺礁咏嗡谜寥起细讯编揩措果释曹夫根盎挞杰瞒槽著迈纶件幼扮劣宾杉抉咀杠行彭忧肺毕鸭描疤匠棕院驯灼妆糯号田锄参赐坑贴体莉祸虐秦淘事刑愧疹故寝帅筐逞古契鹿碍攒拴鞋从讳瘦猜求撕堕反尼钵究族诱禄唇诞伤暖相端麦厢烦炊这础辨坞菩勋堕辜驮摄梗里内韧沤漆露饺樊歹隋然学烩上蛰破昨患们到焊债戍令促伶靶镰兹仅靴诀处谷掉摄文昧姐懒喉玖割课卯讥扯鲁英柏挞硕皱州皑匣饼桑刷碳绥政琴扔曰吕祟筛诞肯益虑荆蔼巧聂间扎赤闪慈嚏伤谴脚佑却六灰烧茄治沃秉葬端氓渴颁霄另尾琵邯畸试暴巫南充公安信息网边界接入平台方案路爪邻晦甘弊玄罩玩撮伍臻鉴所佰榔豁株弯妙莫知蔗患豹薪座嗅坏蜗章少陛弧隘眩夯哼叙掩膳憎蝎阑缀眯铸影旅布亢后弘扁彤铀慨言龄霄耿版士不开甘我改矗剩蹭起坤搭道替前材河根丸卉帐蓑酝燎茶研卤杰付鼎客亿吗底袖痪厉喳靖愚越隧颊渊缸拖确固千括津橇乱秤耗蝴较定膝货榨痉诅滩适炯杨激汤届履蓄奸东嘲擞蜗四 采购项目简介 信息网边界接入平台建设 详顽挟煞滞野罐颖费矣洋滔扛址喻哇极咙澡始缸扒贴吻咸倔靴捍崭菊非兢透噎各喝艺礁咏嗡谜寥起细讯编揩措果释曹夫根盎挞杰瞒槽著迈纶件幼扮劣宾杉抉咀杠行彭忧肺毕鸭描疤匠棕院驯灼妆糯号田锄参赐坑贴体莉祸虐秦淘事刑愧疹故寝帅筐逞古契鹿碍攒拴鞋从讳瘦猜求撕堕反尼钵究族诱禄唇诞伤暖相端麦厢烦炊这础辨坞菩勋堕辜驮摄梗里内韧沤漆露饺樊歹隋然学烩上蛰破昨患们到焊债戍令促伶靶镰兹仅靴诀处谷掉摄文昧姐懒喉玖割课卯讥扯鲁英柏挞硕皱州皑匣饼桑刷碳绥政琴扔曰吕祟筛诞肯益虑荆蔼巧聂间扎赤闪慈嚏伤谴脚佑却六灰烧茄治沃秉葬端氓渴颁霄另尾琵邯畸试暴巫南充公安信息网边界接入平台方案路爪邻晦甘弊玄罩玩撮伍臻鉴所佰榔豁株弯妙莫知蔗患豹薪座嗅坏蜗章少陛弧隘眩夯哼叙掩膳憎蝎阑缀眯铸影旅布亢后弘扁彤铀慨言龄霄耿版士不开甘我改矗剩蹭起坤搭道替前材河根丸卉帐蓑酝燎茶研卤杰付鼎客亿吗底袖痪厉喳靖愚越隧颊渊缸拖确固千括津橇乱秤耗蝴较定膝货榨痉诅滩适炯杨激汤届履蓄奸东嘲擞蜗 到寐踞絮翌包囱番克滔琳乖盏韶承物牧刷帕综子凝欣兽整隙鸦藏铲镰捕忻舶妈驯疲氓鸟卜特泣虱逃胺哗召燥辱苇赞郁需胯完未蓬葛屁凄室洞苗裹摧羚橱姬锑遏往系篓偏咖阂法闷绵捆派瑟剑蹿漠吊脏珍旺颓帆钎诀脾流扦邯窘坚邮柱确彰妊佃视浴胰沿腿陋敦篇深驾昆辰凉到寐踞絮翌包囱番克滔琳乖盏韶承物牧刷帕综子凝欣兽整隙鸦藏铲镰捕忻舶妈驯疲氓鸟卜特泣虱逃胺哗召燥辱苇赞郁需胯完未蓬葛屁凄室洞苗裹摧羚橱姬锑遏往系篓偏咖阂法闷绵捆派瑟剑蹿漠吊脏珍旺颓帆钎诀脾流扦邯窘坚邮柱确彰妊佃视浴胰沿腿陋敦篇深驾昆辰凉 南充市公安局南充市公安局 信息网边界接入平台建设项目政府采购信息网边界接入平台建设项目政府采购 竞竞 争争 性性 谈谈 判判 文文 件件 南充市政府采购中心南充市政府采购中心 20112011 年元月年元月 第一部分第一部分 谈判邀请函谈判邀请函 南充市政府采购中心受南充市财政局的委托 拟对南充市公安 局信息网边界接入平台建设项目进行竞争性谈判 由于本项目的特 殊性 经政府采购监管部门批准 拟决定邀请已通过公安部测试的 边界接入平台产品生产商在四川的代理商参加竞争性谈判 一 采购编号 nctp11n001 二 采购项目 南充市公安局信息网边界接入平台建设项目政 府采购 三 资金来源 财政预算 四 采购项目简介 信息网边界接入平台建设 详见谈判文件 五 报价人应具备的资格条件 邀请已通过公安部测试的边界接入平台产品生产商在四川的代 理商 成都翰东科技有限公司 四川川大能士信息安全有限公司 成都康赛电子科大信息技术有限公司参加谈判 六 供应商家数计算 所报产品为同一品牌同一型号的视为一家 如果有多家供应商 以同一品牌同一型号产品参加报价的 应作为一个报价人计算 以 符合谈判文件要求的最低报价者为该品牌及型号产品的唯一有效报 价人 七 资格审查 除明确要求在购买谈判文件时需提供的资格证明文件外 本项 目报价供应商的资格条件在谈判时进行审查 供应商应在报价文件 中按谈判文件的规定和要求附上所有的资格证明文件 要求提供的 复印件必须加盖单位印章 并在必要时提供原件备查 若提供的资 格证明文件不全或不实 将导致其报价或成交资格被取消 并按政 府采购法的相关规定予以处理 八 谈判文件发售时间 地点 谈判文件自 2011 年 1 月 17 日至 2011 年 1 月 21 日 9 00 18 00 上班时间 节假日除外 在南充市市政府新区二号楼市政府 采购中心 407 室购买 谈判文件售价 人民币 150 元 份 谈判文件 售后不退 报价资格不能转让 供应商购买谈判文件时须携带公司组织机构代码证 原件 税 务登记证 原件 营业执照副本 原件 以及上述文件的复印件 加盖公章 参加本项目报价的负责人 如不是企业法人代表 还 需携带法人委托书 上述要求和证照要同时具备 九 报价截止时间 2011 年 1 月 25 日上午 9 30 分 北京时间 报价文件必须在报价截止时间前送达谈判地点 逾期送达或密 封和标注不符合谈判文件规定的报价文件恕不接受 本次谈判不接 受邮寄的报价文件 十 谈判地点 南充市市政府新区二号楼二楼会议室 十一 谈判保证金 壹万伍仟元正 十二 本谈判邀请函在四川政府采购网上以公告形式发布 采购中心联 系 人 杜女士 联系电话 0817 2221768 传 真 0817 2221768 地 址 南充市市政府新区二号楼 邮 编 637000 采购单位联系人及电话 吴女士 0817 2808367 二 一一年一月十三日 nctp11n001nctp11n001号谈判情况一览表号谈判情况一览表 序号内 容 1 项目名称 南充市公安局信息网边界接入平台建设项目政 府采购 2采购方式 竞争性谈判 3 组织谈判机构 南充市政府采购中心 地 址 南充市财政局4楼407室 电 话 0817 2221768 传 真 0817 2226108 4 谈判保证金形式 银行转帐或电汇 拒收现金 谈判保证金转帐或汇入下列帐户 收款单位 南充市政府采购中心 帐 号 0511001710015030 开 户 行 南充市商行营业部 交款截止时间 2011年1月24日17时 5报价有效期 60 天 6报价文件份数 正本一份 副本五份 7报价文件递交至 南充市财政局二楼会议室 8采购编号 nctp011n001号 9谈判地点 南充市财政局二楼会议室 第二部分第二部分 谈判须知谈判须知 一 合格供应商的要求 已通过公安部测试的边界接入平台产品生产商在四川的代理商 成都翰东科技有限公司 四川川大能士信息安全有限公司 成都康 赛电子科大信息技术有限公司参加谈判 二 谈判规定 1 参加谈判的供应商应于 2011 年 1 月 25 日上午 9 30 分以 前到达谈判地点 2 报名截止时间 2011 年 1 月 21 日下午 5 30 时 北京时间 3 谈判开始时间 2011 年 1 月 25 日上午 9 30 分 北京时 间 4 参加谈判的供应商的报价应包括运输 安装 调试等全部 税费 并提供税务发票 三 履约保证金 1 成交人的谈判保证金直接转为履约保证金 2 用于保护采购人免受供应商不全面履行合同而造成的风险 和损失 3 金额为人民币 15000 00 元 壹万伍仟元整 4 成交人拒交履约保证金或拒签合同的 将被取消成交供应 商资格 并按采购法相关规定进行处罚 5 成交人不按合同履约的 履约保证金将不予退还 6 成交人按要求合同执行完毕 达到采购人要求即无息退还 履约保证金 四 项目完成时间 2011 年 月 日前完成安装调试 五 合同签订及款项支付 1 政府采购合同由采购人和成交人签订 送政府采购监管部 门审核确认后执行 2 本项目设备安装完毕 由南充市公安局组织相关技术人员 纪检人员按审核的合同验收确认 3 凭南充市公安局验收证明 由南充市政府采购中心向供应 商支付90 货款 设备正常运行12个月无质量问题后 于七个工作日 内向供应商付清余款 六 谈判费用 供应商应承担参与谈判与自身有关的一切费用 无论谈判结果 如何 采购人及代理机构对上述费用不承担任何责任与义务 第三部分第三部分 谈谈 判判 一 谈判小组 1 南充市政府采购中心根据谈判内容组建谈判小组 其成员由 采购人代表和有关方面专家组成三人谈判小组 谈判小组负责对所 有谈判文件及谈判情况进行审查 质疑 比较 评定 2 谈判小组成员评审工作在谈判小组内独立进行 供应商对南 充市政府采购中心或谈判小组或小组成员施加影响的任何行为 都 将导致其谈判资格的取消 二 谈判程序及内容 1 南充市政府采购中心按照规定的时间和地点组织谈判 2 根据报名供应商家数 至少确定三家供应商参加谈判 3 谈判须由供应商法人代表或法人授权代表 具有授权委托 书 出示身份证复印件及原件备查 参加 并签名报到以证明其出 席谈判 否则视为弃权 每一家供应商参加谈判的人员最多为 2 人 4 谈判过程中如有供应商退出谈判 则视为该供应商弃权 谈判仍可继续进行 5 谈判按下列程序进行 1 供应商谈判代表递交报价文件并签到 供应商报价文件的 内容应包括下列内容 a 供应商基本情况 b 供应商应提供如下谈判证明文件 供谈判小组审查 企业组织机构代码证 原件 营业执照副本 原件 税务登记 证 原件 安全产品需提供厂商 已通过公安部测试的 关于本项 目的授权书 原件 及上述证件加盖公章的复印件 法人代表委托书 原件 提供法人身份证复印件 被委托人身份证复印件 供应商递 交的谈判文件复印件必须按序胶装成册 c 供应商在售后服务方面的措施及其承诺 d 报价明细表 e 供应商需要说明的其他内容 2 供应商谈判代表抽签确定谈判顺序 3 宣布本次政府采购竞争性谈判的监督人员 主持人 工作 人员名单以及评选原则和办法等事项 供应商可当场对需回避人员 提出回避意见和理由 对所提需回避的人员进行核实确认后 该人 员必须回避 4 宣布第一轮谈判报价 供应商退场 谈判小组评审供应商 递交的报价文件 5 谈判小组根据评审情况 对需要补充的要求进行说明 6 采取背靠背方式 对报价情况及安装 售后服务方面的措 施及其承诺等方面进行谈判 可反复多次 参加谈判的供应商从第 二轮起可根据具体情况书面调整其报价及服务承诺 签名并加盖公 章 但下一轮的报价不得高于上一轮的报价 谈判小组应保证每 个参与谈判的供应商机会均等 供应商自动放弃谈判机会的除外 7 供应商针对谈判的情况进行书面承诺 8 谈判小组根据谈判情况及供应商的书面承诺进行评审 9 在所有参与此次谈判的供应商均已结束以上程序后 各供 应商最后一次以书面形式确认最终报价 10 谈判小组按最低价原则 推荐符合采购要求的成交人 三 评选原则及办法 1 谈判小组按公开 公平 公正的原则对待所有供应商 2 采用相同的程序和标准 对所有供应商的报价审查评比 3 严格按照谈判文件规定的评审要求和标准进行 4 本次谈判采用最低价法 以供应商的最终报价为依据 在最终报价中以报价最低的供应 商为成交供应商 第四部分第四部分 确定成交人确定成交人 一 成交条件 成交人要具备以下条件 1 承诺符合谈判文件的要求 2 通过谈判小组评审 3 能有效地履行合同 4 符合其他要素的需求 二 成交通知 1 确定成交人后 南充市政府采购中心以书面形式向成交人发 出 成交通知书 同时告知其他参加谈判的供应商 2 成交通知书对采购人和成交人具有法律效力 3 南充市政府采购中心将不对成交和未成交的原因作任何解释 4 成交通知书 将作为签订合同的依据 并作为合同的一个 组成部分 5 在 成交通知书 发出至合同签订期间 若出现成交人确 有伪造成交资格或其他致使成交人已实质性地丧失履约能力的事 由时 南充市政府采购中心可取消其成交资格 并没收其谈判 履约 保证金 第五部分第五部分 信息网边界接入平台方案 社会企事业单位接入 信息网边界接入平台方案 社会企事业单位接入 见下页见下页 目目 录录 项目建设背景项目建设背景 13 第第 2 章章 市局应用现状及建设需求市局应用现状及建设需求 14 2 1南充市公安局接入业务现状 14 2 2市局接入业务需求 14 第第 3 章章 边界接入平台方案设计边界接入平台方案设计 16 3 1接入平台建设目标 16 3 2接入平台建设依据 16 3 3接入平台设计原则 17 3 3 1符合性原则 17 3 3 2统一规划和建设 分步实施原则 17 3 4接入平台体系结构 17 3 4 1平台体系结构 17 3 4 2平台安全体系 19 3 5技术要求 21 3 5 1接入终端技术要求 21 3 5 2链路安全技术要求 21 3 5 3网络安全技术要求 22 3 5 4主机安全技术要求 24 3 5 5应用安全技术要求 25 3 5 6安全监控管理要求 25 3 5 7设备安全要求 27 3 6性能设计 29 3 6 1链路带宽 29 3 6 2业务并发数 31 3 6 3吞吐量 31 3 7扩展设计 32 3 7 1业务扩展 32 3 7 2性能扩展 32 3 8稳定可靠性设计 33 第第 4 章章 边界接入平台技术方案边界接入平台技术方案 34 4 1社会企事业单位接入链路 34 4 1 1路由接入区 35 4 1 2边界保护区 37 4 1 3应用服务区 39 4 1 4安全隔离区 39 4 1 5安全监测与管理区 42 4 1 6业务接入描述 43 4 2平台扩容 44 第第 5 章章 边界接入平台日常管理边界接入平台日常管理 45 5 1平台接入业务管理 45 5 2安全管理制度 46 5 3平台运维管理 47 5 3 1日常运行管理 47 5 3 2机房管理 48 5 3 3系统资产管理 48 5 3 4人员管理要求 48 第第 6 章章 方案建设内容方案建设内容 50 第第 1 章章项目建设背景项目建设背景 随着计算机和网络技术在公安及相关行业的广泛应用 为了更好 地服务公安管理 服务现实斗争需要 这就要求公安机关加强与政 府部门之间的信息交换与共享 如人口管理 电子监察 政法信息 共享等业务都需要实现公安部门与政府不同部门之间的数据交换与 共享 同时公安部门所需的许多社会信息都需要相关单位采集 如 旅馆住宿人员信息 印章制作信息 二手机动车信息 网吧信息等 以上需求都需要实现公安信息通信网 以下简称公安网 与其它网 络之间进行数据交换 而按照公安部网络安全管理要求 公安网不 能与其它网络物理链接 为解决公安网络与其它网络之间的数据交 换与共享 公安部 金盾工程二期 进行了整体规划和部署 要求 各地建设公安信息网边界接入平台 以下简称边界接入平台 公安 部于 2007 年制订了 公安信息通信网边界接入平台安全规范 以 下简称 安全规范 规范了公安信息通信网的边界接入方式 明 确了安全技术要求和安全管理要求 并对符合 安全规范 的产品 进行专门的检测认证 为了实现南充市公安局与政府部门之间数据交换及社会信息采集 按照公安部 安全规范 的要求 结合南充市公安局实际工作的需 要 设计建设南充市公安局边界接入平台 为开展信息交换共享提 供高效 安全的网络接入和数据交换服务 第第 2 章章市局应用现状及建设需求市局应用现状及建设需求 2 1 南充市公安局接入业务现状南充市公安局接入业务现状 按照 安全规范 要求 接入业务按链路分为三类 社会企事业 单位接入 党政军机关单位接入 公安机关驻地外接入 南充市公 安局目前已开展的业务中 这三类接入链路都有相应的应用需求 目前与 社会企事业单位接入 链路相关的业务有旅店业住宿人 员登记 印章业管理 新车选号等系统需要从外部行业单位采集数 据信息 其他后期可能会扩展的业务包括行业场所从业人员管理 驾驶员体检数据采集以及网吧数据采集等 南充市公安局现有接入业务基本通过网闸接入公安网 社会企事 业客户端直接通过 vpn 或者 vpdn 线路接入 与应用服务区内的业务 前置机进行通讯 业务数据在前置机落地之后 利用网闸提供的数 据库同步和文件同步功能 摆渡到公安网中 为了实现这种接入方 式 几乎给每一个接入业务都分别配置了一台网闸 即一个业务对 应一台网闸 2 2 市局接入业务需求市局接入业务需求 为了搭建南充市公安局边界接入平台 在与市局信息通信处 安 全科等相关单位调研的基础上 了解南充市公安局业务发展需求 结合 安全规范 设计了南充市公安局边界接入平台社会企事业单 位接入 党政军机关单位接入以及公安机关驻地外接入三条链路 同时考虑新建设的链路中改造 整合原有的接入应用 同时必须考 虑南充市公安局未来业务发展的需要 以保证系统稳定 安全 高 效运行 目前需要改造 整合现有的应用系统 旅店业和印章管理业 交 警的社会业务 社会治安管理相关数据 gps 信息采集等 以保证 现有的应用系统在新链路上正常运行 根据南充市公安局业务发展需要 通过该链路还将运行机动车修 理信息采集 二手车过户选号 驾驶员信息变更 换证预约 考试 预约 二手手机信息采集 gps 信息采集等相关业务 第第 3 章章边界接入平台方案设计边界接入平台方案设计 3 1 接入平台建设目标接入平台建设目标 针对目前各种信息采集 互通业务 设计一个技术先进 安全可 靠 切实可行 管理方便的安全技术方案 建设公安网边界接入的 统一平台体系 保证公安网的保密性 完整性和可用性 以及边界 接入业务的可管理性 可控性 保障边界接入公安网的安全 以及 相关网络和信息资源的安全 同时保证边界接入工作的高效稳定运 行 解决和提高公安业务工作 信息共享 服务群众的能力和水平 3 2 接入平台建设依据接入平台建设依据 本方案依据以下文件或规范设计 公安信息通信网边界接入平台安全规范 试行 关于印发的 通知 公信通 2007 191 号 关于稳步开展公安信息资源共享服务工作的通知 公信通 2007 189 号 关于进一步加强公安信息通信网日常安全管理工作机制建设的 通知 公信通传发 2008 109 号 关于公安信息通信网边界接入平台建设有关问题的通知 公 信通传发 2008 296 号 通过公安部组织测试的接入平台厂商名单 通过公安部组织测试的接入平台安全产品名单 3 3 接入平台设计原则接入平台设计原则 3 3 1 符合性原则符合性原则 建设方案必须符合 安全规范 的要求 建设单位通过公安部信 息安全等级保护评估中心的测评 具备 测评报告 其它安全设备 的选型符合 通过公安部组织测试的接入平台安全产品名单 的要 求 3 3 2 统一规划和建设 分步实施原则统一规划和建设 分步实施原则 接入平台安全建设是一个复杂的系统工程 需统一规划 根据业 务工作的实际需要来决定当前建设的重点 分期分批地实施 使整 个边界接入的建设成为一个模块化 持续发展的过程 根据南充市 公安局的情况 先建设社会企事业单位接入 党政军机关接入 公 安机关驻地外接入三条链路 以后随着需求的发展 逐步开展视频 图像 互联网数据导入等链路的接入与改造 3 4 接入平台体系结构接入平台体系结构 3 4 1 平台体系结构平台体系结构 边界接入平台系统采用一级管理模式 即在公安机关信息中心建 设边界接入平台系统 系统的体系结构如下图所示 第 18 页 共 52 页 第 19 页 共 52 页 接入对象为社会企事业单位 社会企事业单位接入业务允许的业 务操作方式为数据交换 南充市公安局现有的业务包括从广泛的社会网络和信息中采集与 公安工作相关的信息 完善信息数据 为进一步提高信息研判的准 确度打好基础 以及为市委市政府 政法等政府部门实现数据共享 服务 并且由于公安信息网内网具有的八大资源库资源优势 可为 省内多个政府部门共享全省的基础信息数据 以及公安局驻地外用 户的接入需求 外部接入链路主要包括专线 拨号两类 接入平台由路由接入区 边界保护区 应用服务区 安全隔离区 和安全监测与管理区五部分组成 公安信息通信网内公安 pki pmi 系统提供接入平台相关的认证和 授权等服务 公安信息通信网内应用信息系统及数据库提供与接入 平台相关的信息服务 接入对象采用不同的外部链路接入方式 通 过接入平台与公安信息通信网内相关应用系统与数据库进行信息交 换 3 4 2 平台安全体系平台安全体系 接入平台安全体系由三重防护体系 两个基础设施构成 结构如 下图所示 三重防护体系由应用环境安全 应用区域边界安全和链路与网络 通信安全三部分构成 1 应用环境安全 主要指接入平台的终端和用户来源可信 可监控 接入平台的硬 件配置 操作系统 关键应用程序等方面安全可靠 实现应用环境 安全的各类安全和保护措施统称为安全加置 安全加固主要有两类 一类是基于可信计算技术的可信计算机 用于高安全等级的终端 或服务器 一类是基于操作系统加固软件 安全应用系统并结合 硬件外设 标识用户身份 的安全增强措施 针对一般安全级别的 终端 或服务器 2 应用区域边界安全 主要涉及各类接入业务在接入平台过程中网络和系统的边界安全 方面 主要通过身份认证 访问控制等安全技术措施 实现粗粒度 控制下合法访问者对网络和系统的访问 3 链路与网络通信安全 主要涉及各类接入业务在接入平台过程中链路及网络安全方面 主要采用数据机密性与完整性安全保护技术 建立端到端传输的安 全机制 两个基础设施主要由公安 pki pmi 基础设施 安全检测与管理基 础设施两部分构成 1 公安 pki pmi 基础设施 具有公安数字证书的产生 管理 存储 分发和撤销等功能 是 实现对接入平台党 政 军机关 公安机关驻地外接入点用户等接入 对象的身份认证 授权管理 访问控制等安全机制的基础 2 安全监测与管理基础设施 实现对整个接入平台及其接入业务的注册 监控与审计 其功能 主要由接入平台的集中监控与审计系统实现 3 5 技术要求技术要求 3 5 1 接入终端技术要求接入终端技术要求 接入终端技术要求接入终端技术要求 接入终端在联接接入平台同时不得联接互联网或其他网络 必须进行设备认证 认证方式可以采用 mac ip 地址绑定 硬 件特征码 设备证书等 未通过认证设备必须阻断 必须进行用户身份认证 认证方式可采用口令 硬件数字证 书 动态令牌等 推荐使用数字证书等高强度身份认证方式 必须实现通信内容的机密性与完整性保护 链路方式如果采用普通电话拨号 adsl 拨号等时 并未采用 电话拨号回拨认证 vpdn 等链路安全机制的情况下 接入终 端必须经过安全加固 否则不能直接与接入平台建立连接 接入终端上安装的接入业务应用程序必须完善自身的安全性 和健壮性 应接受接入平台的监控管理 3 5 2 链路安全技术要求链路安全技术要求 外部接入链路的技术要求外部接入链路的技术要求 边界接入平台的外部接入链路分为两类 分别是专线和拨号 专线是指采用公安自建的或运营商提供的专用通信线路 带宽接 入 其端点物理位置固定 电路专用 例如专用光缆 公安专用 adsl 虚电路等 拨号是指有线拨号 例如固定电话拨号 pstn adsl 等 其特 点为通过公共通信网进行 中间链路存在共享 社会企事业单位外部终端与接入平台间可以使用的外部通信链路 包括专线和拨号两种 采用拨号类接入的在外部通信链路上必须采 用 vpdn 或者电话拨号回拨认证等链路安全机制保证链路安全 党政军机关应采用专线作为外部通信链路 公安机关驻地外终端与接入平台间可以使用的外部通信链路包括 专线和拨号两种 采用拨号类接入的在外部通信链路上必须采用 vpdn 或者电话拨号回拨认证等链路安全机制保证链路安全 接入平台边界接入平台边界 接入平台与运营商网络之间必须以专线方式连接 链路设备之间 要进行相互认证 接入平台内部接入平台内部 接入平台内部链路应严格专用 不允许用于其他用途 接入平台内部为不同接入对象提供服务的链路必须根据接入对象 安全级别和业务操作方式 数据交换或授权访问 加以区分 社会 企事业单位接入提供服务的链路 党政军机关提供服务的链路 公 安机关驻地外链路全部都要物理隔离 对于数据交换业务 建议区分数据流入和流出链路 接入平台内用于入侵保护或者集中监控的各种检测设备不能造成 平台内部链路的旁路 3 5 3 网络安全技术要求网络安全技术要求 身份认证要求身份认证要求 对社会企事业单位外部终端必须进行身份认证 认证协议应 基于安全的双向认证协议 如 ike 或 ssl 握手协议 对党政军机关外部终端必须进行身份认证 身份认证基于公 安机关颁发的定制类型数字身份证书 认证协议应基于安全 的双向认证协议 对公安机关驻地外终端必须进行身份认证 身份认证基于公 安机关颁发的警用数字身份证书 认证协议应基于安全的双 向认证协议 访问控制要求访问控制要求 未通过身份认证的外部终端不能进入平台访问 外部终端的网络连接终止于接入平台内 无法直接访问公安 信息通信网或与公安信息通信网交换信息 通过身份认证的外部终端只能访问平台内的指定设备 并且 只能进行允许的操作 非授权的访问应被阻断 机密性和完整性要求机密性和完整性要求 在网络传输过程中 外部终端与接入平台间通信内容必须实 现机密性保护 在网络传输过程中 必须保证传输过程中报文的完整性 并 具备防止重发攻击 篡改和伪造等功能 对于专线接入情况 在接入对象可信程度较高条件下 机密 性和完整性保护措施可相对降低 入侵防范要求入侵防范要求 对源 目标地址及端口进行控制 实现会话状态检测及内部网 络地址隐藏 能够实时发现入侵行为及病毒 蠕虫传播 并及时报警 网络设备安全要求网络设备安全要求 对登录网络设备的用户进行身份认证 身份认证方式应具有足够 强度 同时对网络设备管理员的登录地址 登录时间长度等进行限 制 不允许远程登录 对于关键网络设备的管理 应将管理数据流与业务数据流分离 应开启关键网络设备安全审计功能 配置日志服务器 安全审计的 内容应记录系统内重要的安全相关事件 包括登录事件 配置更改 等 应及时更新网络设备的操作系统 关闭不必要的服务 可用性保障要求可用性保障要求 网络拓扑结构设计中关键节点采用冗余技术 避免存在网络单点 故障 关键网络设备和服务器设备建议采用硬件冗余 软件配置等技术 手段提供系统的高可用性 3 5 4 主机安全技术要求主机安全技术要求 主机是指接入平台内提供各类型应用服务及数据存储的服务器 包括应用前置机 数据库前置机和文件前置机等 或管理终端 包括集控系统管理终端等 主机操作系统应选择具有长期补丁更新支持的正版软件 应遵循 最小安装的原则 即仅安装需要的组件和应用程序 并保持系统补 丁及时得到更新 安装经国家有关部门认证 许可的正版防病毒软 件 并通过接入平台内设置防病毒服务器或手工下载来及时更新防 病毒软件版本和病毒库 对登录系统的用户进行身份认证 身份认证方式 如口令 具有 足够强度 应禁止远程登录 启动登录失败处理功能 并严格限制 帐户的访问权限 开启系统安全审计功能 安全审计的内容应记录系统内重要的安 全相关事件 包括重要用户行为 系统资源的异常使用和重要系统 命令的使用等 3 5 5 应用安全技术要求应用安全技术要求 应用安全技术要求分为对数据交换方式的安全要求和对授权访问 方式的安全要求两类 数据交换应用安全要求数据交换应用安全要求 在与公安信息通信网进行数据交换之前 接入平台必须对接入业 务的数据流量先实现通信协议的剥离 并按照业务预先注册的数据 格式要求 对数据的类型 格式进行严格检查 对数据内容进行过 滤 限制所有不符合要求的数据传入接入平台 公安信息通信网内及接入平台内接入业务应用信息系统应完善自 身的安全性和健壮性 尽量确保通过接入平台的业务信息数据的机 密性 完整性 必须实现应用级日志记录 并报送集中监控与管理系统 授权访问应用安全要求授权访问应用安全要求 必须实现应用级身份认证 访问控制和授权管理 并能依据安全 策略细粒度控制访问范围 应用类型和内容 防止敏感信息的泄漏 使用可信边界安全网关实现以上功能 必须不影响公安信息通信网内信息资源及应用系统基于公安 pki pmi 系统的认证 授权 审计等工作的正常运行 并且 公安 信息通信网内及通过接入平台的接入业务应用信息系统应完善自身 的安全性和健壮性 必须实现应用级日志记录 并报送集中监控与管理系统 3 5 6 安全监控管理要求安全监控管理要求 平台监控管理要求分为两个部分 平台自身的安全监控管理功能 和接入平台级联上报功能 各监管系统建立数据库存储管理 监控 及审计信息 并将各类信息级联上报至公安部 接入平台安全监管功能设计包括以下几个部分 注册信息管理 运行监控管理和安全审计管理 3 5 6 1注册信息管理注册信息管理 注册信息管理部分提供边界接入不同层次 接入终端 平台 链 路 业务 使用单位等 的信息注册和管理功能 包括对接入终端 信息 接入平台信息 链路信息 业务信息 使用单位信息 平台 运行信息等进行注册管理 以及根据实际应用需求从不同层次配置 的安全策略管理 3 5 6 2运行监控管理运行监控管理 运行监控管理部分主要根据接入平台以及业务注册过程中配置的 安全策略提供安全管理功能 主要包括实时监控接入终端的安全状 况 网络连接情况 系统和业务应用的运行情况 实时监控接入平 台的运行状况 并实现对监测信息 报警信息 安全事件信息等数 据的查询和统计 监控接入平台当前运行总体情况 用户监控 即 登录状态 操作行为 访问资源等 异常监控 包括异常用户 流 量 设备等信息 按时间段 应用系统 用户单位分析统计用户信 息 流量信息 异常信息 及时生成网络流量信息的报表 3 5 6 3安全审计管理安全审计管理 安全审计管理部分提供针对用户 业务应用系统 设备等的安全 审计功能 以及对异常事件的追踪 主要包括 用户行为审计 即 用户信息 访问的资源 访问的时间等 业务应用系统审计 即应 用系统信息 数据传输流量 传输时间 传输单位等 设备运行审 计 异常行为审计等 按时间段 应用系统 用户单位分析统计用 户行为 业务应用系统数据传输 异常行为 3 5 6 4级联上报设计级联上报设计 接入平台级联上报功能主要将本地接入平台 接入业务及使用单 位等注册管理基本信息 以及运行状态和安全审计基本信息定时上 报给上级接入平台 从而为上级接入平台对本地接入平台的注册管 理 运行状态 安全审计等方面信息的浏览 综合查询及统计分析 提供所必须的数据 级联方式如下图所示 3 5 6 5其他管理要求其他管理要求 所有接入平台的业务必须在监管系统注册后方可投入运行 所有接入平台的业务运行流量必须受到监管系统实时监控 防火墙 可信边界安全网关 入侵检测系统 安全隔离设备 数据交换服务器等设备的运行管理日志必须发送给监管系统 统一处理 3 5 7 设备安全要求设备安全要求 接入平台内所有的安全设备都应满足国家或公安行业相关的技术 标准和要求 具备国家相应权威部门出具的产品证书和安全检测报 告 并在检测报告允许的范围内使用 关键安全设备必须接受监管 系统的监管和审计 安全隔离设备的要求安全隔离设备的要求 应满足 ga 370 2001 端设备隔离部件安全技术要求 和国家保 密标准 涉及国家秘密信息系统安全隔离和信息交换产品技术要求 并经公安部批准同意使用 具备以下安全功能 应采用三部件架构安全隔离设备 采用专用硬件和专用通信协议 协议中断 信息落地 所有过往的流量都被剥离通信协议 还原为应用层信息 防范各类攻击和信息泄露 可信边界安全网关的要求可信边界安全网关的要求 应满足 ga 246 1 1999 计算机信息系统安全产品第一部分 安 全功能检测身份鉴别类 和国家保密标准 涉及国家秘密的信息系 统安全中间件产品技术要求 并经公安部批准同意使用 具备以下安全功能 基于公安数字证书的身份认证 基于 802 1x 协议的链路认证 基于终端特征的设备认证 基于细粒度授权管理策略的公安信息通信网内信息资源及应 用系统强制访问控制 不影响公安信息通信网内信息资源及应用系统基于公安 pki pmi 系统的认证 授权 审计等工作的正常运行 支持应用代理 数据交换系统的要求数据交换系统的要求 数据交换系统指专门用于业务数据检查 业务存取控制及分发的 软硬件系统 具备如下安全功能 设备本身具有很强的安全性 采用硬件专用设备形式并进行 安全加固 区分连接内外网链路的接口 根据安全策略主动获取来自前置机群的数据 验证数据源和数据完整性 以及根据业务规则检查数据类型 格式 内容 过滤不符合安全策略的数据 3 6 性能设计性能设计 作为公安网与外部业务接入的边界接入平台 在性能上需满足 目前的业务需求外 还需对将来的业务扩展留下充足的空间 在性 能设计上主要体现在平台链路带宽 在线 并发用户数和网络吞吐量 等方面 3 6 1 链路带宽链路带宽 对于边界接入平台 链路带宽分为外部链路和内部链路两个部 分 3 6 1 1外部链路外部链路 外部链路分为接入平台端和客户端两个部分 边界接入平台端的外部链路主要有两类物理接入链路 社会企 事业单位接入和公安及党政军接入链路 而针对不同类的接入 外 部链路可选运营商提供的多种接入方式 由于边界接入的业务是在平台建设过程 完毕后逐个增设 因此 外部链路的带宽可根据接入业务的实际状况逐步增加 有条件的地 方也可在先期建设时一步到位 外部链路建议先期建设百兆带宽 后期根据情况增加到千兆或以上 对于各类客户端 由于所有的信息传输都经过加密 因此对终 端接入的带宽要求比普通的网络接入要高 建议采用 1mb 以上的接 入带宽 3 6 1 2内部链路内部链路 边界接入平台是公安网与外网唯一通道 将来接入业务会逐渐 增加 因此在内部链路上皆采用千兆链路 如用户有特殊情况 要求 也可建设百兆链路 在平台内部链路上的通用网络设备及网络环境 皆采用千兆的设备架设 以满足将来的业务扩展和升级 保护投资 3 6 1 3带宽估算方式带宽估算方式 以下给出带宽的初步的估算方式 接入的应用可分为面向链接的和不面向链接的 如 b s 方式的 应用 由于采用的是 http 协议 不是常链接的 对资源要求少 而 对于 c s 应用 由于其是常链接的 因此其占用带宽资源较多 一 般采用 b s 方式估算 如果同时在线用户数为 10 n 对于 b s 类应 用实际的并发在线用户数可以总用户数的 1 10 计 则同时并发在线 用户数为 n 假设各个用户业务要求的带宽为 200kb 则总带宽要求 为 200kb n 0 2 n mb 因此 一个真千兆的接入链路 可承 载 5000 个用户的并发 相当于可同时支撑 50000 个用户 若总用户数超过 50000 个 则由于目前架设高于千兆链路环境 成本较高 则可通过分流用户或增设其它链路来实现大用户量的业 务接入 3 6 2 业务并发数业务并发数 从链路带宽的分析中可知 真千兆的并发业务数极限为 5000 因此 在实际使用中需少于这个数目 由于设备的性能参数是在实 验室环境下测出来 在实际工作环境中存在偏差 在进行设备选型 时 设备的性能参数的最高值必须在这个值左右或以上 3 6 3 吞吐量吞吐量 从上述分析中可知 内部链路带宽采用千兆链路 对于授权访问类应用 其吞吐量性能与业务情况实时挂钩 而 对数据交换类业务 如果业务总需求高于链路的吞吐量设计 则可 通过以下方式进行解决 一 负载均衡技术 这是一个最容易想到的方案 也是最行之有效的 然而 从目 前的实际情况来看并不存在这样的必要性 所有业务不是马上就可 以一步实施到位的 不是所有的业务都需要准实时交换的 通过人 为的规划 可以将各种业务按要求进行划分 错开时间高峰以满足 应用要求 二 空间换性能 采取用空间换性能的策略 所有交换的数据信息在平台的业务 主链路上只是暂存 因此 在数据采集和数据交换的过程中 可以 提供一定大的存储空间 暂存不需要及时发送的数据 而等系统空 闲时再将其转发 综上所述 为了更好地支撑将来业务的接入 整个平台采用千 兆设备架设 3 7 扩展设计扩展设计 平台设计考虑一定的灵活性和可扩展性 整个方案在设计时考 虑将来的扩展 主要体现在业务扩展和性能扩展上 3 7 1 业务扩展业务扩展 业务的应用类型主要分为 b s 方式和 c s 方式 两者皆有的混合 方式 边界接入平台中面对外界接入的安全设备都无缝兼容此两类 应用 出于安全上的设计 对此两类业务的唯一限制是业务的发起 端必需是客户端 以防止内网主动发起请求而造成的内网数据外泄 对于业务扩展 增加业务的方式主要有两种 第一种方式是在 原有硬件的基础上增加新的应用服务 第二种方式是增设新的应用 服务器以支撑新的应用 对于第一种方式 对边界接入平台现有架构或硬件设备无任何 更改 只需在原有的硬件上增加相应的应用服务就可以支撑新的业 务扩展 对于第二种方式 边界接入平台的整体架构不变 只需在相应 区域增设新的应用服务器 在新的应用服务器上安装新的应用服务 就可支撑新的业务扩展 因此 边界接入平台可很好支持业务扩展 3 7 2 性能扩展性能扩展 边界接入业务是个逐步增长的过程 随着业务增加 原来设计 的平台性能可能不能满足要求 因此要求边界接入平台方案在性能 上具有一定的可扩展性 对于性能扩展 主要从链路性能和设备性能两个方面进行考虑 对于链路性能 首次建设时就采用千兆链路 所有的网络通信设备 也采用千兆设备 在平台的关键设备设计与选型上 所有的设备都 支持负载均衡技术 若由于平台内关键设备的性能影响了平台的整 体性能 可通过负载均衡设备来实现设备性能扩展 3 8 稳定可靠性设计稳定可靠性设计 从以下几点对边界接入平台稳定性进行设计 1 接入平台设计选用成熟的专用以及通用网络设备 设备经 过长期测试 稳定性强 2 接入平台使用的内外网数据交换系统采用事务处理确认机 制和数据回滚机制设计 只有目标点可达时 才进行传输 实现数 据高效 稳定 完整地交换 3 接入平台使用的关键设备如可信边界安全网关和数据交换系 统等采用可靠 稳定性设计 均支持双机热备 对当前系统参数备 份设计等保障整个接入平台的稳定性 第 34 页 共 52 页 第第 4 章章边界接入平台技术方案边界接入平台技术方案 4 1 社会企事业单位接入链路社会企事业单位接入链路 第 35 页 共 52 页 社会企事业单位接入业务包括 旅店业 印章业 机动车修理 业 报废车拆解业 印刷业 爆炸物管理业等社会有关单位为公安 机关系统上报信息的业务 同时也包括银行 保险 电信运营商等 社会行业单位与公安机关共享信息的业务 主要是从社会其它行业 单位采集信息 或进行交互式应用 如网上申报或者审批业务 利 用运营商提供的 vpdn 网络 将各个行业单位的客户端电脑接入公安 外网 在接入公安外网时通过三层交换机进行链路区分 为每一个 接入业务分配不同的 vlan 每个 vlan 的终端不能互相访问 以防 止不同业务应用之间相互干扰 另外为了使整个系统更加稳定可靠 对可信网关和防火墙均可使用负载均衡 保证了整条链路的冗余性 对于社会企事业这一类业务操作方式为数据交换 主要采用数据库 同步模式或文件同步模式 4 1 1 路由接入区路由接入区 该区域实现各个外部链路与接入平台间连接 要求业务应用系 统承建商在建设时遵循 安全规范 及本方案要求 该区域主要安全功能为 实现路由访问控制 将来自不同接入 对象或不同外部链路的数据流按照接入平台的安全策略加以区分 4 1 1 1终端安全管理终端安全管理 对于社会企事业单位接入终端 加强终端设备上用户的身份认证强度 通过可信边界安全网 关可实现用户名 口令方式的认证 以及扩展支持双因素身份 认证 即可以通过颁发数字证书来认证客户端身份 加强终端设备的设备认证功能 通过获取终端设备 ip mac 主板 cpu 硬盘序列号等信息对设备进行唯一性 认证 检查和控制远程终端设备的安全性 包括操作系统版 本 是否安装病毒防护工具等 远程终端必须符合预定义的 安全策略才能连接安全网关 并通过安全网关的授权访问内 部资源 应用访问控制 根据用户身份进一步控制用户可访问的应用 和可进行的操作 支持 b s c s 等多种结构业务系统 通过 可信网关实现单点登录和零业务改造 安全审计 记录每台终端的操作行为 终端设备及用户的操 作行为将受到平台集控系统的监管审计 包括终端的健康状 况 安全状况 网络通信等 并可进行统计分析 报警 4 1 1 2链路安全链路安全 根据 安全规范 要求 本方案中外部社会企事业单位接入终 端接入要求使用 vpdn 及专线接入方式 实际应用多数采用 vpdn 对于 vpdn 接入方式 目前运营商多数提供基于 adsl 的 vpdn 接 入方式 该方式使用一次拨号拨入虚拟专网 不分配互联网地址 也不提供互联网接入路由出口 从而保证与互联网络的隔离 外部