天津市规划局.doc

天津市规划局网络安全及网络集成项目需求书一、建设背景我局经过多年的积累和努力，先后建成业务管理、政务办公、数字党务、档案管理、综合统计和辅助决策等十余个专项管理信息系统，创建了面向全社会的电子政务网站，局机关率先实现了党务、业务、政务管理全面办公自动化，市局与区县局（处）建立了稳健、安全、快速的宽带信息网络，整合了大量的城乡规划管理空间信息资源，为规划业务管理信息平台建设奠定了扎实的基础。2007年以来，我局实施“一网通”工程后，市局、各规划审批单位全面实行了网络办公，规划管理业务所有的行政许可、行政审批事项全面网络运行。网络的业务办理，成为城乡规划管理的枢纽，成为城乡规划管理的及其重要的手段。为了保证我局系统可靠运转，需要对我局网络进行改造，提高传输能力，同时加强网络安全的技术手段和管理，保证我局重要系统、关键业务的持续运行、保证数据的安全。二、技术要求由于我局现有的设备使用时间比较长，核心交换机是港湾的6808交换机，已没有配件技术支持，接入交换机有港湾、3com、H3C等多种品牌，需要更换部分的网络设备，同时对网络进行重新规划，提高网络信息传输的效率。随着我局一网通工程的实施，我局电子政务专网上的用户越来越多，客户端接入、安全等管理非常薄弱，管理困难，工作量大。为保证网络的安全，需要加强客户端的管理。天津市规划局电子政务专网，是利用天津市电子政务专网通过VPN隧道，IPSEC加密来构建的，网络覆盖全市域共30个联网单位。骨干网络带宽为百兆共享。下图为网络拓扑示意图。局域网拓扑示意图局电子政务专网拓扑示意图局域网改造及安全管理主要包括以下三个方面的工作：1.网络设备更新；2.安全管理、网络服务器管理软件采购与部署；3.为达到安全管理目标，配合以上工作的需要进行其它改造措施。（一）网络设备更新采用高性能、无阻塞的三层交换机替换现有的港湾6808交换机，采用千兆智能三层交换机作为服务器接入交换机，采用千兆智能二层交换机作为用户接入交换机。要求：接入交换机与核心交换机之间采用链路捆绑方式实现多千兆的连接，支持完整的QOS功能，保证视频会议等关键应用的优先级；支持组播功能；支持防ARP攻击、DHCP Spoofing 等安全功能。具体性能指标：1、核心交换机（1台）功能及技术指标参数要求业务插槽数业务插槽数=5，引擎插槽数=2整机交换容量=720Gbps整机包转发能力=400 Mpps关键部件冗余主控交换卡、电源等关键部件冗余配置关键部件热插拔主控交换卡、电源、接口模块等关键部件可热插拔接口要求支持百兆和千兆的以太网电口和光口，以及万兆的以太网光口要求所有接口板必须是分布式转发工作模式配置24口千兆以太网业务板卡一块，配置24千个兆多模光纤模块配置24口千兆电口以太网业务板卡一块配置1个2端口万兆以太网光口业务板和2个XFP多模万兆模块IPv4协议硬件支持分布式IPv4线速处理，其中路由协议必须支持RIP、OSPF V2、IS-IS和BGP,组播协议必须支持IGMP V1/V2/V3 Snooping、PIM-SM、PIM-DM、PIM-SSM和MSDPMPLS协议支持三层的MPLS BGP VPN和二层的VLL，VRF不小于255 安全功能支持高性能的内置防火墙模块，防火墙处理能力不低于5G；支持DHCP Snooping，防止欺骗的DHCP服务器；支持动态ARP检测，防止中间人攻击和ARP拒绝服务；支持BPDU guard， Root guard；支持uRPF(单播反向路径检测)，杜绝IP源地址欺骗，防范病毒和攻击；可靠功能支持以太网的环网保护技术，环网故障恢复时间不超过200ms；支持路由协议的Graceful Restart技术；支持UDLD或同类协议，支持LDP端口环回检测访问控制支持基于第二层、第三层和第四层的ACL，平均每板提供ACl条目数不小于4000条；支持VLAN ACL和IPv6 ACL；支持出方向ACL，以便于灵活实现数据包过滤；支持IEEE 802.1和Portal方式用户认证, 802.1x动态VLAN分配；支持IP/Port/MAC的绑定功能QoS支持 至少具备8个QoS优先级，通过服务质量策略（特别是优先权规则和算法）为关键业务和特定应用预留带宽；支持出方向的流量限速功能（Egress Car）；提供广播风暴抑制功能VLAN支持动态划分VLAN；支持静态VLAN和802.1Q VLAN Trunk；VLAN数可以达4000个以上； 端口聚合支持跨模块的端口聚合，最大聚合组数不小于256组；端口镜像支持多个物理端口的流量镜像到一个端口；支持跨单板和跨设备的端口镜像；支持流镜像到CPU和端口管理特性支持SNMP V1/V2/V3、RMON、SSHV2支持通过命令行、Web、中文图形化配置软件等方式进行配置和管理。引擎支持并配置外置Flash，便于配置升级和日志存放认证提供信息产品部的IPv4入网证其他（IPv6入网证，提供IPv6第二阶段认证证明）2、服务器接入交换机（2台）功能及技术指标参数要求交换容量=240Gbps转发性能=130 Mpps电源支持双电源输入接口类型万兆接口数量=4可用千兆接口数量=48配置1个万兆多模光纤模块SDRAM256M路由表容量=12KMAC地址表=32KVLAN特性支持基于端口的VLAN，支持基于协议的VLAN；支持基于MAC的VLAN；最大VLAN数(不是VLAN ID)=4094链路聚合支持最多8个GE口或4个10 GE端口聚合；支持最多14个聚合组；支持LACP镜像功能支持本地端口镜像和远程端口镜像RSPAN；同时支持多对一和多对多的端口镜像QOS每端口支持8个优先级队列；支持802.1P，DSCP/TOS优先级和重新标记能力，支持基于时间段的流分类和QoS控制能力；支持出方向的流量限速功能（Egress Car）；提供广播风暴抑制功能；组播协议支持PIM-DM、PIM-SM、IGMP、IGMP Snooping等协议支持MLD，MLD Snooping等IPv6组播协议路由协议支持IPv4静态路由、RIP V1/V2、OSPF、BGP支持IPv6静态路由、RIPng、OSPFv3、BGP4+支持IPv4和IPv6环境下的策略路由支持IPv6手动隧道、6to4隧道和ISATAP隧道可靠性支持VRRPv2/v3（虚拟路由冗余协议)；支持STP/RSTP/MSTP协议；访问控制策略支持基于第二层、第三层和第四层的ACL；整机提供ACl条目数不小于4K条；支持基于端口和VLAN的 ACL；支持出方向ACL，以便于灵活实现数据包过滤；支持802.1x认证，支持集中式MAC地址认证；安全特性支持IP+MAC+PORT的绑定；支持DHCP Snooping，防止欺骗的DHCP服务器；管理和维护支持SNMP V1/V2/V3、RMON、SSHV2支持sFLow，可以对出入方向的报文按比例随机抽样，灵活实现报文采集；支持虚电缆检测功能，快速准确定位网络中故障电缆的短路或断路点；支持单向链路检测(DLDP),有效的防止网络中单通故障的发生；支持通过命令行、Web、中文图形化配置软件等方式进行配置和管理。资质认证要求提供信产部入网证和检验报告（IPv6入网证，提供IPv6第二阶段认证证明）3、千兆接入交换机（7台）（局内网络升级）功能及技术指标参数要求交换容量=96Gbps转发性能=71Mppss最大千兆电口接口数量=48最大千兆光接口数量=4配置2个SFP千兆多模光纤模块VLAN特性支持基于端口的VLAN，支持基于协议的VLAN，802.1q Vlan封装，最大Vlan数=4094，支持GVRP、支持策略VLANMAC地址表=16K堆叠特性堆叠数量=16链路聚合支持动态LACP链路聚合带宽控制支持带宽控制，控制粒度=48G转发性能=35Mpps最大千兆电口接口数量=24最大千兆光接口数量=4配置1个千兆单模SFP模块VLAN特性支持基于端口的VLAN，支持基于协议的VLAN，802.1q Vlan封装，最大Vlan数=4094，支持GVRP、支持策略VLANMAC地址表=16K堆叠特性堆叠数量=16链路聚合支持动态LACP链路聚合带宽控制支持带宽控制，控制粒度=4个千兆SFP接口VLAN特性VLAN支持数量=4KMAC地址表=8K堆叠特性堆叠数量=16； 链路聚合最大支持8个FE口安全特性支持DHCP SNOOPING，支持ARP入侵检测功能，支持ARP限速 二层交换机支持ARP入侵检测功能倾向带宽控制支持带宽控制，控制粒度=64Kbps生成树协议支持IEEE 802.1d（STP），支持IEEE802.1w（RSTP），支持IEEE802.1s（MSTP）VCT支持电缆检测功能，便于快速定位网络故障点设备管理SNMP V1/V2/V3；支持SSH V2；支持中文图形化管理。以上设备要求5年厂商质保和服务。（二）安全管理、网络及服务器管理软件1、客户端安全管理软件（1套）我局内网由机关局域网和各区处局域网2部分组成，为了加强内网的安全性，提高工作效率，计划在内网部署终端安全接入控制，实现终端接入控制、系统安全检查、资产管理、用户行为监控等功能，要求能够管理至少 900个客户端（内网300个，30个区县共600个），客户端安全管理产品实现双机热备。具体要求如下：技术指标参数要求终端接入控制能够支持多种认证方式，如用户名口令、MAC地址、域认证以及第三方LDAP认证等，并支持与MAC/IP地址的绑定认证。能够与AD域集成，实现统一用户认证；能够对需要接入网络的所有终端用户进行身份认证和安全认证，防止非法用户和不安全的用户接入企业内网；能够限制终端访问的目的网段和端口；可以基于角色为用户和用户组分配网络访问权限，实现对用户能够访问的网段、IP地址、端口的控制，实现最小授权的访问控制，保护业务系统安全；安全检查的内容包括：软件黑白名单，口令策略，防毒软件，进程，服务，软件补丁，注册表；支持根据终端安全状态决定是否允许终端访问业务系统，加强对业务的防护，对于不能通过安全检查的终端，可以限定其只能访问指定区域，并提供安全修复建议。支持用户登录的唯一性； 对于基于网络协议的攻击如ARP攻击，具备防护能力；软件结构要求支持B/S结构的管理界面支持分级别管理系统安全检查可自定义安全策略；与防病毒软件联动；l要求能够检查是否安装指定的防病毒软件、防毒软件是否正在运行以及防毒软件病毒库是否在规定时间内更新，并能够依此自定义违规等级；能够隔离不符合定义要求的终端，能够提醒并引导用户至修复服务器安装、升级防病毒软件；要求能够支持Norton 10、11版本，趋势，瑞星和金山毒霸等国内外主流防病毒软件；检测到病毒后，能够将感染病毒的用户进行断网措施；系统安全性与可靠性系统应支持热备功能，消除单点故障，保证系统的可靠性；系统管理员能够统一升级终端软件软件版本；能够支持逃生通道功能，系统能够提供了一个有效的逃生通道，如果系统的服务器发生故障，可以解除对终端用户的访问控制，防止系统故障而可能导致用户的业务中断。员工行为管理网络访问控制：能够按组或个人进行访问规则的设置，可以对指定的一个或一段IP地址和端口进行监视和控制。监控结果可以上报服务器；能够监控网络应用程序的网络访问；文件操作记录：能够记录本地硬盘文件拷贝到USB存储设备的操作并将事件上报到服务器监控USB设备：能够支持USB设备禁用和启用；监控进程：能够监视系统中运行的进程列表；能够根据预先设定的规则拦截进程，阻止进程的启动、或者杀死进程，如果不能杀死进程，可进行断网等操作；外设监控；非法外连检查；监控网络连接；监控多网卡；资产管理系统应能够自动采集、建立计算机终端信息，包括终端设备操作系统、硬件配置状态和信息、应用软件安装信息，并将这些信息保存备案，主要提供的功能包括：软件清单硬件清单自动发现：能够自动发现终端软硬件信息，并能进行维护、设置和管理；软件分发及补丁下载支持多种形式的软件分发；支持补丁下载，当有新的补丁时，自动提示客户端进行安装其他要求支持安全策略与接入交换机端口联动的功能监控拷屏键：要求能够监控拷屏键的启用和禁用；能够根据时间段对用户的访问定义不同的监控策略；支持远程协助功能，且对网络速度无明显影响文档安全要求能够支持文档安全管理支持细粒度的文档权限控制。包括如下类型：只读，编辑，复制/粘贴，打印，分发，完全控制等权限类型的控制。支持权限有效期，支持周期性的时间限制。支持只读文件的打开次数控制，打印的打印次数限制。能防止用户对加密文件进行拷屏操作。提供文件的单向复制功能。支持文档还原远程协助具有远程协助功能；允许管理员远程修改客户端计算机名称和IP地址，实现远程桌面管理；以上设备要求5年厂商质保和升级服务。2、网管软件（1套） 需支持150设备节点管理功能及技术指标参数要求网管性能要求资源拓扑、告警、性能等功能组件支持多服务器负载分担部署，保证各网管组件性能分级管理通过分级管理，建立其区域化、层次化的管理体制，并且分散了大规模网络的管理压力,突破了单网管站点的资源管理能力和性能压力。分域、分权管理可以为不同的管理员设置不同的用户名、密码，并限制管理员的管理权限和管理范围，实现分域、分权管理。支持设备与用户统一管理支持网络管理平台实现设备管理与用户管理联动，如通过点击拓扑楼层接入交换机查看该楼层所有接入用户帐户信息。监测链路的流量和资源利用情况，链路和接口的流入/流出流量、流入/流出带宽利用率等。支持设备与流量分析统一管理支持网络管理平台实现设备管理与流量分析联动，如通过点击拓扑某链路可查看该链路的关键应用流量分布、关键用户流量使用等。采用B/S结构初期部署和维护升级都非常简便。无需安装客户端，对系统的访问只要一个标准的浏览器，对操作系统的适应能力强。自动发现拓扑自动发现网络中的所有网络设备，并在拓扑中显示出来，可以自动将网络中的逻辑连接关系显示出来。可以自定义拓扑根据网络的实际组网，管理员可对拓扑图进行灵活定制网络拓扑，包括对设备、链路、背景图等自定义修改。支持多种拓扑类型IP拓扑：展示了网络中的三层设备与三层设备，三层设备与子网的连接关系，反映出网络中的路由和子网划分情况。二层拓扑：各个设备之间的二层连接关系、链路状态、设备状态等网络结构和状态信息。邻居拓扑可以清楚地表明指定设备在某个范围内的物理连接关系、链路状态、设备状态等网络结构和状态信息。支持故障检测并实时告警支持对全网设备告警的实时监控和统一浏览。支持告警提醒、转发支持多种提醒方式，比如告警实时提醒（告警板）、告警音响提示；多种转发方式，比如转E-mail，转短信，转上级网管或其它网管等。支持告警分析可以屏蔽重复告警、闪断告警，支持告警自动确认功能。支持基于任务的性能监控可定制监控任务，长期监控网络性能，可以形成日报、月报等报表。支持定制性能阈值可以为监控的性能指标设置两级阈值，当性能指标超过阈值时根据不同的阈值发送不同级别的告警。提供直观的设备的面板视图支持设备面板的显示、定时刷新、面板缩放功能，通过面板管理，网络管理人员可以直观地看到设备、板卡、端口的工作状态。支持设备配置集中管理配置库包括配置文件和配置片断，配置内容可带有参数，在部署时根据设备的差异设置不同的值；配置文件可部署到设备的启动配置或者运行配置；配置片断只能部署到设备的运行配置； 支持设备软件库管理设备软件库支持设备上各种业务的软件。统一的部署向导以任务方式进行设备配置和设备软件的部署。设备配置软件一览表支持多个个厂商的设备：H3C/HUAWEI/3COM/CISCO设备的配置批量的设备配置备份和恢复支持向导方式或者任务方式（周期性任务、一次性任务或立即任务）批量的备份、恢复完整的配置文件，也可以批量的下发配置片断。设备软件智能升级支持网络运行设备的软件版本查询功能，支持先备份后升级，保证一旦升级失败后可以恢复到原有设备软件版本，支持对整个升级过程的可靠性检查，如设备软件版本和设备是否配套，flash空间是否足够等，确保用户的整个升级操作万无一失。基线化的设备配置变更审计提供设备运行配置和启动配置的基线化版本管理，将每个设备相关的配置文件划分为三种版本：基线、普通、草稿。便于管理员识别、管理。通过备份、恢复手段，以及备份历史、升级历史管理，使配置文件管理和软件升级管理具有了可回溯性配置变更告警支持网络运行设备的配置变化检查，一旦配置发生变化，立刻以告警方式通知管理员关注Syslog分析接收Syslog，完成基本格式的解析，并入库。提供Syslog特征分析及策略注册能力，支持基于统计规则进行聚合生成告警（Trap）；支持的网络设备类型路由器、交换机、服务器、PC、安全设备、其他SNMP设备，支持SNMP协议的厂商设备服务器运行状态监控监控服务器CPU，内存，硬盘等的使用比例和使用情况运行服务进程列表检查服务器运行了那些服务进程服务器故障或异常情况报警对服务器内存、CPU等资源使用比例设定阀值，进行报警针对IIS服务，ORACLE数据库服务的监控（可选）提供对IIS服务运行情况，ORACLE数据库运行情况的监控、报告功能。并在故障时报警（Email或短信）其他要求在拓扑的接入节点上查询在线用户列表、强制下线所有用户、下发消息、总在线用户数统计、不安全用户数统计等；查看网络设备端口MAC地址应用系统运行状态监控报警支持北向接口，支持SNMP，Corba方式；（三）网络改造和安全监控本次项目实施是对现有网络的升级改造，为节省投资，要充分利用现有的设备和软件（Norton 10.2，CA Unicenter NSM等），并保证实施过程中的兼容性。1、SMS短信发送网关利用现有的短信Modem,部署短信发送网关。支持多个管理服务器的短信报警通过网络统一发送到短信网关服务器。如Norton防病毒服务器、UPS故障、网管软件以及客户端安全管理软件等报警事件的顺利发送。2、配合新的网络设备的部署，整理两个网络配线间的跳线；3、配合资产管理工作，重新规划全局系统IP地址、VLAN策略、计算机命名规范，并按新的规则组织实施。4、结合用户管理策略，调整市局局域网用户分组，清理作废或过期账户。对网络结点单位实施新的用户策略。并实施分级别的安全管理。5、调整病毒管理模式。增加一台核心防毒服务器，均衡网路负载。通过客户端分组变二级管理为一级管理，增加管理的有效性和便捷性。6、空调故障，机房温控的短信和邮件报警。7、加强外网交换机的安全管理。部署网络设备管理软件，配置设备IP等。8、中心机房服务器位置调整，根据不同网络对机柜分组，便于设备管理，网络管理。9、规范全网SNMP协议，配置统一的团体名称。商务要求部分一、项目内容天津市规划局网络安全及网络集成项目。二、资格要求1、投标人须具备国家信息产业部计算机信息系统集成资质三级以上（含三级）。2、与本项目最具相关性和代表性的全国范围政府采购的成功案例，案例须配有文字说明，并附合同及验收报告复印件。3、本项目主要设备（网络交换机、网络安全设备、安全管理软件等）近三年来同等规模的成功案例。三、技术要求（一）详见项目需求书。（二）此项目为交钥匙工程。（三）投标人在系统交付使用后应向采购人提供详细的技术文档和操作说明书。（四）投标人须提供优质产品，并提供所有产品的附件、说明书和技术咨询。投标人如投报进口产品，须具有合法正规进口手续和相关凭证，并负责办理有关进口手续，验收时须提供相关证明文件。（五）投标人的投标方案应至少由以下几个文件组成，但不限于：1、技术方案书：其中必须含总体方案架构说明、各产品功能/特点说明、系统结构图、设备线路连接图、产品选型及性能介绍、软件操作概要等、各类设备或管理软件故障应急预案、关键设备的高可用方案。2、施工组织计划：其中必须提交项目实施方案、项目组织管理、项目进度、质量保证、检验验收、技术文件和技术培训等内容。四、商务要求（一）报价要求1、报价以人民币填报。2、供应商的报价为到达最终用户使用地点价格，应包括：设备主机及附件货款、运输费、运输保险费、装卸费、安装调试费、系统集成费、售后服务费及其它应有的费用并分别单列。该工程为交钥匙工程,报价还应包括集成所需其它设备、配件及专用工具。（二）质量要求：严格按相关国家现行施工验收规范和质量评定标准检查验收。（三）实质性服务要求：1、设备验收后，厂商和投标人应负责所售产品的售后服务，提供至少五年的免费原厂保修，提供至少五年的免费上门服务。保修期从系统正式验收合格之日起计算。2、投标人应对所售的设备提供每周724小时技术响应服务。投标人所售产品出现故障需上门服务时，应保证市内2小时，区县4小时达现场，并在12小时内解决问题或提供备机，以保证系统正常运行。为了保证本系统的正常使用，投标人必须提供本地化服务。3、投标人应对所供产品负责终身维修，并提供主要设备的备品、备件供应年限证明材料。超过保修期后，如需更换部件或配件时，其价格优惠折扣率应不低于本项目合同约定的优惠幅度。4、投标人应负责产品使用方面的培训，包括提供现场培训，保证最终用户完全掌握所有产品的使用方法。5、投标人列出主要备品备件价格（更换备品备件价格不超过此价格），此费用不包含在此项目谈判金额内；6、本项目为交钥匙工程，即与本项目相关，但又在招标文件中未做要求和说明的设备、工程和服务，要在项目验收合格之前，根据用户和系统建设的需要，投标人进行免费提供和实施完成。7、在质保期内，投标人定期（每半年）对主要设备进行巡检和保养。8、特别要求：交货时采购人有权要求供应商就产品的合法供货渠道进行说明；采购人认为有必要的，供应商应提供有效的书面证明材料。如果供应商提供非法渠道的商品，视为欺诈，为保护采购人合法权益，供应商要承担商品价值双倍的赔偿；同时，采购人保留依据现行的国家法律法规追究其他责任的权利。9、投标人有义务协助用户根据产品特性，制定管理员安全管理规范、客户端的安全操作规范等制度的文档编写工作。10、要求厂商提供2人超过3天的产品和相关知识的专门培训（含食宿）11、厂商在本地有备品备件库（四）工期及施工地点1、工期： 合同签订后15日内供货，合同签订后3个月内完工。2、施工地点：用户指定。（五）付款方式：签订合同后15日内支付合同总额的30%，工程验收合格后15日内支付合同总额的60%；一年保修期结束之日起15日内支付其余的10%（特殊情况以合同为准）。五、评定成交的方法1、任何一条不能满足实质性要求的投标文件为无效的投标文件，对投标人资信、技术进行综合评分并排名，原则上取前三名视为质量和服务相等，进入商务报价