项目需求说明

1、项目需求说明一、项目概述海曙区公共卫生网络是宁波市公卫网的一个重要节点，承载着海曙区所有医疗业务与海曙区卫生服务中心政府业务，为广大群众提供了优质的服务。网络所具备的特点：规模庞大：根据市公卫网要求，区公卫网必须由区卫生局、区级医院、各街道卫生服务中心及个社区服务站组成。 承载多业务：按照宁波市卫生局对各县市区公卫网的要求，各县市区原有的医疗网络应用要逐步迁移到公卫网上，目前已承载一卡通、电子公文、网上化验单查询、妇幼保健业务、医学影像远程分析等多类业务系统，同时还是区政府网络的一个重要节点，承载着区数字海曙、计生、财政审批等多项业务。安全要求特别高：区公卫网由于承载医疗业务，很多业务不能停顿

2、而且延时要求很小，而且由于医疗健康档案涉及病人隐私及费用结算等，所以对公卫网的安全要求特别高。目前系统原有网关设备因使用时间较久，设备严重老化导致宕机，另外原有部分下属接入单位安全薄弱，因此，本次需要对海曙区卫生局下属接入单位进行安全接入，需增加一套虚拟化安全网关系统。本次改造的总体目标是：以稳定、高效、快速、安全、流量可控、扩展性强、便于集中式管理及面向未来发展为原则，立足解决网络现有问题，展望未来几年内网络的发展与规划，建立一套集中式的网络安全管理系统。二、建设方案本次系统建设保障下属各服务中心（鼓楼、南门、西门、月湖、江夏、望春、妇幼保、口腔、中医院、白云、妇幼保、段塘、新城）与区政府接

3、入的安全、带宽与稳定，此外还有下属无线手持式终端的安全隔离，因此本次采用高性能安全网关。此外安全网关具备40个千兆电口与15个虚拟化授权，保证下属接入与备份的基本需求。三、设备清单序号设备名称设备参数单位数量1防火墙防火墙 (4GE电+4GE Combo,4G内存,2交流电源)，吞吐量15Gbps，最大并发连接数300万，支持接口扩展，支持万兆接口，扩展插槽数量7个，含通用安全平台软件。含2块16GE(RJ45)+4GE(SFP)混合接口板，15个虚拟防火墙License授权。台1四、设备详细参数项目指标项技术规格要求硬件要求硬件平台架构采用非X86 8核架构（投标方必须在技术应答中明确说明所

4、投产品采用的多核处理器型号，并提供设备前后面板实物照片，这些都将作为中标后验收货物的依据）接口数量和类型3U设备；至少配置4GE电口+4GE Combo(光电互斥）接口；支持接口扩展，支持万兆接口，扩展插槽数量6个，最大可扩充到56个千兆业务接口+14个万兆接口。 本次配置：4*GE电口+4*GE Combo(光电互斥）接口 + 2块 16*GE(RJ45)+4*GE(SFP)混合接口板，共32个GE电口+8个GE(SFP)的混合接口板冗余电源本次配置交流双电源性能指标防火墙吞吐量大包（1024及以上字节）吞吐量15Gbps；小包（64字节）1.8Gbps最大并发连接数最大并发连接数300万；

5、每秒新建连接数每秒新建连接数15万；VPN性能IPSec VPN吞吐7Gbps；VPN隧道数IPSEC VPN隧道数15000，SSL VPN隧道数500功能要求状态检测包过滤能够基于源IP地址、源端口、目的IP地址、目的端口、协议类型、方向、时间等多个元素进行访问控制；支持状态检测和深度报文检测；支持静态黑名单和动态黑名单；路由能力支持静态路由、路由策略、策略路由、RIP、OSPF、BGP、MPLS、ISIS等路由协议IPV6IPv6协议栈：TCP6、UDP6、ICMPv6、PathMTU、ACL6等；IPv6穿越技术：双栈、手工隧道、自动隧道、GRE隧道、6PE、6over4、4over6

6、等；IPv6路由协议：BGP4+、IS-ISv6、OSPFv3、RIPng等虚拟专用网（VPN）支持IPSec VPN、SSL VPN、L2TP VPN、GRE VPN、L2TP over IPSec VPN、GRE over IPSec VPN等VPN组网；支持MPLS VPN；需提供专用的VPN集中管理软件，可以对VPN网关和VPN客户端进行集中配置和管理监控；支持IPSEC VPN CA认证；并支持和IPHONE或者IPAD终端自带的VPN软件进行对接。支持IPSEC VPN的协商方式为IKEV1 和IKEV2；支持IPSEC VPN热备功能，包括双链路VPN热备及双机VPN热备，VPN

7、业务切换不中断；虚拟防火墙支持虚拟防火墙功能，可将物理的防火墙设备虚拟成多个虚拟设备分别使用；支持基于用户的虚拟化功能，可在不同的虚拟防火墙下定义不同的用户资源；支持UTM虚拟化功能，包括IPS、AV、WEB内容过滤、邮件内容过滤、FTP内容过滤等，可在不同的虚拟防火墙下使用；支持应用层协议的虚拟化功能，可在不同的虚拟防火墙下定义不同的应用层限流和控制策略支持虚拟防火墙功能，可划分的虚拟防火墙数量100个；本次配置15个虚拟防火墙License；网络地址转换（NAT）支持完善的网络地址转换功能，包括源IP地址转换、目的IP地址转换、端口地址转换、静态IP地址转换、IP地址池转换等；支持扩展NA

8、T功能，可实现单个公网IP的无限地址转换；支持FTP、H.323、SIP等各种应用协议；链路聚合支持802.3ad链路聚合，可以将多个物理端口捆绑成一个逻辑端口以提升带宽，最多可捆绑8条链路，当其中某一条链路中断时可自动将流量分担到其他链路中，提高可靠性；P2P流控支持P2P流量分析及流量控制，能够识别并控制的P2P应用种类至少要达到30种以上，包括迅雷、BT、Flashget、eDonkey/eMule、KooWo、KuGoo、PPLive、PPStream、PP365、PPGou、PPFilm、QQdownload、QQLive、BaiBao、百度下吧、BBsee、BearShare、CC

9、IPTV、CoolStreaming、DC、Dopool、沸点、风行、FastTrack、Filetopia、Fs2you、GnuTella、Kazaa、Maze、Mysee、Poco、SopCast、Soulseek、UUSee、TVAnts、TVkoo、TVU、Vagaa等攻击防范能够抵御各种DoS攻击和DDoS攻击，包括：SYN Flood攻击、UDP Flood攻击、ICMP Flood攻击、DNS Flood攻击、ARP攻击、IP Spoofing攻击、LAND攻击、Smurf攻击、Fraggle攻击、Winnuke攻击、Ping of Death攻击、Tear Drop攻击、Htt

10、p get攻击、CC攻击等；DPI功能支持应用层报文深度过滤功能，要求识别最少17个大类，700种以上应用层协议，识别的应用层协议大类包括email、file_access_protocol、game、im、mobile、network_administration、network_storage、news_groups、p2p、peer_casting、remote_connectivity、stock、streaming、video、voip、web_browsing、webmail等 DDNS功能支持完善的DDNS功能，要求支持的DDNS服务器至少不少于4种，包括但不限3322.org、

11、NQA功能支持NQA功能，可以监视网络QoS，同时在网络发生故障时进行有效的故障诊断和定位。Netstream功能支持Netstream功能，基于网络流信息的统计与发布技术。可以对网络中的通信量和资源使用情况进行分类和统计，实现对各种业务和不同的QoS进行管理和计费。入侵防御支持应用层基于漏洞的入侵防御技术，基于漏洞的入侵攻击特征库数量2000种，攻击检测率90；支持对多种常用协议的协议识别和异常检测，包括HTTP、FTP、SMTP、POP3、IMAP、MSRPC、NETBIOS、 SMB、MS_SQL、TELNET、IRC、DNS等；支持入侵攻击特征库的分类显示；支持用户自定义规则；支持入侵

12、攻击特征库自动升级，手动升级，离线升级，版本回退；响应方式支持阻断、丢包、日志记录等；病毒检测支持常用协议的病毒扫描功能，病毒库数量500万种，病毒检测率90；支持对文件真实类型的有效识别；支持对各种压缩格式及多层压缩文件进行病毒扫描；支持对加壳病毒的脱壳扫描；可设置病毒扫描等级；响应方式支持病毒文件的删除，返回页面警告，邮件标记警告打，日志记录等；支持病毒库自动升级，手动升级，离线升级，版本回退；可显示病毒库中的病毒列表；URL过滤支持URL过滤功能：能提供URL黑、白名单功能；支持前缀匹配，后缀匹配，关键字匹配等；支持用户自定义URL功能，可自定义分类以及自定义URL；URL过滤响应方式可

13、以设置为禁止或允许，禁止方式下支持返回页面通知，页面内容可自定义；支持URL访问日志记录，支持日志归并；URL分类大类43个，小类127个，URL特征库数量6500万条；支持URL热点库功能，且热点库支持升级。邮件过滤支持基于RBL的反垃圾邮件技术，可定义黑、白名单，提供远程RBL查询服务器；支持邮件内容过滤，支持对邮件主题、正文过滤；支持对发送邮件和接收邮件的发件人及收件人分别进行控制；支持对邮件附件做控制，包括是否允许发送和接收邮件、发送和接收邮件的附件个数及大小控制等。用户管控持用户信息管理：支持用户或用户组的新建、删除、移动、修改、查询、导入导出、IP/MAC帐号绑定、帐号有效期设置、

14、别名、描述信息、状态设置等用户管理；支持用户信息从LDAP、AD服务器中进行同步，并可指定从某个位置导入；支持以树型结构清晰的显示用户组织关系；支持一个用户可以属于多个用户组；支持基于用户的认证策略：支持路由、透明、混合模式的用户认证；支持本地Web推送认证、AD域认证、Radius认证、LDAP认证多种认证方式；支持企业管理者和来访者的免认证功能；支持单个用户名在多IP登录时的认证；支持不同IP网段配置不同认证方式；支持用户Web事前认证和会话认证功能；支持WEB推送认证方式为HTTP和HTTPS两种方式；支持用户和IP/MAC绑定方式的认证。支持本地认证的用户数15000，本地认证的用户组

15、数1000；支持基于用户的管控策略：支持对在线用户进行查看、激活、强制注销、冻结、解冻等管理。支持基于用户的转发策略控制，包括允许、禁止；支持基于用户的限流和限连接数功能；支持基于用户的带宽保证、闲时复用功能；支持基于单个用户和企业所有用户的两级限流和限连接数策略；支持基于用户（组）、IP（段）、应用协议、行为管理、方向、时间五维一体的控制策略；支持基于用户的智能选路策略；支持基于用户的统计报表功能：支持统计用户在线时长；支持统计用户上网流量；支持用户的行为分析等，并通过报表的形式展现。支持限流范围为8kbps10Gbps。应用管控支持应用层协议识别：设备支持自带应用层协议识别库，识别大类不小

16、于24个大类，识别协议不小于1000种应用层协议，包括email、file_access_protocol、game、im、mobile、network_administration、network_storage、news_groups、p2p、peer_casting、remote_connectivity、stock、streaming、video、voip、web_browsing、webmail等，并支持对未知协议的识别分类；应用层协议识别支持自定义功能，可自定义应用层协议类型及协议报文形态。应用层协议库支持手动升级、自动升级、本地升级等多种升级方式。支持基于应用层协议的管控策略：支

17、持基于应用协议的转发策略控制，包括允许、禁止；支持基于应用协议的限流和限连接数功能；支持基于应用层协议的带宽保证、闲时复用功能；支持基于单个应用层协议和流经整体设备的所有应用层协议的两级限流和限连接数策略；支持支持基于应用协议、IP（段）、用户（组）、行为管理、方向、时间五维一体的控制策略；支持基于应用的智能选路策略；支持基于应用的统计报表功能：支持统计应用在线时长；支持统计应用流量和应用趋势；支持应用的行为分析等，并通过报表的形式展现。支持限流范围为8kbps10Gbps。行为管控支持Web内容过滤功能：对访问的WEB网页内容进行过滤；支持禁止上传和发表内容（论坛、微博等）；支持对上传和下载

18、文件进行控制，包括文件名、文件类型、文件大小等。支持搜索引擎关键字过滤功能：支持Google、百度、Bing、雅虎四大主流搜索引擎的关键字过滤，可进行过滤也可进行审计支持FTP内容过滤：支持不允许上传、下载、删除文件操作；支持对上传和下载的文件进行控制，包括文件大小、文件名称、文件类型，另外支持FTP防躲避技术，避免用户修改违规文件名和文件类型后再尝试下载，或者在上传文件后重新修改成违规文件名和文件类型的操作支持行为管理的统计报表功能：支持搜索关键字统计分析，包括搜索关键字排行、趋势等；支持上网行为统计分析，包括URL排行、邮件统计排行、WEB内容阻断统计、拦截文件类型统计等；支持文件外发行为

19、分析，包括FTP外发、邮件外发等统计、外发趋势、外发文件查询等。智能选路支持基于用户、应用的智能选路。支持基于权重的多出口智能选路。支持选定备份接口的功能，可选择当主接口故障时切换到备份接口；也可选择当主接口负载到一定比例时切换到备份接口；支持多出口链路组网时，动态检测访问路径功能，智能调整返回报文路径，从而有效规避访问数据包和返回数据包走不同接口的问题。可靠性支持双机热备及会话同步；支持热补丁技术，系统升级时不中断业务；支持硬件Bypass卡，通过硬件Bypass保障业务流量在单台主机出现故障时业务不中断。配置管理支持中文WEB界面管理及命令行管理，支持基于SSL协议的远程安全管理（SFTP

20、STELNETSSH2.0）；命令行管理支持中文帮助系统日志支持Syslog日志和二进制日志；支持NAT日志记录；支持流日志，能够对网络流量、攻击流量、P2P流量、病毒流量等进行统计分析排序，并自动输出图形报表；需提供专用的日志审计系统软件；厂商及产品资质具有中国信息安全认证中心颁发的中国国家信息安全产品认证证书（ISCCC）具有中国国家信息安全测评认证中心颁发的信息安全产品EAL3等级认证证书具有中国国家保密局测评中心颁发的涉密信息系统产品检测证书具有ISO27001信息安全管理体系认证证书具有ISO9001质量管理体系认证证书具有ISO14001环境管理体系认证证书服务要求本项目采购的网络

21、及安全设备必须提供原厂安装服务、3年原厂部件免费保修，软件三年免费升级更新，并在领取书面中标通知书时必须提供原厂商针对本项目的三年质保服务承诺函原件，否则作自动放弃中标处理。中标供应商，应在合同签订后15个工作日内供货，货物要求原包装到达现场，不得擅自拆封！中标商必须提供5*8小时技术支持，对于影响系统正常运行的严重故障（包括由系统软硬件等原因引起的），投标人工程师及其它相关技术人员必须在30分钟内响应，4小时内赶到现场，查找原因，提出解决方案，并保证24小时内解决故障,恢复网络可正常运行。备注：1、服务响应时间为30分钟，要求到达现场时间为4小时之内，24小时内排除故障（否则提供相关备品备件），确保用户单击位的正常工作；2、在正常使用情况下，三包期（时间为三年）内更换的设备或核心部件其三包期限顺延；3、领取书面中标通知书时未能按照采购文件