天津体育学院数字化校园建设项目

1、天津体育学院数字化校园建立工程第一包：天津体育学院网络平安设备一、网络流量管理审计系统1台，具体要求如下：(一)、厂商与产品资质要求：设备生产商注册资本应不少于5000万；设备生产商必须提供国密办商用密码产品生产定点单位证书设备生产商必须提供国密办商用密码产品销售许可证所投产品必须提供国家信息平安认证产品型号证书所投产品必须提供中华人民共和国公安部计算机信息系统平安产品质量监视检测中心检验报告；所投产品必须提供国家保密局涉密信息系统平安保密测评中心的?涉密信息系统产品检测证书?二、技术要求：1、根本要求产品控制界面采用SSL加密的WEB方式；支持多种部署方式，包括但不限于网关模式、网桥模式、旁

2、路模式、多路桥接即网桥模式下设备同时支持至少二个内网口和二个外网口的部署方式等部署方式2、硬件与性能要求及设备管理要求采用标准机架尺寸；处理器：双处理器；内存：2GB以上；防火墙性能：3Gb；网络接口：至少4个千兆电口、4个千兆光口；管理员分级管理：不同管理员查看/配置不同用户组的成员/上网权限等；集中管理：多台设备可被统一平台集中管理，且设备参加统一平台必须基于硬件证书验证其身份；自动告警：支持对攻击DOS攻击、ARP欺骗、病毒、含有指定关键字的Web上传、指定类型的文件上传、发送泄密邮件等行为进展自动邮件告警；3、设备平安功能要求 设备必须具有网关杀毒功能，设备必须能够防御来自互联网和内网

3、的DOS攻击，设备自身应能防御ARP欺骗，并能保证三层网络环境中终端对ARP欺骗的防御能力；设备必须能够检测内网感染的木马、间谍软件等通过网页、邮件、FTP端口外传信息的行为，并能报警和阻断；设备必须能够识别内网垃圾邮件发送源，并能阻断其垃圾邮件外发行为；4、上网行为管理功能要求用户管理要求支持本地认证、LDAP、AD、Radius、POP3、Proxy等第三方认证；必须支持USB-Key方式的双因素身份认证；必须无插件实现三层网络环境中用户绑定MAC、用户绑定IP和MAC功能支持AD、Proxy、POP3单点登录，且可强制指定用户、指定IP段的用户必须 使用单点登录；终端管理要求设备必须能识

4、别终端操作系统版本及补丁更新情况；杀毒软件/防火墙软件的 安装、运行、更新情况；硬盘文件情况、系统进程情况、注册表情况；设备必须能自动周期性执行管理者自定义的脚本、程序等，实现对终端的个性化检查；设备必须能阻止不符合管理者要求的终端访问互联网；网页管理要求识别并过滤SSL加密的钓鱼网站及加密的金融、非法网站等并提供自主 知识产权证明，加盖厂商公章必须具备未知网页的自动识别与分类技术,包括持根据用户训练的关键字自动分类未知网页、根据用户训练的网址自动分类未知网页等；必须支持允许用户浏览帖子但不准发贴功能；必须能封堵浏览器配置公网代理效劳器的行为、必须能封堵用户安装代理软件代理他人上网的行为、必须

5、能封堵自由门、无界浏览器行为；文件管理要求支持对HTTP、附件方式外发文件的识别、报警、过滤等管理措施；必须能识别删除扩展名、修改扩展名的外发文件类型并报警；必须能解压压缩的外发文件后再识别其真实文件类型并报警；必须能识别加密文件外发行为并报警；邮件管理要求必须支持根据收件人地址、邮件大小、附件个数、关键字等延缓慢存外发问题邮件，人工审核后再外发应提供自主知识产权证明，加盖厂商公章应用管理要求应用规那么识别数量应不少于20个大类、400条识别规那么；必须提供技术以识别和管理加密P2P、同一种P2P软件的各版本、不常见的P2P、和未来可能出现P2P应提供自主知识产权证明，加盖厂商公章；危险管理要

6、求识别并封堵内网终端感染的木马、病毒、间谍软件行为及流量；识别并封堵内网的垃圾邮件发送源；权限管理要求支持限制用户一天内总上网时长和流量；流量管理要求支持多线路复用和智能选路技术，最多可同时连接四条公网线路需提供自主知识产权证明，加盖厂商公章网桥模式时必须支持将多条公网线路虚拟映射到设备上，以实现分别对公网各线路的流量管理要求；支持基于用户和应用协议的带宽划分与分配策略；支持基于用户和网站类型的带宽划分与分配策略；支持基于用户和文件类型的带宽划分与分配策略； 行为记录要求支持记录用户访问的URL地址、网页标题和含有指定关键字的网页内容；记录用户外发网络言论、Email邮件及附件、Webmail

7、邮件及附件、IM聊天内容等；必须能够记录QQ、Skype、MSNShell的聊天内容；必须能记录来自公网在内网效劳器发贴的行为；必须能记录篡改/删除扩展名、压缩/加密后再外发文件的行为；必须能记录网页、邮件、FTP端口中的木马、间谍软件等异常流量行为；必须支持以USB-Key硬件方式为指定用户提供免监控功能；日志管理要求必须支持独立于网关设备的日志中心，且自带MySQL以实现数据库免费安装使用；必须支持以USB-Key验证接入数据中心的管理员身份，且不用USB-Key认证的管理员只能查看行为统计和趋势，不能审查上网行为详细内容；支持比照报表功能，支持关键字报表，支持热帖排行，能对指定时间段内网

8、络热帖进展统计和排行；必须支持风险自动报表，根据用户自定义的风险行为特征自动感知并输出风险行为报表；必须支持基于三个以上关键字对海量日志定位的功能，必须支持将含三个以上关键字的日志检索结果自动周期性发送到指定邮箱；二、VPN设备1台，具体要求及技术指标如下：分类功能详细指标SSL VPN性能参数SSL VPN 加密速度RC4 128bits70Mbps并发SSL用户数200每秒新用户数35防火墙性能参数防火墙吞吐量双向 256 bits包95Mbps最大并发会话数目600,000IPSec VPN性能参数IPSec VPN 加密速度AES 128bits54 MbpsIPSec VPN隧道数3

9、000 条并发IPSec客户端数3000网络接口局域网接口100BASE-T (RJ-45) * 2广域网接口100BASE-T (RJ-45) * 2提供页面定制功能，用户自行可定义页面标题、上传LOGO、用户公告信息；可选择4套不同的登录页面模板；支持高级完全页面定制，管理员可手动上传单个页面，或者以zip格式打包上传。产品支持内部B/S、C/S应用系统的单点登录功能SSO,支持NTLM方式单点登录。可以针对不同的访问资源实现设定不同的SSO用户名和密码，并支持用户自行修改SSO账号。提供界面证明支持默认效劳页面，通过认证后直接跳转到用户资源应用页面，无需出现资源列表提供界面证明支持用户名

10、密码和数字证书方式的开机自登陆SSL VPN，支持SSL VPN断线重连；支持在桌面创立快捷方式，并可自定义桌面快捷图标支持16级用户分级，下层用户组可以选择继承上级用户组的角色，资源及认证方式等属性，支持用户的树形构造管理，并支持与LDAP的分组构造同步支持基于用户和用户组的流量管理和会话限制支持全局会话限制支持全局超时时间设置，并可基于用户和用户组配置单独超时时间支持通过域效劳器下发控件，在只有user权限的机器上安装SSL控件，实现打包整体下发控件支持智能递推技术，动态嗅探页面内的链接，真正防止资源漏访支持客户端主机硬件特征码认证，通过自动获取而非手动输入客户端的硬件信息生成HARDCA

11、证书，实现HARDCA证书和用户账户的绑定，支持硬件特征码与身份的多对多关系，即一个用户可拥有多个硬件特征码，同时一个硬件特征码也可以归属多个用户提供自主知识产权证明支持在访问端显示硬件特征码信息；并支持硬件特征码的批量导入导出；支持硬件特征码的自动动态匹配审批，优化处理流程；并支持用户硬件特征码的分级管理支持对于上面提供的多种身份认证方式的“与或组合，必须实现5因素捆绑认证用户名密码、数字证书、短信、硬件特征码、动态令牌的捆绑认证，实现更高的平安级别提供界面支持支持主从认证账号绑定，必须实现SSL VPN账号与应用系统账号的唯一绑定，加强身份认证，防止登录SSL VPN后冒名登录应用系统支持

12、动态验证码数字字母组合和软键盘认证数字和密码随机变换手动限定密码长度至少多少位；密码不能包含用户名；新密码不能与旧密码一样；密码必须包括：数字，字母，特殊字符shift+数字；每隔几天必须修改密码，密码过期前几天开场提示用户修改密码；首次登陆必须修改密码支持开放SSL VPN局部数据库信息给第三方进展二次开发；支持与其他第三方的认证系统如Oracle、MySQL、MSSQL、Access前面未提到的认证系统结合认证。针对不同的应用类型选用不同的压缩策略，并能够根据应用内容以及负载情况动态压缩并提供自主支持产权证明支持对于无线接入环境如CDMA、GPRS、WIFI环境下或者恶劣环境高丢包高延时接

13、入速度优化，并提供相关的证明材料产品支持至少4条公网线路叠加，扩展带宽的同时，能够实现多线路之间流量的负载均衡提供自主知识产权证明产品支持基于web的线路自动优选技术：对于采用不同运营商接入的移动用户，无插件的自动优选最快的线路接入VPN网络提供自主知识产权证明支持单臂模式下的多线路自动选路，进一步提高用户访问速度。提供界面证明支持PDA，SmartPhone等手持设备基于web的线路自动优选技术支持Webcache技术，选择性动态缓存Web页面，提高Web页面响应速度针对PDA和PC环境下，通过采用图片过滤、缩小图片、模糊化图片策略，提高Web页面访问速度；支持黑白名单，选择性优化URL页面

14、支持IP Tunnel加速技术，优化IP Tunnel数据传输速度，提高客户端访问速度支持资源负载均衡，根据不同的权值实现负载接入，提高接入效率管理易用性设备的配置和管理，支持完全通过web图形化方式完成，无需安装任何客户端软件；也支持Telnet方式进展管理设备支持16级分级管理，管理员支持从Admin派生出下层管理员，各级管理员均可以配置其可管理的模块，资源，用户及角色，下级管理员可继承上级的权限，但其权限只能是上级管理员的权限子集。支持资源垂直提升功能，上级管理员可将资源配置权限按照分级级别垂直提升强制下级组继承上级组的认证属性，强制下级组继承上级组配置的流量管理以及会话限制可选择继承上

15、级组关联的角色属性，以及上级组的组属性认证属性、过期时间、有效时间、VPN专线、系统托盘、默认资源页面对于管理员登录IP限制，提高管理员平安性产品支持第三方独立的日志和审计功能中心，提供完整的系统日志、设备运行日志、管理员日志、用户日志，方便管理员进展查看和管理，实现各种日志的海量存储；提供基于用户、用户组、流量、资源多因素的柱状图、曲线图等多种显示方式，为管理员提供更贴切的表达方式；提供统计报表功能，并支持自定义报表用户、资源、流量，提供多种报表模板供用户选择，并可通过邮件发送报表支持将多台SSL VPN设备同步到一个数据中心，支持数据中心的分级查看和管理支持253个站点的集群功能，支持路由

16、部署模式和单臂模式下的集群功能；并支持不同型号设备之间的集群；也支持低端型号设备集群；具有邮件告警功能支持VPN隧道内流量控制，为每个接入分支和移动用户的上下行带宽限制支持VPN隧道内NAT，实现一样网段的分支和总部建立VPN隧道IPSec功能需支持LZO等加速技术，另外对跨运营商等丢包环境需提供畅联等技术提升访问速度。企业资质设备生产厂商注册资本大于5000万IPSec国家标准制定厂商之一具有国密办商用密码产品生产定点单位证书具有国密办商用密码产品型号证书具有国密办商用密码产品销售许可证具有公安部销售许可证具有公安部VPN三级标准认证证书提供自主知识产权证明，并加盖公章天津体育学院数字化校园

17、建立工程第二包：天津体育学院网络交换机设备一、24口接入交换机14台，具体要求及技术指标如下：工程功能及技术指标参数要求交换性能背板带宽转发性能端口线速百兆电口，百兆光口，千兆电口，千兆光口，要求所有端口线速支持扩展槽位可扩展百兆和千兆插槽数量=2端口密度固定10/100M的RJ45接口数量=24最大千兆接口数量=2二层功能MAC地址表=8K支持250支持支持RSTP/MSTP支持RSTP/MSTP端口镜像支持支持基于流的带宽限速，限速粒度百兆口1M、千兆口8M支持可靠性支持端口与IP和MAC地址的同时绑定；支持支持多种硬件ACL策略，支持标准IP ACL、扩展IP ACL、扩展MAC ACL

18、、支持基于时间的ACL、专家级ACL、ACL80；支持，支持DHCP支持控制用户访问内外网的权限；支持端口ARP检查，严格防范ARP主机欺骗行为；支持专用的防范ARP网关欺骗功能，保护网关不被欺骗，保障用户的正常上网；支持QOS支持802.1p、DSCP、SP、WRR，支持每个端口4个输出队列支持管理支持SNMPv1/v2c/v3，支持SSH，保证交换机管理信息的平安性，防止黑客攻击和控制设备；支持支持Telnet、Web访问的源IP授权控制；RMON 1/2/3/9，Syslog，支持CLI/Telnet/WEB网管；二、48口接入交换机4台，具体要求及技术指标如下：工程功能及技术指标参数要

19、求交换性能背板带宽=1G转发性能=Mpps端口线速百兆电口，百兆光口，千兆电口，千兆光口，要求所有端口线速支持扩展槽位可扩展百兆和千兆插槽数量=2端口密度固定10/100M的RJ45接口数量=48最大千兆接口数量=2二层功能MAC地址表=8K支持250支持支持RSTP/MSTP支持RSTP/MSTP支持端口镜像支持支持基于流的带宽限速，限速粒度百兆口1M、千兆口8M支持可靠性支持端口与IP和MAC地址的同时绑定；支持支持多种硬件ACL策略，支持标准IP ACL、扩展IP ACL、扩展MAC ACL、支持基于时间的ACL、专家级ACL、ACL80；，支持DHCP；支持端口ARP检查，严格防范AR

20、P主机欺骗行为；QOS支持802.1p、DSCP、SP、WRR，支持每个端口4个输出队列支持管理支持SNMPv1/v2c/v3，支持SSH，保证交换机管理信息的平安性，防止黑客攻击和控制设备；支持Telnet、Web访问的源IP授权控制；RMON 1/2/3/9，Syslog，支持CLI/Telnet/WEB网管；支持三、上述交换机配置千兆单模光纤模块 5块天津体育学院数字化校园建立工程第三包：天津体育学院网络监控管理系统一、网络监控管理系统1套，具体要求及技术指标如下：1、应具备两级网络监控管理系统平台，其中：中心级网络监控管理系统功能要求如下：序号工程功能1视图显示功能要求显示设备/链路拓

21、扑图；系统能够基于SNMP协议自动搜索网络、发现网络管理节点包含OSI模型2层、3层设备，节点类型包括：网络设备。还支持非网管型网络设备信息点的自动定位。要求显示效劳器/应用拓扑图；系统可以通过SNMP协议自动生成效劳器和应用效劳拓扑图。要求显示用户/端口拓扑图；基于设备/链路拓扑图发现用户后，能够自动生成用户网络视图，并进展自动布局。非网管型交换机所表示的信息点将出现在用户网络视图中。要求用户视图能够自动布局；扫描出的节点参加拓扑图后的位置是自动计算出来的，可以自动布局按星型布局所有节点。也可以手动选择拖动节点。要求定位对于一些没有直接路由的网络节点设备；系统可以采用手动辅助的方式进展网络节

22、点手工发现，保证整个网络中路由器、交换机、平安设备等所有需要管理的节点都被发现。要求动态显示网络环境的状态；能够自动刷新网络拓扑，及时反映当前网络状况；可以定制网络地图分区，适应不同的网络监控需求。在物理拓扑上实时展示设备名称、IP、运行状态、链路带宽等，要求以上图表支持基于WEB发布功能。要求系统能够将各个视图直观、分屏、动态的显示在业务监控屏上，形成网络动态可视化。2报表功能要求提供设备、效劳器、链路、网段实时性能一览表；要求提供TOP故障表，可列出当前网络出现的实时故障信息；系统提供定期探测设备、主机、效劳状态，将实时的故障倒序显示在表中。要求提供TOP响应表，可列出网络设备当前的运行状

23、况和响应指标；在表上直接提供测试命令接口。要求提供TOP可用表，可提供长期对网络设备探测的可用性统计，为网络设备更新改造提供参考数据。3分区管理功能要求具有网络多分区展示功能，每个分区可自定义范围，支持分区为广域网、局域网或效劳器。要求具有分区同步功能，能够同步网络任何一个分区的数据。可自定义自动同步策略和时间段。提供多级自定义用户权限操作功能，每个自定义用户可分配任意分区进展监控管理。支持通过远程多名操作人员同时操作，并且管理模块跨平台。4线路监控管理要求链路线条中间显示带宽数据流量，轮询间隔时间可自定义；系统可对轮询时间自定义为10-30秒钟一次刷新。要求数据流量可以选择类型和方向自定义显

24、示；按用户下载和用户上传以及循环方式方向分类显示链路状态；要求支持设置设备或带宽阈值，通过颜色变化警示异常。拓扑视图界面图标通过颜色变换警示管理员。要求支持自动记录通讯线路的负荷峰值及发生时间。要求支持查询历史流量功能； 系统支持近24小时、7天、1个月的流量查询，在后台数据库可查询近一年历史数据。5设备监控管理要求必须遵循国际网管标准，对当前主流网络设备，如思科、华为、中兴、神州数码、锐捷等网络设备完全兼容。对不可网管的设备也能够发现。要求设备图标显示设备状态，设备文字可以选择多种方式信息描述；要求支持查询设备信息、接口配置、CPU负荷、IP/MAC地址转发表和路由表等信息。要求支持监测接口

25、实时带宽和历史流量，通过阈值设置和颜色变化警示接口异常。要求支持控制接口开闭，同时生成和查询接口操作日志。Telnet、Web等方式配置设备。要求支持自动记录设备CPU负荷峰值及发生时间。要求提供通常设备参数监控外，同时提供网络用户以及设备资产统计等功能；系统提供网络设备、入网用户的表项导出/导入功能，方便用户对用户资源和网络设备资源进展管理和统计。6接入用户监控管理要求自动生成接入用户拓扑图及接入用户档案。要求终端用户拓扑图可实时动态显示各个用户的数据带宽和历史流量，可基于数据方向和数据类型进展查询。系统通过改变链路或者设备数据动态显示查询用户各种实时信息。要求接入用户档案包括每一台入网计算

26、机的IP地址、MAC地址、上连设备端口、计算机名、域组、用户登录名、分区和最近出现时间。要求系统具有学习功能，能够自动归档新计算机；系统具有同步功能，能够发现和同步档案信息的改变。要求用户拓扑图可定位接入非网管交换机的信息点。要求支持通过档案、快照或日志查询，可以快速定位并隔离接入用户。系统通过多处的用户查询迅速定位接入用户，且查询用户时可用多种数据进展定位。7效劳器监控要求支持效劳器自动纳入实时动态拓扑图展示体系。要求将业务系统所涉及的效劳器、网络设备、端口、链路、Web效劳、中间件、数据库、邮件效劳等关键应用集中监测，展示业务视图，帮助网管员及时了解业务运转情况，快速定位业务故障根源要求支

27、持查询效劳器网络连接的数量、类型、地址和带宽。展示设备名称、IP、运行状态、链路带宽等，在设备图标上点击鼠标右键，可以关联此设备的属性。查询翻开的TCP端口及其连接。查询运行的程序名称及其CPU、内存使用。要求支持对效劳器上运行的效劳、数据库进展监控管理分析。要求支持效劳器的CPU负荷监测,系统配置查询。要求自动报警效劳器故障，接收效劳器TRAP。8机房环境监控管理要求具有机房环境监控管理功能；对机房环境、设备空调、UPS电源等能够进展温度、湿度等监控。通过专门的硬件设备收集相关指标数据，利用软件系统发布展示。9网络异常管理要求提供多种报警方式，支持声音、邮件、手机短信等多种不同报警方式。要求

28、动态拓扑图可利用阈值设置设备及线路异常颜色告警。要求网络异常情况可由主窗口控制台对网络中出现的事件进展报警。要求提供基于种类、时间段等方式故障查询功能，定位网络异常根源。10ARP监控要求支持历史和实时两种方式自动ARP异常分析功能。要求提供自动ARP报警功能，自动报出ARP异常主机的MAC地址、上联设备、上联端口以及发现时间。要求支持快速定位ARP病毒源网络位置并手动隔离。11中心级集中管理功能要求软件系统能够按照功能或者业务分为中心级网络监控管理系统和二级下属接入单位网络监控管理系统。要求系统支持系统管理员、普通用户和自定义用户等用户角色组。其中自定义用户提供权限配置功能，各用户账号登录后

29、拥有不同的管理权限。要求中心级软件系统支持至少二种不同的数据共享功能主动单向同步、定期自动同步。要求中心工作人员可以根据需要将各自分管的二级接入下属单位监控的重要分区的相关数据及网络配置利用档案追加的方式汇总到中心级监控管理系统中。要求支持通过手动或者定期自动更新的方式把接入下属单位的分区配置的改动更新到中心级的配置中。要求同步过程中，中心级网络监控管理系统支持对同步分区功能进展自定义详细配置。12其它必须是全中文操作管理界面；要求支持Windows2000/WindowsXP/WindowsSERVER2003等操作系统平台；必须支持IPV4和IPV6单独网络环境以及IPV4和IPV6双栈网

30、络环境都有良好的支持，要求提供IPv6 ready认证证书。必须提供至少3个教育行业的成功案例；必须提供原制造厂商工程授权书原件。1.2接入下属单位网络监控管理系统功能要求如下：序号工程功能1功能支持要求支持设备/链路拓扑图；效劳器/应用拓扑图；用户/端口拓扑图；设备、效劳器、链路、网段实时性能一览表；支持基于WEB发布功能。2多网络分区、线路监控管理要求具有网络多分区展示功能，每个分区可以是广域网、局域网或效劳器。系统提供不同类型分区监控不同的网络环境。提供多自定义用户权限操作功能，每个自定义用户可分配任意分区进展监控管理。具有分区同步功能，能够同步网络任何一个分区的数据。可自定义自动同步策

31、略和时间段。要求自动发现分区设备物理连接拓扑；物理拓扑图方式显示网络实时动态，通讯链路流量轮询间隔时间可最高定义为10秒钟一次刷新。在刷新线路流量时，动态拓扑图可以按用户下载和用户上传方向分类显示链路状态。设备图标显示设备状态，设备文字可以选择多种设备信息；链路线条中间显示实时带宽数据，数据可以选择类型和方向；可以设置设备或带宽阈值，通过颜色变化警示异常。要求自动记录设备参数；CPU、通讯线路的负荷峰值及发生时间。监视网络设备、响应时间和带宽。监视通讯线路、网关的实时带宽，查询历史流量。3网络设备监控管理要求发现、归档、查询可网管设备。设备文字可以选择多种方式信息描述。查询设备信息、接口配置、

32、CPU负荷、IP/MAC地址转发表和路由表等信息。监测接口实时带宽和历史流量，通过阈值设置和颜色变化警示接口异常。控制接口开闭，生成和查询接口操作日志。Telnet、Web等方式配置设备。要求支持IETF国际网管协议和国内主流厂商自有标准。如思科、华为、中兴、神州数码、锐捷等网络设备完全兼容。4网络接入用户监控管理要求自动生成接入用户拓扑图以及接入档案；终端用户拓扑图可实时动态显示各个用户端口的数据，可以选择数据方向和数据类型。用户拓扑图可定位接入非网管交换机的信息点。接入用户档案包括每一台入网计算机的IP地址、MAC地址、上连设备端口、计算机名、域组、用户登录名、分区和最近出现时间。系统具有学习功能，能够自动归档新计算机；系统具有同步功能，能够发现和同步档案信息的改变。监测计算机的实时带宽和历史流量，可以选择数据方向和数据