韶关市水务投资集团有限公司国产防火墙和VPN设备采购询价公告

一、防火墙主要参数及要求

一、国产化要求

设备符合国产化要求，搭载国产自主可控处理器，采用国产操作系统，并提供国产化检测证书。

供应商需提供原厂全新设备，不得为二手或翻新产品。

二、硬件参数

标准机架式设备，高度≤2U,内存≥16GB，硬盘≥128GB SSD，电源：冗余电源，网络接口≥6个千兆电口+4个千兆光口+2个万兆光口，12个网络接口都可以设置WAN属性口，并满足≥4个网络接口可同时配置为WAN口属性。至少1个Console口，1个USB口。

三、性能参数

网络层吞吐量≥18Gbps，应用层吞吐量≥16Gbps，防病毒吞吐量≥4Gbps，IPS吞吐量≥4Gbps，全威胁吞吐量≥2Gbps，最大并发连接数≥600万，HTTP**连接数≥16万/秒。

四、功能要求

防火墙基础：支持基于状态检测的包过滤、应用识别、用户认证、NAT、安全策略、策略路由、负载均衡、访问控制、VLAN等。

入侵防御：产品内置不低于16000种漏洞规则，同时支持在控制台界面通过漏洞ID、漏洞名称、危险等级、漏洞CVE标识、漏洞描述等条件查询漏洞特征信息，支持用户自定义IPS规则。（需提供产品功能截图，并提供具备CMA/CNAS标识的第三方检测报告，报告至少包含首页、关键页证明，并加盖厂商公章）。

防病毒：

支持HTTP/FTP/SMTP/POP3/IMAP等协议病毒查杀，病毒库实时更新。

产品具备独立的勒索病毒防护模块，非普通防病毒功能，支持对特定的业务进行勒索风险自动化评估，并依据评估结果自动生成防护策略。（需提供产品功能截图和具备CMA/CNAS标识的第三方检测报告，报告至少包含首页、关键页、尾页证明，并加盖厂商公章）。

Web应用防护：支持SQL注入、XSS、CSRF等Web攻击防护，提供WAF规则库。支持URL过滤、内容过滤、邮件安全、敏感数据等防护

应用识别：产品支持对不少于9000种应用的识别和控制，应用类型包括游戏、购物、图书百科、工作招聘、P2P下载、聊天工具、旅游出行、股票软件等类型应用进行检测与控制。（需提供产品功能截图，并加盖厂商公章）。

策略生命周期管理：产品支持策略生命周期管理功能，支持对安全策略修改的时间、原因、变更类型进行统一管理，便于策略的运维与管理。（需提供产品功能截图，并加盖厂商公章）。

业务资产管理：支持被动监测和主动扫描两种资产识别方式，可梳理离线资产、高危端口开放、冗余端口等安全风险；同时通过可视化的拓扑关系图，直观地展示资产和资产之间的访问关系、访问细节协议端口等信息。（需提供产品功能截图，并加盖厂商公章）。

云威胁情报网关：为保障用户业务安全，需支持云威胁情报网关技术，支持实时阻断失陷外联功能，保护资产安全；支持云端未知威胁主动探测技术，实现5min内未知威胁情报全网设备下发。（需提供产品功能截图并提供具备CMA/CNAS标识的第三方检测报告，报告至少包含首页、关键页证明，并加盖厂商公章）。

管理与日志：支持中文Web图形化管理界面，支持Syslog日志导出，支持本地日志存储及报表。

五、质保与升级

至少提供原厂三年硬件保修、软件升级、入侵防御、防病毒、Web应用防护、应用识别、云威胁情报网关等内容升级更新服务。（提供承诺书）

六、服务与支持

提供运输上门服务、提供原厂工程师安装调试、现场上架、网络配置、策略调优服务，确保设备正常接入现有网络。7×24小时技术支持，故障响应时间不超过2小时。

提供不少于2天的原厂工程师现场培训，内容包括设备基本配置、策略管理、故障排查等，确保我方技术人员掌握日常运维技能。

提供完整纸质及电子版文档，包括用户手册、配置指南、快速安装指南等。

将现有采购人使用中的深信服防火墙的访问控制、地址转换、安全策略、黑白名单等配置迁移至新设备上。

二、VPN设备主要参数及要求

一、国产化要求

设备符合国产化要求，搭载国产自主可控处理器，采用国产操作系统，并提供国产化检测证书。设备须内置符合中国商用密码标准的加密卡，****管理局颁布的SM1、SM2、SM3、SM4密码算法及其协议。

供应商需提供原厂全新设备，不得为二手或翻新产品。

二、硬件参数

标准机架式设备，高度≤1U,内存≥16GB，硬盘≥128GB SSD，电源：单电源电源，网络接口≥4个千兆电口。至少1个Console口，1个USB口。

三、性能参数

IPsec VPN性能：加密最大流量≥100Mbps,理论并发隧道数≥1000条。

SSL VPN性能:最**论加密流量≥300Mbps,最**论并发数≥500人,提供接入授权数量≥100（授权买断）。

四、功能参数

网络部署：为了满足灵活部署的要求，应支持IPV4/IPV6双栈网络IP配置，可自主选择配置LAN口或WAN口。为了保护设备的安全，可支持默认限制所有IP通过WAN口访问系统，支持通过配置IP白名单的方式来放通WAN口接入的特殊需求。

身份认证：支持多种身份认证方式，包括本地认证、数字证书、双因素认证等

兼容支持：客户端支持**、统信等国产操作系统、Windows10、11及安卓系统等接入。

私有DNS解析：支持以私有DNS发布企业**，无需额外购买DNS服务即可使用域名访问内网**，支持管理员自主配置是否允许从具体网络区域（局域网/互联网）接入时使用此私有DNS解析地址。（需提供产品功能截图证明并加盖厂商公章）

自适应认证：为强化系统认证安全性，可配置在触发异常环境的条件时，用户需完成增强认证才可登录。可配置的异常环境包括但不限于：帐号首次登录、帐号在该终端首次登录、账号在该地点首次登录、账号在新地点登录、账号在非常用地点登录、闲置帐号登录、弱密码登录、异常时间登录等。（需提供产品功能截图证明并加盖厂商公章）

虚拟IP：支持以虚拟IP方式访问真实的业务系统。支持共享虚拟IP池模式，为用户组分配一个IP地址段，用户组内的用户首次连接时分配一个IP端内的虚拟IP。支持独享虚拟IP模式，可配置一个独享IP池，在独享IP池中为用户分配指定的虚拟IP地址。（需提供产品功能截图并加盖厂商公章）

服务隐身：为了最大程度缩小网络、业务暴露面，VPN（零信任）平台需提供单包授权能力（SPA），支持UDP+TCP组合的单包授权技术，未授权用户无法连接零信任设备，无法扫描到服务端口，不会出现敲门放大漏洞。（需提供产品功能截图证明并加盖厂商公章）

终端诊断工具：支持终端环境诊断排查，可针对客户端接入失败、业务地址访问失败、客户端服务异常、工作空间启动失败进行诊断，便于员工自行排查修复终端问题，减少IT运维人员工作。

虚拟专线：针对Windows系统用户，支持配置虚拟专线功能，当用户登录零信任客户端之后，自动断开互联网连接，避免互联网威胁影响内网业务系统。（需提供产品功能截图并加盖厂商公章）

管理与日志：支持中文Web图形化管理界面，支持Syslog日志导出，支持本地日志存储及审计

设备巡检报告：为方便管理员统筹查看管理VPN（零信任）系统的整体运行状态，支持对设备自身的安全状态和策略配置进行巡检，对设备的整体状态进行打分，统计所有检查的正常项、异常项和告警项，并输出巡检报告。

五、质保与升级

至少提供原厂三年硬件和软件质保与升级。（提供承诺书）

六、服务与支持

提供运输上门服务、提供原厂工程师安装调试、现场上架、网络配置、策略调优服务，确保设备正常接入现有网络。7×24小时技术支持，故障响应时间不超过2小时。

提供不少于2天的原厂工程师现场培训，内容包括设备基本配置、策略管理、故障排查等，确保我方技术人员掌握日常运维技能。

提供完整纸质及电子版文档，包括用户手册、配置指南、快速安装指南等。

将现有采购人使用中的深信服VPN的用户清单、**管理、网络配置、系统配置等配置迁移至新设备上。