中国电信安全公司2026年安全大脑网关设备采购项目（标包2商密型）资格预审公告

序号

产品名称

规格型号

数量

1

商密型CTSGW-SM50

详见关键技术指标

960

2

商密型CTSGW-SM100

详见关键技术指标

960

3

商密型CTSGW-SM300

详见关键技术指标

480

4

商密型CTSGW-SM500

详见关键技术指标

480

序号

功能类别

关键功能项

具体要求

是否测试

1

网络功能要求

部署模式

要求

1 路由模式

本终端设备应支持路由工作模式。在此模式下的接口工作在三层状态，不同接口设置不同的IP地址段，划分为不同的安全域。采用路由方式转发网络流量，支持静态路由、动态路由、策略路由等功能。

2 透明模式

本终端设备应支持透明工作模式。在此模式下，接口工作在二层状态，并支持透明转发网络流量。

3 混合模式

本终端设备应支持混合模式。在此模式下，部分接口工作在三层状态，部分接口工作在二层状态。二层接口上收到的流量可以通过二层方式转发，也可以通过三层逻辑接口进行三层转发。三层接口上收到的流量可以通过三层路由转发，也可以通过三层逻辑接口向二层接口转发。

否

2

路由功能

要求

商密型终端设备应支持静态路由功能。静态路由是手工定义的路由条目，根据目的地址指定下一跳，因此也称作目的路由。对外连接较少或者内网连接相对比较稳定的网络通常使用静态路由。管理员可以根据需要确定是否添加默认路由条目。

否

3

NAT要求

设备应支持NAT，包括SNAT（即源网络地址转换）、DNAT（即目的网络地址转换）、PAT（即端口地址转换）等，实现IPv4网络地址转换；

设备应支持NAT66，包括源NAT66、目的NAT66和双向NAT66，保护内网IPv6用户的隐私安全；

设备应支持针对特殊协议，如FTP协议的ALG功能，提供对报文载荷数据进行地址转换的能力；

设备应支持常用ALG功能，包括FTP、TFTP、SIP、H.323、PPTP等，使常用应用能在安全网关和NAT环境中正常工作。

是

4

IPV6要求

1、IPv6网络环境

终端设备应支持在 IPv6 网络环境中正常工作，包括：

1）在IPv6组网环境，以及IPv6与IPv4混合组网环境下正常工作，能有效提供安全功能并保障自身的安全性;

2）支持全功能的IPv6协议栈，让防火墙设备能作为全功能的IPv6网元、IPv6网关、接入网络正常组网。

2、IPv4与IPv6混合网络环境

设备应支持在以下一种或多种 IPv6 过渡网络环境下工作，并作为 IPv4 与 IPv6 网络之间的网关，实现下列功能。

1）IPv6/IPv4双协议栈功能：设备在同一网络中同时支持IPv4 和IPv6协议。设备通过维护IPv6和IPv4两套路由协议栈使设备既能与IPv4主机，也能与IPv6主机通信，分别支持独立的IPv6和IPv4路由协议。

是

5

SDWAN要求

SDWAN功能应满足以下技术规要求，并取得以下认证

a)GM/T0022-2014《IPSec VPN技术规范》

b)GM/T0023-2014《IPSec VPN网关产品规范》

商密型终端应支持星型/网状混合拓扑配置，可定义虚拟网络SD-WAN网段。

商密型终端应支持基于地址簿、服务的SD-WAN路由策略下发，提供网络探测/负载均衡

否

6

密码相关技术要求

密码算法

要求

IPSec VPN应支持国家密码管理主管部门批准的非对称密码算法、对称密码算法、密码杂凑算法和随机数生成算法，并将国密算法作为默认密码套件使用。各算法及使用要求如下（按国家密码管理主管部门最新要求更新）：

1、非对称密码算法应当支持SM2椭圆曲线密码算法，用于实体鉴别、数字签名和数字信封等。ＳＭ２算法的使用要求见GB/T 32918。

2、对称密码算法应当支持SM4分组密码算法，用于密钥交换数据的加密保护和报文数据的加密

保护，算法的工作模式应当支持CBC模式。SM4算法的使用要求见GB/T 32907。

3、密码杂凑算法应当支持SM3密码杂凑算法,用于完整性校验。SM3 算法的使用要求见GB/T 32905。

否

7

加密硬件

要求

商密型****管理中心认证的国芯硬件加密卡。

否

8

VPN要求

接入场景要求

1、网关到网关
VPN应支持网关到网关的安全接入场景，应支持点到点，即分支结构安全接入到总部网络；点到多点，即多分支机构安全接入到总部网络。
2、终端到网关
VPN应支持终端到网关的安全接入场景，该场景适用于移动办公用户或者公众用户安全接人到机构内部网络。

否

9

工作模式要求

IPSec VPN的工作模式应支持隧道模式和传输模式，其中隧道模式是必备功能，用于主机和网关实现，传输模式是可选功S能，仅用于主机实现。

否

10

密钥交换要求

IPSec VPN应具有密钥交换功能，通过协商产生工作密钥和会话密钥。

IPSec VPN应支持IKEv1和IKEv2密钥交换协议。具体应符合GB/T 36968-2018的要求。

否

11

安全报文封装要求

安全报文封装协议分为AH协议和ESP协议。 AH协议应与ESP协议嵌套使用，这种情况下不启用ESP协议中的验证操作。 ESP协议可单独使用，这种情况下应启用ESP协议中的验证操作。

安全报文封装协议应符合GB/T 36968-2018的要求。

否

12

NAT穿越要求

IPSec VPN应具备NAT穿越功能，能双向穿透NAT设备。在UDP报文中封装和解封装ESP报文的方法按RFC3948的要求实现。

否

13

身份鉴别要求

IPSec VPN应具有身份鉴别的功能，身份鉴别数据应支持数字证书方式。

否

14

IP协议版本要求

IPSec VPN应兼容IPv4协议、IPv6协议。可支持 IPv4/IPv6 双栈、隧道、NAT64、双栈精简技术等IPv6 过渡技术。

IPv6过度环境下应具备 隧道模式 IPSec 6over4 隧道。

其中，IPv6协议按国家IPv6网络改造要求按需迭代提供。

否

15

VPN日志要求

IPSec VPN应提供日志功能，日志可被查看、导出。
日志内容包括：
1、操作行为，包括登录认证、参数配置、策略配置、密钥管理等操作日志。
2、安全事件，安全联盟的协商成功、协商失败、过期等事件日志。
3、异常事件，解密失败、完整性校验失败等异常事件的统计。
以上日志应同时支持上报到安全大脑平台测进行存储、监测及分析。

否

16

SSL VPN功能要求

商密型终端应支持SSL VPN功能。SSL VPN功能包括服务端和客户端两部分。配置了SSL VPN功能的商密型终端应支持：
●使用SSL加密协议完成与客户端的连接；
●为客户端分配IP地址；
●进行客户端用户的认证与授权；
●进行SSL VPN客户端的流量安全检测；
●解密来自客户端的加密报文并转发
●支持基于被访问**的IP地址、端口、服务和URL等方式进行权限控制，针对不同的用户或用户组进行基于角色权限的分配控制；
●支持多种国内国际商业加密、验证算法，包括：AES128、AES256、3DES、SHA等。

否

17

安全防护要求

安全策略要求

商密型终端应支持安全策略功能。安全策略是网络安全设备的基本功能，控制安全域间/不同地址段间的流量转发。

安全策略的匹配规则元素应至少包含源和目的安全域、源和目的IP、服务、应用等。

安全策略的动作包括允许、拒绝、记录日志。

大网网关自身vpn隧道流量应匹配安全策略。

商密型终端应支持安全策略规则开启日志记录功能，记录匹配安全策略的所有日志。

是

18

安全防护要求

入侵防御

要求

商密型终端应支持入侵防御IPS功能，对网络间传输的报文进行深层检查，通过制定规则和下发相应的策略，对非法的、不正常的、含攻击行为的报文能实时的告警和拦截。入侵行为包括蠕虫、病毒、木马、拒绝服务、扫描工具等。
5 IPS特征
6 预定义防御配置模板
防护型终端 IPS日志应包含但不限于:网络五元组、源目 Mac、源目安全域、payload或 pcap包等取证信息、规则名称、威胁分类等，且需携带payload或 pcap 包等取证信息。

是

19

黑白名单

要求

IP黑名单，拦截方向包括对源IP、目的IP、源和目的IP；拦截时间支持“永久拦截”、“自定义时间”。
IP 黑名单管理支持**、删除和解封；**支持手工建立，以及通过云端平台批量下发等方式。

是

20

威胁情报检测要求

1、IP类IOC情报：
1）支持IP+端口匹配；
2）支持IP全端口匹配；
3）支持IPv4和IPv6双栈协议匹配；
2、域名类IOC情报：
1）支持精准域名匹配；
2）支持通配符域名匹配：
ü针对多级子域名匹配，应支持匹配至于五级子域名，不匹配主域名，如*.ctct.com，需匹配test1.****.com，test2.test1.****.com，......，test5.test4.test3.test2.test1.****.com等，不匹配主域名ctct.com
ü通配符仅允许置于域名最左侧，且全局仅能存在一个通配符，禁止中间或多通配符（如a*.ctct.com、*.*.ctct.com均无效）
ü严禁使用顶级域 / 根域级通配（如*.com、*.cn），避免过度拦截合法域名
3）域名+端口匹配：支持精确域名+端口的匹配能力，如ctct.com:443；
4、情报检测要求：
1）IP情报需要支持双向流量识别及阻断能力；
2）域名情报需要支持DNS解析阶段、应用访问阶段的识别及阻断能力；
3）情报动作需要支持记录日志、阻断等；
5、自定义情报：审计型终端应支持自定义威胁情报的功能，包括自定义IP和域名情报：
1）IP：自定义IP情报应支持IP及IP+端口配置功能；
2）域名：域名情报应支持明细域名、通配符域名及域名+端口；
3）自定义情报配置应支持IOC值、威胁类别（本地+自定义）、情报类别、执行动作，设备侧展示以上字段信息、情报配置时间、情报来源；
6、例外情报：支持情报维度（IP、域名），例外情报功能需精准定义匹配条件与适用范围，优先级为情报匹配最高优先级；
7、匹配逻辑：整体匹配顺序遵循 “先排除再匹配、精度优先” 原则：首先执行例外排除规则（优先筛除无需匹配的情报），再依次触发匹配类规则（含自定义匹配规则、本地情报库规则）；其中匹配类规则内部优先级为：IP 匹配>域名精细匹配>域名通配符匹配>URL匹配，确保高精准度规则优先命中，避免模糊匹配干扰；
8、情报日志：包含但不限于：网络五元组、源目Mac、源目安全域、情报命中标签、命中的ip或域名、动作、IP账号等；
9、情报升级：支持在线更新，定期从云端同步最新威胁情报特征库，默认支持按天更新，应急事件更新需求应实现小时级响应。
10、云端对接：自定义情报应支持与中国电信安全大脑平台对接，接收来自云端的自定义情报，检测优先级应为高优先级。
11、情报规格：商密型终端威胁情报库规格：不低于 100 万。

是

21

境外地址拦截功能要求

商密型终端软件设备的地域簿对象应支持境内、境外IP地址过滤和监控能力、IP地址范围涵盖全球所有国家/地区，支持针对境外或特定区域的IP地址阻断能力，地址簿持续自动更新。

●地域对象：应支持按国家、地市等地区名称分类

●动态更新：应支持每天自动同步更新，更新过程中不影响安全策略执行

●策略联动：支持安全策略应用地域地址簿对象，支持基于国家、地市等地区的访问控制

是

22

管理方式要求

管理方式

要求

商密型终端应支持串口管理、Console控制台、远程telnet或SSH管理、B/S管理或独立控制台软件管理。
商密型终端应支持SSH反向代理功能。

否

23

管理功能要求

日志管理

要求

登录类日志：记录管理员执行的登录、退出操作，每条日志字段应包括：账号、登录IP、登录方式、登录时间等信息；

操作类日志：记录管理员执行的各种操作，包括：策略配置、系统参数配置、启用或关闭旗舰版终端等，每条日志字段应包括：账号、登录IP、操作方式、操作记录、操作时间等信息；

运行类日志：设备异常状态告警（如CPU、内存阈值告警等）、设备异常运行状态（如设备重启，设备断电、设备宕机等）、设备升级历史（如版本、特征库升级）等，每条日志字段应包括：日志类型、时间戳、事项描述等信息；

安全事件类日志：安全事件字段应包括事件类型、事件名称、风险级别、动作、攻击手段、服务类型、协议摘要、网络接口、源IP、源端口、目的IP、目的端口、源mac、目的mac、事件次数等参数；

原始日志：IPS、AV、威胁情报等原始日志格式详见7.3章节；

系统日志，包括登录类、操作类、运行类日志在终端本地保存的时长不少于1年。

商密型终端应支持以上各类日志上报到云端。

否

24

版本文件及特征库管理要求

为了使用新功能或者解决软件BUG，商密型终端应支持能够升级版本文件。升级方式应包括但不限于本地升级、远程升级。
商密型终端的版本文件、特征库文件应跟随原厂商最新版本及时提供。

否

25

自身安全

要求

商密型终端应支持配置限定用户登录的IP地址范围。
商密型终端应支持SSH、HTTPS等加密方式进行远程访问。
商密型终端应支持对管理员口令进行加密保存，应支持管理员首次登录修改密码功能，应支持管理员登录的短信、证书等双因素认证功能。
商密型终端应支持用户口令复杂度设置及检查，拒绝设置不符合复杂度要求的口令。
商密型终端应支持最大登录失败重试次数设置，登录失败超过重试次数后处理方法有：锁定账号/IP、自动退出等，支持终端自动解锁和人工解锁。
商密型终端应支持管理员登录超时timeout时间设置，用户登录空闲时间超过配置时间后自动断开连接，并需要再次登录才能进入终端。
商密型终端软件需满足以下安全性要求：
1)病毒扫描
软件包及所有组成文件中不得包含任何形式的病毒、木马或恶意代码。
2)漏洞扫描
经漏洞扫描工具检测后，不得存在中危及以上的安全漏洞。
3)渗透测试
经渗透测试后，不得存在可被利用的常见安全漏洞（包括但不限于身份认证与权限控制缺陷、注入类漏洞、跨站攻击、文件上传风险、敏感信息泄露、逻辑漏洞及后门等），所有典型攻击路径应能被有效拦截或拒绝。
商密型终端设备出厂时需确保无可利用安全漏洞，设备运行周期内若出现风险，需按照中电信安全〔2025〕82 号文要求在规定时限内完成固件更新或安全补丁等有效修复方案，最多不超过 12 小时。

否

26

业务开通及平台接入能力要求

需满足中国电信天翼安全大脑平台接入要求，

否

27

北向接口协议要求

商密型终端应支持通过标准、安全可靠的协议或通信方式接入云管系统，以实现远程管理、监控与配置下发等云管功能。终端设备至少应支持MQTT、Restful API、NETCONF、WSS等多种协议之一，基于安全大脑场景中长连接维持、低功耗运行和实时消息推送的需求，优先推荐采用MQTT协议进行接入。

否

28

管理功能要求

安全大脑插件适配要求

商密型终端应支持安全大脑插件适配，并按安全大脑插件版本迭代要求，满足终端激活、安全DNS、日志采集、配置下发、插件升级，及其他功能扩展等适配要求，具****公司要求为准。

否

27

轻量化上线要求

终端出厂配置要求

商密型终端应支持出厂加载终端出厂配置。预配置包含安全策略、网络接口、安全防护、日志管理、设备管理和基础云平台纳管配置等，详见附录B3具****公司最新要求为准。

是

30

高可靠性要求

存储可靠性要求

商密型终端应提供合理可靠的存储模块（如flash卡、miniSD卡或硬件），满足CTSGW-05004章节中关于系统日志的要求，即登录类、操作类、运行类日志在终端本地保存的时长不少于1年。
商密型终端应提供合理可靠的存储模块（flash卡 或硬件），满足配置文件、系统镜像文件、特征库升级等关键使用场景下的可用性，完整性。

否

31

网关上线纳管

商密型上线纳管要求

终端厂商的网关支持配置电信分发的逻辑id，安全网关上线时，携带逻辑id和终端sn向大脑平台注册，安全大脑平台根据客户订单信息完成终端逻辑id和终端sn的校验和纳管绑定。
针对“已纳管在线”终端进行上线可用性检查，厂商提供各检查项的原子能力接口，或者接收安全大脑下发的终端可用性检查的任务，将检查结果汇聚完成后上报至安全大脑平台。
网关可用性检查项，至少包括：物理接口状态、接口方向判断、业务转发接口流量、安全策略配置检查、安全策略有效性、日志发送配置等。

是

32

配置可用性检查

商密型配置可用性检查信息上报

商密型终端厂商支持以下配置信息上传，用于设备交付完成后的设备配置合规性检查，需支持上传的配置信息包括：
1、部署模式配置（上报业务接口数量信息、业务接口二三层模式信息）
2、VPN策略配置（上报VPN配置信息）
3、VPN协商状态（上报与对端的VPN协商状态信息）
4、日志上报配置（上报上传云端日志配置，功能是否开启、上报日志类型）
5、部署位置信息（上报在线用户IP地址信息、在线IP用户数量信息）
6、接口流量信息（上报各个业务接口流量的瞬时上行或下行的速率信息）

否

33

网关信息上报与更新

网关状态实时上报

安全网关厂商网关及平台需要实时向安全大脑平台上报网关状态信息，包括但不限于：
1、终端在线状态，如在线、离线、注册中等

是

34

商密型网关信息实时监控

安全网关厂商网关及平台需要定期向安全大脑平台上报网关信息，至少包括：
1、license信息（包含终端系统本身、各类特征库）
2、系统软件版本（当前版本及更新时间）、各类特征库版本信息（版本及更新时间）
3、接口信息，包括接口及接口状态、IP、安全域、流量信息（上下行速率、上下行总流量）
4、会话连接数（**/并发）
5、终端**使用情况：CPU、内存
6、终端配置：上报日志配置
7、终端型号、硬件版本
8、云链接IP、公网IP
以上信息支持批量数据上报

是

35

网关下线解绑

商密型网关下线解绑

安全网关厂商网关及平台需要与安全大脑平台对接，支持由于客户退租、换机、其他等场景下，网关解绑下线处理，保障终端能够按预期下线与回收。

是

36

终端数据采集

加密信息上报

商密型应支持vpn隧道连接对象、连接状态、流量及日志上报，具体包括CTSGW-03009章节所要求的所有相关日志

是

37

安全日志上报

商密型设备应支持与安全大脑平台对接，将网关的安全日志，通过rsyslog+RELP或kafka的方式上报到安全大脑平台至少包括：
1、ips日志（携带payload或 pcap 包等取证信息）
2、威胁情报检测日志

是

38

配置备份上报

商密型设备应支持定期备份本地网关配置的功能，并及时上报到安全大脑平台。
注：包括首次纳管、配置发生变更、以及云端平台下发上报指令时，应立即上报对应的配置文件。

是

39

系统日志上报

登录类日志
操作类日志
运行类日志

是

40

安全网关管控

反向管理

商密型设备需要与安全大脑平台对接，满足电信的集成设计，支持通过安全大脑平台反向管理设备；支持基于HTTPS或SSH的反向管理功能；支持基于免密和自定义密码反向登录到终端。

是

41

黑名单下发

安全网关厂商网关与安全大脑平台对接开放“黑名单下发”能力，支持黑名单处置，至少包括对终端创建、删除黑名单，支持批量处理命令。
链路商密型需要支持红白黑名单配置，至少包括：
支持对终端新增、删除、查询红白黑名单，接口满足RESTFUL风格，支持批量处理命令。
商密型支持黑名单处置，至少包括：
支持对终端创建、删除、查询黑名单，接口满足RESTFUL风格，支持批量处理命令。

是

42

威胁情报下发

厂家终端设备需要与安全大脑平台对接，支持自定义威胁情报处置，至少包括：
1、支持下发IP、域名、URL自定义情报，至少包括IOC值、威胁类别、情报类别、执行动作。威胁类别以云端下发为先（优先匹配云端下发情报），设备支持展示查询云端下发的自定义情报且包括以上字段、平台下发时间、情报来源（云端大脑下发），满足CTSGW-04005自定义情报要求

2、支持下发例外情报，包括IP、域名、URL的IOC值，满足CTSGW-04005要求

否

43

配置下发

商密型设备与安全大脑平台对接开放“配置下发”能力，可通用CLI命令行或文本等方式，接口满足RESTFUL风格，支持批量下发。下发配置至少包括：
1、安全策略
2、路由配置
3、ipsec vpn配置
4、链路加密配置
4、设备账号密码配置
6、其他

是

44

升级管理

大脑平台统一升级管理

商密型终端支持和安全大脑平台进行网关软件版本，规则库，威胁情报等在线升级能力要求。

是

45

大脑平台统一授权管理

终端设备厂商需在规定时间内通过在线或离线文件的方式向安全大脑平台批量提供终端设备的许可证文件，以满足设备首次上线使用、到期自动授权等要求；

终端设备需支持和安全大脑平台进行终端许可在线授权的能力要求。

是

要求

商密型-终端场景规格要求

终端类别

商密型50M

商密型100M

商密型300M

商密型500M

终端型号

CTSGW-SM50

CTSGW-SM100

CTSGW-SM300

CTSGW-SM500

适用接入带宽（单向）

50M以内

100M以内

300M以内

500M以内

外观/尺寸

/

/

1U机架式

1U机架式

终端硬件（CPU /内存/存储，最低）

4C/4G/2G

4C/4G/2G

8C/8G/4G

8C/8G/4G

可扩展硬盘

默认存储需满足功能和性能需求

默认存储需满足功能和性能需求，建议可扩展1T-6T硬盘

Bypass要求

支持软件bypass功能

支持软件bypass功能

支持软件bypass功能

支持软件bypass功能

GE千兆电口

≥4个

≥4个

≥6个

≥6个

SFP千兆光口

/

/

≥4个

≥4个

SFP+万兆光口

/

/

/

≥2个

管理口数量

≥1个

≥1个

≥1个

≥1个

电源电压

/

220V/交流

220V/交流

220V/交流

加密实现形式

国芯加密卡

国芯加密卡

国芯加密卡

国芯加密卡

加密吞吐（Mbps）

≥50

≥100

≥300

≥500

SSL VPN用户数（个）

≥30

≥100

≥300

≥500

黑名单规格（条）

≥2000

≥2000

≥4,000

≥5,000

ips规则库数量（条）

≥5,000

≥5,000

≥5,000

≥10,000

ips检测率

≥80%

≥80%

≥80%

≥80%

应用层吞吐（Mbps）（安全大脑出厂配置）

≥100

≥200

≥600

≥1000

TCP**连接数（条/秒）（安全大脑出厂配置）

≥3000

≥5,000

≥5,000

≥30,000

TCP最大并发连接数（条）（安全大脑出厂配置）

≥50,000

≥50,000

≥80,000

≥300,000

招标人:

****

招标代理机构:

****

地 址：

**市**区朝外西街3号1****中心E座

地 址：

**市西****门南大街甲2号天银大厦-A西座10层

邮 编：

邮 编：

联 系 人：

高琪

联 系 人：

邢雪婷、仇艳茹、陈宇昕、苏京、冯耿星、王少蕊、霍明林

电 话：

010-****3293

电 话：

134****2618

电子邮件：

****@chinatelecom.cn

电子邮件：

****@chinaccs.cn

网 址：

www.****.cn或“/”

网 址：

开户银行：

/

开户银行：

****花园支行

账 号：

/

账 号：

311********50066798