中国电信安全公司2026年安全大脑网关设备采购项目 （标包2商密型）（第二次）资格预审公告

序号

产品名称

规格型号

数量（个）

交货地点

估算金额（元）

1

商密型CTSGW-SM50

详见关键技术指标

960

**，具体按照订单中规定的地点

2,169,600.00

2

商密型CTSGW-SM100

960

2,603,520.00

3

商密型CTSGW-SM300

480

1,627,200.00

4

商密型CTSGW-SM500

480

2,169,600.00

注：上述采购数量为预估量

序号

功能

类别

关键功能项

具体要求

是否

测试

1

网络功能要求

部署模式要求

1 路由模式
本终端设备应支持路由工作模式。在此模式下的接口工作在三层状态，不同接口设置不同的IP地址段，划分为不同的安全域。采用路由方式转发网络流量，支持静态路由、动态路由、策略路由等功能。

2 透明模式
本终端设备应支持透明工作模式。在此模式下，接口工作在二层状态，并支持透明转发网络流量。

3 混合模式
本终端设备应支持混合模式。在此模式下，部分接口工作在三层状态，部分接口工作在二层状态。二层接口上收到的流量可以通过二层方式转发，也可以通过三层逻辑接口进行三层转发。三层接口上收到的流量可以通过三层路由转发，也可以通过三层逻辑接口向二层接口转发。

否

2

路由功能要求

商密型终端设备应支持静态路由功能。静态路由是手工定义的路由条目，根据目的地址指定下一跳，因此也称作目的路由。对外连接较少或者内网连接相对比较稳定的网络通常使用静态路由。管理员可以根据需要确定是否添加默认路由条目。

否

3

NAT要求

设备应支持NAT，包括SNAT（即源网络地址转换）、DNAT（即目的网络地址转换）、PAT（即端口地址转换）等，实现IPv4网络地址转换；
设备应支持NAT66，包括源NAT66、目的NAT66和双向NAT66，保护内网IPv6用户的隐私安全；
设备应支持针对特殊协议，如FTP协议的ALG功能，提供对报文载荷数据进行地址转换的能力；
设备应支持常用ALG功能，包括FTP、TFTP、SIP、H.323、PPTP等，使常用应用能在安全网关和NAT环境中正常工作。

是

4

IPV6要求

1、IPv6网络环境
终端设备应支持在 IPv6 网络环境中正常工作，包括：
1）在IPv6组网环境，以及IPv6与IPv4混合组网环境下正常工作，能有效提供安全功能并保障自身的安全性;
2）支持全功能的IPv6协议栈，让防火墙设备能作为全功能的IPv6网元、IPv6网关、接入网络正常组网。

2、IPv4与IPv6混合网络环境
设备应支持在以下一种或多种 IPv6 过渡网络环境下工作，并作为 IPv4 与 IPv6 网络之间的网关，实现下列功能。
1）IPv6/IPv4双协议栈功能：设备在同一网络中同时支持IPv4 和IPv6协议。设备通过维护IPv6和IPv4两套路由协议栈使设备既能与IPv4主机，也能与IPv6主机通信，分别支持独立的IPv6和IPv4路由协议。

是

5

SDWAN要求

SDWAN功能应满足以下技术规要求，并取得以下认证
a)GM/T0022-2014《IPSec VPN技术规范》
b)GM/T0023-2014《IPSec VPN网关产品规范》
商密型终端应支持星型/网状混合拓扑配置，可定义虚拟网络SD-WAN网段。
商密型终端应支持基于地址簿、服务的SD-WAN路由策略下发，提供网络探测/负载均衡

否

6

密码相关技术要求

密码算法要求

IPSec VPN应支持国家密码管理主管部门批准的非对称密码算法、对称密码算法、密码杂凑算法和随机数生成算法，并将国密算法作为默认密码套件使用。各算法及使用要求如下（按国家密码管理主管部门最新要求更新）：
1、非对称密码算法应当支持SM2椭圆曲线密码算法，用于实体鉴别、数字签名和数字信封等。ＳＭ２算法的使用要求见GB/T 32918。

2、对称密码算法应当支持SM4分组密码算法，用于密钥交换数据的加密保护和报文数据的加密
保护，算法的工作模式应当支持CBC模式。SM4算法的使用要求见GB/T 32907。

3、密码杂凑算法应当支持SM3密码杂凑算法,用于完整性校验。SM3 算法的使用要求见GB/T 32905。

否

7

加密硬件要求

商密型****管理中心认证的国芯硬件加密卡。

否

8

VPN要求

接入场景要求

1、网关到网关
VPN应支持网关到网关的安全接入场景，应支持点到点，即分支结构安全接入到总部网络（如下图1）；点到多点，即多分支机构安全接入到总部网络（如下图2）。
2、终端到网关
VPN应支持终端到网关的安全接入场景，该场景适用于移动办公用户或者公众用户安全接人到机构内部网络（如图3）。

否

9

工作模式要求

IPSec VPN的工作模式应支持隧道模式和传输模式，其中隧道模式是必备功能，用于主机和网关实现，传输模式是可选功能，仅用于主机实现。

否

10

密钥交换要求

IPSec VPN应具有密钥交换功能，通过协商产生工作密钥和会话密钥。

IPSec VPN应支持IKEv1和IKEv2密钥交换协议。具体应符合GB/T 36968-2018的要求。

否

11

安全报文封装要求

安全报文封装协议分为AH协议和ESP协议。 AH协议应与ESP协议嵌套使用，这种情况下不启用ESP协议中的验证操作。 ESP协议可单独使用，这种情况下应启用ESP协议中的验证操作。

安全报文封装协议应符合GB/T 36968-2018的要求。

否

12

NAT穿越要求

IPSec VPN应具备NAT穿越功能，能双向穿透NAT设备。在UDP报文中封装和解封装ESP报文的方法按RFC3948的要求实现。

否

13

身份鉴别要求

IPSec VPN应具有身份鉴别的功能，身份鉴别数据应支持数字证书方式。

否

14

IP协议版本要求

IPSec VPN应兼容IPv4协议、IPv6协议。可支持 IPv4/IPv6 双栈、隧道、NAT64、双栈精简技术等IPv6 过渡技术。
IPv6过度环境下应具备 隧道模式 IPSec 6over4 隧道。
其中，IPv6协议按国家IPv6网络改造要求按需迭代提供。

否

15

VPN日志要求

IPSec VPN应提供日志功能，日志可被查看、导出。
日志内容包括：
1、操作行为，包括登录认证、参数配置、策略配置、密钥管理等操作日志。
2、安全事件，安全联盟的协商成功、协商失败、过期等事件日志。
3、异常事件，解密失败、完整性校验失败等异常事件的统计。
以上日志应同时支持上报到安全大脑平台测进行存储、监测及分析。

否

16

SSL VPN功能要求

商密型终端应支持SSL VPN功能。SSL VPN功能包括服务端和客户端两部分。配置了SSL VPN功能的商密型终端应支持：
●使用SSL加密协议完成与客户端的连接；
●为客户端分配IP地址；
●进行客户端用户的认证与授权；
●进行SSL VPN客户端的流量安全检测；
●解密来自客户端的加密报文并转发
●支持基于被访问**的IP地址、端口、服务和URL等方式进行权限控制，针对不同的用户或用户组进行基于角色权限的分配控制；
●支持多种国内国际商业加密、验证算法，包括：AES128、AES256、3DES、SHA等。

否

17

安全防护要求

安全策略要求

商密型终端应支持安全策略功能。安全策略是网络安全设备的基本功能，控制安全域间/不同地址段间的流量转发。
安全策略的匹配规则元素应至少包含源和目的安全域、源和目的IP、服务、应用等。
安全策略的动作包括允许、拒绝、记录日志。
大网网关自身vpn隧道流量应匹配安全策略。
商密型终端应支持安全策略规则开启日志记录功能，记录匹配安全策略的所有日志。

是

18

安全防护要求

入侵防御要求

商密型终端应支持入侵防御IPS功能，对网络间传输的报文进行深层检查，通过制定规则和下发相应的策略，对非法的、不正常的、含攻击行为的报文能实时的告警和拦截。入侵行为包括蠕虫、病毒、木马、拒绝服务、扫描工具等。
5 IPS特征
6 预定义防御配置模板
商密型终端 IPS日志应包含但不限于:网络五元组、源目 Mac、源目安全域、payload或 pcap包等取证信息、规则名称、威胁分类等，且需携带payload或 pcap 包等取证信息。

是

19

黑白名单要求

IP黑名单，拦截方向包括对源IP、目的IP、源和目的IP；拦截时间支持“永久拦截”、“自定义时间”。
IP 黑名单管理支持**、删除和解封；**支持手工建立，以及通过云端平台批量下发等方式。

是

20

威胁情报检测要求

1、IP类IOC情报：
1）支持IP+端口匹配；
2）支持IP全端口匹配；
3）支持IPv4和IPv6双栈协议匹配；
2、域名类IOC情报：
1）支持精准域名匹配；
2）支持通配符域名匹配：
ü针对多级子域名匹配，应支持匹配至于五级子域名，不匹配主域名，如*.ctct.com，需匹配test1.****.com，test2.test1.****.com，......，test5.test4.test3.test2.test1.****.com等，不匹配主域名ctct.com
ü通配符仅允许置于域名最左侧，且全局仅能存在一个通配符，禁止中间或多通配符（如a*.ctct.com、*.*.ctct.com均无效）
ü严禁使用顶级域 / 根域级通配（如*.com、*.cn），避免过度拦截合法域名
3）域名+端口匹配：支持精确域名+端口的匹配能力，如ctct.com:443；
4、情报检测要求：
1）IP情报需要支持双向流量识别及阻断能力；
2）域名情报需要支持DNS解析阶段、应用访问阶段的识别及阻断能力；
3）情报动作需要支持记录日志、阻断等；
5、自定义情报：审计型终端应支持自定义威胁情报的功能，包括自定义IP和域名情报：
1）IP：自定义IP情报应支持IP及IP+端口配置功能；
2）域名：域名情报应支持明细域名、通配符域名及域名+端口；
3）自定义情报配置应支持IOC值、威胁类别（本地+自定义）、情报类别、执行动作，设备侧展示以上字段信息、情报配置时间、情报来源；
6、例外情报：支持情报维度（IP、域名），例外情报功能需精准定义匹配条件与适用范围，优先级为情报匹配最高优先级；
7、匹配逻辑：整体匹配顺序遵循 “先排除再匹配、精度优先” 原则：首先执行例外排除规则（优先筛除无需匹配的情报），再依次触发匹配类规则（含自定义匹配规则、本地情报库规则）；其中匹配类规则内部优先级为：IP 匹配>域名精细匹配>域名通配符匹配>URL匹配，确保高精准度规则优先命中，避免模糊匹配干扰；
8、情报日志：包含但不限于：网络五元组、源目Mac、源目安全域、情报命中标签、命中的ip或域名、动作、IP账号等；
9、情报升级：支持在线更新，定期从云端同步最新威胁情报特征库，默认支持按天更新，应急事件更新需求应实现小时级响应。
10、云端对接：自定义情报应支持与中国电信安全大脑平台对接，接收来自云端的自定义情报，检测优先级应为高优先级。
11、情报规格：商密型终端威胁情报库规格：不低于 100 万。

是

21

安全防护要求

境外地址拦截功能要求

商密型终端软件设备的地域簿对象应支持境内、境外IP地址过滤和监控能力、IP地址范围涵盖全球所有国家/地区，支持针对境外或特定区域的IP地址阻断能力，地址簿持续自动更新。
●地域对象：应支持按国家、地市等地区名称分类
●动态更新：应支持每天自动同步更新，更新过程中不影响安全策略执行
●策略联动：支持安全策略应用地域地址簿对象，支持基于国家、地市等地区的访问控制

是

22

管理方式要求

商密型终端应支持串口管理、Console控制台、远程telnet或SSH管理、B/S管理或独立控制台软件管理。
商密型终端应支持SSH反向代理功能。

否

23

管理功能要求

日志管理要求

登录类日志：记录管理员执行的登录、退出操作，每条日志字段应包括：账号、登录IP、登录方式、登录时间等信息；
操作类日志：记录管理员执行的各种操作，包括：策略配置、系统参数配置、启用或关闭旗舰版终端等，每条日志字段应包括：账号、登录IP、操作方式、操作记录、操作时间等信息；
运行类日志：设备异常状态告警（如CPU、内存阈值告警等）、设备异常运行状态（如设备重启，设备断电、设备宕机等）、设备升级历史（如版本、特征库升级）等，每条日志字段应包括：日志类型、时间戳、事项描述等信息；
原始日志：IPS、AV、威胁情报等原始日志格式详见7.3章节；
系统日志，包括登录类、操作类、运行类日志在终端本地保存的时长不少于1年。
商密型终端应支持以上各类日志上报到云端。

否

24

版本文件及特征库管理要求

为了使用新功能或者解决软件BUG，商密型终端应支持能够升级版本文件。升级方式应包括但不限于本地升级、远程升级。
商密型终端的版本文件、特征库文件应跟随原厂商最新版本及时提供。

否

25

license授权要求

商密型终端支持以下其中一种或多种license授权方式。
1.防护型国际版终端出厂应内置3年以上license授权。
2.防护型国际版终端应支持通过安全大脑平台进行自动授权的能力。

否

26

自身安全要求

商密型终端应支持配置限定用户登录的IP地址范围。

商密型终端应支持SSH、HTTPS等加密方式进行远程访问。

商密型终端应支持对管理员口令进行加密保存，应支持管理员首次登录修改密码功能，建议支持满足以下一种或多种双因素认证，包括但不限于管理员登录的短信、证书、验证码等双因素认证功能。

商密型终端应支持用户口令复杂度设置及检查，拒绝设置不符合复杂度要求的口令。

商密型终端应支持最大登录失败重试次数设置，登录失败超过重试次数后处理方法有：锁定账号/IP、自动退出等，支持终端自动解锁和人工解锁。

商密型终端应支持管理员登录超时timeout时间设置，用户登录空闲时间超过配置时间后自动断开连接，并需要再次登录才能进入终端。

商密型终端软件需满足以下安全性要求：
1)病毒扫描
软件包及所有组成文件中不得包含任何形式的病毒、木马或恶意代码。
2)漏洞扫描
经漏洞扫描工具检测后，不得存在中危及以上的安全漏洞。
3)渗透测试
经渗透测试后，不得存在可被利用的常见安全漏洞（包括但不限于身份认证与权限控制缺陷、注入类漏洞、跨站攻击、文件上传风险、敏感信息泄露、逻辑漏洞及后门等），所有典型攻击路径应能被有效拦截或拒绝。
商密型终端设备出厂时需确保无可利用安全漏洞，设备运行周期内若出现风险，需按照中电信安全〔2025〕82 号文要求在规定时限内完成固件更新或安全补丁等有效修复方案，最多不超过 12 小时。

否

27

平台接入能力要求

安全大脑管理平台是运营商级集约化全域安全管控平台，依托客户侧安全网关搭建云边协同防护体系，面向**政企提供标准化、规模化安全运营服务。招标网关设备须适配平台集中管控，满足三级等保要求，平台核心能力对标国家、**及通信行业相关标准；规范内终端设备需支持与平台标准化对接，实现云边协同统一管控，适配电信多级运营场景，支撑规模化安全运营并兼容技术迭代升级。
1.北向接口协议要求
针对“天翼安全大脑”场景中长连接维持、低功耗运行及实时消息推送的核心需求，本终端设备北向接口协议收敛并聚焦于 MQTT 与 RESTful API 两种国际标准协议。这两种协议作为设备联网与HTTP服务领域广泛认可的事实标准，能够完美覆盖设备实时通信与集中管理的全部诉求。

否

28

轻量化上线要求

终端出厂配置要求

商密型终端应支持出厂加载终端出厂配置。预配置包含安全策略、网络接口、安全防护、日志管理、设备管理和基础云平台纳管配置等，详见附录B3具****公司最新要求为准。

是

29

高可靠性要求

存储可靠性要求

商密型终端应提供合理可靠的存储模块（如flash卡、miniSD卡或硬件），满足CTSGW-05004章节中关于系统日志的要求，即登录类、操作类、运行类日志在终端本地保存的时长不少于1年。
商密型终端应提供合理可靠的存储模块（flash卡 或硬件），满足配置文件、系统镜像文件、特征库升级等关键使用场景下的可用性，完整性。

否

30

终端纳管要求

安全大脑平台纳管要求

参考GB/T 22239-2019中对终端集中管理能力要求，结合中国电信安全大脑业务CTG-MBOSS BSS 分册规范，安全大脑终端需具备：
●支持配置电信分发的逻辑ID，终端上线时，需携带逻辑ID和终端SN向大脑平台注册，安全大脑平台根据客户受理信息完成终端逻辑ID和终端SN的校验和纳管绑定。

是

31

配置可用性检查

配置可用性检查信息上报

针对“已纳管在线”终端进行上线可用性检查，厂商提供各检查项的原子能力接口，或者接收安全大脑下发的终端可用性检查的任务，将检查结果汇聚完成后上报至安全大脑平台。
网关可用性检查项，至少包括：物理接口状态、接口方向判断、业务转发接口流量、安全策略配置检查、安全策略有效性、日志发送配置、VPN配置及协商状态等。

否

32

网关信息采集更新

终端状态信息上报

安全网关厂商网关需要实时向安全大脑平台上报网关状态信息，包括但不限于：
1、终端在线状态，如在线、离线、注册中等

是

33

终端信息采集监控

安全网关厂商网关需要定期向安全大脑平台上报网关信息，至少包括：
1、license信息（包含终端系统本身、各类特征库）
2、系统软件版本（当前版本及更新时间）、各类特征库版本信息（版本及更新时间）
3、接口信息，包括接口及接口状态、IP、安全域、流量信息（上下行速率、上下行总流量）
4、会话连接数（**/并发）
5、终端**使用情况：CPU、内存
6、终端配置：上报日志配置
7、终端型号、硬件版本
8、云链接IP、公网IP
以上信息支持批量数据上报

是

34

网关下线解绑

网关下线解绑

安全网关厂商网关需要与安全大脑平台对接，支持由于客户退租、换机、其他等场景下，网关解绑下线处理，保障终端能够按预期下线与回收。

是

35

终端数据采集

加密信息上报

商密型应支持vpn隧道连接对象、连接状态、流量及日志上报，具体包括CTSGW-03009章节所要求的所有相关日志

是

36

安全日志上报

商密型设备应支持与安全大脑平台对接，将网关的安全日志，通过rsyslog+RELP或kafka的方式上报到安全大脑平台至少包括：
1、ips日志（携带payload或 pcap 包等取证信息）
2、威胁情报检测日志

是

37

配置备份上报

商密型设备应支持定期备份本地网关配置的功能，并及时上报到安全大脑平台。
注：包括首次纳管、配置发生变更、以及云端平台下发上报指令时，应立即上报对应的配置文件。

是

38

系统日志上报

登录类日志
操作类日志
运行类日志

是

39

安全网关管控

反向管理

商密型设备需要与安全大脑平台对接，满足电信的集成设计，支持通过安全大脑平台反向管理设备；支持基于HTTPS或SSH的反向管理功能；支持基于免密和自定义密码反向登录到终端。

是

40

黑名单下发

厂商网关与安全大脑平台对接开放“黑名单下发”能力，支持黑名单处置，至少包括对终端创建、删除黑名单，支持批量处理命令。
商密型支持黑名单处置，至少包括：
支持对终端创建、删除、查询黑名单，接口满足RESTFUL风格，支持批量处理命令。

是

41

威胁情报下发

厂家终端设备需要与安全大脑平台对接，支持自定义威胁情报处置，至少包括：
1、支持下发IP、域名、URL自定义情报，至少包括IOC值、威胁类别、情报类别、执行动作。威胁类别以云端下发为先（优先匹配云端下发情报），设备支持展示查询云端下发的自定义情报且包括以上字段、平台下发时间、情报来源（云端大脑下发），满足CTSGW-04005自定义情报要求

2、支持下发例外情报，包括IP、域名、URL的IOC值，满足CTSGW-04005要求

否

42

配置下发

商密型设备与安全大脑平台对接开放“配置下发”能力，可通用CLI命令行或文本等方式，接口满足RESTFUL风格，支持批量下发。下发配置至少包括：
1、安全策略
2、路由配置
3、ipsec vpn配置
4、链路加密配置
4、设备账号密码配置
6、其他

是

要求

商密型-终端场景规格要求

终端类别

商密型50M

商密型100M

商密型300M

商密型500M

终端型号

CTSGW-SM50

CTSGW-SM100

CTSGW-SM300

CTSGW-SM500

适用接入带宽（单向）

50M以内

100M以内

300M以内

500M以内

外观/尺寸

/

/

1U机架式

1U机架式

终端硬件（CPU /内存/存储，最低）

4C/4G/2G

4C/4G/2G

8C/8G/4G

8C/8G/4G

可扩展硬盘

默认存储需满足功能和性能需求

默认存储需满足功能和性能需求，建议可扩展1T-6T硬盘

Bypass要求

支持软件bypass功能

支持软件bypass功能

支持软件bypass功能

支持软件bypass功能

GE千兆电口

≥4个

≥4个

≥6个

≥6个

SFP千兆光口

/

/

≥4个

≥4个

SFP+万兆光口

/

/

/

≥2个

管理口数量

≥1个

≥1个

≥1个

≥1个

电源电压

/

220V/交流

220V/交流

220V/交流

加密实现形式

国芯加密卡

国芯加密卡

国芯加密卡

国芯加密卡

加密吞吐（Mbps）

≥50

≥100

≥300

≥500

SSL VPN用户数（个）

≥30

≥100

≥300

≥500

黑名单规格（条）

≥2000

≥2000

≥4,000

≥5,000

ips规则库数量（条）

≥5,000

≥5,000

≥5,000

≥10,000

ips检测率

≥80%

≥80%

≥80%

≥80%

应用层吞吐（Mbps）（安全大脑出厂配置）

≥100

≥200

≥600

≥1000

TCP**连接数（条/秒）（安全大脑出厂配置）

≥3000

≥5,000

≥5,000

≥30,000

TCP最大并发连接数（条）（安全大脑出厂配置）

≥50,000

≥50,000

≥80,000

≥300,000

招标人:

****

招标代理机构:

****

地 址：

**市**区朝外西街3号1****中心E座

地 址：

**市西****门南大街甲2号天银大厦-A西座10层

邮 编：

邮 编：

联 系 人：

高琪

联 系 人：

邢雪婷、仇艳茹、陈宇昕、苏京、冯耿星、王少蕊、刘鹏、丁娟

电 话：

010-****3293

电 话：

134****2618

电子邮件：

****@chinatelecom.cn

电子邮件：

****@chinaccs.cn

网 址：

/

网 址：

开户银行：

/

开户银行：

/

账 号：

/

账 号：

/