中国电信网络安全设备技术规范的通知

中国电信〔2009〕915号

关于印发中国电信网络安全

设备技术规范的通知

集团公司各省级分公司，欧洲公司，信元公司，卫星公司；股份公司并转各省级分公司，各专业公司，各境外公司，各研究院，中国电信学院：

为稳步提升中国电信IP网络的网络安全水平，适应未来IPv6技术的逐步引入，集团公司技术部组织设在广州研究院的“中国电信网络安全实验室”编制了2009年版的《中国电信网络安全设备技术规范》，内容涉及统一威胁管理（UTM）、防火墙（FW）、入侵防护（IPS）和异常流量清洗设备，现随文下发，供各地在网络发展和改造工作中参考。

二○○九年十一月九日

保密等级：企业秘密

中国电信统一威胁管理设备技术规范

(2009年版)

2009-11-15发布 2009-12-1实施

中国电信集团公司 发布

目录

1.编制说明 (1)

1.1范围 (1)

1.2引用标准 (1)

1.3定义、术语和缩写 (2)

1.3.1定义 (2)

1.3.2术语和缩写 (2)

2.技术规范 (3)

2.1设备质量要求 (3)

2.1.1功能完备性 (3)

2.1.2安全性 (3)

2.1.3易用性 (3)

2.2系统功能要求 (4)

2.2.1防火墙功能 (4)

2.2.2入侵防护功能 (9)

2.2.3病毒过滤功能 (10)

2.2.4内容过滤功能 (11)

2.2.5 VPN功能 (11)

2.2.6垃圾邮件防护功能 (12)

2.2.7流量管理功能 (13)

2.3设备网络管理功能 (13)

2.3.1网管基本功能 (13)

2.3.2性能管理 (14)

2.3.3安全管理 (14)

2.3.4故障管理 (15)

2.4系统性能要求 (15)

2.4.1应用层吞吐量要求 (15)

2.4.2 UTM TCP最大并发连接数 (16)

2.4.3 UTM TCP最大连接速率 (16)

2.4.4 VPN性能要求 (16)

2.5设备绿色要求 (17)

2.5.1设备管理要求 (17)

2.5.2设备环保与包装要求 (17)

2.5.3能耗分级标准 (18)

1.编制说明

1.1范围

本技术规范以RFC文档、IEEE标准以及国内相关行业标准为依据，根据中国电信实际情况和具体要求，对UTM设备的定义、系统功能、性能等进行了规定。

在本规范中：

必须：表示该条目是本规范必须，违反这样的要求是原则性错误。

必须实现：表示该要求必须实现，但不要求缺省使能。

不允许（不可以）：表示该条目绝对禁止。

应当（建议）：表示在某些特定条件下存在忽视该条目的理由，但是忽视或违反该条目时必须仔细衡量。

应当（建议）实现：与应当（建议）类似，实现时不必要缺省使能。

不应当（不建议）：表示在某些特定条件下存在所描述行为可接受或有效的理由，但实现该行为时必须仔细衡量。

可以：表示该条目确实可选。

1.2引用标准

下列标准包含的条文，通过在本标准中引用而构成为本标准的条文。本标准出版时，所示版本均为有效。所有标准都会修订，使用本标准的各方应探讨，使用下列标准最新版本的可能性。

RFC791 IP

RFC793 TCP

RFC2616 HTTP1.1

RFC2821 SMTP

GB/T

信息系统 词汇 第8部分：安全

5271.8-2001

GB/T 17859-1999 计算机信息系统安全保护等级划分准则

GB/T 18019-1999 信息技术包过滤防火墙安全技术要求

GB/T 18020-1999 信息技术应用级防火墙安全技术要求

GB/T 18336.1~3-2001 信息技术 安全技术 信息技术安全性评估准则

RFC 1441-1452 简单网络管理协议（SNMP v2）

RFC2570-2575 简单网络管理协议（SNMP v3）

RFC0792 互联网控制消息协议（ICMP）

RFC0826 以太网地址解析协议（ARP）

RFC1157 简单网络管理协议（SNMP）

RFC 2460互联网协议（版本六）

RFC 4291 IP v6地址体系结构

1.3定义、术语和缩写

1.3.1定义

统一威胁管理（Unified Threat Management，简称UTM），它集成了防火墙、防病毒、防垃圾邮件、内容过滤、入侵防护、VPN等多项安全功能为一体的安全网关设备。

1.3.2术语和缩写

AAA认证、授权和计费

ARP 地址解析协议

DHCP 动态主机配置协议

文件传输协议

FTP

GRE 通用路由封装

ICMP 互联网消息协议

互联网协议

IP

IPSec IP网络安全协议

L2TP 二层隧道协议

LAN 局域网

NAT 网络地址转换

OSPF 开放最短路径优先

RADIUS 远程身份验证拨入用户服务

SNMP 简单网络管理协议

TCP 传输控制协议

UDP 用户数据包协议

VLAN 虚拟局域网

VPN 虚拟专用网

2.技术规范

2.1设备质量要求

2.1.1功能完备性

设备应依据本规范书实现完善、准确的功能。

2.1.2安全性

1)设备应提供有效的安全保密措施，确保系统和数据资源的安全，防止对系统

资源的非法侵入。

2)应保证所用的操作系统不存在安全漏洞。

3)远程接入只能通过HTTPS和SSH 实现，支持通过带IP 访问控制的HTTPS

来确保远程web 接入的安全性，命令行支持SSH。

4)系统应提供严格的操作控制和存取控制，在各层次应具有完善的、有效的用

户管理，能够灵活地分配用户群、用户的权限。

5)系统具备安全日志功能，可完整地记录用户的重要操作、访问信息。

6)整个系统在正式运行之前要进行安全性测试，以确保系统的安全性。

2.1.3易用性

1)应易于安装和使用，具备风格一致用户界面。

2)设备应能在浏览器中完成基本的管理任务，对用户输入错误，应尽早发现和

提示。

3)设备必须支持分布式结构，能够提供统一的管理界面对所有设备进行配置及

管理。

4)应具备完善的联机帮助功能。

2.2系统功能要求

UTM设备应具有以下描述的主要功能，但不限于以下功能：

2.2.1防火墙功能

1)必须支持路由、透明、NAT、混杂工作模式。

路由模式

设备物理接口配置确定的IP地址，内网和外网的设备都知道到该UTM的路由，这种方式适合网络初建时，IP地址统一规划有助于全网络管理。

透明模式

UTM物理接口不需配置IP地址，以透明方式嵌入到内网和外网之间，此时设备工作在第二层，在网络拓扑结构上相当于一个交换机或者网桥，内部和外部网络的用户察觉不到该UTM的存在。这种方式无需重新规划网络中的IP地址和路由，同时可使UTM免受外界入侵。

混合模式

UTM设备既存在工作在路由模式的接口（具有IP地址的接口），又存在工作在透明模式的接口（无IP地址的接口），此时UTM工作在混合模式下。

混合模式主要用于双机热备份应用，此时启动备份功能的接口需要配置IP 地址，其它接口不配置IP地址。

2)必须支持状态检测技术, 支持对ICMP、HTTP、FTP、SMTP、POP3、 RADIUS、

SIP、NTP、H.323、DNS、SNMP、RTSP等协议的状态检测或应用代理功能。

状态检测功能

基于访问控制列表的包过滤在网络层和传输层检测数据包，防止非法入侵。基于状态检测的防火墙利用四层TCP/IP的连接握手信息（会话的报文的协议和端口号等信息），建立状态表项，利用表项信息监控不同区域访问的数据情况，并依照安全策略阻止不符合规则的数据报文通过。

应用层检测技术

设备除对报文的网络层的信息进行检测，还应对应用层的协议信息（如FTP）进行检测。根据连接的状态动态地创建和删除暂时的连接。应用层检测技术在自己的数据结构中维护着连接的状态信息，并利用这些信息来创建暂时的入口（规则）。防火墙检验数据流中的每一个报文，确保报文的状态与报文本身符合用户所定义的安全规则。连接状态信息用于智能的允许/禁止报文。当一个会话终止时，暂时的访问规则也将被删除，防火墙中的会话也将被关闭。

3)必须支持一对一、多对一、多对多的双向NAT，NAPT转换，符合RFC2663、

RFC3022协议规范。

NAT模式包括静态NAT、动态NAT、PAT等。

静态NAT

静态NAT提供一对一的地址转换，将原地址固定地翻译为映射地址。

动态NAT

动态NAT把一组原IP地址翻译成可以在目标网络路由的映射地址池。映射地址池中的地址数量可以比原IP地址少。在动态NAT进行地址翻译的时候，对端口不做改变，直接修改IP地址。翻译的过程是原地址和映射地址一一对应的。该对应关系仅仅在该会话有效的时候存在，当会话失效后，对应关系就消失了。

PAT

PAT又称为端口影射，PAT可提供基于TCP、UDP的端口转换，它实现多个IP映射为一个外网IP使得许多台内网主机可以共享一个IP地址上网。在地址转换的过程中，将原地址和原端口转换成映射的地址和大于1024以上的端口。每个连接都要有一个独立的转换，因为不同连接的原IP的源端口是不同的。

4)必须支持UDP穿越NAT，可选支持STUN （RFC3489）的四种方式。

5)可选支持ALG功能，实现DNS、SIP、H.323、RTSP、L2TP等协议的私网穿

越功能。普通NAT是通过修改UDP或TCP报文头部地址信息实现地址的转

换，但对于VOIP应用，在TCP/UDP净载中也需带地址信息，防火墙设备应可识别SIP/H.323信令，发现外网呼叫信令为SIP时，能够对VOIP终端（在私网中）载荷中的IP 地址和端口号进行替换，从而实现对该协议的透明中继，通过上述机制，设备实现SIP/H.323的NAT穿越。

6)必须支持基于源/目的IP地址、源/目的端口、IP协议、时间段等参数，实现

相应的访问控制策略。

7)必须支持自动或管理员手工绑定IP/MAC地址，阻止IP地址欺骗的攻击。

8)必须支持基于用户认证进行访问控制，包括本地、radius。建议支持LDAP

和AD域等认证方式。

9)必须支持基于对象和服务组的定义，对象包括特定地址、特定地址段、特定

服务端口。

10)可选支持IGMP或IGMP Proxy/Snooping等功能，要求组播流能够转发到相

应VLAN接口。

11)必须支持防御ARP欺骗、TCP报文标志位不合法、Large ICMP报文、SYN flood、

地址扫描和端口扫描等多种恶意攻击。

12)IPv6特性

必须支持IPv6基本协议，符合RFC 2460-互联网协议（版本六）。

必须支持IPv6地址结构的规定，符合RFC 4291－IP v6地址体系结构。

必须支持路径MTU发现协议，符合RFC1981。

在设备发送IPv6数据包时，应以发送下一跳链路的MTU作为路径MTU

的初始预测值，并根据RFC1981中描述的方法修改此预测值。

设备必须支持地址自动配置功能，包括全状态自动配置（Stateful Autoconfiguration）和无状态自动配置（Stateless Autoconfiguration）。

全状态自动配置:一个DHCPv6服务器拥有一个IPv6地址池，主机从

DHCPv6服务器租借IPv6地址并获得有关的配置信息（如缺省网关、DNS

服务器等），由此达到自动设置主机IP地址的目的，类似IPv4中的DHCP。

无状态自动配置:地址自动配置功能允许本地主机根据它们的扩展唯一标

识符 (EUI) 值自动配置 IPv6 地址。配置为地址自动配置的安全设备会

将 IPv6 前缀通告给本地 IPv6 主机。本地主机使用该前缀根据它们的

EUI 值自动配置 IPv6 地址。地址自动配置减少了为各个主机手动分配

地址的需求。

设备必须支持邻接方发现功能，符合RFC2461。

邻接方发现(ND) 是在本地链接中跟踪邻接方的可达性状态的过程。如果设备接收到的最新消息确认邻接方已接收并处理了 IP 信息流或邻接方请求 (NS) 请求，则该设备会把该邻接方视为可到达的。否则，它会将该邻接方视为不可到达的。如果IPv6 主机启用 ND，则已启用 ND 的IPv6 路由器可向下游发送 ND 信息。

必须支持IPv6安全控制策略设置，能针对IPv6的目的/源地址、目的/源服务端口、协议号、流标签、扩展头属性等条件进行安全访问规则的设置。

必须支持防火墙状态检测功能、支持IPv6应用层检测技术；支持对ICMPV6、HTTP、FTP、SMTP、POP3、RADIUSv6、SIPv6、NTP、H.323、DNSv6、 SNMPv6、 RTSP等协议的状态检测。

设备必须支持IPV6/V4双协议栈功能，符合RFC2893。

设备在同一网络中同时支持IPv4 和IPv6协议。防火墙设备通过维护IPv6和IPv4两套路由协议栈使设备既能与IPv4主机也能与IPv6主机通信，分别支持独立的IPv6和IPv4路由协议。在IPv6节点中加入IPv4协议栈，实现IPv6节点与IPv4节点的互通。具有双协议栈的节点称作“IPv6/v4节点”，这些节点既可以收发IPv4数据包，也可以收发IPv6数据包。它们可使用IPv4与IPv4节点互通，也可以直接使用IPv6与IPv6节点互通。双栈技术不需要构造隧道。

必须支持隧道模式功能，包括ISATAP隧道、6to4隧道和Teredo隧道，符合RFC4214、RFC3506、RFC4380。

隧道策略是利用一种协议来传输另一种协议的数据的技术。在IPv6网络与IPv4网络间的隧道入口处，设备将IPv6的数据包封装入IPv4中，IPv4包的源地址和目的地址分别是隧道入口和出口的IPv4地址。在隧道的出口处再将IPv6数据包取出转发给目的节点。通过隧道技术实现在IPv4数据包中封装IPv6数据包，在IPv4端点之间建立IPv6隧道，使分离的IPv6网络通过IPv4连接起来。

Intra-Site Automatic Tunnel Addressing Protocol（ISATAP），它将IPv4地址夹入IPv6地址中，当两台 ISATAP 主机通讯时，可自动抽取出 IPv4 地址建立 Tunnel 即可通讯，且并不需透过其它特殊网络设备，只要彼此间IPv4网络通畅即可。

6to4（RFC3056）机制为Ipv4网络中的IPv6/IPv4主机提供相互间的自动隧道和IPv6连接，通过该技术IPv6站点和主机可使用基于6to4的地址和Ipv4网络进行通信而无须从ISP获取IPv6全球地址前缀并连接到IPv6网络中。

Teredo机制是采用IPv6-in-UDP隧道技术，通过将IPV6报文封装在IPv4的UDP报文载荷中的方式实现NAT用户和IPv6网络的互通。

设备必须支持IPv6/IPv4翻译策略技术，包括支持静态NAT-PT、动态NAT-PT、NAPT-PT技术、DNS-ALG 和 FTP-ALG，符合RFC2766。

设备对应协议的翻译分为两个层面来支持。

一是通过网络地址转换与端口转换（NAT－PT）技术实现IPv4与IPv6协议层的翻译，二是通过应用代理网关ALG来实现IPv4应用与IPv6应用之间的翻译，实现应用层的互通。

静态NAT-PT：使用静态的IPv6 和ipv4地址一一对应的处理方式。类似于IPv4 中的静态NAT ；

动态NAT-PT ：使用IPv4地址池，然后将IPv6网络中动态预定义的

NAT-PT前缀加到目前的IPv4地址，类似于IPv4 的动态NAT ；

NAPT-PT ：使用多个有NAT-PT前缀的IPv6地址和一个源IPv4地址之间多对一的动态映射，转换同时在3层和UDP/TCP层上进行。它和IPv4中的PAT类似。

必须支持IPv6静态路由。

必须支持IPsec，包括AH 和ESP协议，MD5、SHA-1的HMAC算法；

支持手工密钥管理，支持IKE。

支持基于RADIUSv6的管理员集中认证、授权和记帐管理，必须可以配置不同与普通接入用户的RADIUS服务器完成，支持基于命令行的集中授权。

2.2.2入侵防护功能

1)必须支持HTTP、FTP、SMTP、DNS、NETBIOS、POP3等应用协议的入侵防护功

能，可选支持IMAP、P2P、IM、RPC等应用协议的入侵防护功能。

2)必须支持对ping of death、IP spoofing、Port scan、Land attack、Tear

drop attack、IP address sweep attack、WinNuke attack、ICMP Fragment 等常见攻击类型的防护。对ICMP flood、UDP Flood、SYN Flood等攻击类型可通过连接速率阀值来进行防护。

3)必须支持检测的攻击类型包括：蠕虫、恶意代码、协议异常、缓冲区益出、

SQL注入等。

4)必须支持入侵攻击特征库的定期更新升级，对于当前流行网络攻击行为的监

测和防护具备持续更新的能力。

5)必须支持在线更新攻击特征库技术，可在不停止检测防护任务的情况下自动

更新攻击特征库。

6)必须支持特征库攻击类型的分类。

7)必须支持自定义的特征。

8)IPv6特性

必须支持IPv6基本协议，符合RFC 2460-互联网协议（版本六）。

支持基于IPV6的流量特征分析技术；

设备监听网络流量，对数据包进行分析，根据数据包类型、源IP地址、目的IP地址、源端口号、目的端口号、扩展头、流标签等信息，采用协议分析技术确定IPV6环境下的网络流量特征。

支持基于IPV6的漏洞攻击事件的特征和行为分析功能；

设备监听、分析网络流数据，发现不合理代码、恶意代码和不完整的数据包；检查网络应用和数据的一致性、正确性，对用户的非正常活动进行统计分析，发现入侵行为的特征和规律。

支持基于IPV6的报警及阻断功能；

根据用户定义，警报事件在经过系统过滤之后应该及时响应，包括实时切断连接会话、进行相应IP地址、扩展头、流标签、协议端口的阻断、发送简单网络管理协议Trap报警、数据库记录等。

支持基于IPv6的探测碎片攻击和协议确认技术，包括支持分片包缓冲处理机制、IP分片包重叠分析机制；

在协议分析中，如果出现IP碎片，数据包将首先被重装，然后详细分析以潜在的攻击行为。通过重装数据包，检测逃避IPS的攻击手段。因此，寻找非法或可疑值，检查不同层的协议域，包括未被使用的域、非法值、不常见缺省、不适当选项、不规则序列号、序列号裂口、序列号交迭、checksum和循环冗余校验修改等。

分片包缓冲处理机制：在属于同一个原始IP数据包的所有分片包到齐之前，入侵检测系统必须将所有先期到达的分片包放到一个缓冲区中。设备必须具备防止分片攻击机通过故意不发送属于同一个原始IP数据包的一个分片包或者故意发送多个分片包，造成入侵检测系统的IP分片重组模块因为消耗掉所有内存而遗漏攻击数据甚至崩溃的机制。

IP分片包重叠：在IPv4还是IPv6网络中，分片包都有一个类似于分片偏移量（fragment offset）的域来标志每个分片包在原始数据包中的偏移量，设备必须具备防止故意构造错误的分片包偏移量就能造成分片包的重叠机制。

设备必须支持分析检测隧道数据包的功能。

包括IPv6 over IPv4和IPv4 over IPv6等隧道数据包的分析检测，能检测IPv4/IPv6共存网络环境下的各种网络入侵行为。

2.2.3病毒过滤功能

1)必须支持HTTP、FTP、SMTP、POP3等应用协议的病毒过滤功能。

2)必须支持对常见木马、间谍软件和蠕虫进行查杀。

3)必须支持病毒库和杀毒引擎的实时更新升级（检查更新的周期应小于24小

时），对于最新的各种病毒、蠕虫和恶意代码具备持续更新的防护能力。 4)必须支持在线更新病毒库技术，可在不停止杀毒任务的情况下自动更新病毒

代码库。

5)必须支持通过阈值过滤的算法对不可知的病毒实现控制。

6)必须支持针对文件大小及类型的扫描设置。

7)支持针对IPv6策略的进行病毒扫描及过滤功能。

2.2.4内容过滤功能

1)必须支持基于URL进行内容过滤。

2)必须支持基于文件类型进行内容过滤。

3)必须支持针对ActiveX、Java、Cookies、Javascript、CGI、ASP等类型的

脚本程序进行过滤，并向浏览器用户报警。

4)必须支持对内容过滤相关黑白名单库的定期升级。

5)必须支持用户自定义的黑白名单网址。

6)支持针对IPv6策略的进行内容过滤功能。

2.2.5VPN功能

1)必须支持IPSec VPN，支持传输模式AH(Authentication header)、隧道模

式AH、传输模式ESP(Encapsulating security payload)、隧道模式ESP。

2)必须支持Site to Site、Remote Access等VPN组网形式。

3)必须支持预共享密钥和X.509 数字证书等认证方式来进行VPN认证。

4)必须支持通过IKE（Internet Key Exchange，因特网密钥交换）。

5)必须支持DES、3DES、AES 128、AES 192、AES 256等符合国家密码管理的

有关规定的加密算法。支持多种哈希验证算法（MD5、SHA-1等）。

6)必须支持可以基于固定IP地址建立IPSec隧道，支持通过域名建立IPSec

隧道。

7)必须支持IPSec报文透明穿越NAT网关。

8)必须支持IPSec、L2TP、PPTP三种VPN接入方式。

IPSEC VPN

为保障用户数据的安全及完整性，目前广泛使用网关到网关的IPSEC VPN。位于集团总部和分支机构用户之间的数据通讯可以透明的被安全网关封装到VPN隧道内通过公网进行传输，通过加密算法(例如3DES或AES128)

对隧道内的数据进行加密，以防止通讯数据被窃取，同时通过认证算法(例如MD5或SHA-1等)对隧道内的数据封包进行数据摘要，以防止他人篡改数据；

PPTP、L2TP VPN

对远程移动用户或企业的出差用户来说，使用Windows98/2000/XP/2003 等系统自带的PPTP/L2TP拨号软件，不需要附加额外的软件进能使客户端与防火墙设备建立VPN隧道，保障传输数据的保密及完整性，实现简单灵活的远程安全访问。

9)支持IPv6的IPsec, 包括：IPv6 in IPv6、IPv4 in IPv6、IPv6 in IPv4

模式；

6 in 6

6in6 通道技术是一种将 IPv6 封包封装到 IPv6 封包的方法，当已交换信息必须在IPv6 域中移动且需保护时将对其进行使用，以确保数据的机密性和完整性。当用户需要通过 IPv6 基础结构在 IPv6 主机与其它 IPv6 主机间建立安全通信时，应结合 6in6 通道技术来使用 IPSec 。除封装封包外，IPSec 还可执行认证和加密。

4 in 6

4in6 通道技术允许用户通过 IPv6 中枢在 IPv4 网络间建立通信。该转换机制使用IPSec 来封装通过 IPv6 中枢在 IPv4 网络间进行交换的封包。

封装使交换封包在整个 IPv6 网络空间内可路由。除封装封包外，IPSec 还可执行认证和加密。

6 in 4

通过使用认证和加密的 IPSec 通道技术，来封装安全设备在 IPv4 WAN 上的远程IPv6 孤岛网络间传送的封包。

2.2.6垃圾邮件防护功能

1)必须支持SMTP，POP3协议，可选支持IMAP协议。

2)必须支持基于主题、发件人、收件人、抄送、信件体和正文的关键字垃圾邮

件过滤。

3)支持用户自定义关键字（主题、内容、附件等）。

4)必须支持基于邮件、IP地址的黑白名单定义，通过匹配邮件和IP进行垃圾

邮件进行拦截。

5)必须支持针对SMTP高频率的攻击进行限制。

6)必须支持垃圾邮件特征库自动和手动升级。

7)必须支持邮件大小设置，如果超过这个大小将不会视为垃圾邮件扫描。

8)必须支持反向DNS查询，更有效防止垃圾邮件对邮件服务器的攻击。

9)可选支持RBL黑白名单，对于这些RBL将进行严格扫描。

2.2.7流量管理功能

1)必须支持基于端口的带宽限速。

2)必须至少支持4条Differserv QoS优先级队列，支持队列的权重分配，可

选支持WFQ等调度算法。

3)必须支持基于业务流的CAR。

4)必须支持对同一时间接入公网的用户Session总数进行限制。

5)必须支持根据协议类型设置流量优先等级，保障关键业务的带宽要求。

6)必须支持根据IP地址进行带宽控制，保障特定IP地址的带宽要求。

7)支持根据应用服务（如QQ/MSN/BT/eDonkey/Skype等应用）的控制功能。

2.3设备网络管理功能

2.3.1网管基本功能

1) 必须支持集中管理的功能，通过中心平台集中管理多台UTM，实现对多台

设备进行系统升级、配置下发、日志系统收集、系统资源信息收集等功能，升级过程支持回退功能。

2) 设备网管系统应具有良好图形用户界面、在线帮助、软件下载、自动发现新

上网的管理实体等先进功能。

3) 支持分级网管和虚拟网管，支持本地控制口以及远程配置和管理。要求支持

SNMP V1/V2协议，建议支持SNMP V3，支持标准的MIB库。

4) 支持基于RADIUS的管理员集中认证、授权和记账管理，支持基于命令行的

集中授权。

5) 具备QoS流量、故障、安全、配置等关键统计信息的本地存储功能，并以

XML的形式表达，通过FTP方式传送到指定的FTP服务器。

6) 支持带外网络管理物理接口。

7) 设备需要支持网络时间同步协议NTP，支持NTP认证和NTP客户端。

2.3.2性能管理

1) 能提供统计分析功能，包括对Ethernet接口的物理特性的统计，统计每个

端口接收帧/信元计数、可纠正帧/信元计数，帧/信元丢失率。

2) 可以针对每一项性能指标设定各种变化的门限，从性能变化的异常现象报

告中，获知网络性能的变化，进行性能分析，采取相应措施，同时应该能够对于门限的选择方式及理由进行充分的描述，具体应包括早期告警负荷监视，过负荷监测，拒绝监测，轻微过负荷门限，过负荷门限，负荷告警等。

3) 对历史统计数据的分析功能。

4) 应按照管理规程创建和维护性能统计日志。

5) 提供设备CPU、内存及硬盘分配及使用情况报告。

6) 能提供基于每个虚拟防火墙的资源分配及使用情况报告。

2.3.3安全管理

1) 设备必须提供充分的保护机制，避免受到恶意侵入或误操作所引起的破坏。

2) 应能对每个管理员单独设置登录名、口令、操作范围、权限。

3) 对传送的网管信息报文中共同体名称提供加密机制。

4) 提供安全日志与安全告警，对管理员的登录历史与操作内容进行记录，对

危害安全的操作进行告警，安全日志的管理由最高权限的管理员负责。5) 对一些重要的操作提供操作撤消功能。

2.3.4故障管理

1) 能自动实时监测本管理域内的设备状态：如正常、故障，并能直观地反

映在操作界面上（如用不同颜色的图形表示），并提供声音报警。

2) 对故障发生的时间、位置、类型、原因、恢复时间等进行统计分析并分类

处理，要求输出到文件系统或外设。

2.4系统性能要求

目前根据中国电信业务发展趋势及UTM产品功能和性能现状，将UTM设备分为高、低端两个类型。

2.4.1应用层吞吐量要求

1)设备在开启防火墙和入侵防护安全业务功能模块且攻击特征库数量不少于

200条的情况下（一条全通规则），低端产品吞吐量应不少于30Mbps，高端产品吞吐量应不少于50Mbps。

2)设备在开启防火墙和防病毒安全业务功能模块且病毒特征库数量不少于

500个的情况下（一条全通规则），低端产品吞吐量应不少于15 Mbps，高端产品吞吐量应不少于30Mbps。

3)设备在一条全通规则、开启所有安全业务功能模块情况下（病毒特征库数

量不少于500、攻击特征库数量不少于200），吞吐量应达到10-20Mbps，高端产品吞吐量应不少于20Mbps。

4)在添加多条安全规则下（10条），以上对应项目的性能下降幅度不能超过

3%。

应用层吞吐量是衡量UTM性能的一个关键指标。UTM整机应用层吞吐量包括了开启AV、IPS、FW等多个综合安全功能情况下的性能。

2.4.2UTM TCP最大并发连接数

1)在只开启防火墙模块的情况下，低端产品最大TCP并发连接数不少于10,000

条，高端产品最大TCP并发连接数不少于16,000条。

2)在所有安全业务功能模块开启后，低端设备最大TCP并发连接数不少于

8,000条，高端产品最大TCP并发连接数不少于10,000条。

并发连接数是衡量UTM性能的一个重要指标。UTM所能处理的最大会话数量，就是并发连接数， UTM设备里有并发连接表，是UTM用于存放并发连接信息的地方，它在UTM系统启动后动态分配进程的内存空间，其大小也就是UTM 所能支持的最大并发连接数。大的并发连接表可以增大UTM最大并发连接数，允许UTM支持更多的客户终端。

2.4.3UTM TCP最大连接速率

1)在只开启防火墙模块的情况下，低端设备每秒TCP连接数不少于2,000条，

高端设备每秒TCP连接数不少于4,000条。

2)在所有安全业务功能模块开启后，低端设备每秒TCP连接数不少于1,000条，

高端设备每秒TCP连接数不少于2,000条。

TCP连接速率是衡量UTM性能的一个重要指标之一。UTM最大TCP连接建立速率是指UTM设备在单位时间内所能建立的最大TCP连接数，一般以CPS (Connections per second)表示。

2.4.4VPN性能要求

IPSec VPN Tunnel数目，低端设备不少于20个, 高端设备不少于30个。3DES VPN吞吐量，低端设备不少于10 Mbps，高端设备不少于20Mbps。