数据中心安全域隔离解决方案
H3C数据中心安全解决方案
28
典型案例：江苏广电数据中心
方案部署： Internet
通过在F5000-A10高端防火墙上部署7块SecBlade
FW插卡，实现网络安全防护和流量控制 实施效果：
F5000-A10
通过部署高端FW，实现了非法访问控制、DDoS
等网络层攻击的防护，满足了大流量情况下的安全
保障
方案亮点：
绿色 资源 P2P 缓存 内容 平台 认证 DNS
高性能：单台设备提供高达70Gbps吞吐量及2100
安全事件统一收集 业务状态统一收集 设备状态统一收集
设备管理，统一配置下发 自动识别策略调整与服务器扩容
防火墙
路由器
HIDS 个人防火墙
IPS
交换机
AV 应用服务器 漏洞扫描
客户端
27
目录
数据中心安全的需求与挑战 H3C数据中心安全解决方案
H3C数据中心安全成功案例
网流分析
分区内流量统计分析 WEB APP DB
11
数据中心外联网区安全设计
核心层
双层防火墙
外层：外网访问控制 内层：分区间访问控制
汇聚层
网流分析
入侵防护
病毒、漏洞、木马等应用层 攻击综合防护
FW DMZ区
VPN网关 服务区
FW DMZ区
VPN网关 服务区
FW DMZ区
VPN网关 服务区
防拒绝服务攻击
异常流量清洗
IPS
IPS
IPS
网流分析
FW 外联区
流量清洗
FW 外联区 外联区
FW
分区内流量统计分析
流量清洗
VPN安全接入
AFC AFC
物理隔离方案
物理隔离方案引言物理隔离是指通过使用物理障碍来限制人员和设备之间的接触，以确保信息的安全性和防止潜在的安全威胁。
物理隔离方案是一种常见的安全措施，适用于各种环境和场景，包括办公室、数据中心、工厂等。
本文将介绍物理隔离的基本原则和常用方案，以及实施物理隔离方案的注意事项。
物理隔离的基本原则物理隔离的基本原则是限制接触和扩散，确保安全区域的完整性。
以下是实施物理隔离的基本原则：1.适当的空间划分：根据安全等级和需要隔离的内容，将空间划分为不同的区域。
这可以通过使用固定的墙壁、隔板或其他形式的物理障碍来实现。
2.严格的访问控制：只有经过授权的人员才能进入安全区域。
这可以通过使用门禁系统、指纹识别等技术来实现。
3.完善的监控系统：安全区域应配备视频监控系统，以实时监测区域内的活动和异常情况。
4.设备和资源的隔离：不同安全等级的设备和资源应分别放置在对应的安全区域内，以防止非授权人员接触和使用。
5.物理备份和保护：对关键数据和资源进行物理备份，并确保备份数据的安全存储。
6.定期检查和维护：定期检查物理隔离系统的运行状况，并进行必要的维护和更新。
常用的物理隔离方案1. 密闭空间隔离方案密闭空间隔离方案是一种常见的物理隔离方案，适用于一些对安全性要求非常高的场景，如军事基地、核电站等。
该方案通过在安全区域周围建造高墙和围栏，并配备安全门禁系统，限制非授权人员的进入。
同时，该方案还可以通过使用监控摄像头、安全巡逻等方式来提高安全性。
2. 网络隔离方案网络隔离方案是一种适用于数据中心和办公室等环境的物理隔离方案。
该方案通过使用虚拟局域网（VLAN）、防火墙等技术来将网络划分为多个区域，不同区域之间的数据交互受到严格的限制，确保安全区域的完整性和可控性。
3. 资源隔离方案资源隔离方案是一种适用于工厂和生产线等环境的物理隔离方案。
该方案通过使用物理隔离栅栏、机械安全锁等措施来限制人员接触危险区域，确保工人的安全。
同时，该方案还可以通过使用机器人和自动化设备，减少人工接触和操作，提高生产效率和安全性。
数据中心安全建设方案
数据中心安全解决方案1目录第一章解决方案 (2)1.1建设需求 (2)1.2建设思路 (2)1.3总体方案 (3)1.3.1 IP 准入控制系统 (5)1.3.2防泄密技术的选择 (6)1.3.3主机账号生命周期管理系统 (6)1.3.4数据库账号生命周期管理系统 (7)1.3.5令牌认证系统 (8)1.3.6数据库审计系统 (8)1.3.7数据脱敏系统 (9)1.3.8应用内嵌账号管理系统 (10)1.3.9云计算平台 (13)1.3.10防火墙 (13)1.3.11统一安全运营平台 (14)1.3.12安全运维服务 (16)1.4实施效果 (16)1.4.1针对终端接入的管理 (16)1.4.2针对敏感数据的使用管理 (17)1.4.3针对敏感数据的访问管理 (18)1.4.4针对主机设备访问的管理 (18)1.4.5针对数据库访问的管理 (19)1.4.6针对数据库的审计 (20)1.4.7针对应用内嵌账号的管理 (22)1.4.8安全运营的规范 (22)1.4.9针对管理的优化 (23)第二章项目预算及项目要求 .......................................................................错误！未定义书签。
2.1项目预算 ..........................................................................................错误！未定义书签。
2.1.1项目一期预算 .......................................................................错误！未定义书签。
2.1.2一期实现目标 .......................................................................错误！未定义书签。
网络安全安全域隔离技术
网络安全安全域隔离技术随着信息技术的飞速发展，网络安全问题日益凸显。
在网络安全领域，安全域隔离技术被广泛应用，成为保障网络安全的重要手段。
本文将从安全域隔离技术的概念、原理、应用及未来发展等方面展开论述。
一、概念及原理安全域隔离技术是指通过网络设备或软件，将网络划分为多个安全域，实现不同安全域之间的隔离，防止恶意攻击和非法访问。
其原理在于建立起一道道看不见的防火墙，将网络划分为内外两个或多个独立的区域，实现数据的安全传输和访问控制。
安全域隔离技术主要包括虚拟局域网（VLAN）、子网划分、访问控制列表（ACL）等技术手段。
VLAN可将网络划分为多个虚拟的局域网，实现数据隔离和流量控制；子网划分则是通过将同一个物理网络划分为多个逻辑上的子网，实现内网互联、外网隔离；而ACL则通过配置路由器或交换机上的访问控制列表，限制数据包的转发，实现对流量的精细控制。
二、应用安全域隔离技术在网络安全领域有着广泛的应用。
首先，在企业网络中，通过对内网划分不同的安全域，可以实现对内网用户的权限控制和访问管理，有效防范内部网络的攻击和数据泄露。
其次，在数据中心网络中，安全域隔离技术可以帮助实现不同业务系统之间的隔离，确保业务数据的安全和稳定运行。
此外，在云计算、物联网等新兴领域，安全域隔离技术也发挥着重要作用，保障用户数据的安全和隐私。
三、未来发展随着云计算、大数据、人工智能等新技术的快速发展，网络安全面临着新的挑战和机遇。
在未来，安全域隔离技术将继续发展和完善。
首先，在技术上，将会出现更加智能化和自适应的安全域隔离技术，能够更好地适应复杂多变的网络环境。
其次，在应用上，安全域隔离技术将更加广泛地应用于5G网络、工业互联网等新兴领域，保障网络安全和稳定运行。
此外，随着人工智能技术的不断发展，安全域隔离技术还将与人工智能技术相结合，实现对网络攻击的智能防护和实时监控，全面提升网络安全防护能力。
总之，安全域隔离技术作为网络安全的重要手段，将在未来发挥更加重要的作用。
数据中心信息安全解决方案
数据中心解决方案（安全)目录第一章信息安全保障系统 (2)1.1 系统概述 (2)1。
2 安全标准 (2)1。
3 系统架构 (2)1.4 系统详细设计 (3)1.4.1 计算环境安全 (3)1。
4.2 区域边界安全 (5)1。
4。
3 通信网络安全 (6)1.4。
4 管理中心安全 (7)1。
5 安全设备及系统 (9)1.5。
1 VPN加密系统 (10)1。
5.2 入侵防御系统 (10)1。
5.3 防火墙系统 (11)1。
5.4 安全审计系统 (12)1。
5.5 漏洞扫描系统 (13)1.5.6 网络防病毒系统 (15)1.5.7 PKI/CA身份认证平台 (16)1.5。
8 接入认证系统 (18)1。
5。
9 安全管理平台 (19)第一章信息安全保障系统1.1 系统概述信息安全保障系统是集计算环境安全、安全网络边界、通信网络安全以及安全管理中心于一体的基础支撑系统。
它以网络基础设施为依托，为实现各信息系统间的互联互通，整合各种资源，提供信息安全上的有力支撑.系统的体系架构如图所示：图1.信息安全保障系统体系架构图信息系统安全是保障整个系统安全运行的一整套策略、技术、机制和保障制度，它涵盖系统的许多方面，一个安全可靠的系统需要多方面因素共同作用。
1.2 安全标准在数据中心建设中，信息系统安全依据《信息系统等级保护安全设计技术要求》(GB/T 24856—2009）二级防护要求进行设计。
该标准依据国家信息安全等级保护的要求，规范了信息系统等级保护安全设计技术要求,标准适用于指导信息系统运营使用单位、信息安全企业、信息安全服务机构开展信息系统等级保护安全技术方案的设计和实施,也可作为信息安全职能部门进行监督、检查和指导的依据.信息安全等级保护是我国信息安全的基本制度、基本政策、基本方法。
已出台的一系列信息安全等级保护相关法规、政策文件、国家标准和公共安全行业标准，为信息安全等级保护工作的开展提供了法律、政策、标准依据。
5-数据中心安全管理解决方案-无代理防病毒
XXXX公司数据中心安全管理解决方案(Agentless AV)赛门铁克软件（北京）有限公司2022年4月27日目录1数据中心面临的安全问题 (3)1.1数据中心安全面临的挑战 (3)1.1.1管理复杂 (3)1.1.2技术威胁 (3)1.2客户问题描述及分析 (4)1.2.1客户背景 (4)1.2.2面临的挑战 (4)2虚拟环境Agentless防毒解决方案 (5)2.1方案概述 (5)2.1.1防护能力 (5)2.1.2防护原理 (6)2.1.3解决的主要问题 (7)2.2方案架构 (7)2.2.1方案说明 (7)2.2.2无Agent病毒防护 (8)2.2.3有Agent安全加固 (9)2.3方案优势 (9)3DCS核心技术介绍 (12)3.1无代理防病毒技术 (12)3.2沙箱技术 (12)3.3基于白名单的最小权限管理 (13)4配置清单和系统运行环境要求 (14)4.1方案配置清单 (14)4.2运行环境要求 (14)5支持和服务 (15)5.1服务水平阐述 (15)5.2安全响应中心 (15)5.3企业客户服务中心 (16)5.4企业技术支持服务体系 (16)1数据中心面临的安全问题随着技术和进步和产业的发展，软件定义的数据中心（SDDC）被应用的领域也越来越广泛，它有效降低了成本、提高了资源利用率、提升了运维效率，已经成为数据中心的发展方向。
由于大量使用了虚拟化技术，使得过去常规的安全手段已经无法有效解决日益突出的安全问题。
1.1数据中心安全面临的挑战根据IDC的报告，现有的网络与安全体系结构对虚拟数据中心的束缚主要体现在如下几个方面，是常规安全手段无法解决的。
1.1.1管理复杂随着信息技术的发展，数据中心规模越来越大。
数据中心已经成为了人们工作、生活赖以生存的重要部分。
数据中心的管理复杂度主要体现在一下几个方面：（根据用户的实际需求进行变更）1)管理集中，数据中心要通过一个运维平台来统一管理。
数据中心安全建设方案
数据中心安全建设方案数据中心安全解决方案第一章解决方案1.1 建设需求经过多年的信息化建设，XXX用户的各项业务都顺利开展，数据中心积累了大量宝贵的数据。
然而，这些无形资产面临着巨大的安全挑战。
在早期的系统建设中，用户往往不会考虑数据安全和应用安全层面的问题。
随着数据中心的不断扩大和业务的日益复杂，信息安全建设变得尤为重要。
不幸的是，由于缺乏配套建设，数据中心经常发生安全事件，如数据库表被删除、主机密码被修改、敏感数据泄露、特权账号被滥用等。
这些安全事件往往由特权用户从后台直接操作，非常隐蔽，难以查证。
因此，信息安全建设应该从系统设计初期开始介入，贯穿整个过程，以最小化人力和物力的投入。
1.2 建设思路数据中心的安全体系建设不是简单地堆砌安全产品，而是一个根据用户具体业务环境、使用惯和安全策略要求等多个方面构建的生态体系。
它涉及众多的安全技术，实施过程需要大量的调研和咨询工作，还需要协调众多安全厂家之间的产品选型。
安全系统建成后，如何维持这个生态体系的平衡，是一个复杂的系统工程。
因此，建议分期投资建设，从技术到管理逐步实现组织的战略目标。
整体设计思路是将需要保护的核心业务主机包及数据库围起来，与其他网络区域进行逻辑隔离，封闭一切不应该暴露的端口和IP，形成数据孤岛，设置固定的数据访问入口，对入口进行严格的访问控制和审计。
由之前的被动安全变为主动防御，控制安全事故的发生。
对接入系统的人员进行有效的认证、授权和审计，让敏感操作变得更加透明，有效防止安全事件的发生。
在访问入口部署防火墙、账号生命周期管理系统、数据加密系统、令牌认证系统和审计系统等安全设施，对所有外界向核心区域主机发起的访问进行控制、授权和审计。
对流出核心区域的批量敏感数据进行加密处理，所有加密的数据将被有效地包围在安全域之内，并跟踪数据产生、扭转、销毁的整个生命周期，杜绝敏感数据外泄及滥用行为。
为了保障XXX用户的业务连续性，我们在网络中部署了各种安全子系统。
物理隔离专项方案
物理隔离专项方案1. 简介物理隔离是一种保护计算机网络和信息系统安全的重要措施。
通过将网络设备、主机和数据中心进行物理隔离，可以有效地防止非授权人员的入侵和攻击。
本文档旨在提供一个物理隔离专项方案，以帮助组织加强信息系统的安全性。
2. 背景随着网络攻击的日益增多，保护信息系统的重要性也越来越突出。
尽管网络防火墙、入侵检测系统等技术措施在一定程度上可以提高系统的安全性，但物理隔离作为辅助手段仍然是不可或缺的。
3. 目标本方案的目标是实现以下几个方面的保护：•防止未经授权的访问和入侵。
•阻止外部网络攻击对内部系统的影响。
•保护关键设备和数据免受物理损害。
4. 方案4.1 数据中心物理隔离在数据中心内，应采取以下物理隔离措施：•对数据中心进行门禁控制，只允许授权人员进入。
•安装监控摄像头，及时发现并记录异常行为。
•对机房建立专门的安全区域，设置门禁系统等措施保护关键设备。
•隔离主机和网络设备，防止攻击波及其他设备。
4.2 网络物理隔离在网络层面上，应采取以下物理隔离措施：•使用虚拟局域网（VLAN）技术，将网络划分为不同的安全区域。
•配置网络防火墙，设置严格的访问控制策略。
•使用隔离网络设备，如隔离交换机和路由器，将不同的安全区域隔离开来。
4.3 主机物理隔离在主机层面上，应采取以下物理隔离措施：•将关键服务器放置在安全区域内，限制物理访问。
•对主机进行加密，保护数据的机密性和完整性。
•定期对关键主机进行访问控制的审计，及时发现并阻止异常行为。
4.4 应急措施为了应对可能的物理安全事件，应采取以下应急措施：•建立应急响应团队，负责处理物理安全事件。
•制定详细的应急预案，并定期进行演练。
•存储重要数据的备份，以防止物理损坏。
5. 注意事项在实施物理隔离方案时，需要注意以下几个方面：•确保所使用的设备和技术的可靠性和合规性。
•定期进行安全性评估，识别潜在的风险和问题。
•提供员工培训，加强他们对物理安全的意识。
数据中心解决方案
数据中心解决方案前言数据中心（Data Center，DC）是数据大集中而形成的集成IT应用环境，是各种IT应用业务的提供中心，是数据计算、网络传输、存储的中心。
数据中心实现了IT 基础设施、业务应用、数据的统一、安全策略的统一部署与运维管理。
数据中心是当前运营商和各行业的IT建设重点。
运营商、大型企业、金融证券、政府、能源、电力、交通、教育、制造业、网站和电子商务公司等正在进行或已完成数据中心建设，通过数据中心的建设，实现对IT信息系统的整合和集中管理，提升内部的运营和管理效率以及对外的服务水平，同时降低IT建设的TCO。
纵览数据中心的发展史，数据中心的建设主要分为四个层面。
数据中心基础网络整合：根据业务需求，基于开放标准的IP协议，完成对企业现有异构业务系统、网络资源和IT资源的整合，解决如何建设数据中心的问题。
数据中心基础网络的设计以功能分区、网络分层和服务器分级为原则和特点。
通过多种高可用技术和良好网络设计，实现数据中心可靠运行，保证业务的永续性；数据中心应用智能：基于TCP/IP的开放架构，保证各种新业务和应用在数据中心的基础体系架构上平滑部署和升级，满足用户的多变需求，保证数据中心的持续服务和业务连续性。
各种应用的安全、优化与集成可以无缝的部署在数据中心之上。
数据中心虚拟化：传统的应用孤岛式的数据中心模型扩展性差，核心资源的分配与业务应用发展出现不匹配，使得资源利用不均匀，导致运行成本提高、现有投资无法达到最优化的利用、新业务部署难度增大、现有业务持续性得不到保证、安全面临威胁。
虚拟化通过构建共享的资源池，实现对网络资源、计算计算和存储资源的几种管理、规划和控制，简化管理维护、提高设备资源利用率、优化业务流程部署、降低维护成本。
数据中心资源智能：通过智能化管理平台实现对资源的智能化管理，资源智能分配调度，构建高度智能、自动化数据中心。
1 数据中心基础网络整合1.1 数据中心基础网络设计随着业务的快速发展，企业（泛指运营商、企业和行业用户）的业务应用和数据正在从分散部署走向大集中，作为业务承载体的IT设施的部署模型随之发生翻天覆地的变化，互联互通已经不能满足流程整合后的业务持续发展的需求。
数据中心的网络隔离与安全策略
数据中心的网络隔离与安全策略随着大数据时代的到来，数据中心的重要性不断凸显。
在日常运营中，数据中心存储着众多敏感信息，并且承担着关键业务的处理。
因此，网络隔离与安全策略成为了保护数据中心不受威胁的重要措施。
本文将就数据中心的网络隔离与安全策略进行探讨。
一、网络隔离的重要性网络隔离是指在数据中心中将不同的网络流量分隔开来，以确保不同业务之间的互不干扰，并防止恶意流量传播。
网络隔离的重要性体现在以下几个方面：1. 保护敏感数据：数据中心通常承载着大量敏感信息，例如个人身份信息、财务数据等。
通过网络隔离，可以将存储和处理敏感数据的网络与其他网络隔离开来，最大程度地减少数据泄露的风险。
2. 防止攻击扩散：在大型数据中心中，可能存在多个业务系统同时运行。
一旦一个业务系统受到攻击，如果没有网络隔离的措施，攻击很容易扩散到其他系统，导致整个数据中心瘫痪。
通过网络隔离，可以限制攻击的范围，最大限度地保护其他系统的安全。
3. 提高网络性能：在一个网络中，各个业务系统之间的通信可能频繁而复杂。
通过网络隔离，可以减少网络拥塞的风险，提高网络性能和吞吐量。
二、网络隔离的实施策略在数据中心中，可以采用多种策略来实施网络隔离。
下面介绍几种常见的策略：1. VLAN（Virtual Local Area Network）划分：通过在交换机上配置不同的VLAN，可以将不同的业务系统划分到不同的虚拟局域网中，从而实现网络隔离。
不同的VLAN之间可以通过路由器进行通信，同时利用访问控制列表（ACL）来限制不同VLAN之间的流量。
2. 子网划分：利用子网划分技术，可以将数据中心中的网络划分为多个子网。
每个子网可以代表一个业务系统或一个安全域，通过防火墙对不同的子网进行访问控制，实现网络隔离。
3. 安全分区：将数据中心划分为多个安全区域（Security Zone），每个安全区域内的网络彼此隔离。
安全区域之间的互联可以通过防火墙进行管控，以确保只有经过授权的流量可以通过。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
数据中心安全域隔离解决方案
数据中心安全建设的基本原则：按照不同安全等级进行区域划分，进
行层次化、有重点的保护，通过传统防火墙分级分域的进行有针对性的访
问控制、安全防护。
数据中心安全域隔离存在的问题
防火墙基于五元组部署访问控制策略，但仍在上线部署、业务新增和日常管理中存在策略管理复杂可视性差的问题：
传统防火墙仍面临新的安全挑战
70%的攻击来自应用层，防火墙防护存在短板
APT、0day、欺诈等威胁出现，使边界防御失陷
深信服数据中心安全域隔离解决方案
本方案采用技术上先进的下一代防
火墙作为数据中心安全域隔离的主要载
体。
既可以解决传统安全域隔离可视性
和管理便利性上的问题，同时还能够通
过开启应用层防护的模块和失陷主机检
测的模块加固数据中心的安全。
有效的弥补数据中心存在的安全短板，提升数据
中心安全防护与检测的能力。
数据中心安全域设计建议
将数据中心以不同安全级别及功能需求划分为四大安全区域:接入区、办公区、业务区、运维管理区。
对数据中心网络及应用系统实施网络分级分区防护，有效地增加了重要应用系统的安全防护纵深，使得外部的侵入需要穿过多层防护机制，不仅增加恶意攻击的难度，还为主动防御提供了时间上的保证。
接入区:安全等级中，包含三个子区，互联网接入区、分支机构接入区和第三方接入区；
办公区:安全等级低，包含两个子区，内网办公区和无线办公区；
业务区:安全等级高，包含三个子区，对外业务区、核心业务区、内部应用区。
方案特点
精细到应用的访问控制粒度
不仅具备五元组访问控制策略，还可以通过
结合应用识别与用户识别技术制定的L3-L7一体
化应用控制策略,提高了策略控制的准确度，提
升数据中心管理的效率。
如访问数据中心的常见应用OA、ERP、Web、
邮箱等；或外部运维人员访问数据库等场景，通过应用层访问控制策略，解决传统ACL的无法对端口逃逸、端口跳跃等（如使用Oracle建立连接1521，连接后为随机端口）技术的应用进行控制的问题。
向导式可视化的策略管理
上线部署：简单易懂的IT向
导配置，无需管理员掌握复杂的安
全知识，也可以完成策略的快速部
署上线，轻松掌握对数据中心安全
策略的部署。
新增业务：数据中心新增业务
时，能主动发现新增资产，防止安全策略疏漏。
管理员无需手动查找新增资产，只需要对新增资产进行一
键策略的关联部署就可以快速添加策略。
策略管理：可视化的策略管理，提升了
访问控制策略管理的可视性，使管理员可以
更容易的看清楚策略部署的情况；同时提供
策略命中数量，便于管理员清除无效策略。
支持更强防护和检测能力的扩展
L2-7层防护功能扩展：本方案采用深信
服下一代防火墙，可以通过开启多种防护模块对数据中心应用层防护进行安全加固。
既实现了数据中心L2-7层完整的安全防御体系的建设，满足高性能、高可靠要求，同时解决了数据中心部署多台安全设备带来的
单点故障、性能消耗、难以管理的问题。
双向检测能力扩展：本方案还可以开启失陷主机检测的模块，通过双向的行为检测技术，对数据中心
服务器以及终端的外发流量进行多个维度的安全检测，可帮助管理员及时发现数据中心的失陷主机，防止
由于边界被突破带来的安全风险。
数据中心用户案例
国土资源部：在数据中心服务器区和内网办公区前端分别部署了深信服下一代防火墙。
替换原有的UTM、防病毒网关、IPS、IDS等传统网络安全设备，简化了组网拓扑，便于维护网络的稳定性。
开启应用层防护功能，能实时检测数据中心否存在安全风险，为国土资源部的网络提供强有力的安全保障。
招商局集团:2012年建成一个模块化设计架构的IDC数据中心。
安全方面，在数据中心DMZ区、业务数据区等多个区域部署了数十台万兆下一代防火墙NGAF。
不仅仅进行了安全域划分，并为各业务系统提
供了L2-7层完整的安全防护。
在可靠性保障方面，通过单次解析架构、多核并行处理技术实现了万兆级别的应用层处理性能，有效保障数据中心高可靠的要求。