防火墻等保技術(shù)要求和測(cè)試評(píng)價(jià)方法

1、信息安全技術(shù)防火墻等保技術(shù)要求和測(cè)試評(píng)價(jià)方法Information security technology-Technique requirements and testing and evaluation approaches for firewall products目次前言I范圍1規(guī)范性引用文件1術(shù)語(yǔ)和定義1符號(hào)和縮略語(yǔ)2技術(shù)要求3總體說明3技術(shù)要求分類3安全等級(jí)3功能要求3一級(jí)產(chǎn)品功能要求3二級(jí)產(chǎn)品功能要求5三級(jí)產(chǎn)品功能要求7性能要求9吞吐量9延遲9最大并發(fā)連接數(shù)10最大連接速率10安全要求10一級(jí)產(chǎn)品安全要求10二級(jí)產(chǎn)品安全要求11三級(jí)產(chǎn)品安全要求11保證要求125.5.1 說明12

2、一級(jí)產(chǎn)品保證要求12二級(jí)產(chǎn)品保證要求13三級(jí)產(chǎn)品保證要求15測(cè)評(píng)方法17總體說明17功能測(cè)試18測(cè)試環(huán)境與工具18包過濾18狀態(tài)檢測(cè)19深度包檢測(cè)19應(yīng)用代理19NAT19IP/MAC 地址綁定20動(dòng)態(tài)開放端口20策略路由20流量統(tǒng)計(jì)20帶寬管理21雙機(jī)熱備21負(fù)載均衡21VPN21協(xié)同聯(lián)動(dòng)21安全審計(jì)226.2.17 管理22性能測(cè)試23測(cè)試環(huán)境與工具23吞吐量236.3.3 延遲23最大并發(fā)連接數(shù)24最大連接速率24安全性測(cè)試24測(cè)試環(huán)境與工具24抗?jié)B透24惡意代碼防御24支撐系統(tǒng)25非正常關(guān)機(jī)25保證要求測(cè)試25配置管理25交付與運(yùn)行25安全功能開發(fā)過程25指導(dǎo)性文檔25生命周期支持26

3、6.5.6 測(cè)試266.5.7 脆弱性評(píng)定26附錄 A（資料性附錄）防火墻介紹27概述27工作模式27路由模式27透明模式27工作環(huán)境27信息安全技術(shù)防火墻技術(shù)要求和測(cè)試評(píng)價(jià)方法范圍本標(biāo)準(zhǔn)規(guī)定了采用“傳輸控制協(xié)議/網(wǎng)際協(xié)議（TCP/IP）”的防火墻類信息安全產(chǎn)品的技術(shù)要求和測(cè)試評(píng)價(jià)方法。本標(biāo)準(zhǔn)適用于采用“傳輸控制協(xié)議/網(wǎng)際協(xié)議（TCP/IP）”的防火墻類信息安全產(chǎn)品的研制、生產(chǎn)、測(cè)試和評(píng)估。規(guī)范性引用文件下列文件中的有關(guān)條款通過引用而成為本標(biāo)準(zhǔn)的條款。凡注日期或版次的引用文件，其后的任何修改單（不包括勘誤的內(nèi)容）或修訂版本都不適用于本標(biāo)準(zhǔn)，但提倡使用本標(biāo)準(zhǔn)的各方探討使用其最新版本的可能性。凡不

4、注日期或版次的引用文件，其最新版本適用于本標(biāo)準(zhǔn)。GB/T 5271.8信息技術(shù)詞匯第8 部分：安全（ GB/T 5271.8-2001,idt ISO/IEC 2382-8:1998）GB 17859計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則GB/T 18336.3信息技術(shù)安全技術(shù)信息技術(shù)安全性評(píng)估準(zhǔn)則第3部分：安全保證要求（GB/T 18336.3-2001,idt ISO/IEC 15408-3:1999）術(shù)語(yǔ)和定義GB/T 9387.2、GB/T 18336和GB 17859確立的以及下列術(shù)語(yǔ)和定義適用于本標(biāo)準(zhǔn)。防火墻 firewall一個(gè)或一組在不同安全策略的網(wǎng)絡(luò)或安全域之間實(shí)施訪問控制的系統(tǒng)

5、。3.2內(nèi)部網(wǎng)絡(luò) internal network通過防火墻隔離的可信任區(qū)域或保護(hù)區(qū)域，通常是指單位內(nèi)部的局域網(wǎng)。3.3外部網(wǎng)絡(luò) external network通過防火墻隔離的不可信任區(qū)域或非保護(hù)區(qū)域。3.4非軍事區(qū) Demilitarized Zone一個(gè)網(wǎng)絡(luò)對(duì)外提供網(wǎng)絡(luò)服務(wù)的部分，受防火墻保護(hù)，通過防火墻與內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)隔離，執(zhí)行與內(nèi)部網(wǎng)絡(luò)不同的安全策略，也有的稱為安全服務(wù)網(wǎng)絡(luò)（Secure Service Network）。3.5安全策略 security policy有關(guān)管理、保護(hù)和發(fā)布敏感信息的法律、規(guī)定和實(shí)施細(xì)則。3.6授權(quán)管理員 authorized administrat

6、or具有防火墻管理權(quán)限的用戶，負(fù)責(zé)對(duì)防火墻的系統(tǒng)配置、安全策略、審計(jì)日志等進(jìn)行管理。3.7可信主機(jī) trusted host賦予權(quán)限能夠管理防火墻的主機(jī)。3.8主機(jī) host一臺(tái)與防火墻相互作用的機(jī)器，它在防火墻安全策略的控制下進(jìn)行通信。3.9用戶 user一個(gè)在防火墻安全策略的控制下，通過防火墻訪問防火墻的某一個(gè)區(qū)域的人，此人不具有能影響防火墻安全策略執(zhí)行的權(quán)限。3.10吞吐量 throughput防火墻在不丟包情況下轉(zhuǎn)發(fā)數(shù)據(jù)的能力，一般以所能達(dá)到線速的百分比（或稱通過速率）來表示。3.11延遲 delay數(shù)據(jù)幀的最后一個(gè)位的末尾到達(dá)防火墻內(nèi)部網(wǎng)絡(luò)輸入端口至數(shù)據(jù)幀的第一個(gè)位的首部到達(dá)防火墻外

7、部網(wǎng)絡(luò)輸出端口之間的時(shí)間間隔。3.12最大并發(fā)連接數(shù) maximum concurrent TCP connection capacity防火墻所能保持的最大TCP并發(fā)連接數(shù)量。3.13最大連接速率 maximum TCP connection establishment rate防火墻在單位時(shí)間內(nèi)所能建立的最大TCP連接數(shù)，一般是每秒的連接數(shù)。符號(hào)和縮略語(yǔ)DMZ非軍事區(qū)Demilitarized ZoneDNAT目的網(wǎng)絡(luò)地址轉(zhuǎn)換Destination NATDNS域名系統(tǒng)Domain Name SystemFTP文件傳輸協(xié)議File Transfer ProtocolHTTP超文本傳輸協(xié)議H

8、ypertext Transfer ProtocolICMP網(wǎng)間控制報(bào)文協(xié)議Internet Control Messages ProtocolIDS入侵檢測(cè)系統(tǒng)Intrusion Detection SystemIP網(wǎng)際協(xié)議Internet ProtocolNAT網(wǎng)絡(luò)地址轉(zhuǎn)換Network Address TranslationPOP3郵局協(xié)議3Post Office Protocol 3PBR策略路由Policy-based RoutingSMTP簡(jiǎn)單郵件傳送協(xié)議Simple Mail Transfer ProtocolSNAT源網(wǎng)絡(luò)地址轉(zhuǎn)換Source IP NATSSN安全服務(wù)網(wǎng)絡(luò)Se

9、cure Service NetworkSTP生成樹協(xié)議Spanning Tree ProtocolTCP傳輸控制協(xié)議Transport Control ProtocolUDP用戶數(shù)據(jù)報(bào)協(xié)議User Datagram ProtocolURL統(tǒng)一資源定位器Uniform Resource LocatorUSB通用串行總線Universal Serial BusVLAN虛擬局域網(wǎng)Virtual Local Area NetworkVPN虛擬專用網(wǎng)Virtual Private NetworkVRRP虛擬路由器冗余協(xié)議Virtual Router Redundancy Protocol技術(shù)要求總體說

10、明技術(shù)要求分類本標(biāo)準(zhǔn)將防火墻通用技術(shù)要求分為功能、性能、安全和保證要求四個(gè)大類。其中，功能要求是對(duì)防火墻產(chǎn)品應(yīng)具備的安全功能提出具體的要求，包括包過濾、應(yīng)用代理、內(nèi)容過濾、安全審計(jì)和安全管理等；性能要求對(duì)防火墻產(chǎn)品應(yīng)達(dá)到的性能指標(biāo)作出規(guī)定，例如吞吐量、延遲、最大并發(fā)連接數(shù)和最大連接速率；安全要求是對(duì)防火墻自身安全和防護(hù)能力提出具體的要求，例如抵御各種網(wǎng)絡(luò)攻擊；保證要求則針對(duì)防火墻開發(fā)者和防火墻自身提出具體的要求，例如管理配置、交付與操作、指南文件等。安全等級(jí)本標(biāo)準(zhǔn)依據(jù)GB 17859和GB/T 18336.3，并根據(jù)國(guó)內(nèi)測(cè)評(píng)認(rèn)證機(jī)構(gòu)、測(cè)評(píng)技術(shù)和我國(guó)防火墻產(chǎn)品開發(fā)現(xiàn)狀，對(duì)防火墻產(chǎn)品進(jìn)行安全等級(jí)劃

11、分。安全等級(jí)分為一級(jí)、二級(jí)、三級(jí)三個(gè)逐級(jí)提高的級(jí)別，功能強(qiáng)弱、安全強(qiáng)度和保證要求高低是等級(jí)劃分的具體依據(jù)。安全等級(jí)突出安全特性，性能高低不作為等級(jí)劃分依據(jù)。功能要求一級(jí)產(chǎn)品功能要求功能要求列表一級(jí)產(chǎn)品的功能要求由表1所列項(xiàng)目組成。表1 一級(jí)產(chǎn)品功能要求細(xì)目功能分類功能項(xiàng)目要求包過濾支持默認(rèn)禁止原則。支持基于IP地址的訪問控制。支持基于端口的訪問控制。支持基于協(xié)議類型的訪問控制。應(yīng)用代理支持應(yīng)用層協(xié)議代理。NAT支持雙向NAT。流量統(tǒng)計(jì)支持根據(jù)IP地址、協(xié)議、時(shí)間等參數(shù)對(duì)流量進(jìn)行統(tǒng)計(jì)。支持統(tǒng)計(jì)結(jié)果的報(bào)表形式輸出。安全審計(jì)支持記錄來自外部網(wǎng)絡(luò)的被安全策略允許的訪問請(qǐng)求。支持記錄來自內(nèi)部網(wǎng)絡(luò)和DMZ

12、的被安全策略允許的訪問請(qǐng)求。支持記錄任何試圖穿越或到達(dá)防火墻的違反安全策略的訪問請(qǐng)求。支持記錄防火墻管理行為。審計(jì)記錄內(nèi)容。支持日志的訪問授權(quán)。支持日志的管理。提供日志管理工具。管理支持對(duì)授權(quán)管理員的口令鑒別方式。支持對(duì)授權(quán)管理員、可信主機(jī)、主機(jī)和用戶進(jìn)行身份鑒別。支持本地和遠(yuǎn)程管理。支持設(shè)置和修改安全管理相關(guān)的數(shù)據(jù)參數(shù)。支持設(shè)置、查詢和修改安全策略。支持管理審計(jì)日志。包過濾防火墻應(yīng)具備包過濾功能，具體技術(shù)要求如下：防火墻的安全策略應(yīng)使用最小安全原則，即除非明確允許，否則就禁止；防火墻的安全策略應(yīng)包含基于源IP地址、目的IP地址的訪問控制； c） 防火墻的安全策略應(yīng)包含基于源端口、目的端口的訪

13、問控制； d） 防火墻的安全策略應(yīng)包含基于協(xié)議類型的訪問控制。應(yīng)用代理應(yīng)用代理型和復(fù)合型防火墻應(yīng)具備應(yīng)用代理功能，且應(yīng)至少支持HTTP、FTP、TELNET、POP3 和SMTP等協(xié)議的應(yīng)用代理。NAT包過濾型和復(fù)合型防火墻應(yīng)具備NAT功能，具體技術(shù)要求如下：防火墻應(yīng)支持雙向NAT：SNAT和DNAT；SNAT應(yīng)至少可實(shí)現(xiàn)“多對(duì)一”地址轉(zhuǎn)換，使得內(nèi)部網(wǎng)絡(luò)主機(jī)正常訪問外部網(wǎng)絡(luò)時(shí)，其源IP地址被轉(zhuǎn)換；DNAT應(yīng)至少可實(shí)現(xiàn)“一對(duì)多”地址轉(zhuǎn)換，將DMZ的IP地址映射為外部網(wǎng)絡(luò)合法IP地址，使外部網(wǎng)絡(luò)主機(jī)通過訪問映射地址實(shí)現(xiàn)對(duì)DMZ服務(wù)器的訪問。流量統(tǒng)計(jì)防火墻應(yīng)具備流量統(tǒng)計(jì)功能，具體技術(shù)要求如下：防火墻

14、應(yīng)能夠通過IP地址、網(wǎng)絡(luò)服務(wù)、時(shí)間和協(xié)議類型等參數(shù)或它們的組合進(jìn)行流量統(tǒng)計(jì)；防火墻應(yīng)能夠?qū)崟r(shí)或者以報(bào)表形式輸出流量統(tǒng)計(jì)結(jié)果。安全審計(jì)防火墻應(yīng)具備安全審計(jì)功能，具體技術(shù)要求如下：記錄事件類型被防火墻策略允許的從外部網(wǎng)絡(luò)訪問內(nèi)部網(wǎng)絡(luò)、DMZ和防火墻自身的訪問請(qǐng)求；被防火墻策略允許的從內(nèi)部網(wǎng)絡(luò)和DMZ訪問外部網(wǎng)絡(luò)服務(wù)的訪問請(qǐng)求；從內(nèi)部網(wǎng)絡(luò)、外部網(wǎng)絡(luò)和DMZ發(fā)起的試圖穿越或到達(dá)防火墻的違反安全策略的訪問請(qǐng)求；試圖登錄防火墻管理端口和管理身份鑒別請(qǐng)求。b） 日志內(nèi)容數(shù)據(jù)包發(fā)生的時(shí)間，日期必須包括年、月、日，時(shí)間必須包括時(shí)、分、秒；數(shù)據(jù)包的協(xié)議類型、源地址、目標(biāo)地址、源端口和目標(biāo)端口等。日志管理防火墻應(yīng)只

15、允許授權(quán)管理員訪問日志；防火墻管理員應(yīng)支持對(duì)日志存檔、刪除和清空的權(quán)限；防火墻應(yīng)提供能查閱日志的工具，并且只允許授權(quán)管理員使用查閱工具；防火墻應(yīng)提供對(duì)審計(jì)事件一定的檢索和排序的能力，包括對(duì)審計(jì)事件以時(shí)間、日期、主體ID、客體ID等排序的功能。管理防火墻應(yīng)具備管理功能，具體技術(shù)要求如下：管理安全支持對(duì)授權(quán)管理員的口令鑒別方式，且口令設(shè)置滿足安全要求；防火墻應(yīng)在所有授權(quán)管理員、可信主機(jī)、主機(jī)和用戶請(qǐng)求執(zhí)行任何操作之前，對(duì)每個(gè)授權(quán)管理員、可信主機(jī)、主機(jī)和用戶進(jìn)行唯一的身份識(shí)別。管理方式防火墻應(yīng)支持通過console端口進(jìn)行本地管理；防火墻應(yīng)支持通過網(wǎng)絡(luò)接口進(jìn)行遠(yuǎn)程管理。管理能力防火墻向授權(quán)管理員提供

16、設(shè)置和修改安全管理相關(guān)的數(shù)據(jù)參數(shù)的功能；防火墻向授權(quán)管理員提供設(shè)置、查詢和修改各種安全策略的功能；防火墻向授權(quán)管理員提供管理審計(jì)日志的功能。5.2.2二級(jí)產(chǎn)品功能要求功能要求列表二級(jí)產(chǎn)品除需滿足一級(jí)產(chǎn)品的功能要求外，還需具有如表2所示的功能要求。表2 二級(jí)產(chǎn)品功能要求細(xì)目功能分類功能項(xiàng)目要求包過濾支持基于MAC地址的訪問控制。支持基于時(shí)間的訪問控制。支持基于用戶自定義安全策略的訪問控制。狀態(tài)檢測(cè)支持基于狀態(tài)檢測(cè)技術(shù)的訪問控制。深度包檢測(cè)支持基于URL的訪問控制。支持基于電子郵件信頭的訪問控制。應(yīng)用代理支持應(yīng)用層協(xié)議代理。NAT支持動(dòng)態(tài)NAT。IP/MAC地址綁定支持IP/MAC地址綁定。支持檢

17、測(cè)IP地址盜用。動(dòng)態(tài)開放端口支持FTP的動(dòng)態(tài)端口開放。策略路由支持根據(jù)數(shù)據(jù)包信息來設(shè)置路由策略。支持設(shè)置多個(gè)路由表。帶寬管理支持客戶端占用帶寬大小限制。雙機(jī)熱備支持物理設(shè)備狀態(tài)檢測(cè)。支持VRRP和STP協(xié)議。負(fù)載均衡支持將網(wǎng)絡(luò)負(fù)載均衡到多臺(tái)服務(wù)器。安全審計(jì)支持記錄對(duì)防火墻系統(tǒng)自身的操作。支持記錄在防火墻管理端口上的認(rèn)證請(qǐng)求。支持對(duì)日志事件和防火墻所采取的相應(yīng)措施的描述。支持日志記錄存儲(chǔ)和備份的安全。支持日志管理工具管理日志。支持日志的統(tǒng)計(jì)分析和報(bào)表生成。支持日志的集中管理。管理支持智能卡、USB鑰匙等身份鑒別信息載體。支持鑒別失敗處理。支持授權(quán)管理員、可信主機(jī)、主機(jī)和用戶的唯一安全屬性。支持遠(yuǎn)

18、程管理安全。支持防火墻狀態(tài)和網(wǎng)絡(luò)數(shù)據(jù)流狀態(tài)監(jiān)控。包過濾防火墻應(yīng)具備包過濾功能，具體技術(shù)要求如下：防火墻的安全策略可包含基于MAC地址的訪問控制；防火墻的安全策略可包含基于時(shí)間的訪問控制；防火墻應(yīng)支持用戶自定義的安全策略，安全策略可以是MAC地址、IP地址、端口、協(xié)議類型和時(shí)間的部分或全部組合。狀態(tài)檢測(cè)防火墻應(yīng)具備狀態(tài)檢測(cè)功能。深度包檢測(cè)防火墻應(yīng)具備深度包檢測(cè)功能，具體技術(shù)要求如下：防火墻的安全策略應(yīng)包含基于URL的訪問控制；防火墻的安全策略應(yīng)包含基于電子郵件中的Subject、To、From域等進(jìn)行的訪問控制。應(yīng)用代理應(yīng)用代理型和復(fù)合型防火墻應(yīng)具備DNS協(xié)議的應(yīng)用代理。NAT包過濾型和復(fù)合型防

19、火墻應(yīng)具備NAT功能，具體技術(shù)要求如下：防火墻應(yīng)支持動(dòng)態(tài)SNAT技術(shù)，實(shí)現(xiàn)“多對(duì)多”的SNAT；防火墻應(yīng)支持動(dòng)態(tài)DNAT技術(shù)，實(shí)現(xiàn)“多對(duì)多”的DNAT。IP/MAC 地址綁定防火墻應(yīng)具備IP/MAC地址綁定功能，具體技術(shù)要求如下：防火墻應(yīng)支持自動(dòng)或管理員手工綁定IP/MAC地址；防火墻應(yīng)能夠檢測(cè)IP地址盜用，攔截盜用IP地址的主機(jī)經(jīng)過防火墻的各種訪問。動(dòng)態(tài)開放端口防火墻應(yīng)具備動(dòng)態(tài)開放端口功能，支持主動(dòng)模式和被動(dòng)模式的FTP。策略路由具有多個(gè)相同屬性網(wǎng)絡(luò)接口（多個(gè)外部網(wǎng)絡(luò)接口、多個(gè)內(nèi)部網(wǎng)絡(luò)接口或多個(gè) DMZ網(wǎng)絡(luò)接口）的防火墻應(yīng)具備策略路由功能，具體技術(shù)要求如下：防火墻應(yīng)能夠根據(jù)數(shù)據(jù)包源目的地址、

20、進(jìn)入接口、傳輸層接口或數(shù)據(jù)包負(fù)載內(nèi)容等參數(shù)來設(shè)置路由策略；防火墻應(yīng)能夠設(shè)置多個(gè)路由表，且每個(gè)路由表能包含多條路由信息。帶寬管理防火墻應(yīng)具備帶寬管理功能，能夠根據(jù)安全策略中管理員設(shè)定的大小限制客戶端占用的帶寬。雙機(jī)熱備防火墻應(yīng)具備雙機(jī)熱備功能，具體技術(shù)要求如下：防火墻應(yīng)支持物理設(shè)備狀態(tài)檢測(cè)。當(dāng)主防火墻自身出現(xiàn)斷電或其他故障時(shí)，備防火墻應(yīng)及時(shí)發(fā)現(xiàn)并接管主防火墻進(jìn)行工作；在路由模式下，防火墻可支持VRRP協(xié)議；在透明模式下，防火墻可支持STP協(xié)議。負(fù)載均衡防火墻應(yīng)具備負(fù)載均衡功能，能夠根據(jù)安全策略將網(wǎng)絡(luò)流量均衡到多臺(tái)服務(wù)器上。安全審計(jì)防火墻應(yīng)具備安全審計(jì)功能，具體技術(shù)要求如下：記錄事件類型每次重新啟

21、動(dòng)，包括防火墻系統(tǒng)自身的啟動(dòng)和安全策略重新啟動(dòng)；所有對(duì)防火墻系統(tǒng)時(shí)鐘的手動(dòng)修改操作。日志內(nèi)容指明在管理端口上的認(rèn)證請(qǐng)求是成功還是失敗，若認(rèn)證請(qǐng)求失敗必須記錄失敗的原因；對(duì)日志事件和防火墻采取的相應(yīng)措施進(jìn)行詳細(xì)的描述。日志管理防火墻應(yīng)支持把日志存儲(chǔ)和備份在一個(gè)安全、永久性的地方；防火墻應(yīng)支持只能使用日志管理工具管理日志；防火墻應(yīng)支持對(duì)日志的統(tǒng)計(jì)分析和生成報(bào)表的功能；日志應(yīng)該可以發(fā)送到日志服務(wù)器上集中管理。管理防火墻應(yīng)具備安全管理功能，具體技術(shù)要求如下：應(yīng)支持智能卡、USB鑰匙等身份鑒別信息載體；身份鑒別在經(jīng)過一個(gè)可設(shè)定的鑒別失敗最大次數(shù)后，防火墻應(yīng)終止可信主機(jī)或用戶建立會(huì)話的過程；防火墻應(yīng)為每一

22、個(gè)規(guī)定的授權(quán)管理員、可信主機(jī)、主機(jī)和用戶提供一套唯一的為執(zhí)行安全策略所必需的安全屬性；遠(yuǎn)程管理過程中，管理端與防火墻之間的所有通訊應(yīng)加密確保安全；防火墻向授權(quán)管理員提供監(jiān)控防火墻狀態(tài)和網(wǎng)絡(luò)數(shù)據(jù)流狀態(tài)的功能。5.2.3三級(jí)產(chǎn)品功能要求功能要求列表三級(jí)產(chǎn)品除需滿足一、二級(jí)產(chǎn)品的功能要求外，還需具有如表3所示的功能要求。表3 三級(jí)產(chǎn)品功能要求細(xì)目功能分類功能項(xiàng)目要求深度包檢測(cè)支持基于文件類型的訪問控制。支持基于用戶的訪問控制。支持基于關(guān)鍵字的訪問控制。應(yīng)用代理支持透明應(yīng)用代理。動(dòng)態(tài)開放端口支持以H.323協(xié)議建立視頻會(huì)議。支持SQL*NET數(shù)據(jù)庫(kù)協(xié)議。支持VLAN。帶寬管理支持動(dòng)態(tài)客戶端帶寬管理。雙

23、機(jī)熱備支持鏈路狀態(tài)檢測(cè)的雙機(jī)熱備。負(fù)載均衡支持集群工作模式的負(fù)載均衡。VPN支持IPSec協(xié)議。支持建立“防火墻至防火墻”和“防火墻至客戶機(jī)”兩種形式的VPN。支持VPN認(rèn)證。加密算法和驗(yàn)證算法符合國(guó)家密碼管理的有關(guān)規(guī)定。協(xié)同聯(lián)動(dòng)支持與其它安全產(chǎn)品的協(xié)同聯(lián)動(dòng)。支持聯(lián)動(dòng)安全產(chǎn)品的身份鑒別。安全審計(jì)支持記錄協(xié)同聯(lián)動(dòng)響應(yīng)行為事件。支持日志存儲(chǔ)耗盡處理機(jī)制。管理支持生物特征鑒別方式。支持管理員權(quán)限劃分。深度包檢測(cè)防火墻應(yīng)具備深度包檢測(cè)功能，具體技術(shù)要求如下：防火墻的安全策略應(yīng)包含基于文件類型的訪問控制；防火墻的安全策略應(yīng)包含基于用戶的訪問控制；防火墻的安全策略可包含基于關(guān)鍵字的訪問控制，對(duì)HTTP網(wǎng)頁(yè)

24、數(shù)據(jù)和和電子郵件正文數(shù)據(jù)進(jìn)行檢查。應(yīng)用代理應(yīng)用代理型和復(fù)合型防火墻應(yīng)具備透明應(yīng)用代理功能，支持HTTP、FTP、TELNET、SMTP、POP3 和DNS等協(xié)議。動(dòng)態(tài)開放端口防火墻應(yīng)具備動(dòng)態(tài)開放端口功能，具體技術(shù)要求如下：防火墻應(yīng)支持以H.323協(xié)議建立視頻會(huì)議；防火墻應(yīng)支持SQL*NET數(shù)據(jù)庫(kù)協(xié)議；防火墻應(yīng)支持VLAN協(xié)議。帶寬管理防火墻應(yīng)具備帶寬管理功能，能夠根據(jù)安全策略和網(wǎng)絡(luò)流量動(dòng)態(tài)調(diào)整客戶端占用的帶寬。雙機(jī)熱備防火墻應(yīng)具備基于鏈路狀態(tài)檢測(cè)的雙機(jī)熱備功能，當(dāng)主防火墻直接相連的鏈路發(fā)生故障而無法正常工作時(shí)，備防火墻應(yīng)及時(shí)發(fā)現(xiàn)并接管主防火墻進(jìn)行工作。負(fù)載均衡防火墻應(yīng)具備基于集群工作模式的負(fù)載

25、均衡功能，使得多臺(tái)防火墻能夠協(xié)同工作均衡網(wǎng)絡(luò)流量。VPN防火墻可具備VPN功能，具體技術(shù)要求如下：防火墻應(yīng)支持以IPSec協(xié)議為基礎(chǔ)構(gòu)建VPN；防火墻應(yīng)支持建立“防火墻至防火墻”和“防火墻至客戶機(jī)”兩種形式的VPN；防火墻應(yīng)支持預(yù)共享密鑰和X.509數(shù)字證書兩種認(rèn)證方式來進(jìn)行VPN認(rèn)證；防火墻所使用的加密算法和驗(yàn)證算法應(yīng)符合國(guó)家密碼管理的有關(guān)規(guī)定。協(xié)同聯(lián)動(dòng)防火墻應(yīng)具備與其它安全產(chǎn)品的協(xié)同聯(lián)動(dòng)功能（例如與IDS），具體技術(shù)要求如下：防火墻應(yīng)按照一定的安全協(xié)議與其它安全產(chǎn)品協(xié)同聯(lián)動(dòng)，并支持手工與自動(dòng)方式來配置聯(lián)動(dòng)策略；防火墻應(yīng)在協(xié)同聯(lián)動(dòng)前對(duì)與其聯(lián)動(dòng)的安全產(chǎn)品進(jìn)行身份鑒別。安全審計(jì)防火墻應(yīng)具備安全審

26、計(jì)功能，具體技術(shù)要求如下：防火墻應(yīng)記錄協(xié)同聯(lián)動(dòng)響應(yīng)行為事件；防火墻日志存儲(chǔ)耗盡，防火墻應(yīng)能采取相應(yīng)的安全措施，包括向管理員報(bào)警、基于策略的最早產(chǎn)生的日志刪除和系統(tǒng)工作停止。管理防火墻應(yīng)具備管理功能，具體要求如下：支持指紋、虹膜等生物特征鑒別方式的管理員身份鑒別；防火墻應(yīng)支持管理員權(quán)限劃分，至少需分為兩個(gè)部分，可將防火墻管理、安全策略管理或?qū)徲?jì)日志管理權(quán)限分割。性能要求5.3.1吞吐量防火墻的吞吐量視不同速率的防火墻有所不同，具體指標(biāo)要求如下：防火墻在只有一條允許規(guī)則和不丟包的情況下，應(yīng)達(dá)到的吞吐量指標(biāo)：對(duì)64字節(jié)短包，十兆和百兆防火墻應(yīng)不小于線速的20%，千兆及千兆以上防火墻應(yīng)不小于線速的35

27、%；對(duì)512字節(jié)中長(zhǎng)包，十兆和百兆防火墻應(yīng)不小于線速的70%，千兆及千兆以上防火墻應(yīng)不小于線速的80%；對(duì)1518字節(jié)長(zhǎng)包，十兆和百兆防火墻應(yīng)不小于線速的90%，千兆及千兆以上防火墻應(yīng)不小于線速的95%。在添加大數(shù)量訪問控制規(guī)則（不同的200余條）的情況下，防火墻的吞吐量下降應(yīng)不大于原吞吐量的3%。延遲防火墻的延遲視不同速率的防火墻有所不同，具體指標(biāo)要求如下：十兆防火墻的最大延遲不應(yīng)超過1ms；百兆防火墻的最大延遲不應(yīng)超過500us；千兆及千兆以上防火墻的最大延遲不應(yīng)超過90us；在添加大數(shù)量訪問控制規(guī)則（不同的200余條）的情況下，防火墻延遲所受的影響應(yīng)不大于原來的3%。最大并發(fā)連接數(shù)最大并

28、發(fā)連接數(shù)視不同速率的防火墻有所不同，具體指標(biāo)要求如下：十兆防火墻的最大并發(fā)連接數(shù)應(yīng)不小于1000個(gè)；百兆防火墻的最大并發(fā)連接數(shù)應(yīng)不小于10000個(gè)；千兆及千兆以上防火墻的最大并發(fā)連接數(shù)應(yīng)不小于100000個(gè)。最大連接速率最大連接速率視不同速率的防火墻有所不同，具體技術(shù)要求如下：十兆防火墻的最大連接速率應(yīng)不小于每秒500個(gè)；百兆防火墻的最大連接速率應(yīng)不小于每秒1500個(gè)；千兆及千兆以上防火墻的最大連接速率應(yīng)不小于每秒5000個(gè)。安全要求5.4.1一級(jí)產(chǎn)品安全要求安全要求列表一級(jí)產(chǎn)品的安全要求由表1所列項(xiàng)目組成。表4 一級(jí)產(chǎn)品安全要求細(xì)目安全分類安全要求抗?jié)B透抵御各種基本的拒絕服務(wù)攻擊。檢測(cè)和記錄

29、端口掃描行為。抵御源IP地址欺騙攻擊。抵御IP碎片包攻擊。惡意代碼防御攔截典型木馬攻擊行為。支撐系統(tǒng)支撐系統(tǒng)不提供多余的網(wǎng)絡(luò)服務(wù)。支撐系統(tǒng)應(yīng)不含任何高、中風(fēng)險(xiǎn)安全漏洞。非正常關(guān)機(jī)安全策略恢復(fù)到關(guān)機(jī)前的狀態(tài)。日志信息不會(huì)丟失。管理員重新認(rèn)證?？?jié)B透防火墻具備一定的抗攻擊滲透能力，具體技術(shù)要求如下：能夠抵御Syn Flood、Ping of Death和UDP Flood等基本的拒絕服務(wù)攻擊，保護(hù)自身并防止受保護(hù)網(wǎng)絡(luò)受到攻擊；能夠檢測(cè)和記錄端口掃描行為；能夠抵御源IP地址欺騙攻擊；能夠抵御IP碎片包攻擊。惡意代碼防御防火墻應(yīng)具備基本的惡意代碼防御能力，能夠攔截典型的木馬攻擊行為。支撐系統(tǒng)防火墻的底

30、層支撐系統(tǒng)應(yīng)滿足如下技術(shù)要求：確保其支撐系統(tǒng)不提供多余的網(wǎng)絡(luò)服務(wù)；不含任何導(dǎo)致防火墻權(quán)限丟失、拒絕服務(wù)和敏感信息泄露的安全漏洞。非正常關(guān)機(jī)防火墻在非正常條件（比如掉電、強(qiáng)行關(guān)機(jī)）關(guān)機(jī)再重新啟動(dòng)后，應(yīng)滿足如下技術(shù)要求：安全策略恢復(fù)到關(guān)機(jī)前的狀態(tài)；日志信息不會(huì)丟失；管理員重新認(rèn)證。5.4.2二級(jí)產(chǎn)品安全要求安全要求列表二級(jí)產(chǎn)品除需滿足一級(jí)產(chǎn)品的安全要求外，還需具有如表5所示的安全要求。表5 二級(jí)產(chǎn)品安全要求細(xì)目安全分類安全要求抗?jié)B透抵御各種典型的拒絕服務(wù)攻擊。檢測(cè)和記錄漏洞掃描行為。攔截典型郵件炸彈工具發(fā)送的垃圾郵件。惡意代碼防御檢測(cè)并攔截激活的蠕蟲、木馬、間諜軟件等惡意代碼的行為。支撐系統(tǒng)構(gòu)建于

31、安全增強(qiáng)的操作系統(tǒng)之上?？?jié)B透防火墻應(yīng)具備較強(qiáng)的抗攻擊滲透能力，具體技術(shù)要求如下：能夠抵御各種典型的拒絕服務(wù)攻擊和分布式拒絕服務(wù)攻擊，保護(hù)自身并防止受保護(hù)網(wǎng)絡(luò)遭受攻擊；能夠檢測(cè)和記錄漏洞掃描行為，包括對(duì)受保護(hù)網(wǎng)絡(luò)的掃描；攔截典型郵件炸彈工具發(fā)送的垃圾郵件。惡意代碼防御防火墻應(yīng)具備較強(qiáng)的惡意代碼防御能力，能夠檢測(cè)并攔截激活的蠕蟲、木馬、間諜軟件等惡意代碼的操作行為。支撐系統(tǒng)防火墻的支撐系統(tǒng)應(yīng)構(gòu)建于安全增強(qiáng)的操作系統(tǒng)之上。5.4.3三級(jí)產(chǎn)品安全要求安全要求列表三級(jí)產(chǎn)品除需滿足一、二級(jí)產(chǎn)品的安全要求外，還需具有如表6所示的安全要求。表6 三級(jí)產(chǎn)品安全要求細(xì)目安全分類安全要求抗?jié)B透能夠抵御網(wǎng)絡(luò)掃描行為

32、，不返回掃描信息。支持黑名單或特征匹配等方式的垃圾郵件攔截策略配置。惡意代碼防御檢測(cè)并攔截被HTTP網(wǎng)頁(yè)和電子郵件攜帶的惡意代碼。惡意代碼檢測(cè)告警。支撐系統(tǒng)構(gòu)建于安全操作系統(tǒng)之上?？?jié)B透防火墻應(yīng)具備很強(qiáng)的抗攻擊滲透能力，具體技術(shù)要求如下：能夠抵御網(wǎng)絡(luò)掃描行為，不返回掃描信息；支持黑名單或特征匹配等方式的垃圾郵件攔截策略配置。惡意代碼防御防火墻應(yīng)具備很強(qiáng)的惡意代碼防御能力，具體技術(shù)要求如下：檢測(cè)并攔截被HTTP網(wǎng)頁(yè)和電子郵件攜帶的惡意代碼；發(fā)現(xiàn)惡意代碼后及時(shí)向防火墻控制臺(tái)告警；至少每月升級(jí)一次，支持在線和離線升級(jí)。支撐系統(tǒng)防火墻的支撐系統(tǒng)可構(gòu)建于安全操作系統(tǒng)之上。保證要求說明保證要求采用增量描述

33、方法。通常，二級(jí)產(chǎn)品的保證要求應(yīng)包括一級(jí)產(chǎn)品的保證要求，三級(jí)產(chǎn)品的保證要求應(yīng)包括一級(jí)和二級(jí)產(chǎn)品的保證要求；在某些項(xiàng)目，高等級(jí)產(chǎn)品的保證要求比低等級(jí)產(chǎn)品的保證要求更為嚴(yán)格，則不存在增量的關(guān)系。一級(jí)產(chǎn)品保證要求配置管理配置管理應(yīng)滿足如下要求：開發(fā)者應(yīng)為防火墻產(chǎn)品的不同版本提供唯一的標(biāo)識(shí)；開發(fā)者應(yīng)針對(duì)不同用戶提供唯一的授權(quán)標(biāo)識(shí)；配置項(xiàng)應(yīng)有唯一的標(biāo)識(shí)。交付與運(yùn)行交付與運(yùn)行應(yīng)滿足如下要求：評(píng)估者應(yīng)審查開發(fā)者是否提供了文檔說明防火墻的安裝、生成、啟動(dòng)和使用的過程。用戶能夠通過此文檔了解安裝、生成、啟動(dòng)和使用過程；防火墻運(yùn)行穩(wěn)定；對(duì)錯(cuò)誤輸入的參數(shù)，不應(yīng)導(dǎo)致防火墻出現(xiàn)異常，且給出提示信息。安全功能開發(fā)過程功能

34、設(shè)計(jì)功能設(shè)計(jì)應(yīng)滿足如下要求：功能設(shè)計(jì)應(yīng)當(dāng)使用非形式化風(fēng)格來描述防火墻安全功能與其外部接口；功能設(shè)計(jì)應(yīng)當(dāng)是內(nèi)在一致的；功能設(shè)計(jì)應(yīng)當(dāng)描述使用所有外部防火墻安全功能接口的目的與方法，適當(dāng)?shù)臅r(shí)候，要提供結(jié)果影響例外情況和錯(cuò)誤信息的細(xì)節(jié)；功能設(shè)計(jì)應(yīng)當(dāng)完整地表示防火墻安全功能；功能設(shè)計(jì)應(yīng)是防火墻安全功能要求的精確和完整的示例。表示對(duì)應(yīng)性開發(fā)者應(yīng)在防火墻安全功能表示的所有相鄰對(duì)之間提供對(duì)應(yīng)性分析，具體要求如下：防火墻各種安全功能表示（如防火墻功能設(shè)計(jì)、高層設(shè)計(jì)、低層設(shè)計(jì)、實(shí)現(xiàn)表示）之間的對(duì)應(yīng)性是所提供的抽象防火墻安全功能表示要求的精確而完整的示例；防火墻安全功能在功能設(shè)計(jì)中進(jìn)行細(xì)化，抽象防火墻安全功能表示的

35、所有相關(guān)安全功能部分， 在具體防火墻安全功能表示中應(yīng)進(jìn)行細(xì)化。指導(dǎo)性文檔管理員指南開發(fā)者應(yīng)提供供系統(tǒng)管理員使用的管理員指南，該指南應(yīng)包括如下內(nèi)容：防火墻可以使用的管理功能和接口；怎樣安全地管理防火墻；對(duì)一致、有效地使用安全功能提供指導(dǎo)；在安全處理環(huán)境中應(yīng)進(jìn)行控制的功能和權(quán)限；所有對(duì)與防火墻的安全操作有關(guān)的用戶行為的假設(shè)；所有受管理員控制的安全參數(shù)，如果可能，應(yīng)指明安全值；每一種與管理功能有關(guān)的安全相關(guān)事件，包括對(duì)安全功能所控制的實(shí)體的安全特性進(jìn)行的改變；所有與系統(tǒng)管理員有關(guān)的 IT 環(huán)境的安全要求；怎樣配置防火墻的指令；應(yīng)描述在防火墻的安全安裝過程中，可能要使用的所有配置選項(xiàng)。用戶指南開發(fā)者應(yīng)

36、提供供系統(tǒng)用戶使用的用戶指南，該指南應(yīng)包括如下內(nèi)容：防火墻的非管理用戶可使用的安全功能和接口；防火墻提供給用戶的安全功能和接口的用法；用戶可獲取但應(yīng)受安全處理環(huán)境控制的所有功能和權(quán)限；防火墻安全操作中用戶所應(yīng)承擔(dān)的職責(zé)；與用戶有關(guān)的 IT 環(huán)境的所有安全要求；使用防火墻提供的安全功能的指導(dǎo)。生命周期支持開發(fā)者所提供的信息應(yīng)滿足如下要求：開發(fā)人員的安全管理：開發(fā)人員的安全規(guī)章制度，開發(fā)人員的安全教育培訓(xùn)制度和記錄；開發(fā)環(huán)境的安全管理：開發(fā)地點(diǎn)的出入口控制制度和記錄，開發(fā)環(huán)境的溫室度要求和記錄， 開發(fā)環(huán)境的防火防盜措施和國(guó)家有關(guān)部門的許可文件，開發(fā)環(huán)境中所使用安全產(chǎn)品必須采用符合國(guó)家有關(guān)規(guī)定的產(chǎn)品

37、并提供相應(yīng)證明材料；開發(fā)設(shè)備的安全管理：開發(fā)設(shè)備的安全管理制度，包括開發(fā)主機(jī)使用管理和記錄，設(shè)備的購(gòu)置、修理、處置的制度和記錄，上網(wǎng)管理，計(jì)算機(jī)病毒管理和記錄等；開發(fā)過程和成果的安全管理：對(duì)產(chǎn)品代碼、文檔、樣機(jī)進(jìn)行受控管理的制度和記錄，若代碼和文檔進(jìn)行加密保護(hù)必須采用符合國(guó)家有關(guān)規(guī)定的產(chǎn)品并提供相應(yīng)證明材料。測(cè)試范圍開發(fā)者應(yīng)提供測(cè)試覆蓋分析結(jié)果，且該測(cè)試文檔中所標(biāo)識(shí)的測(cè)試與安全功能設(shè)計(jì)中所描述的安全功能對(duì)應(yīng)。功能測(cè)試功能測(cè)試應(yīng)滿足如下要求：測(cè)試文檔應(yīng)包括測(cè)試計(jì)劃、測(cè)試過程、預(yù)期的測(cè)試結(jié)果和實(shí)際測(cè)試結(jié)果；評(píng)估測(cè)試計(jì)劃應(yīng)標(biāo)識(shí)要測(cè)試的安全功能，并描述測(cè)試的目標(biāo)；評(píng)估測(cè)試過程應(yīng)標(biāo)識(shí)要執(zhí)行的測(cè)試，應(yīng)描述

38、每個(gè)安全功能的測(cè)試概況（這些概況包括對(duì)其它測(cè)試結(jié)果的順序依賴性）；評(píng)估期望的測(cè)試結(jié)果應(yīng)表明測(cè)試成功后的預(yù)期輸出；評(píng)估實(shí)際測(cè)試結(jié)果應(yīng)表明每個(gè)被測(cè)試的安全功能能按照規(guī)定進(jìn)行運(yùn)作。二級(jí)產(chǎn)品保證要求配置管理配置管理能力配置管理能力應(yīng)滿足如下要求：開發(fā)者應(yīng)使用配置管理系統(tǒng)并提供配置管理文檔，且具備全中文操作界面、易于使用和支持在線幫助，以及為防火墻產(chǎn)品的不同版本提供唯一的標(biāo)識(shí)；配置管理系統(tǒng)應(yīng)對(duì)所有的配置項(xiàng)作出唯一的標(biāo)識(shí)，并保證只有經(jīng)過授權(quán)才能修改配置項(xiàng)；配置管理文檔應(yīng)包括配置清單、配置管理計(jì)劃。配置清單用來描述組成防火墻的配置項(xiàng)。在配置管理計(jì)劃中，應(yīng)描述配置管理系統(tǒng)是如何使用的。實(shí)施的配置管理應(yīng)與配置管

39、理計(jì)劃相一致；配置管理文檔還應(yīng)描述對(duì)配置項(xiàng)給出唯一標(biāo)識(shí)的方法，并提供所有的配置項(xiàng)得到有效地維護(hù)的證據(jù)。配置管理范圍防火墻配置管理范圍，應(yīng)將防火墻的實(shí)現(xiàn)表示、設(shè)計(jì)文檔、測(cè)試文檔、用戶文檔、管理員文檔、配置管理文檔等置于配置管理之下，從而確保它們的修改是在一個(gè)正確授權(quán)的可控方式下進(jìn)行的。為此要求：開發(fā)者所提供的配置管理文檔應(yīng)展示配置管理系統(tǒng)至少能跟蹤上述配置管理之下的內(nèi)容；文檔應(yīng)描述配置管理系統(tǒng)是如何跟蹤這些配置項(xiàng)的；文檔還應(yīng)提供足夠的信息表明達(dá)到所有要求。管理配置接口防火墻應(yīng)提供各個(gè)管理配置項(xiàng)接口，并包括防火墻使用的外部網(wǎng)絡(luò)的服務(wù)項(xiàng)目。交付與運(yùn)行交付與運(yùn)行應(yīng)滿足如下要求：開發(fā)者應(yīng)使用一定的交付程

40、序交付防火墻；開發(fā)者應(yīng)使用物理文檔描述交付過程；開發(fā)者交付的文檔應(yīng)說明在給用戶方交付防火墻的各版本時(shí)，為維護(hù)安全所必需的所有程序。安全功能開發(fā)過程高層設(shè)計(jì)開發(fā)者所提供的信息應(yīng)滿足如下要求：高層設(shè)計(jì)應(yīng)采用非形式化的表示；高層設(shè)計(jì)應(yīng)當(dāng)是內(nèi)在一致的；防火墻高層設(shè)計(jì)應(yīng)當(dāng)描述每一個(gè)防火墻安全功能子系統(tǒng)所提供的安全功能，提供了適當(dāng)?shù)捏w系結(jié)構(gòu)來實(shí)現(xiàn)防火墻安全功能要求；防火墻的高層設(shè)計(jì)應(yīng)當(dāng)以子系統(tǒng)的觀點(diǎn)來描述防火墻安全功能的結(jié)構(gòu)，定義所有子系統(tǒng)之間的相互關(guān)系，并把這些相互關(guān)系將適當(dāng)?shù)刈鳛閿?shù)據(jù)流、控制流等的外部接口來表示；高層設(shè)計(jì)應(yīng)當(dāng)標(biāo)識(shí)防火墻安全功能要求的任何基礎(chǔ)性的硬件、固件和/或軟件，并且通過支持這些硬件

41、、固件或軟件所實(shí)現(xiàn)的保護(hù)機(jī)制，來提供防火墻安全功能表示。指導(dǎo)性文檔管理員指南管理員指南應(yīng)滿足如下要求：對(duì)于應(yīng)該控制在安全環(huán)境中的功能和特權(quán)，管理員指南應(yīng)有警告；管理員指南應(yīng)說明兩種類型功能之間的差別：一種是允許管理員控制安全參數(shù)，而另一種是只允許管理員獲得信息；管理員指南應(yīng)描述管理員控制下的所有安全參數(shù)；管理員指南應(yīng)充分描述與安全管理相關(guān)的詳細(xì)過程；管理員指南應(yīng)與提交給測(cè)試、評(píng)估和認(rèn)證的其它文件一致。用戶指南用戶指南應(yīng)滿足如下要求：對(duì)于應(yīng)該控制在安全處理環(huán)境中的功能和特權(quán)，用戶指南應(yīng)有警告；用戶指南應(yīng)與提交給測(cè)試、評(píng)估和認(rèn)證的其它文件一致。測(cè)試范圍評(píng)估測(cè)試文檔中所標(biāo)識(shí)的測(cè)試應(yīng)當(dāng)完整。深度測(cè)試開

42、發(fā)者提供的測(cè)試深度分析應(yīng)說明測(cè)試文檔中所標(biāo)識(shí)的對(duì)安全功能的測(cè)試，以表明該安全功能和高層設(shè)計(jì)是一致的。獨(dú)立性測(cè)試開發(fā)者應(yīng)提供用于測(cè)試的產(chǎn)品，且提供的產(chǎn)品適合測(cè)試。脆弱性評(píng)定指南檢查開發(fā)者提供的指南性文檔應(yīng)滿足如下要求：指南性文檔應(yīng)確定對(duì)防火墻的所有可能的操作方式（包括失敗和操作失誤后的操作），確定它們的后果，并確定對(duì)于保持安全操作的意義；指南性文檔應(yīng)列出所有目標(biāo)環(huán)境的假設(shè)以及所有外部安全措施（包括外部程序的、物理的或人員的控制）的要求；指南性文檔應(yīng)完整、清晰、一致、合理。5.5.4三級(jí)產(chǎn)品保證要求配置管理配置管理自動(dòng)化配置管理應(yīng)滿足如下要求：開發(fā)者應(yīng)使用配置管理系統(tǒng)，并提供配置管理計(jì)劃；配置管理

43、系統(tǒng)應(yīng)確保只有已授權(quán)開發(fā)人員才能對(duì)防火墻產(chǎn)品實(shí)現(xiàn)進(jìn)行修改，并支持防火墻基本配置項(xiàng)的生成；配置管理計(jì)劃應(yīng)描述在配置管理系統(tǒng)中使用的工具軟件。配置管理能力開發(fā)者所提供的信息應(yīng)滿足如下要求：配置管理系統(tǒng)應(yīng)支持防火墻基本配置項(xiàng)的生成；配置管理文檔應(yīng)包括接受計(jì)劃。在接受計(jì)劃中，應(yīng)描述對(duì)修改過或新建的配置項(xiàng)進(jìn)行接受的程序。配置管理范圍開發(fā)者提供的配置管理支持文件應(yīng)包含以下內(nèi)容：?jiǎn)栴}跟蹤配置管理范圍，除防火墻配置管理范圍描述的內(nèi)容外，要求特別強(qiáng)調(diào)對(duì)安全缺陷的跟蹤；開發(fā)工具配置管理范圍，除問題跟蹤配置管理范圍所描述的內(nèi)容外，要求特別強(qiáng)調(diào)對(duì)開發(fā)工具和相關(guān)信息的跟蹤。交付與運(yùn)行交付與運(yùn)行應(yīng)滿足如下要求：a） 開發(fā)

44、者交付的文檔應(yīng)包含產(chǎn)品版本變更控制的版本和版次說明、實(shí)際產(chǎn)品版本變更控制的版本和版次說明、監(jiān)測(cè)防火墻程序版本修改說明；b）開發(fā)者交付的文檔應(yīng)包含對(duì)試圖偽裝成開發(fā)者向用戶發(fā)送防火墻產(chǎn)品行為的檢測(cè)方法。安全功能開發(fā)過程功能設(shè)計(jì)開發(fā)者所提供的功能規(guī)范應(yīng)當(dāng)包括防火墻安全功能基本原理的完整表示。安全功能實(shí)現(xiàn)開發(fā)者所提供的信息是否滿足如下要求：開發(fā)者應(yīng)當(dāng)為選定的防火墻安全功能子集提供實(shí)現(xiàn)表示；開發(fā)者應(yīng)當(dāng)為整個(gè)防火墻安全功能提供實(shí)現(xiàn)表示；實(shí)現(xiàn)表示應(yīng)當(dāng)無歧義地定義一個(gè)詳細(xì)級(jí)別的防火墻安全功能，該防火墻安全功能的子集無須選擇進(jìn)一步的設(shè)計(jì)就能生成；實(shí)現(xiàn)表示應(yīng)當(dāng)是內(nèi)在一致的。低層設(shè)計(jì)開發(fā)者所提供的防火墻安全功能的低

45、層設(shè)計(jì)應(yīng)滿足如下要求：低層設(shè)計(jì)的表示應(yīng)當(dāng)是非形式化的；低層設(shè)計(jì)應(yīng)當(dāng)是內(nèi)在一致的；低層設(shè)計(jì)應(yīng)當(dāng)以模塊術(shù)語(yǔ)描述防火墻安全功能；低層設(shè)計(jì)應(yīng)當(dāng)描述每一個(gè)模塊的目的；低層設(shè)計(jì)應(yīng)當(dāng)以所提供的安全功能性和對(duì)其它模塊的依賴性術(shù)語(yǔ)定義模塊間的相互關(guān)系；低層設(shè)計(jì)應(yīng)當(dāng)描述如何提供每一個(gè)防火墻安全策略強(qiáng)化功能；低層設(shè)計(jì)應(yīng)當(dāng)標(biāo)識(shí)防火墻安全功能模塊的所有接口；低層設(shè)計(jì)應(yīng)當(dāng)標(biāo)識(shí)防火墻安全功能模塊的哪些接口是外部可見的；低層設(shè)計(jì)應(yīng)當(dāng)描述防火墻安全功能模塊所有接口的目的與方法，適當(dāng)時(shí)，應(yīng)提供影響、例外情況和錯(cuò)誤信息的細(xì)節(jié)；低層設(shè)計(jì)應(yīng)當(dāng)描述如何將防火墻分離成防火墻安全策略加強(qiáng)模塊和其它模塊。安全策略模型開發(fā)者所提供的信息應(yīng)滿足如

46、下要求：開發(fā)者應(yīng)提供一個(gè)基于防火墻安全策略子集的安全策略模型；開發(fā)者應(yīng)闡明功能規(guī)范和防火墻安全策略模型之間的對(duì)應(yīng)性；安全策略模型應(yīng)當(dāng)是非形式化的；安全策略模型應(yīng)當(dāng)描述所有可以模型化的安全策略模型的規(guī)則與特征；安全策略模型應(yīng)當(dāng)包括一個(gè)基本原理，即闡明該模型對(duì)于所有可模型化的安全策略模型來說， 是與其一致的，而且是完整的；安全策略模型和功能設(shè)計(jì)之間的對(duì)應(yīng)性闡明應(yīng)當(dāng)說明，所有功能規(guī)范中的安全功能對(duì)于安全策略模型來說，是與其一致，而且是完整的。指導(dǎo)性文檔管理員指南管理員指南應(yīng)滿足如下要求：管理員指南應(yīng)描述各類需要執(zhí)行管理功能的安全相關(guān)事件，包括在安全功能控制下改變實(shí)體的安全特性；管理員指南應(yīng)包括安全功

47、能如何相互作用的指導(dǎo)。用戶指南用戶指南應(yīng)描述用戶可見的安全功能之間的相互作用。生命周期支持生命周期模型開發(fā)者所提供的生命周期定義文件中應(yīng)包含以下內(nèi)容：開發(fā)者定義的生命周期模型，要求開發(fā)者應(yīng)建立用于開發(fā)和維護(hù)防火墻的生命周期模型。該模型應(yīng)對(duì)防火墻開發(fā)和維護(hù)提供必要的控制。開發(fā)者所提供的生命周期定義文檔應(yīng)描述用于開發(fā)和維護(hù)防火墻的模型。標(biāo)準(zhǔn)生命周期模型，要求開發(fā)者應(yīng)建立標(biāo)準(zhǔn)化的、用于開發(fā)和維護(hù)防火墻的生命周期模型。該模型應(yīng)對(duì)防火墻開發(fā)和維護(hù)提供必要的控制。開發(fā)者所提供的生命周期定義文檔應(yīng)描述用于開發(fā)和維護(hù)防火墻的模型，解釋選擇該模型的原因，解釋如何用該模型來開發(fā)和維護(hù)防火墻，以及闡明與標(biāo)準(zhǔn)化的生命

48、周期模型的相符性。可測(cè)量的生命周期模型，要求開發(fā)者應(yīng)建立標(biāo)準(zhǔn)化的、可測(cè)量的、用于開發(fā)和維護(hù)防火墻的生命周期模型，并用此模型來衡量防火墻的開發(fā)。該模型應(yīng)對(duì)防火墻開發(fā)和維護(hù)提供必要的控制。開發(fā)者所提供的生命周期定義文檔應(yīng)描述用于開發(fā)和維護(hù)防火墻的模型，包括針對(duì)該模型衡量防火墻開發(fā)所需的算術(shù)參數(shù)和/或度量的細(xì)節(jié)。生命周期定義文檔應(yīng)解釋選擇該模型的原因，解釋如何用該模型來開發(fā)和維護(hù)防火墻，闡明與標(biāo)準(zhǔn)化的可測(cè)量的生命周期模型的相符性，以及提供利用標(biāo)準(zhǔn)化的可測(cè)量的生命周期模型來進(jìn)行防火墻開發(fā)的測(cè)量結(jié)果。工具和技術(shù)開發(fā)者所提供的信息應(yīng)滿足如下要求：明確定義的開發(fā)工具，要求開發(fā)者應(yīng)標(biāo)識(shí)用于開發(fā)防火墻的工具，并

49、且所有用于實(shí)現(xiàn)的開發(fā)工具都必須有明確定義。開發(fā)者應(yīng)文檔化已選擇的依賴實(shí)現(xiàn)的開發(fā)工具的選項(xiàng)，并且開發(fā)工具文檔應(yīng)明確定義實(shí)現(xiàn)中每個(gè)語(yǔ)句的含義，以及明確定義所有基于實(shí)現(xiàn)的選項(xiàng)的含義；遵照實(shí)現(xiàn)標(biāo)準(zhǔn)-應(yīng)用部分，除明確定義的開發(fā)工具的要求外，要求開發(fā)者應(yīng)描述所應(yīng)用部分的實(shí)現(xiàn)標(biāo)準(zhǔn)；遵照實(shí)現(xiàn)標(biāo)準(zhǔn)-所有部分，除遵照實(shí)現(xiàn)標(biāo)準(zhǔn)-應(yīng)用部分的要求外，要求開發(fā)者應(yīng)描述防火墻所有部分的實(shí)現(xiàn)標(biāo)準(zhǔn)。測(cè)試功能測(cè)試功能測(cè)試應(yīng)滿足如下要求：實(shí)際測(cè)試結(jié)果應(yīng)表明每個(gè)被測(cè)試的安全功能按照規(guī)定進(jìn)行運(yùn)作；提供防火墻在整個(gè)開發(fā)周期內(nèi)各個(gè)階段的測(cè)試報(bào)告。獨(dú)立性測(cè)試測(cè)試記錄以及最后結(jié)果（符合/不符合），開發(fā)者應(yīng)提供能適合第三方測(cè)試的產(chǎn)品。脆弱性評(píng)定

50、脆弱性分析脆弱性分析應(yīng)滿足如下要求：開發(fā)者提供的脆弱性分析文檔應(yīng)從用戶可能破壞安全策略的明顯途徑出發(fā)，對(duì)防火墻的各種功能進(jìn)行分析；對(duì)被確定的脆弱性，評(píng)估開發(fā)者應(yīng)明確記錄采取的措施；對(duì)每一條脆弱性，應(yīng)有證據(jù)顯示在使用防火墻的環(huán)境中該脆弱性不能被利用；所提供的文檔應(yīng)表明經(jīng)過標(biāo)識(shí)脆弱性的防火墻可以抵御明顯的穿透性攻擊；開發(fā)者提供的分析文檔，應(yīng)闡明指南性文檔是完整的。測(cè)評(píng)方法總體說明測(cè)評(píng)方法與技術(shù)要求一一對(duì)應(yīng)，它給出具體的測(cè)評(píng)方法來驗(yàn)證防火墻產(chǎn)品是否達(dá)到技術(shù)要求中所提出的要求。它由測(cè)試環(huán)境、測(cè)試工具、測(cè)試方法和預(yù)期結(jié)果四個(gè)部分構(gòu)成。功能測(cè)試測(cè)試環(huán)境與工具功能測(cè)試環(huán)境示意圖可參見圖1。其中，路由模式下，

51、172.16.3.x為外部網(wǎng)絡(luò)地址，192.168.2.x為DMZ網(wǎng)絡(luò)地址，192.168.1.x為內(nèi)部網(wǎng)絡(luò)地址；透明模式下，內(nèi)部網(wǎng)絡(luò)、外部網(wǎng)絡(luò)和DMZ均配置為192.168.1.x網(wǎng)絡(luò)地址。客戶機(jī)服務(wù)器外網(wǎng)172.16.3.x服務(wù)器1服務(wù)器2DMZ 192.168.2.X主防火墻備防火墻管理機(jī)內(nèi)網(wǎng)192.168.1.XCISCOSYSTEMSIDS擊機(jī)攻客戶機(jī)1服務(wù)器客戶機(jī)2圖1 防火墻功能測(cè)試環(huán)境示意圖功能測(cè)試需要的工具有：專用防火墻測(cè)試系統(tǒng)或模塊，協(xié)議分析儀或包捕獲工具，以及IP包仿真器。包過濾測(cè)試方法檢查防火墻的缺省安全策略；配置基于MAC地址的包過濾策略，產(chǎn)生相應(yīng)的網(wǎng)絡(luò)會(huì)話；配置基于

52、源IP地址、目的IP地址的包過濾策略，產(chǎn)生相應(yīng)的網(wǎng)絡(luò)會(huì)話；配置基于源端口、目的端口的包過濾策略，產(chǎn)生相應(yīng)的網(wǎng)絡(luò)會(huì)話；配置基于協(xié)議類型的包過濾策略，產(chǎn)生相應(yīng)的網(wǎng)絡(luò)會(huì)話；配置基于時(shí)間的包過濾策略，產(chǎn)生相應(yīng)的網(wǎng)絡(luò)會(huì)話；配置用戶自定義的包過濾策略，過濾條件是2）至6）過濾條件的部分或全部組合，產(chǎn)生相應(yīng)的網(wǎng)絡(luò)會(huì)話。預(yù)期結(jié)果防火墻采用最小安全原則，即除非明確允許，否則就禁止；防火墻能夠根據(jù)MAC地址進(jìn)行過濾；防火墻應(yīng)能夠根據(jù)源IP地址、目的IP地址進(jìn)行過濾；防火墻能夠根據(jù)源端口、目的端口進(jìn)行過濾；防火墻能夠根據(jù)協(xié)議類型進(jìn)行過濾；防火墻能夠根據(jù)時(shí)間進(jìn)行過濾防火墻能夠根據(jù)用戶定義的策略進(jìn)行過濾。狀態(tài)檢測(cè)測(cè)試方

53、法配置啟動(dòng)防火墻狀態(tài)檢測(cè)模塊；配置包過濾策略，允許特定條件的網(wǎng)絡(luò)會(huì)話通過防火墻；產(chǎn)生滿足該特定條件的一個(gè)完整的網(wǎng)絡(luò)會(huì)話；產(chǎn)生滿足該特定條件的網(wǎng)絡(luò)會(huì)話中的不是第一個(gè)連接請(qǐng)求SYN包的一個(gè)或多個(gè)數(shù)據(jù)包。預(yù)期結(jié)果防火墻依據(jù)狀態(tài)表進(jìn)行訪問控制；滿足上述特定條件的一個(gè)完整的網(wǎng)絡(luò)會(huì)話能夠通過防火墻；滿足上述特定條件的網(wǎng)絡(luò)會(huì)話中的不是第一個(gè)連接請(qǐng)求SYN包的一個(gè)或多個(gè)數(shù)據(jù)包不能通過防火墻。深度包檢測(cè)測(cè)試方法配置基于URL的內(nèi)容過濾策略，產(chǎn)生相應(yīng)的網(wǎng)絡(luò)會(huì)話；配置基于基于電子郵件Subject、To、From域等的內(nèi)容過濾策略，產(chǎn)生相應(yīng)的網(wǎng)絡(luò)會(huì)話；配置基于文件類型的內(nèi)容過濾策略，產(chǎn)生相應(yīng)的網(wǎng)絡(luò)會(huì)話；配置基于用戶

54、的內(nèi)容過濾策略，產(chǎn)生相應(yīng)的網(wǎng)絡(luò)會(huì)話；配置基于HTTP和電子郵件關(guān)鍵字的內(nèi)容過濾策略，產(chǎn)生相應(yīng)的網(wǎng)絡(luò)會(huì)話。預(yù)期結(jié)果應(yīng)能夠基于URL進(jìn)行訪問控制；應(yīng)能夠基于電子郵件Subject、To、From域進(jìn)行訪問控制；應(yīng)能夠基于文件類型進(jìn)行訪問控制；應(yīng)能夠基于用戶進(jìn)行訪問控制；應(yīng)能夠基于HTTP和電子郵件關(guān)鍵字進(jìn)行訪問控制。應(yīng)用代理測(cè)試方法分別為內(nèi)部網(wǎng)絡(luò)用戶訪問外部網(wǎng)絡(luò)、外部網(wǎng)絡(luò)用戶訪問DMZ服務(wù)器設(shè)置代理功能，產(chǎn)生相應(yīng)的網(wǎng)絡(luò)會(huì)話；通過協(xié)議分析儀，檢查一個(gè)網(wǎng)絡(luò)會(huì)話是否被分為內(nèi)外兩個(gè)會(huì)話；檢查客戶端是否需要設(shè)置代理服務(wù)器地址；為應(yīng)用代理配置不同的安全策略，檢查安全策略的有效性。預(yù)期結(jié)果防火墻應(yīng)用代理功能工作

55、正常；網(wǎng)絡(luò)會(huì)話被分割為內(nèi)外兩個(gè)會(huì)話；如果客戶端不需要設(shè)置代理服務(wù)器，則為透明應(yīng)用代理；防火墻應(yīng)能夠根據(jù)應(yīng)用層控制域設(shè)定安全策略對(duì)網(wǎng)絡(luò)會(huì)話進(jìn)行訪問控制。NAT測(cè)試方法為內(nèi)部網(wǎng)絡(luò)用戶訪問外部網(wǎng)絡(luò)主機(jī)分別設(shè)置“多對(duì)一”和“多對(duì)多”SNAT，檢查內(nèi)部網(wǎng)絡(luò)中的主機(jī)能否通過防火墻訪問外部網(wǎng)絡(luò)中的主機(jī)；為外部網(wǎng)絡(luò)用戶訪問DMZ服務(wù)器分別設(shè)置“一對(duì)多”和“多對(duì)多”DNAT，檢查外部網(wǎng)絡(luò)的主機(jī)能否通過防火墻訪問DMZ的服務(wù)器；在內(nèi)部網(wǎng)絡(luò)、外部網(wǎng)絡(luò)和DMZ內(nèi)設(shè)置協(xié)議分析儀，檢驗(yàn)數(shù)據(jù)包在經(jīng)過防火墻NAT功能前后的源地址、目的地址和包頭信息，來驗(yàn)證防火墻地址轉(zhuǎn)換功能的有效性。預(yù)期結(jié)果內(nèi)部網(wǎng)絡(luò)主機(jī)可通過SNAT訪問外部

56、網(wǎng)絡(luò)主機(jī)；外部網(wǎng)絡(luò)主機(jī)能夠通過DNAT訪問DMZ的服務(wù)器；實(shí)現(xiàn)“多對(duì)一”或“多對(duì)多”SNAT和DNAT，數(shù)據(jù)包的源地址和目的地址正確轉(zhuǎn)換。IP/MAC 地址綁定a） 7.1.1 測(cè)試方法為防火墻設(shè)置IP/MAC地址綁定策略；使用自動(dòng)綁定或手工綁定功能將內(nèi)部網(wǎng)絡(luò)中主機(jī)的IP與MAC地址綁定；分別產(chǎn)生正確IP/MAC綁定的會(huì)話和盜用IP的會(huì)話，檢查綁定的有效性。預(yù)期結(jié)果IP/MAC地址能夠自動(dòng)或手工綁定；IP/MAC地址綁定后能夠正確執(zhí)行安全策略，發(fā)現(xiàn)IP盜用行為。動(dòng)態(tài)開放端口測(cè)試方法設(shè)置防火墻動(dòng)態(tài)開放端口策略以支持以下應(yīng)用；內(nèi)部網(wǎng)絡(luò)主機(jī)通過FTP（包括主動(dòng)模式和被動(dòng)模式）訪問外部網(wǎng)絡(luò)，檢查防火墻

57、是否能及時(shí)打開FTP數(shù)據(jù)連接所使用的動(dòng)態(tài)端口，網(wǎng)絡(luò)會(huì)話是否連接正常；使用支持H.323協(xié)議的視頻工具（如NetMeeting）在內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)中的用戶發(fā)起視頻會(huì)議，檢查防火墻是否能及時(shí)打開所使用的動(dòng)態(tài)端口，視頻會(huì)議是否正常進(jìn)行；內(nèi)部網(wǎng)絡(luò)主機(jī)訪問外部網(wǎng)絡(luò)SQL服務(wù)器，檢查防火墻是否支持SQL*NET數(shù)據(jù)庫(kù)協(xié)議；設(shè)置內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)的主機(jī)在同一VLAN，產(chǎn)生特定的網(wǎng)絡(luò)會(huì)話，檢查防火墻是否支持VLAN。預(yù)期結(jié)果FTP運(yùn)行正常， FTP數(shù)據(jù)連接所使用的動(dòng)態(tài)端口打開；視頻會(huì)議正常，H.323協(xié)議所使用的動(dòng)態(tài)端口打開；SQL*NET數(shù)據(jù)庫(kù)協(xié)議的動(dòng)態(tài)端口打開；防火墻支持VLAN。策略路由測(cè)試方法根據(jù)源

58、目標(biāo)地址、進(jìn)入接口、傳輸層接口或數(shù)據(jù)包負(fù)載內(nèi)容等參數(shù)配置防火墻策略路由；產(chǎn)生相應(yīng)的網(wǎng)絡(luò)會(huì)話，檢查策略路由的有效性。預(yù)期結(jié)果支持上述至少一種策略路由策略；防火墻策略路由工作正常。流量統(tǒng)計(jì)測(cè)試方法配置防火墻流量統(tǒng)計(jì)策略，產(chǎn)生相應(yīng)的網(wǎng)絡(luò)流量；檢查防火墻能否進(jìn)行流量統(tǒng)計(jì)，并如何輸出統(tǒng)計(jì)結(jié)果。預(yù)期結(jié)果防火墻能夠通過IP地址、網(wǎng)絡(luò)服務(wù)、時(shí)間和協(xié)議類型等參數(shù)或它們的組合對(duì)流量進(jìn)行正確的統(tǒng)計(jì)；防火墻能夠?qū)崟r(shí)或者以報(bào)表形式輸出流量統(tǒng)計(jì)結(jié)果。帶寬管理測(cè)試方法配置防火墻帶寬管理策略，產(chǎn)生相應(yīng)的網(wǎng)絡(luò)流量；從內(nèi)部網(wǎng)絡(luò)向外部網(wǎng)絡(luò)發(fā)送流量，流量速率在帶寬允許的范圍內(nèi)；從內(nèi)部網(wǎng)絡(luò)向外部網(wǎng)絡(luò)發(fā)送流量，使流量的速率超出帶寬允許的

59、范圍。預(yù)期結(jié)果防火墻能夠根據(jù)安全策略中管理員設(shè)定的大小靜態(tài)限制客戶端占用的帶寬；防火墻能夠根據(jù)安全策略和網(wǎng)絡(luò)流量動(dòng)態(tài)調(diào)整客戶端占用的帶寬；客戶端占用帶寬應(yīng)在限制的范圍內(nèi)。雙機(jī)熱備測(cè)試方法通過兩臺(tái)防火墻建立雙機(jī)熱備系統(tǒng)，連續(xù)產(chǎn)生正常的網(wǎng)絡(luò)會(huì)話；切斷主防火墻電源，檢查備防火墻是否能夠及時(shí)發(fā)現(xiàn)故障并接管主防火墻進(jìn)行工作；拔掉內(nèi)部網(wǎng)絡(luò)、外部網(wǎng)絡(luò)或DMZ相連的任意網(wǎng)線，檢查備防火墻是否能夠及時(shí)發(fā)現(xiàn)故障并接管主防火墻進(jìn)行工作。預(yù)期結(jié)果主防火墻電源切斷后，備防火墻能夠及時(shí)故障發(fā)現(xiàn)并成功接管主防火墻；拔掉主防火墻相連的網(wǎng)線后，備防火墻能夠及時(shí)發(fā)現(xiàn)故障并成功接管主防火墻。負(fù)載均衡測(cè)試方法設(shè)置防火墻負(fù)載均衡策略；

60、在外部網(wǎng)絡(luò)主機(jī)上，產(chǎn)生大量訪問DMZ中服務(wù)器的網(wǎng)絡(luò)流量；通過協(xié)議分析儀或包捕獲工具觀察網(wǎng)絡(luò)流量，根據(jù)數(shù)據(jù)包源目標(biāo)地址和流量大小，檢查防火墻是否成功地實(shí)現(xiàn)了負(fù)載均衡功能；設(shè)置防火墻集群工作模式，使多臺(tái)防火墻集群工作，測(cè)試是否達(dá)到負(fù)載均衡效果。預(yù)期結(jié)果防火墻能夠?qū)⒕W(wǎng)絡(luò)訪問均衡到多臺(tái)服務(wù)器上；防火墻可實(shí)現(xiàn)集群工作模式，多臺(tái)防火墻均衡網(wǎng)絡(luò)負(fù)載。VPN測(cè)試方法分別創(chuàng)建防火墻至防火墻、防火墻至客戶端的VPN隧道，產(chǎn)生相應(yīng)的網(wǎng)絡(luò)會(huì)話；檢查VPN隧道的加密算法、認(rèn)證算法等屬性；通過協(xié)議分析儀和協(xié)議符合性測(cè)試工具，測(cè)試VPN會(huì)話是否符合協(xié)議規(guī)范并是安全的。預(yù)期結(jié)果防火墻成功建立VPN隧道，網(wǎng)絡(luò)會(huì)話正常；VPN隧