天清汉马

启明星辰天清汉马USG统一安全网关（UTM）技术手册  

（信息截至 2025-08-27，均来自官方公开资料）

一、产品定位  

面向政企、金融、运营商网络边界，提供“一体化”安全能力：防火墙、VPN、IPS、AV、DLP、上网行为管理、反垃圾邮件、抗 DDoS 等全功能集中在一台设备，减少串接节点，降低运维复杂度。

二、硬件平台  

• 多核 SOC：8–128 核 x86/ARM 异构架构，16 核以上型号通过国家级万兆测评；  

• 端口：1 GbE/10 GbE/40 GbE 模块化 Combo（电/光），最大 16×10 GbE，支持热插拔；  

• 国产化：飞腾、龙芯、兆芯、鲲鹏、申威全适配，通过信创 NeoCertify 认证。

三、功能栈  

| 域 | 技术规格 | 备注 |

|---|---|---|

| 防火墙 | 状态检测 + 应用识别（App-ID 6000+），支持 IPv4/IPv6、NAT64、策略路由、IP+MAC 绑定 | 吞吐 100 M–80 Gbps 覆盖全系型号 |

| VPN | IPSec/SSL/L2TP/GRE 网关，国密 SM2/SM3/SM4 套件，并发隧道 5 K–20 K | 支持 Hub-Spoken、DMVPN、证书+USBKey 双因子 |

| IPS | 3000+ 特征库、漏洞机理+行为异常双引擎，自定义 Snort/Suricata 规则导入 | 误报率 < 2 % |

| 防病毒 | 本地+云双引擎，病毒库 600 万+，支持压缩包递归查杀 | 流行/高危/普通三级策略 |

| 抗 DDoS | SYN Flood、UDP Flood、DNS/NTP 反射、慢速攻击、应用层 CC 防护 | 硬件级 SYN Cookie，每秒可处理 200 万包 |

| 上网行为管理 | 进程级策略，P2P/IM/流媒体/网游/股票软件 1000+ 应用指纹 | 支持黑白名单、限速、阻断 |

| 反垃圾邮件 | 贝叶斯+ RBL+ 发件人认证，附件/关键字/大小多维度过滤 | 垃圾邮件识别率 99 % |

| 无线安全 | 可选 Wi-Fi 模块，支持 WIDS/WIPS、非法 AP 抑制、无线准入 | 与有线策略统一管理 |

四、高可用与扩展  

• HA 模式：主备（A/S）、主主（A/A）、VRRP + 链路探测，切换 < 3 秒；  

• 负载均衡：服务器负载、多 WAN 链路、DNS 透明代理；  

• 扩展槽：可插 SSL 加速卡、国密卡、流量探针、无线控制器板卡。

五、集中管理  

• 管理中心：Web GUI + CLI，支持 1 万台设备拓扑、策略、日志集中；  

• 日志：Syslog CEF/JSON、Kafka、Elasticsearch，本地 4 TB SSD 缓存；  

• API：REST/GraphQL，读取实时会话、威胁、策略命中；  

• 升级：增量签名包 < 30 MB，灰度 1 %/10 %/50 %/100 % 四阶段。

六、型号与性能（代表型号）  

| 型号 | 防火墙吞吐 | IPS+AV 吞吐 | 并发连接 | 新建 CPS | 端口配置 |

|---|---|---|---|---|---|

| USG-600A | 1 Gbps | 600 Mbps | 120 万 | 30 K | 8×GE |

| USG-4000D | 10 Gbps | 4 Gbps | 500 万 | 80 K | 12×GE+4×SFP |

| USG-10000E | 40 Gbps | 10 Gbps | 2000 万 | 200 K | 8×SFP++8×GE |

七、典型部署  

• 网络出口：多链路负载 + IPS + AV + 行为管理；  

• 数据中心：万兆边界网关，替代多台安全设备；  

• 分支机构：IPSec VPN 集中接入，零配置上线；  

• 信创环境：等保 2.0 三级/四级、关基、关保合规。