🏦 面向金融银行的整体交付

金融银行行业解决方案

面向银行网点、金融机构与保险证券，提供网点网络建设：专线组网、安防监控、日志审计合规与机房改造，服务9家银行的网点建设经验，高稳定承载。

按行业组织能力组合整体交付长期维保

本行业旗舰方案 · 银行网点信息化方案

服务9家银行的网点网络建设经验：专线组网、安防监控、日志审计合规、机房改造，高稳定承载。

9家银行服务经验高稳定承载日志审计合规7×24应急保障

方案定位

金融行业基础网络建设时间较早，多采用早期园区网架构，随着网点数量增加、业务向移动化与多分支演进，传统网络在统一认证、日志留存与集中运维上的短板日益明显：网点设备老旧、无线控制器失控、访客上网无法溯源、私接路由隐患等问题，既影响业务办理效率，也带来审计与合规风险。

东创伟业面向银行网点、金融机构提供信息化整体交付：以智能应用网关为核心，网桥模式旁路部署在网点核心交换机与防火墙之间，不改动现有网络结构即可实现WiFi实名认证、上网行为审计、日志180天留存与AP统一纳管；云端集中管理平台支撑总行-分行-网点多级管控、自动化安全周报/月报，已服务9家银行的网点网络建设，兼顾合规、成本与运维效率。

按网点层级看怎么部署

金融网点的分工很明确：总行看集中管控、网点看改动最小、认证看三类终端分别处理

网点层级或终端类型部署与管控重点合规与运维口径

总行与分行管理侧总行不部署网络设备，管理流量、认证流量与日志回传在云端处理云端集中纳管，权限可按地市分行分级下放

支行与营业网点网关以网桥模式旁路部署在核心交换机与防火墙之间，不改动网络结构与 IP 配置营业厅不允许设备进机房的，可选壁挂安装

员工办公接入工号加密码账号认证，认证一次长期有效统一身份认证平台按支行分权分域管理

访客与办业务人员短信认证，上网时间可控、到期自动下线，网点内多 AP 无感知漫游实名记录与上网日志留存，可精确到人

哑终端（收银、叫号机等） IP+MAC 绑定准入，无需认证但状态可控出现问题可按绑定关系溯源追查

多网点集中运维全网设备统一纳管、统一升级与策略下发，设备离线多渠道告警安全审计周报与月报自动生成并定期推送

上表为部署口径，实际按网点数量、机房条件与既有网络安全要求核算后定稿。

银行网点网络与安防架构示意

运营商双线接入、网点边界与网络分域（生产网 / 办公网 / 访客网）、业务承载（生产 / 办公 / 监控）、日志与审计留存，以及机房施工窗口与长期维保的关系。本图不含品牌与型号。

网点网络与合规的六大痛点

设备老旧、认证缺失、日志不全、私接路由、管理分散，制约网点数字化与合规审计

网点设备老旧，无线控制器失控

区县营业网点设备使用年限长、功能单一，无线控制器经常性无法控制各支行AP，出现大范围失控AP，网络隐患与运维负担并存。

访客上网无法实名认证与溯源

员工与到店办业务人员接入WiFi无法实名认证和审计溯源，一旦发生不良言论或违规访问，无法追查至具体人员，责任界定困难。

私接家用路由，整网风险敞口大

部分网点各自为政、私接家用路由器，绕过统一管控形成安全盲区，给内网服务器资产与业务系统带来极大风险。

网点分支增多，安全与运维压力倍增

每新增一个网点分支，就多一个病毒入侵入口和一个故障点；支行网络故障直接影响业务办理，需快速定位及时处置。

上网日志缺失，不合规风险高

缺少全量上网日志留存与可视化分析，发生网络安全事件后无法依据会话、账号、URL记录回溯定位，难以满足监管审计要求。

多网点各自为政，缺乏统一管理

各网点设备型号混杂、无统一SSID与加密策略，无法集中下发配置、统一升级，运维人员分散、效率低、成本高。

六大核心能力，支撑网点信息化合规

全网可视 · 统一认证 · 日志留存 · 免AC管理 · 威胁拦截 · 云端运维

全网可视化与精细化应用识别

协议识别1200+ · 业务质量可视

智能应用网关基于七层应用识别技术，内置1200余种协议识别库、现网识别率95%以上，支持节点跟踪、主动探测、协议多状态机等识别手段，将传统DPI、DFI能力融合，为流量可视、行为管控与日志审计提供数据基础。

实时展示全网上下行流量、连接数与协议分布
每时每刻每一IP的详细会话信息与用户画像
域名访问统计与整体画像，异常随时发现
业务级质量分析：客户/服务/应用三段时延定位故障

一体化认证管理，多角色分权分域

员工·访客·哑终端分类准入

实现有线无线一体化的统一认证：员工工号+密码认证一次长期有效，访客短信认证到期自动下线，哑终端IP+MAC绑定免认证；支持Portal无感知认证与跨网点无感知漫游，兼顾安全与体验。

内部员工：账号密码认证，可定制免认证时长
外部访客：短信认证，上网时间可控、到期自动下线
哑终端：IP+MAC绑定准入，出现问题时即可溯源追查
Portal无感知：首次认证后自动放行，手机/Pad零配置

全会话流量溯源，日志留存180天

满足《网络安全法》与151号令

认证日志+会话日志+URL日志1:1留存，一张表内体现访问时间、源/目的地址、NAT地址、账号、域名、协议类型、7层协议名称、流量等元素，满足《网络安全法》及公安部82号令、151号令对日志留存与审计溯源的要求。

用户认证日志+会话日志+URL日志全覆盖
支持NAT五元组信息与QQ/微信等账号登录记录查询
大数据日志审计平台留存180天，可协助公安查阅
异常流量、域名劫持、质差目标快速回溯定位

免AC管理，出口自带无线管控

节省AC硬件成本 · 网络更扁平

智能应用网关内置SAC无线控制器（以APP形式集成），直接管理本地AP，避免远端AC跨三层管控失控；AP支持零配置自动上线，统一配置SSID、射频、信道、功率，无需单独购置AC控制器，减少潜在故障点。

DHCP Option 138指定SAC地址，AP即插即用
统一配置分组、射频、信道、SSID、VLAN等参数
按网点规则命名AP，快速定位问题设备远程处置
省去一台AC硬件购置与维护成本

威胁拦截管控

高危拦截 · 挖矿识别 · 溯源可查

基于高危IP/域名威胁情报库与DPI特征识别，对违规与高危目标地址、域名访问进行拦截阻断与审计，及时发现流量中的异常行为、定位风险终端；支持对挖矿行为基于软件通讯与矿池黑名单双路径治理。

高危IP、域名情报库拦截并追踪连接内网IP
黄赌毒、钓鱼及恶意网站访问阻断与审计
DPI规则阻断挖矿软件通讯，矿池域名/IP黑名单拦截
拦截记录留存审计日志，可回溯源/目的IP

统一运维管理平台

云端纳管 · 周报月报 · 微信告警

云端SaaS集中管理平台统一纳管全网网关与AP设备：实时查看运行状态、流量概况与地理位置，支持远程控制、统一升级、统一策略下发，关联微信设备离线告警；安全审计报告按周/月自动生成推送，运维权限可按地市分行分级下放。

设备纳管、配置备份、升级任务按区域批量下发
安全审计周报/月报自动化生成并定期推送
微信/企业微信/钉钉/飞书/邮箱多渠道告警通知
总行统一监管、分行分权分域管理

按交付项数分三档，可逐项取舍

交付项按「认证与日志、无线与安全、集中运维」拆开，可以先补齐合规底线，也可以全网统一纳管

网点合规专项档（3项）

适合：先把认证与日志补齐

网桥旁路网关部署与调试
WiFi 实名认证配置（员工 / 访客 / 哑终端分类准入）
上网日志留存与查询溯源配置

不改动现有网络结构，部署期间业务影响小

网点信息化核心档（6项）

适合：无线与安全一起做

网桥旁路网关部署与调试
WiFi 实名认证配置（员工 / 访客 / 哑终端分类准入）
上网日志留存与查询溯源配置
免 AC 的 AP 统一纳管与零配置上线
网段隔离（办公 / 访客 / 哑终端）与安全组网
威胁拦截与高危 IP、域名管控

出口自带无线管控，无需单独购置 AC 控制器

网点信息化整包（9项）

适合：多网点统一纳管

网桥旁路网关部署与调试
WiFi 实名认证配置（员工 / 访客 / 哑终端分类准入）
上网日志留存与查询溯源配置
免 AC 的 AP 统一纳管与零配置上线
网段隔离（办公 / 访客 / 哑终端）与安全组网
威胁拦截与高危 IP、域名管控
云端集中纳管与分行分级权限交付
安全审计周报月报与多渠道告警配置
运维移交、操作培训与长期维保

含运维移交与长期维保，权限可按地市分行下放

三档共用一套分档口径，按网点数量与设备配置分项报价，可逐项取舍；9 家银行的网点网络建设经验可对照参考。

网点网络、安防与合规选型判据

按业务连续性、分域隔离与行业合规要求逐条对照；表内不出现具体品牌与型号。

判据项需具备的能力判断口径与说明

线路与冗余双线接入与线路异常切换网点业务连续性优先；切换机制与表现通过实测验证，写进验收记录。

网络分域生产网、办公网与访客网分开各域策略独立、互不影响，避免办公侧异常波及业务侧。

边界防护按业务端口清单收敛暴露面冗余与冲突策略一并清理，只保留必要开放的端口。

日志审计按行业监管要求留存并可调阅留存周期与调阅权限按行业规定配置，检索与导出可用性交付时实测。

监控与报警出入口、柜台、自助区按行业要求布点点位与留存天数按行业规定执行，调阅流程留痕。

机房与施工窗口按机房条件与营业窗口实施施工窗口与业务连续性一并排期，割接安排在低峰并保留回退方案。

网关、无线与审计怎么配

以授权代理身份供货派网设备；网点改造以「不改网络结构、少动机房」为前提选型

环节可选方向选型说明

出口与审计网关派网 Panabit（授权代理）网桥旁路部署不改网络结构，内置无线 AC 与日志审计能力

无线 AP 与 POE 交换按网点面积与结构选型 AP 由网关统一纳管、零配置上线，按网点规则命名便于定位

日志审计与留存云端日志审计平台认证、会话与 URL 日志 1:1 留存，云端保存 180 天并可按条件检索

线路与专线运营商渠道直连（联通 · 电信 · 移动 · 广电）按网点接入条件与业务连续性要求组合

监控与安防（如需）海康威视 · 大华（授权代理）按网点点位与录像留存天数要求配置存储容量

运维与报表东创伟业统一交付统一纳管、分级权限、审计报表自动推送与长期维保可选

我们以授权代理身份供货并承担方案设计、施工与售后，非设备研发厂家本身；设备质保按厂家政策执行，报修由我方对接。

整体实施方案

从两级组网、认证设计到日志审计与统一运维的一体化交付

总体架构：互联网-营业网点两级组网

总行零设备 · 云端集中管理

两级架构：分行、支行及营业网点出口部署智能应用网关，总行不部署网络设备，管理流量、认证流量及日志回传均在云端处理，互联网访问流量走本地出口。
云端管控：云端SaaS部署集中管理与日志平台，对全网设备集中下发策略与配置，降低多网点分散部署的管理复杂度。
本地部署：各分行、支行及营业网点部署智能应用网关，按需部署AP及POE交换机，业务本地出口、策略云端统一下发。

分行/支行网点部署模式

网桥旁路 · 不改网络结构

网桥模式接入：智能应用网关部署在核心交换机与防火墙之间，以网桥模式实现上网行为管理，无需更改网络结构、路由与IP配置，部署简单快捷。
无线覆盖：按各支行面积与建筑结构设计AP点位，AP统一接入总部管理平台，覆盖办公区无线网络。
壁挂安装：若营业厅不允许网络设备进机房，智能应用网关支持壁挂安装模式，灵活适配网点空间。

上网认证设计

短信认证 · 账号认证 · MAC绑定

访客短信认证：办业务用户采用短信准入认证，在各支行/营业厅出口网关统一认证，身处任意网点的访客均可通过同一短信平台认证，并实现网点内多AP无感知漫游。
员工账号认证：员工办公采用内部账号密码认证，统一身份认证平台按支行分权分域管理，认证一次长期有效。
哑终端准入：哑终端采用IP+MAC绑定准入，状态可控、出现问题可溯源追查，在各支行网关本地配置、运维清晰。

上网日志回传与留存设计

1:1日志 · 云端180天

全量日志：各网点网关审计用户认证日志+会话日志+URL日志，1:1输出访问时间、源/目的地址、NAT地址、账号、域名、协议类型、7层协议名称、流量等元素。
云端回传：审计日志通过加密链路回传SaaS云数据中心备份留存，满足公安部151号令180天留存要求。
查询溯源：云端日志平台提供日志查询、分析与回溯能力，安全事件发生后可精确到人、IP落地。