论法的精神

第一篇第一章第三节 论实定法



孟德斯鸠 著 Justice 译



第三节 论实定法



人类一旦进入社会状态，就不再有弱小之感，人与人之间的平等也就不复存在，于是，开始处于战争状态。
每一个社会都觉得自己实力强大，于是，国与国之间就处于战争状态。每一个人都像每一个社会一样，都觉得自己武力高强，都想方设法将社会的主要利益据为己有，于是，人与人之间就处于战争状态。
上述两种不同的战争状态，催生了人类之法。作为必然含有不同国家的如此巨大的星球上的居民，人类拥有与国家间互相交往有关的法律，这种法律我们称为万国法【1】 。作为必须予以正常维护的社会的成员，人类拥有与统治者和被统治者有关的法律，这种法律我们划为政治法。作为彼此之间存在关系的人，人类还拥有一种法律，这种法律就被认为是民法。
万国法自然是建立在如下原则的基础上：在和平时期，各国应尽其所能互相谋求福祉；在战争时期，各国在不损害其切身利益的情形下，应尽可能减少伤害。
战争的目的就是胜利，胜利的目的就是征服，征服的目的就是保全自己。构成万国法的一切规则，均源于这一原则以及前一原则。
所有的国家均有万国法，就连那些吞食战俘的易洛魁人也不例外，因为他们会派遣和接受使节，熟悉战争与和平时期的权利，但是，坏就坏在其万国法并非以真正的原则为基础而建立的。
除与一切社会有关的万国法外，每一个社会都有其政治制度或者民事制度。没有某种政府形式的社会无法生存。正如格拉维纳颇有见地的论述：“种种个体力量汇集在一起，就构成我们所称的政治组织。”
上述政治组织的全部力量，或许由某个人或者某些人所掌握。有人认为，既然大自然已创立父权，由某个人掌权的政府，就是最符合自然的政府。但是，父权之例不能说明任何问题，其原因在于，倘若父亲的权力与个人掌权的政府有着密切联系，则父亲去世后兄弟们拥有的权力以及兄弟们去世后嫡堂表兄弟拥有的权力，就与许多人掌权的政府有关。如此一来，政治权力必定是掌握在几个家族的手中。
与上述说法相比，如下说法更为合理：最符合自然的政府，是与政府设立时所服务的人民的意向与性情最为一致的政府。
没有一切意志的结合，个体力量就无法联合在一起。格拉维纳论述得极其正确：“那些意志的结合，就是我们所说的公民之国。”
总而言之，法就是人类理性，其原因在于，它规范着地球上一切居民的行为。因此，每一个国家的政治法和民法，只不过是人类理性所适用的具体情形而已。
法律是为特定的人民而量身定制的，理应十分适合该国民众。倘若某国法律也适合另一个国家，那完全是巧合而已。
法律必须与每一种政体的性质及其原则相吻合。无论是组成政府的法律，如政治法，还是维护政府的法律，如民法，都是如此。
法律必须与每一个国家的气候、土壤状况以及国家地理位置与疆域大小相吻合；必须与本国民众的主要职业，诸如农夫、猎人或者牧民等各种职业相吻合。法律必须与其基本政治制度所能承受的自由度相适应；必须与居民的宗教、喜好、富裕程度、人口数量、贸易状况、风俗习惯相适应。最后，法律之间也存在联系，正如法律也与其起源、与立法者的意图以及与法律赖以建立的各种事物的秩序存在联系一样。总之，法律必须考虑上述方方面面的关系。
这就是我打算在下文予以阐述的内容。我将一一考察上述关系，因为正是这一切关系凝聚在一起构成了我所说的“法的精神”。
我并未将政治制度和民事制度截然分开，因为我要探讨的不是法律，而是法的精神。由于这种精神蕴涵于法与调整对象之间可能存在的种种关系之中，所以，我将尽量遵循这些关系与调整对象的自然顺序，而会较少顾及法的自然顺序。
我将首先考察法与每一种政体的性质及其原则之间的关系。鉴于这种原则对法具有巨大的影响，因此，我将潜心研究，完全透彻地把它弄明白。一旦理清原则问题，人们就会看到，法就会从其源头喷涌而出。而后，我将继续探讨其他更为具体的关系。



注释：

【1】有的译为“国际法”，不妥，系误会了其内涵外延的结果，何况表示调整国家之间关系的“国际法”这一概念，系边沁于1789年在其著作《道德与立法原则》一书中率先使用后才被普遍接受的。有的译为“国际公法”，但彼时并无“国际公法”与“国际私法”之分。??译注

《论法的精神》



孟德斯鸠 著 Justice 译



第一篇



第一章 法之概论



第二节 自然法



在上述法律产生之前，就存在自然法。之所以称为自然法，是因为其力量完全来源于我们的身体和生存状态。为全面了解这些自然法，必须考察社会建立之前的人类，因为在这种状态中，人类所接受的法，就是自然法。



自然法给我们灌输造物主的观念，引导我们归顺造物主。这虽然并非先后顺序中的第一自然法，但却是第一重要的自然法。处于自然状态中的人类，在获得知识之前，应当具有认知能力。很显然，人类最初不会有思辨观念，它首先想到的是生存问题，而后才会追问自己来自何处。如此之人的最初感觉，会是自身的弱小无能，甚至害怕恐惧至极。倘若需要例证予以证明的话，就可以看看在森林中发现的野人的行为[1]，它们遇到树叶摆动都会颤抖，目睹影子都会逃跑。



在这种状态中，每一个人都不会有与他人平等的感觉，而都会自认为低人一等，因此，不会存在互相攻击的危险，和平应是第一自然法。



霍布斯认为人类的原始欲望就是互相征服，这种观点毫无根据。控制与支配他人的想法，极其复杂，从属于诸多观念，因此，绝不可能是人类最先产生的认识。



霍布斯问：“人类倘若不是天生就处于战争状态，为什么要全副武装，为什么要关门上锁？”很显然，霍氏是把只能在人类社会建立以后发生的事情，强加给人类社会建立以前的人类身上。人类社会建立后，人类才产生敌对攻击与自我防卫的动机。



人类先是自感弱小，随即就会发现自己有饥饿感，因此，另一自然法会促使其觅食果腹。



我已论及，害怕会让人逃避，可是，由于害怕是相互的，这一特点不久就会推动人们互相交往。此外，某一动物亲近另一同类动物时所体验的那种愉悦感，也会很快促使人们予以模仿而交往。再者，两性差异所产生的吸引力，也会增强这种愉悦感，因此，人类自然而然的互往互爱，会形成第三自然法。



人，除具有与动物一样共有的感觉或者本能外，还具有获得知识的能力，由此而产生动物所不具有的第二种联系。所以，人类具有相互结合的新动机，第四自然法就是源于在社会中生活的这种愿望。



[1] 在汉诺威丛林发现而在乔治一世统治时期送至英国的野人，就是例证??原注。

《论法的精神》



作者 孟德斯鸠 译者 Justice



第一篇



第一章 法之概论





第?节 法与万物的关系



最广义的法，是指源于物之属性的必然关系。从这种意义上而言，万物皆有法：神[1]有其法，物质世界有其法，超人智能有其法，兽有其法，人有其法。




有人断言，我们在这个世界上所看到的一切，都是由盲目的命运所导致的。这种说法极其荒谬，因为除盲目的命运创造智能物的妄言外，还能有什么更为不合理？



可见，存在一种最高理性。法，就是这种理性与万物之间的关系以及万物彼此之间的关系。



上帝，作为造物主与护物主，与宇宙存在关系。上帝创造万物所循之法，就是上帝保护万物所循之法。上帝之所以遵循那些法则，就是因为他了解那些法则；他之所以了解那些法则，就是因为那些法则是他所制定的；他之所以制定那些法则，就是因为那些法则与其才智和权力有关。





我们已注意到，尽管这个世界是因物质运动而形成的，而且没有认识能力，但是，这个世界历经如此漫长的岁月而仍然存在，所以，其运动必定受恒定之法的指引。倘若我们可以臆想出另外一个世界，它也必定拥有不变的法则，否则，它必然会消失。





因此，看似随心所欲的上帝创世行为，必定蕴涵着与无神论者命运之法一样的恒定之法。认为没有那些法则，造物主也可以统治这个世界的说法，是荒谬的，因为没有那些法则，这个世界就不可能存在。





那些法则，就是恒定不变的关系。移动物体的运动，就是根据物体质量与速度的关系而产生、加速、减速或者停止的；异就是同，变就是不变。





某些智能物可能拥有其自己制定的法则，但也同样拥有绝不可能是其自己制定的法则。智能物在出现之前，就有出现的可能，因此，它们拥有可能存在的关系及其法则。就是说，在法律制定之前，就可能存在公正关系。认为除实定法[2]所要求或者禁止的外，根本不存在什么公正或者不公正的说法，与认为圆未画好前，所有半径都不相等的说法，并无二致。




因此，我们必须承认，在规范公正关系的实定法制定之前，就已经存在公正关系。例如，倘若人类社会存在，遵守人类之法就是天经地义的；倘若某一智能物接受了另一智能物的恩惠，前者就应当感谢后者；倘若某一智能物创造了另一智能物，后者就应当一直保持依存前者的最初状态；倘若某一智能物伤害了另一智能物，前者被后者报复就是罪有应得。如此等等，不一而足。2





不过，智能世界的治理，远远比不上治理得那么井井有条的物质世界。尽管智能世界也有其法，即本质上恒定之法的法，但是，智能世界不可能像物质世界那样不折不扣地遵循其法。究其原因，一方面是因为某些智能物囿于本性而容易犯错误；另一方面是因为某些智能物的本性就是要求自由自在。所以，智能物不是始终遵循其原始之法，甚至还不时违犯其自定之法。





动物是否受普遍或者特殊运动法则的支配，我们无法确定。无论如何，它们与上帝的关系，也不可能比它们与物质世界其他物的关系更为密切；感觉对于它们而言，只是在彼此之间或者它们与其他物之间的关系中才有用处，除此以外，别无他用。





凭借肉欲诱惑，动物个体得以传承；凭借这一诱惑，动物物种得以传承。动物拥有自然法，因为它们是通过感觉而结合起来的；它们不拥有实定法，因为它们不是通过认识而联系起来的。然而，动物并非始终不渝地遵循其自然法，倒是那些既没有认识能力也没有感觉能力的植物，能更好地遵循自然法。





动物不具有我们人类所具有的高级能力，但它们却具有我们所不具有的某些能力。它们没有我们所怀有的希望，但它们也没有我们所怀有的恐惧；它们像我们一样都会死亡，但它们却不知死为何物；甚至大多数动物比我们更注意自我保护，而且不那么放纵其情感。





人，作为自然物，与其他物一样，受恒定之法的支配。人，作为智能物，不断违背上帝所制定的法律并改变自己所制定的法律。他是任其自我管理之物，尽管他是有缺陷之物，而且他与一切有缺点的智能物一样，必定会出现无知与犯错的情形：甚至仅有的粗浅知识，他都会丧失；作为感性之物，他会受到无数冲动情感的驱使。如此之物，随时都可能将造物主抛诸脑后，因此，上帝就以宗教法提醒其履行义务；如此之物，随时都可能将他自己抛诸脑后，因此，哲学家就以道德法警示他究竟是谁；虽然人类组成了社会并生活于社会中，但是，他可能将其同类抛诸脑后，因此，立法者就以政治法与民法促使其恪尽义务。





[1] 普鲁塔克说：“法，是一切人和神的主宰。”参见其论著《君主务必博学》。??原注

[2] “positive law”，又译“实在法”、“人为法”、“人定法”等，也有人译为“成文法”。除“成文法”之译值得商榷外，其余译文一般而言均可取，甚至译为“自定法”之类也并无不可。采“实定法”之译，未采观其文知其意的“人为法”、“人定法”或者“自定法”等，主要基于行文更为合理的考虑。例如，下文“……动物物种得以传承……它们不拥有实定法，因为它们不是通过认识而联系起来的”，若改为“……动物物种得以传承……它们不拥有人定法，因为它们不是通过认识而联系起来的”，就会造成如下误解：若动物是通过认识而联系起来的，就会拥有人为其制定的法律。而实际上，作者这段话的意思是：若动物是通过认识而联系起来的，就会拥有其自己制定的法律。又如，译为“自定法”也不够合理，因为会造成被统治者也有权立法的误解。??译注

McAfee企业版8.5i 5000扩展特征库

McAfee 5000 beta 特征库相比McAfee的标准特征库：

更新频率极高（基本上每个小时都会更新一次），检测率将变得更高，当然误报的几率也会变得更高

使用方法：
下载后将里面文件解压到*:\Program Files\Common Files\McAfee\Engine目录下面
替换原文件即可

注意：
一旦使用McAfee自带的升级程序进行在线更新，McAfee的病毒库就又会回复为标准库了
如果要使用5000扩展库，请暂时停用McAfee的在线更新，使用手动下载5000库的方法进行更新

恢复为标准病毒库的方法：使用McAfee自带的升级程序进行在线更新，就可以恢复为标准的病毒库了


注意:

使用5000扩展库将会增加McAfee出现误报的机会，请务必慎重选择使用。

下载地址为官方地址，所以下载得到的永远是最新版

扩展库在2-3天后会整合到标准库中，一般不用特别的去下载。

下载地址：
http://download.nai.com/products/McAf ... vvwin_netware_betadat.zip

test

test

7. 综合布线系统设备清单
　　序号 设备名称 规格型号 品牌 产地 单位 数量
　　1 超五类信息模块（白色） 个 504
　　2 双口信息面板（白色） 只 230
　　3 单口信息面板（白色） 只 44
　　4 模块化跳线 条 170
　　5 模块化跳线 条 170
　　6 超五类4对非屏蔽线缆 箱 104
　　7 24口超五类配线架（带理线器） 个 2
　　8 48口超五类配线架（带理线器） 个 10
　　9 语音跳线 轴 1
　　10 3类25对电缆 轴 1
　　11 100对有腿配线架 个 5
　　12 110配线架安装背板 个 5
　　13 六芯多模光缆（室内） 米 80
　　14 四芯多模光缆（室内） 米 110
　　15 机架式光纤配线架 个 2
　　16 600A系列支架 套 2
　　17 24口ST耦合器面板 个 1
　　18 12口ST耦合器面板 个 1
　　19 ST多模耦合器 个 24
　　20 600A系列防尘盖 个 2
　　21 多媒体光纤信息插座 个 4
　　22 ST-ST多模双芯跳线 6FT（尾纤） 根 10
　　23 ST-SC多模双芯跳线 6FT 根 4
　　24 单对打线工具（含手柄及刀头） 把 2
　　25 42U标准机柜19〃 套 2
　　26 PVC管 米 2500
　　27 PVC管 米 500
　　28 地弹式信息插座 个 8
　　29 地弹插座底盒 个 8
　　30 墙面插座底盒 米 266
　　31 水晶头 个 170
　　32 光纤熔接 个 56
　　33 其他辅材 项 1

　第二章、防雷接地

　　1. 设计依据及原则

　　1.1 设计依据

 建筑物防雷设计规范 BG50057-94
电子计算机机房设计规范 GB50174-93
民用建筑电器设计规范 JGJ/T16-92
计算站场地安全要求 GB9361-88

　　1.2 设计原则

　　由于机房雷电防护系统对所保护系统的业务正常运行具有非常重要的作用,因此雷电防护系统应具备先进性、可靠性、易维护、易升级等方面的突出特性。防雷工程设计及设备的选择应遵从以下的原则：

 可靠性原则

　　设计系统雷电防护工程应最先考虑的问题就是可靠性。在工程的设计中不一定要求最先进，但一定要用最成熟可靠的产品和技术，有些新技术确实在某些方面有优势，但还需要更多的时间去考验，在网络系统的雷电防护中应选择被广泛应用和证实的可靠产品和技术。

 实用性原则

　　本着一切从用户实际角度出发，配置防雷保护系统不是给用户花钱，而是在保护用户的投资，保证网络系统的正确运行；实用性就是能够最大限度的满足实际工作要求，从实际应用的角度来看，这个性能更加重要。

 开放性、可扩充、可维护性原则

　　雷电防护技术是不断发展变化的，为了保证用户的投资，所选产品必须符合国际标准及流行的工业标准，这样才能对网络的未来发展提供保证。

 经济性原则

　　整个防雷保护的建设要坚持实用为主， 根据投资的强度选择有实用价值，在满足系统需求和前提下，应尽可能选用性能价格最好，可靠性高、可维护性好的产品，选用性能价格比高的设备，尽快投入使用，并使整个系统能安全可靠地运行，以便节省投资，以最低成本来完成计算机网络系统防护的建设。

　　2. 雷电的入侵和危害

　　具体地说，雷电防护工作的第一步就是首先应确认雷害侵入计算机系统的各种途径，（即了解客户的实际需求），在这个基础上，依据系统雷电防护的科学理论和我们丰富的防雷设计安装经验，采取相应的防护措施，进行有针对性的防护，从而达到在雷电入侵时能够保障系统安全运行的目的。为此，首先对于计算机信息系统的雷电入侵和危害，我们分别从以下几点进行分析：

　　直击雷

　　如果雷电直接击中建筑物、房屋及与地基接地连接的所有电气设施，接地网的地电水平会在数微秒被抬高数万或数十万伏。高度破坏性的雷电电流将从各种装置的接地部分，流向供电或数据网络系统。与此同时，在未实行等电位连接的导线 回路中，可能诱发高电位差而产生为花放电的危险。

　　传导雷

即使雷电不直接放电在建筑物本身，而是对布放在建筑物外部的线缆放电。雷击的影响及过电压进行波几乎以光速沿着电缆线路扩散，危及每磁电子系统。结果在听到打雷声之前 数据处理系统，计算机。仪表与控制系统等电子设备可能以被损坏。

　　感应雷

　　雷击在保护设备或线路的周围发生，或闪电不直接对地放电，只在云层与云层之间发生放电现象。闪电释放电荷，并在电源和数据传输线路上感应生成过电压，产生如前所述的后果。

　　开关操作过电压

　　大型电感性或电容性负载的开关,甚至供电网中接地故障或短路均可产生高压峰值。在此种情况下，虽然并不是雷电引起的故障，但对电子系统构成的影响即是一样的。因此，我们主要对以上几种途径入侵的雷电压及过电压进行防护。

　　3. 防雷防浪涌及接地系统

　　实施防雷工程主要就是要保证机房设备安全运行，保证计算机网络的传输质量，在各点进行不同等级的防雷保护。根据办公楼的实际情况，提出以下防雷措施：

　　1) 对信息中心机房进行全方位的防雷接地保护；

　　2) 对监控机房等进行全方位的防雷接地保护；

　　3) 对室外摄像头进行电源、视频、控制线路进行全面保护；

　　4) 对其它区域进行普通电源保护。

　　其中，按《招标书》的要求，本次防雷/接地设计的重点是‘5楼信息中心机房’，其它项目的防雷/接地视工程情况而定。

　　3.1电源系统防雷

　　我们将电源系统防雷分成三级来设计。

　　三级防雷原理图如下：

　　由于雷电流能量大一般在≈200KA、电压高达≈10000V、频率高≈800M-1G、通过时间短≈8/12μs一般的空气开关，保险丝、稳压设备等是无法防护的。所以必须加装避雷针、带、网防御直击雷，内部加装三级高反应速度的防止感应雷泻放设备。分流感应到线路的雷电流将雷电限制在1000V以下。

　　具体三级电源防护措施：

 第一级

　　作为主级电源防雷设备根据 IEC 61312-3《雷电电磁脉冲的防护 第三部分 过电压保护装置的要求》防雷设备泻放电流在150-100KA，限制电压在2800V-2500V以内。

　　具体措施：在大楼总配电柜处加装电源防雷模块做为大楼的第一级电源防雷（共需MC50-B 6个，MC-125-B/NPE 2个）。

 第二级

　　次级电源防雷要求防雷设备泻放电流在70-40KA，限制电压在1800-1500V以内。
具体措施：在5楼信息中心机房配电箱的三项空开出线处加装V25-B/3+NPE电源防雷模块做为第二级电源防雷。

 第三级

　　末级防雷要求防雷设备泻放电流在40-20KA，限制电压在1000-600V以内。
具体措施：在5楼信息中心机房配电箱的单相空开出线处加装V20-C/2电源防雷模块做为第三级电源防雷（共需3套），另外在综合布线FD1配线间电源线路进入端串联加装抗浪涌电源插座。（计需2套）

　　3.2 通讯线路雷电防护

　　通讯、信号主要是通过电信部门通讯线路连接到设备端，进行网络通讯。通讯线路大多是挂空线缆，内部网络系统各通讯点的连接大多也是挂空双绞线线缆。根据IEC 61312-1《雷电电磁脉冲的防护 第一部分 通则》中提供的模拟公式可进行估算：高约4米长50米的挂空电缆在一公里雷击范围内线路感应电压约为800V。所以在通讯线路的入户端，出户端必须加装防雷设备。

　　主要保护对象为信息中心机房

　　具体措施：

　　对于采用光纤通信的线路可以不另外加装防雷器，只需在光纤入户端将光纤内的钢筋做良好接地即可。但应考虑到做为备份通信的其它线路，如DDN等，因此对非光纤的通讯线路做防雷保护是有必要而且是必需的。可在专线通讯线路入户端加装RJ45-ISDN/4-F通讯专线防雷器一套（计需1套）；

　　3.3 机房内部防雷辅助措施

 为了保证在机房内的工作人员不受静电及电磁脉冲的危害，需在静电地板下做均压网，且均压网与接地做良好的连接。使整个机房内地板的电位一致。

 需将静电地板下方的支撑钢架与均压网做良好的电气连接，使静电地板上积累的电荷有良好的泻放通道。

 将机房内所有需要接地的设备的金属表面与均压网汇流排做良好的电气连接

　　3.4 接地系统

　　3.4.1机房独立接地要求

　　根据《电子计算机机房设计规范－GB 50174-93》中对接地的要求：交流工作接地、安全保护接地、防雷接地的接地电阻应≤4欧，本设计的接地电阻≤2欧，以提高安全性和可靠性。机房设独立接地体接地网，要求接地桩距离大楼基础15-20米。

　　3.4.2机房接地系统

　　计算机接地系统是为了消除公共阻抗的合，防止寄生电容偶合的干扰，保护设备和人员的安全，保证计算机系统稳定可靠运行的重要措施。如果接地与屏蔽正确的结合起来，那么在抗干扰设计上最经济而且效果最显著的一种，因此，为了能保证计算机系统安全，稳定、可靠的运行，保证设备人身的安全， 针对不同类型计算机的不同要求，设计出相应的接地系统。

　　机房接地类型一般分为以下几种：

　　1． 交流工作接地 ；

　　2． 计算机系统的弱电接地；

　　3． 安全保护接地；

　　4． 防雷保护接地（处在有防雷设施的建筑群中可不设此地）。

　　对于本工程的接地，大楼有共用接地系统，机房交流工作接地和计算机系统的弱电接地设独立接地网，由机房接地网直接引线至机房，引线为大于95mm2铜芯绝缘导线，中间不能裸露，接地电阻小于1欧姆。

　　在计算机系统的弱电接地系统中，机房内部采用网格接地方式，就是把一定截面积的铜线或铜带在架空地板下交叉排成1800MM*1800MM的方格，交点处压接在一起。网格接地方式不仅有助于更好的保证逻辑电路电位参考点的一致性，而且大大提高了计算机系统的抑制内部噪声和外部干扰的能力。

　　4. 产品性能介绍

　　1) MC50-B OBO最新防雷模块，通流容量达到60KA，运用最新间隙式防雷技术，有很强的抗线路直击传导雷，可挂墙安装。

　　2) V25-B/3-NPE 可做为电源第二级防雷，有一定的防直击雷能力，带有NPE保护模块。接入方式为并联入电路

　　3) LT A6-420NS雷泰插座式电源防雷器，最大通流容量19 KA，标称通流容量9.5KA，有过热、过流、滤波、接地监测、相线监测和失效指示等功能，反应速度10-9秒，黄铜镀镍接触片工作性能稳定，五万次插拔无故障，功率2000W，适用于单相高档设备的未级电源防雷。

　　4) RJ45-ISDN/4-F 通讯专线防雷器，通流容量5KA，插入损耗小于0.5dB，反应速度为10-9秒。

　　5) RJ45S-E100/4-F 以太网专用防雷器，适用于网络设备的网络线路雷击及浪涌电压保护。保护1.2.3.6四芯线路，每线通流容量可达5000A。

　　6) DGA FF TV系列同轴高频通讯信号防雷器依据IEC标准设计，适用于高频通信的发射接受、卫星电视接收等系统以及无线宽网络等同轴通讯设备，专用于设备端及有线电视网络雷击及浪涌保护。

　　7) KoaxB-E2/MF-F 采用标准细缆BNC接口，适用于视频信号线路防雷，最大通流容量可达10000A，反应速度高达10-12秒、插入损耗小于〈0.2dB。完全满足于各类网络设备及数据传输的要求。

　　5. 验收标准

　　为确保整个工程的质量，提出如下验收标准：

　　1) 引用标准
　　《建筑物防雷设计规范》 GB50057-1994(2000年版)
　　《电子计算机房设计规范》 GB50174-1993
　　《建筑物防雷第一部分通则》IEC61024-1:1990
　　《雷电电磁脉冲的防护第一部分通则》IEC61312-1:1995
　　《雷电电磁脉冲的防护第一部分通则》（建筑物的屏蔽、内部等电位连接和接地）

　　2) 系统验收

 等电位防护

　　根据GB50057-1994（2000年版）《建筑物防雷设计规范》第6.3.4条：所有进入建筑物的外来导电物均应在LPZ0A或LPZ0B与LPZ1区的界面处做等电位连接。当外来导电物、电力线、通信线在不同地点进入建筑物时，宜设若干等电位连接带，并应将其就近连到环形接地体、内部环形导体或此类钢筋上，它们在电气上是贯通的并连通到接地体，含基础接地体。如果机房单独接地，则采取“暂态均衡”措施。

 线路防护
　　进入建筑物的所有线路必须安装电涌保护器，低压配电线路应设计三级保护。

 技术参数
　　SPD1：选用I级分类试验冲击电流Iimp通过幅值电流不小于35KA（10/350μs），残压小于4KV；
　　SPD2：选用标称放电电流不小于15KA（8/20μs），残压小于1.5KV；
　　SPD3：选用标称放电电流不小于3.5KA（8/20μs），残压小于1.2KV；

　　3) 产品验收
　　所有产品必须具有国家相关部级质检机构出具的检验报告。

　　6. 防雷接地设备清单
　　序号 设备名称 规格型号 单位 数量 主要性能和参数指标 备注
　　1 总电源进线防雷器（一级） 最大通流容量60KA OBO
　　2 最大通流容量61KA OBO
　　3 楼层电源第二级防雷 最大通流容量40KA，Un=230V OBO
　　4 电源第三级防雷(单相) 最大通流容量20KA OBO
　　5 综合布线分配线间防雷插座 最大通流容量19 KA,功率2000W，Vn=50V，Vc=300V，Vp<1000V， 雷迅
　　6 通讯专线防雷器 通流容量5KA，插入损耗小于0.5dB，反应速度为10-9秒 OBO

第三章、施工组织设计

　　1. 项目实施组织机构

　　为确保《********－综合布线系统工程》质量达到设计要求，建立专职项目组以保证项目的顺利完成，

　　项目实施人员组织结构图


　　1.1 岗位素质要求、分工及职责

　　1) 项目经理

　　具有扎实的大中型智能化系统工程项目的管理和丰富实施经验，独立完成过大中型系统工程的管理实施。监督整个工程项目的实施，对工程项目的实施进度负责；负责协调解决工程项目实施过程中出现的各种问题；负责与建设方、监理方及相关工种的协调工作。

　　工程管理工作由甲方工程监理和施工方分别委派一人负责本工程项目总体规划，统筹制订工作计划、协调各小组之间的工作及有关系统开发和实施过程中重大事件的决策，具体管理和协调以下事项：

 方案审查：根据合同、设计方案组织项目的实施建设；

进度控制：总体控制各阶段工程进度和监督进度完成的情况；

质量监督： 定期的质量检查，随时发现实施过程中和设备质量问题并提出改进建议；

 协调配合：就工程有关事项协调建设方各部门和相关施工单位，安排工程实施；

 后勤保障：对参与建设人员的主要工作、生活环境提供方便；

质量验收：根据方案设计的技术要求和有关标准，组织对本项目进行验收；

 扫尾工作：解决本项目的有关遗留问题．


　　2) 现场管理负责人

　　具有大中型智能化系统工程项目的管理与实施经验，技术知识、技能全面和良好的个人综合素质，负责组织本项目实施方案建设，现场组织、实施、协调和管理工作；制作更新与任务相关的工程文档；解决工程实施过程中出现的不可预测、妨碍进度的因素。

　　工程现场管理工作由施工方根据工程实施进度和现场情况委派1-2人负责，甲方可根据需要安排1人协助负责。具体管理和协调以下事项：

 组织实施：根据建设方、监理方和项目经理要求随时修改调整实施过程；

项目进度：合理控制各阶段工程进度和监督进度完成情况；

 质量监督：随时进行质量检查，发现和处理实施过程中的施工、设备质量问题；

 协调配合：就工程具体事项协调相关部门和各工种，配合工程实施；

 材料管理：根据工程需要调配材料及设备，办理各类交接手续，并提供相应的合格证、检验证明等材料；

 质量验收：根据方案设计的技术要求和有关标准，安排对本项目进行验收；

扫尾工作：解决本项目的有关遗留问题。

　　3) 工程参与人员

　　要求具有丰富工程施工经验，作为主要人员参加过大中型智能化系统工程的实施。协助本任务小组共同完成工程安排的任务；及时反馈用户的要求与意见；承担完成所接受任务的责任；对项目实施过程中出现的进度等问题及时上报。

　　4) 技术负责人

　　要求具有丰富工程设计经验，作为主要人员参加过大中型智能化系统工程的设计。协助项目经理共同完成工程建设任务；及时解决工程实施中遇到的技术问题，对变更内容做出相应的变更设计。对沾化系统集成工程的需求和建设目标进行分析，提出所采用的技术和设备配置要求，对工程中出现的问题进行分析，并指导解决问题。

　　5) 材料管理负责人

　　负责项目所需材料设备的组织供货和内部交接手续。

　　6) 验收负责人

　　负责组织相关人员分阶段对安装质量、进度、资料进行内部验收，并提出整改意见。工程竣工时，积极配合甲方、监理进行整体工程验收。

　　7) 工程总监

　　负责定期的质量检查，并将质量检查结果书面上报公司。

　　1.2工作流程

　　项目组成员，分工明确，责任到人，同时还应发扬相互协作精神，严格按照各项规章制度、工作流程开展工作。

　　大致分两步进行：

　　第一步：设计－包括工程方案设计和实施方案设计，工程方案设计由技术负责人组织，设计支持小组负责完成；实施方案设计由项目经理负责组织，工程总监协助工程技术组、系统集成组、质量检验组、现场项目管理组负责完成。

　　第二步：是实施，由项目经理负责组织，由现场实施组、设备材料管理组、质量检验组完成。技术支持组作为支援。

　　在整个实施过程中，以控制工程质量为主，以控制工程进度为辅，不断督导检查，以执行标准为设计依据，以工程验收标准为检验依据，保证工程顺利完成，直至工程验收。

　　1.3 规章制度

　　1) 协调会议通知制度

　　凡是与系统工程有关的，由建设方、监理方、实施方或其它工程方参加的协调会议，必须就有关协调情况及最终答复形成会议纪要以备查，会议纪要送达建设方及相关人员。

　　2) 合同与资料管理制度

　　凡是与系统工程项目有关的合同文件和施工资料，由项目经理和现场管理负责人负责收集、整理、归档、管理，借阅必须经过授权和登记。

　　3) 质量分析会制度

　　在项目实施过程中，定期召开质量分析会，进行工程质量，进度等，情况检查，并做好记录，会后及时地把会议纪要分发给有关人员。

　　4) 验收制度

　　由建设方、监理方、实施方及有关专家组成验收小组，由验收组长把验收结果填入工程报验单并签字，其他验收人员在此报验单上签名。

　　5) 项目组工作制度

　　必须遵守项目组的相关纪律和安全规定。遇到原则性问题必须及时向上汇报，经同意（或提出处理意见）后方能处理。在重大原则问题处理上，应征得项目经理同意且签字后，方可处理。必须与建设方、监理方、其他工程施工单位及有关人员建立良好的合作关系，严格遵守建设方、监理方制定的施工现场管理规定。

　　2. 人员、工具配备情况

　　根据工程设计、实施及项目管理经验，组建项目组织机构并配备相关人员。

　　2.1 项目组人员

　　2.2 施工机械设备

　　根据《********－综合布线系统工程》的施工特点，本工程施工分以下几个阶段进行：

剔槽埋管；
 双绞线、大对数电缆、主干光纤敷设；
设备安装；
线路测试；

　　各施工阶段需要的主要机具和检测设备计划见下表。
　　序号 设备及仪器名称 型号／产地 数 量 功 率
（台） （千瓦）
　　1 博士电锤 1 0.75
　　2 日立正反转手电钻 1 0.15
　　3 牧田开槽机 1 0.75
　　4 摇 表 1 　
　　5 接地电阻测试议 1 　
　　6 健伍对讲机 2 　
　　7 电焊机 1 20
　　8 牧田冲击钻 1 0.45
　　9 牧田切割机 1 2
　　10 FLUKE测试仪 1 　
　　11 FLUKE测试仪 1 　
　　12 龙牌手枪钻 1 0.15

　　3. 施工技术和施工方法

　　3.1施工方法及工艺标准

　　系统的施工方法及工艺标准执行下列标准规范和要求：

 《防雷及接地安装工艺标准》（322-1998）
《金属线槽配线安装工艺标准》（313-1998）
 《钢管敷设工艺标准》（305-1998）
《建筑电气安装分项工程施工工艺标准》（533-1996）
 《建筑与建筑群综合布线工程系统设计规范》（GB/T 50311-2000）
《建筑与建筑群综合布线系统工程验收规范》（GB/T 50312-2000）
《智能建筑设计标准》（GB/T 50314―2000）

　　3.2 主要施工工序及方法

　　综合布线系统工程主要施工工序：剔槽预埋施工部分、穿接校线施工部份、设备安装部分、调试初验部分。

　　3.2.1 剔槽预埋施工部分

　　预埋的施工是安装工程施工中的基础部份，管路的预埋应根据图纸所标注的类别选择相应管径的PVC管（在受强电等电磁干扰且不能满足最小净距要求时，应采用金属钢管预埋）。由于本工程的主体建筑已完成，因此预留预埋管已无法实施，只能在墙体上剔槽埋管，要求如下：

　　1) 查阅施工现场的相关管网图，确认开槽埋管的正确位置。

　　2) 对与小口径的PVC管（￠25以下，含￠25）弯管时应用弯管弹簧弯折，弯曲半径大于6倍管径。

　　3) 对墙面隐蔽预埋管路，应做到图纸所标点位位置，误差距离不得超过150mm。

　　4) 墙面预埋管路应垂直于地面，不得斜拉管路。

　　5) 对有弱电井部分，管子出口应排列整齐，所留长度相等。

　　6) 所有PVC管预埋，在管口处均应用防水胶带包严，并做标记，利于找管。

　　7) 终端暗盒预埋时应做到与水电暗盒标高一致，以水平黑线向下700mm，但实际安装时应多和水电协调暗盒标高。

　　8) 对预留预埋剔槽部分，在施工中应作为管理重点，有如下要求：

 严令禁止在土建粉墙后剔槽，剔槽必须在砖墙面上完成，可安排在各层拆模后的第二天进行。

 剔槽切忌野蛮施工，不得大面积破坏墙体，或把砖墙剔得对穿，对破坏结构者，必须重罚。

 墙面剔槽深度必须保证预埋管能埋入墙体，不致于影响土建抹灰。

剔槽前应在砖墙上，或地面上弹水平墨线，保证剔槽的垂直度。

 空心砖剔槽时，不宜用錾子剔槽，宜用施工锤斧口一面敲剔。

轻质隔断不得剔槽，宜利用轻质隔断的中空孔做管。

 凡用开槽机剔槽者，必须浇水剔槽。不得强制性剔槽。

剔槽时不得破坏板面钢筋，只能剔去混凝土的表面保护层，或墙面抹灰层。

 板面剔槽时不得破坏板面结构，或打通板面。

对于预埋管路应及时找管穿铁丝，铁丝应捆梆于管口部位防止脱落。

　　3.2.2 穿接校线施工部份

铁丝拉线时，用力要均匀，防止拉断线。

整卷线在穿线前必须用万用表检查是否有断线。

 终端盒接线宜留长度为200mm。

穿线后及时用万用表检查线路的通断情况。

 跨施工阶段的线路应做到每星期检查一次。

 用万用表查线时应在欧姆档1*10档位以下测线，同时对每根线进行短路、开路测试，对多芯线的检测，应进行每根线间的交叉测量，确保线路通畅，无短路现象。或用摇表检测线路，确认无对地短路，或线路破损现象。

 每根线要在两端头用白胶布注明线号、楼层号，并在图纸上注明。

弱电井内的线应分线号，分线材类别缠绕整齐。

 采用接线端子时，接线应牢固，无松脱现象。

　　3.2.3 设备安装部分

 施工前应对所安装的设备外观、型号规格、数量、标志、标签、产品合格证、产地证明、说明书、技术文件资料进行检验，检验设备是否选用厂家原装产品，设备性能是否达到设计要求和国家标准的规定；

 认真阅读设备安装说明书，做到心中有数。

由专业技术工程师指导施工人员进行样榜施工。

 设备通电运行前必须仔细检查线路情况，避免短路烧坏设备。

设备安装端正，保持表面清洁。

 严格按照设备接线图进行接线。

所有设备应设接地端子，并良好连接接入大楼接地端排。

 设备通电由专业项目负责人把关，确保万无一失。

 设备安装位置应符合设计要求，便于安装和施工。

　　3.2.4调试初验部分

系统调试初验是按照国家、国际相关标准和规范，对各子系统实施质量的检验测试，防止由于偶然性和异常性原因产生的质量问题的积累和延续，借助初验资料分析，及时发现操作者、施工机具、设备材料、施工方法、操作环境及管理上的问题，以及系统整体运行及与其它应用程序的配合状况，及时采取措施纠正或改进，保证项目质量符合设计要求。


　　3.3施工进度计划和工期安排
　　1) 编制原则

　　坚持统一计划的原则，认真做好综合平衡、切合实际、留有余地；坚持施工工序，注意施工的连续性和均衡性。

　　2) 编制依据
工程合同范本的要求；
施工图、工程概预算和施工组织计划；
人力、资金等保证条件。

　　3) 施工进度计划编制

　　《********－综合布线系统工程》总体计划安排，主要采用分工序施工作业法，根据施工情况分阶段进行。

　　一、施工准备阶段

　　• 工程实地勘测；
　　• 深化设计方案；
　　• 技术方案论证；
　　• 施工技术交底；
　　• 材料和设备采购、检测；

　　二、线缆布放阶段

管线预埋、预留施工
　　• 管线及预埋箱、盒、材料进场报验
　　• 管线预埋、预留
　　• 管道隐蔽工程记录与验收
线缆敷设
　　• 线缆材料进场报验
　　• 线缆敷设
　　• 线缆检测、记录和验收

　　三、设备安装阶段

　　• 设备进场报验
　　• 设备安装
　　• 配线交接间设备安装
　　• 机房设备安装

　　四、内装修完工阶段

　　• 综合布线系统测试
　　• 竣工资料整理及交付
　　• 系统自检及整改
　　• 系统培训
　　• 竣工验收，交付使用

　　4. 保证工程质量的技术措施

　　4.1质量检验评定的依据

　　在《********－综合布线系统工程》项目质量控制中，要对施工过程质量进行控制，也要对最终产品的质量进行控制。因此，质量控制的依据应体现这两部份。质量控制要重点对材料、配件、设备的质量进行控制和对工序质量进行控制，除了共同的合同文件、设计图纸以外，还有各种专门的技术性法规或其他规定。

　　4.1.1 材料和设备质量的控制依据

有关产品的技术标准；

有关试验、取样、方法的技术标准；

 有关材料和设备验收、包装、标志的技术标准。

　　4.1.2 工序质量的控制依据

　　有关智能建筑安装作业的操作规程。操作规程是为保证工序质量而制定的操作技术规范，必须严格执行：

　　有关施工工艺规程及验收规范。这是以分项、分部工程或某类实体工程为对象而制定的保证其质量的技术性规范；

　　4.2 质量控制中的工具、技术和方法

　　在弱电系统工程项目实施与开发过程中，都应该在质量保证活动中合理地使用质量保证活动的支持工具、技术和方法。

　　常用几种工具：

　　1) 各种材料与设备的质量及规格测试诊断工具

　　这些工具应能进行设备的拓扑关系分析、单元测试与功能测试。不仅能提供各种测试诊断结果，还能生成性能分析报告，以协助组织最终交付建设方的有效测试验收的集合。
2) 系统配置管理工具

　　支持配置管理人员对配置的更新管理；支持配置管理人员在不同的工程文档相关内容之间进行相互检索，并确定同一工程文档某一内容在工程文档中的涉及范围；同时还应支持系统配置管理人员对系统配置更改进行科学的管理。

　　3) 工程文档辅助生成工具与图形编辑工具

　　主要用来绘制描述系统分布与结构的系统结构图、设备连通图以及绘制描述系统特性的一些其他图形。项目实施开发人员利用这个工具的正文与图形编辑功能，可以比较方便地产生清晰悦目的工程文档与图件，也有利于对工程文档进行更改，还有助于提高工程文档的编制质量。

　　4.3 施工准备工作质量管理

　　1) 建立健全施工现场组织机构，明确每个人的工作岗位和工作范围；

　　2) 在施工组织设计指导下，及时编制施工方案和质量保证技术措施；

　　3) 做好各专业的准备工作；

　　4) 配备专职人员负责管理施工图纸、标准图集，修改设计和技术核定等技术文件；

　　5) 组织特殊工种技术培训，操作资格审查或考核；

　　6) 施工机具、试验设备、测量仪器和计量器具的准备；

　　7) 做好施工人员技术交底；

　　8) 按工种设计、施工设计或规范要求，做好工艺评定试验的项目；

　　9) 材料和设备的施工技术设施投入使用前的检查与确认；

　　10) 做好接受第三方质量监督的准备，为第三方监督创造必要的备件。

　　4.5 质量管理工作程序

　　运用系统工程的观点和方法，以保证质量为目的，将有关部门、各个工作岗位、各个环节的管理和施工生产活动严密地组织起来，使全体成员形成保证质量的有机整体，落实施工准备、施工中和系统试运行、交工后服务三个阶段的工作内容、工作程序、权限和方法，使质量在形成过程处于受控状态。

　　5. 安全生产，文明施工

　　5.1安全生产组织管理体系及职责

　　成立安全生产（施工）领导小组，由项目经理担任组长，任务小组负责人和工程总监担任副组长：

　　组员：工程技术人员，质检人员、操作施工人员。

　　项目经理负责工程整体安全管理和协调工作。

　　任务小组负责人负责施工人员、设备，施工过程等安全；

　　工程总监负责施工技术安全。

　　5.2 安全防范重点
施工人员政审安全性
资料记录保存安全性
事故控制点：
1.5米以上的高处坠落事故；
 触电事故；
物体打击事故；
设备机具伤害事故。
控制点的管理：
制度健全无漏洞；
检查无差错；
 设备无故障；
人员无违章。

　　5.3 安全措施

　　5.3.1保证系统运行安全

 严格审查施工工作人员的个人资料，合符规定才能上岗；

在系统调试交接时，帮助建设方建立系统的文档管理，将完整的竣工图
纸、设计文档、操作、维护手册、设备清单等保存完整，以便备查；

 保证在系统使用过程中，所产生记录保存的安全性，以便发生异常事故
时备查；

　　5.3.2 保证施工安全实施

施工人员进入施工现场前，进行安全生产教育，并在每次调度会上，都将安全生产放到议事日程上，做到处处不忘安全生产，时刻注意安全生产：

 施工现场工作人员必须严格按照安全生产、文明施工的要求，积极推行施工现场的标准化管理，按施工组织设计，科学组织施工。

 按照施工总平面图设置临时设施，严禁侵占场内道路及安全防护等设施。

 施工现场全体人员必须严格执行《建筑安装工程安全技术规程》和《建筑安装工人安全技术操作规程》。

 施工人员应正确使用劳动保护用品，进入施工现场必须戴安全帽，高处作业必须拴安全带。严格执行操作规程和施工现场的规章制度，禁止违章指挥和违章作业。

 施工用电、现场临时电线路、设施的安装和使用必须按照建设部颁发的《施工临时用电安全技术防范》（JGJ46-88）规定操作，严禁私自拉电或带电作业。
 使用电气设备、电动工具应有可靠保护接地，随身携带和使用的工具应搁置于顺手稳妥的地方，防止发生事故。

 高处作业必须设置防护措施，并符合JGJ80-91《建筑施工高处作业安全技术规范》的要求。

 施工用的高凳、梯子、人字梯、高架车等，在使用前必须认真检查其牢固性。梯外端应采取防滑措施，并不得垫高使用。在通道处使用梯子，应有人监护或设围栏。

 人字梯距梯脚40-60cm处要设拉绳，施工中，不准站在梯子最上一层工作，且严禁在这上面放工具和材料。

 吊装作业时，机具、吊索必须先经严格检查，不合格的禁用，防止发生事故。

 在竖井内作业，严禁随意蹬踩电缆或电缆支架；在井道内作业，要有充分照明；

 遇到不可抗力的因素（如暴风、雷雨），影响某些作业施工安全，按有关规定办理停止作业手续，以保障人身、设备等安全。

 当发生安全事故时，由安全生产领导小组负责查原因，提出改进措施，上报项目经理，由项目经理与有关方面协商处理；发生重大安全事故时，应立即报告有关部门和建设方，按政府有关规定处理，做到四不放过，即事故原因不明不放过，事故不查清责任不放过，事故不吸取教训不放过，事故不采取措施不放过。

 安全生产领导小组负责现场施工技术安全的检查和督促工作，并做好记录。

　　5.3.3 文明施工措施

　　为实现现场文明施工，贯彻"强化管理、落实责任、严肃法规、消灭违章"的要求，要求进入现场的施工队伍均应按照标准化工地的要求来进行。

　　5.4 技术措施

施工人员必须遵守建设方制定的有关施工现场管理制度,接受建设方的安全教育。

 进入施工现场的有关人员（含施工人员、管理人员、技术人员）必须带好安全帽，佩带工作卡。

 注意施工现场环境卫生，严禁在施工现场吸烟和用火，勿随地吐痰。

 施工现场必须按照设计确定的平面布置图规划，机具设备、材料应按照制定地点安装或堆放，材料要有分类立卡，按手续领取；

 施工中的废弃物要及时打扫，施工一层清洁一层，做到活完场清，保持现场整齐、清洁、道路畅通；

 所有施工人员进入施工现场必须自觉遵守有关部门规定，遵守各项规章制度，穿戴整齐，正确使用各种劳动保护用品，工作中要团结协作，互相帮助；

 施工现场要有严格的分片包干和个人岗位责任制；

施工人员在工地期间不许打架、喝酒、窝工等；

 现场办公室要保持清洁、空气清爽，图纸、工具、衣物等应整齐有序；

 项目经理和工程总监负责施工场地文明卫生检查和督促工作，并按文明施工技术组织措施对施工人员进行考核。

第一章、技术方案
　　1 前 言

　　本设计方案按照最新的中国人民共和国国家标准：《建筑与建筑群综合布线系统工程设计规范》(GB/T50311-2000)和《建筑与建筑群综合布线系统工程施工及验收规范》(GB/T50312-2000)，并根据********的招标要求及建筑楼层的分布情况，围绕********－新办公 MS/JS/newsad.js"> 楼的应用需求，从综合布线的重要性、长远性、可扩展性以及所采用的综合布线系统产品的特点而设计。

　　********作为政府重要的新闻单位，其办公环境的电子化、办公自动化应用水平，将直接影响到新闻采集、编辑、发送、出版等工作的及时性、准确性及保密性。因此，在规划和设计时我们充分考虑了计算机信息网络系统、语音通信系统及各智能子系统对综合布线系统的要求，力求把综合布线系统建设成一个可靠、开放、高带宽、可扩展、并满足未来发展的布线系统。本着‘满足用户需求的原则及先进、开放与标准化的原则，结合新闻单位工作的特殊性，在本设计方案中我们推荐使用美国AVAYA公司的超5类铜缆系列产品及光缆系列产品，并以AVAYA的超5类解决方案进行系统设计。该品牌产品和解决方案具有符合最新国际标准、抗电磁干扰能力强、先进实用、易安装、管理和维护方便、较高的性能价格比等特点。同时，该方案对用户将来的应用和发展作了充分的考虑，具有较大的扩充余地和较强的灵活性。

　　本方案的布线范围为《******** 招标书》要求的范围，功能主要以满足计算机网络通信、语音通信、各弱电系统的联网通信及网络视频传输为主，不包含各智能子系统（如监控报警系统、会议系统、一卡通系统）本身所需的布线；各智能子系统的布线用专用电缆敷设。

　　设计方案的内容包括综合布线系统客户需求分析、开放式布线系统方案设计、服务等部分。方案设计中详细描述了该综合布线系统的总体结构和各子系统的设计细节，包括布线系统的需求分析、布线路由、器件选型、材料清单和系统检测等部分。服务中论述了工程的品质保证和我方所要提供的培训及工程文档等等服务。商务标书包括资格证明文件的复印件、工程预算、公司简介、工程案例及项目参与人员情况等。

　　2. 需求分析

　　2.1 工程概况

　　********新办公楼位于*市 红塔西路。办公楼共地上5层，地下半层，建筑长68.2 米，宽22.4米，建筑面积5324平方米。信息中心机房设在5楼，是整个大楼的语音/数据中心。依据招标要求：大楼信息点总数为500点，采用超5类布线系统，部份点位采用光缆到桌。作为信息传输基础的综合布线系统，其设计的重点是：以中心机房为核心，将办公楼的各楼层配线架用光缆和大对数电缆与中心机房联成一个有机的整体，使系统具备稳定可靠、高速率、标准、开放、灵活、适用、可扩展的性能特点，从而满足新办公楼不同形式的应用要求。

　　2.2 应用需求分析

　　作为信息传输基础的综合布线系统，必须支持现在以及未来语音、数据、视频会议、控制等信息高速传输的要求，为新闻采集、编辑、传送、出版等系列工作走向信息化、网络化奠定基础。

　　为此，对********－办公楼的综合布线系统建设应有一个整体全面的考虑。要想建立一套高效的信息网络，必须有一套完整的高品质综合布线系统！针对用户的需求和本布线工程的性质，我们推荐使用美国AVAYA SYSTIMAX® SCS结构化布线系统。这是一套针对宽带综合数字业务网需求而特别设计的高品质布线系统，符合中华人民共和国邮电部部颁布线标准“大楼通信结构化布线系统规范”，一经推入市场便立即获得了全球广泛的响应。AVAYA公司的SYSTIMAX .SCS是一个端对端的全套布线解决方案，所有产品都是由AVAYA公司独家研发、生产，而没有任何一种产品是由其他厂家OEM生产的，这就充分保证了产品性能的完整性和优良的匹配性。

　　根据********的招标要求及建筑平面图纸，我们对目前及将来智能化的应用作以下分析：

　　1. 总体需求

　　　　◇ 满足主干1000Mbps,水平100Mbps交换到桌面的网络传输要求；
　　◇ 主干光纤的配置冗余备份，满足将来扩展的需要；
　　◇ 满足与电信及自身专网的连接；
　　◇ 信息点功能可随需要灵活调整；
　　◇ 兼容不同厂家、不同品牌的网络设备；

　　2. 功能需求：

　　本设计中的综合布线系统应当能满足下述通信需要：
　　◇ 电话；
　　◇ 计算机网络；
　　◇ 具备实现 BAS、CAS、OAS、SCS等系统网络集成的条件；
　　◇ 具备实现视频传输的条件；
　　◇ 其他符合布线标准的信号、数据传输；

　　3. 性能需求：有服务效率、服务质量、网络吞吐率、网络响应时间、数据传输速度、资源利用率、可靠性、性能/价格比等；

　　◇ 根据本工程的特殊性，语音点和数据点使用相同的传输介质，即统一使用超5类4对双绞电缆，以实现语音、数据相互备份的需要；
　　◇ 对于网络主干，数据通信介质全部使用光纤，语音通信主干使用大对数电缆；光缆和大对数电缆均留有余量；
　　◇ 对于其他系统数据传输，可采用超5类双绞线或专用线缆；
　　◇ 支持目前水平100M、主干1000M的网络应用，及未来扩展的需要；

　　4. 环境需求：主要指地理分布，用户数量及其位置，用户之间的距离，用户群的组织特点，还有特殊的限制（如电缆等介质的布线是否有禁区）等；本工程中，布线主要在室内，在工地现场勘测时没有发现有特殊限制等。

　　5. 其他子系统（如办公自动化系统，设备控制系统等）对网络系统提出的要求；

　　6. 设计约束：遵守其他标准，各行业的特点对网络的特殊要求，投资对布线设计的影响等。

2.3 信息点需求

　　依据《********综合布线系统－招标书》的要求：大楼各办公室的语音点和数据点已作了明确的数量要求，设计时按标书要求将信息点合理分布至各房间合适位置。我方建议在一楼售饭台增加1个双口信息插座，用于今后‘一卡通消费管理’；在地下停车场出入口位置增设1个双口信息插座，用于‘停车场管理系统’。详细信息点统计见下表：

　　信息点位统计表
　　序号 楼层 楼层功能说明 数据点 语音点 合计 楼层配线间 备注
　　1 地下层 2 FD1 FD1配线间设在二层控制室
　　2 一层 85
　　3 二层 102
　　4 三层 105
　　5 四层 120 MD MD配线间设在五层机房,既是楼层配线间，也是主配线间。
　　6 五层 88
　　7 顶帽 2
　　8 总计 504 　 　

　　在本方案中，我们共配置了504个信息点；其中168个语音点，336个数据点。语音点和数据点互为备份。

　　2.4 配线间的划分及设置

　　如上表所示，在水平信息点数量及点位确定的前提下，根据建筑的长宽尺寸及信息点线缆长度≤90米的要求，对配线间作出如下配置：

　　FD1楼层配线间－设在二楼弱电井的202室，负责管理1层、2层、3层的信息点；
MD 总配线间－设在5楼中心机房，负责管理4层、5层、顶层的信息点，及整个大
楼的主干光缆、主干电缆；MD配线架既是主配线架，也是楼层配线架，是整个综合布线系统的汇集中心。

　　2.5 系统的设计目标

　　考虑到综合布线系统对一次性施工的要求较高，为保证********-综合布线系统的先进性、适用性、稳定性和可靠性，并适应未来计算机网络快速发展的要求，在本次规划设计中我们选用了高品质的AVAYA布线产品。

　　综合目前各布线厂家的解决方案和发展趋势，我们推荐使用的美国AVAYA超5类布线产品可以很好地保证********目前和将来的应用需求，易于网络升级，避免系统在短期内步入技术落后的淘汰周期，最大限度地保护用户投资。

　　我们的设计目标：

 选择先进、高品质的综合布线产品，以高的性能指标、好的工艺性能确保综合布线系统能够满足智能化系统应用的要求；

 使用光纤作为系统主干，冗余配置，提高系统宽带并防止电磁干扰，适应未来发展；

 主干光缆可支持1Gbps以上的网络数据传输速率，水平超5类电缆可支持100Mbps以上的网络数据传输速率；

 星型的拓扑结构，支持各种形式的网络应用；

 为办公楼提供全方位的应用平台，支持办公网络设备、各种采编设备及保安设备等的系统集成；

 以机柜型配线系统为核心，努力提高系统的可靠性和安全性；

 综合考虑各智能系统对综合布线系统的要求，为各弱电系统集成提供传输通道；

 具有开放式的结构，能与众多厂家的产品兼容，具有模块化、可扩展、面向用户的特点；

 能完全满足现在以及今后在语音、数据及影像通信方面的需求，能将语音、数据与影像等方面的通信融于一体，可应用于各种局域网络(LAN)；能适应将来网络结构的更改或设备的扩充；

　　3. 系统方案设计

　　3.1 设计标准及规范

　　本设计方案所采用的标准、构局思路、计算依据、施工规范及验收遵循以下标准或规范：

　　1) 《ISO/IEC11801用户建筑通用布线标准》
　　2) 《EIA/TIA568A，EIA/TIA568B》
　　3) 《GB/T 50311-2000 建筑与建筑群综合布线系统工程设计规范》
　　4) 《GB/T 50312-2000 建筑与建筑群综合布线系统工程验收规范》
　　5) 本方案设计依据以下产品规范：
　　6) AVAYA综合布线系统《设计指南》
　　7) AVAYA综合布线系统《安装手册》

　　3.2 设计原则

　　1) 以‘满足客户的需求’为第一前提，适当超前，统一规划；
　　2) 先进性：选择的产品要技术领先期长、产品丰富，价格适中；具有大容量、高速率，能适应多媒体应用需求，及将来发展的应用。
　　3) 可扩展性：布线系统不但要能满足现阶段的业务需求，还要满足将来业务增长和新技术发展的要求。
　　4) 便于升级：计算机网络技术以惊人的速度向前发展，因此系统的设计要便于升级。
　　5) 高可靠性：综合布线系统是网络应用所依赖的基础，因此选择的系统产品要具备较好的可靠性和抗干扰性；
　　6) 标准化：通讯协议和接口符合国际标准，并应是今后的发展主流；
　　7) 开放性：能容纳不同厂家的设备和不同的网络平台；
　　8) 安全性：具有保证信息不被窃、不丢失的机制；
　　9) 实用性：系统拓扑结构必须要满足********的各种应用要求；
　　10) 设计、施工、运营与服务：强调以人为本的设计思想，为用户提供安全、舒适、方便、快捷、高效、工作环境。
　　11) 由于布线系统有很长的使用期，反复布线只会造成投资上的浪费和时间上的消耗，因此在设计时应尽量做到统一规划，注重实用，适当超前，一次达到较为先进的水平；

　　3.3 系统概述

　　整个新办公楼－综合布线系统共设置了信息点：504点。系统设计采用分层星型拓扑结构，共分成6个子系统，即：建筑群子系统、工作区子系统、水平子系统、管理区子系统、垂直子系统和设备间子系统。通过不同的跳线管理可支持一、二、三级网络结构，既易于信息的统一管理又可满足不同区域内所有可能出现的应用需求。

　　整个系统共划分了2个配线间,楼层配线间设在2楼弱电井旁的控制室，主配线间设在5楼中心机房。语音点和数据点的水平布线统一采用美国AVAYA超5类电缆；语音垂直主干采用3类25对电缆（2 ：1配置）；数据垂直主干采用美国AVAYA 6芯室内光缆。

　　中心机房的主配线架MD至楼层配线架FD1共配置了 2条6芯室内光缆，保证每一台48口楼层交换机均可使用一对独立的光纤通道，并留有余量，满足100Mbps交换到桌面的应用要求及未来扩容的要求。整个综合布线系能支持语音(模拟和数字)、数据(计算机)、视频图像(数字)以及综合信息的高质量和高速率传输，能适应不同厂商和不同类型的网络和计算机产品接入，并应符合规范中关于抗干扰的要求。

　　3.4 优化说明

　　在********－办公楼的布线设计中，针对办公楼的建筑布局、信息点分布及弱电井位置等实际情况，在楼层配线间的设计上进行了优化配置：既考虑了楼层配线架的安装位置尽量不占用办公区域，便于管理；也考虑了使用上的灵活性及水平线缆≤90米的要求。优化后共设计了2个配线间，这样既满足实际需求，同时又降低成本，便于管理。

　　3.5 系统结构详述

本工程的布线系统包括六个子系统：即工作区子系统、水平区子系统、垂直干线子系统、管理子系统、设备间子系统及建筑群子系统；图例中的FXX表示楼层配线架，MD表示主配线架，并附相应的管理编号。下面结合《系统拓朴结构图》作详细的说明：

　　系统拓朴结构图

　　3.5.1工作区子系统

　　本大楼工作区子系统由终端设备到信息插座的连线和信息插座组成，包括各个不同功能的工作区域构成。在相应办公区域的墙面或地面上安装信息插座，通过插座既可以引出电话、也可以连接数据终端及其他采编设备、弱电设备等。
信息出口(IO)采用双口墙面型面板和超5类模块。在工作区内的每个信息插座都是标准的8芯、RJ45模块化超5类插座，支持近100M以上的带宽。不同型号的电脑和终端以及电话等通过RJ45跳线和RJ11跳线可方便地连接到通讯插座上。
在设计中，大多采用墙面型插座进行设计，机房采用地面弹起型插座。部份较大面积的办公室，根据装修情况建议将墙面型插座更换为地面弹起型插座，该插座由全铜质制成，其外观美观大方，经久耐用。不用时盖起，与地表平行成一体；用时，向上弹起，便可达到电话、计算机及电源连接的要求，且功能完备，最多可支持3个模块。

　　为方便识别和管理，采用不同颜色的信息模块来区分语音和数据点。数据点采用白色的信息模块, 语音点采用橙色的信息模块。采用白色单口面板或双口面板，并具有防尘装置。

　　3.5.2水平区子系统

　　水平子系统是指为连接工作区信息出口与管理区子系统而水平敷设的线缆。在本方案中，根据TIA/EIA568-A 的水平线独立应用原则，水平子系统采用AVAYA超5类4对(UTP)线缆，完全支持将来千兆以太网的应用。铜缆总信息点数为：504点，每个信息点能够灵活应用，可随时转换接插电话、微机或数据终端，并可随着用户的进一步应用需求，通过相应适配器或转换设备，满足门禁系统、视频监控(CCTV)，以及多媒体会议电视等系统的传输应用。

　　AVAYA超5类水平铜缆说明：

　　本系统的数据和语音水平铜缆采用POWER SPEED型1061004CSL型四对双绞线。该电缆是目前业界性价比最好的铜缆，具有优异的平衡性和串音衰减特性使其应用在更广泛的环境，可支持从低速到高速信号的传输，包括模拟话音、数字话音、监控信号、及10Mbps、100Mbps、155MMbps、的网络应用 。POWER SPEED同时向下与AVAYA科技的其他组件完全兼容。良好的工艺设计令其在安装时非常快捷简易。同时具有极高的抗电磁干扰性(EMC)和很高的备用冗余，使系统具有极高的可靠性及灵活性。配线间内接线端子与信息插座之间均为点到点端接，任何改变布线系统的操作(如增减用户、用户地址改变等)都不影响整个系统的运行，增减用户只需在IDF做必要的跳线即可，使系统具有极强的灵活性，可扩展性，实为系统线路故障检修提供极大方便及安全可靠。

　　水平铜缆计算方法如下：(该方法根据AVAYA科技《SYSTIMAX ® SCS结构化布线系统设计与工程2002年版》)

　　水平线平均距离=(最远点距离+最近点距离)/2×1.1+端接余量(米)
每个子配线间所需铜缆的箱数=（配线间的信息点数×水平线平均距离）/305米+1
本工程的信息点线缆平均长度，经估算按50米/点计算。

　　3.5.3 垂直干线子系统

　　垂直子系统是用来连接设备间和管理区子系统之间的线缆，是整个布线系统的主干。本方案的垂直子系统指连接中心机房至楼层配线间的主干光纤和大对数电缆。主干光缆采用6芯多模室内光缆，带宽可高达1Gbps以上，可提供高品质数据传输通道；支持的千兆位以太网的传输距离具有比国际标准更为优良的性能表现。大对数电缆采用3类25对铜缆；大对数电缆的对数与管辖区域的语音点按2：1的比例配置。

　　楼层配线间的主干光缆按2条配置，保证每台48口楼层交换机都有1对独立光纤连接，并留有余量。采用光纤作为主干传输介质具有：支持距离长，频带宽、通信容量大、不受电磁干扰和静电干扰的影响；在同一根光缆中，具有邻近各根光纤之间没有串扰、保密性好、线径细、体积小、重量轻、衰耗小、误码率低等优点，大大提高网络可靠性，同时使系统具备极高的升级能力，可支持目前及将来最先进的网络技术如FDDI、ATM,100BaseT及1000Base-T等。

　　3.5.4 管理间子系统

　　3.5.4.1 管理间的功能

　　管理间子系统由交连、互连配线架组成，设在各楼层配线间。管理间为连接其它子系统提供连接手段，交连和互连允许将通讯线路定位或重定位到建筑物的不同部分，以便能更容易地管理通信线路，使在移动终端设备时能方便地进行插拔。楼层配线间的设计如下：

　　1) 楼层配线间是各管理子系统的安装场所，配线间所有网络系统配线架统一安装在19”标准机柜中，以达到保护、防尘的作用；

　　2) 楼层配线间用于将工作区的水平线缆与自主配线间引出的垂直线缆相连接,或形成网络链路；

　　3) 楼层配线间用于安装模块配线架、光纤配线架、BIX交联模块及计算机网络通讯设备；

　　楼层配线间安装示意图

　　3.5.4.2 管理间应用的设备

　　1) 水平24口配线架：PM2150-24

　　水平超5类铜缆的管理均采用24口模块化超5类配线架PM2150-24来管理。该配线硬件精巧的模块化设计，确保其性能，可靠性、兼容性以及快捷，简易的安装等特点。独特的旋转配线模块(DMS)设计，确保了快捷简易的安装及正面和背面的接入安装可选。为简化管理而设计的内设跳线和电缆走线架，及色码标签和图标。

　　2) 语音主干配线架： 110DW2-100

　　采用100对110型配线架连接3类25对语音主干电缆，并配相应的线路管理单元110B3。 110DW2双绞线配线架管理主干系统，具有密度高、结构紧凑，性能价格比好等优点。

　　3) 光缆配线架：600A2机架式光纤配线架

　　采用600A2管理主干的6芯多模光缆及水平光缆，600A2可以通过相应的光纤跳线接到光集线器或交换机上,每个600A2可以支持12芯ST多模光纤接头,也可以容纳12芯SC光纤连接头。在本项目中全部采ST光纤连接头。

　　4) 光纤跳线

　　光纤跳线：光纤跳线采用多模ST/SC两芯光纤跳线。由于成品光纤跳线稳定性很高，这样保证了系统性能。

　　3.5.4.3 管理间环境要求

　　由于管理间内要安装网络设备，因此管理间需进行必要的装修或设在同等条件的办公室内, 并配备照明设备以便于设备维护。同时为保证网络的可靠运行，管理间内应配备UPS独立供电回路及电源插座，每管理间功率不小于400W。

　　1) 室温应保持在18℃至27℃之间，相对湿度保持在30%―55%；
　　2) 保持室内无尘或少尘，通风良好，亮度至少达30英尺*烛光；
　　3) 安装合适的消防系统；
　　4) 使用防火门，至少能耐火1小时的防火墙和阻燃漆；
　　5) 提供合适的门锁，至少要有一扇窗口留作安全出口；
　　6) 尽量远离存放危险物品的场所和电磁干扰源（如发射机和电动机）；
　　7) 设备间的地板负重能力应为500kg/平方米。
　　8) 根据结构化布线系统的要求，在配线间采用19”标准机柜。
　　9) 结构化布线系统中典型的配线间，其可以走进人的最小安全尺寸是120X150cm，标准的天花板高度为240cm，门的大小至少为高2.1M，宽1M，向外开。在主、楼层配线间，最好有供放置设备的设备柜，其大小可按设备的尺寸而定。在设备间尽量将设备柜放在靠近竖井的位置。

　　3.5.5 设备间子系统

　　设备间子系统由主配线机柜中的电缆、连接模块和相关支撑硬件组成，它把中心机房中的公共设备与各管理间子系统的设备互连，从而为用户提供相应的服务。
本工程的主配线间设在5楼电脑中心机房，语音和数据合用一个配线机柜，所有语音主干和数据主干全部连到该配线机柜的相应模块配线架上。主配线机柜采用19英寸42U规格机柜，除安装配线设备外，还可放置网络设备；机柜材料选用金属喷塑，并配有网络设备专用配电电源端接位置。此种安装模式具有整齐美观、可靠性高、防尘、保密性好、安装规范的特点。

　　数据中心机房-设备清单
　　设备名称 单位 数量
　　 24口模块配线架
　　24口光纤配线架
　　ST光纤耦合器
　　ST光纤接头
　　100对110配线架
　　42U标准机柜

　　对数据中心机房的整体要求：

　　1) 本工程的数据中心机房应按机房要求装修，并考虑防雷和接地，及配套的UPS电源。
　　2) 总配线室应避免电磁干扰。
　　3) 室内天花板高度不应小于2.5米；
　　4) 机房室内应铺设高约0.25―0.3m的防静电架空地板，为地下配线提供方便；活动地板平均荷载不小于500Kg/m2；
　　5) 机房里应备有合适的接地端子，建议独立接地，接地电阻阻值小于1Ω；
　　6) 机房内室温应保持在18℃至27℃之间、相对湿度保持在30%―50%；，室内照明不低于150Lx；
　　7) 机房面积不应小于14M2,室内应洁净、干燥、通风良好。防止有害气体（如SO2、H2S、NH3等）等侵入，并应有良好的防尘措施；
　　8) 机房内的电源插座宜按计算机设备电源要求进行工程设计，便于交换机、服务器等设备的使用；

　　3.5.6 建筑群子系统(入口设施)

　　该子系统将一个建筑物的电缆延伸到另外一些建筑物中的通信设备和装置上，是结构化布线系统的一部分，支持提供楼群之间通信所需的硬件。它由大对数电缆、光缆和入楼处线缆上的过流、过压电气保护设备等相关硬件组成，常用介质是光缆。

　　设计中进入主设备间的所有光纤、大对数电缆、电信电缆都采用金属桥架或钢管进行硬件保护，同时采用IDC线对保护器对铜缆予以电气保护，避免人员和设备免遭外部电压和电流的伤害。

　　本方案中的‘建筑群子系统’包括与电信部门的电缆/光缆连接，及将来与职工住宅小区的连接；住宅小区通过光缆主干与办公楼连接，可使办公区、住宅区共享一条宽带，实现家庭办公的需要，节省网络使用费。

3.6 系统升级的考虑

　　根据本方案设计实施完成后的综合布线系统对未来的升级，特别是针对计算机数据的传输都有着极好的开放性。设计中的数据传输通常使用4对线缆，保证以太网在100m链路范围内正常通信(≥100Mbps)。如将来网络传输速率要提高时，因主干光缆已备较大的扩容余地，所以水平线缆不需作任何改变即可支持更高速率；对其他系统设备的升级同样只是改变一下跳线的方式就可以完全支持。

　　3.7 系统设计的特点

　　1) 充分考虑了现在及未来的需求，主干光缆冗余备份；
　　2) 系统采用国际知名品牌美国AVAYA超5类布线产品，支持网络≥100Mbps的传输速率(水平长度不超过90m的信息点)，并支持将来千兆以太网的高速应用；
　　3) 采用分层星型拓扑结构，加合理的配线间划分，使系统更具有更高的可靠性和灵活性；既降低工程成本，同时又方便管理；
　　4) 按照T568A标准施工，符合未来宽带综合业务数据网的发展要求；
　　5) 符合布线系统现有的国际及国内标准；
　　6) 线缆及配线架上均留有冗余便于以后扩充；
　　7) 所有信息点插座及配线架端口均有编号贴签，便于维护及管理；
　　8) 所有配线架及网络设备均安装在机柜内，便于维护管理，并保证系统的安全性。

　　4. 管线设计及相关要求

　　4.1 水平区子系统的布线

　　水平子系统完成由竖井到工作区信息出口线路连接的功能。根据情况本系统信息出口选用了墙面型信息出口和地面型信息出口。

　　1) 墙面型信息出口

　　墙上型信息点采用走吊顶的轻型装配式槽形电缆桥架结合墙内暗埋厚壁PVC管方式走线。这种方式适用于大型建筑物，为水平布线系统提供机械保护和支持，如下图示：

　　水平布线路由图

　　装配式槽形电缆桥架是一种闭合式的金属托架，安装在走廊吊顶内及弱电井内，用于线缆在弱电井内及水平部分集中走线；水平信息点线缆自弱电井电缆桥架至吊顶内电缆桥架出口，穿过预埋在墙内的PVC管引向各个水平信息点，再端接在墙面插座盒中。

　　综合布线系统的水平布线是放射型的，线缆量较大，因此线槽容量的计算很重要，按照标准的线槽设计方法，应根据水平线的外径来确定线槽及PVC的容量。
即：线槽的横截面积=水平线缆横截面积之和×3

　　线槽及PVC管可以根据情况选用不同的规格，为保证线缆的转弯半径，线槽、PVC管须配以相应规格的分支辅件，以提供线路路由的弯转自如。

　　隔墙或承重墙上的墙面信息插座安装高度为室内距地面0.3m。

　　2) 地面型信息出口

　　采用地面线槽走线方式。这种方式适用于大开间的办公室，有大量地面型信息出口或铺设有地毯的情况。

　　地面插座引出的电缆从地插位置穿楼板至下层吊顶上、通过下一层的电缆桥架再敷设至楼层配线架；一层的地面插座引出电缆在本层地面下穿埋管至本层走廊吊顶上电缆桥架，再敷设至二层配线间的配线架上。

　　由于吊顶中有消防等其他系统的管道，因此必须按PDS管线设计人员提出的要求，结合各系统的实际情况，完成吊顶和地面线槽路由部分的安装。

　　a) 安装与接线

　　先用2个M4x10的螺钉将塑料护罩装到暗盒上，以防混凝土及其它杂物落入暗盒。
浇注楼板时，将暗盒放置在预定位置，将导线或各种信号线缆通过线缆管引人暗并至少留长200mm。暗盒的上平面应比地板最终铺设表面低20至45mm。

　　浇注完成后，拆除塑料护罩。在地板表面材料上开正方形的孔，边长为90至106mm。

　　将插座打开呈弹起状态，露出两侧螺钉沉孔。将插座体放入暗盒，用M4×40螺钉将插座固定到暗盒上，面板底的密封圈应与光滑的地板表面紧密贴合，以防止进水。

　　b) 特点和应用

功能模块为组合式结构，常规可配置二、三级。

插座各一只，亦可配置三个电话、电脑信息插座。

 用于办公室、计算机房、商场、银行等敞开办公场所的高档装修。

 使用时，将滑舌向外拨出，插座本体弹出，放开滑舌，插座本体即在弹出位置锁定。

 不用时先将滑舌向外拨出，同时将插座本体向下压，放开滑舌，插座本体即被锁定。

 地板插座可保证水滴、地板蜡等液体不易进入接线暗盒。使用时应避免水流等液体的冲洗和浸漫以保证其绝缘性能。

　　4.2 弱电竖井的布线

　　用于PDS系统的典型接线间，其最小安全尺寸是120×150cm；标准的天花板高度为240cm，门的大小为高2.1m宽1m，并向外开门。

　　这部分采用预留电缆井方式，在每层楼的弱电井中留出专为PDS系统线缆通过的长方形孔，位置设在靠近支持电缆的墙壁附近。预留电缆井的大小至少是通过的电缆的3倍，此外还需保留一定的空间余量，以确保在今后系统扩充时，不用安装新的管线。

　　4.3 设备间的布线

　　因系统信息点较多，所有楼层配线架的主干电缆均集中到设备间（数据设备间和电信设备间），故设备间的进线量相当大。设备间是建筑物内语音和数据布线的中心单元，安装和设计时要考虑它的可扩展和安全性，并铺设防静电地板。

　　这部分采用静电地板下走金属线槽的方式。线槽除用来安装和引导线缆外，还可以对线缆起到机械保护的作用，同时还提供一个防火、密闭、坚固的空间使线缆可以安全地延伸各个定义的楼层机柜内进行端接。

　　4.4 设备间电源线布放

　　设备间的AC电源需求与设备间内安装的设备数量有关。除满足所有安装设备的供电需求外，还需配有另外的至少带4个AC双排插座的20A专用线路，此线路不应与其他大型设备并联，并且最好先连接到UPS上，以确保对设备的供电及电源质量，并用薄金属套管进行屏蔽。

　　5. 综合布线工程实施及验收

　　5.1 工程实施步骤

　　1) 现场的勘察；
　　2) 工程的设计、计划与管理；
　　3) 设备的定购期；
　　4) 材料验收；
　　5) 布线安装工程的实施――首先线槽安装，UTP双绞线、光纤敷设，安装机房和配线间，安装信息插座及其它附件。
　　6) 布线系统的测试；
　　7) 布线系统的验收；
　　8) 提供完整的结构化布线文件档案；
　　9) 工程结束。

　　5.2 工程实施进度管理

　　1) 本工程包括产品订货、发货、设计、施工安装、督导、施工管理和验收几部份。
　　2) 双方签定合同后，乙方即组织产品订货，线缆、管材可在3日内到工地。
　　3) 双方签定合同后，乙方即根据甲方的进一步具体要求在2天内完善工程施工设计并交由甲方认可。在甲方认可施工设计后，我们就可组织施工人员进入现场进行前期工作。
　　4) 管、线等敷设工作可与装修交叉进行，并承诺不影响装修进度。
　　5) 设备到达现场后需进行清点后方可进行设备的安装工作；并对设备和线缆进行有效连接，此项工作约需7个工作日。
　　6) 待配线间的布置安装完成并由甲方认可后，即可对整个布线系统进行详细调试，随时作好调试记录，此项工作约需3个工作日；调试工作完成后3天内整理好文档资料并交付甲方。
　　7) 以上工作全部完成后，我们即组织相关人员进行系统培训，此项工作约需1个工作日。
　　8) 最后，由甲方组织有关单位和相关人员对系统进行全面验收，并随时作好验收记录，整理好存档资料；
　　9) 在安装施工的全过程中，我们将委派专业工程师对工程进行督导、管理、严格把关。

　　5.3 施工工期计划表：

　　序号 项目名称 时间进度安排
　　 工作日 工作日 工作日 工作日 工作日 工作日 工作日 工作日 工作日 工作日 工作日
　　1 签订合同
　　2 产品订货 3
　　3 施工设计 2
　　4 线管施工 8
　　5 线缆敷设
　　6 清点设备 7
　　7 信息插座安装
　　8 配线间设备安装
　　9 光纤头连接
　　10 链路测试 1
　　12 系统培训 1
　　13 系统验收

　　备注：以上工期为20个工作日。由于综合布线施工受装修工程影响较大因此我方承诺：从签订合同之日起至室内装修结束后7天内全部完工。

5.4 验收标准
　　标准

　　1) 符合ISO 11801和EIA/TIA 568国际标准；
　　2) 符合GB/T 50311--2000及GB/T 50312--2000国家标准。

　　测试工具

测试工具采用国际认证的产品：Fluke DSP-4300网络测试仪。

　　测试参数

 接线图、长度、衰减、近端串扰、功率相加近端串扰、回波损耗、等效远端串扰、功率相加等效远端串扰。

　　一、铜缆链路测试方法
　　测试连线方法参见下图

　　超5类铜缆系统标准测试值：
　　详见《GB/T 50312-2000 建筑与建筑群综合布线系统工程验收规范》要求。

　　二、光纤链路测试

　　测试波长：1300nm和850nm。
　　测试设备：Fluke DSP-4300 光缆测试工具。
　　测试参数：衰减。

　　干线链路段:
　　多模干线光缆位于主交连和水平交连之间，该段还包括一个中等跨度熔解分支器。所有的光纤均使用标准ST 连接器。干线链路段上的衰减合格值计算如下：
　　干线链路段从主交连处开始，结束于水平交连处：
850nm 光源:
　　合格链路衰减= 光缆衰减+ 连接衰减+ 分支器衰减
0.26 dB) + 0.38 dB]　　合格链路衰减= [0.160 km 3.4 dB/km] + [(2 0.14 dB]+ [1
　　合格链路衰减= 1.58 dB
1300nm光源:
　　合格链路衰减= 光缆衰减+ 连接衰减+ 分支器衰减
0.26 dB) + 0.38 dB] + [13.4 dB/km] + [(2 　　合格链路衰减= [0.160 km 0.14 dB]
　　合格链路衰减= 1.20 dB

　　验收方式

　　参照国际、国内标准验收(EIA/TIA 568、IS011801、GB/T50311--2000及GB/T 50312--2000)。

　　5.5 竣工验收条例

　　结构化布线工程竣工验收的内容、方法及要求均遵循中华人民共和国国家标准――GB/T 50312--2000《建筑与建筑群综合布线系统工程验收规范》。同时，针对所选用结构化布线系统本身的特点，提出如下竣工验收要求：

　　5.5.1工程交接验收

　　工程验收后，施工单位应将工程竣工技术资料一式二份交给用户单位。竣工技术资料应包括以下内容：

 安装工程量；

工程说明；

设备及器材明细表；

竣工图纸为施工中更改后的施工设计图；

 测试记录，如测试报告、操作说明等文件；

 工程变更、检查记录及施工过程中，需更改设计或采取相关措施，由建设、设计、施工等单位之间的双方洽商记录；

随工验收记录；

 隐蔽工程签证。

竣工技术文件要保证质量，做到外观整洁、内容齐全，数据准确。

 结构化布线工程应按《综合布线系统工程验收项目及内容》中所列项目、内容提要进行检验。验收中发现不合格的项目，应由验收机构查明原因，分清责任，提出解决办法。

　　5.5.2结构化布线系统工程验收项目及内容

　　阶段 验收项目 验收内容 验收方式

　　一.施工前

　　检查 1.环境要求 土建施工情况：地面、墙面、门、电源插座及接地装置；
土建工艺：机房面积、预留孔洞；
施工电源；
活动地板铺设。 施工前检查

　　2.器材检验 外观检查；
　　规格、品种、数量；
　　超5类电缆电气性能抽样测试； 施工前检查

　　3.安全、防火要求 消防器材；
　　危险物的堆放；
　　预留孔洞防火措施。 施工前检查

　　二.设备

　　安装 1.设备机架 规格、程式、外观；
　　安装垂直、水平度；
　　油漆不得脱落，标志完整齐全；
　　各种螺丝必须紧固；
　　防震加固措施；
　　接地措施。 随工检验

　　 2.信息插座 规格、位置、质量；
　　各种螺丝必须紧固；
　　标志完整齐全；
　　安装符合工艺要求； 随工检验

　　三.电缆布放(楼层) 1.PVC线槽安装 安装位置正确；
　　安装符合工艺要求； 随工检验
　　 2.缆线布放 缆线规格、路由、位置；
　　符合布放缆线工艺要求。
　　铺设位置、深度
　　缆线的防护设施的设置质量； 随工检验

　　四.光纤布放(楼间)

　　1.管道缆线 使用管孔孔位；
　　缆线规格；
　　缆线走向；
　　缆线的防护设施的设置质量。 隐蔽工程签证
　　
　　2.其它 通信线路与其他设施的间距；
　　进线室安装、施工质量。 隐蔽工程签证

　　五.缆线

　　终端 1.信息插座 符合工艺要求。 随工检验
　　　　2.配线模块 符合工艺要求。
　　 　　3.配线插座 符合工艺要求。
　　　　 4.各类跳线 符合工艺要求。

　　六.系统

　　测试
　　
　　1.电缆性能测试 连接图；
　　长度；
　　衰减；
　　近端串扰；
　　设计中特殊规定的测试内容等。 竣工检验
　　
　　2.光纤性能测试 连接图；
　　长度；
　　衰减；
　　近端串扰；
　　设计中特殊规定的测试内容等。 竣工检验

　　3.系统接地 符合设计要求。 竣工检验

　　七.系统

　　验收

　　 1.竣工技术文件 清点、交接技术文件； 竣工检验

　　 2.工程验收评价 考核工程质量，确认验收结果

　　6. 质量保证及培训

　　6.1工程质量保证
　　在整个综合布线项目实施过程中，所有的工作将按照AVAYA的技术要求进行。整个综合布线系统将由AVAYA认可的布线工程师按照相关规范进行方案设计及施工监理。为了使用户能方便、可靠、灵活地进行布线系统的维护和管理，将提供相应的现场培训。

　　为确保系统在现在和未来的正常工作，AVAYA需要如下支持：

　　1. 产品质量：

　　系统构成的每个产品必须是经检验符合超5类要求的产品。AVAYA是系统产品检测的领先者，其提供全面经过检测的、高质量的系统部件。AVAYA的MAXTM5e布线产品是在高质量标准监制下制造的，所有产品都有ISO 9001认证。

　　2. 设计质量：

　　为保证系统的可管理性和灵活性，系统的设计很重要，必须遵照规范进行。

　　AVAYA出版的设计指南是经由CSV和FAC认证的，并收录了许多工业规范和标准。

　　3. 安装质量：

　　保证系统的正规安装是最重要的，它应由经过认证的、有经验的技术人员进行。

　　4. 材料质量：

　　除人为因素(如机械性损伤)及鼠害等不可抗力外，在综合布线产品材料交付用户后20年内，AVAYA材料如出现质量问题，AVAYA将免费提供有关材料。

　　6.2 培 训

　　为使用户的有关管理人员、工程人员、技术人员及系统操作人员能有效地使用与管理结构化布线系统，特别制定此培训计划，其特点为：

 全部培训课程都是针对此工程的智能结构化布线系统而编写；

 整个培训课程是分开多个模块，分布在整个工程的不同时间，容许业主有关人员吸收到最多有关最新知识；

 保证有关工程人员有足够的现场工作训练；

 在每个培训模块完成前，我公司都会提供一项测试给各学员，达到要求者发给证书。

　　培训内容：

 熟悉结构化布线系统结构，了解基本系统硬件及软件知识。

能维护光纤及铜缆系统。

 能熟练的操作线路管理，增加、删除、移动等多项操作，能够迅速准确的判断故障和修复。

 能方便灵活的修改系统设置

　　培训计划：

　　一、系统管理人员培训

　　我方技术人员在系统安装过程中和安装完毕后,向甲方技术人员介绍系统的构成介绍、示范系统的使用和讲解系统的使用注意事项。使经过现场培训的系统管理人员，在整个项目完工后，当系统出现非设备故障时，有能力进行判断分析及处理该故障，恢复系统正常运行。

　　二、一般操作人员的培训

　　AVAYA公司的结构化布线系统用户界面友好，操作易学易懂，不具备经验的人员也可在短期内掌握，但考虑到操作人员的水平参差不齐，为达到统一的效果，计划对操作人员进行基本的操作培训，此项培训计划在系统竣工验交后进行：

 熟悉结构化布线系统结构，了解基本结构化布线知识。

能熟练的操作线路管理

能简单维护布线系统。

 熟悉布线系统竣工资料，了解系统配置，位置对应关系。

作者：Renaud Deraison(Nessus最主要的编写者，法国人)
　翻译：nixe0n
　版本：1.0.0pre2

1.简介

　　1.1.什么是NASL?

　　NASL是一个为网络安全扫描工具Nessus开发的脚本语言。通过它，任何人都可以方便快速地针对新出现的漏洞编写出测试插件，也便于不同操作系统的用户分享测试脚本。除此之外，NASL还可以保证编写的脚本只能用于针对目的主机的测试，使编写者难以使用编写的脚本用于恶意用途。


　　使用NASL，你可以很容易地打造IP报文，或者发送通常的报文。NASL中还有一些专门的函数用于向FTP和WEB服务器发送数据。另外，NASL还可以保证：

　　　除了目标主机之外，不向任何的主机发送报文。
　　　不允许在本地系统执行任何命令。

　　1.2.What NASL is not

　　NASL不是一种功能很强大的脚本语言。它的目的只是用于安全测试。因此，别指望使用这种脚本语言写出第三代的WEB服务器或者文件转换工具，要编写此类软件还是使用Perl、Python或者其它的脚本语言吧。用它们编写要比使用NASL快100倍。

　　另外，由于NASL的设计有些仓促，在语法上还有一些需要改进的地方。

　　1.3.为什么不在Nessus中使用Perl、Python、tcl或者其它脚本语言

　　我知道有很多功能非常强大的脚本语言，和它们相比NASL功能要弱很多。不过，虽然这些语言都非常强大，但是它们都不太安全。使用这些语言，你可以非常容易地编写出木马检测插件，泄露你的信息，让第三者知道你是一个Nessus用户，甚至会把一些敏感信息(例如：密码文件)发送到第三方主机。

　　使用这些语言还有另外一个问题，它们都会消耗大量的系统资源，尤其是内存。这非常令人头疼。以Perl为例，Perl非常棒，并且非常优美。但是，如果要使用它编写Nessus的测试插件，你需要消耗大量的时间安装必须的模块，Net::RawIP就是其中之一。

　　与此相反，NASL根本不会消耗大料的内存。因此，即使没有256M内存，你也可以同时启动20个nessusd线程。而且，对于编写检测插件，NASL本身就足够了，你不必为了为了编写新的安全检测插件而安装大量的软件包。

　　1.4.为什么你应该自己编写安全测试插件

　　你可能会盘算为了自己编写Nessus安全测试插件而在学习一种脚本语言是否值得？但是，你要知道：

　　　* NASL为Nessus做过专门的优化，因此使用NASL编写的安全测试插件效率很高。
　　　* 在很多方面，NASL和C非常类似，因此你没有必要担心很难掌握。
　　　* NASL非常适合编写安全测试插件。
　　　* NASL的移植性很好。在M$版本的Nessus发布之后，所有的安全测试插件根本勿需修改，就可以使用。

　　1.5.这个教程会教你一些什么东西

　　这个教程的目的是教你如何使用NASL编写自己的Nessus安全测试插件。

　　1.6.NASL的局限

　　我在上面讲过，NASL不是一种强大的脚本语言。它最大的局限是:

　　　结构(structure)。目前NASL还不支持结构，可能在不久的将来可以支持。
　　　一个调试程序。NASL还没有一个合适的debug程序。不过，有一个单独的解释程序nasl可以暂时用于排错。

　　1.7.感谢

　　下面这些人为NASL的设计提出了高贵的意见，作者在此致谢：

　　　Denis Ducamp(denis@hsc.fr)
　　　Fyodor(fyodor@dhp.com)
　　　Noam Rathaus(nomr@securiteam.com)

2.NASL基础：语法

　　在语法上，NASL非常类似于C，只是去掉了一些烦人的东西。你勿需顾及对象的类型，也不用为它们分配和释放内存；在使用变量之前不必事先声明。这样，你就可以只致力于安全测试插件的的编写。

　　如果你以前不懂C语言，读这个教程可能要费点劲，如果你对C语言已经很精通，读本教程将非常轻松。

　　2.1.注释

　　在NASL中，注释符是#。它只对当前行有效，例如：

　　有效的注释：

　　　a = 1 ; #let a = 1
　　　#set b to 2
　　　b = 2;

　　无效的注释：

　　　#
　　　set a to 1
　　　#
　　　a = 1;
　　　a = # set a to 1 # 1;

　　2.2.变量、变量类型、内存分配和包含(include)

　　与C语言不同，在使用变量之前，你不用事先声明，也不用关心它们的类型。如果你的操作错误(例如：把一个IP报文和一个整数相加)，NASL就会提醒你。你也不必关心C语言中经常遇到的内存分配和包含(include)等问题，在NASL中没有include，而且内存是在需要时自动分配。

　　2.3.数字和字符串

　　NASL中的数字可以使用三种进制：十进制、十六进制和二进制。例如：

　　　a = 1204;
　　　b = 0x0A;
　　　c = 0b001010110110;
　　　d = 123 + 0xFF;

　　数组必须使用引号。注意：和C语言不同，除非使用string()函数，否则NASL解释器将不解释特殊字符(例如：\n)。例如：

　　　a = "Hello\nI'm Renaud"; #a等于Hello\nI'm Renaud"，\n没有特殊含义
　　　a = string("Hello\nI'm Renaud");#b等于"Hello
　　　# I'm Renaud"
　　　c = string(a); #c等于b

　　　string()函数将在“字符串处理”中详细讨论。

　　2.4.匿名/非匿名参数

　　非匿名函数(Non-anonymous Function)

　　NASL对函数参数的处理方式也C语言也不相同。在C语言中，程序员必须只参数的位置。

　　如果一个函数的参数超过10个，就非常让人头疼。例如，一个构造IP报文的函数就可能有很多参数。如果你需要使用这个函数，就得记住参数的确切次序，这非常浪费时间。

　　在NASL中尽量避免出现这种情况。

　　在NASL中，当函数的参数次序比较重要，并且当这个函数不同的参数是不同的类型，这个函数就是一个非匿名函数。也就是，你必须给出元素名。如果你忘记了某些元素，在运行时NASL会给你错误提示。例如：

　　　forge_ip_packet()函数有很多参数。以下两种调用方式都有效并且执行相同的操作：

　　　　forge_ip_packet(ip_hl:5,ip_v:4,ip_p:IPPROTO_TCP);
　　　　forge_in_packet(ip_p:IPPROTO_TCP,ip_v:4,ip_hl:5);

　　在运行时，用户会被提示缺少参数(ip_len等)。

　　匿名函数(Anonymous function)

　　如果函数只有一个参数，或者所有参数的类型是相同的，这种函数就叫做匿名函数。例如：

　　　send_packet(my_packet);
　　　send_packet(packet1,packet2,packet3);

　　这些函数可以有选项。例如：在使用send_packet()函数时，你可以决定是否等待回应。如果你感觉没有必要接收目标的回应，你可以使用如下调用形式来加速安全测试速度：

　　　send_packet(packet,use_pcap:FALSE);

　　2.5.for和while

　　在NASL中也存在for和while两种循环控制，和C语言的几乎完全相同，其语法格式如下：

　　　for(instruct_start;condition;end_loop_instruction)
　　　　{
　　　　　#
　　　　　#需要执行的代码
　　　　　#
　　　　}

　　或者

　　　for(instruction_start;condition;end_loop_instruction)fuction();

　　While的格式：

　　　while(condition)
　　　　{
　　　　　#
　　　　　#执行的代码
　　　　　#
　　　　}

　　或者：

　　while(condition)function();

　　例如：

　　　# 显示从1到0
　　　for(i=1;i〈=10;i=i+1)display("i : ",i,"\n");

　　　# 显示从1到9以及它们是奇数还是偶数
　　　for(j=1;j〈=10;j=j+1)
　　　　{
　　　　　if (j&1)display(j," is odd\n");
　　　　　　else display(j," is even\n");
　　　　}

　　　# 使用while
　　　i = 0;
　　　while(i〈10)
　　　　{
　　　　　i=i+1;
　　　　}

　　2.6.用户定义的函数

　　NASL允许用户定义自己的函数。用户可以使用如下的语法定义自己的函数：

　　　function my_func(argument1,argment2,....)

　　用户定义的函数必须使用非匿名(non-anonymous)参数，NASL能够处理递归调用。例如：

　　　function fact()
　　　　{
　　　　　if((n==0)││(n==1))
　　　　　　return(n);
　　　　　else
　　　　　　return(n*fact(n:n-1));
　　　　}

　　　display("b! is ",fact(n:5),"\n);

　　另外，用户自己定义的函数不能调用其它的用户定义函数(实际上是可以的但是遇到这种情况，NASL解释器会向你发出警告)。

　　注意：如果你需要让自己的函数返回一个值，需要使用return()函数。因为return()是一个函数，因此需要有括号，下面这种写法就是错误的：

　　　function func()
　　　　{
　　　　　return 1; #这种写法在C语言中是可以的，但是在NASL中不性
　　　　}

　　2.7.操作符

　　一些标准的C语言操作符也可以用于NASL，包括：+、-、*、/和%。目前，NASL还不支持操作符的优先级，但是以后版本将会支持操作符的优先级。另外，NASL也支持C语言的二进制操作符│和&。

　　除此之外，NASL还有两个独有的操作符：

　　x操作符

　　对于某些简单的循环使用for或者while非常不便，而且每次循环还需要对条件进行检查，造成效率的下降。因此NASL引入了一个x操作符来简化某些循环代码。例如：如果你需要发出10次UDP报文，使用x操作符，只要下面一行代码就可以了：

　　　send_packet(udp)x10;

　　〉〈操作符

　　〉〈操作符是一个布尔型操作符，表示如果一个字符串A包含在另一个字符串B中，就返回真，例如：

　　　a = "Nessus"'
　　　b = "I like Nessus";
　　　if(a〉〈b)
　　　　{
　　　　　#结果为真
　　　　　display(a " is contained in ",b,"\n");
　　　　}

3.网络相关函数

　　3.1.套接字处理

　　套接字是使用TCP或者UDP协议和其它主机通讯的途径。在NASL中不允许你直接打开一个和测试目标通讯的套接字，因此你只能使用NASL提供的函数打开套接字。

　　3.1.1.如何打开一个套接字

　　在NASL中，函数open_sock_tcp()和open_sock_udp()分别用于打开一个TCP或者UDP套接字。这两个函数使用匿名(anonymous)参数。当前，你每次智能打开一个端口，将来的版本将解决这个问题。例如：你可以使用如下代码分别打开一个TCP和UDP套接字：

　　　#在80端口打开一个TCP套接字
　　　soc1=open_sock_tcp(80);

　　　#在123端口打开一个UDP套接字
　　　soc2=open_sock_udp(123);

　　如果无法和远程主机建立连接，这两个函数会返回0。不过，通常open_sock_udp()不会失败，因为没有办法确定远程主机的UDP端口是否开放，对于open_sock_tcp()，如果远程主机的端口是关闭的，它就会返回0。

　　open_sock_tcp()可以用于对TCP端口的简单扫描，例如：

　　　start = prompt("First port to scan?"); #输入开始的端口
　　　end = prompt("Last port to scan?"); #输入结束的端口
　　　for(i=start;i〈end;i=i+1)
　　　　{
　　　　　soc=open_sock_tcp(i);
　　　　　if(soc)
　　　　　　{
　　　　　　　display("Port ",i," is open\n");
　　　　　　　close(soc);
　　　　　　}
　　　　}

　　3.1.2.关闭一个端口

　　关闭一个端口使用close()函数，在close()内部，关闭端口之前，它首先会调用shutdown()函数。

　　3.1.3.读写套接字

　　根据被读写的套接字类型，可以选择使用如下函数完成这两项操作：

　　　recn(socket:〈socketname〉,length:〈length〉 [,timeout:〈timeout〉])

　　从套接字〈socketname〉读取〈length〉个字节，这个函数可以用于TCP和UDP。超时(timeout)参数是可选的，以秒为单位。

　　　recv_line(socket:〈socketname〉,length:〈length〉 [,timeout:〈timeout〉])

　　这个函数和recv()函数类似，只是如果遇到换行(\n)操作终止。这个函数只能用于TCP套接字。

　　　send(socket:〈socket〉,data:〈data〉 [,length:〈length〉])

　　从套接字〈socket〉发送数据〈data〉。可选参数length告诉函数发送〈length〉字节。如果没有设置length，发送操作就在遇到NULL时终止。

　　如果没有设置超时参数，读函数(recv()和recv_line())就使用默认的超时时间5秒。如果时间到，它们就返回FALSE。例如：

　　　# 以下代码用于显示远程主机的banner信息
　　　soc = open_sock_tcp(21);
　　　if(soc)
　　　　{
　　　　　data = recv_line(socket:soc,length:1024);
　　　　　if(data)
　　　　　　{
　　　　　　　display("The remote FTP banner is : \n",data,"\n");
　　　　　　}
　　　　　else
　　　　　　{
　　　　　　　display("The remote FTP server seems to be tcp-wrapper\n");
　　　　　　}
　　　　　close(soc);
　　　　}

　　3.1.4.高层操作

　　NASL有一些针对FTP和WWW协议的函数，用于简化对这两个应用层协议的某些操作。

　　　ftp_log_in(socket:〈soc〉,user:〈login〉,pass:〈pass〉)

　　尝试通过〈soc〉套接字登录到远程FP主机。如果用户名〈login〉和密码〈pass〉都正确，就返回TRUE，否则返回FALSE。

　　ftp_get_pasv_port(socket:〈soc〉)

　　向远程FTP服务器发出一个PASV命令，获得连接的端口。NASL脚本可以通过这个端口从FTP服务器下载数据。如果发生错误函数将返回FALSE。

　　is_cgi_installed(〈name〉)

　　测试远程WEB服务器是否安装了名为〈name〉的CGI程序。这个函数向远程WEB服务器发出GET请求实现这个目的。如果〈name〉不是以斜杠(/)开头，就认为它是相对于/cgi-bin/。

　　这个函数也可以用于确定某个文件是否存在。

　　示例脚本：

　　　#
　　　# 针对WWW服务器的测试
　　　#
　　　if(is_cgi_installed("/robots.txt"))
　　　　{
　　　　　display("The file /robots.txt is present\n");
　　　　}

　　　if(is_cgi_installed("php.cgi"))
　　　　{
　　　　　display("The CGI php.cgi is installed in /cgi-bin/\n");
　　　　}

　　　if(!is_cgi_installed("/php.cgi"))
　　　　{
　　　　　display("There is no php.cgi in the remote web root\n");
　　　　}

　　　#
　　　# 针对FTP服务器的测试
　　　#
　　　# 打开一个连接
　　　soc = open_sock_tcp(21);
　　　# 匿名登录到远程FTP主机
　　　if(ftp_log_in(socket:soc,user:"anonymous",pass:"joe@"))
　　　　{
　　　　　# 打开一个被动传输模式的端口
　　　　　port = ftp_get_pasv_port(socket:soc);
　　　　　if(port)
　　　　　　{
　　　　　　　soc2 = open_sock_tcp(port);
　　　　　　　#尝试获得远程系统的/etc/passwd文件
　　　　　　　data = string("RETR /etc/passwd\r\n");
　　　　　　　send(socket:soc,data:data);
　　　　　　　password_file = recv(socket:soc2,length:10000);
　　　　　　　display(password_file);
　　　　　　　close(soc2);
　　　　　　}
　　　　　close(soc);
　　　　}

　　3.2.原始报文处理

　　NASL允许用户构造自己的IP报文，而且报文的定制是以一种智能的方式进行的。例如，如果你改变了一个TCP报文的某个参数，就会造成其TCP校验和发生改变，但是你不必为此费心，NASL会自动完成。

　　所有的原始报文构造函数都使用非匿名(non-anonymous)参数。参数的名字都是来自BSD的包含文件。因此一个IP报文的长度域叫做ip_len而不是length。

　　3.2.1.构造IP报文

　　在NASL中，你可以使用forge_ip_packet()函数构造一个新的IP报文；使用set_ip_element()函数获得报文某个域的值；使用set_ip_element()函数改变现有IP跋文某个域的值。forge_ip_packet函数的原形如下：

　　　〈return_value〉=forge_ip_packet(
　　　　　ip_hl :〈ip_hl〉,
　　　　　ip_v :〈ip_v〉,
　　　　　ip_tos :〈ip_tos〉,
　　　　　ip_len :〈ip_len〉,
　　　　　ip_id :〈ip_id〉,
　　　　　ip_off :〈ip_off〉,
　　　　　ip_ttl :〈ip_ttl〉,
　　　　　ip_p :〈ip_p〉,
　　　　　ip_src :〈ip_src〉,
　　　　　ip_dst :〈ip_dst〉,
　　　　　[ip_sum :〈ip_sum〉]);

　　其中，ip_sum参数是可选的，如果没有使用，NASL会自动计算报文的校验和。ip_p参数可以是一个整数值，或者是IPPROTO_TCP、IPPROTO_UDP、IPPROTO_ICMP、IPPROTO_IGMP或者IPPROTO_IP等常量中的某个值。

　　get_ip_element()函数的原型如下：

　　　〈element〉=get_ip_element(
　　　　　ip :〈ip_varible〉,
　　　　　element :"ip_hl"│"ip_v"│ip_tos"│"ip_len"│
　　　　　"ip_id"│"ip_off"│"ip_ttl"│"ip_p"│
　　　　　"ip_sum"│"ip_src"│"ip_dst");

　　get_ip_element()将返回报文中的某个域的值。element参数必须是"ip_hl"、"ip_v"、ip_tos"、"ip_len"、"ip_id"、"ip_off"、"ip_ttl"、"ip_p"、"ip_sum"、"ip_src"、"ip_dst"中的一个，而且引号是必不可少的。

　　set_ip_elements()函数的原型如下：
　　　set_ip_elements(
　　　　ip :〈ip_variable〉,
　　　　[ip_hl :〈ip_hl〉,]
　　　　[ip_v :〈ip_v〉,]
　　　　[ip_tos :〈ip_tos〉,]
　　　　[ip_len :〈ip_len〉,]
　　　　[ip_id :〈ip_id〉,]
　　　　[ip_off :〈ip_off〉,]
　　　　[ip_ttl :〈ip_ttl〉,]
　　　　[ip_p :〈ip_p〉,]
　　　　[ip_src :〈ip_src〉,]
　　　　[ip_dst :〈ip_dst〉,]
　　　　[ip_sum :〈ip_sum〉]
　　　);

　　这个函数可以改变IP报文〈ip_varible〉的值，如果你没有修改ip_sum域的值，它会自动重新计算。这个函数没有构造报文的能力，因此需要把它放在forge_ip_packet()函数之后。

　　最后，还有一个函数dump_ip_packet()需要说明一下，这个函数能够以可读的方式把IP报文的内容输出到屏幕。这个函数应该只用于调试目的。

　　3.2.2.构造一个TCP报文

　　forge_tcp_packet()用来构造TCP报文。函数原型如下：

　　　tcppacket = forge_tcp_packet(
　　　　ip :〈ip_packet〉,
　　　　th_sport :〈source_port〉,
　　　　th_dport :〈destination_port〉,
　　　　th_flags :〈tcp_flags〉,
　　　　th_seq :〈sequence_number〉,
　　　　[th_x2 :〈unused〉],
　　　　th_off :〈offset〉,
　　　　th_win :〈window〉,
　　　　th_urp :〈urgent_pointer〉,
　　　　th_sum :〈checksum〉,
　　　　[data :〈data〉]);

　　其中，标志参数th_flags必须是TH_SYN、TH_ACK、TH_FIN、TH_PUSH或者TH_RST，这些标志可以使用│操作符结合到一块。th_flags还可以使用一个整数值。ip_packet必须首先由forge_ip_packet()函数产生或者使用send_packet()、pcap_next()函数得到的返回值。

　　函数set_tcp_elements()能够修改TCP报文的内容，其原型如下：

　　　set_tcp_elements(
　　　　tcp :〈tcp_packet〉,
　　　　[th_sport :〈source_port〉,]
　　　　[th_dport :〈destination_port〉,]
　　　　[th_flags :〈tcp_flags〉,]
　　　　[th_seq :〈sequence_number〉,]
　　　　[th_ack :〈acknowledgement_number〉,]
　　　　[th_x2 :〈unused〉,]
　　　　[th_off :〈offset〉,]
　　　　[th_win :〈window〉,]
　　　　[th_urp :〈urgent_pointer〉,]
　　　　[th_sum :〈checksum〉,]
　　　　[data :〈data〉]);

　　除非你自己设置th_sum参数，否则函数会自动计算报文的校验和。

　　函数get_tcp_element()用来设置TCP报文的内容，其原型如下：

　　　element = get_tcp_elements(
　　　　tcp :〈tcp_packet〉,
　　　　element :〈element_name〉);

　　element_name必须是"tcp_sport"、"th_dport"、"th_flags"、"th_seq"、"th_ack"、"th_x2"、"th_off"、"th_win"、"th_urp"、"th_sum"其中之一。注意：引号是不可缺少的。

　　3.2.3.构造UDP报文

　　UDP报文构造函数forge_udp_packet()和TCP构造函数极为类似，其原型如下：

　　　udp = forge_udp_packet(
　　　　ip :〈ip_packet〉,
　　　　uh_sport :〈source_port〉,
　　　　uh_dport :〈destination_port〉,
　　　　uh_ulen :〈length〉,
　　　　[uh_sum :〈checksum〉,]
　　　　[data :〈data〉]);

　　而set_udp_elements()和get_udp_elements()函数和TCP报文对应的处理函数用法也相同。

　　3.2.4.构造ICMP报文
　　3.2.5.构造IGMP报文
　　3.2.6.发送报文

　　构造报文的操作完成之后，你可以使用send_packet()函数将它们发送出去，其原型如下：

　　　reply = send_packet(packet1,packet2,....,packetN,
　　　　pcap_active:〈TRUE│FALSE〉,
　　　　pcap_filter:〈pcap_filter〉);

　　如果pcap_active参数为TRUE，这个函数就会等待目标的回应。pcap_filter用来设置你需要得到的报文类型，详情请参考pcap或者tcpdump的手册页。

　　3.2.7.读取报文

　　你可以使用pcap_next()函数读取一个报文，其原型如下：

　　　reply = pcap_next();

　　这个函数将从你使用的最后一个接口读取一个报文，报文的类型取决于最后设置的pcap类型。

　　3.3.工具函数

　　NASL还提供了一些工具函数以简化你的编程。

　　　this_host()

　　获得运行脚本的主机IP地址，没有参数。

　　　get_host_name()

　　返回当前被测试主机的主机名，没有参数。

　　　get_host_ip()

　　返回当前被测试主机的IP地址，没有参数。

　　　get_host_open_port()

　　获得远程主机打开的第一个端口号，没有参数。这个函数对于某些脚本(例如：land)非常有用，有些TCP序列号分析程序需要通过这个函数获得远程主机一个打开的端口。

　　　get_port_stat(〈portnum〉)

　　如果TCP端口〈portnum〉打开或者其状态是未知，就返回TRUE。

　　　telnet_init(〈soc〉)

　　在一个打开的套接字上初始化一个telnet会话，并且返回telnet数据的第一行。例如：

　　　soc = open_sock_tcp(23);
　　　buffer = telnet_init(soc);
　　　display("The remote telnet banner is ",buffer,"\n");
　　　tcp_ping()

　　如果远程主机应答TCP ping请求(发送一个设置ACK标志的TCP报文)，本函数就返回TRUE，没有参数。

　　　getrpcport()

　　获得远程主机的RPC端口号，原型为：

　　　result = getrpcport(program :〈program_number),
　　　　protocol :〈IPPROTO_TCP│IPPROTO_UDP,
　　　　[version :〈version〉]);

　　如果远程主机的〈program_number〉程序没有在RPC portmap监控进程中注册就返回0。

4.字符串处理函数

　　NASL允许你象处理数字一样处理字符串。因此，你能够安全地使用==、〈和〉等操作符。

　　例如：
　　　
　　　a = "version 1.2.3";
　　　b = "version 1.4.1";
　　　if(a〈b)
　　　　{
　　　　　#因为version 1.2.3比version 1.4.1低
　　　　　#因此，开始执行这里的代码
　　　　}
　　　c = "version 1.2.3";
　　　if(a == c)
　　　　{
　　　　　#两个字符串相等
　　　　　#因此执行这里的代码
　　　　}

　　在NASL中，也可以获得一个字符串的某个字符，和C语言完全相同，例如：

　　　a = "test";
　　　b = a[1]; #b等于"e"

　　你也可以在一个字符串中加、减一个字符串，例如：

　　　a = "version 1.2.3";
　　　b = a - "version"; #b等于"1.2.3"
　　　a = "this is a test";
　　　b = "is a ";
　　　c = a - b; #c等于"this test"
　　　a = "test";
　　　c = " is a ";
　　　c = a - b; #a等于"testtest"

　　除此之外，〉〈也可以用于字符串的处理。NASL有很多函数来构造或者修改字符串：

　　4.1.处理正则表达式的ereg()函数

　　在NASL中，模式匹配是由ereg()函数完成的。原型如下：

　　　result = ereg(pattern:〈pattern,string:〈string〉)

　　正则表达式的语法是egrep风格的。细节请参考egrep的手册页。例如：

　　　if(ereg(pattern:".*",string:"test"))
　　　　{
　　　　　display("Always execute\n");
　　　　}

　　　mystring=recv(socket:soc,length:1024);
　　　if(ereg(pattern:"SSH-.*-1\..*",string:mysting))
　　　　{
　　　　　display("SSH 1.x is running on this host");
　　　　}

　　4.2.egrep()函数

　　egrep()函数返回一个多行文本中，匹配〈pattern〉的第一行。如果对单行文本使用这个函数，它就相当于ereg()。如果没有匹配的行，它就返回FALSE。其原型如下：

　　　str=egrep(pattern:〈pattern〉,string:〈string〉)

　　示例：

　　　soc=open_soc_tcp(80);
　　　str=string("HEAD / HTTP/1.0\r\n\r\n");
　　　sen(socket:soc,data:str);
　　　r=recv(socket:soc,length:1024);
　　　server=egrep(pattern:"^Server.*",string:r);
　　　if(server)display(server);

　　4.3.crap()函数

　　crap()函数非常便于测试缓冲区溢出，有两种原型：

　　　crap(〈length〉)

　　获得一个以'X'填充的长度为〈length〉的字符串。

　　　crap(length:〈length〉,data:〈data〉)

　　高一个长度为〈length〉的字符串，并使用〈data〉填充字符串。例如：

　　　a=crap(5); #a="XXXXX"
　　　b=crap(4096); #b="XXX...XXX"(4096个X)
　　　c=crap(length:12,data:"hello"); #c="hellohellohe"

　　4.4.string()函数

　　这个函数用来定制字符串。其原型为：

　　　string(〈string1〉,[〈string2〉,...,〈stringN〉]);

　　它能够解释字符串中\n、\t等特殊字符。例如：

　　　name="Renand";
　　　a=string("Hello,I am ",name,"\n"_; #a等于"Hello,I am Renaud"
　　　#末尾回行
　　　b=string(1," and "m",2," make ",1+2); #b等于"1 and 2 make 3"
　　　c=string("MKD ",crap(4096),"\r\n"); #c等于"MKD XXX...XXXXX"(4096个X)
　　　#后面是一个回车和一个回行

　　4.5.strlen()函数

　　strlen()函数返回一个字符串的长度，例如：

　　a==strlen("abcd"); #a等于4

　　4.6.raw_string()函数

　　这个函数能够把数字转换为对应的字符，例如：

　　　a=raw_string(80,81,82); #80、81、82分别对应ASCII字符的PQR

　　4.7.strtoint()函数

　　这个函数把一个NASL整数转换为一个二进制整数。原型为：

　　　value=strtolen(number:〈nasl_integer〉,size:〈number_of_byte〉);

　　这个函数比较适合于和raw_string()函数一块使用。size参数是NASL整数的字节数，可以是：1、2、4。

　　4.8.tolower()函数

　　这个函数能够把一个字符串中的所有大写字符转换为小写字符。原型为:

　　　string2=tolower(〈string〉);

　　例如：

　　　a="Hello,World"
　　　b=tolower(a); #b等于"hello,world"

5.总结
这是NASL Reference Guide的第一部分,主要介绍了NASL的各种函数.在下一部分我们将系统地介绍如何
编写Nessus安全测试插件.'
1.怎样编写一个高效的Nessus安全测试插件
在Nessus安全测试系统中,所有的安全测试都是由nessusd进程发动的.在测试期间,一个好的测试插件必
须能够有效地利用其它测试插件的测试结果.例如:一个测试插件需要打开一个到FTP服务器的连接,而在
这之前它应该首先检查端口扫描测试插件的结果,确定FTP端口是否打开.在一般情况下,这样只会节约一
点点时间,但是如果被测试主机位于防火墙之后,这样做会节省由于防火墙丢弃到21端口的TCP报文造成
的漫长等待时间.
1.1.确定端口是否打开
get_port_state()函数用于获得端口的状态.如果端口为开,这个函数就返回TRUE;反之,则返
回FALSE;如果这个端口没有被扫描过,也就是其状态为未知(unknown),函数也将返回TRUE.这个函数
只消耗很少的CPU资源,因此你可以尽可能地使用它,来提高测试插件的效率.
1.2.基础信息(Knowledge Base,KB)
在测试过程中,Nessus会为每个主机维护一份由扫描测试插件获得的基本信息(Knowledge Base,这个词本
来应该是基础知识的意思,但是这里似乎翻译作基本信息更为恰当^_^).各种其它的测试插件应该尽可能
地利用这些信息,以提高测试效率.实际上,端口的状态就保存在这里.
KB被分为好几类.Service类包含每个已知的服务和为其分配的端口号.例如,在大多数情况下,Server/
smtp的值为25.但是,如果远程主机的SMTP服务被隐藏于2500端口,这个值就改为2500.
有关基本信息各个元素的细节请参考附录B.
在NASL中,有两个有关节本信息(KB)的函数.使用get_kb_item()函数可以获得基本信息的
项的值,这个函数是匿名函数;而函数set_kb_item(name:,value:)能够把项的值设置为
.
注意:你不能获得刚刚加入的基本信息条目的值.例如,以下代码将无法象你所期待的那样执行:
set_kb_item(name:"attack",value:TRUE);
if(get_kb_item("attack"))
{
#这里的代码不可能执行
#因为attack基本信息项并没有更新
}
之所以会这样,是出于安全和代码稳定性的考虑.在安全测试期间,Nessus服务器会为每个安全测试插件
维护一份基本信息(KB)拷贝,安全测试插件只是从自己的基本信息(KB)拷贝中获得信息.而set_kb_item()函
数只更新原始的基本信息(KB)拷贝,不对当前安全测试插件使用的拷贝进行更新操作.
2.NASL脚本结构
每个安全测试插件需要向Nessus服务器进行注册后,才能使用.注册信息包括名字,描述,作者等.每个
NASL脚本都需要有以下结构:
#
#NASL基本基本结构
#
if(description)
{
#这里是注册信息
#
#这里可以叫做注册部分(register section)
#
exit(0);
}
#
#这里是脚本代码.我们可以称为攻击部分(attack section)
#
description是一个全局变量,值可以是TRUE或者FALSE,取决于脚本是否需要注册.
2.1.注册部分
在脚本的注册部分,必须调用以下函数:
script_name(language1:,[...])
设置在Nessus客户程序窗口中显示的名称.
script_description(language1:,[...])
设置在Nessus客户程序中显示的描述信息.
script_summary(language1:,[...])
设置总结信息,必须在一行之内总结描述信息的内容.
script_category()
设置脚本的类别.必须是ACT_ATTACK,ACT_GATHER_INFO,ACT_DENIAL和ACT_SCANNER之
一.
ACT_GATHER_INFO
信息采集类脚本.这种脚本率先启动,不会对远程主机造成伤害.
ACT_ATTACK
这类脚本会尝试获得远程主机的某些权限,可能会危害远程主机(例如,如果运行缓冲区溢出测试插件)
ACT_DENIAL
这种脚本会发起拒绝服务攻击,试图造成远程主机宕机.
ACT_SCANNER
端口扫描脚本.
script_copyright(language1:,[...])
设置脚本的版权信息.
script_family(language1:,[...])
设置脚本所属的族(family).NASL对此没有明确的规定,你可以任意定义脚本所属的族,例如:nixe0n's
PowerTools",不过我不建议这样做.当前使用的族名有:
Backdoors
CGI abuses
Denial of Service
FTP
Finger abuses
Firewalls
Gain a shell remotely
Gain root remotely
Misc
NIS
RPC
Remote file access
SMTP problems
Useless services
你可能注意到了,以上所有的函数都有一个叫做language1的参数.这个参数用于提供多语言支持.使用
NASL编写的脚本都需要支持英语,因此这些函数的确切语法是:
script_fuction(english:english_text,[francais:french_text,deutsch:german_text,...]);
除了以上函数,还有一个用于解决安全测试插件依赖关系的函数script)dependencies().它告诉nessusd服务
器在某些脚本之后启动当前脚本.如果当前脚本需要其它脚本获得的结果,就需要使用这个函数.其原型
为:
script_dependencies(filename1 [,filename2,...,filenameN]);
filename参数是脚本文件名.
2.2.攻击部分
脚本的攻击部分可以包括所有用于攻击测试的代码.一旦攻击完成,你可以使用security_warning()和
security_hole()函数报告是否存在此类安全问题.这两个函数的用途基本相同,security_warning()用于攻击成
功,但是问题不大的情况.它们的原型如下:
security_warning( [,protocol:]);
security_hole( [,protocol:]);
security_warning(port:,data: [,protocol:]);
security_hole(port:,data: [,protocol:]);
在上面的第一种情况下,客户程序显示的内容是脚本注册时script_description()函数提供的.由于能够支持
多语言,因此非常方便.
在第二种情况下,客户程序将显示data参数的内容.如果你需要显示动态获得的数据,就必须使用这种形
式.
2.3.CVE兼容性
CVE是麻省理工学院维护的一个数据库,主要是对安全相关的问题提供一个一般的描述.
详情请参考http://cve.mitre.org.
Nessus和CVE完全兼容,如果你要测试一个CVE定义过的安全问题,就可以在插件脚本的描述部分调用
script_cve_id()函数.其原型如下:
script_cve_id(string);
例如:
script_cve_id("CVE-1999-0991");
如果使用了这个函数,Nessus客户程序在生成报告时,会自动引用相关的CVE记录.
2.4.示例
除了安全测试外,NASL也可以用来编写一些用于维护的脚本.下面就是一个例子,用户可以使用这个脚
本检查那些主机正在提供SSH服务.
#
#检查SSH
#
if(description)
{
script_name(english:"Ensure the presence of ssh");
script_description(english:"This script makes sure that ssh is running");
script_summary(english:"connects ont remote tcp port 22");
script_category(ACT_GATHER_INFO);
script_family(english:"Admiminstration toolbox");
script_copyright(english:"This script was Writtern by Joe U.");
exit(0);
}
#
#SSH服务可能隐藏在别的端口
#因此我们需要依赖于find_service插件获得的结果
#
port=get_kb_item("Services/ssh");
if(!port)port=22;
#首先声明SSH没有安装
ok=0;
if(get_port_state(port))
{
soc=open_sock_tcp(port);
if(soc)
{
#检查端口是否是由TCP_Wrapper封装的.
data=recv(socket:soc,length:200);
if("SSH">}
close(soc);
}
#
#报告不提供SSH服务的主机
#
if(!ok)
{
report="SSH is not running on this host!";
security_warning(port:22,data:report);
}
3.脚本优化
在安全测试期间,nessusd服务器将启动200多个脚本.如果所有脚本编写的都不好,这个测试就会浪费大
量的时间.因此,你必须尽量提高脚本的效率.
3.1.只在必要时运行
对于优化脚本,最有效的方法是告诉nessusd服务器什么时候不要启动它.例如,假设你的脚本需要建立到
远程主机123/TCP端口的连接,如果nessusd知道这个端口已经被关闭,就没有必要启动你的脚本了.
script_require_ports(),script_require_keys()和script_exclude_keys()就是用来实现上述目的.这些脚本需要在
描述部分调用:
script_require_ports(,,...)
参数中的至少一个端口开放才启动脚本.参数可以是数字,也可以是基本信息(KB)中定义的符号,例
如:"Services/www".注意:如果端口的状态是未知的(例如:还没有进行过端口扫描),这个脚本也会执
行.
script_require_keys(,,...)
只有参数中的关键词在基本信息(KB)都有定义时,才执行脚本.例如:
script_require_keys("ftp/anonymous","ftp/writeable_dir");
表示只有远程FTP主机支持匿名用户以及存在可以写的目录时,才启动当前脚本.
script_exclude_keys(,,...)
参数表示的关键词至少有一个在基本信息(KB)中有定义,才执行当前脚本.
3.2.充分利用其它脚本的结果
充分利用基本信息拷贝中的信息,可以使脚本更高效.例如,如果在调用open_sock_tcp()函数之前,先调
用get_port_state()函数,就可以避免由于目标端口是关闭的带来的时间上的浪费.
4.如何分享你的新脚本
如果你想让别人分享自己的成果,在编写测试脚本时要遵循以下原则:
你的脚本不能存在任何与用户交互的操作
NASL安全测试脚本是在服务器端运行的,因此用户看不到任何的输出信息.
一个脚本只能测试一个漏洞
如果你知道如何测试好几个漏洞,那就为每个漏洞都编写自己的测试脚本.
你的脚本最好归入现有的种类
如果你计划分享自己的成果,最好避免建立Joe's Power Tools这样的新插件种类,尽量把插件划入已有的
插件种类.
查询CVE中是否有相关漏洞的定义
如果你能够注意脚本的兼容性,可以节省Nessus维护者的很多时间.
把成果发给Nessus维护者
Nessus的维护者就是本文的作者.如果你不象独享自己的成果,就把它发给Nessus维护者.如果你的脚本
被采用,它就会被分配一个唯一的ID.
5.结论
希望你能够喜欢这个教程.学习这个语言不会占用你太多的时间,你需要多多练习.在使用过程中,你会
发现NASL解释器的一些BUGS,希望你能够及时把这些BUGS报告给我.
附录A.基本信息(Knowledge base)
所谓的基本信息是一些关键词,里面包含其它测试插件获得的信息.使用script_dependencies(),
get_kb_item()和set_kb_item()函数,可以帮助你避免没有必要的重复测试.附录A中将罗列出这些关键词.
在基本信息(KB)中,每个项可以有几个值.例如,远程主机运行两个FTP服务:一个在端口21,另一个在
端口2100.这样关键词Services/ftp就等于21和2100两个端口.在这种情况下,测试脚本将执行两次:第一
次,get_kb_item("Services/ftp")函数将返回21,第二次这个函数将返回2100.不过,这是自动进行的,无须
人工干预.对于脚本编写者来说,相当于每个基本信息关键词只有一个值.有些关键词目前没有多大用
处,好多我就没有用过,但是有备无患.
Host/OS
定义文件:queso.nasl,nmap_wrapper.nasl
类型:字符串
含义:远程操作系统的类型
Host/dead
定义文件:ping_host.nasl和所有的DoS插件
类型:boolean
含义:远程主机关闭.如果这个项被设置,nessusd将终止针对这个主机的所有测试.
Services/www
定义文件:find_service.nes
类型:端口号
含义:目标主机WEB服务器监听的端口号.如果没有发现WEB服务器,就返回0.
Services/auth
定义文件:find_service.nes
类型:端口号
含义:identd服务使用的端口.如果没有这个服务,就返回0.
Services/echo
定义文件:find_service.nes
类型:端口号
含义:echo服务使用的端口.如果没有这个服务,就返回0.
Services/finger
定义文件:find_service.nes
类型:端口号
含义:finger服务使用的端口.如果没有这个服务,就返回0.
Services/ftp
定义文件:find_service.nes
类型:端口号
含义:ftp服务使用的端口.如果没有这个服务,就返回0.
Services/smtp
定义文件:find_service.nes
类型:端口号
含义:smtp服务使用的端口.如果没有这个服务,就返回0.
Services/ssh
定义文件:find_service.nes
类型:端口号
含义:ssh服务使用的端口.如果没有这个服务,就返回0.
Services/http_proxy
定义文件:find_service.nes
类型:端口号
含义:HTTP代理服务使用的端口.如果没有这个服务,就返回0.
Services/imap
定义文件:find_service.nes
类型:端口号
含义:imap服务使用的端口.如果没有这个服务,就返回0.
Services/pop1
定义文件:find_service.nes
类型:端口号
含义:pop1服务使用的端口.如果没有这个服务,就返回0.
Services/pop2
定义文件:find_service.nes
类型:端口号
含义:pop2服务使用的端口.如果没有这个服务,就返回0.
Services/pop3
定义文件:find_service.nes
类型:端口号
含义:pop3服务使用的端口.如果没有这个服务,就返回0.
Services/nntp
定义文件:find_service.nes
类型:端口号
含义:nntp服务使用的端口.如果没有这个服务,就返回0.
Services/linuxconf
定义文件:find_service.nes
类型:端口号
含义:linuxconf服务使用的端口.如果没有这个服务,就返回0.
Services/swat
定义文件:find_service.nes
类型:端口号
含义:SWAT服务使用的端口.如果没有这个服务,就返回0.
Services/wild_shell
定义文件:find_service.nes
类型:端口号
含义:shell服务使用的端口.如果没有这个服务,就返回0.
Services/telnet
定义文件:find_service.nes
类型:端口号
含义:telnet服务使用的端口.如果没有这个服务,就返回0.
Services/server
定义文件:find_service.nes
类型:端口号
含义:realserver服务使用的端口.如果没有这个服务,就返回0.
Services/netbus
定义文件:find_service.nes
类型:端口号
含义:NetBus服务使用的端口.如果没有这个服务,就返回0.
bind/version
定义文件:bind_version.nasl
类型:字符串
含义:远程BIND监控程序的版本
rpc/bootparamd
定义文件:bootparamd.nasl
类型:字符串
含义:bootparam RPC服务正在运行
Windows compatible
定义文件:ca_unicenter_file_transfer_service.nasl,ca_unicenter_transport_service.nasl,mssqlserver_detect.
nasl和windows_detect.nasl
类型:boolean
含义:远程主机好象运行一种Windows兼容操作系统(只有相关的端口开放才进行这个测试)
finger/search.**@host
定义文件:cfinger_search.nasl
类型:boolean
含义:使用**进行finger查询能够得到用户列表.
finger/0@host
定义文件:finger_0.nasl
类型:boolean
含义:使用0进行finger查询能够得到用户列表
finger/.@host
定义文件:finger_dot.nasl
类型:boolean
含义:使用.进行finger查询能够获得用户列表
finger/user@host1@host2
定义文件:finger_0.nasl
类型:boolean
含义:finger监控程序能够用于重定向攻击
www/frontpage
定义文件:frontpage.nasl
类型:boolean
含义:远程WEB服务器使用frontpage扩展
ftp/anonymous
定义文件:ftp_anonymous.nasl
类型:boolean
含义:远程FTP服务器可以匿名登录
ftp/root_via_cmd
定义文件:ftp_cwd_root.nasl
类型:boolean
含义:使用CWD命令可以获得远程FTP服务器的root权限.参看CVE-1999-0082
ftp/microsoft
定义文件:ftp_overflow.nasl
类型:boolean
含义:远程主机是Micro$oft FTP服务器,不能处理太长的参数
ftp/false_ftp
定义文件:ftp_overflow.nasl
类型:boolean
含义:远程主机经过TCP封装,或者FTP端口开放而连接关闭.
附录B.nasl工具
libnasl软件包中有一个单独的解释器nasl,可以用于脚本的调试.更多细节可以参考man nasl

作者：俞鹏 出处：中国新通信


摘　要　随着网络技术的飞速发展，VPN作为一种新型的远程网络访问技术，在近两年内受到企业用户的广泛关注。而作为VPN技术中最为重要的隧道技术，IPSec协议目前还是被公认为最安全，应用最为广泛的隧道技术。

关键词　VPN　IPSec　MPLS　SSL　AH　ESP　IKE

随着Internet的快速发展，人们逐渐把技术的焦点从网络的可用性、信息的获取性转移到网络的安全性、应用的简易性上来。建立在IP技术基础上的虚拟专用网（Virtual Private Network，VPN）正快速成为新一代网络服务的基础，许多服务供应商推出了基于VPN的各种业务。与此相应，Internet的安全问题也日益受到重视。Internet 是一个建立在TCP/IP协议基础上的开放的分组交换网，由于其在最初设计时缺乏安全考虑，导致目前Internet的安全性能严重不足。网络上的IP数据包几乎都是用明文传输的，非常容易遭到窃听、篡改等攻击。在各种网络安全的解决方案中，IETF于1998年推出的IPSec协议有着独特的优势，占据着重要的基础地位。IPSec协议是现在VPN开发中使用的最广泛的一种协议，它有可能在将来成为IPVPN的标准。但是IPSec协议是一个比较新的安全协议，而且非常复杂，作为一个还没有完全成熟的协议，IPSec 在理论上和实践上都有一些问题有待改进。鉴于它的重要作用，很有必要对IPSec协议及其VPN做相关的探讨及研究。

1　VPN虚拟专用网

1.1　VPN的定义

VPN（Virtual Private Network），即虚拟专用网，是利用开放的公众网络资源建立私有数据传输通道，将远程的分支机构、商业伙伴、移动办公人员等连接起来，并且提供安全的端到端的数据通信的一种广域网技术。VPN有两层含义：它是“虚拟的”，即建立隧道或虚电路把不同的物理网络或设备连接起来，不再使用物理的专线建立专用网，而是将其建立在分布广泛的公共网络上，如Internet；它是“专用的”，对基于IPSec的VPN而言，是一组连接的闭合用户群（CVC），它不仅具有服务质量（QoS）的保证，而且更多地强调安全服务。VPN是企业网在公共网络上的无缝延伸，VPN可将位于不同地点的远程用户、分支机构和合作伙伴等连接起来。

1.2　VPN的应用

VPN按照应用大致可分为Intranet VPN及Extranet VPN以及Remote accessVPN三种。其基本用途就是提供企业分支机构和企业，企业客户和企业以及企业内部的，远端企业员工与企业安全的点对点通信。

・ Intranet VPN是指在一个组织内部如何安全地连接两个相互信任的内联网，要求在公司与分支机构之间建立安全的通信连接。这种应用模式需要做的不仅是要防范外部入侵者对企业内联网的攻击，还要保护在因特网上传送的敏感数据。

・ Extranet VPN是基于Internet的VPN，虚拟专用网络支持远程访问客户以安全的方式通过公共互联网络远程访问企业资源。Extranet VPN是Intranet VPN的一个扩展，即通过因特网连接两台分别属于两个互不信任的内部网络的主机。它要求一个开放的基于标准的解决方案，以便解决企业与各种合作伙伴和客户网络的协同工作问题。

・ Remote Access VPN是指企业员工通过因特网远程拨号的方式访问企业内联网而构筑的VPN，通常也叫做远程拨号VPN。VPN技术的这种应用代替了传统的直接拨入内联网的远程访问方式，这样可以大大降低远程访问的费用。

1.3　目前几种主要的VPN技术及其比较

目前已经投入实际当中使用的VPN技术包括IPSec VPN、SSL VPN、MPLS VPN。这三种VPN技术各有特色、各有所长。目前国外主要厂商对SSL VPN技术、MPLS VPN技术发展相对比较重视发展较快，但是目前应用最为广泛，技术最为成熟的仍然是IPSec VPN技术。

・ IPSec协议是网络层协议, 是为保障IP通信而提供的一系列协议族。SSL是套接层协议，它是保障在Internet上基于Web的通信的安全而提供的协议。以标签交换是作为底层转发机制的MPLS（MultiProtocol Label Switching，多协议标记交换）VPN。

・ IPSec针对数据在通过公共网络时的数据完整性、安全性和合法性等问题设计了一整套隧道、加密和认证方案。IPSec能为IPv4/IPv6网络提供能共同操作/使用的、高品质的、基于加密的安全机制。提供包括存取控制、无连接数据的完整性、数据源认证、防止重发攻击、基于加密的数据机密性和受限数据流的机密性服务。

・ SSL用公钥加密通过SSL连接传输的数据来工作。SSL是一种高层安全协议，建立在应用层上。SSL VPN使用SSL协议和代理为终端用户提供HrrP、客户机/服务器和共享的文件资源的访问认证和访问安全SSL VPN传递用户层的认证。确保只有通过安全策略认证的用户可以访问指定的资源。

・ MPLS是一个可以在多种第二层媒质上进行标记交换的网络技术。不论什么格式的数据均可以第三层的路由在网络的边缘实施，而在MPLS的网络核心采用第二层交换，因此可以用一句话概括MPLS的特点：“边缘路由，核心交换”。

2　IPSec的应用研究

2.1　IPSec的定义

IPSec（Internet Protocol Security）即Intenet安全协议，是IETF提供Internet安全通信的一系列规范，它提供私有信息通过公用网的安全保障。IPSec适用于目前的版本IPv4和下一代IPv6。IPSec规范相当复杂，规范中包含大量的文档。由于IPSec在TCP/IP协议的核心层――IP层实现，因此可以有效地保护各种上层协议，并为各种安全服务提供一个统一的平台。IPSec 也是被下一代Internet 所采用的网络安全协议。IPSec协议是现在VPN开发中使用的最广泛的一种协议，它有可能在将来成为IPVPN的标准。

IPSec的基本目的是把密码学的安全机制引入 IP协议，通过使用现代密码学方法支持保密和认证服务，使用户能有选择地使用，并得到所期望的安全服务。IPSec是随着IPv6的制定而产生的，鉴于IPv4的应用仍然很广泛，所以后来在IPSec的制定中也增加了对IPv4的支持。IPSec在IPv6中是必须支持的。

2.2　IPSec协议体系结构

IPSec将几种安全技术结合形成一个完整的安全体系，它包括安全协议部分和密钥协商部分。可用图1进行表示。

（1）安全关联和安全策略：安全关联（Security Association，SA）是构成IPSec的基础，是两个通信实体经协商建立起来的一种协定，它们决定了用来保护数据包安全的安全协议（AH协议或者ESP协议）、转码方式、密钥及密钥的有效存在时间等。

（2）IPSec 协议的运行模式：IPSec协议的运行模式有两种，IPSec隧道模式及IPSec传输模式。隧道模式的特点是数据包最终目的地不是安全终点。通常情况下，只要IPSec双方有一方是安全网关或路由器，就必须使用隧道模式。传输模式下，IPSec 主要对上层协议即IP包的载荷进行封装保护，通常情况下，传输模式只用于两台主机之间的安全通信。

（3）AH（Authentication Header，认证头）协议：设计AH认证协议的目的是用来增加IP数据报的安全性。AH协议提供无连接的完整性、数据源认证和抗重放保护服务，但是AH不提供任何保密性服务。IPSec验证报头AH是个用于提供IP数据报完整性、身份认证和可选的抗重传攻击的机制，但是不提供数据机密性保护。 验证报头的认证算法有两种： 一种是基于对称加密算法（如DES），另一种是基于单向哈希算法（如MD5或SHA-1）。 验证报头的工作方式有传输模式和隧道模式。传输模式只对上层协议数据（传输层数据）和IP头中的固定字段提供认证保护，把AH插在IP报头的后面，主要适合于主机实现。隧道模式把需要保护的IP包封装在新的IP包中，作为新报文的载荷， 然后把AH插在新的IP报头的后面。隧道模式对整个IP数据报提供认证保护。

（4）ESP（Encapsulate Security Payload，封装安全载荷）协议：封装安全载荷（ESP）用于提高Internet协议（IP）协议的安全性。它可为IP提供机密性、数据源验证、抗重放以及数据完整性等安全服务。ESP属于IPSec的机密性服务。其中，数据机密性是ESP的基本功能，而数据源身份认证、数据完整性检验以及抗重传保护都是可选的。ESP主要支持IP数据包的机密性，它将需要保护的用户数据进行加密后再重新封装到新的IP数据包中。

（5）Internet 密钥交换协议（IKE）：Internet密钥交换协议（IKE）是IPSec默认的安全密钥协商方法。IKE通过一系列报文交换为两个实体（如网络终端或网关）进行安全通信派生会话密钥。IKE建立在Internet安全关联和密钥管理协议（ISAKMP）定义的一个框架之上。IKE是IPSec目前正式确定的密钥交换协议，IKE为IPSec的AH和ESP协议提供密钥交换管理和SA管理，同时也为ISAKMP提供密钥管理和安全管理。IKE具有两种密钥管理协议（Oakley和SKEME安全密钥交换机制）的一部分功能，并综合了Oakley和SKEME的密钥交换方案，形成了自己独一无二的受鉴别保护的加密材料生成技术。

3　结束语

虽然IPSec协议目前应用比较广泛，性能比较稳定。但是IPSec协议是一个比较新的安全协议，而且非常复杂，作为一个还没有完全成熟的协议，IPSec 在理论上和实践上都有一些问题有待改进。其不足之处主要是由其复杂性和灵活性引起的，IPSec 包括了太多的选项，提供了过多可以变通的地方。相信随着IP技术的发展，IPSec协议会日臻完善！