1、赛诺朗基网络配置管家 第 - 1 - 页赛诺朗基网络配置管家产品介绍北京恒安永通科技有限公司赛诺朗基网络配置管家 第 - 2 - 页目录1 背景 - 4 -2 系统功能 - 4 -2.1 网络配置的现状和变化总览 .- 5 -2.2 配置漏洞和缺陷专业检测 .- 7 -2.3 自动化批量操作 .- 9 -2.4 配置、设备、事件集中和搜索 .- 10 -2.5 配置文档和报表 .- 13 -2.6 实时报警 .- 15 -3 支持的网络协议和设备配置选项 - 16 -4 配置安全和漏洞检查类别 - 18 -5 配置检查报告的内容 - 21 -6 标准化的综合配置文档 - 24 -7 设备支持列
2、表 - 26 -8 用户收益 - 28 -8.1 减少网络故障 .- 28 -8.2 快速恢复网络运行 .- 29 -8.3 及时、全面掌握网络现状和变化 .- 29 -8.4 简化网络维护 .- 29 -8.5 部署快捷、使用简单、效果立现 .- 29 -9 技术优势 - 29 -赛诺朗基网络配置管家 第 - 3 - 页9.1 专业配置漏洞和缺陷检测分析技术 .- 29 -9.2 基于国际标准的漏洞评价指标 .- 29 -9.3 支持多厂商设备 .- 30 -9.4 配置、事件、设备全文搜索 .- 30 -9.5 免数据库架构 .- 30 -9.6 在同一视图中展示多种设备 .- 30 -1
3、0 数据中心扩展功能 .- 30 -10.1 面向业务的 IT 服务管理 - 30 -10.2 面向业务的安全管理 - 32 -10.3 综合行为审计 - 34 -11 关于我们 .- 36 -赛诺朗基网络配置管家 第 - 4 - 页1 背景随着数据大集中、云计算等 IT 业的变革，网络承担的责任越来越大，有时甚至网速慢也会是大事；同时，网络设备也不再是简单的路由和交换，它们同时还需要兼任访问控制、安全检测等更多更复杂的任务；网络配置本身项目多、相互之间交叉关联。数据集中后，各地市级机构的首要任务就是保障网络的稳定、安全运行，而设备的配置是完成这些工作的基础和核心，80%的网络故障与配置的漏洞
4、和变更有关；在有计划的网络变更中，有 60%的网络故障因网络配置的缺陷引起。现有网络管理系统虽然能够提供配置备份、恢复和配置原文件的差异比对等功能，在发生问题之后可以通过配置恢复或人工分析配置差异来对问题进行诊断，但无法掌握配置本身存在的问题和隐患。一方面通过配置回滚虽然可暂时恢复网络运行，但仍然可能带病运行；另一方面，网络设备配置日趋复杂，增加了如访问控制等新的配置项，加上配置文件本身没有反映大量默认配置，导致配置原文件的比对分析耗时、耗力，效果有限。网络配置管家通过对网络配置漏洞和缺陷进行深度检测，评估问题的风险和影响，提出解决建议和方法，与传统网管系统“ 事后管理”的特点相比，能够实现网
5、络运行的事前管理，消除隐患，避免出现问题。实际应用后，由于配置问题引起的网络性能和安全故障，可从 90%降低到 10%以下。2 系统功能赛诺朗基网络管家采用 B/S 架构，支持多个厂商的设备，用于交换机、路赛诺朗基网络配置管家 第 - 5 - 页由器、防火墙等网络设备的状态监控、网络配置、变更管理及合规管理等相关工作。通过使用该方案，各地市级机构可及时掌握网络运行状态，实现日常管理工作自动化，减少重复工作和人为失误。建立网络配置的专业安全检测机制，消除网络运行的故障和安全隐患。建立事前管理机制，预防问题的出现和扩散，实现涵盖“ 事前、事中和事后”的全过程管理；当出现问题和故障时，可以快速恢复正
6、常运行，快速评估对业务的影响、进行问题定位，还可以实现自动化、规范化的设备文档和报表等。2.1 网络配置的现状和变化总览一目了然地获得所有设备配置的现状，包括运行配置与启动配置、标准配置的差异情况，配置备份的操作和结果，配置的安全和漏洞检测结果以及设备配置变更情况等。并可进一步比对不同版本配置的具体差异。赛诺朗基网络配置管家 第 - 6 - 页总览图包括以下九个方面的信息：1. 配置漏洞严重级别分布反映了当前全网设备配置中漏洞按严重级别的分布和数量，可了解全网设备配置整体的安全情况，及时采取措施。2. 配置漏洞攻击难度反映了当前全网设备配置中漏洞按攻击难度的分布和数量，可了解全网设备配置漏洞需
7、要修补的急迫性。3. 当日事件分布反映了当日各设备事件的数量和按严重级别分布情况，可了解总体运行的状态。当发现事件数量多、严重级别高时，可以使用事件搜索和分析进行定位。4. 启动与运行配置差异情况反映了当前全网设备配置中运行配置与启动配置有差异的情况，便于及时核查和采取同步措施。5. 配置备份情况反映了当前全网设备配置的备份操作结果，及时发现备份失败或未运行备份的设备，避免出现问题时无法恢复。6. 在网设备统计反映了当前全网设备按分组的数量和分布情况。赛诺朗基网络配置管家 第 - 7 - 页7. 最近七天配置变更情况反映最近七天全网设备配置发生变更按天发生的次数，便于掌握配置变化的趋势和规律。
8、8. 最近七天漏洞检测情况反映最近七天全网设备配置漏洞检测结果按天统计的各严重级别数量，可掌握配置漏洞的变化趋势和修补措施的有效性。9. 最近七天事件情况反映最近七天全网设备发生的各类事件按天统计的各严重级别数量，可掌握全网设备运行状态的变化趋势。2.2 配置漏洞和缺陷专业检测提供配置安全漏洞检查及配置风险和冲突的智能识别，不仅针对单个配置选项进行分析，还能处理各配置项之间复杂互相关联、影响的关系，自动完成分析和检测，找出潜在的安全风险和漏洞。提供风险的评价、被攻击的难易程度等。赛诺朗基网络配置管家 第 - 8 - 页漏洞配置检测将在设备配置备份成功后自动运行，并对设备配置的各个方面进行全面、
9、深入的检测。针对每一个配置漏洞，将提供以下几个方面的信息：1. 漏洞名称和用颜色标识的漏洞级别，这个颜色标识与总览图中的严重级别一致。2. 漏洞综合评估（CVSS2） 、严重程度、攻击难度和修复难度等指标。3. 问题详情的说明和具体涉及的配置项或端口等信息。4. 该漏洞可能造成的影响和后果。5. 攻击难易度和可能采用的方法。6. 修复建议，即如何进行修复工作的思路、方法。7. 修复命令，针对具体厂商和设备型号给出修复的命令参考，避免翻找命令手册造成的费时费力和疏漏。赛诺朗基网络配置管家 第 - 9 - 页2.3 自动化批量操作实现设备配置的备份、更新、补丁等自动化批量操作并记录相关操作过程和结
10、果，便于后续的搜索和审计。用户可以针对每台设备设置不同的自动备份策略，包括按次或按周期重复进行。可以设置按小时、天、周、月等不同周期，以及在什么时间点进行等。赛诺朗基网络配置管家 第 - 10 - 页对设备分组进行即席批量备份操作。2.4 配置、设备、事件集中和搜索实现各种品牌、种类和型号设备信息、配置内容和实时事件的集中管理，再也不用逐台登录查看。可以像使用搜索引擎一样对这些信息进行方便、快捷赛诺朗基网络配置管家 第 - 11 - 页的全文检索。可使用关键字对设备运行过程中产生的 syslog 事件、备份事件、恢复事件、配置变化事件等进行搜索。通过拖曳鼠标进行快速时间过滤。在搜索结果中，可进
11、一步查看事件和相关设备详情，对事件进行接办、已查看登记、更改事件级别等处置操作。事件可以在 24 小时后自动转入历史库进行归档处理。对所有关键字查询都可以进行保存，以方便以后快捷查看和作为报警条件赛诺朗基网络配置管家 第 - 12 - 页使用。用户还可以自定义查询分组，进一步方便个性化管理。可以按关键字对设备进行搜索，搜索结果中以色标显示该设备的目前状态，即显示涉及该设备各类事件的最严重级别相同的颜色，方便及时发现问题。在查询结果中还可以对该设备进行各种操作，包括设备的标准文档、检测报告和不同版本的配置比对；查看涉及该设备的事件列表以及相关的统计信息，如选定时间段内的严重级别分布情况、按时间顺
12、序的线图、叠加柱状图等反映事件总量及其严重级别分布的趋势图等。赛诺朗基网络配置管家 第 - 13 - 页可以按关键字对设备的原始配置进行搜索。该搜索可包含所有设备以及各设备的所有配置版本。在搜索结果中，可以查看对应于该配置的标准文档、漏洞检测报告和原始配置文件。在查看原始配置文件时，相应的搜索关键字将突出显示，方便用户快速定位与该关键字相关的配置内容。2.5 配置文档和报表提供标准化设备配置文档，涵盖了设备配置 12 个方面的设置情况。同时还赛诺朗基网络配置管家 第 - 14 - 页提供了网络设备清单、网络健康状态、配置变更、用户操作审计、配置漏洞监测等各类报表。支持 HTML、 PDF、WO
13、RD 、EXCEL 等输出格式。用户可在设备搜索结果中查看正在运行的配置文档、在配置管理中查看设备配置所有版本的标准文档以及在报表中查看或打印标准文档。标准化配置文档消除了不同品牌和型号设备配置所使用的不同形式和方法，方便了设备之间配置项的交叉参考和比对，而且还提供了所有默认配置项的具体信息，保证了设备配置信息的完整性。用户可随时选择需要的报表名称，定制报表包含的内容并在浏览器中进行预览。还可以选择多种格式下载或对预览内容直接打印。赛诺朗基网络配置管家 第 - 15 - 页2.6 实时报警可针对网络配置变更、批量操作、日志事件、配置检测等灵活设置各种报警条件并随时激活或禁用它们。可将不同报警通
14、过不同的通道进行，比如对于比较关心的事件可以通过电信运营商提供的 pushmail 实时获取。赛诺朗基网络配置管家 第 - 16 - 页3 支持的网络协议和设备配置选项1. 网络地址 IPv4 MAC AppleTalk NetBIOS IPv6 Novell IPX DECnet 2. 无线网络 WEP WPA WPA2 PSK3. 身份验证 Local RADIUS RSA NT TACACS+ Kerberos SecureID Domain4. 网络管理 Console SSH TFTP SNMP赛诺朗基网络配置管家 第 - 17 - 页 Telnet HTTP(S) FTP Fing
15、er CDP LLDP5. 路由协议 BGP GLBP OSPF Static EIGRP HSRP RIP VRRP6. 网络层协议 DTP VTP7. 打印 IPP JetDirect LDP FTP8. 系统日志 Buffer Syslog Console FortiLog File WatchGuard Terminal ASDM Memory eMail WebTrends9. 时间同步 NTP SNTP10. 其它 BOOTP VPN SSL Banners Small Services IKE DNS DHCP Filtering IDS IPS NAT MOP ARP IPSe
16、c Encryption PAT User Policies ICMP 其它设备专有不同设备对上述协议的支持并不完全一样。本列表有部分简略，如路由协赛诺朗基网络配置管家 第 - 18 - 页议 RIP 实际可支持多个版本和多个网络协议，如同时支持 IPv4 和 IPv6。4 配置安全和漏洞检查类别1. 软件版本网络设备的软件版本可能因太过时而可能包含某些已知的漏洞。攻击者可能利用这些漏洞获取设备的访问权限。2. 身份验证密码确保设备无法通过默认或基于字典的密码获取访问权限。现实中大量攻击都是利用这些漏洞。3. 身份验证服务确保远程和本地的身份验证服务得到安全的设置。这里的缺陷可能导致攻击者获取
17、设备访问权。4. 管理服务管理服务对于任何网络设备的安全都是至关重要的。不好的配置将使攻击者有机会重新配置网络。5. VPN 配置VPN 被广泛应用在分支机构和移动办公中。它的配置缺陷将导致外部攻击者进入内网。6. 网络服务赛诺朗基网络配置管家 第 - 19 - 页目前很多网络设备都提供了基于 web 的管理和功能，这同时也给攻击者带来了便利。7. 时间同步准确的时间同步是认证服务、日志和电子取证的关键和基础。8. 名称解析服务名称查询应用在多种网络服务中，相关的应用设置不妥将造成安全隐患。9. 登录信息登录时系统显示的信息常常在配置时被忽略。通常应包含对非法登录的法律警告提示，同时不能泄漏任
18、何可能的敏感信息。10. 防火墙策略网络过滤对限制网络和服务的访问非常重要。糟糕的策略将使攻击者轻易进入内部系统。11. 入侵检测系统目前很多网络设备已包含了入侵检测功能。这些工具可检测潜在的攻击并报警，从而加强安全性。12. 入侵防御系统与入侵检测相似，入侵防御可以防御正在进行的攻击，从而增加一层防护措施。赛诺朗基网络配置管家 第 - 20 - 页13. 路由协议路由协议对于复杂的网络非常有用，可适应网络拓扑的变化并动态建立网络通讯的路由。但攻击者也可以利用这些协议中的漏洞改变网络通讯的路径。14. 加密设置加密可以防止敏感信息被窃取。这里的漏洞或缺陷可以使攻击者轻易解密抓取的通讯数据。15
19、. 日志记录系统事件不仅对故障诊断非常重要，而且也是检测和跟踪攻击的有效手段。16. 无线很多设备提供了无线接入能力。如果配置不慎，将使无线信号范围内的攻击者能够接入网络。17. 打印服务打印服务器也是一个经常容易忽略的地方，但经常被攻击者用来存储数据或作为攻击其它服务器的跳板。18. 其它设备专有的设置有些设备使用自己专有的配置项，其中一部分与安全有关，我们也会对这些专有的项目进行检查。赛诺朗基网络配置管家 第 - 21 - 页5 配置检查报告的内容配置检查报告中包括了设备配置文件中存在的所有漏洞或问题。针对每个漏洞或问题提供问题说明、漏洞评级、攻击者利用该漏洞的难易程度以及修复建议等内容。
20、1. 发现的问题这部分内容描述了检测中发现的具体问题和说明。一般情况下会提供问题的具体内容和造成这个问题的配置项等背景信息。2. 严重程度问题的严重程度描述了攻击者利用这个问题能做些什么和带来什么影响。3. 攻击难度攻击难易度描述了攻击者利用这个漏洞时需要具备的知识、技能、访问权限和花费的时间。4. 修复建议修复建议描述了修复该问题的步骤和方法。当需要时，还会提供修复相关的具体设备命令。5. 漏洞评级针对每个发现的漏洞或问题，我们会提供严重程度、攻击难度、修复难度和基于 cvss2 标准的综合评级，该综合评级结合了严重程度和攻击难度两个方赛诺朗基网络配置管家 第 - 22 - 页面。 严重程度
21、评级严重程度评级中各级别的含义：评级 说明关键 该问题能导致非常严重的安全隐患。这类隐患通常能让攻击者获取设备的全部管理权限。对于防火墙设备，允许所有通讯未经过滤通过也属于这个级别，因为防火墙的基本功能就是阻止非法访问。高危 该问题将对安全造成显威胁，但在可能被滥用的程度上有一定局限。获取用户级别的设备访问权限以及一项网络服务的 DoS 漏洞均属于这个级别。对于防火墙设备，允许大范围通讯无需过滤，例如整个子网或某个方向均可通过的情况就属于这个级别。对于路由器而言，允许对路由信息进行大量修改也属于这个范畴。中等 该问题在直接导致安全问题方面的作用有限。这类问题的典型影响是导致重大的数据泄露，不太
22、严重的 DoS 问题或重大的设备访问限制等问题。如果开通了 SNMP 服务而且其读或写密码是默认或基于字典的一般属于这个级别。防火墙设备允许对某个设备的大量网络服务进行自由通讯也属于这个范畴。较低 该问题代表较低程度的安全隐患。典型问题包括可能泄赛诺朗基网络配置管家 第 - 23 - 页露给攻击者一些有用的信息如用户列表、版本详细信息等。对于非防火墙设备中访问控制列表的过滤规则过于简单也属于这个级别。轻微 该问题代表非常轻微的安全隐患。通常包括少量信息泄露、激活不必要的网络服务或过时的协议，通常不会造成对安全的现实威胁。 攻击难度评级攻击难度评级中各级别的含义：评级 说明轻松 当攻击者利用该问
23、题进行攻击时，无需或只需很少的技术水平。他们运用标准操作系统工具就能轻松利用这些漏洞。防火墙配置中允许透明穿过的策略就属于这个级别。容易 当攻击者利用该问题进行攻击时，需要具备一定的技术水平。他们可能运用标准操作系统工具或从互联网上可下载的工具来利用这些漏洞。一项管理服务没有设置密码或采用缺省密码就属于这类问题。中等 当攻击者利用该问题进行攻击时，需要具备某些专业技术知识。他们需要综合运用操作系统工具和互联网上可下载的其它工具才能利用这些漏洞。较难 当攻击者利用该问题进行攻击时，需要具备丰富的技术赛诺朗基网络配置管家 第 - 24 - 页和经验，花费大量的时间。攻击者可能还需要能接触实际的网络
24、资源或设备。攻击时往往需要多种方法同时进行。很难 该问题无法直接利用。例如：激活某些过时的协议或不必要的服务等。 修复难度评级修复难度评级中各级别的含义：评级 说明需停机 修复这个问题需要大量的人力物力，往往需要中断网络服务，可能需要同时修改其它网络设备配置等。修复方法可能需要升级设备 OS 以及调整设备硬件。需测试 修复该问题需要提前安排和计划、测试并可能导致部分网络服务中断。修复方法可能需要变更路由协议内容和网络过滤策略等。轻易 修复该问题非常简单并且对网络运行影响很小。典型的修复方法包括改变少量的设置项内容。6 标准化的综合配置文档1. 设备常规设置包括设备名称，软件版本和其它设备专有的
25、常规设置。赛诺朗基网络配置管家 第 - 25 - 页2. 网络服务设置包括启用和禁用的网络服务一览表。3. 管理设置包括管理服务的设置，如 Telnet, SSH, HTTP 等。4. 身份验证设置包括授权用户帐号，远程登录身份验证服务及其它相关设置。5. 网络接口设置按接口类型分组，包括物理端口和 VLAN 设置。6. 路由协议设置包括静态和动态路由配置。7. 登录信息设置包括所有登录时和退出后显示的屏幕信息。8. SNMP 设置包括所有简单网管协议 SNMP 相关的设置。9. 消息和日志设置包括所有本地和远程运行日志的设置。10. 日期和时间设置赛诺朗基网络配置管家 第 - 26 - 页包
26、括详细的本地和远程日期、时间的设置。11. 网络过滤设置包括设置网络过滤及相关服务、地址和对象分组的设置。12. 打印服务设置如果设备支持打印服务，这里将包括所有相关的设置选项。7 设备支持列表3COM 4200 Series Switches3COM 4500 Series Switches3COM 5500 Series Switches3COM SuperStack 3 Firewalls3COM TippingPoint IDS/IPS *Alteon Switched Firewall (CP) Bay Networks Accelar SwitchesBlue Coat Proxy
27、SG * Brocade BigIron SwitchBrocade FastIron SwitchBrocade NetIron SwitchBrocade ServerIronCheck Point IP FirewallsCheck Point Firewall ManagementCheck Point Power-1 FirewallsCheck Point VPN-1 FirewallsCisco ASR (IOS XR) *Cisco Aironet Wireless AP (IOS)Cisco Catalyst Switches (CatOS)Cisco Catalyst Sw
28、itches (IOS)Cisco Catalyst Switches (NMP)Cisco CRS (IOS XR) *Crossbeam Firewalls CyberGuard Firewalls (SecureOS 6)赛诺朗基网络配置管家 第 - 27 - 页Cisco Content Services SwitchesCisco Nexus Appliances *Cisco Routers (IOS)Cisco Routers (IOS XR) *Cisco Security Appliance (ASA)Cisco Security Appliance (FWSM)Cisco
29、Security Appliance (PIX)Extreme Alpine (ExtremeWare)Extreme Alpine (XOS)*Extreme BlackDiamond (XOS)*Extreme Summit (ExtremeWare)Extreme Summit (XOS)*F5 BIG-IP Fortinet Fortigate FirewallsFoundry Networks BigIron SwitchFoundry Networks FastIron SwitchFoundry Networks NetIron SwitchFoundry Networks Se
30、rverIronGTA Firewall Appliances H3C 3600 Series SwitchesH3C 5500 Series SwitchesHP JetDirect Print ServersHP ProCurve SwitchesHuawei Quidway Switches (3COM) IBM Proventia G SeriesIBM Proventia M SeriesJuniper E Series RoutersJuniper EX Series SwitchesJuniper ISG FirewallsJuniper J Series RoutersJuni
31、per M Series RoutersJuniper MX Series RoutersJuniper NetScreen FirewallsJuniper SRX FirewallsMcAfee Enterprise Firewall NETGEAR ProSafe FVS Firewalls赛诺朗基网络配置管家 第 - 28 - 页Juniper SSG Firewalls (JunOS)Juniper SSG Firewalls (ScreenOS)Juniper T Series RoutersNokia IP Firewalls (Check Point) Nortel Conti
32、vity RoutersNortel Ethernet Routing 8k SwitchNortel Passport 8k SwitchesNortel Switching Firewalls (CP)Nortel VPN RoutersRuggedcom RuggedSwitchSecure Computing (SecureOS 6)Secure Computing (SecureOS 7)SonicWALL Firewall (SonicOS)SonicWALL NSA (SonicOS Enhanced)SonicWALL Pro (SonicOS)SonicWALL Pro (S
33、onicOS Enhanced)SonicWALL TZ (SonicOS)SonicWALL TZ (SonicOS Enhanced)WatchGuard 2 Series FirewallsWatchGuard 5 Series FirewallsWatchGuard 8 Series FirewallsWatchGuard 1050 FirewallsWatchGuard 2050 FirewallsWatchGuard X Core (XTM)WatchGuard X Edge (SS)WatchGuard X Edge (XTM)WatchGuard X Peak (XTM)说明：
34、由于很多设备厂商共用操作系统或配置规范，如果您的设备或型号不在上面的列表中，请联系我们的技术支持部门获取帮助。8 用户收益网络配置管家集成了日常运行中配置、资产、监测、日志等各方面的管理工作。尤其是网络配置漏洞和缺陷自动检测这一突破性的技术，使用户在更新设备的配置之前就能避免可能导致的问题，实现了以前需要专业人员手工花费很长时间才能完成的目标。用户实际应用后因配置问题引起的网络性能和安全故障，从 90%降低到 10%以下。赛诺朗基网络配置管家 第 - 29 - 页8.1 减少网络故障通过自动检测配置安全漏洞和缺陷，可以防患于未然，加强网络安全系数，提高网络的可用性。8.2 快速恢复网络运行当网
35、络发生故障时，可以轻松回滚到先前已知良好的配置，快速恢复网络的正常运转。8.3 及时、全面掌握网络现状和变化提供易于使用、一目了然的丰富视图，为工作计划和处理决策提供坚实可靠的依据。8.4 简化网络维护消除不同品牌、种类设备的界面和命令差异，节约了培训、学习的花费和时间。支持大批量自动化操作，提高了维护工作效率、避免手工操作的失误。8.5 部署快捷、使用简单、效果立现无需复杂的前期调研，对现有网络系统无影响。日常使用如同浏览网站，无需复杂的培训，避免新增管理系统带来新的麻烦和额外的工作量。9 技术优势9.1 专业配置漏洞和缺陷检测分析技术20 年网络配置安全分析经验积累，从 18 个角度进行智
36、能分析，涵盖网络赛诺朗基网络配置管家 第 - 30 - 页七个层次的 70 多个技术规范。9.2 基于国际标准的漏洞评价指标内置行业标准的 CVSS2 安全和漏洞评价体系，可动态调整优先级。此外，还提供了基于业界最佳实践的优先级模版，快捷实现先进的管理水准。9.3 支持多厂商设备支持各种品牌、种类的网络设备并持续更新和升级。9.4 配置、事件、设备全文搜索用户可以使用关键字和高级搜索语法随需检索，同时还节省了数据库、中间件的投入，简化了系统本身使用和维护。9.5 免数据库架构无需使用关系型数据库，使并行处理海量日志、事件、监测报警的数据再无瓶颈。其智能加速索引技术比关系型数据库架构提高 30 倍。9.6 在同一视图中展示多种设备各类设备可以展示能体现其特点和主要参数的对应字段，并可在字段上直接打开菜单进行查询和筛选，避免了不同种类的设备需要在多个窗口中才能查看和操作。10 数据中心扩展功能当地市级机构还有部分中间业务应用和综合前置等省级数据中心功能时，
