Załącznik nr 7 do specyfikacji

Transkrypt

1 Projekt Internet oknem na świat- przeciwdziałanie wykluczeniu cyfrowemu w Gminie Częstochowa współfinansowany ze środków Europejskiego Funduszu Rozwoju Regionalnego w ramach Programu Operacyjnego Innowacyjna Gospodarka Dotacje na Innowacje Inwestujemy w Waszą przyszłość Załącznik nr 7 do specyfikacji Warunki szczególne przyłączenia 22 obiektów szkolnych do sieci szerokopasmowej realizowanej w technologii światłowodowej ramach projektu: Budowa sieci szerokopasmowej CzestNet w Częstochowie 1. W chwili obecnej trwają końcowe prace mające na celu wdrożenie w ramach sieci CzestNet, technologii dostępowej tzw. GPON ( Gigabit Passive Optical Network ). System ten będzie służył do dołączania do sieci CzestNet wszystkich jednostek terytorialnych oraz do dystrybucji sygnału Internet. 1) Wszystkie urządzenia na projektowanej sieci i proponowane w obiektach szkolnych powinny być kompatybilne i współpracować z zabudowanymi urządzeniami w Centrum Zarządzania i Nadzoru sieci CzestNet. 2) Wszystkie prace montażowe na sieci CzestNet muszą być wykonywane za zgodą i pod nadzorem operatora tej sieci. 3) Z uwagi na trwałość projektu, Wykonawca udzieli gwarancji na wykonane roboty na okres 5 lat. 4) Wykonawca będzie zobowiązany w dostarczonych urządzeniach do zapewnienia gwarancji, rękojmi, serwisu zgodnie z wymaganą reakcją na zgłoszenie awarii i wymaganym terminem usunięcia awarii. 5) Wszelkie zastosowane rozwiązania nie mogą w żadnym stopniu ograniczać funkcjonalności i wpływać w jakimkolwiek stopniu na niezawodność eksploatowanych sieci światłowodowych i opartych na nich systemów. 2. W ramach realizacji powyższego zadania Wykonawca wykona infrastrukturę teletechniczną w technologii światłowodowej do każdej z 22 lokalizacji wymienionych w załączniku nr 2. Zestawienie jednostek do podłączenia w programie funkcjonalno użytkowym. Przyłącze oraz wewnętrzna sieć LAN musi być zmodernizowana, dowiązana i zintegrowana z istniejącą siecią LAN. Trasa realizowanej sieci CzestNet naniesiona została wraz ze studniami na mapie topograficznej stanowiącej Załącznik nr 1 do niniejszych warunków. 1) Na mapie oznaczone zostały gwiazdkami (zgodnie z legendą) 22 obiekty przeznaczone do podłączenia do sieci. Odcinek przyłączeniowy obiektu powinien być zaprojektowany najkrótszą trasą i z wykorzystaniem istniejących zasobów kanalizacji będącej w posiadaniu Urzędu Miasta lub kanalizacji Miejskiego Zarządu Dróg i Transportu w Częstochowie. 2) Planowaną sieć w technologii światłowodowej ( minimum 12J w tym minimum 4 włókna z przeznaczeniem dla podłączanego obiektu) należy poprowadzić w pasie drogowym na terenie miasta Częstochowy. 3) W punktach styku sieci i na zmianie kierunku sieci należy zastosować studnie kablowe (min SKO-2). Studnie na sieci należy usytuować średnio co około 0,5 km. W studniach należy zastosować stelaże zapasu kabla światłowodowego. 1

2 4) Należy przewidzieć zabudowę dodatkowych studni na sieci CzestNet w przypadku zbyt dużej odległości podłączanego obiektu od wskazanej na mapie studni Czestet. 3. Schemat blokowy sieci CzestNet został naniesiony w Załączniku Nr 2 do niniejszych warunków 1) Na schemacie wskazano studnie, w których zostaną zamontowane splittery. 2) Przy splitterach zaznaczone zostały ilości wolnych włókien. 3) Należy przewidzieć zamianę o innym module lub montaż dodatkowych splitterów w przypadku braku możliwości wykorzystania wskazanych na mapie pod warunkiem zachowania istniejących parametrów sieci. 4) W segmentach sieci, w których ze względu na zbyt małą lub zerową ilość ciemnych włókien nie będzie możliwa do zastosowania żadna z wymienionych technologii, Wykonawca zobowiązany będzie zaciągnąć do istniejącej kanalizacji, odpowiedni kabel światłowodowy. 4. Z uwagi na wdrażaną obecnie posiadaną technologię dostępową, każdy z torów światłowodowych zostanie zakończony terminalem GPON firmy Huawei lub kompatybilnym o parametrach nie gorszych niż przedstawione poniżej. Wymagane jest potwierdzenie kompatybilności w postaci wykonania fizycznych testów zaproponowanego rozwiązania: 1) Terminal GPON Huawei model HG8010 lub zgodny z platformą Huawei MA5608T 2) 1 port Ethernet 10/100/1000 BaseT 3) 1 port GPON zgodny ze standardami G.984.1/2/3/4 4) Złącze światłowodowe SC/APC 5) Zasilanie: zewnętrzny zasilacz AC230V/12VDC 6) Wsparcie ToS/802.1p QoS 7) Wsparcie szyfrowania ruchu wychodzącego w oparciu o AES (klucz 128 bitów) 8) Obsługa tablicy 16 VLAN oraz 64 MAC 9) Obsługa protokołów IGMP V1 i V2 5. Integralną częścią postępowania jest budowa sieci dostępu bezprzewodowego WLAN w każdej z 22 lokalizacji. W ramach tej części wykonawca jest zobowiązany do zaprojektowania, dostarczenia oraz wdrożenia proponowanego rozwiązania. Przykładowy schemat blokowy sieci WLAN przedstawiony jest na poniższym rysunku. Z uwagi na fakt, iż część z podłączanych placówek posiada już własne, niezależne sieci LAN, wykonawca musi tak zaprojektować sieć aby możliwe było podłączenie istniejącej infrastruktury do sieci CZESTNET i zasilenie jej dostarczonym w ramach projektu sygnałem Internetowym. 2

3 6. Ideą projektu jest zapewnienie dostępu do sieci Internet dla jak największej ilości uczniów jednocześnie. W związku z powyższym sieć musi zostać zaprojektowana w sposób umożliwiający jednoczesny dostęp dla minimum 80% uczniów w każdej placówce, przy czym należy również tak zaprojektować rozmieszczenie punktów dostępowych aby zapewnić jak największe pokrycie sygnałem sieci bezprzewodowej w salach lekcyjnych i pomieszczeniach biurowych. Szczegółowe, minimalne wymagania techniczne dla punktu dostępowego: 1) Urządzenie do pracy w sieci bezprzewodowej. 2) Urządzenie musi posiadać oprogramowanie do pracy w trybie tzw FIT AP pod kontrolą kontrolera bezprzewodowego dostarczonego w ramach niniejszego postępowania. 3) Urządzenie musi mieć możliwość pracy jako tzw. FAT AP, czyli bez konieczności sterowania z kontrolera WLAN. 4) Obsługa WDS i MESH. 5) Obsługa protokołu umożliwiającego oddzielenie ruchu lokalnego (wychodzącego bezpośrednio z AP) od ruchu kierowanego do kontrolera. 6) Obsługiwane standardy radiowe: a) b/g/n, jednoczesna obsługa minimum 16 ssid b) moc interfejsów radiowych 20dBm, per antena z możliwością zmniejszenia poziomu 7) Urządzenie mogące pracować jednocześnie w paśmie 2,4GHz i 5GHz. 8) Ilość portów: 3

4 a) Minimum jeden port RJ-45 auto-sensing 10/100/1000 port (IEEE Type 10Base-T, IEEE 802.3u Type 100Base-TX, IEEE802.3ab Type 1000Base-T), umożliwiający pracę w trybie half/full duplex b) Konsolowy port do zarządzania RJ45 9) Urządzenie przeznaczone do zainstalowania wewnątrz budynków z minimum 2 antenami 2:2 MIMO o zysku 4dBi dla pasma 2,4Ghz oraz, 5dBi dla pasma 5Ghz 10) Urządzenie musi obsługiwać funkcjonalność Dying Gasp umożliwiającą podtrzymanie pracy urządzenia oraz wysłanie alarmu po awarii zasilania do systemu zarządzającego/zbierającego alarmy 11) Obsługa funkcjonalności Beamforming 12) Obsługa co najmniej 100 jednocześnie podłączonych użytkowników 13) Wsparcie dla funkcji identyfikacji terminali 14) Wsparcie dla usługi lokalizacji terminali 15) Izolacja użytkowników w obrębie jednego SSID 16) Wsparcie dla funkcjonalności WIDS 17) Wsparcie dla funkcjonalności analizy spectrum w celu wykrywania urządzeń wprowadzające interferencje. 18) Możliwość uruchomienia równoważonego obciążenia AP opartego o zdefiniowane limity ilości podłączonych urządzeń końcowych lub limitu transferu danych 19) Możliwość aktualizacji oprogramowania AP z poziomu kontrolera WLAN 20) Obsługiwana prędkość do 300Mbps dla pojedynczego radia (sumarycznie 600 Mbps dla pasm 2.4GHz i 5Ghz) 21) Pamięć RAM minimum 128MB 22) Pamięć flash minimum 32MB 23) Parametry otoczenia a) temperatura pracy: 0 C do +45 C b) temperatura przechowywania: -35º do +65º C 24) Możliwość podłączenia zewnętrznego zasilacza AC 230VAC 25) Obsługa zasilania zgodnego z 802.3af 26) Zużycie energii: maksymalnie 12W 27) Na urządzenie powinny być wystawione certyfikaty: UL , EN , EN 62311:2008, EN :2008, EN V1.7.1, ROHS 2002/95/EC 28) Urządzenie musi być fabrycznie nowe i nieużywane wcześniej w żadnych projektach, wyprodukowane nie wcześniej niż 6 miesięcy przed dostawą i nieużywane przed dniem dostarczenia z wyłączeniem używania niezbędnego dla przeprowadzenia testu ich poprawnej pracy. 29) Urządzenia muszą pochodzić z autoryzowanego kanału dystrybucji producenta przeznaczonego na teren Unii Europejskiej, a korzystanie przez Zamawiającego z dostarczonego produktu nie może stanowić naruszenia majątkowych praw autorskich osób trzecich. Zamawiający wymaga dostarczenia wraz z urządzeniami oświadczenia przedstawiciela producenta potwierdzającego ważność uprawnień gwarancyjnych na terenie Polski. 30) Zamawiający wymaga, aby system sterowania siecią bezprzewodową posiadał 5-letni serwis gwarancyjny, świadczony przez Wykonawcę na bazie wsparcia serwisowego producenta. Wymiana uszkodzonego elementu w trybie 8x5xNBD. Okres gwarancji liczony będzie od daty sporządzenia protokołu zdawczoodbiorczego przedmiotu zamówienia. 7. Każda z lokalizacji musi zostać wyposażona w niezależny kontroler sieci WLAN, za pomocą którego będzie możliwe zarządzanie punktami dostępowymi w ramach sieci lokalnej w każdej lokalizacji. Kontroler musi spełniać poniższe minimalne wymagania techniczne: 4

5 1) Obsługiwane punkty dostępowe ze wsparcie standardów radiowych: a, b, g, n oraz w przyszłości ac bez konieczności dokupowania dodatkowych licencji, oprogramowania lub sprzętu. 2) Sprzętowe: a) Kontroler powinien posiadać metalową samodzielną obudowę, max 1RU b) Minimum 2 porty optyczne 1 GigabitEthernet c) Minimum 8 porty Gigabit Ethernet 10/100/1000 RJ45 (Auto-MDIX) z obsługą standardów 802.3af i 802.3at d) W przypadku braku wbudowanych portów obsługujących standard PoE+ dostawca musi dostarczyć dodatkowy przełącznik z co najmniej 8 portami PoE z mocą pozwalającą na dostarczenie do co najmniej 130W dla portów PoE. 3) Urządzenie musi zostać dostarczone z 2 wkładkami SFP 1GBase-LR 4) Urządzenie musi posiadać minimum 130W mocy dla funkcjonalności PoE 5) Dostarczone urządzenie musi zostać wyposażone w zasilacz AC 6) Podłączanie AP a) Podłączanie z użyciem L2 (L2 radio adoption) b) Podłączanie AP poprzez sieć IP (L3 radio adoption), wykrywanie poprzez konfigurację DNS oraz opcje w DHCP c) Automatyczne przydzielanie kanału częstotliwości transmisji d) Automatyczna kompensacja mocy transmisji radiowych punktów dostępowych w celu równomiernego pokrycia zasięgiem sieci radiowej. e) Zarządzenia punktami dostępowymi pracującymi w trybach połączeń typu Mesh i WDS. 7) Wydajność a) Obsługa minimum 16 AP, możliwość rozbudowy do 120 AP poprzez dołożenie licencji b) Minimum 1000 ESSID c) Minimum 1000 sieci VLAN d) Obsługa minimum 1000 urządzeń końcowych e) Obsługa co najmniej 1000 użytkowników na potrzeby autentykacji użytkowników poprzez wbudowany portal WEB f) Obsługa co najmniej 4000 adresów MAC 8) Uwierzytelnianie a) IEEE 802.1x RADIUS server authentication, wbudowany Web portal b) WPA/WPA2 with PSK, EAP-MD5, EAP-TLS, PEAP 9) Szyfrowanie a) 64/128 WEP keys, WPA/WPA2 with CCMP/TKIP b) Dynamic session key management 10)Kontrola dostępu i jakość ruchu a) Autentykacja za pomocą adresów MAC b) Autentykacja za pomocą adresu MAC i Portalu WEB (jednoczesna) c) MAC address filtering, access control lists, DSCP d) QoS wielopoziomowa kontrola pasma e) Mapowanie SSID na VLAN (do min 16 jednoczesnych SSID) f) Możliwość uzyskania funkcjonalności pozwalającej na lokalizacje użytkowników podłączonych do sieci WLAN 11)Zarządzanie a) WWW over HTTPS, SNMP v.2, v3, CLI 12)Tryby pracy a) Praca AC w trybie wysokiej dostępności (HA), opartej na protokole VRRP ze wsparciem BFD (lub równoważne) co umożliwia szybkie przełączenie na kontroler zapasowy bez zerwania połączenia access-pointów z kontrolerem 5

6 b) Możliwe uruchomienie trybu HA z opcją równoważonego obciążenia kontrolerów c) Praca AP w trybie lokalnym (dane użytkowników przesyłane lokalnie) d) Praca AP w trybie centralnym (dane użytkowników przesyłane przez tunel CAPWAP do kontrolera) e) Wsparcie dla mechanizmów bezpieczeństwa takich jak DHCP snooping w trybie lokalnym 13)Pozostałe a) DHCP serwer z obsługą co najmniej 100 puli adresowych dostępnych dla urządzeń klienckich. b) Lokalna baza użytkowników, współpraca z zewnętrznymi serwerami RADIUS c) DHCP relay d) LLDP e) pełny roaming w ramach kontrolera, (L2 i L3) 14)Bezpieczeństwo a) Szyfrowanie DTLS dla kanału kontrolnego w tunelu CAPWAP b) Identyfikacja urządzeń końcowych (podanie informacji o producencie urządzenia i uruchomionym systemie operacyjnym). Funkcjonalność powinna działać bez uruchamiania dodatkowych serwerów c) Wykrywanie i obrona przed obcymi access-pointami d) Wsparcie dla systemu WIPS/WIDS, ochrona przed łamaniem klucza PSK, atakami typu flood, spoofing, weak IV 15)Na urządzenie powinny być wystawione certyfikaty: EN , EN 55022: 2010, EN 55024: 2010, EN :2008, ROHS 2002/95/EC, 2011/65/EU 16)Wraz z urządzeniami muszą zostać dostarczone: a) pełna dokumentacja w języku polskim lub angielskim b) dokumenty potwierdzające, że proponowane urządzenia posiadają wymagane deklaracje zgodności z normami bezpieczeństwa (CE), lub oświadczenie, że deklaracja nie jest wymagana 17)Wszystkie dostarczone wkładki SFP muszą pochodzić od tego samego producenta co oferowane urządzenie, muszą być z nimi kompatybilne i objęte takim samym serwisem gwarancyjnym jak system centralnego sterowania siecią bezprzewodową 18)Urządzenie musi być fabrycznie nowe i nieużywane wcześniej w żadnych projektach, wyprodukowane nie wcześniej niż 6 miesięcy przed dostawą i nieużywane przed dniem dostarczenia z wyłączeniem używania niezbędnego dla przeprowadzenia testu ich poprawnej pracy. 19) Urządzenia muszą pochodzić z autoryzowanego kanału dystrybucji producenta przeznaczonego na teren Unii Europejskiej, a korzystanie przez Zamawiającego z dostarczonego produktu nie może stanowić naruszenia majątkowych praw autorskich osób trzecich. Zamawiający wymaga dostarczenia wraz z urządzeniami oświadczenia przedstawiciela producenta potwierdzającego ważność uprawnień gwarancyjnych na terenie Polski 20) Zamawiający wymaga, aby system sterowania siecią bezprzewodową posiadał 5-letni serwis gwarancyjny, świadczony przez Wykonawcę na bazie wsparcia serwisowego producenta. Wymiana uszkodzonego elementu w trybie 8x5xNBD. Okres gwarancji liczony będzie od daty sporządzenia protokołu zdawczoodbiorczego przedmiotu zamówienia 8. Z uwagi na charakter projektowanej sieci wymaga się dostarczenia do każdej lokalizacji, urządzeń kategorii UTM (Unified Threat Management), za pomocą których będzie możliwe uruchomienie podstawowych funkcji z zakresu bezpieczeństwa sieci takich jak Firewall, IPS ( Intrusion Prevention System ) oraz URL Filtering ( filtrowanie 6

7 treści ), AV ( Anti Virus ). Każde z dostarczonych urządzeń musi spełniać wymagania minimalne zgodne z poniższym zestawieniem: Minimalne wymagania sprzętowe 1) Urządzenie fabrycznie nowe, nieużywane, wyprodukowane nie dalej niż 6 miesięcy licząc od dnia rozstrzygnięcia przetargu. 2) Obudowa wykonana z metalu ze względu na różne warunki środowiskowe w których urządzenie może pracować. 3) Wymagane są minimum 2 porty typu WAN/LAN 10/100Base-T RJ45 4) Wymaganych jest minimum 8 portów typu LAN 10/100Base-T RJ45. 5) Wymagane jest aby wszystkie powyższe porty mogły działać jednocześnie. 6) Urządzenie wyposażone w zasilacz 230V/AC. 7) Wymagana jest wydajność urządzenia minimum 170 Mbps. 8) Wymagana jest ilość jednocześnie obsługiwanych połączeń minimum ) Wymagana jest wydajność połączeń IPSec VPN minimum 30 Mbps. 10) Wymagana jest pojemność dynamicznej tablicy ARP na poziomie 500 wpisów. 11) Wymagana jest obsługa minimum 10 stref bezpieczeństwa (tzw. Security zones ) 12) Wymagana jest obsługa minimum 2000 list kontroli dostępu (tzw ACL ) 13) Wymagana jest ilość jednocześnie obsługiwanych tuneli IPSec VPN minimum ) Wymagana jest wydajność modułu IPS minimum 20 Mbps. 15) Wymagana jest ilość jednocześnie obsługiwanych tuneli SSL VPN minimum 3. 16) Obsługa trzech trybów pracy: routing mode, transparent mode, composite mode 17) Wymagana jest obsługa minimum 10 wirtualnych Firewalli. 18) Obsługa routingu IPv4 i IPv6. 19) Obsługa routingu statycznego. Minimalne Wymagania Firewall 1) Obsługa pełnej funkcjonalności NAT a w szczególności: source IP address NAT, destination IP address NAT, static IP address NAT, IP pool NAT. 2) Wsparcie dla następujących protokołów : FTP ALG,SIP ALG,ICMP ALG,NetBios ALG. 3) Ochrona przed atakami: SYN flood, ICMP flood, UDP flood, IP Spoofing, LAND attack, Smurf attack, Fraggle attack, Winnuke attack, Ping of Death attack, Tear Drop attack, address scanning attack, port scanning attack, IP Option control attack, IP packet fragmentation control attack, TCP label validity check attack, ICMP redirection packet attack, ICMP unreachable packet attack i TRACERT packet 4) Możliwość kontroli ruchu P2P: protocol-based P2P, policies-based p2p dla konkretnego klienta. 5) Wsparcie dla: static blacklist i dynamic blacklist. 6) Wsparcie dla: routingu statycznego. 7) Wsparcie: SSL VPN, IPSEC VPN. 8) Jeżeli funkcja SSL VPN wymaga dodatkowej licencji wymaga się dostarczenia odpowiedniej licencji. 9) Jeżeli funkcja IP SEC VPN wymaga dodatkowej licencji wymaga się dostarczenia odpowiedniej licencji Minimalne Wymagania IPS 7

8 1) Wsparcie detekcji niestandardowego zachowania protokołów: HTTP, SMTP, FTP, POP3, NETBIOS, SMB, MS_SQL, TELNET, DNS. 2) Wsparcie identyfikacji następujących protokołów: HTTP, SMTP, FTP, POP3, NETBIOS, SMB, MSSQL, TELNET, DNS 3) Ochrona przed atakami typu zero-day. 4) Możliwość całkowitego wyłączenia funkcji IPS 5) Jeżeli funkcja IPS wymaga dodatkowej licencji wymaga się dostarczenia odpowiedniej licencji. Jeżeli wymagane są aktualizacje w celu poprawnego funkcjonowania ips wymagane jest zapewnienie okresu subskrypcji na okres co najmniej 5 lat. Minimalne Wymagania URL Filtering 1) Możliwość filtrowania dla list dozwolonych i zabronionych adresów URL. 2) Filtrowanie adresów URL w oparciu o kategorie (np. pornografia, narkotyki, przemoc, broń ) 3) Filtrowanie adresów URL w oparciu o słowa kluczowe w treści ston WWW. 4) Logowanie dostępu do URL do zewnętrznego serwera Syslog. 5) Jeżeli funkcja filtracji URL wymaga dodatkowej licencji, wymaga się dostarczenia odpowiedniej licencji. Jeżeli wymagane są aktualizacje w celu poprawnego funkcjonowania URL wymagane jest zapewnienie okresu subskrypcji na okres co najmniej 5 lat. Minimalne Wymagania dla zarządzania oraz serwisu gwarancyjnego 1) Zdalna konfiguracja i zarządzanie przez Web (https) oraz SSL 2) Dostęp administracyjny do urządzenia poprzez CLI (port konsoli) i SSH 3) Wymagany jest serwis gwarancyjny świadczony przez minimum 5 lat. 4) Dostępność serwisu 8x5xNBD 5) Rozwiązywanie problemów ze sprzętem i oprogramowaniem 6) Gwarantowany czas naprawy sprzętu 48h od momentu zgłoszenia 7) Dostęp do poprawek i nowych wersji oprogramowania 9. Ponieważ projektowana siec ma mieć charakter ogólnodostępny, zgodnie z wymaganiami Ustawy Prawo telekomunikacyjne, Wykonawca jest zobowiązany do dostarczenia serwera SySLog, którego zadaniem będzie zbieranie oraz przechowywanie danych o nawiązanych połączeniach za pośrednictwem sieci WLAN. W szczególności wymagane jest przechowywanie oraz korelacja adresów IP publicznego oraz lokalnego urządzeń logujących się do sieci oraz adresów MAC urządzeń. System musi być tak dobrany aby umożliwiał przechowywanie danych przez minimalny okres 2 lat, wynikający z zapisów Ustawy Prawo Telekomunikacyjne. Minimalne parametry dla serwera syslog: 1) Urządzenie fabrycznie nowe, nieużywane. 2) Urządzenie musi być przystosowane do pracy w temperaturze otoczenia od 5 do 40 stopni Celsjusza. 3) Minimum 1 port Ethernet 10/100/1000BaseT Rj-45 z auto-negocjacją 10/100/ ) Obudowa umożliwiająca montaż w szafie 19 cali. 5) Zamawiający dopuszcza zastosowanie dodatkowej półki 19 cali w celu instalacji urządzenia. 6) Wysokość obudowy nie większa niż 4RU. 7) Zasilanie 230V/AC. 8

9 8) Wsparcie funkcji serwera SYSLOG. 9) Zdalna konfiguracja i zarządzanie przez linię komend (CLI) lub Web (Https) 10)SNMPv1, v2 11)Wymagany jest serwis gwarancyjny świadczony przez minimum 5 lat. 12)Dostępność serwisu 8x5xNBD 13)Rozwiązywanie problemów ze sprzętem i oprogramowaniem 14)Gwarantowany czas naprawy sprzętu 48h od momentu zgłoszenia 15)Dostęp do poprawek i nowych wersji oprogramowania. 9