Budowa wielozadaniowej sieci teleinformatycznej na terenie gminy Siewierz

Transkrypt

1 Budowa wielozadaniowej sieci teleinformatycznej na terenie gminy Siewierz PROJEKT WYKONAWCZY CZĘŚĆ AKTYWNA WĘZEŁ SZKIELETOWY I WĘZŁY DYSTRYBUCYJNE Branża: Inwestycja: Zamawiający: Wykonawca: Podwykonawca: Projektant: Zespół projektowy: Teleinformatyczna Kompleksowa realizacja w formie zaprojektuj i wybuduj projektu pn. Rozwój społeczeństwa informacyjnego w Zagłębiu Dąbrowskim Gmina Siewierz polegającego na zaprojektowaniu, budowie i rozruchu systemu telekomunikacyjnego klasy operatorskiej (wielozadaniowej światłowodowej sieci teleinformatycznej) na rzecz Gminy Siewierz Gmina Siewierz z siedzibą w Urzędzie Miasta i Gminy ul. Żwirki i Wigury 16, Siewierz ELTEL Networks S.A. ul. Kaliska 21, Poznań Przedsiębiorstwo Telekomunikacyjne OPTOLAND POLSKA S.A. ul. Żurawia 47-49, Warszawa Janusz Nowak upr. nr T/01/12/94/GOR Małopolska Izba Inżynierów Budownictwa Zaświadczenia MAP/BT/0257/07 Bogdan Pabisz asystent Projektanta Wojciech Brągiel pomocnik asystenta Projektanta Grudzień 2012

2 Spis treści: 1. Dane ogólne 1.1 Przedmiot projektu 1.2 Inwestor 1.3 Wykonawca 1.4 Podwykonawca 2. Elementy aktywne 2.1. Opis 2.2. Opis urządzeń 2.3. Bezpieczeństwo i redundancja Zasilanie Trasy logiczne Wykaz sprzętu z wykazem elementów podlegających redundancji 3. Połączenia logiczne sieci 4. Karty katalogowe

3 1. Dane ogólne 1.1. Przedmiot projektu Przedmiotem projektu jest budowa wielozadaniowej sieci teleinformatycznej na obszarze gminy Siewierz, z uwzględnieniem podstawowego szkieletu sieci i przyłączenia wybranych jednostek (węzłów dystrybucyjnych) Inwestor Gmina Siewierz z siedzibą w Urzędzie Miasta i Gminy, ul. Żwirki i Wigury 16, Siewierz 1.3. Wykonawca ELTEL Networks S.A. z siedzibą w Poznaniu przy ul. Kaliskiej 21, Poznań 1.4. Podwykonawca Przedsiębiorstwo Telekomunikacyjne Optoland Polska S.A. z siedzibą w Warszawie przy ul. Żurawiej 47-49, Warszawa

4 2. Elementy aktywne 2.1. W skład części aktywnej wchodzą następujące warstwy: I. Szkieletowa II. III. Dystrybucyjna Dostępowa I Warstwa Szkieletowa Zadaniem warstwy szkieletowej jest agregacja ruchu z wielu sieci dystrybucyjnych. Centralnym jej punktem są urządzenia klasy Enterprice tj. router brzegowy oraz zarządzalny przełącznik szkieletowy. II Warstwa Dystrybucyjna Warstwa dystrybucyjna pozwala na podłączenie operatorów zewnętrznych do sieci jak również skupia ruch z docelowych punktów dostępowych. Głównym punktem warstwy dystrybucyjnej jest zarządzalny przełącznik zlokalizowany w węzłach dystrybucyjnych (WDS) III Warstwa dostępowa Do warstwy dostępowej należą Punkty końcowe takie jak Infokioski oraz punkty dostępu limitowanego hot spot Opis urządzeń W warstwie szkieletowej będą urządzenia takie jak: - Router Huawei AR2240 -Switch Huawei S7706 oraz Switch Huawei S5710 w warstwie dystrybucyjnej

5 Szczegółowe konfiguracje poszczególnych urządzeń przedstawia poniższa tabela: 1 szt. S Przełącznik szkieletowy modularny wspierający standard 10Gigabit Ethernet Przełącznik warstwy szkieletowej 10 GbE Huawei S7706 Element Minimalne wymagania sprzętowe Funkcje warstwy 2 Funkcje warstwy 3 Konwergencja Opis Urządzenie jest fabrycznie nowe oraz nieużywane Obudowa modularna przeznaczona do montażu w szafie 19. Wysokość obudowy wynosi 10 RU. Urządzenie wyposażone w dwie karty zarządzające Urządzenie wyposażone w 48 portów Ethernet 1000Base-X SFP Wszystkie powyższe porty mogą działać jednocześnie. Dostarczone urządzenie posiada 5 dodatkowych slotów na porty liniowe Przepustowość od karty interfejsów 1GE do matrycy przełączającej 48 Gb/s per slot Wydajność przełącznika 2Tb/s i 1152 Mpps Przełączanie lokalne w ramach karty liniowej Przełącznik wyposażony w 2 niezależne zasilacze 800W AC, każdy o mocy wystarczającej do zasilenia urządzenia w wymaganej konfiguracji, z zapasem mocy 30% na dodatkowe moduły. Możliwość wymiany zasilaczy i wentylatorów w trakcie pracy urządzenia bez wpływu na jego działanie Urządzenie posiada możliwość rozbudowy o funkcjonalność łączenia dwóch przełączników fizycznych w jeden przełącznik wirtualny, traktowany jako jedno urządzenie logiczne z punktu widzenia protokołów routingu, LACP i Spanning Tree Przełączanie w warstwie drugiej i trzeciej modeli ISO/OSI. Port konsoli - szeregowy RS-232 GARP VLAN Registration Protocol (GVRP) Rozmiar tablicy MAC adresów 4000 aktywnych sieci VLAN IEEE 802.1ad QinQ i Selective QinQ Agregacja portów statyczna i przy pomocy protokołu LACP 128 grup portów zagregowanych, możliwość stworzenia grupy z 8 portów Spanning Tree: MSTP 802.1s, RSTP 802.1w, STP Root Guard routing IPv4 z prędkością łącza, wsparcie dla routingu IPv4: statycznego, RIP i RIPv2, OSPF, IS-IS i BGP routing IPv6 z prędkością łącza, wsparcie dla routingu IPv6: statycznego, RIPng, OSPFv3, IS-ISv6 i BGP4+ Pojemność tablicy routingu przełącznika wpisów Bidirectional Forwarding Detection dla OSPF, BGP, IS-IS, VRRP, MPLS Virtual Router Redundancy Protocol (VRRP) Policy-based routing IGMPv1, v2, and v3 PIM-SSM, PIM-DM i PIM-SM (dla IPv4 i IPv6) Equal-Cost Multipath (ECMP) Bezpieczeństwo Zaawansowany mechanizm kolejkowania procesora zapobiegający atakom DoS 1000 list kontroli dostępu (ACL) DHCP snooping RADIUS Secure Shell (SSHv2) IEEE 802.1X dynamiczne dostarczanie polityk QoS, ACLs i sieci VLANs: zezwalające na nadzór nad dostępem użytkownika do sieci Guest VLAN Port isolation Port security: zezwalający na dostęp tylko specyficznym adresom MAC

6 Quality of Service (QoS) Monitoring i diagnostyka MAC-based authentication IP source guard URPF Obsługa min instancji VRF Możliwość instalacji dedykowanej karty kontrolera WLAN Możliwość instalacji dedykowanej karty load balancer o wydajności 1 Gb/s Funkcje QoS: kreowanie klas ruchu w oparciu o access control lists (ACLs), IEEE 802.1p precedence, IP, DSCP oraz Type of Service (ToS) precedence; Wsparcie dla następujących metod zapobiegania zatorom: priority queuing, weighted round robin (WRR), weighted random early discard (WRED), deficit round robin (DRR) Obsługa 8 kolejek QoS per port Port mirroring OAM (802.3ah) i CFD (802.1ag): wykrywanie problemów na łączu pomiędzy urządzeniami Zarządzanie Zdalna konfiguracja i zarządzanie przez Web (https) oraz linię komend (CLI) IEEE 802.1ab LLDP Pamięć flash o pojemności pozwalającej na przechowywanie dwóch wersji oprogramowania systemowego Serwisy DHCP: serwer (RFC 2131), klient i relay SNMPv1, v2, and v3 Syslog Serwis gwarancyjny Zaoferowany serwis gwarancyjny świadczony przez 1 rok. Dostępność serwisu 8x5xNBD Rozwiązywanie problemów ze sprzętem i oprogramowaniem Gwarantowany czas naprawy sprzętu 48h od momentu zgłoszenia Dostęp do poprawek i nowych wersji oprogramowania 28 szt. S Przełącznik dystrybucyjny wspierający standard 1Gigabit Ethernet Przełącznik warstwy dystrybucyjnej 1GbE Huawei S5710 Element Opis Minimalne wymagania sprzętowe Urządzenie jest fabrycznie nowe, nieużywane Obudowa przeznaczona do montażu w szafie 19. Wysokość obudowy 1 RU. Obudowa jest wykonana z metalu. Urządzenie jest przystosowane do pracy w temperaturze otoczenia od 0 do 50 stopni Celsjusza. 24 porty Ethernet 1000BaseT z auto-negocjacją 10/100/1000 w tym 4 porty typu Combo (możliwość bezpośredniego podłączenia za pomocą styku miedzianego lub wykorzystania optycznej wkładki SFP) Wszystkie powyższe porty mogą działać jednocześnie. Wydajność przełącznika 208 Gb/s i 156 Mpps Przełącznik wyposażony w 2 wbudowane zasilacze 230V/AC, każdy o mocy wystarczającej do zasilenia urządzenia w wymaganej konfiguracji. Możliwość wymiany zasilaczy w trakcie pracy urządzenia bez wpływu na jego działanie Urządzenie posiada możliwość łączenia przełączników fizycznych w jeden przełącznik wirtualny, traktowany jako jedno urządzenie logiczne z punktu widzenia protokołów routingu, LACP i Spanning Tree. Maksymalna liczba przełączników obsłgiwanych w stosie to 9szt. Przełączanie w warstwie drugiej i trzeciej modeli ISO/OSI. Port konsoli - szeregowy RS-232 Minimum jeden port USB Funkcje GARP VLAN Registration Protocol (GVRP)

7 warstwy 2 Rozmiar tablicy MAC adresów 4096 aktywnych sieci VLAN Mapowanie VLAN-ów 1:1 i N:1 Agregacja portów statyczna i przy pomocy protokołu LACP Min. 64 grupy portów zagregowanych, możliwość stworzenia grupy z 8 portów Spanning Tree: MSTP 802.1s, RSTP 802.1w, STP Root Guard Protokół umożliwiający tworzenie szybkozbieżnych sieci w topologii pierścieni w których czas przełączenia transmisji na ścieżkę zapasową jest mniejszy niż 50ms Funkcje warstwy 3 routing IPv4 z prędkością łącza, wsparcie dla routingu IPv4: statycznego, RIP i RIPv2, routing IPv6 z prędkością łącza, wsparcie dla routingu IPv6: statycznego, RIPng, Rozmiar tablicy routingu wpisów Virtual Router Redundancy Protocol (VRRP) Policy-based routing IGMP Snooping Equal-Cost Multipath (ECMP) Bezpieczeństwo DHCP snooping RADIUS Secure Shell (SSHv2) IEEE 802.1X dynamiczne dostarczanie polityk QoS, ACLs i sieci VLANs: zezwalające na nadzór nad dostępem użytkownika do sieci Guest VLAN Port isolation Port security: zezwalający na dostęp tylko specyficznym adresom MAC MAC-based authentication IP source guard URPF Urządzenie jest odporne na ataki typu Denial of service takich jak SYN Flood attacks, Land attacks, Smurf attacks, oraz ICMP Flood attacks Quality of Service (QoS) Monitoring i diagnostyka Funkcje QoS: kreowanie klas ruchu w oparciu o access control lists (ACLs), IEEE 802.1p precedence, IP, DSCP oraz Type of Service (ToS) precedence; 8 kolejek QoS per port Port mirroring (SPAN) i Remote Port mirroring (RSPAN) OAM (802.3ah) i CFM (802.1ag): wykrywanie problemów na łączu pomiędzy urządzeniami Zarządzanie Zdalna konfiguracja i zarządzanie przez Web (https) oraz linię komend (CLI) IEEE 802.1ab LLDP Pamięć flash o pojemności pozwalającej na przechowywanie minium dwóch wersji oprogramowania systemowego Serwisy DHCP: serwer (RFC 2131), klient i relay SNMPv1, v2, v3 Syslog Serwis gwarancyjny Serwis gwarancyjny świadczony przez 3 lata. Dostępność serwisu 8x5xNBD Rozwiązywanie problemów ze sprzętem i oprogramowaniem Gwarantowany czas naprawy sprzętu 48h od momentu zgłoszenia Dostęp do poprawek i nowych wersji oprogramowania 1 szt. AR Router szkieletowy wspierający standard 1Gigabit Ethernet Router warstwy szkieletowej 1GbE Huawei AR2240 Element Minimalne wymagania Parametr urządzenia Urządzenie jest fabrycznie nowe oraz nieużywane Obudowa przeznaczona do montażu w szafie telekomunikacyjnej 19. Wysokość

8 sprzętowe Funkcje warstwy 2 Funkcje warstwy 3 obudowy 2RU Obudowa wykonana jest z metalu Urządzenie jest przystosowane do pracy w temp. Od 0 do 45 stopni celciusza Urządzenie jest modularne z możliwością instalacji 8 dodatkowych modułów sieciowych Urządzenie wyposażone jest w 3 porty GE typu WAN w tym dwa porty typu Combo Wszystkie powyższe porty mogą działać jednocześnie Wydajność routingu wynosi 2Mpps Posiada port konsoli szeregowy RS-232 Urządzenie wyposażone jest w kartę pamięci SD o pojemności 4GB Posiada możliwość agregacji portów przy pomocy protokołu LACP (IEEE 802.3ad) Posiada obsługę VLAN ów zgodnie z standardem 802.1q Posiada obsługę Voice VLAN Posiada obsługę GARP VLAN Registration Protocol (GVRP) Posiada funkcjonalność Port Security Obsługuje standardy STP, RSTP, MSTP Obsługuje protokoły IPv4 oraz IPv6 Dynamic ARP, static ARP, proxy ARP oraz ARP ping DNS Kklient, DNS/proxy/relay, Dynamic DNS NAT, PAT, NAT Serwer, NAT ALG (dla protokołów DNS, FTP RSTP oraz SIP) DHCP Serwer, DHCP Realy, DHCP/BOOTP Klient Obsługa protokołów routingu statycznego i dynamicznego dla protokołów RIP, RIPng, OSPF, OSPFv3, IS-IS, BGP, BGP4+ Obsługa wirtualnych tablic routingu Obsługa 30 tyś wpisów w tablicy routingu Obsługa protokołu BDF dla protokołów RIP, OSPF, IS-IS i BGP Obsługa protokołów routingu dla ruchu multicastowego: PIM-DM, PIM-SM, PIM- SSM Osbługa protokołu BFD dla protokołu PIM Osgługa MBGP Bezpieczeństwo Ochrona protokołu STP: BPDU Protestion, TC protestion, Root Guard Obsługa uwierzytelniania AAA, RADIUS oraz TACACS Możliwość zarządzania urządzeniem przez protokół HTTPS Firewall typu statefull inspection Firewall oparty o strefy bezpieczeństwa Firewall rozpoznaje aplikacje takie jak: FTP, HTTP, RSTP oraz SIP Obsługuje ochronę CPU urządzenia przed atakami Obsługa protokołu 802.1x obsługa DHCP Snooping obejmującego ochronę przed atakami typu: Man-in-themiddle, IP/MAC poofing, DoS poprzez podmianę adresu MAC, DoS poprzez zmianę wartości CHADDR Ochrona przeciwko atakom ARP typu spoofing i flood Ochrona przed atakami protokołem ICMP Obsługa mechanizmów IP Source Guard i URPF Obsługa ACL na podstawie adresów źródłowych i docelowych MAC i IP, portów źródłowych i docelowych protokołów TCP/UDP, znaczników DSCP i 802.1p, typów ICPM, flah protokołu TCP, VLANu. Możliwość przypisywania dla reguł ACL zakresów czasowych Obsługa PKI Obsługa protokołu SSL Obsługa protokołu VRRP Obsługa BFD dla VRRP Obsługa interfejsów zapasowych dla ruchu z możliwością wykrycia awarii w warstwie IP Możliwość konfiguracji BFD typu Multi-Hop Moduły interfejsów podlegają wymianie w trakcie pracy urządzenia (funkcja Hot- Swap) Obsługa funkcji mirroringu ruchu na interfejsach lokalnego i zdalnego urządzenia LDP, MPLS L3 VPN, static LSP, dynamic LSP Obsługa protokołu IPSec

9 Quality of Service (QoS) Tunelowanie typu GRE i L2TP Mechanizm Dynamic VPN typu Point to Multipoint i typu Mesh Obsługa SSL VPN Plik konfiguracyjny urządzenia jest edytowalny w trybie off-line. Tzn. istnieje możliwość przeglądania i zmian konfiguracji w pliku tekstowym na dowolnym urządzeniu PC. Po zapisaniu konfiguracji w pamięci nielotnej jest możliwe uruchomienie urządzenia z nową konfiguracją. W pamięci nieulotnej może być przechowywana dowolnej ilości plików konfiguracyjnych (ilość ograniczona tylko pojemnością pamięci). Zmiany aktywnej konfiguracji są widoczne natychmiastowo Obsługa mechanizmu QoS z zachowaniem gwarancji pasma, opóźnień i Jitter. Obsługa kolejkowania typu: PQ, WFQ, PQ+WFQ Limitowanie prędkości na portach z funkcją traffic shaping Obsługa klasyfikacji ruchu w oparciu o adres źródłowy MAC, adres docelowy MAC, źródłowy adres IP, docelowy adresu IP, interfejs warstwy 4, typ protokołu IP, VLAN, typu protokołu Ethernet oraz QoS. Obsługa hierarchicznego QoS Obsługa mechanizmów zapobiegania zatorów w sieci Obsługa mechanizmów RED, WRED Zarządzenie Zdalna konfiguracja i zarządzanie przez Web (https) oraz linię komend (CLI) IEEE 802.1ab LLDP Serwisy DHCP: serwer (RFC 2131), klient i relay SNMPv1, v2, v3 Syslog Serwis gwarancyjny Serwis gwarancyjny świadczony przez 3 lata. Dostępność serwisu 8x5xNBD Rozwiązywanie problemów ze sprzętem i oprogramowaniem Gwarantowany czas naprawy sprzętu 48h od momentu zgłoszenia Dostęp do poprawek i nowych wersji oprogramowania 1 szt. esight(v200r002) - System zarządzania siecią System zarządzania siecią e-sight Element Wymagania podstawowe: Parametr urządzenia Obsługa minimum 110 urządzeń sieciowych (licencja w ofercie), system obsługuje do 5000 urządzeń sieciowych. architektura serwer-klient z dostępem do systemu poprzez przeglądarkę WWW (MS Internet Explorer 8, Firefox 3.6 lub nowsze) interfejs użytkownika w języku angielskim Czasowe blokowanie możliwości logowania użytkownika systemu w przypadku 5-krotnego podania błędnego hasła Możliwość stworzenia kopii zapasowej danych systemu zarządzania i odtworzenia tych danych z kopii możliwość sprawdzenia zainstalowanej licencji oraz zmiany licencji Monitorowanie wykorzystania licencji i informowanie użytkownika systemu o zbliżającej się dacie wygasania licencji, bądź przekroczenia limitów zainstalowanej licencji (np. Ilość obsługiwanych urządzeń) Dostępna w systemie zarządzającym dokumentacja w języku angielskim Zarządzenie alertami Możliwość automatycznego alarmowania opartego o zadane progi alarmowe (w sumie 35 zdarzeń na każde urządzenie sieciowe), w tym: możliwość definiowania dwóch progów ostrzegawczy i alarmowy Możliwość automatycznego alarmowania opartego o profil ruchu

10 Możliwość automatycznego alarmowania o przekroczeniu obciążenia interfejsu z uwzględnienie dwóch progów - ostrzegawczy i alarmowy Możliwość wykorzystania następujących kanałów powiadomienia dla poszczególnych poziomów alarmów o konsola operatora o SMS Monitorowanie Możliwość monitorowania zdarzeń związanych z funkcjonowaniem monitorowanych urządzeń w czasie rzeczywistym (CPU, pamięć) Możliwość monitorowania urządzeń sieciowych oraz ruchu sieciowego w oparciu o protokoły SNMP Możliwość zbierania danych z urządzeń firmy Cisco generowanych w oparciu o protokół SNMP Możliwość zapisywania niezagregowanych danych pochodzących z monitorowanych urządzeń przez okres 30 dni. Możliwość archiwizacji dostępnych danych niezagregowanych. Możliwość monitorowania obciążenia całkowitego urządzeń oraz ich interfejsów z zachowaniem o Wartości aktualnych o Wartości szczytowych Zarządzanie konfiguracją Możliwość pozyskania informacji o statusie monitorowanych urządzeń sieciowych Możliwość pozyskania informacji o statusie portu Możliwość ręcznego definiowania progów czułości alarmów Możliwość przesyłania powiadomień o alarmach za pomocą mechanizmu SNMP trap Możliwość monitorowania obciążenia całkowitego urządzeń oraz ich interfejsów z zachowaniem rozgraniczenia dla ruchu wchodzącego i wychodzącego Możliwość wyświetlania 95 percentyla dla raportów obciążenia interfejsów niezależnie dla kierunku wejściowego i wyjściowego Możliwość współpracy z urządzeniami sieciowymi różnych producentów, w szczególności firm Cisco i H3C (produkty 3Com przejęte przez H3C), ZTE Wsparcie dla protokołu NetFlow (wersja 1, 5, 7, 9) lub równoważnego oraz SNMP (wersja 1,2,3) Możliwość konfigurowania zarządzanych urządzeń sieciowych w szczególności urządzeń firmy Cisco Możliwość automatycznego wykrywania urządzeń sieciowych Możliwość automatycznego odczytywania z monitorowanych i zarządzanych urządzeń ich nazw, listy interfejsów wraz z ich nazwami i prędkościami. System zarządzania i monitorowania sieci umożliwia dokonywanie automatycznego odczytu o zdefiniowanej porze. Możliwość stworzenia mapy topologii fizycznej i logicznej sieci Możliwość tworzenia i zarządzania sieciami VLAN (niezależnie od fizycznej lokalizacji urządzeń) Możliwość pełnego dostępu i zarządzania systemem monitorowania i zarządzania siecią zarówno lokalnie jak i zdalnie Możliwość uzyskania zdalnego dostępu do urządzeń sieciowych i dokonania zmian w ich konfiguracji. Możliwość definiowania w systemie monitorowania i zarządzania siecią użytkowników z nadawaniem uprawnień na poziomie poszczególnych urządzeń oraz grupy urządzeń, do odczytu konfiguracji urządzenia, zarządzania urządzeniem. Możliwość stworzenia kopii zapasowej ustawień urządzeń Możliwość przywrócenia kopii zapasowej ustawień urządzeń Możliwość ręcznego dodawania opisów do poszczególnych interfejsów monitorowanych urządzeń Możliwość logowania i uwierzytelniania w oparciu o lokalną bazę użytkowników Możliwość wymuszenia logowania się wszystkich użytkowników systemu

11 monitorowania i zarządzania siecią. Możliwość przeprowadzenia testów dostępności urządzenia, liczby przeprowadzonych udanych oraz nieudanych odpytań SNMP Możliwość tworzenia szablonów konfiguracji dla danego modelu urządzenia Raportowanie Możliwość raportowania na poziomie pojedynczego urządzenia oraz grupy urządzeń obejmującego dostępne w Systemie - parametry sieciowe i wydajnościowe Możliwość raportowania zdarzeń w trybie rzeczywistym - czasie zbliżonym do rzeczywistego, dla urządzeń (na bieżąco wobec spływających raportów NetFlow) Możliwość raportowania w formie graficznej (wykresy) jak i tekstowej (tabela z wszystkimi konwersacjami) Możliwość raportowania obciążenia całkowitego urządzeń oraz ich interfejsów z zachowaniem Wartości aktualnych, Wartości szczytowych Administracja systemem i Bezpieczeństwo Serwis gwarancyjny Możliwość tworzenia raportów dostępności urządzeń Możliwość przeglądania raportów za pośrednictwem przeglądarki WWW Możliwość eksportu raportów do plików płaskich lub ustrukturyzowanych Możliwość automatycznego generowania, zapisywania i wysyłania raportów pocztą Możliwość tworzenia unikalnych kont użytkowników Możliwość zabezpieczenia Dostępu do kont użytkowników przy pomocy haseł Możliwość logowania zdarzeń i aktywności użytkowników narzędzia Możliwość zarządzania uprawnieniami na poziomie grup - pojedynczych użytkowników Możliwość przypisywania użytkownikom - grupom uprawnień na poziomie czynności, elementów konfiguracji (np. urządzenie sieciowe, grupa urządzeń sieciowych) Możliwość definiowania wielu użytkowników, w tym możliwość różnicowania uprawnień odczytu oraz różnicowania uprawnień administracyjnych z podziałem na grupy urządzeń Możliwość tworzenia widoków dla użytkowników w zależności od zakresu uprawnień Możliwość tworzenia widoków jedynie do podglądu Możliwość archiwizacji i odtwarzania danych narzędzia, w tym konfiguracji oraz informacji o licencji Możliwość importu całej lub fragmentu konfiguracji Możliwość konfigurowania, zarządzania oraz monitorowania usług VPN (IPSec) Serwis gwarancyjny świadczony przez 3 lata. Dostępność serwisu 8x5xNBD Rozwiązywanie problemów ze sprzętem i oprogramowaniem Gwarantowany czas naprawy platformy sprzętowej aplikacji 48h od momentu zgłoszenia Dostęp do poprawek i nowych wersji oprogramowania

12 Pozostałe urządzenia wspomagające prawidłową pracę sieci: - Serwer RACK 19 HP DL360p G8 z oprogramowainem Microsoft. Serwer systemu zarządzania siecią HP DL360p G8 Element Oferowany parametr Charakterystyka Możliwy montaż w szafie 19, rozmiar 1U. 4 dyski SAS o pojemności co najmniej 300GB każdy, 10krpm, Hot Plug, Kontroler RAID z wsparciem dla poziomów 0, 1, 1+0, 5, 6. Dwa redundantne zasilacze. 2 interfejsy sieciowe w standardzie 1000Base-T. Dedykowany interfejs do zdalnego zarządzania, zapewniający funkcjonalność KVM IP. 16 GB RAM (2x8GB) Port D-SUB. ponad 2 porty USB, co najmniej jeden na froncie. Intel Xeon E (2.40GHz) ponad 4200pkt 3 letnia gwarancja reakcja na zgłodzenie serwisowe w następny dzień pracujący. - Notebook Dell Latitude E ,6'' WLED_HD AG i3-2330m 4GB 500GB B-lit_Keyb Win7Pro64 3YPro Notebook do systemu zarządzania siecią Dell Lalitude E5520 Element Charakterystyka Dwurdzeniowy procesor z technologią HT, o minimalnym taktowaniu 2Ghz, 4GB pamięci RAM (możliwość rozszerzenia do co najmniej 8GB), Przekątna matrycy 15,6, natywna rozdzielczość 1366x768, Dysk z interfejsem SATA II o pojemności 500GB, Zintegrowana karta dźwiękowa, Karta graficzna zintegrowana, Dedykowane złącze stacji dokującej, złącza: 15 stykowy D-SUB (monitor), HDMI, 3xUSB 2.0, 1xRJ45, co najmniej 1xE-Sata, mikrofon i słuchawki, czytnik kart SD, Technlogie bezprzewodowe: Bluetooth 2.1, Wifi 2,4Ghz (802.11b/g/n), Interfejs Ethernet w standardzie 10/100/1000 Base-T, Gwarancja 3 lata NDB Bezprzewodowa mysz laserowa dedykowana dla urządzeń mobilnych

13 - UPS Rack 19 : COVER PRM 3-3 kva z wyposażeniem, Zasilacz awaryjny UPS Cover PRM 3 3kVA Element Charakterystyka Podtrzymanie napięcia co najmniej 20 minut przy obciążeniu 1100W; maksymalna moca wyjściowa o wartości 2700W; Zamknięty w obudowie Rack, możliwy montaż w szynach szafy Napięcie wyjściowe 230V; Porty komunikacyjne np. w postaci DB9 (RS232) lub USB umożliwiający pracę z komputerem klasy PC, port umożliwia podstawową diagnostykę stanu urządzenia w przypadku awarii modułu komunikacyjnego IP; Moduł komunikacji sieciowej w standardzie Ethernet 100Base-T (zintegrowany bądź w postaci karty rozszerzeń), umożliwiające wsparcie dla zdalnego zarządzania i raportowania zdarzeń (SNMPv3); Przedni panel - wskaźniki stanu urządzenia bieżące obciążenie, wskaźnik przeciążenia, uszkodzenia modułu bateryjnego, stanu pracy (zasilanie sieciowe, zasilanie bateryjne), co umożliwi personelowi technicznemu danej jednostki szybką diagnozę stanu zasilacza; Sygnalizacja dźwiękowa w trakcie pracy na zasilaniu bateryjnym; Wahania napięcia wyjściowego ± 1% / ± 3%; przy maksymalnym obciążeniu; dwuletnia gwarancja z możliwością przedłużenia tego okresu, oraz zakupieniem dodatkowych usług serwisowych podwyższających standard realizacji zgłoszeń serwisowych Urządzenia dostępowe założone w projekcie: Infokioski: Infobox model: IB220 wewnętrzny i zewnętrzny HotSpot: w oparciu o platformę Mikrotik: RB Bezpieczeństwo sprzętowe Zasilanie: - każde z urządzeń aktywnych sieci szkieletowej i dystrybucyjnej posiada 2 niezależne zasilacze - w szafie głównej Centrum Zarządzania Siecią znajdują się Router brzegowy i Przełącznik szkieletowy. Jeden zasilacz każdego urządzenia podpięty jest pod UPS natomiast drugi podpięty bezpośrednio pod gniazdo 230V zasilane z nowopowstałej rozdzielni. Wyeliminuje to nadmierne obciążenie zasilacza awaryjnego i zapewni ciągłość pracy w przypadku zaniku zasilania. - w węzłach dystrybucyjnych zasilacze podpięte są pod gniazda 230V zasilane z nowopowstałej rozdzielni. Taki sposób zapewni ciągłość pracy w przypadku uszkodzenia jednego z zasilaczy Trasy logiczne - w celu zapewnienia ciągłości połączeń logicznych każda trasa kablowa jest zdublowana. (pomiędzy urządzeniami po dwie pary włókien w przypadku połączeń światłowodowych oraz

14 po dwa kable UTP w przypadku połączeń miedzianych). Takie rozwiązanie pozwoli na ciągłą pracę w przypadku uszkodzenia portu w przełącznikach lub routerze lub uszkodzenia pojedynczego włókna światłowodowego lub kabla miedzianego Wykaz sprzętu z wykazem elementów podlegających redundancji Router szt 1-3 porty WAN ( 2 podłączone do niezależnych punktów styku, 1 zapasowy w celu szybkiego przełączenia urządzeń z uszkodzonego któregokolwiek portu WAN ) - 2 zasilacze Switch Szkieletowy szt. 1-2x 48 port 1Gb - 2 zasilacze Switch Dystrybucyjny 28 szt - 24 port 1Gb - 2 zasilacze Serwer zarządzający 1 szt. - 2 zasilacze UPS szt 1 - podtrzymuje zasilanie dla następujących urządzeń: Router, Switch szkieletowy, Serwer zarządzający, urządzenia dostępowe do Internetu. 3. Połączenia logiczne sieci Logicznie sieć będzie się skupiała hierarchicznie i rozgałęziała od węzła szkieletowego, przez dystrybucyjne do dostępowych. Sposób konfiguracji początkowej przedstawia się następująco: Wszystkie klasy urządzeń powinny mieć zaimplementowane mechanizmy usprawniające centralne zarządzanie infrastrukturą w kontekście utrzymania ciągłości działania oraz kwestii bezpieczeństwa. W tej grupie funkcjonalności wymaga się poniższe elementy wspierane przez oprogramowanie do centralnego zarządzania siecią esight (kontrola systemów i przełączników): - logowanie zdarzeń (w szczególności związanych z naruszeniem reguł bezpieczeństwa) do zewnętrznego serwera Syslog.

15 - udostępnienie stanu urządzeń dla zewnętrznego serwera SNMP. Przełączniki (agenci SNMP), powinny generować komunikaty Trap kluczowych dla bezpieczeństwa (np. modyfikacja konfiguracji, istotna zmiana topologii, informacje o stanie samego urządzenia). Serwer usługi SNMP należy zdefiniować tak by móc reagować na zdarzenia np. powiadomić administratora o uszkodzeniu wentylatora przełącznika (przy pomocy wiadomości na sparametryzowany wcześniej adres lub grupę adresów). By osiągnąć akceptowalny poziom bezpieczeństwa, konfiguracja usługi SNMP powinna zapewniać poufność, integralność oraz autentykacje dla przesyłanych komunikatów, więc wymagana jest wersja trzecia protokołu. - Autoryzacja dostępu do urządzeń powinna być obsługiwana za pomocą centralnej usługi implementującej model AAA ( Authentication, Authorization, Accounting ), np. protokołu RADIUS, skonfigurowana dla wszystkich aktywnych metod dostępu (dostęp zdalny przez SSHv2 bądź https, dostęp lokalny przy użyciu portu konsolowego). Dodatkowo należy wprowadzić politykę wymuszającą stosowanie silnych haseł. Jako silne hasło rozumiemy ciąg znaków nie zawierający słów pochodzenia słownikowego, o odpowiednio dużej minimalnej długości (zaleca się minimalnie 8 znaków), składający się z oprócz cyfr i liter (zarówno dużych jak i małych) z również innych znaków drukowalnych. By maksymalnie ograniczyć możliwość ataków siłowych na hasła należy ograniczyć ilość prób logowania w funkcji czasu, poprzez wymuszenie interwałów czasowych pomiędzy kolejnymi (nieudanymi) próbami logowania. Godną uwagi alternatywą dla tradycyjnej autoryzacji przy użyciu loginu i hasła są metody oparte o wykorzystanie certyfikatu (przy czym należy pamiętać o przygotowaniu certyfikatu tak, by maksymalnie ograniczyć możliwość wykorzystania go przez osoby postronne). - Serwer czasu dla ujednolicenia wskazań RTC urządzeń. Szyfrowany dostęp do interfejsów zarządzania przełącznikami (implementowany np. poprzez wykorzystanie usług SSHv2 lub https). Wymaga się kompletnego wyłączenia nieszyfrowanych protokołów umożliwiających uzyskanie zdalnego dostępu. Wszystkie powyższe usługi powinny funkcjonować w obrębie wydzielonej logicznej sieci administratorskiej, do której dostęp określony jest wyjątkowo rygorystycznymi regułami. Z racji krytycznej roli jakie spełniają powyższe usługi wymaga się wykorzystania wszystkich dostępnych w dostarczonych urządzeniach mechanizmów zabezpieczeń oferowanych przez te protokoły, starając się, wszędzie tam gdzie jest to możliwe, wybierać algorytmy szyfrujące

16 i/lub haszujące uważane za bezpieczne w danym zastosowaniu. Wszystkie domyślne hasła urządzeń powinny zostać zmienione i przekazane Zamawiającemu, z możliwością wprowadzania dalszych zmian przez przyszłych administratorów. Wybierając protokoły uruchamiane na urządzeniach, należy zwrócić uwagę by wszędzie tam gdzie pozwalają na to wymagania funkcjonalne wykorzystywać protokoły dobrze zdefiniowane, o otwartej specyfikacji (np. w postaci dokumentu RFC lub standardu IEEE), zamiast protokołów własnościowych producenta. Umożliwi to w przyszłości używanie sprzętu innych producentów i łatwą integrację z istniejącą infrastrukturą oraz pomoże zapewnić niezależność technologiczną. Sugeruje się wykorzystanie np. LLDP zamiast CDP, lub OSPF zamiast "EIGRP. Urządzenia powinny być skonfigurowane tak by zapewniały ochronę przed najpopularniejszymi metodami ataku na sieci Ethernet, oraz (wszędzie tam gdzie jest to konieczne) również przed atakami na stos protokołów TCP/IP (w szczególności pozwalające uzyskać nie autoryzowany dostęp do administracyjnych interfejsów IP urządzeń sieciowych). W razie pojawienia się próby ataku lub incydentu bezpieczeństwa na porcie przełącznika (w szczególności przełącznika dostępowego), powinna istnieć możliwość wymuszenia automatycznego wyłączenia portu bądź cichego odrzucania ramek na określony czas. Należy w jak najlepszym stopniu, biorąc pod uwagę możliwości udostępnianych przez dobrane urządzenia, zabezpieczyć urządzenia przed próbami ataków L2, w szczególności: - MAC Flooding, - ARP Attack, - MAC Duplicating, - VPMS Attack, - Spanning Tree Attack - Layer 2 Port Authentication Zaleca się statyczną konfiguracje interfejsów IP wszędzie tam gdzie nie jest wymagane inne podejście. Wpłynie to na uniezależnienie tak istotnych parametrów od działania dodatkowej usługi automatycznej konfiguracji adresów IP (która może ulec awarii bądź zostać

17 wykorzystana do prób ataku). Wszędzie tam gdzie jest to możliwe wymaga się wyłączenie nieużywanych portów przełączników. Wymagane jest wykorzystanie sieci wirtualnych VLAN w standardzie 802.1q na wszystkich przełącznikach, umożliwi to zapewnienie logicznej separacji klas: usług i użytkowników. Komunikację i wymuszanie polityk bezpieczeństwa pomiędzy sieciami wirtualnymi zapewnią urządzenia warstwy trzeciej czyli przełączniki dystrybucyjne i szkieletowe. Dla każdego z VLAN-ów powinna zostać przypisana podsieć IP. Połączenia pomiędzy switchami powinny być zdefiniowane jako trunki 802.1q. Istotne jest skonfigurowanie urządzeń dostępowych tak, by nie przenosiły po trunku ruchu z identyfikatorami VLAN-ów których obsługi nie przewidują (np. ramka z tagiem VLAN-u wymiany danych dla jednostek miejskich na pojawiająca się na urządzeniu dostępowym jednostki która nie powinna mieć dostępu do tego VLAN-u). Porty dostępowe (tzn. dla urządzeń przyłączanej jednostki) w urządzeniach dostępowych powinny być portami przypisanymi do poszczególnych VLAN-ów przenoszącymi tylko ruch nie-tagowny. Porty tagowane (trunki 802.1a) powinny zostać wykorzystane tylko w sytuacji gdy jednostka wykorzystuje większą ilość VLAN-ów niż umożliwia konfiguracja portów przełącznika dostępowego i posiada odpowiednie możliwości techniczne. W pierwotnej konfiguracji sieci sugeruje się, zgodnie z wymaganiami Zamawiającego, uruchomienie VLAN-ów. VLAN- techniczny VLAN dedykowany do zarządzania siecią, itp. VLAN techniczny (umożliwia dokonanie operacji administratorskich i monitorowanie). o powinien być skonfigurowany na wszystkich urządzeniach pracujących w sieci i zdefiniowany jako interfejs do zarządzania. o Wszelka komunikacja pomiędzy VLAN-em administracyjnym a pozostałymi sieciami wirtualnymi nie powinna być możliwa. o Jedyną lokalizacją z której powinien być możliwy dostęp fizyczny (tzn. poprzez trunk lub port dostępowy), jest centrum monitorowania sieci. W ramach tej sieci wszystkie adresy powinny być przydzielane statycznie. VLAN-y dla telefonii VOIP w przyszłości posłuży do uruchomienia telefonii IP dla przyłączonych jednostek.

18 Dostęp do VLAN-ów możliwy za pomocą portu dostępowego lub trunka na switchu dostępowym (w zależności od możliwości technicznych jednostki), Przepływy przenoszone z wykorzystaniem tych VLAN-ów powinny być przez mechanizmy QoS traktowane jako strumienie czasu rzeczywistego wymagające niskiej (poniżej 10ms) i względnie stałej latencji. Przewiduję się że wszystkie lokalizacje przyłączone jako punkt dostępowy (tzn. taki węzeł sieci gdzie zamontowano przełącznik dostępowy, a więc nie dotyczy to punktów przyłączenia kamer monitoringu wizyjnego i stacji Wi-MAX) będą wykorzystywać w przyszłości telefonię IP. Każda z przyłączonych jednostek powinna zostać przypisana do indywidualnego VLAN-u przeznaczonego na potrzeby oferowania usług głosowych. Należy również zapewnić adresację IP oraz routing pomiędzy VLAN-ami, w celu umożliwienia realizacji połączeń. Zgodnie z wymaganiami zamawiającego zakłada się że każda jednostka będzie wykorzystywała średnio 5 telefonów VoIP, należy więc zapewnić każdej jednostce pasmo dla 5 strumieni G.711, o wysokim priorytecie. VLAN-y transmisji danych dla jednostek przyłączonych do sieci umożliwiają wszystkim przyłączonym jednostkom komunikację, wzajemną wymianę danych oraz dostęp do Internetu. Wymaga się by były dostępne na switchach dostępowych jako port dostępowy (trunk, jeśli jednostka posiada możliwości techniczne do obsługi takiego połączenia i ilości sieci VLAN). Jeśli jednostka posiada wiele lokalizacji, wszystkie powinny znaleźć w tym samym VLAN-ie. Posłuży do zapewnienia jednostkom dostępu do sieci Internet (zakładana początkowa przepustowość to 2Mbit/s dla każdej z jednostek, zakłada się jednak że może ulec w przyszłości, dla niektórych z jednostek, zwiększeniu). Ramki przesyłane tymi VLAN-ami powinny być przez mechanizmy QoS traktowane jako dane o niskim priorytecie i przesyłane przez urządzenia zgodnie z założeniami polityki Best Effort. Każda jednostka powinna posiadać wydzieloną pulę nie-routowalnych adresów IP. Powinna zostać zapewniona komunikacja między podsieciami jednostek.

19 4. Karty katalogowe

20 Huawei esight Brief Product Brochure Challenges As the network scale and the number of enterprise network applications continue to grow, a large number of terminal access devices, such as multi-service routers, gateways, and WLAN APs, are widely used in decentralized networks like enterprise campus networks and branch networks. An increasing number of IT and IP devices from multiple vendors are used in enterprises and these devices use different network management systems. Enterprises require a unified network management system to manage devices on the entire network, ensure network stability, and improve the O&M efficiency. esight Integrated Enterprise O&M Solution Huawei esight is a next-generation IP+IT network operation and maintenance system developed for enterprises by Huawei enterprise network product Line. esight manages enterprise resources, services, user data, and applications in compliance with Information Technology Infrastructure Library (ITIL) standards. esight is able to manage IT and IP devices, and thirdparty devices used by enterprises. It provides an open platform that allows enterprises to build their own intelligent management systems. Any Customer Multi-edition for any customer Customer Vendor Any Vendor Open platform for any vendor Policy esight Device Any Policy Intelligent center for any policy Service Any Device Flexible mechanism for any device Any Service Simplified visualization of any service esight can reduce IT device investment and maintenance costs and improve the O&M efficiency. esight is applicable to: