WOJEWÓDZTWO PODKARPACKIE Projekt współfinansowany ze środków Unii Europejskiej z Europejskiego Funduszu Rozwoju Regionalnego oraz budŝetu Państwa w ramach Regionalnego Programu Operacyjnego Województwa Podkarpackiego na lata 2007-2013 Część B SIWZ Cześć III Opis przedmiotu zamówienia Spis treści 1. Przedmiot zamówienia informacje ogólne... 2 2. Dane techniczne urządzeń - wymagania... 2 2.1. Router BGP - 2 szt.... 2 2.2. Router typ 2-7 szt.... 6 3. Warunki dostawy... 8
1. Przedmiot zamówienia informacje ogólne W ramach zamówienia w części V zostanie zakupiony i dostarczony: 1. Router BGP - 2 szt. 2. Router sieciowy typ 2-7 szt. Wykonawca dostarczy sprzęt. Miejsce dostawy ww. sprzętu: Podkarpacki Urząd Wojewódzki w Rzeszowie. ul. Grunwaldzka 15 2. Dane techniczne urządzeń - wymagania 2.1. Router BGP - 2 szt. Router klasy enterpise Wymagania ogólne dla urządzeń i oprogramowania sieciowego: Całość dostarczanego sprzętu i oprogramowania musi pochodzić z autoryzowanego kanału sprzedaŝy producentów na rynek polski do oferty naleŝy dołączyć odpowiednie oświadczenia producenta sprzętu i oprogramowania (lub jego polskiego przedstawicielstwa) oraz Wykonawcy Całość dostarczanego sprzętu musi być nowa (wyprodukowaną nie wcześniej niŝ 6 miesięcy przed dostawą), nie uŝywana we wcześniejszych projektach wraz z dostawą naleŝy dostarczyć oświadczenie producenta (lub jego polskiego przedstawicielstwa) potwierdzające datę produkcji urządzeń Całość dostarczonego sprzętu musi być objęta gwarancją opartą o świadczenia gwarancyjne producenta sprzętu, niezaleŝne od statusu partnerskiego Wykonawcy przez okres co najmniej 60 miesięcy do oferty naleŝy dostarczyć odpowiednie oświadczenia Wykonawcy i producenta urządzeń; OA-XVI.272.28.2013 Str. 2 z 8
Serwis gwarancyjny powinien być oparty na świadczeniach gwarancyjnych producenta - wymagane załączenie do oferty odpowiedniego oświadczenia producenta, Warunki gwarancji i wsparcia technicznego dla sprzętu i oprogramowania sieciowego Sprzęt: O ile wymagania szczegółowe nie specyfikują inaczej, na dostarczany sprzęt musi być udzielona min. 60 -miesięczna gwarancja oparta na gwarancji producenta rozwiązania; serwis gwarancyjny świadczony ma być w miejscu instalacji sprzętu; czas reakcji na zgłoszony problem (rozumiany jako podjęcie działań diagnostycznych i kontakt ze zgłaszającym) nie moŝe przekroczyć jednego dnia roboczego; usunięcie usterki (naprawa lub wymiana wadliwego podzespołu lub urządzenia) ma zostać wykonana w przeciągu następnego dnia roboczego od momentu zgłoszenia usterki; Wykonawca ma obowiązek przyjmowania zgłoszeń serwisowych przez telefon (w godzinach pracy Zamawiającego), fax, e-mail lub WWW (przez całą dobę); Wykonawca ma udostępnić pojedynczy punkt przyjmowania zgłoszeń dla dostarczanych rozwiązań W przypadku sprzętu, dla którego jest wymagany dłuŝszy czas na naprawę sprzętu, Zamawiający dopuszcza podstawienie na czas naprawy Sprzętu o nie gorszych parametrach funkcjonalnych. Naprawa w takim przypadku nie moŝe przekroczyć 14 dni roboczych od momentu zgłoszenia usterki Zamawiający otrzyma dostęp do pomocy technicznej Wykonawcy (telefon, e-mail lub WWW) w zakresie rozwiązywania problemów związanych z bieŝącą eksploatacją dostarczonych rozwiązań w godzinach pracy Zamawiającego Wszystkie dostarczane moduły (np. typu SFP) muszą pochodzić od producenta urządzeń sieciowych i być objęte serwisem gwarancyjnym opartym na świadczeniach producenta sprzętu Oprogramowanie: O ile wymagania szczegółowe nie specyfikują inaczej, oprogramowanie powinno być dostarczone z min. 60 -miesięcznym wsparciem dostarczanie aktualizacji, zdalne (telefon lub e-mail, www) wsparcie techniczne w zakresie rozwiązywania problemów z konfiguracją i uŝytkowaniem oprogramowania OA-XVI.272.28.2013 Str. 3 z 8
Router BGP spełniające minimalne kryteria: WyposaŜenie Urządzenie musi być routerem modularnym wyposaŝonym w minimum 2 interfejsy Gigabit Ethernet 10/100/1000 dla realizacji połączenia do sieci LAN. Urządzenie musi posiadać minimum 1 interfejs SFP z zainstalowanym modułem SFP obsługującym standard 1000BaseSX. Zainstalowany moduł SFP ma pochodzić od tego samego producenta co dostarczone urządzenie Urządzenie musi być wyposaŝone w minimum 512 MB pamięci Flash i mieć moŝliwość rozbudowy do co najmniej 2 GB Urządzenie musi być wyposaŝone w minimum 1024 MB pamięci RAM z moŝliwością rozbudowy do co najmniej 2 GB Urządzenie musi być wyposaŝone w minimum jeden porty USB. Porty muszą pozwalać na podłączenie zewnętrznych pamięci FLASH w celu przechowywania obrazów systemu operacyjnego, plików konfiguracyjnych lub certyfikatów elektronicznych. Urządzenie musi być dostarczone z kablem pozwalającym na podłączenie konsoli szeregowej. Architektura Musi być urządzeniem modularnym posiadającym moŝliwość instalacji co najmniej: a. 3 modułów sieciowych z interfejsami Musi posiadać zainstalowany wewnętrzny sprzętowy moduł akceleracji szyfrowania DES/3DES/AES Musi posiadać wszystkie interfejsy aktywne. Nie dopuszcza się stosowania kart, w których dla aktywacji interfejsów potrzebne będą dodatkowe licencje lub klucze aktywacyjne i konieczne wniesienie opłat licencyjnych. Np. niedopuszczalne jest stosowanie karty 4-portowej gdzie aktywne są 2 porty, a dla uruchomienia pozostałych konieczne jest wpisanie kodu, który uzyskuje się przez wykupienie licencji na uŝytkowanie pozostałych portów. Urządzenie w swoich slotach przewidzianych pod rozbudowę musi mieć moŝliwość obsadzenia kartami: a. z przełącznikiem Gigabit Ethernet - o gęstości co najmniej 6 portów OA-XVI.272.28.2013 Str. 4 z 8
Oprogramowanie - funkcjonalność Oprogramowanie routera musi umoŝliwiać rozbudowę o dodatkowe funkcjonalności bez konieczności instalacji nowego oprogramowania. Nowe zbiory funkcjonalności muszą być dostępne poprzez wprowadzenie odpowiednich licencji. Musi posiadać obsługę protokołów routingu IP BGPv4, IP BGPv6, OSPFv3, IS-IS, RIPv2 oraz routingu multicastowego PIM (Sparse i Dense) oraz routing statyczny Protokół BGP musi posiadać obsługę 4 bajtowych ASN Musi posiadać wsparcie dla funkcjonalności Policy Based Routing Musi posiadać wsparcie dla mechanizmów związanych z obsługą ruchu multicast: IGMP v3, IGMP Snooping, PIMv1, PIMv2 Musi posiadać obsługę protokołu IGMPv3 Musi posiadać wsparcie dla protokołu DVMRP Musi obsługiwać mechanizm Unicast Reverse Path Forwarding (urpf) Musi obsługiwać tzw.routing między sieciami VLAN w oparciu o trunking 802.1Q Musi obsługiwać IPv6 w tym ICMP dla IPv6 Musi zapewniać obsługę list kontroli dostępu w oparciu o adresy IP źródłowe i docelowe, protokoły IP, porty TCP/UDP, opcje IP, flagi TCP Musi posiadać obsługę NAT dla ruchu IP unicast i multicast oraz PAT dla ruchu IP unicast Musi posiadać obsługę mechanizmu DiffServ Musi mieć moŝliwość tworzenia klas ruchu oraz oznaczanie (Marking), klasyfikowanie i obsługę ruchu (Policing, Shaping) w oparciu o klasę ruchu. Musi zapewniać obsługę mechanizmów kolejkowania ruchu: a. z obsługą kolejki absolutnego priorytetu b. ze statyczną alokacją pasma dla typu ruchu c. WFQ Musi obsługiwać mechanizm WRED Musi obsługiwać protokoł RSVP Musi obsługiwać mechanizm Generic Traffic Shaping Musi obsługiwać mechanizm ograniczania pasma dla określonego typu ruchu Musi obsługiwać protokół GRE oraz zapewnieniać mechnizm honorowania IP Precendence dla ruchu tunelowanego. Musi obsługiwać protokół NTP Musi obsługiwać DHCP w zakresie Client, Server Musi posiadać obsługę tzw. First Hop Redundancy Protocol (takiego jak VRRP lub odpowiednika) OA-XVI.272.28.2013 Str. 5 z 8
Musi posiadać obsługę mechanizmów uwierzytelniania, autoryzacji i rozliczania (AAA) z wykorzystaniem protokołów RADIUS lub TACACS+ Musi posiadać funkcjonalność firewall (w trybie routed) Musi posiadać moŝliwość szyfrowania połączeń z wykorzystaniem algorytmów DES/3DES Zarządzanie i konfiguracja Musi być zarządzalne za pomocą SNMPv3 Musi mieć moŝliwość eksportu statystyk ruchowych za pomocą protokołu Neftflow/JFlow lub odpowiednika Musi być konfigurowalne za pomocą interfejsu linii poleceń (ang. Command Line Interface CLI) Plik konfiguracyjny urządzenia (w szczególności plik konfiguracji parametrów routingu) musi pozwalać na edycję w trybie off-line, tzn. musi być moŝliwość przeglądania i zmian konfiguracji w pliku tekstowym na dowolnym komputerze. Po zapisaniu konfiguracji w pamięci nieulotnej powinno być moŝliwe uruchomienie urządzenia z nową konfiguracją. W pamięci nieulotnej musi być moŝliwość przechowywania dowolnej ilości plików konfiguracyjnych. Zmiany aktywnej konfiguracji muszą być widoczne natychmiastowo - nie dopuszcza się częściowych restartów urządzenia po dokonaniu zmian. Obudowa Musi być wykonana z metalu. Ze względu na róŝne warunki w których pracować będą urządzenia, nie dopuszcza się stosowania urządzeń w obudowie plastikowej. Musi mieć moŝliwość montaŝu w szafie 19 (wysokość maksymalnie 2RU) Zasilanie Urządzenie musi mieć moŝliwość zasilania ze źródeł zmiennoprądowych 230V (zasilacza AC) oraz stałoprądowych (zasilacze DC) Urządzenie musi posiadać wbudowany zasilacz umoŝliwiający zasilanie prądem przemiennym 230V 2.2. Router typ 2-7 szt. Urządzenie firewall/vpn/utm dla partnerów projektu. OA-XVI.272.28.2013 Str. 6 z 8
Urządzenie musi być wyposaŝone w co najmniej 512 MB pamięci RAM, pamięć Flash 256 MB oraz port konsoli. Urządzenie musi posiadać slot USB przeznaczony do podłączenia dodatkowego nośnika danych. Musi być dostępna opcja uruchomienia systemu operacyjnego firewalla z nośnika danych podłączonego do slotu USB na module kontrolnym. System operacyjny firewalla musi posiadać budowę modułową (moduły muszą działać w odseparowanych obszarach pamięci) i zapewniać całkowitą separację płaszczyzny kontrolnej od płaszczyzny przetwarzania ruchu uŝytkowników, m.in. moduł rutingu IP, odpowiedzialny za ustalenie tras rutingu i zarządzanie urządzenia musi być oddzielony od modułu przekazywania pakietów, odpowiedzialnego za przełączanie pakietów pomiędzy segmentami sieci obsługiwanymi przez urządzenie. System operacyjny firewalla musi śledzić stan sesji uŝytkowników (stateful processing), tworzyć i zarządzać tablicą stanu sesji. Musi istnieć opcja przełączenia urządzenia w tryb pracy bez śledzenia stanu sesji uŝytkowników, jak równieŝ wyłączenia części ruchu ze śledzenia stanu sesji. Urządzenie musi być wyposaŝone w nie mniej niŝ 8 wbudowanych interfejsów Fast Ethernet 10/100 (gotowych do uŝycia bez konieczności zakupu dodatkowych modułów i licencji). Firewall musi realizować zadania Stateful Firewall z mechanizmami ochrony przed atakami DoS, wykonując kontrolę na poziomie sieci oraz aplikacji pomiędzy nie mniej niŝ 5 strefami bezpieczeństwa z wydajnością nie mniejszą niŝ 150 Mb/s liczoną dla ruchu IMIX. Firewall musi przetworzyć nie mniej niŝ 35 000 pakietów/sekundę (dla pakietów 64-bajtowych). Firewall musi obsłuŝyć nie mniej niŝ 8 000 równoległych sesji oraz zestawić nie mniej niŝ 900 nowych połączeń/sekundę. Firewall musi zestawiać zabezpieczone kryptograficznie tunele VPN w oparciu o standardy IPSec i IKE w konfiguracji site-to-site oraz client-to-site. IPSec VPN musi być realizowany sprzętowo. Firewall musi obsługiwać nie mniej niŝ 10 równoległych tuneli VPN oraz ruch szyfrowany o przepustowości nie mniej niŝ 40 Mb/s. Urządzenie musi posiadać moŝliwość udostępniania uŝytkownikom wbudowanego klienta IPSec VPN za pośrednictwem strony WWW. Polityka bezpieczeństwa systemu zabezpieczeń musi uwzględniać strefy bezpieczeństwa, adresy IP klientów i serwerów, protokoły i usługi sieciowe, uŝytkowników aplikacji, reakcje zabezpieczeń oraz metody rejestrowania zdarzeń. Firewall musi umoŝliwiać zdefiniowanie nie mniej niŝ 100 reguł polityki bezpieczeństwa. OA-XVI.272.28.2013 Str. 7 z 8
Urządzenie musi obsługiwać co najmniej 3 sieci VLAN z tagowaniem 802.1Q. W celu zapobiegania zapętlania się ruchu w warstwie 2 firewall musi obsługiwać protokoły Spanning Tree (802.1D), Rapid STP (802.1W). Urządzenie musi posiadać mechanizmy priorytetyzowania i zarządzania ruchem sieciowym QoS wygładzanie (shaping) oraz obcinanie (policing) ruchu. Mapowanie ruchu do kolejek wyjściowych musi odbywać się na podstawie DSCP, IP ToS, 802.1p, oraz parametrów z nagłówków TCP i UDP. Urządzenie musi posiadać tworzenia osobnych kolejek dla róŝnych klas ruchu. Firewall musi posiadać moŝliwość pracy w klastrze w konfiguracji odpornej na awarie urządzeń. Dla zabezpieczenia urządzeń w klastrze muszą one funkcjonować w trybie Active-Passive z synchronizacją konfiguracji i tablicy stanu sesji. Przełączenie pomiędzy urządzeniami w klastrze HA musi się odbywać przezroczyście dla sesji ruchu uŝytkowników. Mechanizm ochrony przed awariami musi monitorować i wykrywać uszkodzenia elementów sprzętowych i programowych systemu zabezpieczeń oraz łączy sieciowych. Administratorzy muszą mieć do dyspozycji mechanizm szybkiego odtwarzania systemu i przywracania konfiguracji. Pomoc techniczna dla sprzętu musi być realizowana w języku polskim. Całość dostarczonego sprzętu musi być objęta gwarancją opartą o świadczenia gwarancyjne producenta sprzętu, niezaleŝne od statusu partnerskiego Wykonawcy przez okres co najmniej 60 miesięcy; 3. Warunki dostawy Kod wymagania WS.01 WS.02 Opis wymagania Do odbioru sprzętu ze strony PUW upowaŝnione są następujące osoby: Pan Artur Słowik tel. 664786317. Pan Leszek RoŜkiewicz tel. 17 8671545 Pan Piotr Szular tel. 17 8671543 Wykonawca wraz ze sprzętem dostarczy niezbędną dokumentację/instrukcje, sterowniki, oprogramowanie, okablowanie i licencje niezbędne do uruchomienia urządzeń. OA-XVI.272.28.2013 Str. 8 z 8