WYJAŚNIENIE TREŚCI SIWZ Warszawa, 19.03.2015r. Dotyczy przetargu nieograniczonego na: Dostawa urządzeń dla sieci komputerowej Instytutu Technologii Materiałów Elektronicznych w Warszawie nr ZP/001/2015. Zamawiający Instytut Technologii Materiałów Elektronicznych z siedzibą w Warszawie uprzejmie informuje, że w trakcie postępowania o udzielenie zamówienia publicznego na Dostawa urządzeń dla sieci komputerowej Instytutu Technologii Materiałów Elektronicznych w Warszawie znak ZP/001/2015 prowadzonego w trybie przetargu nieograniczonego zgodnie z ustawą z dnia 29 stycznia 2004 r Prawo zamówień publicznych (Dz. U. z 2013 r poz. 907 z późniejszymi zmianami) Wykonawcy na podstawie art. 38 ust. 1 ww. ustawy zwrócili się o wyjaśnienie treści specyfikacji istotnych warunków zamówienia. PYTANIA WYKONAWCÓW Pytanie 1. Czy zamawiający dopuści zmniejszenia kwoty minimalnej dostawy jednego referencyjnego systemu bezpieczeństwa UTM do wartości 30.000,00 zł netto? Pytanie 2. Aktualny zapis: Urządzenie musi umożliwiać budowę klastrów wysokiej dostępności - HA w wersji active-active i active-passive. Czy dopuszczalne jest zaoferowanie klastra wysokiej dostępności HA w wersli active-active lub active-passive w którym zachowany jest stan połączeń? Pytanie 3. Czy w zakresie: Kontrola Ruchu i Pasma (Traffic Shapping) zamawiający dopuszcza rozwiązanie w którym mechanizm QoS obejmuje mechanizmy: tail drop oraz mechanizm zarządzanie opóźnieniami przesyłania danych? Pytanie 4. Wydajność całego systemu z włączoną funkcją antywirus co najmniej 1 Gbps z włączonym proxy, i min. 2 Gbps bez proxy. Bardzo często producenci rzwiązań klasy UTM podają wydajność tylko z właczonym proxy. Czy dopuszcza się rozwiązanie, którego skanowanie AV wykonuje tylko w trybie proxy ale którego przepustowość wynosi w tym przypadku aż 3Gbps? Pytanie 5. Minimalna przepustowość tunelu IPsec VPN co najmniej 6Gbps Mbps. Czy zamawiający dopuści rozwiązanie o przepustowości 3Gbps? Przy tej przepustowości mamy maksymalnie 5000 sesji klientów IPSec? Pytanie 6. Minimalna przepustowość tunelu SSL VPN co najmniej 1Gbps Mbps. Jeżeli producent nie podaje przepustowości to czy zamawiający dopuści rozwiązanie umoziwiające jednoczesną obsługę 165 sesji clienckich SSL VPN? Strona 1 z 9
Pytanie 7. Filtr URL ma działać w oparciu o klasyfikację URL dostarczaną przez producenta. Administrator musi mieć możliwość modyfikowania klasyfikacji poprzez dodawanie i usuwanie kategorii. Czy zamawiający ma na myśli dodawanie i modyfikację własnych kategorii/klasyfikacji URL na urządzeniu? Pytanie 8. Urządzenie powinno posiadać wbudowany serwer DHCP z możliwością przydzielania adresu IP na podstawie adresu MAC karty sieciowej stacji roboczej. Ponadto powinna być możliwość renegocjacji DHCP po uwierzytelnieniu użytkownika. Czy zamawiający dopuści rozwiązanie, które nie ma opcji renegocjacji DHCP po uwierzytelnieniu użytkownika? Pytanie 9. Urządzenie ma posiadać system raportowania. Czy zamawiący dopuści rozwiązanie mogace generować na samym urządzeniu 20 predefinowanych raportów w układzie TOP10 w zakresie raportów WEB/ IPS/ AV/ SIECI? Pytanie 10. Czy zamawiający dopuszcza serwis gwarancyjny w trybie NBD, który zapewnia dostarczenie do klienta nowego sprzętu w następnym dniu roboczym lecz bez instalacji i konfiguracji a uruchomienie nowego sprzętu wymaga od zamawiającego wgrania jedynie pliku z aktualną konfiguracją. Wsparcie techniczne jest realizowane w dni robocze w godzinach 8.00-18.00 a zgłoszenia serwisowe przyjmowane są w trybie 24x7 przez dedykowany serwisowy moduł internetowy lub adres email? Pytanie 11. Część 1 (wymagane parametry techniczne i wyposażenie systemu zabezpieczeń UTM), w punkcie 3. - Intrusion Prevention System (IPS) zamawiający umieścił zapis urządzenie ma mieć możliwość inspekcji ruchu tunelowanego wewnątrz protokołu SSL, co najmniej w zakresie analizy HTTPS, FTPS, POP3S oraz SMTPS". Realizacja takiej funkcjonalności wymaga podmiany certyfikatów serwera i klienta podczas komunikacji w obrębie protokołu SSL. Stwarza to problemy zwłaszcza w przypadku analizy IPS - filtrowany jest cały strumień ruchu sieciowego bez względu na protokoły i porty, ingerencja w ten ruch (podmiana certyfikatów SSL) często powoduje problemy po stronie aplikacji klienckich (np. aplikacje klientów poczty elektronicznej. Powyższe uwarunkowania powodują, że większość producentów systemów UTM nie oferuje funkcjonalności inspekcji IPS w ruchu szyfrowanym SSL. Umieszczenie zapisu wymagającego takiej funkcjonalności mocno ogranicza konkurencję. Czy w związku z powyższym zamawiający dopuści rozwiązanie nie posiadające wyżej opisanej funkcjonalności dla modułu IPS? Pytanie 12. Czy zamawiający dopuści urządzenie obsługujące maksimum 1000 równoczesnych tuneli VPN? Wymagana w punkcie 7 wartość 1500 wydaje się zawyżona w stosunku do innych parametrów wskazujących na wydajność i wielkość obsługiwanej struktury. Strona 2 z 9
Pytanie 13. Prosimy o określenie jakiej powierzchni dyskowej do przechowywania logów wymaga zamawiający, w zakresie modułu raportowania. Informacja taka jest konieczna do prawidłowej wyceny całego rozwiązania. Pytanie 14. Dotyczy Część II - Przełącznik szkieletowy (core switch.) Czy Zamawiający dopuści przełącznik, w którym dodatkowe 4 porty 10 Gbit/s oraz 2 porty 40 Gbit/s są na stałe wbudowane w przełącznik, konkretnie chodzi o przełącznik wyposażony w 48 portów 10Gbit/s SFP+ oraz 4 porty 40 Gbit/s QSFP? Pragniemy zauważyć, iż Zamawiający w takiej konfiguracji zyskuje dodatkowe 4 porty 10 Gbit/s SFP+ w stosunku do konfiguracji określonej w Pytanie 15. Dotyczy Część II - Przełącznik szkieletowy (core switch). Czy do tego przełącznika ma być również dołączony osprzęt do budowania stosu, np. kable DAC QSFP+ 40Gbit/s? Jeżeli tak, to prosimy o podanie ilości i długości tych kabli. Pytanie 16. Dotyczy Część II - Przełącznik szkieletowy (core switch). Prosimy o wykreślenie protokołu VNP Virtual Network Profiles ponieważ jest to protokół, który jest własnością jednego producenta (Alcatel-Lucent) Pytanie 17. Dotyczy Część II - Przełącznik dostępowy 48 portów oraz Przełącznik dostępowy 24 porty. Czy Zamawiający dopuści przełącznik z tablicą adresów MAC o pojemności 32 000? Pragniemy zauważyć, iż zamawiający określa ten przełącznik jako dostępowy, więc taka ilość adresów MAC jak 32K jest w takim przełączniku w zupełności wystarczająca a wręcz z dużym zapasem. Oferent zna przełączniki dostępowe o tablicy 8K i 16K i nie zdarzyło się aby tablice MAC w tych przełącznikach kiedykolwiek się przepełniły. Pytanie 18. Dotyczy Część II - Przełącznik dostępowy 48 portów oraz Przełącznik dostępowy 24 porty. Czy Zamawiający dopuści przełącznik bez obsługi standardu ITU-T G.8032/Y1344 2010: Ethernet Ring Protection (ERPv2) ale obsługujący inny, równoważny funkcjonalnie protokół ringowy RRPP? Pytanie 19. Dotyczy Część II - Przełącznik dostępowy 48 portów oraz Przełącznik dostępowy 24 porty. W opisie Zamawiający wymaga możliwości uaktualnienie oprogramowania lub konfiguracji przez USB/TFTP/FTP/SFTP/SCP. Czy Zamawiający dopuści przełącznik, który umożliwia akualizacje przez TFTP/FTP/SFTP/SCP? Pytanie 20. Dotyczy Część II - Przełącznik dostępowy 48 portów oraz Przełącznik dostępowy 24 porty. Czy Zamawiający dopuści przełącznik bez wsparcia dla protokołu IEEE 802.1aq (SPB) Shortest Path Strona 3 z 9
Bridging? Jest to protokół wykorzystywany typowo w centrach danych a nie na brzegu sieci. W przełącznikach dostępowych ta funkcjonalność jest niewykorzystywana. Pytanie 21. Dotyczy Część II Moduł SFP+. Prosimy o potwierdzenie z jakim przełącznikiem mają być kompatybilne te wkładki, czy chodzi o opisany w tym przetargu przełącznik dostępowy 24-portowy? Pytanie 22. Przełączniki ethernetowe. Zamawiający, zgodnie ze szczegółową charakterystyką przedmiotu zamówienia określił, że długość okresu gwarancji na przełączniki ethernetowe nie może być krótsza niż 24 miesiące. Czy Zmawiający przewiduje długoś okresu gwarancji powyżej którego Wykonawcy otrzymają maksymalną ilość punktów w kryterium długość okresu gwarancji? W przeciwnym wypadku, może dochodzić do nadużyć polegających na deklarowaniu nierealnych okresów gwarancji, np: 100 czy 200 lat. Pytanie 23. System zabezpieczeń UTM. Czy Zamawiający wyrazi zgodę aby spełnienie wymaganej skuteczności IPS było osiągnięte przez rozszerzenie funkcji IPS o funkcje Antywirusowe wykonywane w systemie operacyjnym rozwiązania? Pytanie 24. System zabezpieczeń UTM. Czy zamawiający zaakceptuje rozwiązanie oferujące kształtowanie pasma per polityka lub per IP? Pytanie 25. System zabezpieczeń UTM. Czy Zamawiający zaakceptuje rozwiązanie realizujące funkcję kontroli pasma w zakresie kształtowania i ograniczana przepustowości oraz nadawania odpowiednich priorytetów poszczególnym pakietom; bez realizowania funkcji zarządzania opóźnieniami, buforowania, określania charakterystyki gubienia pakietów oraz unikania przeciążeń? Pytanie 26. System zabezpieczeń UTM. Czy Zamawiający dopuści dostarczenie wydajnego urządzenia współpracującego ze skuteczną bazą danych RBL aktualizowaną dynamicznie, bez analizy heurystycznej która jest właściwa dla specjalizowanych platform (nie działających w czasie rzeczywistym)? Pytanie 27. System zabezpieczeń UTM. Czy Zamawiający zaakceptuje rozwiązanie nie wspierające autoryzacji w oparciu o Kerberos? Pytanie 28. System zabezpieczeń UTM.Czy Zamawiający zaakceptuje rozwiązanie z wydajnością Firewall a min. 16Gbps? Wymagana przez Zamawiającego wydajność min. 20 Gbps jest wartością bardzo dużą w zestawieniu z pozostałymi parametrami, przez co Wykonawcy będą zmuszeni zaproponować Strona 4 z 9
rozwiązania dużo droższe w zakupie i utrzymaniu, przeznaczone do instalacji z dużo większą ilością użytkowników. Pytanie 29. W specyfikacji jest zapis: Minimalna przepustowość tunelu SSL VPN - co najmniej 350Mbps Mbps. Jeśli producent nie podaje przepustowości tunelu SSL, to Zamawiający dopuszcza rozwiązanie w którym jest zagwarantowana jednoczesna obsługa co najmniej 300 sesji klienckich SSL VPN? Czy Zamawiający jako tunele SSL VPN rozumuje również połaczenia VPN realizowane jako SSL VPN Portal czyli, czy możemy zaproponować rozwiązanie umożliwiajace zestawienie jednocześnie min. 300 sesji SSL VPN za pomocą portalu autoryzującego gdzie dla zestawienia sesji SSL nie wymagana jest instalacja żadnego klienta, wystarcza przeglądarka internetowa i standardowa instalacja Java. Pytanie 30. W zakresie Kontrola Ruchu i Pasma (Traffic Shapping) Zamawiający zgodził się, że mechanizmy QoS obejmujący mechanizmy: tail drop oraz zarządzanie opóźnieniami przesyłania danych "pokrywają się z wymienionymi przez Zamawiającego w rubryce Kontrola Ruchu i Pasma (Traffic Shapping), tyle, że są sformułowane w sposób ogólniejszy." Uznając zasadność takiego podejścia, Zamawiający zmienił odpowiednie zapisy na nowe przy czym zmieniony zapis wprowadza oprócz oferowanych mechanizmów również: Zarządzanie buforowaniem nadmiarowych pakietów; Określenie charakterystyki gubienia pakietów; Czy zamawiający dopuszcza QoS obejmujący jedynie mechanizmy: tail drop oraz zarządzanie opóźnieniami przesyłania danych? Pytanie 31. Czy zamawiający dopuszcza dostarczenie systemu raportującego w postaci maszyny wirtualnej bez infrastruktury serwerowej? Rozwiązanie takie jest o wiele elastyczniejsze w zastosowaniu niż tradycyjny serwer logów a przy wykorzystywaniu przez zamawiającego wirtualizacji w swoim środowisku pozwoli również na obniżenie kosztów obsługi takiego systemu. Pytanie 32. Czy zamawiający dopuszcza rozwiązanie gdzie serwis świadczony jest w trybie NBD (dostarczenie nowego urządzenia na kolejny dzień roboczy od stwierdzenia awarii) bez fizycznej instalacji urządzenie w sieci zamawiającego? Oferent zaznacza, że w przypadku posiadania klastra przez zamawiającego w przypadku awarii jednego z urządzeń konfiguracja nowego urządzenia przez Oferenta nie będzie konieczna gdyż będzie się ona synchronizowała w ramach klastra z aktywnego urządzenia sieciowego. Pytanie 33. Zamawiający odpowiedział pozytywnie na pytanie nr. 10 oraz 32 natomiast nie poprawił zapisów w Jeżeli odpowiedz na pytanie brzmi: Zamawiający dopuszcza serwis gwarancyjny w trybie NBD, który zapewnia dostarczenie klientowi w następnym dniu roboczym nowego sprzętu z domyślną konfiguracją. W związku z tym Zamawiający zmienia odpowiednie zapisy w specyfikacji. Aktualny zapis w SIWZ jest sprzeczny z w/w odpowiedzią. Czy zamawiający poprawi zapis specyfikacji w zakresie Gwarancja / Serwis aby był on zgodny z pozytywną odpowiedzią na pytanie nr 10 oraz 32 i Strona 5 z 9
zamiast sprzętu zastępczego dopuści dostarczenie zgodnie z gwarancją NBD nowego sprzętu z domyślą konfiguracją wymagającą jedynie wgranie aktualnej konfiguracji lub w przypadku posiadania klastra w przypadku awarii jednego z urządzeń konfiguracja nowego urządzenia nie będzie konieczna gdyż będzie się ona synchronizowała w ramach klastra z aktywnego urządzenia sieciowego? Pytanie 34. W zapisach SIWZ wymagania techniczne jest (chyba) błąd. Wymagania wydajnościowe przełącznika 48 i 24 port są takie same. Przełącznik dostępowy 48 portów (16 szt.) -Minimalna możliwość przełączania full duplex: 180 Gbps. -Minimalna przepustowość dla pakietów o wielkości 64-bajty: 140 Mpps. Przełącznik dostępowy 24 porty (2 szt.) - Minimalna możliwość przełączania full duplex: 180 Gbps. - Minimalna przepustowość: 140 Mpps. WYJAŚNIENIA, JAKICH UDZIELIŁ ZAMAWIAJĄCY: W odpowiedzi na powyższe zapytania, Zamawiający zgodnie z art. 38 ust 1. ustawy P.z.p wyjaśnia, iż: Ad Pytanie 1: Zamawiający dokonał odpowiednich zmian w treści SIWZ oraz w treści ogłoszenia. Ad Pytanie 2: Dopuszczalne jest zaoferowanie sprzętu, który funkcję HA posiada tylko w wersji active-active lub active-pasive, a nie posiada obu takich możliwości równocześnie. Celem doprecyzowania Zamawiający poprawił zapis w Ad Pytanie 3: Wymienione przez Wykonawcę mechanizmy zasadniczo pokrywają się z wymienionymi przez Zamawiającego w rubryce Kontrola Ruchu i Pasma (Traffic Shapping), tyle, że są sformułowane w sposób ogólniejszy. Uznając zasadność takiego podejścia, Zamawiający zmienia odpowiednie zapisy w Ad Pytanie 4: Zamawiający dopuszcza rozwiązanie, w którym funkcja antywirus działa tylko w trybie proxy. W takim przypadku wydajność całego systemu powinna wynieść co najmniej 2 Gbps. W związku z tym Zamawiający zmienia odpowiednie zapisy w specyfikacji. Ad Pytanie 5: Zamawiający dopuszcza rozwiązanie o przepustowości IPsec VPN co najmniej 3 Gbps. W związku z tym Zamawiający zmienia odpowiednie zapisy w specyfikacji. Ad Pytanie 6: Jeśli producent nie podaje przepustowości tunelu SSL, to Zamawiający dopuszcza rozwiązanie w którym jest zagwarantowana jednoczesna obsługa co najmniej 300 sesji klienckich SSL VPN. Równocześnie Zamawiający zmienia wartość minimalnej przepustowości dla tunelu SSL VPN z 1Gbps do 350Mbps. W związku z tym Zamawiający zmienia odpowiednie zapisy w specyfikacji. Strona 6 z 9
Ad Pytanie 7: Tak, Zamawiający miał na myśli możliwość dodawania i modyfikacji własnych kategorii/klasyfikacji na urządzeniu. Aby ujednolicić ten wymóg Zamawiający zmienia odpowiedni zapis w specyfikacji. Ad Pytanie 8: Serwer DHCP nie musi mieć opcji renegocjacji DHCP po uwierzytelnieniu użytkownika. W związku z tym Zamawiający zmienia odpowiednie zapisy w specyfikacji. Ad Pytanie 9: Zamawiający dokładnie opisał w SIWZ wymagania jakie musi spełniać system raportowania i wymaga spełnienia ich wszystkich. Jeżeli oferowane urządzenie nie spełnia części z nich, to zgodnie z SIWZ, Wykonawca powinien dostarczyć system raportowania na osobnym urządzeniu. Ad Pytanie 10: Zamawiający dopuszcza serwis gwarancyjny w trybie NBD, który zapewnia dostarczenie klientowi w następnym dniu roboczym nowego sprzętu z domyślną konfiguracją. W związku z tym Zamawiający zmienia odpowiednie zapisy w specyfikacji. Ad Pytanie 11: Możliwość inspekcji ruchu tunelowanego wewnątrz protokołu SSL jest jedną z ważniejszych funkcji UTM a. Brak tej funkcjonalności zdecydowanie zmniejsza skuteczność UTM a w zakresie ochrony sieci lokalnej. Zamawiający podtrzymuje zapotrzebowanie na tę funkcjonalność, a zatem nie dopuszcza rozwiązania nieposiadającego tej funkcjonalności. Ad Pytanie 12: Wartość 1500 równoczesnych tuneli IPSEC VPN nie wydaje się zawyżona w kontekście innych parametrów. Np. urządzenia z wymaganą przez Zamawiającego minimalną ilością tuneli SSL VPN na poziomie 300, bez problemu osiągają 2000 równoczesnych tuneli IPSEC VPN. Zamawiający nie dopuści urządzenia obsługującego 1000 równoczesnych tuneli VPN. Ad Pytanie 13: Zamawiający nie określił wymaganej pojemności dyskowej, ponieważ nie uważał tego za konieczne. Przyjęto, że wystarczy typowa dla urządzeń tej klasy pojemność rzędu 100GB. Aktualnie, w związku ze zgłoszeniem przedmiotowego problemu Zamawiający wprowadza odpowiednią zmianę do specyfikacji. Ad Pytanie 14: Zamawiający określił w specyfikacji jakie porty maja być w przełączniku. Zamawiający nie dopuszcza zastąpienia portów innymi, w tym również QSFP+ portami QSFP. Ad Pytanie 15: Zamawiający nie planuje łączenia przełączników szkieletowych w stos. Mają one pracować w układzie HA czyli tworzyć system redundantny (przełączniki połączone ze sobą za pomocą łącza 40Gbps) i do takiego połączenia ma być dostarczony kompletny osprzęt. Zamawiający planuje umieszczenie obu Strona 7 z 9
przełączników w jednej szafie rakowej z odstępem 2U pomiędzy przełącznikami, i do takiej konfiguracji należy dostosować długości połączeń między nimi. Ad Pytanie 16: Zamawiający rezygnuje z wspomnianego protokołu w specyfikacji. W związku z tym Zamawiający zmienił odpowiedni zapis w Ad Pytanie 17: Ad Pytanie 18: Ad Pytanie 19: Ad Pytanie 20: Ad Pytanie 21: Moduły maja być kompatybilne ze wszystkimi dostarczonymi przełącznikami. Ad Pytanie 22: W dniu 05.03.2015r. nastąpiła zmiana treści SIWZ w wyniku której, zmienił się sposób przyznawania punktów w kategorii Długość okresu gwarancji. Ad Pytanie 23: Spełnienie wymaganej funkcjonalności w zakresie IPS może być zrealizowane w dowolny sposób. Ad Pytanie 24: Zamawiający zaakceptuje rozwiązanie oferujące kształtowanie pasma per polityka lub per IP, jako dodatkowe do wymienionych w specyfikacji. Ad Pytanie 25: Zamawiający zaakceptuje rozwiązanie bez funkcji zarządzania opóźnieniami, buforowania, określania charakterystyki gubienia pakietów oraz unikania przeciążeń. W związku z tym Zamawiający dokonał odpowiedniej zmiany w specyfikacji. Ad Pytanie 26: Zamawiający dopuszcza aby ochrona antyspamowa była realizowana bez analizy heurystycznej. W związku z tym Zamawiający zmienił odpowiedni zapis w Strona 8 z 9
Ad Pytanie 27: Zamawiający dopuszcza rozwiązanie nie wspierające autoryzacji w oparciu o Kerberos. W związku z tym Zamawiający zmienił odpowiedni zapis w Ad Pytanie 28: Ad Pytanie 29: Tak, Zamawiający jako tunel SSL VPN rozumie każde połączenie tego typu, również realizowane za pomocą portalu autoryzującego. Ad Pytanie 30: Zamawiający dopuszcza QoS obejmujący jedynie mechanizmy: tail drop oraz zarządzanie opóźnieniami przesyłania danych. Ad Pytanie 31: Zamawiający nie posiada obecnie środowiska dla maszyn wirtualnych, w związku z tym nie dopuszcza dostarczenia systemu raportującego w postaci maszyny wirtualnej bez infrastruktury serwerowej. Ad Pytanie 32: Zamawiający dopuszcza takie rozwiązanie, o czym Zamawiający poinformował w zmianie treści SIWZ z dnia 05.03.2015r. Ad Pytanie 33: Zamawiający zmienił odpowiedni zapis w Ad Pytanie 34: Zamawiający zmienił odpowiedni zapis w Strona 9 z 9