OPIS PRZEDMIOTU ZAMÓWIENIA

OPIS PRZEDMIOTU ZAMÓWIENIA ZAŁĄCZNIK Nr 1 do SIWZ Sprawa nr 17/4/41/17 urządzenia i oprogramowanie do rozbudowy infrastruktury sieciowej i data-center RON dostawa routerów, kart sieciowych przełączników, modułów i modemów A. INFORMACJE OGÓLNE 1. Przedmiot zamówienia Przedmiotem zamówienia jest dostawa urządzeń do rozbudowy infrastruktury sieciowej i data-center RON, a w szczególności na potrzeby jednolitej sieci podkładowej IP Resortu Obrony Narodowej oraz Systemów Teleinformatycznych MILNET-Z i INTER-MON. Zakres dostawy obejmuje urządzenia wraz z ich oprogramowaniem, licencjami oraz serwisem gwarancyjnym w zakresie niezbędnych do rozbudowy istniejącej infrastruktury zgodnie z poniższym zestawieniem: L.p. Opis Ilość wymagana Opcja 1 Router typu IP A 1 15 2 Router typu IP B 40 3 Router typu IP AE 4 4 Router typu N A 76 37 5 Router typu U V 5 6 Router typu U AXV 5 7 Karta sieciowa typu IP A 120 8 Karta sieciowa typu IP C 100 9 Przełącznik typu M 24C 250 732 10 Przełącznik typu M 48C 250 595 11 Przełącznik typu U 8C 470 537 12 Przełącznik typu I 24C 250 419 13 Przełącznik typu I 48C 250 355 14 Przełącznik typu U 12F 70 103 15 Przełącznik typu U 24F 40 96 16 Przełącznik typu UX 32F 40 19 17 Przełącznik typu UXE4 16F 35 18 Przełącznik typu N 24FX 40 37 19 Przełącznik typu N 24SX 33 20 Przełącznik typu N 24LX 20 30 21 Moduł typu SX 200 22 Moduł typu T 100 23 Moduł typu SR 50 24 Moduł typu CU2 50 25 Komplet modułow jednowłoknowych 16 16 26 Modem xdsl typu A 50 27 Serwer czasu typu A 6 28 Urządzenie HSM typu A 8 29 Macierz dyskowa typu FC A 2 30 Przełącznik typu FC A 2 31 Kontroler typu FIC A 2 32 Kontroler Wi-Fi typu A 2 33 Punkt dostępowy WiFi typu A 100 34 Licencja SecurityPlus do ASA 5505 16 35 Licencja ASAv typu A 1 36 Licencje do systemu Voice/VTC 1 37 Mostek konferencyjny 1 1/93

2. Ogólne wymagania dla urządzeń wymienionych w ust. 1: 1) Oferowane routery muszą być zgodne z eksploatowanymi obecnie: ASR9006, ASR1006X, ASR 1004 oraz ISR serii 4400, 3900, 2900; 2) W przypadku zaoferowania sprzętu równoważnego do wymienionego w SIWZ Zamawiający zastrzega sobie prawo do zażądania oferowanego rozwiązania do testów PRZED podpisaniem umowy w celu potwierdzenia zgodności ze specyfikacją. 3) Wymagane funkcjonalności muszą być dostępne w momencie składania oferty. 4) Urządzenia muszą być fabrycznie nowe i nieużywane wcześniej w żadnych innych projektach. Nie dopuszcza się urządzeń typu refubrished (zwróconych do producenta i później odsprzedawanych ponownie przez producenta). 5) Urządzenia muszą pochodzić z oficjalnych kanałów/dystrybucji producenta. Zamawiający zastrzega sobie możliwość sprawdzenia pochodzenia urządzenia u producenta. 6) Wszystkie karty oraz interfejsy dokładane do urządzeń muszą pochodzić od tego samego producenta sprzętu. 7) Przynajmniej pierwsza linia wsparcia technicznego producenta dostępna w języku polskim. 8) W przypadku konieczności wymiany uszkodzonej pamięci (nośnika danych, dysku twardego), pamięci RAM lub flash, uszkodzone moduły/podzespoły pozostają u Użytkownika sprzętu. B. WYMAGANIA SZCZEGÓŁOWE DLA URZADZEŃ WYMIENIONYCH W CZĘŚCI A.1 (zestawienie tabelaryczne) B.1 Router typu IP A. Jako urządzenie referencyjne Router typu IP A spełniające wymagania opisane w punktach od 1 do 36 Zamawiający określa zestaw sprzętu, oprogramowania i licencji przedstawiony w poniższej tabeli: Numer produktu Opis Ilość ASR1004 Cisco ASR1004 Chassis Dual P/S 1 ASR1000-RP2 Cisco ASR1000 Route Processor 2 8GB DRAM 1 SASR1R2-AESK9- Cisco ASR 1000 Series RP2 ADVANCED ENTERPRISE 316S SERVICES 1 ASR1000-SIP40 Cisco ASR1000 SPA Interface Processor 40 1 SPA-10X1GE-V2 Cisco 10-Port Gigabit Ethernet Shared Port Adapter 2 GLC-LH-SMD 1000BASE-LX/LH SFP transceiver module MMF/SMF 1310nm DOM 6 GLC-SX-MMD 1000BASE-SX SFP transceiver module MMF 850nm DOM 2 GLC-TE 1000BASE-T SFP transceiver module for Category 5 copper wire 12 ASR1004-PWR-AC Cisco ASR1004 AC Power Supply 2 CAB-ACE-RA Power Cord Europe Right Angle 2 FLASR1-IOSRED- RTU SW Redundancy Right-To-Use Feat Lic for ASR1000 Series 1 ASR1000-ESP20 Cisco ASR1000 Embedded Services Processor 20G 1 W przypadku oferowania rozwiązania równoważnego urządzenie musi spełniać wyszczególnione niżej wymagania minimalne: Architektura 1. Musi być urządzeniem modularnym, umożlwiającym obsadzenie co najmniej 8 modułów adapterów. 2. Musi mieć możliwość rozszerzenia o minimum 2 porty 10 GigabitEthernet lub o minimum 24 porty Gigabit Ethernet. 3. Musi mieć możliwość rozszerzenia o adaptery: a. Interfejsów ATM (ze sprzętowym wsparciem dla przekazywania pakietów IPv4, IPv6 i MPLS (L3VPN oraz AToM lub pseudowire edge-to-edge emulation 3), których interfejs 2/93

fizyczny jest definiowany w oparciu o wkładki SFP. Adapter musi być dostępny w wersjach OC-3/STM-1 (co najmniej 3 porty) oraz OC-12/STM-4. b. Interfejsów channelized T1/E1 z fizycznym konektorem RJ-45, ze zintegrowanym CSU/DSU i impedancją 120 Ohm (z możliwością konwersji do 75 Ohm). Adapter musi być dostępny z gęstością co najmniej 8 portów c. Interfejsów T3/E3 z gęstością co najmniej 4 portów d. Interfejsów szeregowych, których fizyczny interfejs jest definiowany za pomocą kabla. Adapter musi być dostępny z gęstością co najmniej 4 portów. e. Interfejsów 10Gigabit Ethernet (L3) z gęstością co najmniej 1 port f. Interfejsów Gigabit Ethernet (L3) z interfejsem fizycznym definiowanym z wykorzystaniem wkładek SFP. Adapter musi być dostępny z gęstością co najmniej 10 portów. g. Interfejsów Packet Over Sonet OC3c/STM-1c z gęstością co najmniej 4 portów, OC12/STM4 z gęstością co najmniej 8 portów, OC48/STM16 z gęstością co najmniej 4 portów, OC-192c/STM-64c h. Musi umożliwiać wymianę modułów w trakcie pracy (ang. hot swap). i. Musi posiadać wbudowany sprzętowy moduł akceleracji szyfrowania Oprogramowanie/funkcjonalność 4. Musi posiadać modularny system operacyjny umożliwiający aktualizację poszczególnych modułów programowych niezależnie od siebie. Na platformie muszą być uruchamiane dwie kopie systemu operacyjnego. 5. Musi mieć możliwość uruchomienia oprogramowania lub rozszerzenia w oparciu o licencje) z funkcjonalnością dynamicznych tuneli VPN (hub-to-spoke oraz spoke-to-spoke). 6. Musi obsługiwać funkcjonalność NHRP. 7. Musi obsługiwać co najmniej 4 000 tuneli GRE. 8. Musi obsługiwać co najmniej 1 000 000 prefiksów w tablicach routingu IPv4 lub 1 000 000 prefiksów w tablicach routingu IPv6 9. Musi obsługiwać co najmniej 100 000 prefiksów w tablicach routingu multicast i co najmniej 1 000 grup 10. Musi obsługiwać routing dynamiczny: RIP, OSPF, BGP. 11. Musi wspierać IPv4 oraz IPv6, w szczególności protokoły routingu RIPng oraz OSPFv3. 12. Musi posiadać wsparcie dla MPLS i MPLS VPN. 13. Musi być w stanie obsłużyć co najmniej 4000 instancji VRF (Virtual Route Forwarding) 14. Musi mieć możliwość uruchomienia oprogramowania (lub rozszerzenia w oparciu o licencje) z funkcjonalnością zapory ogniowej typu statefull (ang. statefull firewall) ze wsparciem dla stref. 15. Musi mieć możliwość uruchomienia oprogramowania (lub rozszerzenia w oparciu o licencje) z funkcjonalnością analizy i klasyfikacji pakietów w warstwie 2-7 polegającą na przeszukiwaniu pakietów pod kątem zawierania specyficznych ciągów znaków i wykrywania na tej podstawie ataków. 16. Musi posiadać sprzętową ochrona warstwy zarządzającej (Control Plane Policing) 17. Musi obsługiwać co najmniej 4 000 ACL (Access Control Lists) i 100 000 wpisów ACE (Access Control Entries) 18. Musi wspierać multicast w szczególności: PIM sparse/dense/ssm/bi-directional, IGMP, MLDv2 19. Musi obsługiwać RPF (Reverse Path Forwarding) 20. Musi obsługiwać zarządzanie ruchem (QoS): a. Minimum 128 000 kolejek per system b. Minimum 1000 polityk c. Hierarchiczne polityki (Hierarchical QoS), 3 poziomy hierarchii d. Dokładność na poziomie 8kbps w politykach QoS e. Latency (czas przejścia pakietu przez urządzenie) dla ruchu priorytetowego na poziomie 100 mikrosekund f. Dwie kolejki priorytetowe LLQ per polityka g. Musi obsługiwać funkcjonalność Sflow lub odpowiednik (J-Flow, Net-Flow) 21. Musi posiadać funkcjonalność VRRP lub odpowiednika. Oczekiwana wydajność 22. Urządzenie musi oferować wydajność przesyłania pakietów co najmniej 20Mpps 23. Musi zapewniać wydajność co najmniej 10 Mpps dla ruchu unicastowego przy włączonych zaawansowanych usługach (QoS, IP Fowarding, IP Multicast, RPF, load-balancing i sampled Netflow) 24. W przypadku uruchomienia oprogramowania z funkcjami firewall musi zapewniać przepustowość 20Gbps dla funkcjonalności Firewall/NAT z obsługą 2 000 000 sesji (200 000 sesji na sekundę) 3/93

25. W przypadku uruchomienia oprogramowania z funkcjami szyfrowania musi zapewniać co najmniej 8Gbps dla VPN (AES256) i co najmniej4 000 tuneli IPSec (urządzenie musi być przygotowane sprzętowo do obsługi co najmniej 8 000 IPSec bez konieczności rozbudowy). Zarządzanie i konfiguracja 26. Musi umożliwiać zarządzanie poprzez: CLI (Telnet, SSHv2, port konsoli), SNMPv3 27. Musi posiadać port konsoli szeregowej 28. Musi posiadać wsparcie dla systemów AAA (Radius) 29. Urządzenie musi posiadać możliwość pobrania konfiguracji do zewnętrznego komputera typu PC, w formie tekstowej. Konfiguracja po dokonaniu edycji poza urządzeniem może być ponownie zaimportowana do urządzenia i uruchomiona. 30. Urządzenie musi posiadać możliwość wyszukiwania fragmentów konfiguracji z linii poleceń urządzenia, dzięki stosowaniu wyrażeń-filtrów. Obudowa 31. Urządzenie musi przystosowane do montażu w szafie 19, obudowa wykonana z metalu. Zasilanie 32. Musi posiadać redundantne zasilacze przystosowane do zasilania prądem naprzemiennym 230V. Wyposażenie 33. Musi posiadać co najmniej 20 portów Gigabit Ethernet, których interfejs fizyczny jest definiowany poprzez wkładki typu SFP lub równoważne, w dostarczonej konfiguracji router musi posiadać zainstalowane 6 wkładek z portem 1000BASE-LX, 2 z 1000BASE-SX, 12 z 1000BASE-T 34. Musi być wyposażony w co najmniej 8 GB pamięci RAM (musi być możliwość rozbudowy pamięci do co najmniej 16 GB) 35. Musi być wyposażony w dysk twardy lub dysk SSD o pojemności co najmniej 80GB do przechowywania obrazów systemu operacyjnego, konfiguracji oraz logów systemowych. 36. Musi posiadać niezbędne licencje do uruchomienia trybu wysokiej dostępności (jeśli są wymagane do uruchomienia takiej funkcjonalności). B.2 Router typu IP B. Jako urządzenie referencyjne Router typu IP B spełniające wymagania opisane w punktach od 1 do 67 Zamawiający określa zestaw sprzętu, oprogramowania i licencji przedstawiony w poniższej tabeli: Numer produktu Opis Ilość ISR4451-X/K9 Cisco ISR 4451 (4GE,3NIM,2SM,8G FLASH,4G DRAM) 1 SL-44-APP-K9 AppX License for Cisco ISR 4400 Series 1 FL-44-PERF-K9 Performance on Demand License for 4400 Series 1 CAB-ACE AC Power Cord (Europe), C13, CEE 7, 1.5M 1 CAB-CONSOLE-USB Console Cable 6 ft with USB Type A and mini-b 1 SISR4400UK9-316S Cisco ISR 4400 Series IOS XE Universal 1 W przypadku oferowania rozwiązania równoważnego urządzenie musi spełniać wyszczególnione niżej wymagania minimalne: Rodzaj urządzenia 1. Musi być urządzeniem pełniącym rolę wielousługowego routera modularnego; 2. Musi mieć możliwość doposażenia o funkcjonalność umożliwiającą optymalizację łączy WAN z wykorzystaniem lokalnej pamięci masowej (np. dysku HDD lub SSD) do utrzymywania kopii obiektów przesyłanych przez łącze WAN; 3. Musi mieć możliwość doposażenia w moduły cyfrowej centrali telefonicznej dla telefonii IP wraz z możliwością zmiany kodowania i manipulacji strumieniami głosowymi; 4. Musi mieć możliwość doposażenia o funkcjonalność IDS/IPS. Architektura 5. Musi pozwalać na instalację co najmniej: a. 3 kart sieciowych z interfejsami, b. 2 modułów usługowych z interfejsami, przy czym moduły usługowe muszą mieć możliwość wyłączenia w celu oszczędzania energii elektrycznej, lub 5 modułów ogólnego przeznaczenia do dowolnego wykorzystania, 4/93

c. 1 wewnętrznego modułu DSP (architektura urządzenia musi dopuszczać możliwość stosowania kart rozszerzeń z dodatkowymi, wbudowanymi modułami DSP) 6. Musi posiadać możliwość bezpośredniej komunikacji pomiędzy modułami z pominięciem głównego procesora jeśli ruch sieciowy nie jest skierowany do routera. 7. Musi posiadać wszystkie interfejsy aktywne. Nie dopuszcza się stosowania kart, w których dla aktywacji interfejsów potrzebne będą dodatkowe licencje lub klucze aktywacyjne i konieczne wniesienie opłat licencyjnych. Np. niedopuszczalne jest stosowanie karty 4-portowej gdzie aktywne są 2 porty, a dla uruchomienia pozostałych konieczne jest wpisanie kodu, który uzyskuje się przez wykupienie licencji na użytkowanie pozostałych portów. 8. Sloty urządzenia przewidziane pod rozbudowę o dodatkowy moduł usługowy muszą mieć możliwość obsadzenia modułami: a. z co najmniej sześcioma portami Gigabit Ethernet (z interfejsami miedzianymi i możliwością instalacji wkładek optycznych SFP), b. z co najmniej czterema portami Gigabit Ethernet (z interfejsami miedzianymi i możliwością instalacji wkładek optycznych SFP), które mogą być stosowane zamiennie z portem 10 Gigabit Ethernet, c. przełącznika Ethernet (funkcje L2 i L3) o całkowitej ilość portów nie mniejszej niż 48 (moduły przełącznika muszą być dostępne również w wersji z zasilaniem PoE), 9. Sloty urządzenia przewidziane pod rozbudowę o dodatkową kartę sieciową muszą mieć możliwość obsadzenia kartami: a. z portami szeregowymi o gęstości co najmniej 4 porty na moduł, b. z interfejsem ISDN PRI o gęstości 1 portu per moduł, 2 portów per moduł, 4 portów per moduł oraz 8 portów per moduł, c. umożliwiającymi instalację dysków SSD (ten wymóg dotyczy jednego slotu) 10. Sloty urządzenia przewidziane pod rozbudowę o moduł z układami DSP muszą mieć możliwość obsadzenia modułami: a. gęstości nie mniejszej niż 256 kanałów b. Pozwalającymi na dynamiczne alokowanie DSP do różnych zadań (osługa interfejsów głosowych, trancoding, conferencing) z granulacją do 1 DSP. c. Obsługującymi kodeki: i. G.711 ii. ClearChannel iii. G.729a iv. G.729ab v. G.726 vi. G.722 vii. G.728 viii. G.729 ix. G.729b x. Internet Low Bit xi. Funkcjonalność FaxRelay xii. Funkcjonalność ModemRelay d. Obsługującymi funkcjonalność transkodowania pomiędzy różnymi typami kodeków e. Obsługującymi kompresję, wykrywanie aktywności głosowej, zarządzenie jitterem i funkcje kasowanie echa (co najmniej 128 ms). Funkcja kasowania echa musi być zgodna ze standardem ITU-T G.168 f. Obsługującymi szyfrowanie transmisji głosu z wykorzystaniem SRTP Oczekiwana wydajność 11. Urządzenie musi oferować dla pakietów unicast IPv4 o długości 64bajtów przepustowość rzędu 1000Mbps bez konieczności posiadania dodatkowych licencji; 12. Urządzenie musi oferować możliwość zwiększenia wydajności do co najmniej 2000Mbps dla pakietów unicast IPv4 o długości 64bajtów bez rozbudowy o dodatkowe moduły sprzętowe np. przez licencyjnie przez odblokowanie wbudowanych zasobów sprzętowych lub jako większa wydajność początkowa routera; 13. Urządzenie musi oferować dla pakietów IMIX przy włączonych usługach szyfrowania z IPSec, przepustowość minimum 900Mbps (minimum 1500Mbps dla przypadku opisanego w punkcie 12). 5/93

Oprogramowanie/funkcjonalność 14. Musi posiadać obsługę protokołów routingu IP BGPv4, OSPFv3, IS-IS, RIPv2 oraz routingu multicastowego PIM (Sparse i SSM) oraz routing statyczny; 15. Protokół BGP musi posiadać obsługę 4 bajtowych ASN; 16. Musi posiadać wsparcie dla mechanizmów związanych z obsługą ruchu multicast: IGMP v3, IGMP Snooping, PIMv2, Bi-directional PIM; 17. Musi posiadać obsługę protokołu IGMPv3 18. Musi obsługiwać mechanizm Unicast Reverse Path Forwarding (urpf) 19. Musi obsługiwać tzw. routing między sieciami VLAN w oparciu o trunking 802.1Q 20. Musi obsługiwać IPv6 w tym ICMP dla IPv6 21. Musi zapewniać obsługę list kontroli dostępu w oparciu o adresy IP źródłowe i docelowe, protokoły IP, porty TCP/UDP, opcje IP, flagi TCP, oraz o wartości TTL 22. Musi zapewniać mechanizmy korelacji zdarzeń związanych z filtracją za pomocą list kontroli dostępu dla syslog (np. za pomocą etykiety przypisanej do określonego wpisu na listach kontroli dostępu lub skrót MD5 generowany przez router) 23. Musi posiadać obsługę NAT dla ruchu IP unicast oraz PAT dla ruchu IP unicast 24. Mechanizm NAT musi zapewniać wsparcie dla H.245 25. Musi posiadać wsparcie dla protokołów WCCP i WCCPv2 26. Musi posiadać obsługę wirtualnych instancji routingu (VRF) - co najmniej 300 instancji VRF 27. Musi posiadać obsługę mechanizmu DiffServ 28. Musi mieć możliwość tworzenia klas ruchu oraz oznaczanie (Marking), klasyfikowanie i obsługę ruchu (Policing, Shaping) w oparciu o klasę ruchu. 29. Musi zapewniać obsługę mechanizmów kolejkowania ruchu: a. z obsługą kolejki absolutnego priorytetu b. ze statyczną alokacją pasma dla typu ruchu c. WFQ 30. Musi obsługiwać mechanizm WRED 31. Musi obsługiwać mechanizm Traffic Shaping 32. Musi obsługiwać mechanizm ograniczania pasma dla określonego typu ruchu 33. Musi obsługiwać protokół GRE oraz zapewniać mechanizm honorowania IP Precendence dla ruchu tunelowanego. 34. Musi obsługiwać protokół NTP 35. Musi obsługiwać DHCP w zakresie Client, Server 36. Musi posiadać obsługę tzw. First Hop Redundancy Protocol (takiego jak HSRP, GLBP, VRRP lub równoważnego) 37. Musi posiadać obsługę mechanizmów uwierzytelniania, autoryzacji i rozliczania (AAA) z wykorzystaniem protokołów RADIUS lub TACACS+ 38. Musi mieć możliwość rozbudowy (przez odpowiednie licencje) o funkcjonalność Bidirectional Forwarding Detection (BFD) lub równoważnej. a. Funkcjonalność BFD musi być dostępna dla intefejsów skonfigurowanych do współpracy z VRF b. Musi obsługiwać funkcjonalność BFD Echo Mode lub równoważną c. Funkcjonalność BFD (lub równoważna) musi posiadać wsparcie dla protokołów BGP, OSPF, IS-IS, routingu statycznego oraz HSRP lub równoważne 39. Musi posiadać funkcjonalność pozwalającą na monitorowanie zdarzeń systemowych i generowania akcji zdefiniowanych przez użytkownika w oparciu o język skryptowy Funkcjonalność języka skryptowego musi pozwalać monitorować zdarzenia związane z konfiguracją poprzez linię poleceń, podsystem SYSLOG, podsystem związany z wymianą modułów w czasie pracy urządzenia, podsystem sprzętowych zegarów, podsystem liczników systemowych 40. Funkcjonalność języka skryptowego musi pozwalać na generowanie akcji: a. Wykonanie komendy z poziomu linii poleceń urządzenia b. Wysłanie krótkiej wiadomości tekstowej poprzez system poczty elektronicznej c. Wykonanie skryptu d. Wygenerowanie SNMP trap e. Ustawienie lub modyfikacja określonego licznika systemowego 41. Musi posiadać funkcjonalność PPPoE 42. Musi mieć możliwość rozbudowy (poprzez odpowiednie licencje) o funkcjonalność automatycznej optymalizacji routingu. Funkcjonalność musi posiadać wsparcie dla: a. Optymalizacji ruchu przychodzącego z wykorzystaniem rozgłaszania informacji BGP do zewnętrznych routerów (BGP external peers) 6/93

b. Optymalizacji ruchu głosowego c. Optymalizacji w oparciu o informację z protokołów warstw wyższych (protokoły i porty UDP/TCP) 43. Musi możliwość rozbudowy (poprzez odpowiednie licencje) o wsparcie dla Layer-2 Tunneling Protocol Version 3. 44. Urządzenie musi posiadać możliwość integracji z centralnym systemem zarządzania, monitorowania, konfiguracji jak również troubleshootingu 45. Urządzenie musi umożliwiać obsługę przez zcentralizowany system zarządzania w celu zmiany wersji systemu operacyjnego. 46. Musi posiadać funkcjonalności MPLS: a. Egress LER b. Ingress LER c. MPLS over GRE d. QoS dla MPLS e. MPLS Traffic Engineering f. MPLS VPN g. Multicast dla MPLS VPN h. Any Transport over MPLS Graceful Restart 47. Urządzenie mieć możliwość rozbudowy w oparciu o licencje o funkcjonalność akceleratora ruchu sieciowego. Zakres funkcjonalny funkcji akceleratora sieciowego musi obejmować: a. Kompresja ruchu np. algorytmem LZ; b. Optymalizacja połączeń TCP c. Deduplikacja ruchu sieciowego d. Wsparcie dla obsługi minimum 750 sesji TCP e. Musi współpracować z centralnym systemem zarządzania optymalizatorami ruchu sieciowego oferującym centralny punkt konfiguracji, monitorowania w czasie rzeczywistym, zarządzania błędami i raportowania f. Wsparcie dla akceleracji poniższych aplikacji: i. CIFS (SMBv2) ii. NFSv3 iii. Exchange 2003/2007/2010 (MAPI) iv. Encrypted MAPI v. Microsoft SQL vi. Oracle vii. SSL viii. HTTP ix. Microsoft Office 365 48. Musi mieć możliwość rozbudowy w oparciu o licencje o funkcjonalności bezpieczeństwa (nie dopuszcza się wymiany oprogramowania w celu realizacji funkcjonalności): a. IPSec VPN, b. funkcjonalność szyfrowania połączeń z wykorzystaniem algorytmów DES/3DES/AES, c. algorytmy IPSec następnej generacji oparte o krzywe eliptyczne (RFC 4869), w szczególności: i. Elliptic Curve Diffie-Hellman (ECDH), ii. Galois Counter Mode Advanced Encryption Standard (GCM-AES) 128/256 bitów, iii. Galois Message Authentication Code (GMAC-AES) 128/256 bitów, iv. Elliptic Curve Digital Signature Algorithm (ECDSA) dla IKEv2, d. możliwość konfiguracji tuneli IPSec VPN w oparciu o protokół IKEv2 (Internet Key Exchange v2). Wsparcie dla IKEv2 zarówno dla VPN typu site-2-site jak i dynamicznych, dla ruchu IPv4 oraz IPv6, e. funkcjonalność VPN musi wspierać tworzenie niezależnych VPN (w tym różnego typu: site-2-site, dynamicznych) per VRF, f. technologia umożliwiająca szyfrowanie IPSec ruchu unicast IPv4 bez konieczności tworzenia tuneli, z wykorzystaniem z użyciem protokołu Group Domain of Interpretation (GDOI) zdefiniowanego w RFC 3547, w tym: i. mechanizm pasywnego IPSec SA, w którym urządzenie akceptuje zaszyfrowany i niezaszyfrowany ruch przychodzący, ale wysyła zawsze ruch zaszyfrowany, 7/93

ii. mechanizm fail-close, w którym urządzenie nie wysyła ruchu, w sytuacji kiedy miałby on pozostać niezaszyfrowany w przypadku kiedy urządzenie jest niezarejestrowane w sieci VPN, iii. mechanizm współdzielenia kluczy przez redundantne serwery kluczy, iv. mechanizm zmiany podstawowego serwera kluczy (Key Server) w scenariuszu z wysoką dostępnością serwerów kluczy, g. funkcja zapory sieciowej z analizą stanów połączenia (tzw. statefull firewall), h. funkcjonalność zapory sieciowej dla protokołu IPv4 i IPv6 opartej o definicję stref bezpieczeństwa (zone-based firewall), i. możliwość elastycznej definicji scenariuszy przesyłu IPv4 i IPv6 pomiędzy różnymi strefami, w tym: i. przesyłu, który jest poddawany inspekcji, ii. przesyłu, który jest odrzucany, iii. przesyłu, który jest przenoszony bez inspekcji, j. ochrona centralnego procesora urządzenia (CPU) przed atakiem Denial of Service (DoS) poprzez możliwość klasyfikowania i limitowania ruchu docierającego do CPU, k. możliwość logowania pakietów przekraczających skonfigurowane limity ruchu docierającego do CPU, l. możliwość wymuszenia reguł złożoności haseł tworzonych na urządzeniu, m. w przypadku modułu przełącznika, działającego jako urządzenie dostępowe RADIUS (NAD - Network Access Devices), wsparcie funkcjonalności 802.1x. n. Dynamic Multipoint VPN (DMVPN) 49. Musi umożliwiać rozbudowe w oparciu o licencje o funkcjonalności w zakresie VoIP (nie dopuszcza się wymiany oprogramowania w celu realizacji funkcjonalności): a. funkcjonalność procesowania połączeń telefonii IP (funkcja serwera zestawiającego połączenia) dla co najmniej 100 abonentów (na obecnym etapie nie jest wymagane dostarczenie tej funkcjonalności ale Zamawiający zastrzega możliwość rozbudowy w przyszłości w oparciu o dodatkowe licencje), b. funkcjonalność podtrzymywania komunikacji telefonów IP przy utracie komunikacji z centralnym systemem procesowania połączeń dla co najmniej 25 abonentów z możliwością rozbudowy do co najmniej 100 c. funkcjonalność sondy (nadajnik i odbiornik) do mierzenia parametrów ruchu dla protokołów IP oraz VoIP (pomiar jakości poprzez symulację kodeków VoIP i mierzenie parametrów opóźnienia tam i z powrotem (roundtrip), jitter i utraty pakietów), d. możliwość pracy jako brama VoIP/PSTN z wykorzystaniem interfejsów PRI/BRI lub analogowych. Brama musi mieć możliwość pracy w sposób niezależny lub sterowana przez system centralny procesowania połączeń. e. Możliwość pracy jako tak zwany Session Border Controller. Urządzenie musi być dostarczone z niezbędnymi licencjami do uruchomienia co najmniej 30 sesji. f. Możliwość instalacji modułów DSP o dużej gęstości (do 1000 DSP). Zarządzanie i konfiguracja 50. Musi być zarządzalne za pomocą SNMPv3 51. Musi mieć możliwość eksportu statystyk ruchowych za pomocą protokołu Neftflow/JPFlow lub równoważnego 52. Musi być konfigurowalne za pomocą interfejsu linii poleceń (ang. Command Line Interface CLI) jak również interfejsu graficznego (GUI) 53. Plik konfiguracyjny urządzenia (w szczególności plik konfiguracji parametrów routingu) musi pozwalać na edycję w trybie off-line, tzn. musi być możliwość przeglądania i zmian konfiguracji w pliku tekstowym na dowolnym komputerze. Po zapisaniu konfiguracji w pamięci nieulotnej powinno być możliwe uruchomienie urządzenia z nowa konfiguracją. W pamięci nieulotnej musi być możliwość przechowywania dowolnej ilości plików konfiguracyjnych. Zmiany aktywnej konfiguracji muszą być widoczne natychmiastowo - nie dopuszcza się częściowych restartów urządzenia po dokonaniu zmian. 54. Musi umożliwiać konfigurację zgodnie z dokumentami z zaleceniami do konfiguracji routerów (Security Guide, Hardening Guide) wydawanymi przez NATO NCI Agency. Obudowa 55. Musi być wykonana z metalu. 56. Musi mieć możliwość montażu w szafie 19 i musi zostać dostarczone z umożliwiającym to zestawem montażowym. 8/93

Zasilanie 57. Urządzenie musi mieć możliwość zasilania ze źródeł zmiennoprądowych 230V (zasilacze AC) 58. Urządzenie musi posiadać wbudowany zasilacz umożliwiający zasilanie prądem przemiennym 230V. Nie dopuszcza się stosowania zewnętrznych zasilaczy 59. Urządzenie musi umożliwiać doprowadzenie zasilania do portów Ethernet (tzw. inlinepower) - w modułach sieciowych dostępnych do urządzenia. Na tym etapie Zamawiający nie wymaga dostarczenia takiego zasilacza ale pozostawia sobie możliwość zamówienia w przyszłości. Wyposażenie 60. Licencja opisana w punkcie 12 (lub odpowiednia wydajność początkowa). 61. Urządzenie musi być wyposażone w minimum 4 interfejsy wbudowane Gigabit Ethernet 10/100/1000 dla realizacji połączenia do sieci WAN\LAN, 62. Interfejsy opisane powyżej muszą mieć możliwość pracy w trybie dual-physical z portem RJ45 i gigabitowym portem światłowodowym definiowanym przez moduł SFP. 63. Urządzenie musi być wyposażone w minimum 8GB pamięci Flash i mieć możliwość rozbudowy do co najmniej 32GB 64. Urządzenie musi być wyposażone w minimum 4GB pamięci RAM z możliwością rozbudowy do co najmniej 16GB 65. Urządzenie musi być wyposażone w minimum jeden port USB. Port musi pozwalać na podłączenie zewnętrznych pamięci FLASH w celu przechowywania obrazów systemu operacyjnego, plików konfiguracyjnych lub certyfikatów elektronicznych 66. Musi posiadać port konsoli szeregowej USB. 67. Urządzenie musi być dostarczone z kablami pozwalającymi na podłączenie konsoli USB, jak również kablami zasilającymi. B.3 Router typu IP AE. Jako urządzenie referencyjne Router typu IP AE spełniające wymagania opisane w punktach od 1 do 44 Zamawiający określa zestaw sprzętu, oprogramowania i licencji przedstawiony w poniższej tabeli: Numer produktu Opis Ilość ASR1006-X Cisco ASR1006-X Chassis 1 ASR1000X-FAN Cisco ASR1000-X Fan Module 2 ASR1000-ESP40 Cisco ASR1000 Embedded Services Processor, 40G 2 ASR1000-RP2 Cisco ASR1000 Route Processor 2, 8GB DRAM 1 M-ASR1K-RP2-8GB Cisco ASR1000 RP2 8GB DRAM 1 M-ASR1K-HDD-80GB Cisco ASR1000 RP2 80GB HDD 1 SASR1R2-AESK9-316S Cisco ASR 1000 Series RP2 ADV ENT SERVICES 1 ASR1000-RP2 Cisco ASR1000 Route Processor 2, 8GB DRAM 1 M-ASR1K-RP2-8GB Cisco ASR1000 RP2 8GB DRAM 1 M-ASR1K-HDD-80GB Cisco ASR1000 RP2 80GB HDD 1 ASR1000-6TGE ASR1000 6 port 10 GE Line Card 1 ASR1000-2T+20X1GE ASR1000 2 port 10GE, 20-port GE Line Card 1 XFP-10G-MM-SR 10GBASE-SR XFP Module 6 GLC-LH-SMD 1000BASE-LX/LH SFP transceiver module MMF/SMF 1310nm DOM 2 GLC-SX-MMD 1000BASE-SX SFP transceiver module MMF 850nm DOM 4 GLC-TE 1000BASE-T SFP transceiver module for Category 5 copper wire 14 ASR1KX-AC-1100W-D Cisco ASR1000-X 1100W AC Default Power Supply 2 CAB-ACE AC Power Cord (Europe), C13, CEE 7, 1.5M 2 W przypadku oferowania rozwiązania równoważnego urządzenie musi spełniać wyszczególnione niżej wymagania minimalne: Architektura 1. Musi być urządzeniem modularnym, umożlwiającym obsadzenie co najmniej 8 modułów adapterów. 9/93

2. Musi mieć możliwość redundancji kluczowych komponentów odpowiedzialnych za control plane i data plane (redundancja na poziomie sprzętowym tzn. możliwość instalacji dwóch lub więcej modułów np. tzw. route procesorów) 3. Router musi posiadać osobne komponenty sprzętowe odpowiedzialne za obsługę control plane i data plane 4. Musi mieć możliwość rozszerzenia o adaptery: a. Interfejsów ATM (ze sprzętowym wsparciem dla przekazywania pakietów IPv4, IPv6 i MPLS (L3VPN oraz AToM lub pseudowire edge-to-edge emulation 3), których interfejs fizyczny jest definiowany w oparciu o wkładki SFP. Adapter musi być dostępny w wersjach OC-3/STM-1 (co najmniej 3 porty) oraz OC-12/STM-4. b. Interfejsów channelized T1/E1 z fizycznym konektorem RJ-45, ze zintegrowanym CSU/DSU i impedancją 120 Ohm (z możliwością konwersji do 75 Ohm). Adapter musi być dostępny z gęstością co najmniej 8 portów c. Interfejsów T3/E3 z gęstością co najmniej 4 portów d. Interfejsów szeregowych, których fizyczny interfejs jest definiowany za pomocą kabla. Adapter musi być dostępny z gęstością co najmniej 4 portów. e. Interfejsów 10Gigabit Ethernet (L3) z gęstością co najmniej 1 port f. Interfejsów Gigabit Ethernet (L3) z interfejsem fizycznym definiowanym z wykorzystaniem wkładek SFP. Adapter musi być dostępny z gęstością co najmniej 10 portów. g. Interfejsów Packet Over Sonet OC3c/STM-1c z gęstością co najmniej 4 portów, OC12/STM4 z gęstością co najmniej 8 portów, OC48/STM16 z gęstością co najmniej 4 portów, OC-192c/STM-64c h. Musi umożliwiać wymianę modułów w trakcie pracy (ang. hot swap). i. Musi posiadać wbudowany sprzętowy moduł akceleracji szyfrowania. Oprogramowanie/funkcjonalność 5. Musi posiadać modularny system operacyjny umożliwiający aktualizację poszczególnych modułów programowych niezależnie od siebie. 6. Musi pozwalać na bezprzerwową aktualizację oprogramowania (tzw. In-Service Software Upgrade lub odpowiednik) 7. Musi mieć możliwość uruchomienia oprogramowania lub rozszerzenia w oparciu o licencje) z funkcjonalnością dynamicznych tuneli VPN (hub-to-spoke oraz spoke-to-spoke). 8. Musi obsługiwać funkcjonalność NHRP. 9. Musi obsługiwać co najmniej 4 000 tuneli GRE. 10. Musi obsługiwać co najmniej 3 500 000 prefiksów w tablicach routingu IPv4 lub 3 000 000 prefiksów w tablicach routingu IPv6 11. Musi obsługiwać co najmniej 100 000 prefiksów w tablicach routingu multicast i co najmniej 4 000 grup 12. Musi obsługiwać routing dynamiczny: RIP, OSPF, BGP. 13. Musi wspierać IPv4 oraz IPv6, w szczególności protokoły routingu RIPng oraz OSPFv3. 14. Musi posiadać wsparcie dla MPLS i MPLS VPN. 15. Musi być w stanie obsłużyć co najmniej 4000 instancji VRF (Virtual Route Forwarding) 16. Musi mieć możliwość uruchomienia oprogramowania (lub rozszerzenia w oparciu o licencje) z funkcjonalnością zapory ogniowej typu statefull (ang. statefull firewall) ze wsparciem dla stref. 17. Musi mieć możliwość uruchomienia oprogramowania (lub rozszerzenia w oparciu o licencje) z funkcjonalnością analizy i klasyfikacji pakietów w warstwie 2-7 polegającą na przeszukiwaniu pakietów pod kątem zawierania specyficznych ciągów znaków i wykrywania na tej podstawie ataków. 18. Musi posiadać sprzętową ochrona warstwy zarządzającej (Control Plane Policing) 19. Musi obsługiwać co najmniej 4 000 ACL (Access Control Lists) i 100 000 wpisów ACE (Access Control Entries) 20. Musi wspierać multicast w szczególności: PIM sparse/dense/ssm/bi-directional, IGMP, MLDv2 21. Musi obsługiwać RPF (Reverse Path Forwarding) 22. Musi obsługiwać zarządzanie ruchem (QoS): a. Minimum 128 000 kolejek per system b. Minimum 4000 polityk c. Hierarchiczne polityki (Hierarchical QoS), 3 poziomy hierarchii d. Dokładność na poziomie 8kbps w politykach QoS e. Latency (czas przejścia pakietu przez urządzenie) dla ruchu priorytetowego na poziomie 100 mikrosekund f. Dwie kolejki priorytetowe LLQ per polityka g. Musi obsługiwać funkcjonalność Sflow lub odpowiednik (J-Flow, Net-Flow) 10/93

23. Musi posiadać funkcjonalność VRRP lub odpowiednika. 24. Musi obsługiwać funkcjonalność LIS. Oczekiwana wydajność 25. Urządzenie musi oferować wydajność przesyłania pakietów co najmniej 40Mpps 26. Musi zapewniać wydajność co najmniej 10 Mpps dla ruchu unicastowego przy włączonych zaawansowanych usługach (QoS, IP Fowarding, IP Multicast, RPF, load-balancing i sampled Netflow) 27. W przypadku uruchomienia oprogramowania z funkcjami firewall musi zapewniać przepustowość 35Gbps dla funkcjonalności Firewall/NAT z obsługą 2 000 000 sesji (200 000 sesji na sekundę) 28. W przypadku uruchomienia oprogramowania z funkcjami szyfrowania musi zapewniać co najmniej 12Gbps dla VPN (AES256) i co najmniej4 000 tuneli IPSec (urządzenie musi być przygotowane sprzętowo do obsługi co najmniej 8 000 IPSec bez konieczności rozbudowy). Zarządzanie i konfiguracja 29. Musi umożliwiać zarządzanie poprzez: CLI (Telnet, SSHv2, port konsoli), SNMPv3 30. Musi posiadać port konsoli szeregowej 31. Musi posiadać wsparcie dla systemów AAA (Radius) 32. Urządzenie musi posiadać możliwość pobrania konfiguracji do zewnętrznego komputera typu PC, w formie tekstowej. Konfiguracja po dokonaniu edycji poza urządzeniem może być ponownie zaimportowana do urządzenia i uruchomiona. 33. Urządzenie musi posiadać możliwość wyszukiwania fragmentów konfiguracji z linii poleceń urządzenia, dzięki stosowaniu wyrażeń-filtrów. 34. Musi umożliwiać konfigurację zgodnie z dokumentami z zaleceniami do konfiguracji routerów (Security Guide, Hardening Guide) wydawanymi przez NATO NCI Agency. Obudowa 35. Urządzenie musi przystosowane do montażu w szafie 19, obudowa wykonana z metalu Zasilanie 36. Musi posiadać redundantne zasilacze przystosowane do zasilania prądem naprzemiennym 230V 37. Dla platformy muszą być dostępne zarówno zasilacze AC jak i DC Wyposażenie 38. Musi być wyposażony w redundantne moduły odpowiedzialne za zarządzanie i control plane 39. Musi być wyposażony w redundantne moduły odpowiedzialne za data plane 40. Musi posiadać moduł (kartę) 10 Gigabit Ethernet, z co najmniej 6 portami 10 GE na wkładki (interfejsy) XFP, obsadzoną wkładkami XFP w ilości co najmniej: a. 4 x 10GBASE-SR 41. Musi posiadać moduł (kartę) 10/1 Gigabit Ethernet, z co najmniej 2 portami 10 GE na wkładki XFP oraz co najmniej 20 portami 1GE na wkładki SFP, obsadzoną wkładkami (interfejsami) w ilości co najmniej: a. 2 x 10GBASE-SR (XFP) b. 2 x 1000BASE-LX (SFP) c. 4 x 1000BASE-SX (SFP) d. 14 x 1000BASE-T (SFP) 42. Musi być wyposażony w co najmniej 8 GB pamięci RAM (musi być możliwość rozbudowy pamięci do co najmniej 16 GB) 43. Musi być wyposażony w dysk twardy lub dysk SSD o pojemności co najmniej 80GB do przechowywania obrazów systemu operacyjnego, konfiguracji oraz logów systemowych. 44. Musi posiadać niezbędne licencje do uruchomienia trybu wysokiej dostępności (jeśli są wymagane do uruchomienia takiej funkcjonalności). 11/93

B.4 Router typu N A. Jako urządzenie referencyjne Router typu N A spełniające wymagania opisane w punktach od 1 do 62 Zamawiający określa zestaw sprzętu, oprogramowania i licencji przedstawiony w poniższej tabeli: Numer produktu Opis Ilość ISR4331-SEC/K9 Cisco ISR 4331 Sec bundle w/sec license 1 SL-4330-IPB-K9 IP Base License for Cisco ISR 4330 Series 1 GLC-SX-MMD 1000BASE-SX SFP transceiver module, MMF, 850nm, DOM 2 PWR-4330-AC AC Power Supply for Cisco ISR 4330 1 CAB-ACE AC Power Cord (Europe), C13, CEE 7, 1.5M 1 NIM-BLANK Blank faceplate for NIM slot on Cisco ISR 4400 2 SM-S-BLANK Removable faceplate for SM slot on Cisco 2900,3900,4400 ISR 1 MEM-4300-4G 4G DRAM (2G+2G) for Cisco ISR 4330, 4350 1 MEM-FLSH-4G 4G Flash Memory for Cisco ISR 4300 (Soldered on motherboard) 1 SL-4330-SEC-K9 Security License for Cisco ISR 4330 Series 1 SISR4300UK9-313S Cisco ISR 4300 Series IOS XE Universal 1 FL-4330-HSEC-K9 U.S. Export Restriction Compliance license for 4330 series 1 CAB-CONSOLE-USB Console Cable 6 ft with USB Type A and mini-b 1 W przypadku oferowania rozwiązania równoważnego urządzenie musi spełniać wyszczególnione niżej wymagania minimalne: Rodzaj urządzenia 1. Musi być urządzeniem pełniącym rolę wielousługowego routera modularnego; 2. Musi mieć możliwość doposażenia o funkcjonalność umożliwiającą optymalizację łączy WAN z wykorzystaniem lokalnej pamięci masowej (np. dysku HDD lub SSD) do utrzymywania kopii obiektów przesyłanych przez łącze WAN; 3. Musi mieć możliwość doposażenia w moduły cyfrowej centrali telefonicznej dla telefonii IP wraz z możliwością zmiany kodowania i manipulacji strumieniami głosowymi; 4. Musi mieć możliwość doposażenia o funkcjonalność IDS/IPS. Architektura 5. Musi pozwalać na instalację co najmniej: a. jednego modułu rozszerzeń takich jak moduły przełącznika, serwera b. 2 kart sieciowych z interfejsami z możliwością wyłączenia modułu w celu oszczędności energii c. 1 wewnętrznego modułu DSP z możliwością wyłączenia modułu w celu oszczędności energii 6. Musi posiadać możliwość bezpośredniej komunikacji pomiędzy modułami z pominięciem głównego procesora jeśli ruch sieciowy nie jest skierowany do routera. 7. Musi posiadać wszystkie interfejsy aktywne. Nie dopuszcza się stosowania kart, w których dla aktywacji interfejsów potrzebne będą dodatkowe licencje lub klucze aktywacyjne i konieczne wniesienie opłat licencyjnych. Np. niedopuszczalne jest stosowanie karty 4-portowej gdzie aktywne są 2 porty, a dla uruchomienia pozostałych konieczne jest wpisanie kodu, który uzyskuje się przez wykupienie licencji na użytkowanie pozostałych portów. 8. Sloty urządzenia przewidziane pod rozbudowę muszą mieć możliwość obsadzenia modułami: a. z cyfrowymi interfejsem T1/E1 dla ruchu głosowego lub ruchu typu channelized z gęstością interfejsów nie mniejszą niż 4 portów T1/E1; b. z interfejsami szeregowymi WAN, w liczbie min. 4 porty na moduł; c. interfejsów głosowych analogowych (FSX/FXO) z gęstością minimum 4 porty FXO lub 4 porty FXS na moduł; d. z dyskiem twardym SSD e. przełącznika Ethernet (funkcje L2 i L3), oczekiwana liczba portów przełącznika nie może być mniejsza niż 8 dla jednego modułu. Porty przełącznika muszą być dostępne również w wersji z zasilaniem PoE; f. umożliwiającym komunikację po sieci komórkowej w technologii 3G/4G (LTE); 12/93

g. z portem VDSL2 / ADSL2+ over POTS; h. z portem VDSL2 / ADSL2+ over POTS / Annex M; i. z portem VDSL2 / ADSL2+ over ISDN; j. z układami DSP; 9. Sloty urządzenia przewidziane pod rozbudowę o moduł z układami DSP muszą mieć możliwość obsadzenia modułami: a. gęstości nie mniejszej niż 256 kanałów b. Pozwalającymi na dynamiczne alokowanie DSP do różnych zadań (osługa interfejsów głosowych, trancoding, conferencing). c. Obsługującymi kodeki: i. G.711 ii. ClearChannel iii. G.729a iv. G.729ab v. G.726 vi. G.722 vii. G.728 viii. G.729 ix. G.729b x. Internet Low Bit xi. Funkcjonalność FaxRelay xii. Funkcjonalność ModemRelay d. Obsługującymi funkcjonalność transkodowania pomiędzy różnymi typami kodeków e. Obsługującymi kompresję, wykrywanie aktywności głosowej, zarządzenie jitterem i funkcje kasowanie echa (co najmniej 128 ms). Funkcja kasowania echa musi być zgodna ze standardem ITU-T G.168 f. Obsługującymi szyfrowanie transmisji głosu z wykorzystaniem SRTP. Oczekiwana wydajność 10. Urządzenie musi oferować dla pakietów unicast IPv4 o długości 64bajtów przepustowość rzędu 100Mbps; 11. Urządzenie musi oferować możliwość zwiększenia wydajności do co najmniej 300Mbps dla pakietów unicast IPv4 o długości 64bajtów bez rozbudowy o dodatkowe moduły sprzętowe np. przez licencyjnie przez odblokowanie wbudowanych zasobów sprzętowych lub jako większa wydajność początkowa routera; 12. Urządzenie musi oferować dla pakietów IMIX przy włączonych usługach szyfrowania z IPSec, szczegółowej analizy aplikacji w warstwie 7, kontroli jakości usługi QoS o przepustowości minimum 90Mbps. Oprogramowanie/funkcjonalność 13. Musi posiadać obsługę protokołów routingu IP BGPv4, OSPFv3, IS-IS, RIPv2 oraz routingu multicastowego PIM (Sparse i SSM) oraz routing statyczny; 14. Protokół BGP musi posiadać obsługę 4 bajtowych ASN; 15. Musi posiadać wsparcie dla mechanizmów związanych z obsługą ruchu multicast: IGMP v3, IGMP Snooping, PIMv2, Bi-directional PIM; 16. Musi posiadać obsługę protokołu IGMPv3 17. Musi obsługiwać mechanizm Unicast Reverse Path Forwarding (urpf) 18. Musi obsługiwać tzw. routing między sieciami VLAN w oparciu o trunking 802.1Q 19. Musi obsługiwać IPv6 w tym ICMP dla IPv6 20. Musi zapewniać obsługę list kontroli dostępu w oparciu o adresy IP źródłowe i docelowe, protokoły IP, porty TCP/UDP, opcje IP, flagi TCP, oraz o wartości TTL 21. Musi zapewniać mechanizmy korelacji zdarzeń związanych z filtracją za pomocą list kontroli dostępu dla syslog (np. za pomocą etykiety przypisanej do określonego wpisu na listach kontroli dostępu lub skrót MD5 generowany przez router) 22. Musi posiadać obsługę NAT dla ruchu IP unicast oraz PAT dla ruchu IP unicast 23. Mechanizm NAT musi zapewniać wsparcie dla H.245 24. Musi posiadać wsparcie dla protokołów WCCP i WCCPv2 25. Musi posiadać obsługę wirtualnych instancji routingu (VRF) - co najmniej 300 instancji VRF 26. Musi posiadać obsługę mechanizmu DiffServ 27. Musi mieć możliwość tworzenia klas ruchu oraz oznaczanie (Marking), klasyfikowanie i obsługę ruchu (Policing, Shaping) w oparciu o klasę ruchu. 28. Musi zapewniać obsługę mechanizmów kolejkowania ruchu: a. z obsługą kolejki absolutnego priorytetu 13/93

b. ze statyczną alokacją pasma dla typu ruchu c. WFQ 29. Musi obsługiwać mechanizm WRED 30. Musi obsługiwać mechanizm Traffic Shaping 31. Musi obsługiwać mechanizm ograniczania pasma dla określonego typu ruchu 32. Musi obsługiwać protokół GRE oraz zapewniać mechanizm honorowania IP Precendence dla ruchu tunelowanego. 33. Musi obsługiwać protokół NTP 34. Musi obsługiwać DHCP w zakresie Client, Server 35. Musi posiadać obsługę tzw. First Hop Redundancy Protocol (takiego jak HSRP, GLBP, VRRP lub równoważnego) 36. Musi posiadać obsługę mechanizmów uwierzytelniania, autoryzacji i rozliczania (AAA) z wykorzystaniem protokołów RADIUS lub TACACS+ 37. Musi posiadać możliwość rozbudowy funkcjonalność pozwalającą na monitorowanie zdarzeń systemowych i generowania akcji zdefiniowanych przez użytkownika w oparciu o język skryptowy Funkcjonalność języka skryptowego musi pozwalać monitorować zdarzenia związane z konfiguracją poprzez linię poleceń, podsystem SYSLOG, podsystem związany z wymianą modułów w czasie pracy urządzenia, podsystem sprzętowych zegarów, podsystem liczników systemowych 38. Funkcjonalność języka skryptowego musi pozwalać na generowanie akcji: a. Wykonanie komendy z poziomu linii poleceń urządzenia b. Wysłanie krótkiej wiadomości tekstowej poprzez system poczty elektronicznej c. Wykonanie skryptu d. Wygenerowanie SNMP trap e. Ustawienie lub modyfikacja określonego licznika systemowego 39. Musi posiadać funkcjonalność PPPoE 40. Musi mieć możliwość rozbudowy (poprzez odpowiednie licencje) o funkcjonalność automatycznej optymalizacji routingu. Funkcjonalność musi posiadać wsparcie dla: a. Optymalizacji ruchu przychodzącego z wykorzystaniem rozgłaszania informacji BGP do zewnętrznych routerów (BGP external peers) b. Optymalizacji ruchu głosowego c. Optymalizacji w oparciu o informację z protokołów warstw wyższych (protokoły i porty UDP/TCP) 41. Urządzenie musi posiadać możliwość integracji z centralnym systemem zarządzania, monitorowania, konfiguracji jak również troubleshootingu 42. Urządzenie musi umożliwiać obsługę przez zcentralizowany system zarządzania w celu zmiany wersji systemu operacyjnego. 43. Musi oferować zaawansowane funkcjonalności bezpieczeństwa a. Zone Based Firewall (ZBF), b. IPSec VPN, c. Dynamic Multipoint VPN (DMVPN) d. FlexVPN lub odpowiednik e. Wsparcie dla NG Encryption (Suite B). Zarządzanie i konfiguracja 44. Musi być zarządzalne za pomocą SNMPv3 45. Musi mieć możliwość eksportu statystyk ruchowych za pomocą protokołu Neftflow/JPFlow lub równoważnego 46. Musi być konfigurowalne za pomocą interfejsu linii poleceń (ang. Command Line Interface CLI) jak również interfejsu graficznego (GUI) 47. Plik konfiguracyjny urządzenia (w szczególności plik konfiguracji parametrów routingu) musi pozwalać na edycję w trybie off-line, tzn. musi być możliwość przeglądania i zmian konfiguracji w pliku tekstowym na dowolnym komputerze. Po zapisaniu konfiguracji w pamięci nieulotnej powinno być możliwe uruchomienie urządzenia z nowa konfiguracją. W pamięci nieulotnej musi być możliwość przechowywania dowolnej ilości plików konfiguracyjnych. Zmiany aktywnej konfiguracji muszą być widoczne natychmiastowo - nie dopuszcza się częściowych restartów urządzenia po dokonaniu zmian. 48. Musi umożliwiać konfigurację zgodnie z dokumentami z zaleceniami do konfiguracji routerów (Security Guide, Hardening Guide) wydawanymi przez NATO NCI Agency. Obudowa 49. Musi być wykonana z metalu. 14/93

50. Musi mieć możliwość montażu w szafie 19 i musi zostać dostarczone z umożliwiającym to zestawem montażowym. Zasilanie 51. Urządzenie musi mieć możliwość zasilania ze źródeł zmiennoprądowych 230V (zasilacze AC) 52. Urządzenie musi posiadać wbudowany zasilacz umożliwiający zasilanie prądem przemiennym 230V. Nie dopuszcza się stosowania zewnętrznych zasilaczy 53. Urządzenie musi umożliwiać doprowadzenie zasilania do portów Ethernet (tzw. inlinepower) - w modułach sieciowych dostępnych do urządzenia. Na tym etapie Zamawiający nie wymaga dostarczenia takie zasilacza ale pozostawia sobie możliwość zamówienia w przyszłości. Wyposażenie 54. Urządzenie musi być wyposażone w minimum 3 interfejsy Gigabit Ethernet 10/100/1000 dla realizacji połączenia do sieci LAN, w tym minimum dwa interfejsy muszą być wbudowane 55. Jeden z interfejsów opisanych powyżej muszą mieć możliwość pracy w trybie dualphysical z portem RJ45 lub gigabitowym portem światłowodowym definiowanym przez moduł GBIC lub SFP. 56. Dwa interfejsy muszą być obsadzone wkładkami w standardzie 1000BaseSX 57. Urządzenie musi być wyposażone w minimum 4GB pamięci Flash i mieć możliwość rozbudowy do co najmniej 16GB 58. Urządzenie musi być wyposażone w minimum 4GB pamięci RAM z możliwością rozbudowy do co najmniej 16GB 59. Urządzenie musi być wyposażone w minimum jeden port USB. Port musi pozwalać na podłączenie zewnętrznych pamięci FLASH w celu przechowywania obrazów systemu operacyjnego, plików konfiguracyjnych lub certyfikatów elektronicznych 60. Musi posiadać port konsoli szeregowej USB. 61. Urządzenie musi być dostarczone z kablami pozwalającymi na podłączenie zarówno konsoli USB, jak również kablami zasilającymi. 62. Musi być dostarczony z licencjami niezbędnymi do uruchomienia szyfrowania i zestawiania tuneli IPSec w ilości większej niż 225, z przepustowością większą niż 85Mbps. B.5 Router typu U V. Jako urządzenie referencyjne Router typu U V spełniające wymagania opisane w punktach od 1 do 67 Zamawiający określa zestaw sprzętu, oprogramowania i licencji przedstawiony w poniższej tabeli: Numer produktu Opis Ilość Produkt Opis Ilość ISR4331-V/K9 Cisco ISR 4331 UC Bundle, PVDM4-32, UC License, CUBEE10 1 SL-4330-IPB-K9 IP Base License for Cisco ISR 4330 Series 1 SL-4330-UC-K9 Unified Communication License for Cisco ISR 4330 Series 1 PWR-4330-AC AC Power Supply for Cisco ISR 4330 1 CAB-ACE AC Power Cord (Europe), C13, CEE 7, 1.5M 1 CAB-CONSOLE-USB Console Cable 6 ft with USB Type A and mini-b 1 MEM-4300-4G 4G DRAM (2G+2G) for Cisco ISR 4330, 4350 1 MEM-FLSH-4G 4G Flash Memory for Cisco ISR 4300 (Soldered on motherboard) 1 FL-CUBEE-5 Unified Border Element Enterprise License - 5 sessions 2 NIM-BLANK Blank faceplate for NIM slot on Cisco ISR 4400 1 SM-S-BLANK Removable faceplate for SM slot on Cisco 2900,3900,4400 ISR 1 SISR4300UK9-313S Cisco ISR 4300 Series IOS XE Universal 1 FL-CME Cisco Communications Manager Express License 1 FL-CME-SRST-25 Communication Manager Express or SRST - 25 seat license 1 FL-CUBEE-25 Unified Border Element Enterprise License - 25 sessions 1 NIM-1MFT-T1/E1 1 port Multiflex Trunk Voice/Clear-channel Data T1/E1 Module 1 15/93

W przypadku oferowania rozwiązania równoważnego urządzenie musi spełniać wyszczególnione niżej wymagania minimalne: Rodzaj urządzenia 1. Musi być urządzeniem pełniącym rolę wielousługowego routera modularnego; 2. Musi mieć możliwość doposażenia o funkcjonalność umożliwiającą optymalizację łączy WAN z wykorzystaniem lokalnej pamięci masowej (np. dysku HDD lub SSD) do utrzymywania kopii obiektów przesyłanych przez łącze WAN; 3. Musi mieć możliwość doposażenia w moduły cyfrowej centrali telefonicznej dla telefonii IP wraz z możliwością zmiany kodowania i manipulacji strumieniami głosowymi; 4. Musi mieć możliwość doposażenia o funkcjonalność IDS/IPS. Architektura 5. Musi pozwalać na instalację co najmniej: a. jednego modułu rozszerzeń takich jak moduły przełącznika, serwera b. 2 kart sieciowych z interfejsami z możliwością wyłączenia modułu w celu oszczędności energii c. 1 wewnętrznego modułu DSP z możliwością wyłączenia modułu w celu oszczędności energii 6. Musi posiadać możliwość bezpośredniej komunikacji pomiędzy modułami z pominięciem głównego procesora jeśli ruch sieciowy nie jest skierowany do routera. 7. Musi posiadać wszystkie interfejsy aktywne. Nie dopuszcza się stosowania kart, w których dla aktywacji interfejsów potrzebne będą dodatkowe licencje lub klucze aktywacyjne i konieczne wniesienie opłat licencyjnych. Np. niedopuszczalne jest stosowanie karty 4-portowej gdzie aktywne są 2 porty, a dla uruchomienia pozostałych konieczne jest wpisanie kodu, który uzyskuje się przez wykupienie licencji na użytkowanie pozostałych portów. 8. Sloty urządzenia przewidziane pod rozbudowę muszą mieć możliwość obsadzenia modułami: a. z cyfrowymi interfejsem T1/E1 dla ruchu głosowego lub ruchu typu channelized z gęstością interfejsów nie mniejszą niż 4 portów T1/E1; b. z interfejsami szeregowymi WAN, w liczbie min. 4 porty na moduł; c. interfejsów głosowych analogowych (FSX/FXO) z gęstością minimum 4 porty FXO lub 4 porty FXS na moduł; d. z dyskiem twardym SSD e. przełącznika Ethernet (funkcje L2 i L3), oczekiwana liczba portów przełącznika nie może być mniejsza niż 8 dla jednego modułu. Porty przełącznika muszą być dostępne również w wersji z zasilaniem PoE; f. umożliwiającym komunikację po sieci komórkowej w technologii 3G/4G (LTE); g. z portem VDSL2 / ADSL2+ over POTS; h. z portem VDSL2 / ADSL2+ over POTS / Annex M; i. z portem VDSL2 / ADSL2+ over ISDN; j. z układami DSP; 9. Sloty urządzenia przewidziane pod rozbudowę o moduł z układami DSP muszą mieć możliwość obsadzenia modułami: a. gęstości nie mniejszej niż 256 kanałów b. Pozwalającymi na dynamiczne alokowanie DSP do różnych zadań (osługa interfejsów głosowych, trancoding, conferencing). c. Obsługującymi kodeki: i. G.711 ii. ClearChannel iii. G.729a iv. G.729ab v. G.726 vi. G.722 vii. G.728 viii. G.729 ix. G.729b x. Internet Low Bit xi. Funkcjonalność FaxRelay xii. Funkcjonalność ModemRelay d. Obsługującymi funkcjonalność transkodowania pomiędzy różnymi typami kodeków 16/93