ZADANIE 5 Urządzenia sieciowe o parametrach korporacyjnych

ZADANIE 5

Urządzenia sieciowe o parametrach korporacyjnych

Wykonawca winien oddelegować do realizacji zadania:

1. 
   Dwóch inżynierów z certyfikatem FCNSP( Fortinet Certified Network Security Professional ) lub równoważne
   
2. 
   Dwóch inżynierów z certyfikatem ACFE(Alcatel-Lucent Certifield Expert lub równoważne
   

Na wszystkie elementy składowe zadania dostawca daje 24 miesiące gwarancji od dnia zakupu. Gwarancja producenta może przedłużać termin gwarancji na sprzęt.

1. 
   Typ i liczba portów:
   

Minimum 8 portów SFP+ musi być obsadzona modułami SFP+ wspierającymi 3 prędkości: 2/4/8GFC. Każdy z modułów musi posiadać złącze LC i pracować na fali o długości 850nm.

Minimum 12 portów 10 Gigabitowych w standardzie SFP+. Porty SFP+ muszą być niezależne od portów miedzianych (10GBaseT), nie dopuszcza się tzw. portów Combo. Wszystkie porty SFP+ muszą wspierać standardy: Gigabit i 10Gb Ethernet oraz 2/4/8Gb FibreChannel. Dla zwiększenia niezawodności porty SFP+ powinny być zrealizowane w postaci przynajmniej jednego, wymienianego na gorąco (w czasie działania przełącznika) modułu.

Przełącznik musi mieć możliwość instalacji przynajmniej 3 portów 40Gb Ethernet QSFP+. Dopuszcza się by porty 40Gb były instalowane zamiennie z portami SFP+

Wszystkie porty muszą pracować z pełną prędkością łącza, tzw. Wire-rate. Nie dopuszcza się rozwiązań z nadsubskrypcją.

Dedykowany port 10/100/1000BaseT służący do zarządzania typu out-of-band

Port konsoli typu RS-232

Port USB 2.0 ze wsparciem dla aktualizacji oprogramowania oraz kopiowania plików konfiguracyjnych

2. 
   Przepustowość minimum 640Gb/s
   
3. 
   Wydajność: minimum 480Mp/s
   
4. 
   Wysokość maksymalnie 1U
   
5. 
   Minimum 4GB pamięci RAM i 2GB pamięci Flash
   
6. 
   Tablica MAC o wielkości minimum 128000
   
7. 
   Obsługa 4094 sieci VLAN równocześnie
   
8. 
   Obsługa mechanizmu podwójnego tagowania sieci VLAN (Q-in-Q)
   
9. 
   Obsługa protokołu Multiple VLAN Registration Protocol (MVRP)
   
10. 
    Przełączanie w warstwie 2 i 3 modelu OSI (także dla IPv6)
    
11. 
    Wsparcie protokołu IPsec dla IPv6
    
12. 
    Modularny, wewnętrzny zasilacz prądu zmiennego, slot na drugi zasilacz. Przy wykorzystaniu obydwu źródeł zasilania – zasilacze powinny pracować w trybie redundantnym oraz być wymieniane na gorąco. Obydwa zasilacze muszą być modularne, instalowane wewnątrz obudowy przełącznika. Zasilacze muszą być dostępne w wersji AC i DC. Muszą być fizycznie dostępne w chwili realizacji zadania (nie dopuszcza się rozwiązań, w których są one planowane).
    
13. 
    Przełącznik musi być wyposażony w modularny system wentylacji. Wentylatory muszą działać w trybie redundantnym (minimum N:1). Moduł wentylatorów musi mieć możliwość wymiany na gorąco. Przepływ powietrza w przełączniku (dotyczy modułu wentylatorów oraz zasilaczy) musi odbywać się od przodu do tyłu urządzenia (tzw. Front-to-back).
    
14. 
    Wsparcie dla protokołów routingu: RIP, RIPv2, OSPF, OSPFv3, BGP, DVMRP, PIM-DM, PIM-SM, PIM-SSM – dopuszcza się możliwość rozszerzenia przez licencję oprogramowania (funkcje muszą być dostępne w chwili realizacji zadania, nie dopuszcza się rozwiązań, w których są one planowane).
    
15. 
    Obsługa IGMPv1, IGMPv2, IGMPv3, MLD, MLDv2
    
16. 
    Obsługa protokołu Bidirectional Forwarding Detection (BFD) - RFC 5880
    
17. 
    Obsługa DHCP Relay
    
18. 
    Obsługa Virtual Router Redundancy Protocol (VRRPv2/VRRPv3)
    
19. 
    Wsparcie dla łączenia w stos (Virtual Chassis) złożony minimum z dwóch urządzeń. Urządzenia tworzące stos muszą być z punktu widzenia zarządzania widziane jak jedno urządzenie – dopuszcza się możliwość rozszerzenia przez licencję oprogramowania (funkcje muszą być dostępne w chwili realizacji zadania, nie dopuszcza się rozwiązań, w których są one planowane). Możliwość połączenia do 6 urządzeń w jedno wirtualne urzadzenie przy zastosowaniu fizycznej topologii połączeń pomiędzy urządzeniami typu mesh „każdy z każdym”.
    
20. 
    Wsparcie dla DCB (Data Center Bridging). W szczególności obsługa standardów: 802.1Qbb-Priority-based Flow Control, 802.1Qaz D2.5 - Enhanced Transmission Selection, 802.1Qaz D2.5 - Data Center Bridging Exchange, 802.1Q-REV/D1.5 - Media Access Control (MAC) Bridges and Virtual Bridged Local Area Networks
    
21. 
    Wsparcie dla Shortest Path Bridging– dopuszcza się możliwość rozszerzenia przez licencję oprogramowania (funkcje muszą być dostępne w chwili realizacji zadania, nie dopuszcza się rozwiązań, w których są one planowane).
    
22. 
    Wsparcie dla UniDirectional Link Detection (UDLD)
    
23. 
    Wsparcie dla Fibre Channel over Ethernet (FCoE) oraz FCoE Initiation Protocol (FIP) Snooping
    
24. 
    Obsługa protokołów 802.1s - Multiple Spanning Tree Protocol, 802.1w - Rapid Spanning Tree Protocol oraz PVST+
    
25. 
    Obsługa protokołu ITU-T G.8032 03/2010 Ethernet Ring Protection wersja 2
    
26. 
    Obsługa protokołu 802.3ad (LACP) oraz MLAG (multi-chassis link aggregation)
    
27. 
    Obsługa protokołów Link Layer Discovery Protocol (LLDP) oraz LLDP-MED
    
28. 
    Wsparcie dla tunelowania Generic Routing Encapsulation (GRE), w szczególności obsługa RFC 2784, 2890, 1701 oraz 1702. Obsługa minimum 126 tuneli GRE
    
29. 
    Obsługa wielu (minimum 16) wirtualnych instancji routingu - Multiple Virtual Routing and Forwarding (VRF) – dopuszcza się możliwość rozszerzenia przez licencję oprogramowania (funkcje muszą być dostępne w chwili realizacji zadania, nie dopuszcza się rozwiązań, w których są one planowane).
    
30. 
    Obsługa mechanizmu typu Server Load Balancing
    
31. 
    Obsługa serwerów RADIUS, TACACS+ i LDAP
    
32. 
    Obsługa sFlow
    
33. 
    Funkcja Port Mirroring
    
34. 
    Funkcja monitoringu portów ze wsparciem dla formatu plków ENC (Network General Sniffer Network Analyzer Format)
    
35. 
    Wsparcie dla Ethernet OAM (ITU-T Y.1731, IEEE 802.1ag oraz IEEE 802.3ah)
    
36. 
    Obsługa Network Time Protocol (NTP)
    
37. 
    Obsługa skryptów (minimum Extensible Markup language (XML)
    
38. 
    Praca w zakresie temperatur, co najmniej: 0°C do 40°C
    

• 
  urządzenie o stałej konfiguracji fizycznej min. 48 portów dostępowych 10/100/100 RJ-45 oraz 2 interfejsów definiowalnych wkładkami SFP+ mogących pracować z prędkością 1G lub 10G,
  
• 
  porty dostępowe o styku fizycznym RJ-45 wspierające funkcjonalność Power-over-Ethernet+ 802.3at do 30 Watt/port,
  
• 
  urządzenie musi umożliwiać łączenie min. 8 urządzeń w stos,
  
• 
  urządzenie musi umożliwiać instalację drugiego zasilacza
  
• 
  min. 256MB pamięci DRAM oraz min. 128MB pamięci Flash
  
• 
  obsługa min. 16000 adresów MAC,
  
• 
  wydajność przełączania urządzenia co najmniej 101 Mpps,
  
• 
  automatyczne wykrywanie przeplotu (AutoMDIX) na portach miedzianych
  
• 
  wbudowane narzędzia do diagnozy okablowania na portach miedzianych (time domain reflector)
  
• 
  obsługa co najmniej 4000 sieci VLAN i 4000 VLAN ID,
  
• 
  obsługa co najmniej 2000 list kontroli dostępu (ACL)
  
• 
  obsługa mechanizmów dystrybucji informacji o sieciach VLAN pomiędzy przełącznikami
  
• 
  funkcjonalność port-fast lub równoważna
  
• 
  obsługa protokołów sieciowych zgodnie ze standardami:
  
  • 
    IEEE 802.1x
    
  • 
    IEEE 802.1s
    
  • 
    IEEE 802.1w
    
  • 
    IEEE 802.3x full duplex dla 10BASE-T i 100BASE-TX
    
  • 
    IEEE 802.3ad
    
  • 
    IEEE 802.1D
    
  • 
    IEEE 802.1p
    
  • 
    IEEE 802.1Q
    
  • 
    IEEE 802.3 10BASE-T
    
  • 
    IEEE 802.3u 100BASE-TX
    
  • 
    IEEE 802.3z 1000BASE-X
    
  • 
    IEEE 802.3ab 100BASE-T
    
• 
  Wsparcie routingu:
  
  • 
    IPv4: RIPv1/v2, oraz routing statyczny,
    
  • 
    IPv6: RIPng,
    
  • 
    Wsparcie dla minimum 128 interfejsów IPv4,
    
  • 
    Wspracie dla minimum 16 interfejsów IPv6,
    
• 
  Wspracie dla mechanizów multicast:
  
  • 
    IGMPv1, v2, v3 snooping,
    
  • 
    Multicast Listener Discovery snooping,
    
  • 
    Minimum 1000 grup multicastowych,
    
  • 
    IP Multicast VLAN,
    
• 
  Możliwość uruchomienia funkcjonalności Metro Ethernet przy pomocy dodatkowej licencji:
  
  • 
    IEEE 802.1ad Provider Edge,
    
  • 
    Transparent LAN Services SVLAN, CVLAN,
    
  • 
    Ethernet network-to-network NNI i UNI (User),
    
  • 
    Service Access Point (SAP),
    
  • 
    Translacja i mapowanie CVLAN do SVLAN,
    
  • 
    IEEE 802.1ag Ethernet OAM,
    
  • 
    IEEE 802.3ah Ethernet OAM,
    
  • 
    ITU-T G.8032 Ethernet Ring Protection,
    
  • 
    Private VLAN i Service Assurance Agent (SSA),
    
  • 
    Layer 2 Multicast VLAN Replication (MVR),
    
  • 
    L2CP dla EPL i EVPL,
    
  • 
    Certyfikacja MEF9 i MEF14,
    
• 
  mechanizmy związane z zapewnieniem jakości usług w sieci:
  
  • 
    obsługa co najmniej ośmiu kolejek sprzętowych, wyjściowych dla różnego rodzaju ruchu.
    
  • 
    mechanizm automatycznej konfiguracji portów do obsługi VoIP,
    
  • 
    flow-based QoS z wejściową i wyjściową zmianą parametrów (tzw. remarking),
    
  • 
    zarządzanie kolejkowaniem: Random Early Detect (RED), Stricte Priority (SPQ), Weighted Round Robin (WRR), Deficit Round Robin (DRR),
    
  • 
    mechanizm zapobiegania powstawaniu zatorów w sieci E2E-HOL Blocking Protection,
    
• 
  mechanizmy związane z zapewnieniem bezpieczeństwa sieci:
  
  • 
    dostęp do urządzenia przez konsolę szeregową, SSHv2 i SNMPv3, HTTPS/SSL
    
  • 
    wsparcie dla standardu 802.1x port-based, multiple-client, MAC authentication
    
  • 
    obsługiwać mechanizmu typu Guest VLAN, MAC address lockdown, IP Source Guard, Dynamic ARP Inspection
    
  • 
    możliwość aplikowania list kontroli dostępu (ACL) per port, MAC SA/DA, IP SA/DA, TCP/UDP port,
    
  • 
    funkcjonalność typu STP Root Guard, STP BPDU guard lub równoważna
    
  • 
    możliwość autoryzacji prób logowania do urządzenia za pomocą serwerów TACACS+, RADIUS i LDAP,
    
  • 
    wsparcie dla profili sieciowych użytkowników,
    
  • 
    możliwość blokowania ruchu pomiędzy portami w obrębie jednego VLANu z pozostawieniem możliwości komunikacji z portem nadrzędnym lub funkcjonalność private VLAN Edge
    
  • 
    monitorowanie zapytań i odpowiedzi DHCP (tzw. DHCP Snooping), DHCP Option 82, DHCP IP Spoof protection
    
  • 
    możliwość tworzenia portów monitorujących, pozwalających na kopiowanie na port monitorujący ruchu z innego dowolnie wskazanego portu z innego przełącznika (tzw. SPAN, RSPAN lub równoważne)
    
  • 
    ochrona przed rekonfiguracją struktury topologii Spanning Tree spowodowana przez niepowołane i nieautoryzowane urządzenie sieciowe,
    
  • 
    gradacja poziomów uprawnień na podstawie definicji typów profili,
    
  • 
    współpraca z systemami kontroli dostępu do sieci typu NAC lub NAP lub podobne,
    
• 
  obsługa grupowania portów w jeden kanał logiczny zgodnie z LACP 802.3ad
  
• 
  funkcjonalność umożliwiająca zaterminowanie dwóch fizycznych uplinków, działających w trybie active/active, widzianych jako jeden logiczny kanał, na dwóch fizycznie osobnych urządzeniach zdalnych, bez wykorzystania protokołu STP,
  
• 
  obsługa VRRP,
  
• 
  plik konfiguracyjny urządzenia możliwy do edycji w trybie off-line, tzn. konieczna jest możliwość przeglądania i zmian konfiguracji w pliku tekstowym na dowolnym urządzeniu PC. Po zapisaniu konfiguracji w pamięci nie ulotnej powinno być możliwe uruchomienie urządzenia z nowa konfiguracją. Zmiany aktywnej konfiguracji muszą być widoczne natychmiastowo - nie dopuszcza się częściowych restartów urządzenia po dokonaniu zmian
  
• 
  przechowywanie co najmniej 2 obrazów systemu operacyjnego
  
• 
  możliwość zarządzania przy pomocy bezpłatnej aplikacji graficznej zainstalowanej na urządzeniu, dostarczanej przez producenta
  
• 
  możliwość zarządzania przy pomocy osobnej, dedykowanej aplikacji do zarządzania infrastrukturą sieciową producenta urządzenia
  
• 
  możliwość montażu w szafie 19”
  
• 
  wysokość 1U
  
• 
  obudowa wykonana z metalu
  
• 
  urządzenie musi być fabrycznie nowe
  

Dla elementów systemu bezpieczeństwa obsługujących PODMIOT, Wykonawca zapewni wszystkie poniższe funkcjonalności:

1. 
   Możliwość łączenia w klaster Active-Active lub Active-Passive każdego z elementów systemu. Wykonawca powinien dostarczyć system w formie redundantnej w postaci klastra urządzeń.
   
2. 
   Monitoring i wykrywanie uszkodzenia elementów sprzętowych i programowych systemów zabezpieczeń oraz łączy sieciowych.
   
3. 
   Monitoring stanu realizowanych połączeń VPN.
   
4. 
   System realizujący funkcję Firewall powinien dawać możliwość pracy w jednym z dwóch trybów: Routera z funkcją NAT lub transparent.
   
5. 
   System realizujący funkcję Firewall powinien dysponować minimum 16 portami Ethernet 10/100/1000 Base-TX
   
6. 
   Możliwość tworzenia min 254 interfejsów wirtualnych definiowanych jako VLANy w oparciu o standard 802.1Q.
   
7. 
   W zakresie Firewall’a obsługa nie mniej niż 2 miliony jednoczesnych połączeń oraz 20 tys. nowych połączeń na sekundę
   
8. 
   Przepustowość Firewall’a: nie mniej niż 1 Gbps dla pakietów 512 B
   
9. 
   Wydajność szyfrowania VPN IPSec: nie mniej niż 400 Mbps
   
10. 
    System realizujący funkcję Firewall powinien być wyposażony w lokalny dysk o pojemności minimum 16GB do celów logowania i raportowania. W przypadku kiedy system nie posiada dysku do poszczególnych lokalizacji musi być dostarczony system logowania w postaci dedykowanej, odpowiednio zabezpieczonej platformy sprzętowej lub programowej.
    
11. 
    W ramach dostarczonego systemu ochrony muszą być realizowane wszystkie z poniższych funkcjonalności. Poszczególne funkcjonalności systemu bezpieczeństwa mogą być realizowane w postaci osobnych platform sprzętowych lub programowych:
    

• 
  kontrola dostępu - zapora ogniowa klasy Stateful Inspection
  
• 
  ochrona przed wirusami – antywirus [AV] (dla protokołów SMTP, POP3, IMAP, HTTP, FTP, HTTPS).
  
• 
  poufność danych - połączenia szyfrowane IPSec VPN oraz SSL VPN
  
• 
  ochrona przed atakami - Intrusion Prevention System [IPS]
  
• 
  kontrola stron internetowych pod kątem rozpoznawania witryn potencjalnie niebezpiecznych: zawierających złośliwe oprogramowanie, stron szpiegujących oraz udostępniających treści typu SPAM.
  
• 
  kontrola zawartości poczty – antyspam [AS] (dla protokołów SMTP, POP3, IMAP)
  
• 
  kontrola pasma oraz ruchu [QoS, Traffic shaping]
  
• 
  Kontrola aplikacji oraz rozpoznawanie ruchu P2P
  
• 
  Możliwość analizy ruchu szyfrowanego protokołem SSL
  
• 
  Ochrona przed wyciekiem poufnej informacji (DLP) z funkcją archiwizowania informacji
  
• 
  Dwu-składnikowe uwierzytelnianie z wykorzystaniem sprzętowych tokenów. Dostawa powinna obejmować 20 tokenów sprzętowych. To jeżeli nie ma tokenów do usunięcia
  

12. 
    Wydajność skanowania ruchu w celu ochrony przed atakami (IPS) min 500 Mbps
    
13. 
    Wydajność całego systemu bezpieczeństwa przy skanowaniu strumienia danych z włączoną funkcją: Antivirus min. 300 Mbps
    
14. 
    W zakresie realizowanych funkcjonalności VPN, wymagane jest nie mniej niż:
    

• 
  Tworzenie połączeń w topologii Site-to-site oraz Client-to-site
  
• 
  Monitorowanie stanu tuneli VPN i stałego utrzymywania ich aktywności
  
• 
  Praca w topologii Hub and Spoke oraz Mesh
  
• 
  Możliwość wyboru tunelu przez protokół dynamicznego routiongu, np. OSPF
  
• 
  Obsługa mechanizmów: IPSec NAT Traversal, DPD, XAuth
  

15. 
    Rozwiązanie powinno zapewniać: obsługę Policy Routingu, routing statyczny i dynamiczny w oparciu o protokoły: RIPv2, OSPF, BGP oraz PIM. Protokoły routingu powinny funkcjonować w ramach terminowanych na urządzeniu połączeniach IPSec VPN.
    
16. 
    Możliwość budowy min 2 oddzielnych (fizycznych lub logicznych) instancji systemów bezpieczeństwa w zakresie routingu, Firewall’a, Antywirus’a, IPS’a, Web Filter’a.
    
17. 
    Translacja adresów NAT adresu źródłowego i NAT adresu docelowego.
    
18. 
    Polityka bezpieczeństwa systemu zabezpieczeń musi uwzględniać adresy IP, interfejsy, protokoły, usługi sieciowe, użytkowników, reakcje zabezpieczeń, rejestrowanie zdarzeń oraz zarządzanie pasmem sieci (m.in. pasmo gwarantowane i maksymalne, priorytety)
    
19. 
    Możliwość tworzenia wydzielonych stref bezpieczeństwa Firewall np. DMZ
    
20. 
    Silnik antywirusowy powinien umożliwiać skanowanie ruchu w obu kierunkach komunikacji dla protokołów działających na niestandardowych portach (np. FTP na porcie 2021)
    
21. 
    Ochrona IPS powinna opierać się co najmniej na analizie protokołów i sygnatur. Baza wykrywanych ataków powinna zawierać co najmniej 6500 wpisów. Ponadto administrator systemu powinien mieć możliwość definiowania własnych wyjątków lub sygnatur. Dodatkowo powinna być możliwość wykrywania anomalii protokołów i ruchu stanowiących podstawową ochronę przed atakami typu DoS oraz DDos.
    
22. 
    Funkcja Kontroli Aplikacji powinna umożliwiać kontrolę ruchu na podstawie głębokiej analizy pakietów, nie bazując jedynie na wartościach portów TCP/UDP
    
23. 
    Baza filtra WWW o wielkości co najmniej 40 milionów adresów URL pogrupowanych w kategorie tematyczne. W ramach filtra www powinny być dostępne takie kategorie stron jak: spyware, malware, spam, proxy avoidance. Administrator powinien mieć możliwość nadpisywania kategorii oraz tworzenia wyjątków i reguł omijania filtra WWW.
    
24. 
    Automatyczne aktualizacje sygnatur ataków, aplikacji , szczepionek antywirusowych oraz ciągły dostęp do globalnej bazy zasilającej filtr URL.
    
25. 
    System zabezpieczeń musi umożliwiać wykonywanie uwierzytelniania tożsamości użytkowników za pomocą nie mniej niż:
    

• 
  Haseł statycznych i definicji użytkowników przechowywanych w lokalnej bazie systemu
  
• 
  haseł statycznych i definicji użytkowników przechowywanych w bazach zgodnych z LDAP
  
• 
  haseł dynamicznych (RADIUS, RSA SecurID) w oparciu o zewnętrzne bazy danych
  
• 
  Rozwiązanie powinno umożliwiać budowę architektury uwierzytelniania typu Single Sign On w środowisku Active Directory bez konieczności instalowania jakiegokolwiek oprogramowania a kontrolerze domeny.
  

26. 
    Poszczególne elementy oferowanego systemu bezpieczeństwa powinny posiadać następujące certyfikaty:
    

• 
  ICSA dla funkcjonalności SSL VPN, IPSec, IPS, Antywirus
  
• 
  ICSA lub EAL4 dla funkcjonalności Firewall
  

27. 
    Elementy systemu powinny mieć możliwość zarządzania lokalnego (HTTPS, SSH) jak i współpracować z dedykowanymi do centralnego zarządzania i monitorowania platformami. Komunikacja systemów zabezpieczeń z platformami zarządzania musi być realizowana z wykorzystaniem szyfrowanych protokołów.
    
28. 
    Serwisy i licencje
    

• 
  Dostawca powinien dostarczyć licencje aktywacyjne dla funkcji bezpieczeństwa na okres 2 lat.
  

29. 
    Gwarancja oraz wsparcie
    

Instalacja urządzeń ochrony sieci w szafie serwerowej.

Konfiguracja polityk bezpieczeństwa dla sieci

Przełączenie sieci produkcyjnej na skonfigurowany klaster

Dezinstalacja starego urządzenia ochrony sieci

Instalacja przełączników sieciowych w szafie serwerowej i punktach dystrybucyjnych

Konfiguracja połączeń pomiędzy przełącznikami

Konfiguracja mechanizmów bezpieczeństwa

Konfiguracja VLANów na przełącznikach

Konfiguracja przełącznika rdzeniowego do współpracy ze środowiskiem serwerowym w tym środowiskiem SAN