PLIEGO DE PRESCRIPCIONES TÉCNICAS PARA LA CONTRATACIÓN DE LA RENOVACIÓN DE LA RED CORPORATIVA DE COMUNICACIONES DEL AYUNTAMIENTO DE PAMPLONA

Transcripción

1 PLIEGO DE PRESCRIPCIONES TÉCNICAS PARA LA CONTRATACIÓN DE LA RENOVACIÓN DE LA RED CORPORATIVA DE COMUNICACIONES DEL AYUNTAMIENTO DE PAMPLONA El objeto de este Pliego es el establecimiento de las especificaciones técnicas con arreglo a las cuales ha de llevarse a cabo la contratación de la renovación de la red corporativa de comunicaciones del Ayuntamiento de Pamplona. 1) DESCRIPCIÓN GENERAL DEL ALCANCE Y OBJETO DEL CONTRATO El objeto del presente contrato es la renovación tecnológica de la red de comunicaciones del Ayuntamiento de Pamplona, más concretamente del equipamiento componente de la misma que ha alcanzado o alcanza próximamente el fin de soporte por parte del fabricante de la tecnología en la que se basa. El contrato tiene duración estimada de 45 meses, desde su inicio a la firma del contrato, estando previsto el inicio de los trabajos con fecha 1 de abril de El contrato finalizará el 31 de diciembre de El contrato consta de dos fases: Una primera fase en la que se sustituirá el equipamiento actual cuyo soporte por parte del fabricante ha finalizado o está próximo a finalizar. Esta sustitución se realizará de forma planificada y ordenada, minimizando en la medida de lo posible los tiempos de caída de los servicios ofrecidos a través de la infraestructura de comunicaciones del Ayuntamiento de Pamplona. Esta primera fase deberá estar concluida no más tarde del 30 de septiembre de Las características técnicas de la solución se detallan en el apartado 2 de este Pliego, y las condiciones para la ejecución de su implantación, incluyendo la migración desde la infraestructura actual, se describen en el apartado 3 de este Pliego. Una segunda fase de garantía y mantenimiento de la solución, en la que el adjudicatario prestará, sobre la infraestructura instalada, servicios de mantenimiento correctivo, preventivo, y de soporte experto a la explotación, en las condiciones que se detallan en el apartado 4 de este Pliego. Esta segunda fase termina con la finalización del contrato, el 31 de diciembre de ASOCIACIÓN NAVARRA DE INFORMÁTICA MUNICIPAL, S.A. Avda. del Ejercito, 2 Planta PAMPLONA / IRUÑA Tel Fax: de 20

2 2) DESCRIPCIÓN DETALLADA DE LA INFRAESTRUCTURA DE RED OBJETO DE RENOVACIÓN Y FUNCIONALIDADES DE LA NUEVA SOLUCIÓN 2.1) Estado actual de la infraestructura de comunicaciones del Ayuntamiento de Pamplona El Ayuntamiento de Pamplona dispone a día de hoy de infraestructura propia de comunicaciones, a través de la cual se unen unas 50 sedes municipales dispersas dentro del término municipal de Pamplona. La mayoría de estas sedes están conectadas por fibra óptica propia, tendida por canalizaciones municipales o de uso municipal, y todas las sedes cuyo equipamiento está previsto renovar a través del siguiente contrato entran en esta categoría. Existe, además de la fibra óptica actualmente en uso, fibra oscura ya conectorizada en todas las sedes municipales referidas en este contrato, fibra que puede ser utilizada para realizar el despliegue parcial de la nueva infraestructura en paralelo con la actual, de cara a facilitar una migración con el menor tiempo posible de caída de servicios. La infraestructura y el equipamiento cuya renovación es objeto del presente contrato está compuesta por varios elementos de electrónica de comunicaciones que realizan funciones de conmutación, enrutamiento y seguridad, y que se encuentran organizados en tres niveles jerárquicos a nivel físico y lógico: core, distribución y acceso. Existen además interconexiones entre la subred de servidores y la LAN de usuarios, y entre la red corporativa del Ayuntamiento con internet y otras redes: Core: En tres de las sedes municipales, existen en cada una dos parejas de routers Cisco 6509, dotado cada uno de los 6 chasis de supervisora, módulo de 4 puertos de 10Gbps, módulo de 24 puertos de 1Gbps. Estos 6 chasis conforman el núcleo de la red para usuarios, y dos de ellos, ubicado cada uno en un CPD municipal, conforman el core de conexión de servidores. Estos dos chasis están dotados dotados además de elementos de seguridad, que se describen más adelante en detalle. Los chasis están interconectados entre sí, de forma que para la LAN de usuarios, los dos de cada sede están en alta disponibilidad, y un chasis de cada sede está conectado a uno de los chasis de cada otra sede mediante enlaces punto a punto sobre los que se enruta el tráfico por OSPF. Para la subred de servidores, los dos chasis que conforman el core de la subred de servidores están en alta disponibilidad. Los 6 chasis están también conectados a elementos que realizan funciones de distribución mediante enlaces punto a punto sobre los que se enruta el tráfico por OSPF. Distribución: En otras tres sedes, existen en cada una dos parejas de conmutadores Cisco 3750 con capacidad de enrutamiento, dotados cada uno de 12 puertos a 1Gbps, de los cuáles uno se utiliza para uplink hacia el core de la red, otro para configurar ambos conmutadores de distribución en alta disponibilidad, y el resto están disponibles para la conexión de elementos que realizan funciones de acceso. En las sedes en las que existen elementos de core o en las sedes que dependen de éstas, la función de distribución la realizan los propios elementos de core. Los enlaces que unen core o distribución con acceso son de tipo trunk, de forma que los dos enlaces que unen cada elemento de acceso con los dos elementos de distribución o core de los que dependen, están unidos en portchannel, dirigiéndose el tráfico prioritariamente por uno u otro mediante per-vlan spanning-tree. Una de las sedes de distribución se extiende entre dos edificios (Casa Marceliano y Seminario de San Juan), existiendo fibra óptica entre ambos, que se usa para interconectar los dos elementos de distribución en alta disponibilidad. Acceso de usuarios: En todas las sedes existen conmutadores Cisco 3560, bien con 24 puertos 10/100 y 2 puertos de uplink a 1Gbps, bien con 48 puertos 10/100 y 4 puertos de uplink a 1Gbps. Los Página 2 de 20

3 puertos de uplink se conectan bien a elementos de distribución, bien al módulo de 24 puertos de 1Gbps de elementos de core. Interconexión entre usuarios y servidores: La interconexión entre la LAN de usuarios y la subred del CPD se realiza en dos chasis 6500, ubicados uno en cada CPD. Dos parejas de módulos de cortafuegos PIX, ubicado cada miembro de la pareja en cada uno de estos dos chasis, securiza, gestiona y controla el acceso de usuarios a ciertas VLANs protegidas dentro de la subred de servidores. Otras VLANs de servidores que no contienen servidores o datos de la misma criticidad y confidencialidad, son directamente accesibles por los usuarios por enrutamiento directo y sin pasar por este módulo. Acceso de servidores: El equipamiento de acceso de servidores está compuesto por dos stacks gemelos, cada uno de ellos compuesto por 4 conmutadores 3750 de 24 puertos a 1Gbps. En cada stack, dos de los elementos tienen 4 puertos de uplink a 1Gbps, de forma que de cada uno de estos elementos del stack, dos puertos están conectados al chasis de core de servidores en su misma sede de CPD, y dos al chasis de core de servidores en la otra sede de CPD. Acceso de árbitros de clúster: En el edificio que actualmente tiene el carácter de tercer nodo de core, y en el mismo rack que el equipamiento de core, existe un switch adicional de misma marca y modelo que los de acceso a servidores, al que se conectan los equipos que ejercen la función de árbitros entre los elementos de clústeres distribuidos entre los dos CPDs. Este switch depende, al igual que los switches de acceso a servidores, de los chasis de core de servidores. Acceso a internet y a otras redes: En cada CPD, como ya se ha dicho, hay un chasis que sirve como core de la subred de servidores. En cada uno de estos chasis, existen dos módulos de cortafuegos PIX, uno para usuarios internos y conexiones con organismos conocidos, y otro para usuarios externos y conexión a internet, cada uno de ellos con doble función: definición de una DMZ dentro de la subred de servidores para securización, gestión y control del acceso de usuarios a servidores (web, sede electrónica, correo, etc. en el caso de usuarios externos, servidores de aplicaciones y datos en el caso de usuarios internos), y securización, gestión y control de otras conexiones hacia o desde la red corporativa del Ayuntamiento de Pamplona (navegación, correo, intercambio de datos con otros organismos a través de internet en el caso de conexiones externas, o a través de enlaces dedicados en el caso de conexiones con organismos conocidos) A nivel de ordenación del tráfico, la red del Ayuntamiento tiene direccionamiento privado clase A, y cada pareja de equipos de core o de distribución define un dominio de VTP, que coincide con una subred clase B, dividida a su vez en subredes clase C que coinciden cada una con un dominio de broadcast y una VLAN. De esta forma se facilita la creación y gestión de rutas y políticas de seguridad y calidad de servicio, se limita el broadcast, y se dispone de una ordenación interna según uso, tipo de dispositivo, tipo de usuario, etc. Todos los equipos de acceso de usuario disponen de PoE para alimentación de teléfonos IP. También para soporte de telefonía IP, la red está dotada de calidad de servicio. Aparte de la infraestructura objeto de este contrato, existen otras sedes, unidas mediante enlaces de fibra óptica punto a punto, en los que se dispone de conmutadores de marca Hewlett Packard, dentro de la familia Procurve. No se contempla en este contrato la renovación de estos switches HP Procurve. Las conexiones punto a punto terminan en puertos de switches de acceso de usuarios, salvo algunas que terminan en el switch de acceso de árbitros de clúster. Página 3 de 20

4 2.2) Equipamiento sujeto a renovación y condicionantes físicos para el nuevo equipamiento El equipamiento descrito en el anterior apartado está llegando o ha llegado a fin de soporte por parte del fabricante, y ha de ser renovado. Una lista completa de este equipamiento se detalla en el Anexo a este Pliego. Este equipamiento ha de ser sustituido por equipamiento nuevo, que debe satisfacer los requisitos contemplados en este Pliego, y la sustitución completa ha de realizarse en a lo sumo 6 meses desde el inicio de los trabajos. Dado que se estima iniciar los trabajos el 1 de abril de 2016, la finalización de la renovación, incluyendo suministro del nuevo equipamiento, instalación, configuración y migración de la infraestructura actual a la nueva, ha de estar realizado antes del 1 de octubre de 2016, aunque se valorará el que los trabajos terminen antes. Todo el equipamiento sujeto a renovación se encuentra actualmente instalado en racks estándar, dotados de alimentación eléctrica con las protecciones oportunas, y en el caso de los dos CPDs, de sistemas de alimentación ininterrumpida. Se habilitará en dichos racks el espacio oportuno para la instalación de tanto volumen de equipamiento, como se encuentra activo actualmente. Se dispone además de espacio excedente suficiente en los racks que alojan el equipamiento de core y distribución, permitiendo la instalación simultánea de casi todo el nuevo equipamiento de core y distribución junto con el equipamiento actual, de cara a realizar la migración entre ambos. El espacio es más reducido en los racks que albergan switches de acceso, teniendo algunos de ellos fondo reducido. En ese sentido, cabe destacar que el armario de primera planta de Monasterio de Irache 2, en el que se encuentran dos equipos Cisco 3560 de 24 puertos, tiene el fondo suficiente para permitir la instalación de estos equipos, pero no más. Por otra parte, cabe destacar que el cableado estructurado en la mayor parte de edificios municipales se concentra en un rack de planta, estando conectado este rack de planta al rack central del edificio que alberga los equipos de distribución mediante troncal de fibra óptica. Por ello, aunque dos equipos de acceso estén en el mismo edificio no quiere decir que estén físicamente contiguos. Esta distinción se detalla también en el Anexo a este Pliego. 2.3) Características y funcionalidades del nuevo equipamiento El grueso del equipamiento a suministrar está constituido por switches y/o routers de core, distribución y acceso. Todo este equipamiento ha de ser homogéneo a nivel de fabricante, admitiéndose sólo fabricantes distintos para cortafuegos y puntos de acceso inalámbricos. Se dirá que la solución está basada en la tecnología del fabricante que haya producido todos los switches y/o routers de core, distribución y acceso, independientemente del fabricante de los cortafuegos y los puntos de acceso inalámbricos. Cada solución podrá estar basada en un único fabricante, y cada licitador podrá presentar hasta 3 ofertas, con la condición de que no haya dos ofertas del mismo licitador basadas en la tecnología del mismo fabricante. Todo el equipamiento suministrado deberá ser nuevo, y adquirido a través de los canales oficiales del fabricante. Se valorará el que la tecnología propuesta tenga una madurez e implantación en el mercado avaladas por un agente experto independiente, habiéndose elegido para ello los informes Gartner Magic Quadrant de los tres últimos años (2013, 2014 y 2015), bien en el capítulo Wired & Wireless LAN, bien en el capítulo Networking, según corresponda al año en cuestión. El equipamiento propuesto debe tener un ciclo de vida (esperanza de vida hasta el final de soporte por parte del fabricante de la tecnología) mínimo de 8 años, valorándose el que esta esperanza de vida aumente en dos años más. Las características técnicas que ha de presentar el equipamiento a suministrarse en el marco de este contrato, y la configuración de la nueva infraestructura, son las siguientes: Estructura general. Aunque la configuración actual de la red corporativa del Ayuntamiento de Pamplona tiene tres nodos de core, esta asignación se realizó pensando en el crecimiento masivo de una sede que no llegó a Página 4 de 20

5 producirse, por lo que en la nueva configuración de la red, existirán dos sedes con nodos de core, que coincidirán con las sedes dotadas de CPD. En estos CPDs se albergarán el equipamiento de core de usuarios, el de core de servidores, y los elementos específicos de seguridad (cortafuegos). El equipamiento de core no será necesariamente de tipo chasis, y los cortafuegos no serán necesariamente de tipo modular, debiendo en todo caso ser posible el disponer de enlaces entre core de usuario y core de servidores, tanto securizados por cortafuegos, como directos (sin pasar por cortafuegos). El tercer nodo de core actual pasará a ser de distribución, y cada nodo de distribución pasará a estar conectado a los dos nodos de core. Robustez, redundancia, alta disponibilidad y aprovechamiento de los enlaces. No habrá puntos únicos de fallo en distribución y core, estando todos los elementos redundados y en alta disponibilidad. Cada equipo de un nivel estará unido por lo menos a dos equipos del nivel superior. Mediante tecnologías conocidas habitualmente como stacking, chasis virtual, agregación de enlaces, u otras similares, los equipos redundados deberán funcionar como uno sólo, incluso a nivel de gestión. Dada su criticidad, se valorará una redundancia especial del core de usuarios. Los enlaces entre equipos de un nivel (redundados o no) y los equipos del nivel superior de los que dependan, deberán funcionar como un único enlace. Se valorará el uso de protocolos y configuraciones que permitan que, ante la caída de un equipo redundado o de un enlace redundado, el único efecto sensible sea la dismunición de la velocidad en el enlace agregado correspondiente, produciéndose cualquier convergencia en el funcionamiento de la red lo más rápidamente posible y con afección mínima a su comportamiento. El licitador deberá en su oferta detallar todos los mecanismos, configuraciones y protocolos que garanticen estas características. Caudales y escalabilidad. Los puertos de acceso de usuario, cuyo número y distribución en las diferentes sedes se mantendrá salvo en las excepciones que se mencionan a continuación, deberán ser RJ45 soportando hasta Gigabit ethernet (velocidad 10/100/1000). Las excepciones son el rack de planta baja de Iratxe 2, en el que es necesario aumentar en 48 el número de puertos de acceso de usuario, y el rack de sótano de CAN, donde es necesario introducir 24 puertos de usuario a 1Gbps dependiendo bien del core de usuarios, bien de la distribución de esa sede. En este último caso (puertos de acceso de usuarios en sótano de CAN), y de forma excepcional, no hay necesidad de PoE en estos puertos. A nivel de servidores, existen varios cuyas conexiones pueden ser aumentadas a 10Gbps, pero otros más antiguos sólo podrían conectarse a 1Gbps o menos. Por ello, los 96 puertos de acceso de servidores actualmente existentes en cada CPD, deberán desdoblarse en al menos 48 puertos de acceso RJ45 1Gbps/10Gbps en cada CPD, y 48 puertos de acceso RJ45 Gigabit ethernet en cada CPD. Dentro del rack de sótano de CAN, son necesarios 12 puertos de acceso de servidores a 1Gbps, dependiendo del core de servidores. El caudal entre diferentes elementos deberá estar diseñado para obtener un factor de sobresuscripción adecuado, aspecto que se justificará en la oferta y se valorará. La solución deberá ser escalable para, caso de aumentar las necesidades tanto por aumento de usuarios, adición de sedes, etc., como por aumento de número o velocidad de servidores sobre las previsiones actuales, la infraestructura pueda asumir esta nueva carga sin variar su estructura general, sino sólo con la adición de equipamiento similar al inicialmente ofertado, o módulos o tarjetas adicionales para el equipamiento ofertado. Encaminamiento, limitación de broadcast y direccionamiento. La solución deberá contener los mecanismos, protocolos y configuraciones necesarios para garantizar el encaminamiento eficiente de todo el tráfico hacia otros puntos de la red corporativa, hacia otras redes y hacia internet, pudiendo limitarse el broadcast a subredes clase C como máximo. Se conservará el direccionamiento IP actualmente existente, en el que varios equipos disponen de dirección estática, y el resto la reciben por DHCP de los propios elementos de core y distribución. Otros protocolos y funcionalidades soportados. El Ayuntamiento de Pamplona dispone sobre su red de telefonía IP, basada en solución Communication Manager del fabricante Avaya. La solución propuesta deberá Página 5 de 20

6 soportar el tráfico y protocolos necesarios para el buen funcionamiento de la centralita, específicamente calidad de servicio (QoS) y DHCP. La solución deberá ser totalmente compatible con IPv6, y específicamente al menos los equipos de core, y preferentemente también los de distribución, soportarán configuración en dualstack para permitir convivencia y/o migración entre IPv4 e IPv6. Se podrán valorar otros protocolos o funcionalidades de la infraestructura y configuración propuestas, siempre que su utilidad así lo justifique. Funcionalidades licenciadas. Todas las funcionalidades, protocolos, etc. que el licitador ofrezca deberán estar disponibles, incluyendo la oferta si es necesario todas las licencias pertinente para su funcionamiento durante el periodo de vigencia del contrato. Para toda funcionalidad o característica de valor añadido no exigida que el licitador detalle en su oferta para su valoración, y que precise de licencia para su funcionamiento, se deberá explicitar si el suministro de esta licencia está incluido en el alcance de la oferta, entendiéndose que sí lo está en caso de no aparecer explícitamente mencionado lo contrario. 2.4) Seguridad La solución ofertada deberá incluir mecanismos de seguridad, control, gestión de permisos, etc., en dos niveles: 1) De forma distribuida, mediante controles de acceso de usuario tales como autenticación por MAC, 802.1x, implementación de listas de control de acceso (ACLs), y otras medidas similares, que se puedan aplicar en cualquier punto de la red corporativa. 2) De forma localizada, mediante el suministro e instalación de equipamiento cortafuegos a ubicarse en puntos estratégicos de la infraestructura de red. Se valorarán las características de las funcionalidades de seguridad incluidas en la solución, teniendo en cuenta tanto la definición centralizada de políticas que luego puedan aplicarse lo más cerca posible del puerto de acceso para evitar al máximo potenciales brechas de seguridad, como específicamente el grado en que la propuesta permita y facilite el cumplimiento del Esquema Nacional de Seguridad (ENS). En el caso específico de los cortafuegos, y como se ha mencionado anteriormente, existen dos parejas de módulos PIX con funciones distintas: a) Una de ellas, que denominaremos segundo cortafuegos perimetral, sirve como segunda línea de defensa y proporciona un filtro adicional tras el cortafuegos perimetral externo conectado a internet (no siendo este último objeto del presente contrato), y permite la aplicación de políticas de seguridad redundantes o complementarias con una tecnología de un fabricante distinto, en cumplimiento del ENS. Define además una zona desmilitarizada (DMZ) en la que se ubican la mayoría de los equipos del Ayuntamiento de Pamplona que proporcionan servicios hacia el exterior de la red corporativa (web, sede electrónica, servidor de correo,...) El cortafuegos externo conectado a internet es de marca Juniper, por lo que de acuerdo al ENS, el equipamiento para la sustitución del módulo PIX no podrá ser de fabricante Juniper. b) Una segunda pareja, que denominaremos cortafuegos de acceso a servidores y a otras redes conocidas, aplica las políticas de seguridad que protegen ciertos puertos o servidores de la infraestructura del Ayuntamiento de Pamplona, a los que por su criticidad, confidencialidad de datos, acceso exclusivo de administradores de red o servidores, u otros motivos similares, es conveniente restringir el acceso de usuarios. Además, securiza la conexión mediante enlaces punto a punto con otras redes de terceros (Gobierno de Navarra, red SARA,...), para aplicar las políticas acordadas en común con dichos terceros para el intercambio seguro de datos entre los entes conectados. Página 6 de 20

7 Ambas parejas tienen funcionalidades de enrutamiento estático, dinámico y por políticas, NAT estático dinámico y por políticas, log de tráfico, visualización en tiempo real de patrones de tráfico entre zonas, etc., que son de gran ayuda a la hora de realizar tareas tales como definición, aplicación y verificación de políticas, diagnóstico de problemas y troubleshooting de incidencias, etc. El equipamiento que realice las funciones que a día de hoy tienen encomendadas estos módulos PIX, deberá securizar conexión entre el core de usuarios y una o varias subredes de servidores, con un throughput mínimo de 1Gbps, valorándose el aumento de este caudal securizado. Las dos funciones que a día de hoy realizan las parejas de módulos PIX deberán ser estancas, es decir, la aplicación de un único contexto de políticas no podrá ser suficiente para atravesar las dos barreras que a día de hoy suponen ambas parejas de módulos PIX. Se valorarán otras características de valor añadido y funcionalidades de seguridad, especialmente en el contexto del cumplimiento del ENS. 2.5) Acceso inalámbrico a la red de comunicaciones La solución ofertada deberá incluir un piloto de acceso inalámbrico a la red de comunicaciones, a instalarse en sede a elegir por el Ayuntamiento de Pamplona, para lo que se incluirá el suministro, instalación en dicha sede y configuración de cuatro puntos de acceso que deberán integrarse con la red de comunicaciones y gestionar de forma segura la conexión inalámbrica de diferentes perfiles de usuarios. La conexión inalámbrica de usuarios a la red deberá estar securizada en el propio acceso, preferentemente mediante aplicación de políticas definidas de forma centralizada. El piloto deberá contar por lo menos con dos SSIDs definidos con diferentes niveles de permisos, uno para invitados con conexión sólo a internet pero no al resto de la red corporativa, y otro sólo para usuarios corporativos autenticados y que permita un acceso controlado a los equipos y funcionalidades de red que se designen. Para la valoración de estos aspectos de seguridad de la conexión inalámbrica, el licitador deberá describir el equipamiento hardware y software involucrado, protocolos y/o procedimientos utilizados para identificación de usuarios, creación y aplicación de políticas, etc. Se valorará asimismo la homogeneidad y/o integrabilidad de la solución inalámbrica con el resto del equipamiento de red, la extensión de este piloto para dar cobertura en hasta 5 sedes más, y la escalabilidad de este piloto para proveer a futuro conexiones inalámbricas en sedes adicionales. 2.6) Herramientas de gestión Los diferentes elementos de la solución de red deberán ser gestionados individualmente mediante SSH y/o interfaz gráfico vía web, además de a través de SNMP. Se incluirá también dentro del contrato el suministro, instalación y configuración de una herramienta de gestión centralizada de como mínimo todos los elementos de routing y switching que componen la solución propuesta. La herramienta de gestión deberá ser del mismo fabricante en cuya tecnología esté basada la oferta, y se valorarán tanto sus funcionalidades a la hora de asistir en la gestión de la solución, como en la gestión del resto de equipamiento no objeto de este contrato, bien por su coexistencia a futuro con la solución ofertada (en el caso de los switches HP Procurve no objeto de este contrato), o por su coexistencia durante la migración (en el caso del equipamiento Cisco cuya renovación es objeto de este contrato). Se valorará también su versatilidad de cara a poder continuar siendo la herramienta principal de gestión de la red corporativa del Ayuntamiento de Pamplona durante el periodo de vida estimado de la solución objeto de este contrato, para lo que incluirá por lo menos la generación de alarmas cuando haya comportamientos gravemente anómalos en la red, así como la posibilidad de realización automática de tareas rutinarias tales como backup de configuración de equipamiento de red. Página 7 de 20

8 3) SUMINISTRO, INSTALACIÓN, CONFIGURACIÓN Y PUESTA EN MARCHA DEL NUEVO EQUIPAMIENTO. MIGRACIÓN 3.1) Actuaciones previas Entre la firma del contrato y el 1 de abril de 2016, el adjudicatario realizará las actuaciones previas al inicio de ejecución del contrato. Se facilitará al adjudicatario toda la información pertinente para acabar de diseñar los detalles del plan de migración (ficheros de configuración de equipamiento existente, direccionamientos específicos,...), y comenzará el acopio del material. El material podrá acopiarse en almacén anexo a uno de los dos CPDs, desde donde se podrá distribuir al resto de sedes municipales. En dicho CPD se podrá habilitar espacio de trabajo para realizar la preconfiguración de equipamiento antes de su instalación en rack en su ubicación definitiva. El adjudicatario podrá proponer en su oferta otras actuaciones previas al inicio de la ejecución de los trabajos de instalación, que se valorarán en la medida en que faciliten una migración más rápida y con menos afecciones al servicio de red. 3.2) Plan de Migración Dados los condicionantes recogidos en este Pliego, las posibilidades que ofrece la infraestructura existente, y el diseño de red propuesto por el licitador, éste deberá detallar en su oferta un plan de migración incluyendo cronograma, lista de tareas con sus correspondientes dependencias, y valoración de los posibles tiempos de caída de servicio y partes de la red potencialmente afectadas por cada uno de ellos. Se valorará tanto el menor impacto en el servicio de red y las funcionalidades que dependen de éste, como la viabilidad del plan de migración a la luz de los medios y mecanismos propuestos para su ejecución, así como el que la migración completa y el abandono de la actual infraestructura de red, finalice en menos de 6 meses tras el inicio de los trabajos. Se valorará asimismo que, para mayor garantía del éxito de la migración, dentro de los medios humanos adscritos a esta fase del contrato, exista personal certificado en la tecnología actualmente instalada. Una vez realizada la migración, el equipamiento retirado y que se lista en Anexo quedará fuera de servicio, pudiendo el adjudicatario hacer uso del mismo en otras instalaciones si así lo desea, encargándose en todo caso de su retirada de circulación de acuerdo a la legislación vigente cuando deje de utilizarse. 3.3) Formación La actual red de comunicaciones del Ayuntamiento de Pamplona cuenta con técnicos designados por el Ayuntamiento de Pamplona para su gestión diaria. Las labores que realizan incluyen el troubleshooting y resolución de incidencias y problemas que no requieren de escalado, la configuración de rutas, subredes, permisos, etc. según la evolución de necesidades y/o implantación de nuevas funcionalidades o conexiones, la instalación y configuración de nuevo equipamiento de red o de equipamiento averiado por su correspondiente repuesto, aparte de tareas rutinarias como la gestión de copias de seguridad, análisis de logs y alertas, etc. Estos técnicos tienen entre 5 y 10 años de experiencia en la gestión de la red del Ayuntamiento de Pamplona. Teniendo en cuenta estos factores, el adjudicatario deberá diseñar y planificar una formación que permita un máximo aprovechamiento de la misma y una máxima autonomía de los técnicos a la hora de realizar estas tareas habituales, o incluso la resolución de incidencias de una cierta complejidad. Página 8 de 20

9 4) DESCRIPCIÓN DE LAS TAREAS DE MANTENIMIENTO DURANTE EL PERIODO DE VIGENCIA DEL CONTRATO Las actividades de mantenimiento a realizarse desde la implantación de la solución y durante el periodo de vigencia del contrato son las siguientes: Reposición de material averiado. Resolución de averías, si es preciso incluyendo reposición de material averiado y/o desplazamiento de personal técnico a las instalaciones del Ayuntamiento de Pamplona. Mantenimiento de licencias en vigencia sobre aquellos elementos hardware o software que lo requieran para su funcionamiento. Labores de mantenimiento preventivo, que pueden incluir, entre otras acciones, la monitorización y la realización de auditorías. Soporte experto a la explotación, incluyendo el asesoramiento y asistencia técnica durante implantación de nuevas funcionalidades bien de la propia red, bien soportadas a través de la red de comunicaciones. Entrega de documentación relacionada con las actuaciones realizadas dentro del marco del contrato. Las condiciones técnicas ofertadas para estas tareas deberán ser presentadas bajo la forma de un Procedimiento de Actuación. Este Procedimiento deberá incluir toda la información necesaria para el acceso a los servicios contratados, la descripción de los medios materiales y humanos que empleará el adjudicatario para prestar dichos servicios, los plazos que deberá cumplir el adjudicatario, y la documentación a entregarse. El Ayuntamiento de Pamplona accederá a los servicios de asistencia técnica y soporte a través de un punto único de contacto, pudiendo utilizarse para ello un mínimo de dos canales, siendo uno de ellos un número de teléfono, y al menos uno electrónico (correo electrónico o formulario web). A través de este punto único de contacto, se encaminarán todas las peticiones de mantenimiento y soporte experto contempladas en el contrato. Si es posible, se resolverán a través de este punto único de contacto aquellas solicitudes o incidencias de escasa complejidad, si bien se aceptarán y valorarán otras opciones o variantes que permitan un tratamiento más ágil, competente y eficiente de las incidencias y peticiones comunicadas. El licitador deberá detallar en su Procedimiento de Actuación cuál será el tratamiento que seguirá cada incidencia o solicitud comunicada, detallando los medios que se involucrarán, y los tiempos a los que se comprometa para su resolución o respuesta. 4.1) Acceso remoto a la infraestructura del Ayuntamiento de Pamplona y monitorización El Ayuntamiento de Pamplona proveerá al adjudicatario de un método de acceso remoto a la red de comunicaciones. Con este acceso, se pretende facilitar al adjudicatario la prestación de los servicios, así como un tratamiento más ágil de las incidencias y de las solicitudes de información, apoyo y soporte. Este método de acceso consiste en un túnel VPN al que se accede por https a través de cualquier navegador, y mediante el cual el adjudicatario podrá tomar control remoto de un ordenador ubicado en la red del Ayuntamiento, pudiendo desde dicho ordenador realizar las actuaciones oportunas para el cumplimiento del contrato. Cualquier otro método de acceso del que desee disponer el adjudicatario correrá a su cuenta, tanto en su establecimiento como en su mantenimiento, debiendo además ser previamente aprobado por el Ayuntamiento de Pamplona. Página 9 de 20

10 El adjudicatario deberá establecer un sistema automático de monitorización que registre las incidencias y comportamientos anormales de ambas instalaciones, e informe tanto a los técnicos de ANIMSA como a los técnicos del propio adjudicatario de cualquier comportamiento de red que pueda constituir una incidencia. Para ello, el adjudicatario podrá valerse, previa autorización del Ayuntamiento de Pamplona, de medios ya existentes tales como las herramientas de gestión implantadas como parte de la solución. Se valorará el grado en que la monitorización permita detectar comportamientos anómalos susceptibles de producir caídas en el servicio, y que el licitador se comprometa a tratar alarmas producidas por este sistema de monitorización, como si se tratara de peticiones de mantenimiento realizadas por el personal del Ayuntamiento de Pamplona. Es decir, preferentemente, el adjudicatario se comprometerá a actuar al recibir alarmas de monitorización, sin necesidad de esperar comunicación por parte del Ayuntamiento de Pamplona. El Ayuntamiento de Pamplona pondrá a disposición del adjudicatario una cuenta de correo en los servidores corporativos del Ayuntamiento de Pamplona, de forma que procesos automáticos de monitorización puedan informar mediante correo electrónico de averías o incidencias, tanto a técnicos del adjudicatario, como a los técnicos de ANIMSA responsables del servicio, a fin de minimizar el tiempo entre una incidencia, y su detección por el personal que vaya a tratarla. Cualquier otro método de información al adjudicatario por parte de los procesos automáticos de monitorización correrá a cargo de éste, tanto en su establecimiento como en su mantenimiento, debiendo además ser previamente aprobado por el Ayuntamiento de Pamplona. 4.2) Clasificación de incidencias y solicitudes y plazos de respuesta y resolución Se definen en cuanto a su tipo tres clases de servicio que el adjudicatario deberá realizar en el marco del contrato: Incidencias: reporte de todo funcionamiento anómalo o inadecuado de la red, o cualquiera de sus funcionalidades y/o elementos integrantes. Solicitud de asistencia técnica: petición de asesoramiento para la realización de cualquier tarea que, sin constituir parte de la resolución de una incidencia, implique un grado de dificultad o de conocimiento que hagan que no sea abordable directamente por personal de ANIMSA, bien por falta de medios o por falta de formación. Una solicitud de asistencia puede precisar para su resolución tanto de suministro de información, como de actuaciones por parte del adjudicatario (por ejemplo, cambios en las configuraciones de los equipos para integración de alguna funcionalidad nueva). No podrá conllevar sin embargo el suministro de ningún equipamiento nuevo. Solicitud de soporte experto: petición de información sobre cualquier tema relacionado con el funcionamiento de la red, sus elementos integrantes o sus funcionalidades, que sea desconocida por parte del personal de ANIMSA. La resolución de una solicitud de soporte experto será siempre la transmisión de información al personal de ANIMSA por parte del adjudicatario (por ejemplo, envío de white papers acerca de nuevos elementos o de configuraciones específicas de elementos ya existentes). A su vez, las incidencias se pueden clasificar respecto a su criticidad. Para ello, definimos en primer lugar un elemento como esencial si se trata de un dispositivo o funcionalidad cuyo funcionamiento anómalo provoca un comportamiento inadecuado de toda la red, o que forman parte del core de la infraestructura de red. Incidencias de criticidad máxima: Aquellas que afecten a elementos esenciales (ejemplo: router de core, firewall). Página 10 de 20

11 Incidencias de criticidad alta: Aquellas que afecten a elementos no esenciales pero redundados, o de cuyo funcionamiento dependa un grupo elevado de usuarios (ejemplo: elemento de distribución, caída total de un switch de acceso). Incidencias de criticidad media: Aquellas que afecten a elementos no esenciales y de cuyo funcionamiento dependa un usuario o grupo reducido de usuarios (ejemplo: puerto o puertos concretos en un switch de acceso, funcionamiento anómalo de un switch de acceso de usuarios). Para una incidencia o una solicitud de asistencia técnica, se definen: Plazo de respuesta: el tiempo transcurrido desde la comunicación al adjudicatario de la incidencia o solicitud (bien por medios del Ayuntamiento de Pamplona o del adjudicatario, incluidos los sistemas automáticos de monitorización) hasta que un técnico especialista asignado por el adjudicatario se pone en contacto con personal técnico de ANIMSA conocedor de la incidencia o solicitud. Plazo de resolución para una incidencia: el tiempo transcurrido desde la comunicación al adjudicatario de la incidencia (bien por medios del Ayuntamiento de Pamplona o del adjudicatario, incluidos los sistemas automáticos de monitorización) hasta que la red y todos sus elementos integrantes vuelven a comportarse de forma adecuada. Plazo de resolución para una solicitud de asistencia: el tiempo transcurrido desde la comunicación al adjudicatario de la solicitud de asistencia, hasta que ésta haya sido atendida, y aprobadas las actuaciones realizadas y/o los entregables correspondientes. Plazo de resolución para una solicitud de soporte experto: el tiempo transcurrido desde la comunicación al adjudicatario de la solicitud de soporte experto, hasta que la información pertinente y suficiente ha sido entregada a los técnicos de ANIMSA. Se establecen los siguientes plazos máximos de respuesta y de resolución: Tipo Criticidad Plazo de respuesta Plazo de resolución Máxima 1 hora 24 horas Incidencia Alta 2 horas 48 horas Media 4 horas 7 días Solicitud de asistencia - 7 días Variable Solicitud de soporte - 4 días 1 semana En el caso de solicitudes de asistencia, el plazo de resolución se acordará entre ANIMSA y adjudicatario, quedando reflejado en un plan de acción consensuado que detallará las tareas, plazos y responsables para llevarlo a cabo. En el supuesto de que la resolución de una incidencia, a pesar de dedicar el adjudicatario todos los esfuerzos y medios posibles, no sea viable en los plazos establecidos, se acordará entre adjudicatario y ANIMSA un plan de mínimos para resolver parcialmente y aminorar el efecto de la misma, hasta su resolución, quedando constancia por escrito de dicho plan. La inviabilidad nunca podrá referirse a sustitución de material averiado, que siempre deberá realizarse dentro de los plazos establecidos. Página 11 de 20

12 El incumplimiento por parte del adjudicatario de los plazos de resolución contratados, salvo cuando causas fehacientes y ajenas al control del adjudicatario lo hagan materialmente imposible, constituye una infracción, cuya severidad depende tanto del tipo de actuación, de la criticidad caso de tratarse de una incidencia, y del tiempo transcurrido desde el plazo máximo de respuesta o de resolución, hasta que la respuesta o la resolución se produce. Se tipifican las siguientes infracciones: Retrasos en plazo de resolución para diferentes severidades de infracción (expresados en porcentaje del correspondiente plazo máximo de resolución contratado): Tipo Criticidad Leve Grave Muy grave Máxima <100% >100% <200% >200% Incidencia Alta <100% >100% <300% >300% Media <100% >100% <300% >300% Solicitud de asistencia - <100% Solicitud de soporte - <100% >100% <300% >100% <300% >300% >300% 4.3) Mantenimiento correctivo El mantenimiento correctivo incluirá toda actuación necesaria para garantizar el adecuado comportamiento de la red, incluso reposición de cualquier elemento averiado que forme parte de la infraestructura instalada dentro del objeto de este contrato, así como resolución de bugs de software o firmware necesario para su correcto funcionamiento, aplicándose para ello los criterios y plazos recogidos en el apartado anterior, salvo en el caso en que el adjudicatario haya ofertado otros más ventajosos. 4.4) Mantenimiento preventivo El mantenimiento preventivo deberá incluir por lo menos la monitorización de la red de comunicaciones tal y como se detalla en el apartado 4.1. Fruto de los datos obtenidos de esta monitorización, así como de otros datos sobre el funcionamiento de la red (incidencias, comportamientos anómalos, etc.), el adjudicatario incluirá en la documentación entregada periódicamente como parte del seguimiento del contrato, sugerencias para optimizar el funcionamiento de la red y/o de funcionalidades basadas sobre la misma. Se valorará el que con periodicidad anual a partir de que la solución esté en funcionamiento, el adjudicatario realice una auditoría de la red cuyos entregables incluyan aviso de posibles problemas futuros, así como sugerencia de actuaciones tanto para evitar estos problemas como para optimizar el funcionamiento general de la infraestructura. Página 12 de 20

13 4.5) Soporte experto para la explotación de la infraestructura de comunicaciones y evoluciones y necesidades previsibles durante el periodo de vigencia del contrato Dentro de las tareas a realizarse como mantenimiento de la solución durante el periodo de vigencia del contrato, está la asistencia técnica y soporte para la implantación de funcionalidades que bien utilicen la infraestructura de red de comunicaciones como base, bien supongan una funcionalidad de esta misma infraestructura. Las necesidades previsibles durante el periodo de vigencia del contrato y para las que puede ser necesaria la prestación de este servicio, en las condiciones y plazos indicados en el apartado 4.2, son las siguientes: Renovación de la planta de telefonía IP del Ayuntamiento de Pamplona, prevista para el año Esta renovación será objeto de contrato específico para la misma. El adjudicatario del presente contrato deberá no obstante atender las solicitudes de asistencia y soporte que se deriven de necesidades de cambios de configuración en la red de comunicaciones para la implantación de la solución que sustituya a la actual. Implantación de IPv6. A día de hoy no hay fecha prevista para esta implantación, e incluso es posible que concluya el periodo de vigencia del presente contrato sin que se haya acometido. Caso de acometerse durante el presente contrato, el adjudicatario deberá prestar asistencia y soporte al personal designado por el Ayuntamiento de Pamplona en las tareas de configuración necesarias para esta implantación. Caso de no acometerse durante el presente contrato, el adjudicatario deberá entregar, antes de la finalización del mismo, documentación que constituya una guía para realizar esta implantación, personalizada para la infraestructura del Ayuntamiento de Pamplona, e incluyendo modelos de configuración y propuesta de metodología y orden para su ejecución. No se prevén a día de hoy otras necesidades o nuevas funcionalidades de calado comparable a éstas. 4.6) Seguimiento del contrato Con periodicidad al menos semestral, tendrá lugar una reunión de seguimiento del contrato, en la que el adjudicatario aportará un informe resumiendo todas las actuaciones que hayan sucedido en el periodo que concluye, incluyendo finalización de actuaciones iniciadas en periodos anteriores, inicio de actuaciones todavía no concluidas, y actuaciones iniciadas y finalizadas desde la última reunión. Se consensuará el contenido de dicho informe y las actuaciones a realizarse en periodos sucesivos. Página 13 de 20

14 Anexo - Lista de equipamiento y diagramas físicos y lógicos Se lista en primer lugar el equipamiento instalado cuya renovación es objeto de este contrato, separado en dominios VTP. Dentro de cada dominio VTP, se detalla el equipamiento instalado en diferentes armarios rack. El rack de 1ª planta del dominio Iratxe que contiene dos switches Cisco 3560 de 24 puertos, es en el que el fondo de armario no permite la instalación de equipos de dimensiones mayores.que los actualmente instalados. A) Dominio Casa Consistorial A.1) Rack CPD 1 Chasis WS-C6509-E con módulos WS-X6724-SFP WS-X GE WS-SUP720-3B 1 Chasis WS-C6509-E con módulos WS-X6724-SFP WS-X GE WS-SUP720-3B WS-SVC-FWM-1 WS-SVC-FWM-1 WS-SVC-IDSM-2 1 Stack conformado por 2 equipos WS-C3750G-24TS-S 2 equipos WS-C3750G-24TS 1 switch WS-C PS-S 1 switch WS-C3750G-24TS-S (ubicado físicamente en rack sótano del dominio CAN). A.2) Rack primera planta 2 equipos WS-C PS-S A.3) Rack tercera planta 1 equipo WS-C PS-S A.4) Rack cuarta planta 2 equipos WS-C PS-S A.5) Rack Casa Seminario sótano 1 equipo WS-C PS-S A.6) Rack Casa Seminario palomar A.7) Rack Condestable Página 14 de 20

15 B) Dominio Iratxe B.1) Rack CPD 1 Chasis WS-C6509-E con módulos WS-X6724-SFP WS-X GE WS-SUP720-3B 1 Chasis WS-C6509-E con módulos WS-X6724-SFP WS-X GE WS-SUP720-3B WS-SVC-FWM-1 WS-SVC-FWM-1 WS-SVC-IDSM-2 1 Stack conformado por 2 equipos WS-C3750G-24TS-S 2 equipos WS-C3750G-24TS 1 equipo WS-C PS-S B.2) Rack Iratxe 2 baja 2 equipos WS-C PS-S 1 equipos WS-C3560X-24 1 equipo WS-C TS-S B.3) Rack Iratxe 2 primera planta equipos WS-C PS-S B.4) Rack Iratxe 2 primera planta - 2 B.5) Rack Parque de desinfección B.6) Rack Escuela de Música 3 equipos WS-C PS-S Página 15 de 20

16 C) Dominio CAN C.1) Rack CAN sótano 2 Chasis WS-C6509-E, cada uno con módulos WS-X6724-SFP WS-X GE WS-SUP720-3B 1 Stack conformado por 2 equipos WS-C3750G-24TS-S 2 equipos WS-C3750G-24TS 1 equipo WS-C PS-S C.2) Rack CAN planta 5 2 equipos WS-C PS-S C.3) Rack CAN planta 6 1 equipo WS-C PS-S C.4) Rack CAN planta 8 2 equipos WS-C PS-S C.5) Rack CAN planta 9 2 equipos WS-C PS-S C.6) Rack Escuelas infantiles C.7) Rack Tudela Página 16 de 20

17 D) Dominio Mutiloa D.1) Rack Mutiloa baja 2 equipos WS-C3750G-12S-E D.2) Rack Mutiloa planta 1 D.3) Rack Mutiloa planta 2 D.4) Rack Mutiloa planta 3 E) Dominio Marceliano-Seminario E.1) Rack Marceliano planta 3 1 equipo WS-C3750G-12S-E E.2) Rack Seminario planta 2 1 equipo WS-C3750G-12S-E 1 equipo WS-C PS-S E.3) Rack Marceliano planta baja E.4) Rack Marceliano planta 1 1 equipo WS-C PS-S E.5) Rack Marceliano planta 3 E.6) Rack Marceliano planta 4 E.7) Rack Seminario planta 1 E.8) Rack Seminario planta 3 E.9) Rack Seminario planta 2 Página 17 de 20

18 F) Dominio Luna F.1) Rack Luna planta baja 2 equipos WS-C3750G-12S-E 2 equipos WS-C PS-S F.2) Rack PCH F.3) Rack Descalzos planta 2 2 equipos WS-C PS-S F.4) Rack Descalzos planta 1 F.5) Rack Casco Antiguo En las dos siguientes páginas, se muestran el diagrama físico de la red con las interconexiones entre los anteriores elementos a nivel físico (se han omitido algunos elementos por claridad), y el esquema de nivel 3 de red configurado a partir de dichos equipos y conexiones físicas. Las VLANs marcadas como extendidas hacen referencia a las que existen en ambos CPDs. Página 18 de 20

19 Página 19 de 20

20 Página 20 de 20