1 Objeto Condiciones generales Antecedentes Especificaciones técnicas mínimas Red de datos Nodos de red...

Transcripción

1 1 Objeto Condiciones generales Antecedentes Especificaciones técnicas mínimas Red de datos Nodos de red Funcionalidades y requisitos mínimos exigidos a los nodos de red Control de Acceso a la Red Red Lógica Gestión y monitorización Plataforma de gestión da rede de área local Plataforma de Monitorización Integral Rede Ethernet conmutada Condiciones de ejecución Calidad Pruebas y ensayos Garantías Condiciones generales Valoración Referencias Plazos de entrega Presentación de propuestas Importe de licitación... 21

2 1 Objeto El objeto del presente pliego es la adquisición y puesta en producción del equipamiento hardware y software necesarios para actualizar la red de área local del Ayuntamiento de Orense. Los ámbitos de actuación se centrarán en: Renovar la electrónica de red; Implementar un sistema de control de acceso a red; Implementar un sistema de gestión y administración centralizado del equipamiento de red; Implementar un sistema de monitorización integral De esta forma se garantizará la mejora del entorno de seguridad en los accesos a la red local, además de potenciar la capacidad de conmutación con la que se cuenta en la actualidad y la fiabilidad del sistema. La empresa adjudicataria deberá suministrar el equipamiento, efectuar la instalación y realizar las pruebas y ensayos necesarios para dejarlo en perfecto funcionamiento, Todo ello a partir de un plan de instalación y puesta en marcha que deberá ser expuesto y posteriormente ajustado con el responsable designado por el Ayuntamiento de Orense. 2 Condiciones generales El suministro se realizará de acuerdo con el establecido en el presente Pliego de Prescripciones Técnicas (PPT). Deberán cumplirse la totalidad das condiciones establecidas en el presente Pliego. Los licitadores deberán especificar los precios individuales de los distintos elementos que compongan su oferta (Se separará por bloques: equipamiento, y servicios de instalación), así como lo de las distintas opciones de ampliación, aunque no formen parte del suministro (indicando claramente que son opcionales y que no forman parte de la oferta). A los efectos de dar cumplimiento a la normativa de seguridad y salud laboral, los equipos deberán reunirlas siguientes características: Declaración CE de conformidad Marcado CE

3 3 Antecedentes El actual proyecto pretende renovar las comunicaciones del Ayuntamiento de Orense, con el objeto de desplegar una red IP multiservicio, segura y escalable, siendo necesario renovar parte del equipamiento de red de área local del mismo. En concreto, se sustituirá el nodo central del Ayuntamiento situado en el CPD y los distintos nodos de conmutación dispuestos en distintas ubicaciones. A continuación, se indica dicho equipamiento así como el medio mediante el cual se conectan con el nodo central del CPD (fibra o UTP): Desde el CPD: Mediante cable UTP a Sistemas Información: Un switch de 24 puertos 10/100 Ethernet y 2 puertos Gigabit Ethernet. Mediante cable UTP a Planta 1ª Estadística: Un switch de 48 puertos 10/100 Ethernet y 2 puertos Gigabit Ethernet. Mediante cable UTP a Planta 1ª Hacienda: Un switch de 24 puertos 10/100 Ethernet y 2 puertos Gigabit Ethernet. Mediante cable UTP a Planta 1ª Gobernación: Un switch de 48 puertos 10/100 Ethernet y 2 puertos Gigabit Ethernet. Mediante cable UTP a Planta 1ª Urbanismo: Un switch de 24 puertos 10/100 Ethernet y 2 puertos Gigabit Ethernet. Mediante cable UTP a Planta 1ª Arquitectura: Un switch de 48 puertos 10/100 Ethernet y 2 puertos Gigabit Ethernet. Mediante Fibra multimodo a Cárcel Corona: Un switch de 48 puertos 10/100 Ethernet y 2 puertos Gigabit Ethernet. Desde este por UTP va a Intervención que dispone de un switch de 24 puertos 10/100 Ethernet y 2 puertos Gigabit Ethernet. Al de Intervención se conecta mediante UTP un switch de Servicios Sociales de 24 puertos 10/100 y 2 Gb, al cual se conecta mediante UTP otro equipo de 24 puertos 10/100. Mediante Fibra multimodo a Recaudación: Un switch de 24 puertos 10/100 Ethernet y 2 puertos Gigabit Ethernet. A éste se conecta Ingeniería, mediante Fibra multimodo, que dispone de un switch de 48 puertos 10/100 Ethernet y 2 puertos Gigabit Ethernet. Mediante Fibra multimodo a Plaza San Martiño: Un switch de 24 puertos 10/100 Ethernet y 2 puertos Gigabit Ethernet. A éste se conectan por UTP tres switches de 24 puertos 10/100 Ethernet y 2 puertos Gigabit Ethernet. Mediante Fibra multimodo a Arcediagos: En la primera planta donde hay Un switch de 8 puertos 10/100 Ethernet y 2 puertos Gigabit Ethernet. A este último se conecta mediante Fibra multimodo uno de 24 puertos 10/100 y 2 Gb que está conectado mediante UTP a otro switch de 5 puertos 10/100. En este caso, ambos equipos deberán sustituirse por un equipo de 48 puertos.

4 Mediante Fibra multimodo a PERI: Un switch de 24 puertos 10/100 Ethernet y 2 puertos Gigabit Ethernet. Mediante Fibra multimodo al CIE: Un switch de 48 puertos 10/100 Ethernet y 2 puertos Gigabit Ethernet. A este último, se conectan mediante UTP dos switches, uno de ellos de 9 puertos 10/100 Ethernet y otro de 5 puertos 10/100 Ethernet. Mediante Fibra multimodo a la Policía: Un switch de 24 puertos 10/100 Ethernet y 2 puertos Gigabit Ethernet. A éste se conecta otro equipo de 24 puertos 10/100 Ethernet y 2 puertos Gigabit Ethernet, al que se conectan mediante UTP tres switches de 24 puertos 10/100 Ethernet y 2 puertos Gigabit Ethernet. Mediante Fibra multimodo a Cementerios: Un switch de 8 puertos 10/100 Ethernet y 2 puertos Gigabit Ethernet. Mediante Fibra multimodo a Compras: Un switch de 8 puertos 10/100 Ethernet y 2 puertos Gigabit Ethernet. Asimismo, se instalará una plataforma de monitorización integral que incluya tanto el equipamiento de red de área local y una plataforma para administrar y gestionar toda la red, que facilitará desde uno único punto a configuración de todo la equipamiento de conmutación LAN instalado, incluyendo tanto los aspectos de conmutación como de control de acceso y de políticas de red. 4 Especificaciones técnicas mínimas. La instalación del nuevo equipamiento deberá incorporar las reconfiguraciones necesarias en los equipos de red ya existentes (y en funcionamiento), que se precisen. En resumen, lo que aquí se pretende es indicar que el adjudicatario tendrá que reconfigurar el equipamiento que sea necesario para la integración total de toda la red. 4.1 Red de datos Nodos de red Nodo Central Solución basada en chasis, para dotar al sistema de mayor capacidad de conmutación y disponibilidad, con las siguientes características mínimas: o 96 puertos Ethernet 10/100/1000 RJ45, y un mínimo de 12 puertos 1Gb para conexiones de uplink a través de fibra óptica o cobre. o Encaminamiento (routing) de niveles 2 e 3 y soporte para encaminamiento virtual redundante (VRRP). o Módulos (transceptores Gigabit de fibra o cobre) que se estimen necesarios para la conexión de los distintos elementos según la arquitectura propuesta así como los latiguillos de conexión de fibra óptica que se precisen.

5 Nodos Remotos o Conmutadores apilables de 12, 24 o 48 puertos 10/100/1000 PoE con puertos 1Gb para conexiones de uplink a través de fibra óptica o cobre. De aquí en adelante nos referiremos a ellos como Nodo Tipo 1, Tipo 2 y Tipo 3, respectivamente. Cada nodo propuesto deberá disponer al menos del mismo número de puertos que el equipo al que sustituya. o Módulos (transceptores Gigabit de fibra o cobre) que se estimen necesarios para la conexión de los distintos elementos según la arquitectura propuesta así como los latiguillos de conexión de fibra óptica que se precisen Funcionalidades y requisitos mínimos exigidos a los nodos de red Nodo central Conmutación distribuida entre todos los elementos (módulos de puertos). Con el fin de garantizar la mayor disponibilidad de red en el nodo central, prestando conectividad y seguridad a los servicios críticos proporcionados desde el CPD. Se valorarán aquellas soluciones que no utilicen módulos supervisores, y por lo tanto distribuyen la capacidad de conmutación y enrutamiento entre todos los módulos del chasis. En aquellos casos basados en una arquitectura con módulo supervisor, deberán ofertarse obligatoriamente dos módulos supervisores en alta disponibilidad. Posibilidad de alcanzar 144 puertos Ethernet 10/100/1000 RJ45 sobre el equipo y 12 puertos 1000 Base-X, simultáneamente. Comportamiento como único equipo, tanto a nivel 2 como a nivel 3 (routing). Todos los puertos del equipo son puertos de un único ente (Una única dirección IP a nivel administrativo). Capacidad mínima de backplane: 240 Gbps Rendimiento mínimo de encaminamiento y routing: 40,5 Mpps Encaminamiento (routing) de niveles 2 e 3 y encaminamiento virtual redundante (VRRP). Tecnología de Clasificación Dinámica basada en flujos por hardware (ASIC) que permita clasificar el tráfico a partir de la información de las capas 2-4 para posteriormente establecer políticas que: Permitan/rechacen el tráfico Asignación QoS Asignación de VLAN Limitación tasa entrada/salida Clase de servicio (QoS): Strict e WFQ Queuing, Ingress e Egress Rate limiting

6 Autenticación: IEEE 802.1X, basadas en Web o dirección MAC. Se podrán asignar políticas de usuarios individuales a nivel de puerto, MAC, usuario 802.1x, VLAN o dirección IP. La capacidad de usuarios a autenticar debe ser como mínimo de 4 usuarios por puerto de acceso y de 100 usuarios en los puertos de uplink, simultáneamente. Asimismo estas características deben poder ampliarse hasta 256 usuarios, pudiendo emplearse distintos criterios de autenticación, de forma simultanea, para cada usuario (MAC, VLAN, IP, 802.1x). Este requerimiento viene motivado por la necesidad de contemplar un posible sistema de virtualización tanto para servidores como para servidores. Port Mirroring: Many-to1, 1-to-1, y 1-to-Many (IDS) Power over Ethernet (PoE - IEEE 802.3af) no es necesario que los módulos ofertados lo incorporen, aunque si que se puedan añadir al equipo. Agregación de enlaces en modo redundante, balanceo de carga e multiblade link aggregation (IEEE 802.3ad) Fuentes de Alimentación Redundantes e Intercambiables en caliente. Escalabilidad en cuanto a rendimiento y capacidad al ir añadiendo módulos. Posibilidad de incorporar módulos de alta densidad de puertos Gigabit. Sub-second Link Failover (802.1w) e Maximum Bandwidth Utilization-Multiple Spanning Trees (IEEE 802.1s) Debe permitir la configuración de ACLs extendidas, Load Sharing Network Address Translation (LSNAT), NAT, OSPF, DVMRP e PIM-SIM. Seguridad Multi-autenticación por puerto IEEE 802.1x, MAC o portal Web de forma simultánea. Permitirá aplicar políticas de uso independientes para distintos servicios conectados a un mismo porto. Cliente RADIUS Protección de clave (encriptación) Secured Shell (SSHv2) Syslog, con posibilidad de envío a más de un servidor syslog Asignación dinámica de VLAN (RFC3580) Asignación dinámica de roles a puertos de usuario con políticas de QoS e seguridade (filtrado de protocolos permitidos/prohibidos a nivel 2 e 3) Con el fin de garantizar una mayor disponibilidad y seguridad a los usuarios, la gestión del equipo deberá ser distribuida entre los distintos módulos instalados en el chasis. El fallo de uno de los módulos no afectará al resto de usuarios del sistema, ni a la conectividad del resto de la red, sino exclusivamente a los usuarios del módulo afectado. Se valorará la robustez de la solución propuesta, respecto a redundancia y disponibilidad de la misma.

7 Soporte de políticas de red a nivel de usuario (ver sección Red Lógica ). VLANs: 4,096 VLAN IDs. 8 colas de prioridad (QoS) por puerto. Procesamiento de paquetes multinivel. Clasificación de nivel 2/3/4. Soporte para prevenir ataques de tipo DoS, limitando el número de flujos (flows) establecidos y de nuevos flujos a establecer por puerto. Servicios de Switching soportados: IEEE 802.1D (MAC Bridges) IEEE 802.1t (802.1D Maintenance) IEEE 802.3ad (Link Aggregation) IEEE 802.1w (Rapid Reconvergence) IEEE 802.1s (Multiple Spanning Trees) IEEE 802.3x (Flow Control) IGMP Snooping v1, 2 Soporte de Jumbo Frame (9,216 bytes) IEEE 802.1Q VLAN VLAN baseadas en tag GVRP GARP Calidad de Servicio (QoS) por: IP DSCP IP precedence Source IP Destination IP Source MAC Destination MAC Soporte de RFC y MIB: RFC 826 ARP and ARP Redirect RFC 951, RFC 1542 DHCP/BOOTP relay RFC 2131, RFC 3046 DHCP client//relay RFC 2819 RMON-MIB RFC 1213 RFC1213-MIB/MIB II RFC 1493 BRIDGE-MIB RFC 1643 Ethernet-like MIB RFC 2233 IF-MIB RFC 2674 P-BRIDGE-MIB RFC 2674 QBRIDGE-MIB VLAN Bridge MIB IEEE 802.1X MIB - Port Access RFC 2620 RADIUS Accounting Client MIB RFC 2618 RADIUS Authentication Client MIB RFC 2933 IGMP MIB RFC 3580

8 Nodos Tipo 1 Equipo standalone de 12 puertos 10/100/1000 Base-T RJ45, siendo todas ellos PoE (Power over Ethernet) conforme estándar IEEE 802.3af, con capacidad de suministrar como mínimo 7,5 Watts, de forma simultánea, en todos los puertos. Debe disponer de 2 puertos SFP (Small Form-factor Pluggable) con soporte para interfaces tipo MiniGbic, que deberán soportar el estándar IEEE 802.3z, Throughput mínimo de 17 Mpps por unidad. Capacidad mínima de Switching de 22 Gbps por unidad. Soporte para direcciones MAC; Debe permitir como mínimo 1000 VLANs activas conforme al estándar IEEE 802.1Q. Debe soportar, al menos, 4000 identificadores de Vlan (VID) por unidad. Soporte para 8 colas filas de prioridad por puerto; Debe permitir agregación de links conforme el estándar IEEE802.3ad; Administración y gestión del equipo vía protocolo SNMP v1, v2c e v3. En la versión v3 Debe soportar se autenticación vía MD5 y criptografía DES; Soporte de políticas de red a nivel de usuario (ver sección Red lógica ) Debe soportar multi-autenticación (IEEE 802.1x, basada en MAC y Portal Web autenticación) por puerto de forma simultánea; Posibilidad de clasificación del tráfico en las capas 2, 3 y 4 del modelo OSI; Debe soportar Rate-Limiting; Debe permitir especificar direcciones MAC permitidas por puerto, funcionalidad Port Security o similar; Supresión de Broadcast; Debe permitir deshabilitar, de forma automática, aquellos puertos de acceso que reciban BPDU s (Bridge Protocol Data Unit). Funcionalidad BPDU Guard o similar; Servicios de Switching soportados: IEEE 802.1D (MAC Bridges) IEEE 802.1t (802.1D Maintenance) IEEE 802.3ad (Link Aggregation) IEEE 802.1w (Rapid Reconvergence) IEEE 802.1s (Multiple Spanning Trees) IEEE 802.3x (Flow Control)

9 IGMP Snooping v1, 2 Soporte de Jumbo Frame (9,216 bytes) IEEE 802.1Q VLAN VLAN basadas en tag GVRP GARP Calidad de Servicio (QoS) por: Seguridad: IP DSCP IP precedence Source IP Destination IP Source MAC Destination MAC Posibilidad de Multi-autenticación por puerto IEEE 802.1x, MAC o portal Web, de forma simultánea Cliente RADIUS Protección de clave (encriptación) Secured Shell (SSHv2) Syslog Asignación dinámica de VLAN (RFC3580) Los equipos deben permitir, aunque no se requiere, la posibilidad de asignar dinámicamente roles a puertos de usuario con políticas de QoS y seguridad (filtrado de protocolos permitidos/prohibidos a nivel 2 e 3), para un mínimo de 2 usuarios. Soporte de RFC y MIB RFC 826 ARP y ARP Redirect RFC 951, RFC 1542 DHCP/BOOTP relay RFC 2131, RFC 3046 DHCP client//relay RFC 2819 RMON-MIB RFC 1213 RFC1213-MIB/MIB II RFC 1493 BRIDGE-MIB RFC 1643 Ethernet-like MIB RFC 2233 IF-MIB RFC 2674 P-BRIDGE-MIB RFC 2674 QBRIDGE-MIB VLAN Bridge MIB IEEE 802.1X MIB - Port Access RFC 2620 RADIUS Accounting Client MIB RFC 2618 RADIUS Authentication Client MIB RFC 2933 IGMP MIB RFC Nodos Tipo 2 y Tipo 3: Equipos apilables de 24 o 48 puertos 10/100/1000 PoE Ethernet por unidad. Capacidad de conmutación mínima agregada: 144 Gbps.

10 Deben disponer como mínimo, de 2 puertos SFP (Small Form-factor Pluggable) con soporte para interfaces tipo MiniGbic. Encaminamiento (routing) de niveles 2 e 3 con la posibilidad de incorporar encaminamiento virtual redundante (VRRP) Soporte de configuraciones flexibles en cuanto a los equipos a añadir a la pila en futuras ampliaciones. Soporte de políticas de red a nivel de usuario (ver sección Red lógica ) VLANs: 4096 VLAN IDs 1024 entradas VLAN por pila 8 colas de prioridad por puerto Debe permitir agregación de links conforme el estándar IEEE802.3ad; Administración y gestión del equipo vía protocolo SNMP v1, v2c e v3. En la versión v3 Debe soportar se autenticación vía MD5 y criptografía DES; Soporte de políticas de red a nivel de usuario (ver sección Red lógica ) Debe soportar multi-autenticación (IEEE 802.1x, basada en MAC y Portal Web autenticación) por puerto de forma simultánea; Posibilidad de clasificación del tráfico en las capas 2, 3 y 4 del modelo OSI; Debe soportar Rate-Limiting; Debe permitir especificar direcciones MAC permitidas por puerto, funcionalidad Port Security o similar; Supresión de Broadcast; Debe permitir deshabilitar, de forma automática, aquellos puertos de acceso que reciban BPDU s (Bridge Protocol Data Unit). Funcionalidad BPDU Guard o similar; Servicios de Switching soportados: IEEE 802.1D (MAC Bridges) IEEE 802.1t (802.1D Maintenance) IEEE 802.3ad (Link Aggregation) IEEE 802.1w (Rapid Reconvergence) IEEE 802.1s (Multiple Spanning Trees) IEEE 802.3x (Flow Control) IGMP Snooping v1, 2 Soporte de Jumbo Frame (9,216 bytes) IEEE 802.1Q VLAN VLAN baseadas en tag GVRP GARP

11 Calidad de Servicio (QoS) por: Seguridad: IP DSCP IP precedence Source IP Destination IP Source MAC Destination MAC Posibilidad de Multi-autenticación por puerto IEEE 802.1x, MAC o portal Web, de forma simultánea Cliente RADIUS Protección de clave (encriptación) Secured Shell (SSHv2) Syslog Asignación dinámica de VLAN (RFC3580) Los equipos deben permitir, aunque no se requiere, la posibilidad de asignar dinámicamente roles a puertos de usuario con políticas de QoS y seguridad (filtrado de protocolos permitidos/prohibidos a nivel 2 e 3), para un mínimo de 3 usuarios. Soporte de RFC y MIB RFC 826 ARP y ARP Redirect RFC 951, RFC 1542 DHCP/BOOTP relay RFC 2131, RFC 3046 DHCP client//relay RFC 2819 RMON-MIB RFC 1213 RFC1213-MIB/MIB II RFC 1493 BRIDGE-MIB RFC 1643 Ethernet-like MIB RFC 2233 IF-MIB RFC 2674 P-BRIDGE-MIB RFC 2674 QBRIDGE-MIB VLAN Bridge MIB IEEE 802.1X MIB - Port Access RFC 2620 RADIUS Accounting Client MIB RFC 2618 RADIUS Authentication Client MIB RFC 2933 IGMP MIB RFC Control de Acceso a la Red Se pretende que la solución propuesta, disponga de mecanismos que permitan: Autenticar usuarios y dispositivos a través de distintos métodos: 802.1x, MAC, portal Web,... Localizar físicamente una máquina o a un usuario en cualquier punto de la red. Registrar la franja horaria y los días en los que se intenta acceder a la red.

12 Posibilidad de evaluar un sistema que se quiera conectar a la red en base a: Aplicaciones instaladas Actualizaciones y parches de seguridad instalados Vulnerabilidades detectadas La solución propuesta para este cometido, estará basada en una plataforma hardware que contará como mínimo con las siguientes funcionalidades: El equipo debe poseer como mínimo 2 (dos) interfaces Gigabit Ethernet 10/100/1000 BaseT. Debe funcionar en modo out-of-band para el tráfico normal, de forma que solamente el tráfico de autenticación y remediación sea procesado por el sistema. Debe soportar la autenticación de máquinas basándose en sus direcciones MAC, sin que se precise el empleo de servidores externos para dicha autenticación. Definición y configuración de dominios de seguridad dentro de la rede. Registro histórico de intentos de conexión en la red y localizaciones físicas. Control de acceso en función de los puertos físicos desde los que se intenta acceder a la red. Control de acceso en función de la franja horaria y día da semana en que se intenta acceder a la red. Control de acceso en base a la creación de listas blancas y negras de usuarios y sistemas. Soporte de entornas de virtualización de aplicaciones en el CPD, para dotar a los mismos de mayor control y seguridad, de forma automatizada. Posibilidad de seguridad proactiva mediante el análisis de vulnerabilidades de los sistemas finales. Monitorización y reporte del estado de los sistemas conectados a la red. Integración con múltiples fabricantes. Soporte de sistemas de evaluación de sistemas, externos o integrados con la plataforma. Soporte de clientes específicos para la evaluación de sistemas.

13 Posibilidad de verificación (assesment) a través de hardware y/o software de verificación externo del mismo fabricante o de terceros. El sistema propuesto, soportará tanto el software de evaluación de vulnerabilidades como la integración de software de terceros como, por ejemplo, sistemas Nessus. Permitirá su configuración en alta disponibilidad. Debe soportar como mínimo 2000 usuarios de forma concurrente Red Lógica Las empresas ofertantes propondrán la arquitectura de red física y lógica que estimen más adecuada, teniendo en cuenta las funcionalidades de seguridad y control requeridas. Debe describirse con detalle la solución propuesta y su integración con el resto de elementos y sistemas, valorándose la simplicidad y fiabilidad de la misma. La empresa adjudicataria deberá consensuar con el responsable del Ayuntamiento de Orense todas las formulaciones propuestas. Por tanto, se definirá un calendario de actuaciones que incluirá los pilotos, maquetas, decisiones funcionales,.., que ambas partes consideren necesarias para obtener la solución más adecuada posible a las necesidades del Ayuntamiento. La solución ofertada incluirá la implantación de, como mínimo, las siguientes funcionalidades: Unificación de las redes existentes de forma que se garantice la seguridad entre los usuarios de las mismas. Se realizará una propuesta de la arquitectura y mecanismos propuestos para lograr dicho propósitos. Se valorará la sencillez y robustez propuesta. Autenticación de usuarios y máquinas en la red de comunicaciones. Se facilitará un mecanismo de autenticación de usuarios y máquinas lo más transparente posible, en lo relativo a configuración y sencillez para el usuario. En el nodo central se debe permitir la autenticación de distintos servicios (virtuales), de forma simultánea, a través de un único puerto físico. Se describirá con detalle el proceso de implantación y operación del sistema de autenticación propuesta así como sus posibilidades de ampliación. Denegación automática de acceso a la red de todo aquel dispositivo que no cumplan con los requisitos de acceso definidos. En el nodo central, cualquier usuario o dispositivo, tendrá acceso a los recursos definidos en su perfil de seguridad (y sólo a éstos) en cuanto a VLAN, filtros de nivel 4 y mecanismos de QoS sin necesidad de ningún tipo de intervención por parte de los administradores. De forma que será capaz de diferenciar distintos dispositivos conectados a través de un mismo porto de rede y asignarle a cada uno de ellos recursos independientes que le correspondan. Se detallará el funcionamiento de la solución propuesta. Almacenamiento de la información en cuanto a las conexiones de red de los usuarios y máquinas, de forma que se pueda determinar quién y en qué punto de red se ha

14 conectado, así como toda la información asociada a dicha conexión (Mac, IP, etc.). La solución propuesta permitirá almacenar la información de registro sin límite de tiempo (es decir, con un mínimo de 2 años y un máximo limitado únicamente por la configuración de disco duro que el cliente quiera disponer en el servidor de registro externo). Se describirá la solución propuesta y las funcionalidades que permite, valorándose las capacidades de registro y facilidad de búsqueda de información. Guardar las copias de seguridad de la configuración del equipamiento de red propuesto de forma automatizada y desplegar nuevas versiones de firmware desde un único punto. Se describirá de forma detallada el funcionamiento de la solución propuesta, valorándose la sencillez y grado de automatización de la misma. 4.2 Gestión y monitorización Plataforma de gestión da rede de área local La plataforma centralizada de gestión deberá contemplar todos los módulos y switches ofertados. Dicha plataforma proporcionara las siguientes funcionalidades: Herramienta de monitorización del estado de la rede y de gestión de la misma. Herramienta de catalogación e inventariado de switches e módulos que incluye, distribución de firmware, gestión de cambios, visualización gráfica de configuraciones,... Herramienta de definición de políticas de rede en base a roles aplicables (asignación de VLAN, reglas de acceso, QoS,...), distribuibles a conmutadores y módulos remotos. Automatización de respuesta ante eventos de seguridad. La herramienta de gestión ofertada dispondrá como mínimo de las siguientes características: en cuanto á gestión de red: Arquitectura cliente-servidor, multiusuario con posibilidad de conexión vía Web, sin necesidad de instalación previa de clientes Debe permitir la configuración de los elementos básicos de los conmutadores (puertos, VLAN, comunidades, envío de traps, envío de syslog, ). Debe recibir las distintas alertas y eventos (vía traps, mensajes de los distintos módulos de gestión y syslog), enviados por el equipamiento instalado y permitir actuar ante ellas mediante, como mínimo, la ejecución de un programa externo y/o el envío de correo electrónico. Realización de copias de seguridad, de forma automática y periódica, de la configuración de la electrónica. También debe permitir la actualización de firmware de un modo desatendido.

15 Soporte del protocolo SNMP versión 1, 2 e 3. En el caso do acceso directo, será posible SSH e HTTPS. Se valorará la posibilidad de visualizar gráficamente la topología de red, es decir, mostrará todos los enlaces existentes entre los distintos equipos desplegados de forma que se pueda diferenciar claramente el estado, velocidad y modo de cada uno de los mismos ( activos, bloqueados, diferenciar entre enlaces simples y grupos de enlaces, diferenciar las velocidades de cada enlace, ) Se valorará la posibilidad de presentar información (en tabla y/o gráfico) de los parámetros accesibles mediante snmp (uso de puertos, errores, ). Esta información debe ser parametrizable, de forma que se pueda configurar la información a obtener, y mostrada en tiempo real. Se valorará la incorporación de herramientas de localización de usuarios en la red: deberá ser posible localizarlos tomando como referencia la dirección IP/MAC/Nombre de usuario/equipo. Como resultado se proporcionará el puerto al cual se encuentra conectado, dirección MAC, En cuanto a la seguridad de la rede LAN: gestión de red en base a políticas. agrupación de usuarios y asignación de reglas a cada una de dichas reglas, que definen a qué recursos de red se permite el acceso y en qué condiciones. Posibilidad de seguridad a nivel de puerto de usuario. Un usuario sólo tendrá acceso a los recursos y en las condiciones de seguridad especificadas, denegándose el acceso en caso contrario. Debe soportar mecanismos de autenticación, como la dirección MAC y la posibilidad de asignar estática o dinámicamente las políticas de seguridad definidas, en base al direccionamiento IP. En el caso del nodo central, y teniendo en cuenta que podrá disponer de servidores virtuales, (es decir, muchos usuarios en un mismo puerto) se precisará de multi-autenticación para múltiples usuarios con diferentes roles en un mismo puerto. Se valorará que dicha autenticación pueda realizarse mediante IP, subred IP, VLAN,... ya que dichos servidores no se autenticarán mediante 802.1x Posibilidad de integración con otros dispositivos de seguridad para reaccionar ante alertas detectadas por estos últimos. El mecanismo de interacción debe ser estándar (traps snmp, ). Los dispositivos con los que se deberá comunicar son IPS, Antivirus, EL sistema dispondrá de un portal para usuarios finales que permita la posible asignación de un rol a elementos de red previamente definidos. Por ejemplo, para que un funcionario pueda asignar, de forma sencilla y directa, una política de acceso a un grupo de usuarios. Se valorará que este sistema de asignación estática de roles sea vía Web (accesible desde cualquier ubicación o sistema de asignación de roles)

16 La plataforma de gestión deberá ser instalada y parametrizada, de forma que permita la correcta monitorización y gestión de todo el equipamiento de red propuesto Plataforma de Monitorización Integral La plataforma de monitorización proporcionará una visión global de toda la red, monitorizando no sólo la disponibilidad de cada elemento, si no también conocer el rendimiento de cada uno de ellos, poder establecer una serie de variables que definan un correcto comportamiento de los mismos de forma que en caso contrario puedan notificarse a los administradores situaciones anómalas, tendencias, etc. Deberá realizarse una propuesta detallando todos los elementos y variables a monitorizar, contemplando tanto del equipamiento actual como del propuesto. Se valorará el número de elementos, servicios y sistemas a monitorizar. Asimismo, en caso de tratarse de un software comercial el licitador deberá asumir e incluir en la propuesta el coste de las correspondientes licencias para los próximos 10 años. Debe proporcionarse todo el software y hardware necesarios para desplegar dicha plataforma, de forma quede completamente funcional. Asimismo permitirá monitorizar netflow del nodo central y tablas de valores de los demás nodos (tabla de procesos, tabla de direcciones MAC,...) de forma periódica. A continuación, se facilita una descripción de los mínimos a cumplir, pero la oferta deberá contemplar un listado de elementos a monitorizar por cada equipo de red Rede Ethernet conmutada En este caso, se requiere una monitorización exhaustiva del nodo central y una monitorización básica del resto de nodos. Nodo central: Uptime (tiempo desde que se accedió por última vez) Uso de CPU Uso de Memoria Número de sesiones dos usuarios finales (conexión TCP) Número de cambios de topología de spanning tree En el caso de los enlaces troncales y servidores: Estado del puerto Utilización en bps, tanto de entrada como de salida Número de errores, tanto en entrada como salida. Estado de los interfaces de routing. Resto de nodos: Uptime (tiempo desde que se accedió por última vez)

17 Uso de CPU Uso de Memoria Número de cambios de topología de spanning tree 5 Condiciones de ejecución Todo el material propuesto deberá ser entregado en las dependencias del Ayuntamiento de Orense. El material comprende todos y cada uno de los accesorios, cables y demás elementos que sean necesarios para el correcto funcionamiento de la solución. La instalación contemplará todos los trabajos de instalación y configuración del equipamiento hardware y software descritos en los puntos anteriores. Además, el licitador deberá impartir, como mínimo una jornada de 8 horas de formación a los técnicos y administradores de la red del Ayuntamiento de Orense, en la que se introducirán los principales aspectos de la solución propuesta. Por tanto, en la propuesta debe detallarse tanto el contenido de la misma como la metodología propuesta por la empresa licitante. 6 Calidad Las empresas ofertantes deberán acreditar su condición de partner del fabricante de red propuesto, garantizando el conocimiento técnico de la solución propuesta. También deberán presentar el correspondiente certificado de estar inscritas en el Registro de Instaladores de Telecomunicaciones. Por otra parte y con el fin de garantizar la máxima calidad en la ejecución de los trabajos mencionados, no se permitirá la subcontratación ni total ni parcial de los servicios o trabajos necesarios para la ejecución de la instalación. Se valorará la cualificación del equipo humano propuesto para la implantación del proyecto. Se requerirá documentación documental de las mismas y en todo caso no se tendrán en cuenta todas aquellas personas que se encuentren dedicadas a otros proyectos de forma permanente. 7 Pruebas y ensayos En todo momento habrá que continuar proporcionando servicio a la instalación existente y coordinar los cortes necesarios con el Servicio de Informática del Ayuntamiento de Orense, de forma que se minimicen al máximo el impacto de las actuaciones a realizar. Se detallarán tanto los plazos de entrega como el planning y plazo de ejecución y el protocolo de pruebas y ensayos a realizar. Será por cuenta del adjudicatario la puesta en marcha de toda la instalación, incluyendo la realización de todas las pruebas y medidas necesarias que se consideren oportunas para garantizar el correcto funcionamiento de la instalación realizada.

18 8 Garantías El plazo de servicio de soporte en garantía respecto al equipamiento instalado deberá ser como mínimo de 1 año, desde la firma del acta de aceptación del proyecto por parte del Ayuntamiento de Orense. El servicio de garantía indicado deberá disponer de las siguientes características: El adjudicatario se responsabilizará del cumplimiento de todos los procedimientos relacionados con la gestión de las garantías de los fabricantes, reportando al Ayuntamiento de Orense cualquier cambio relacionado con los contratos. Reparación o reposición de cuantos elementos hardware e software del material subministrado presenten defectos imputables al proceso de fabricación, a la instalación, a la configuración realizada durante el proyecto o averías, sin cargo adicional. En los casos en los que la sustitución de los elementos cualificados como defectuosos no resuelvan las anomalías, el adjudicatario deberá proceder a la sustitución completa del material por otro de iguales o superiores características, tras acuerdo previo con los responsables del Ayuntamiento de Orense. En cualquier caso las reparaciones y sustituciones se realizarán sin cargo de ningún tipo. Instalación de las actualizaciones de firmware y de software, de forma consensuada con el responsable designado por el Ayuntamiento de Orense. Actualización de la documentación de red con los cambios que se produzcan en la misma. Recepción de incidencias durante el horario laboral, tiempo de respuesta inmediato e de resolución en un máximo de 48 horas. El adjudicatario se responsabilizará del cumplimiento de todos los impresos y procedimientos relacionados con las garantías de los fabricantes. Para la prestación de dicho servicio, la empresa adjudicataria dispondrá obligatoriamente de un sistema de notificación, seguimiento de incidencias y notificaciones on-line. Dicho sistema facilitará el acceso del personal designado por el Ayuntamiento de Orense para disponer de una mejor gestión. Además este servicio comprenderá la actualización de la documentación durante el período de garantía. En la ofertas las empresas licitantes deberán proporcionar las credenciales precisas (usuario/password) para poder evaluar dicha herramienta. 9 Condiciones generales

19 FORMACIÓN El adjudicatario realizará de acuerdo con el personal del Concello las acciones formativas encaminadas a la formación de los administradores del sistema. Se presentará un plan de formación detallado indicando contenidos y duración. Deberá indicarse el número de horas de formación, de manera desagregada, que se va a impartir, así como el contenido detallado de la misma, la cual no podrá ser inferior a 8 horas y superior a 32 horas. LICENCIAS El adjudicatario deberá proveer licencias para todos los componentes de la plataforma. ENTREGABLES Se hará entrega de documentación/manuales relacionados con los dispositivos y aplicativos objeto de concurso. También se proporcionará una copia de seguridad de los distintos elementos del sistema con la configuración definitiva. También se entregará aquella documentación que solicite el Concello en relación con el proyecto (p.e. esquema dered, etc). GARANTÍA El licitador se comprometerá a proporcionar un período de garantía para el conjunto de la plataforma de doce (12) meses contados a partir de la fecha de aceptación de la entrega de la misma. CONDICIONES DE MANTENIMIENTO Aunque no forma parte del presente objeto de contratación, el licitador deberá indicar las condiciones de mantenimiento a partir de la finalización del año de garantía. En particular, deberá especificar el coste anual de mantenimiento y el nivel de servicio, una vez finalizado el período de garantía ofertado. PLAN DE TRABAJO Cada licitador deberá indicar en su oferta su propuesta de plan de trabajo para la ejecución del proyecto, señalando a su vez el equipo de trabajo que participará en él. La empresa adjudicataria acercará dicha documentación en un formato electrónico estándar (DOC, ODT o PDF), con objeto de facilitar su tratamiento y reproducción. SEGURIDAD Y CONFIDENCIALIDAD La empresa adjudicataria quedará expresamente obligada a realizar los trabajos bajo las cláusulas de secreto profesional y, en consecuencia, a mantener absoluta confidencialidad y reserva sobre la totalidad de los documentos que le sean confiados o que sean elaborados en el desarrollo del proyecto. Esta confidencialidad es extensible a cualquier dato que pudiera conocer con ocasión del cumplimiento del contrato, especialmente los de carácter personal, que no podrá copiar o utilizar con fin distinto a la que figura en este ruego, ni tampoco podrá ceder a terceros, ni siquiera a efectos de conservación.

20 Asimismo el adjudicatario quedará obligado al cumplimiento de la legislación vigente en materia de protección de datos de carácter personal en todo lo que sea de aplicación al presente proyecto, conforme al establecido en las leyes y decretos de aplicación, y en especial: Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Real Decreto 1720/2007, de 21 de diciembre, por lo que se aprueba el reglamento de desarrollo de la Ley Orgánica 15/1999. Las disposiciones de desarrollo de las normas anteriores en materia de Protección de Datos que se encuentren en vigor en el momento de adjudicación de este contrato, o que puedan estarlo durante su vigencia CONTENIDO DE LAS PROPUESTAS Las ofertas de los licitadores deberán presentar una memoria técnica con por lo menos los siguientes epígrafes: Alcance Descripción general Funcionalidad de cada uno de los elementos software y hardware (Se indicará en una hoja el cumplimiento o no de las funcionalidades solicitadas en el pliego) Plan de trabajo, equipo y metodología Plan de formación Compromisos que adquiere el proveedor Condiciones de mantenimiento Todas las funcionalidades proporcionadas por los aplicativos deben estar detalladas y justificadas. Se proporcionarán imágenes/pantallazos de aquellos aspectos más importantes. 10 Valoración 10.1 Referencias La mesa de contratación, asesorada por el equipo técnico del Ayuntamiento de Orense, comprobará el cumplimiento tanto de los requisitos técnicos de la solución propuesta como la adecuación de la misma a los requerimientos solicitados. 11 Plazos de entrega El adjudicatario efectuará el suministro, instalación y puesta en marcha de la solución propuesta (formación incluida) en un plazo máximo de 6 semanas. 12 Presentación de propuestas Las propuestas técnicas y económicas se presentarán en forma impreso y en formato electrónica (Word 2003 o PDF)