1.- OBJETO DEL CONTRATO REQUISITOS TÉCNICOS Y FUNCIONALES MÍNIMOS DE LA SOLUCIÓN PROPUESTA 2

Transcripción

1 SUMINISTRO, IMPLANTACIÓN, MANTENIMIENTO Y SOPORTE DE UNA INFRAESTRUCTURA DE ALTA DISPONIBILIDAD Y BALANCEO DE CARGA PARA APLICACIONES WEB. PLIEGOS TÉCNICOS. Exp.: 327/ OBJETO DEL CONTRATO REQUISITOS TÉCNICOS Y FUNCIONALES MÍNIMOS DE LA SOLUCIÓN PROPUESTA CONTENIDO DEL CONTRATO... 7 Productos a Entregar MODO DE EJECUCIÓN PLAZOS DE ENTREGA, GARANTÍA, MANTENIMIENTO Y SOPORTE Pág Fecha de última Impresión: 02/09/ :11:00 1

2 PRESCRIPCIONES TÉCNICAS 1.- OBJETO DEL CONTRATO El proyecto objeto de este contrato consiste en la implantación de una infraestructura de alta disponibilidad y balanceo de carga para aplicaciones web y otros servicios de la DFA, además del mantenimiento y soporte de la infraestructura implantada. 2.- REQUISITOS TÉCNICOS Y FUNCIONALES MÍNIMOS DE LA SOLUCIÓN PROPUESTA Por motivos de seguridad de DFA/CCASA, en el presente pliego no se publica la descripción de la situación técnica actual. Los interesados en el proceso de licitación, deberán solicitar información de las fuentes en la dirección de correo electrónico pliegoad@alava.net indicando: Empresa solicitante Nombre del contacto Correo electrónico Número de teléfono del contacto La nueva plataforma estará compuesta por dos dispositivos appliance con hardware dedicado que proporcionarán funciones de gestión y balanceo de tráfico. La nueva solución permitirá distribuir peticiones o diferentes tráficos de red entre un conjunto de servidores distribuidos e interconectados a nivel de red para equilibrar la carga de trabajo entre ellos. En estos dispositivos, la técnica de balanceo de tráfico deberá aportar alta disponibilidad y tolerancia a fallos al sistema en niveles hardware, así como a nivel de aplicación, proporcionando redundancia, equilibrando el tráfico, y optimizando recursos mediante la distribución de peticiones o flujos de red entre servidores conectados, gestionando tráfico a nivel de capa 4 y capa 7. El nuevo equipamiento estará compuesto por dos dispositivos appliance cumpliendo cada uno de ellos los siguientes requisitos y funcionalidades de forma individual: Características físicas y de rendimiento El equipo ofertado debe ser una plataforma de hardware de propósito específico denominado appliance, además, el sistema operativo del equipo ofertado debe ser igualmente de propósito específico, es decir un SO desarrollado específicamente para propósitos de balanceo de carga de servicios y aplicaciones basadas en IP (TCP/UDP) y servicios web. La arquitectura del equipo tiene que estar basada en FPGA incluyendo hardware específico, independiente del procesador principal, para determinadas funciones. El equipo debe incluir al menos 32 GB de RAM y un mínimo de 400GB de HDD SSD. El equipo ha de ser enracable en rack standard de 19. 2

3 El equipo debe estar provisto de al menos 4 puertos de cobre 10/100/1000 Mbps, y al menos 8 puertos compatibles con SFP+ a 1 ó 10 Gbps. Además se incluirán al menos 2 conectores SFP de cobre por appliance. El equipo debe incluir al menos una fuente de alimentación AC de 400W con posibilidad de agregar una segunda fuente de las mismas características. El rendimiento del equipo en términos de throughput nominal debe ser al menos de 30 Gbps, para capa 7 debe ser de al menos 15 Gbps. En términos de conexiones el equipo debe soportar al menos conexiones por segundo de capa 4 y al menos 24 millones de conexiones simultáneas en total. El equipo debe ser capaz de soportar un esquema de alta disponibilidad, en modo activo-pasivo, que pueda ser escalable como mínimo hasta 8 equipos (que podrían diferir en versión de hardware). También deberá soportar el modo activo-activo. La configuración será sincronizada entre todos los dispositivos del grupo pudiendo optar por sincronización automática o manual. Ante la necesidad de conmutar el tráfico a otros dispositivos del grupo, el sistema deberá poder determinar el mejor dispositivo basándose en: recursos, capacidad y/o carga de tráfico en cada dispositivo, identificando la mejor opción incluso cuando la plataforma sea heterogénea. Funcionalidades de administración de tráfico La solución debe realizar funciones de balanceo de tráfico a aplicaciones basadas en TCP/UDP, incluidos servicios web. La solución debe permitir la definición de dirección IP y puerto virtual para la prestación de un servicio, que permita atenderlo mediante una granja de servidores identificados mediante una dirección IP y un puerto del servicio igual o diferente del presentado al público. La solución debe tener arquitectura Full-Proxy, control de entrada y salida de conexiones distinguiendo conexiones del lado del cliente y del lado del servidor, o los recursos. Deberá permitir persistencia de conexiones hacia la aplicación con base en cualquier información contenida en cualquier parte del paquete completo. La solución debe permitir control de balanceo de tráfico atendiendo a uno o varios de los tipos de algoritmos especializados en balanceo. Por ejemplo: round robin, ratio, ratio dinámico, respuesta rápida, conexiones mínimas, análisis de carga, menor número de sesiones, balanceos personalizados mediante lenguajes de programación. La solución debe realizar monitorización del estado de los servidores que gestione el equipo de balanceo de tráfico, por medio de: Ping. Monitorización nivel de TCP y UDP de puertos específicos. Monitorización http y https. Monitorización del hardware y software mediante Windows Management Instrumentation (WMI) o mediante un sistema similar reconocido y aprobado por Microsoft. 3

4 Verificación de la salud de una combinación de servicios, permitiendo tomar la decisión del estado de salud aplicando varios monitores simultáneos. Ejecución de scripts para determinar la respuesta emulando un cliente. Configurar monitores predefinidos y personalizados que permitan comprobar y verificar la salud y disponibilidad de los componentes de la aplicación y de la red. Monitorización en línea, donde el funcionamiento de la aplicación determine el estado de salud de la misma. Monitorización de aplicaciones de mercado, incluyendo: LDAP, FTP, SMTP, IMAP/POP3, Oracle, MSSQL, MySQL, RADIUS, SIP, Protocolo SASP, SOAP, WMI, SNMP. Control de persistencia de las conexiones según los siguientes criterios: Dirección IP origen, Dirección IP destino, Cookies, Hash, SIP (permitiendo definir el campo SIP sobre el cual hacer persistencia), Sesiones SSL, Microsoft Remote Desktop. Debe garantizar afinidad del servidor, de tal forma que una solicitud de un cliente y cada solicitud posterior se dirijan al mismo servidor de la granja. Posibilidad de acceso a la API para construir aplicaciones de administración o monitorización personalizadas. Como por ejemplo: Soporte de SOAP/XML, integración con aplicaciones como VMWare vcenter, Microsoft System Center Virtual Machine Manager (SCVMM), Soporte de Java,.NET, PERL, PHP, PowerShell y Python. Las interfaces de control deben ser accesibles por conexiones SSL con requerimientos de autenticación vía http básica, para evitar accesos no autorizados. Soporte de API REST Deberá ser posible modificar el contenido HTML utilizando objetos de configuración y sin necesidad de generar scripts. El sistema deberá soportar scripts de programación basados en un lenguaje estructurado (TCL) que permita crear funcionalidades que por defecto no se encuentren en el menú de configuración u opciones, y debe soportar la creación de procedimientos o funciones que pueden ser utilizadas desde cualquier otro script. El equipo debe ser compatible con IPSEC y estar certificado a nivel IPSEC 1.3 por ICSA Labs. Funciones de aceleración de tráfico La implementación de la solución debe incluir la capacidad de acelerar tráfico de aplicación, incluyendo: memoria cache, compresión tráfico HTTP, optimización de conexiones a la aplicación a nivel TCP y multiplexación de conexiones hacia los servidores. El sistema deberá permitir comprimir tráfico http a través del estándar GZIP y será compatible con los navegadores MS Internet Explorer, Google Chrome, Mozilla Firefox, Safari, etc. La capacidad de compresión de tráfico será de al menos 12 Gbps. 4

5 Debe soportar el protocolo SPDY y funcionar como Gateway SPDY aun cuando los servidores Web no soporten esta característica. Debe soportar el protocolo HTTP 2.0 y funcionar como Gateway HTTP 2.0 aun cuando los servidores Web no soporten esta característica. Funciones de seguridad La solución debe incluir el soporte de aceleración SSL. La solución debe soportar al menos transacciones por segundo SSL para claves de 2K. La solución debe tener la capacidad de soportar al menos 12 Gbps de bulk encryption. Soporte de claves SSL de 1024, 2048 y 4096 bits. La solución debe manejar AES, AES-GCM, SHA1/MD5 y soportar algoritmos de clave pública: RSA, Diffie-Hellman, Digital Signature Algorithm (DSA) y Elliptic Curve Cryptography (ECC). El equipo o sistema operativo debe estar certificado por ICSA Labs como Firewall de Red (Network Firewall). Debe soportar e incluir geolocalización de direcciones IP. Protección SYN Cookies contra ataques por inundación SYN. Esta funcionalidad deberá ser realizada por hardware específico y soportar al menos de SYN cookies por segundo. Firmado criptográfico de cookies para verificar su integridad. Capacidad de integración con dispositivos HSM externos. Deberá soportar al menos Thales nshield Y SafeNet Luna S. La solución debe permitir la funcionalidad Proxy SSL. Esta funcionalidad permite que la sesión SSL se establezca directamente entre el usuario y el servidor final, pero el equipo balanceador debe ser capaz de desencriptar, optimizar y reencriptar el trafico SSL sin que el balanceador termine la sesión SSL. Se requiere que soporte la extensión STARTTLS para el protocolo SMTP de manera que pueda cambiar de una conexión sin encriptar a una conexión encriptada sin necesidad de cambiar el puerto. La solución debe permitir futuras ampliaciones mediante licencias sobre el mismo appliance de la funcionalidad Web Application Firewall certificada por ICSA Labs. Estándares de Red Soporte VLAN 802.1q, Vlan tagging. Soporte de 802.3ad para definición de múltiples troncales. Soporte de NAT, SNAT. Soporte de IPv6: El equipo debe funcionar como puerta de enlace entre redes IPv6 e IPv4 permitiendo acceso a ambos tipos de redes. 5

6 Soporte de Rate Shaping. Soporte de dominios de enrutamiento, donde cada uno pueda tener su propia puerta de enlace. Debe soportar VXLAN, VXLAN Gateway, NVGRE y Transparent Ethernet Bridging para entornos de redes virtuales. Administración del equipamiento La solución debe permitir el acceso para su administración mediante línea de comandos vía SSH, y mediante una interfaz de administración gráfica basada en web. La solución debe integrarse con Directorio Activo Windows 2003 o superior, LDAP y RADIUS. La solución debe permitir comunicación cifrada y permitir la autenticación del equipo y de los usuarios administradores mediante certificados digitales. La solución debe soportar el envío de alertas y eventos a un sistema centralizado mediante SysLog, notificaciones SMTP y SNMP 2.0 o superior. El sistema de administración debe ser totalmente independiente del sistema de procesamiento de tráfico. El equipo debe contar con un módulo de administración tipo lights out que permita encender o apagar el sistema de manera remota y visualizar el proceso de arranque. La interfaz gráfica debe contar con un panel de control personalizable que permita monitorizar el estado del equipo en tiempo real. El equipo debe contar con un módulo de reportes que permita visualizar gráficamente el comportamiento de las aplicaciones HTTP, por ejemplo, latencias hacia los servidores, latencias en las URLs, direcciones IP a las que acceden las aplicaciones, URLs más visitadas, y otras estadísticas acerca de los servicios creados y los servidores físicos. El equipo debe contar con plantillas para la implementación rápida de aplicaciones de mercado conocidas como por ejemplo Oracle, Microsoft, SAP, IBM y otras y asimismo, debe permitir crear plantillas personalizadas, actualizables y exportables. Virtualización El equipo debe soportar la virtualización del dispositivo de forma que se puedan configurar al menos 8 instancias del sistema operativo corriendo simultáneamente, siendo posible asignar independientemente a cada una sus propios recursos de CPU y memoria. En el appliance podrán coexistir instancias ejecutando cada una versiones diferentes del sistema operativo. La solución debe permitir configurar clusters entre equipos de rack o de tipo chasis a fin de facilitar la escalabilidad del sistema bajo demanda permitiendo el failover de uno o más servicios hacia cualquier equipo miembro del cluster. 6

7 Funciones de Acceso La solución debe ser capaz de autenticar a los usuarios contra sistemas LDAP, LDAPS, RADIUS, TACACS+, Directorio Activo, HTTP, RSA, OCSP, CRLDP. El equipo debe soportar la implementación de VPN SSL. 3.- CONTENIDO DEL CONTRATO Deberán entregarse todos los elementos necesarios y realizarse todas las actividades precisas para dejar la nueva plataforma de alta disponibilidad plenamente operativa e integrada en la instalación informática de la DFA. Los suministros y trabajos a contratar que deberán ser ejecutados por el adjudicatario son los siguientes: Revisión del diseño y planificación de la implantación Antes de acometer el proyecto propiamente dicho será necesaria una fase de revisión del diseño y planificación conjunta entre los técnicos del CCASA y de la empresa adjudicataria. En esta fase se incluirá la revisión de los elementos y configuraciones implantados actualmente en DFA. El diseño propuesto por los licitadores se debe ajustar a los mínimos marcados en el apartado Solución técnica propuesta. El diseño establecido en este apartado debe considerarse como prestaciones mínimas exigidas, pudiendo ser mejoradas por las ofertas de los licitadores. Suministro del equipamiento de alta disponibilidad La empresa adjudicataria suministrará como mínimo, todo el equipamiento de alta disponibilidad incluyendo el hardware, software y licencias asociadas a la nueva plataforma indicada en el apartado de Solución técnica propuesta. Todo el equipamiento se suministrará en régimen de propiedad de la DFA, y deberá integrarse en la instalación informática de la DFA en lo referente a protocolos, funcionalidades, etc. a fin de simplificar la gestión y administración, facilitar el mantenimiento y unificar conocimientos y habilidades del personal técnico de CCASA. Instalación y configuración de todo el equipamiento hardware y software suministrado Instalación en rack y configuración de todo el equipamiento según las necesidades de la DFA. A título orientativo y no excluyente: La configuración del equipamiento suministrado deberá incluir funcionalidad de alta disponibilidad y configuración de proxy inverso para cada una de las instancias estancas definidas, sustituyendo funcionalmente el equipamiento hardware o componentes software que se utilizan en la actualidad al efecto y proporcionando soluciones de balanceo y disponibilidad de capa aplicación. 7

8 El equipamiento deberá contener toda la configuración necesaria para sustituir el sistema de proxy inverso externo actualmente implantado en DFA. Se deberán adaptar las configuraciones de los equipos de red que interaccionen con la nueva plataforma de alta disponibilidad respetando los protocolos actuales. Garantía de disponibilidad del servicio en los trabajos de implantación. En todo momento, el adjudicatario deberá garantizar que los trabajos de implantación incidan mínimamente en el servicio prestado a los usuarios. Pruebas de funcionamiento y alta disponibilidad del nuevo equipamiento Además de los suministros, servicios y trabajos descritos, deberán realizarse todos aquellos trabajos y suministros necesarios para dejar la nueva plataforma de alta disponibilidad plenamente operativa e integrada con la instalación informática de la DFA, incluyendo los trabajos de sustitución del proxy inverso externo de la DFA, y los componentes software utilizados actualmente para proveer balanceo y/o alta disponibilidad de servicios, aunque no se hayan detallado en la relación anterior. No son objeto del presente contrato los siguientes trabajos: La instalación de la infraestructura básica como es la instalación de armarios, el tendido eléctrico y el cableado horizontal que se precise para la migración. Productos a Entregar Equipamiento de alta disponibilidad y licencias software Los licitadores deberán ofertar 2 appliances y las licencias necesarias que permitan realizar las funciones descritas en el apartado de solución técnica propuesta, pudiendo ofertar equipamiento o licencias adicionales o de características superiores. Servicio de mantenimiento y soporte Ver apartado de Garantías del presente pliego. Documentación de la instalación pruebas de validación y traspaso de conocimiento Se entregará la documentación técnica de proyecto con las topologías, configuraciones y los diagramas que sean necesarios. Se incluirá asimismo, toda aquella información adicional no contenida en data sheets o manuales del equipamiento que sea necesaria para el correcto funcionamiento de la instalación. Deberá contemplarse el traspaso de información y conocimientos técnicos necesarios para que el personal de CCASA pueda gestionar posteriormente los equipos instalados de forma totalmente autónoma. 8

9 La transferencia de información y conocimiento se planteará en el ámbito de la solución implantada, incluyendo el manejo, operación y mantenimiento de los equipos suministrados, centrándose en la configuración específica implantada en la DFA. Esta transferencia de información está destinada al personal técnico de CCASA y tendrá una duración mínima de 16 horas. 4.- MODO DE EJECUCIÓN Lugar y horario de prestación del servicio: Los trabajos se realizarán en las dependencias del CCASA con carácter general en horario de 8:00 a 15:00. Sin embargo, todas aquellas actuaciones que impliquen un corte en el servicio deberán realizarse en un horario acordado con CCASA y siempre fuera de su horario laboral. Certificaciones de las empresas licitadoras: Las empresas licitadoras deberán contar con la máxima certificación del fabricante a nivel de empresa (denominación Gold o similar). Deberá aportarse la documentación que acredite dicha certificación. Equipo de trabajo: En la oferta deberá indicarse el equipo de trabajo que el proveedor dedicará al proyecto, incluyendo el C.V. de las personas asignadas. Dicho equipo de trabajo debe contar, al menos, con los siguientes recursos: Un jefe de proyecto con experiencia superior a 5 años en dirección de proyectos de implantación de sistemas de alta disponibilidad y balanceo con dedicación parcial al proyecto. Un técnico con experiencia superior a 3 años en proyectos de implantación de sistemas de alta disponibilidad y balanceo del fabricante de la solución ofertada, con dedicación total al proyecto. Al menos uno de los componentes del equipo de trabajo debe disponer de certificación por parte del fabricante de la solución ofertada. Deberá aportarse la documentación que acredite dicha certificación. Entrega de material: El equipamiento a suministrar deberá ser entregado en las oficinas de CCASA. Los equipos se consideran como recepcionados tras su ubicación, configuración y posterior comprobación de su correcto funcionamiento por parte del equipo de trabajo formado por el personal de CCASA y del adjudicatario. 9

10 5.- PLAZOS DE ENTREGA, GARANTÍA, MANTENIMIENTO Y SOPORTE Plazos de entrega: Se deberán cumplir las siguientes fechas. El inicio de los trabajos tendrá lugar como máximo en el plazo de una semana desde la firma del contrato. Todo el equipamiento será entregado como máximo en el plazo de 6 semanas desde la firma del contrato. El 31 de Diciembre de 2015 todo el nuevo equipamiento deberá encontrarse instalado y en producción. El servicio de mantenimiento y soporte se extenderá hasta el 31 de diciembre del Garantía: Toda la solución implantada dispondrá de garantía hasta el 31 de Diciembre de 2016 e incluirá tanto la reposición de componentes hardware defectuosos como mantenimiento de nuevas versiones de software. Mantenimiento y soporte: Se deberá incluir un servicio de soporte en modalidad de 8 x 5 hasta el 31 de Diciembre del 2016 que permita gestionar las garantías, reposiciones y nuevas versiones de software, así como los problemas y consultas relativas a la nueva plataforma. Este servicio deberá incluir consultas telefónicas, o vía web, así como asistencia in situ en caso necesario. 10