PLIEGO TÉCNICO RENOVACIÓN TECNOLÓGICA DE LA SEGURIDAD PERIMETRAL Y DE UNA PARTE DE LA ELECTRÓNICA DE RED DEL AYUNTAMIENTO DE TARRAGONA

Transcripción

1 PLIEGO TÉCNICO RENOVACIÓN TECNOLÓGICA DE LA SEGURIDAD PERIMETRAL Y DE UNA PARTE DE LA ELECTRÓNICA DE RED DEL AYUNTAMIENTO DE TARRAGONA

2 PLIEGO TÉCNICO QUE HA DE REGIR LA CONTRATACIÓN PARA LA RENOVACIÓN TECNOLÓGICA DE LA SEGURIDAD PERIMETRAL Y DE UNA PARTE DE LA ELECTRÓNICA DE RED DEL AYUNTAMIENTO. 1. INTRODUCCIÓN El presente documento describe las características técnicas para la licitación, por un lado, de la renovación tecnológica de la seguridad perimetral, y por otro, de la renovación de la electrónica de la red corporativa (CORE + CPD + Edificio Rambla Nova, 59). En la actualidad estas funcionalidades se encuentran cubiertas pero los dispositivos que las proporcionan deben renovarse tecnológicamente atendiendo al largo periodo que llevan en producción. 2. OBJETIVOS Este concurso se licitará por lotes, concretamente habrá 2 lotes. Los objetivos principales, referidos a la seguridad perimetral (LOTE1), de la presente licitación son los siguientes: Aumentar la seguridad perimetral de la red del Ayuntamiento, ya que la tecnología actual que lleva a cabo esta función ha quedado limitada debido a su antigüedad. Unificar diversos elementos que intervienen actualmente en la seguridad perimetral, con la complejidad de gestión que ello comporta, en uno sólo. Tener visibilidad de las aplicaciones que atraviesan el perímetro de la red. Poder vincular a los usuarios de la red corporativa con las aplicaciones que circulan por el perímetro. Poder disponer de información de seguridad centralizada en un único dispositivo para poder analizarla, correlacionarla y estudiarla en caso de que acontezca algún incidente de seguridad. Disponer de una arquitectura de alta disponibilidad que garantice el servicio corporativo de acceso a internet. Disponer de funcionalidades IPS en el cortafuegos. Disponer de filtrado de URLs en el cortafuegos. En cuanto a la renovación de una parte de la red del Ayuntamiento de Tarragona (LOT2), los principales objetivos que se pretenden mediante esta licitación son: Actualizar tecnológicamente el core de la red corporativa Implantar electrónica de red específica para dar servicio a los servidores corporativos. Disponer de alta disponibilidad en el core de la red corporativa Posibilitar el crecimiento de cara a futuras ampliaciones 1

3 Renovar tecnológicamente toda la electrónica de red del edificio de Rambla Nova, 59. Plataforma de gestión. 3. OBJETO CONCURS El objeto de este concurso es la adquisición de equipamiento, concretamente, LOTE1: Para la parte de la seguridad perimetral, 2 cortafuegos de nueva generación en alta disponibilidad para cubrir las necesidades del Ayuntamiento. Además, estos dispositivos ofrecerán capacidades de IPS (Sistema de Prevención de Intrusiones) y filtrado de contenidos web (filtrado URL). LOTE2: En cuanto a la renovación tecnológica de la electrónica de la red corporativa, se solicita el suministro de electrónica para sustituir el CORE de la red y dotarlo de alta disponibilidad, así como equipamiento específico para dar servicio de conectividad a los servidores (Top of Rack) y la renovación de toda la electrónica LAN del edificio de Rambla Nova, 59. Así mismo es necesario proveer de un software que permita la gestión de toda la electrónica de red, tanto la nueva como la existente. En ambas partes se incluirán los servicios necesarios de instalación y configuración de forma que todo el equipamiento adquirido quede plenamente operativo. Es decir, se solicita una solución llave en mano. 4. ESTRUCTURA DEL CONCURSO. Atendiendo a la diferente naturaleza de las soluciones solicitadas, este pliego, como ya se ha comentado anteriormente, está dividido en 2 lotes. 5. LOTE1 A partir de aquí se describen los requisitos específicos para la licitación de la renovación tecnológica de la seguridad perimetral (LOTE1). En la actualidad estas funcionalidades se encuentran cubiertas pero los dispositivos que las proporcionan deben renovarse tecnológicamente atendiendo al largo periodo que llevan en producción. 6. OBJETIVOS LOTE1 Los objetivos principales del presente lote son los siguientes: Aumentar la seguridad perimetral de la red del Ayuntamiento, ya que la tecnología actual que lleva a cabo esta función ha quedado limitada debido a su antigüedad. 2

4 Unificar diversos elementos que intervienen actualmente en la seguridad perimetral, con la complejidad de gestión que ello conlleva, en uno sólo. Tener visibilidad de las aplicaciones que atraviesan el perímetro de la red. Poder vincular a los usuarios de la red corporativa con las aplicaciones que circulan por el perímetro. Poder disponer de información de seguridad centralizada en un único dispositivo para poder analizarla, correlacionarla y estudiarla en caso de que acontezca algún incidente de seguridad. Disponer de una arquitectura de alta disponibilidad que garantice el servicio corporativo de acceso a internet. Disponer de funcionalidades IPS en el cortafuegos. Disponer de filtrado de URLs en el cortafuegos. 7. OBJETO LOTE1 El objeto de este lote es la adquisición de hardware, concretamente, 2 cortafuegos de nueva generación y alta disponibilidad para cubrir las necesidades del Ayuntamiento. Además, estos dispositivos ofrecerán capacidades de IPS (Sistema de Prevención de Intrusiones) y filtrado de contenidos web (filtrado URL). Este equipamiento deberá tener garantía de 2 años como mínimo y soporte del fabricante de, al menos, 1 año. Además, se han de incluir los servicios necesarios de instalación y configuración de forma que todo el equipamiento adquirido quede plenamente operativo. Es decir, se solicita una solución llave en mano. 8. PRECIO DE LICITACIÓN LOTE1. El precio máximo de licitación para este lote es de IVA incluido. 9. SITUACIÓN ACTUAL SEGURIDAD PERIMETRAL Actualmente la seguridad perimetral está basada en un cluster Activo/Pasivo de cortafuegos de la marca Juniper Network. Utilizan la tecnología Stateful Packet Inspection que realiza un seguimiento del estado de las conexiones de red que atraviesan el cortafuegos. Los cortafuegos instalados pueden llegar a alcanzar un rendimiento de 500Mbps y gestionar paquetes de datos por segundo. Como características principales tenemos: Disponemos de 12 puertos Ethernet 10/100/ zonas definidas. Se encuentra trabajando en modo router. Realiza NAT, PAT, MIP i VIP. Diferentes interfaces Ethernet virtualizadas. 3

5 Funcionalidades de VPN IPSec configuradas. Servidor DHCP. Cliente PPPoE. Routing BGP configurado. Gestión del dispositivo a través de WebUI. En cuanto a funcionalidades de seguridad adicionales a las propias de un cortafuegos del tipo Stateful Packet Inspection, que son las que permiten bloquear tráfico en función de IPs o puertos mediante políticas de seguridad, este dispositivo puede realizar: Protección de ataques de DoS o DDoS. Mitigación de ataques de fuerza bruta. Protección de SYN cookie, e IP spoofing. Re-ensamblaje TCP para protección contra paquetes fragmentados y protección contra malformación de paquetes. Para protocolos concretos actúa como IPS (Sistema de Prevención de Intrusiones) basándose en firmas. Función de antivirus para protocolos POP3, HTTP, SMTP, IMAP y Webmail Filtrado de URL básico. Además de los cortafuegos disponemos de otros equipos que nos ayudan a completar la seguridad perimetral. Estos equipos son: Gestor de ancho de banda Servidor Proxy + Filtrado de URL Redes privadas virtuales con conexión de capa segura (VPN SSL). Ateniéndonos a esta situación, la intención del Ayuntamiento, tal y como se ha comentado anteriormente, es aumentar la seguridad perimetral actualizando la tecnología de los cortafuegos mediante la adquisición de unos cortafuegos de nueva generación (Next Generation Firewalls), unificar los diferentes equipos que existen en el perímetro de la red en los nuevos cortafuegos, configurar en alta disponibilidad (Activo/Activo) los nuevos cortafuegos y finalmente tener visibilidad de las aplicaciones, vinculación de estas con los usuarios corporativos y disponer de la información de seguridad del perímetro relativa a todo lo anterior en un único dispositivo. 10. SOLUCIÓN REQUERIDA LOTE1 Tal y como se ha apuntado en varias ocasiones la solución requerida consta de dos cortafuegos de nueva generación para trabajar en alta disponibilidad. Estos cortafuegos deben cumplir con los siguientes apartados Características técnicas generales 4

6 Los cortafuegos ofertados deben cubrir las siguientes necesidades en cuanto a la programación de políticas de seguridad, identificación de usuarios, prevención de amenazas, calidad de servicios e informes de actividad: Identificación de aplicaciones. Los cortafuegos deben de ser capaces de identificar el tráfico, independientemente del puerto, protocolo, táctica evasiva o cifrado SSL. Capacidad de identificar, no sólo aplicaciones base, sino diferentes subaplicaciones dentro de la misma aplicación, que pueden ofrecer capacidad y comportamientos diversos. Posibilidad de vincular la actividad de las aplicaciones y las políticas de seguridad con usuarios y grupos corporativos. Es decir, los cortafuegos se podrán integrar con los servicios de directorio corporativo (en nuestro caso Directorio Activo de Microsoft) para poder obtener visibilidad del tráfico, crear políticas de seguridad, realizar análisis forense y gestionar las amenazas, la navegación web y la actividad asociada a la transferencia de datos. Posibilidad de definir políticas de seguridad basadas en aplicaciones, usuarios y contenido. Posibilidad de aplicar perfiles de seguridad al tráfico de diferentes aplicaciones. Capacidad de actuar como IPS (Sistema de Prevención de Intrusiones) para proporcionar detección de ataques contra vulnerabilidades de red y aplicación, escaneos de puertos y anomalía de paquetes entre otros. Protección contra ataques de DoS, tanto los basados en zonas como los basados en políticas y perfiles. Capacidad de realizar filtrado de URLs. Protección de antivirus para los protocolos HTTP, FTP, SMTP, IMAP, POP3 y SMB Función antispyware. Prevención de fuga de datos en general y como funcionalidades específicas, tendrán como mínimo bloqueo de archivos por tipo, filtrado de datos y control de la función de transferencia de ficheros en aplicaciones. Mecanismo de traducción de direcciones, ya sean direcciones IP/Puertos de origen como direcciones IP/Puertos de destino. Además de diferentes protocolos de Routing (OSPFv2, BGP). Soporte de Policy Based Routing ya sea basado en la IP de origen o red, la aplicación, categoría o grupo de aplicaciones y en el usuario o el grupo de usuario. Diferentes modos de funcionamiento siendo capaz de emplearlos simultáneamente en diferentes interfaces: Modo transparente, modo 2/3 y modo TAP. Establecimiento de redes privadas virtuales, ya sean VPN IPSec o VPN SSL Aplicar calidad de servicio (QoS) para el tráfico saliente, sea o no cifrado, tanto por usuario como por aplicación o zona. Monitor de ancho de banda en tiempo real. 5

7 Informes y registros. Variedad de herramientas con capacidad de crear informes, acceder a los registros del equipo, panel de control, etc... para análisis en tiempo real y forense. Capacidad para poder alimentar sistema de gestión y correlación de logs (SIEM) Especificaciones técnicas de los equipos solicitados Los dispositivos tendrán como mínimo las siguientes especificaciones técnicas. En lo que al hardware se refiere: 12 puertos Ethernet 10/100/ puertos Gigabit SFP. 2 puertos 10/100/1000 dedicados para alta disponibilidad. Puerto dedicado de gestión out-of-band. Puerto de consola con conector RJ-45. Disco duro SSD de 120GB. Especificaciones en cuanto a capacidad/rendimiento: Rendimiento del cortafuegos con la identificación de aplicaciones habilitada, es decir, trabajando a nivel 7 para todo el tráfico: 2 Gbps. Rendimiento con IDS/IPS, antivirus y antispyware activado: 1Gbps. Máximo de sesiones concurrentes: Nuevas sesiones por segundo: Rendimiento de VPN IPsec: 500 Mbps. Túneles VPN IPsec: Usuarios concurrentes VPN SSL: Sesiones de descifrado SSL: Routers virtuales: 10 Zonas de seguridad: 40 Otras especificaciones: Instalable en RACK Standard de 19. Espacio ocupado en el RACK: 1U Certificaciones: ICSA Modos de funcionamiento en alta disponibilidad: Activo/Pasivo y Activo/Activo. Formas de asignación de direcciones IP en el dispositivo: cliente DHCP, estática, PPPoE Formas de asignación de direcciones IP para usuarios: servidor DHCP, DHCP Relay y estáticas. Capacidad de trabajar con VLANS. Hasta tags de VLAN para dispositivo/interface. Máximo de interfaces:

8 Posibilidad de realizar agregación de enlaces (802.3ad). Máximo de reglas NAT: Modos de NAT: 1:1, n:n, m:n Gestión a través de interface Web, CLI o gestión centralizada. Capacidades de Syslog, Netflow y SNMP v2/v3 11. MEJORAS TÉCNICAS LOTE1 Como mejoras técnicas valorables que solicitamos, tenemos: Bolsa de horas del adjudicatario para poder dar soporte a los técnicos de sistemas durante el primer año (una vez esté aceptada la puesta en marcha). Esta bolsa de horas podrá ser tanto remota como presencial, en los casos que se requiera de intervención física. 12. GARANTÍAS Y SOPORTE TÉCNICO LOTE1 Los dispositivos solicitados en este lote han de tener, como mínimo, dos años de garantía y uno de soporte técnico del fabricante. Este soporte técnico consistirá en: Apertura de incidencias: 24x7x365. Es decir, se podrán abrir incidencias con el fabricante a cualquier hora de cualquier día de la semana y cualquier día del año. Servicio de sustitución: Siguiente día hábil. Tiempo de respuesta: Según la catalogación de la incidencia existirán varios tiempos de respuesta: < 1 hora para los casos críticos, < 2 horas para los casos con severidad alta, < 4 horas para los casos con severidad media y < 8 horas para el resto de incidencias. Acceso a toda la base de datos de conocimiento del fabricante, así como documentación, guías técnicas y consultas frecuentes. Se valorará la ampliación de soporte técnico. 13. LOTE2 A partir de aquí se describen los requerimientos específicos para la licitación de la renovación tecnológica de una parte de la electrónica de la Red Corporativa (LOTE2). En la actualidad esta parte de la red está operativa pero los dispositivos que la componen se deben renovar tecnológicamente atendiendo a la larga vida que llevan en producción. 7

9 14. OBJETIVOS LOTE2 Los objetivos principales del presente lote son los siguientes: Actualizar tecnológicamente el core de la red corporativa. Implantar electrónica de red específica para dar servicio a los servidores corporativos. Disponer de alta disponibilidad en el core de la red corporativa. Disponer de un switch de acceso en el CPD Posibilitar el crecimiento para futuras ampliaciones. Renovar tecnológicamente toda la electrónica de red del edificio de Rambla Nova, 59. Plataforma de gestión. 15. OBJETO LOTE2 El objeto de este lote es la adquisición de electrónica de red LAN. Este equipamiento debe tener garantía, como mínimo de 2 años y soporte del fabricante de al menos 1 año. Además, se incluirán los servicios necesarios de instalación y configuración de forma que todo el equipamiento adquirido quede plenamente operativo. Es decir, se solicita una solución llave en mano. 16. PRECIO DE LICITACIÓN El precio máximo de licitación para este lote es de IVA incluido. 17. SITUACIÓN ACTUAL ELECTRÓNICA DE RED Actualmente el core de la red, ubicado en el CPD del Palau Municipal, está formado por un chasis del fabricante Enterasys, concretamente el modelo Matrix N7. Disponemos de 6 tarjetas con diferentes configuraciones de puerto: 2 tarjetas con 48 puertos 10/100 y 6 puertos SFP cada una. En estas tarjetas tenemos conectados ordenadores de usuario, electrónica variada (routers, cortafuegos, wireless switch, gestor de ancho de banda, etc...) y en los puertos SFP tenemos GBICS de fibra óptica (tanto monomodo como multimodo) para dar servicio a otros armarios del propio edificio así como a sedes externas. 2 tarjetas con 30 puertos Gigabit Ethernet cada una. En estas tarjetas tenemos conectados los servidores ubicados en el CPD del Ayuntamiento. 2 tarjetas con 12 puertos SFP cada una. Tenemos conectadas sedes externas mediante fibra óptica monomodo. 8

10 El core realiza, como funciones principales, la de enrutador de toda la red entre las diferentes VLANS definidas y tiene definidas ACLs entre las diferentes redes. En cuanto a la electrónica del edificio de la Rambla Novo, 59, ahora mismo disponemos de otro equipo Matrix N7 que incluye 2 tarjetas de 12 puertos SFP y hace de enlace entre dicho edificio y el Palau, además de tener conectadas sedes remotas (mediante GBICS de fibra óptica monomodo) y toda la electrónica (los switches de planta) del propio edificio. Como switch de acceso disponemos de 5 Matrix E1 con 80 puertos 10/100 cada uno y 2 puertos SFP con GBICS de fibra óptica multimodo que enlazan con el Matrix N7. Además en la segunda planta disponemos de otro switch adicional de 24 puertos 10/ SOLUCIÓN REQUERIDA LOTE2 Tal y como se ha comentado anteriormente la solución solicitada constará de varias partes, que son: Renovación tecnológica del core aportando alta disponibilidad. Es decir, solicitamos 2 switch de 1 RU (SPINE) para hacer las funciones de core. Poner electrónica de red específica para los servidores (LEAF_ToR). Disponer de un switch de acceso al CPD. Renovación tecnológica de la electrónica de red del edificio Rambla Nova, 59. Esta electrónica constará de switches para la capa de distribución y pilas de switch para la capa de acceso. Plataforma de gestión. El esquema de lo que se pretende implantar quedaría de la siguiente manera: 9

11 Como se puede apreciar la electrónica de red solicitada estará instalada en dos edificios. Estos serán el Palau Municipal, concretamente en la sala del CPD, y el edificio de Rambla Nova, 59, distribuida en diferentes plantas, donde se ubican los racks. Estos dos edificios están conectados entre sí mediante fibra óptica monomodo propietaria, por lo que se tendrá en cuenta que los GBICS deberán ser para este tipo de fibra. Todas las demás conexiones entre electrónicas se podrán realizar mediante cobre (1000BaseT). Como detalle a tener en cuenta, la distancia entre el SPINE y el LEAF_ToR es aproximadamente de 12 metros con lo que sería interesante utilizar DAC (Direct Attach Cable o Optical), es decir, cables indivisibles con GBICS incorporado para unirlos, teniendo en cuenta que ahora mismo no existe conexión de fibra entre estos racks. 19. EDIFICIO PALAU MUNICIPAL (CPD) Características/Especificaciones técnicas del core (SPINE) Se solicitan 2 equipos de red (switchs) enrackables de 1RU de altura. Cada switch deberá disponer como mínimo de: o 48 puertos 10Gb SFP+ o 4 puertos QSFP Los equipos que conforman el core deben estar conectados entre sí, como mínimo, mediante 2x40Gb. Se deberán suministrar los GBICS de 40Gbps/10Gbps y latiguillos o DAC necesarios para que queden conectados entre ellos, con el LEAF_ToR, LEAF_COM y con el equipamiento de distribución de Rambla Nova. Se ha de tener en cuenta que ahora mismo la fibra óptica entre los edificios de Palau y Rambla es monomodo. Se deberán suministrar 30 GBICs (a distribuir entre los dos equipos) para fibra monomodo y poder conectar todas las sedes externas que tenemos conectadas con fibra óptica propia. Todos estos GBICS serán de 1Gbps. Se deberán suministrar 10 GBICS (a distribuir entre los dos equipos) para fibra multimodo y dar servicio a los racks del Palau. Todos estos GBICS serán de 1Gbps. Los 2 equipos se deben poder agrupar para poder formar una única entidad lógica a todos los niveles (gestión, nivel 2 y nivel 3). Equipos con fuente de alimentación redundante e intercambiable en caliente. Equipos con ventiladores reversibles (Front-to-rear; Rear-to-front). Los equipos, por el hecho de ser específicos de CPD, han de tenir la entrada/salida del aire para refrigeración delante/detrás, no por los lados. Mínimo de 1280Gbps de capacidad switching por equipo. Mínimo de 952Mpps de rendimiento de switching por equipo. Routing avanzado: estático, RIP, Multicast Routing Protocol, IPv6 Routing Protocol, etc... Agregación de enlaces LACP (IEEE 802.3ad) incluso entre puerots de diferentes switchs. VLANS (IEEE 802.1q) soportadas por chasis Soporte para MSTP/RSTP/STP. 10

12 DHCP Cliente/Relay/Servidor. Tamaño de tabla de direcciones: 128K direcciones MAC. 16K rutas IPv4. Tamaño de los Buffer de paquetes: 9MB. DHCP Snooping. Posibilidad de realizar ACL (básicas y extendidas) de nivel 2 a nivel4 para filtrado de tráfico. Clasificación de tráfico de L2 a L4 para permitir ofrecer QoS (IEEE 802.1p). QoS mapeado a colas de prioridades. Mínimo de 8 colas de transmisión por puerto. Port/VLAN mirroring (uno a uno, uno a muchos). Gestión del equipo a través de consola, Telnet, SSH. Puerto de gestión RJ-45 out-of-band. SNMP v1/v2c/v3 y RMON Capacidad de realizar sflow. Integración en despliegues SDN. Soporte de Openflow Características/Especificaciones técnicas del LEAF_ToR Se solicitan 2 equipos de red (switchs) enrackables de 1RU de altura. Cada uno tendrá, como mínimo: o 48 puertos 10GBaseT o 4 puertos QSFP Los equipos que conforman el LEAF_ToR deben estar conectados entre sí con 2x40Gb. Se suministrarán los GBICS de 40Gbps i latiguillos, o DAC necesarios para que queden conectados entre ellos y con el core. Los 2 equipos deben poder agruparse para poder formar una única entidad lógica a todos los niveles (gestión, nivel 2 y nivel 3). Equipos con fuente de alimentación y ventiladores redundantes intercambiables en caliente. Equipos con ventiladores reversibles (Front-to-rear; Rear-to-front). Los equipos, por el hecho de ser específicos para CPD, han de tener la entrada/salida de aire para la refrigeración delante/detrás, no por los lados. Mínimo con 1280 Gbps de capacidad switching por equipo. Mínimo con 952 Mpps de rendimiento de switching por equipo. Routing avanzado: estático, RIP, Multicast Routing Protocol, IPv6 Routing Protocol, etc... Agregación de enlaces LACP (IEEE 802.3ad) incluso entre puertos de diferentes switchs. VLANS (IEEE 802.1q) soportadas por equipo Soporte para MSTP/RSTP/STP DHCP Relay. Tamaño de la tabla de direcciones: 128K direcciones MAC 16K rutas IPv4 Tamaño de buffer para paquetes: 9MB 11

13 DHCP Snooping Posibilidad de hacer ACL (básicas y extendidas) de nivel 2 a nivel 4 para filtrado de tráfico. Clasificación de tráfico de L2 a L4 para poder ofrecer QoS (IEEE 802.1p). QoS mapeado a colas de prioridad. Mínimo 8 colas de transmisión por puerto. Port mirroring (uno-a-uno, uno-a-muchos). Gestión del equipo a través de consola, Telnet, SSH. Puerto de gestión RJ-45 out-of-band. SNMP v1/v2c/v3 i RMON. Capacidad de realizar sflow. Integración en despliegues SDN. Soporte de Openflow Características/Especificaciones técnicas del LEAF_COM Se solicitan 2 equipos de red (switchs) enrackables de 1RU de altura. Cada uno tendrá, como mínimo: o 48 puertos 1000BaseT o 4 puertos 10G SFP+ Los equipos que conforman el LEAF_COM deben estar conectados entre sí con 2x10Gb. Se suministrarán los GBICS de 10Gbps i latiguillos, o DAC necesarios para que queden conectados entre ellos y con el core. Los 2 equipos deben poder agruparse para poder formar una única entidad lógica a todos los niveles (gestión, nivel 2 y nivel 3). Equipos con fuente de alimentación y ventiladores redundantes intercambiables en caliente. Equipos con ventiladores reversibles (Front-to-rear; Rear-to-front) Los equipos, por el hecho de ser específicos para CPD, han de tener la entrada/salida de aire para la refrigeración delante/detrás, no por los lados. Mínimo con 176 Gbps de capacidad switching por equipo. Mínimo con 132 Mpps de rendimiento de switching por equipo. Routing avanzado: estático, RIP, Multicast Routing Protocol, IPv6 Routing Protocol, etc... Agregación de enlaces LACP (IEEE 802.3ad) incluso entre puertos de diferentes switchs. VLANS (IEEE 802.1q) soportadas por equipo Soporte para MSTP/RSTP/STP 14K rutas IPv4 Posibilidad de hacer ACL (básicas y extendidas) de nivel 2 a nivel 4 para filtrado de tráfico. Clasificación de tráfico de L2 a L4 para poder ofrecer QoS (IEEE 802.1p). QoS mapeado a colas de prioridad. Mínimo 8 colas de transmisión por puerto. Port mirroring (uno-a-uno, uno-a-muchos). Gestión del equipo a través de consola, Telnet, SSH. Puerto de gestión RJ-45 out-of-band. 12

14 SNMP v1/v2c/v3 i RMON. Capacidad de realizar sflow. Integración en despliegues SDN. Soporte de Openflow Características/Especificaciones técnicas switch de acceso Se solicita un switch de 48 puertos 10/100/1000Base-T y 4 puertos SFP. Con los MGBICS necesarios. Arquitectura non-blocking. Capacidad de apilamiento (stacking) de forma que el equipo virtual resultante se comporte como un único elemento a nivel de gestión, nivel 2 y nivel3. Agregación de enlaces LACP (IEEE 802.3ad). VLANS (IEEE 802.1q) soportadas por equipo Routing estático. Posibilidad de realizar ACL. Tamaño de la tabla de direcciones: Mínimo direcciones MAC. Autentificación de usuarios basada en 802.1X y/o MAC. Clasificación de tráfico de L2 a L4 para poder ofrecer QoS. Port mirroring. Gestión del equipo a través de consola, Telnet, SSH, http y https. SNMP v1/v2c/v3 y RMON. 20. EDIFICIO RAMBLA Características/Especificaciones técnicas switchs distribución Se solicitan dos switch de 24 puertos 10/100/1000Base-T y 2 puertos SFP+. Con los MGBICS necesarios. Se debe tenerse en cuenta que la fibra óptica entre los edificios Palau y Rambla es monomodo. Arquitectura non-blocking. Capacidad de apilamiento (stacking) de forma que el equipo virtual resultante se comporte como un único elemento a nivel de gestión, nivel 2 y nivel3. Agregación de enlaces LACP (IEEE 802.3ad) VLANS (IEEE 802.1q) soportadas por equipo Routing estático. Posibilidad de realizar ACL. Tamaño de la tabla de direcciones: Mínimo direcciones MAC. Autentificación de usuarios basada en 802.1X y/o MAC. Clasificación de tráfico de L2 a L4 para poder ofrecer QoS. Port mirroring. Gestión del equipo a través de consola, Telnet, SSH, http y https. SNMP v1/v2c/v3 y RMON. 13

15 20.2. Características/Especificaciones técnicas switchs acceso Se solicitan 5 pilas de switches compuestas de: o Planta SUBTERRANEA: 96 puertos 10/100/1000Base-T y 8 puertos SFP. Con los MGBICS necesarios. o Planta 2: 144 puertos 10/100/1000Base-T y 12 puertos SFP. Con los MGBICS necesarios. o Planta 3: 96 puertos 10/100/1000Base-T y 8 puertos SFP. Con los MGBICS necesarios. o Planta 5: 96 puertos 10/100/1000Base-T y 8 puertos SFP. Con los MGBICS necesarios. o Planta 7: 96 puertos 10/100/1000Base-T y 8 puertos SFP. Con los MGBICS necesarios. Arquitectura non-blocking. Capacidad de apilamiento (stacking) de forma que el equipo virtual resultante se comporte como un único elemento a nivel de gestión, nivel 2 y nivel3. Agregación de enlaces LACP (IEEE 802.3ad). VLANS (IEEE 802.1q) soportadas por equipo Routing estático. Posibilidad de realizar ACL. Tamaño de la tabla de direcciones: Mínimo direcciones MAC. Autentificación de usuarios basada en 802.1X y/o MAC. Clasificación de tráfico de L2 a L4 para poder ofrecer QoS. Port mirroring. Gestión del equipo a través de consola, Telnet, SSH, http y https. SNMP v1/v2c/v3 y RMON. 21. PLATAFORMA DE GESTIÓN Actualmente el Ayuntamiento de Tarragona dispone de la plataforma de gestión Netsight Suite para la electrónica de red implantada (mayoritariamente del fabricante Enterasys). Cabe decir que disponemos de licencia para 50 dispositivos (NMS-50) pero no podemos cubrir todos los switch que actualmente hay desplegados. Por ello, se solicita, que el licitador considere una de las siguientes opciones: Ampliar las licencias de la plataforma actual en 50 dispositivos más. Es decir, que la plataforma actual pueda gestionar hasta 100 dispositivos de electrónica de red. Ofertar una plataforma de gestión alternativa que pueda gestionar dispositivos de electrónica de red varios fabricantes. En este caso también se solicita poder gestionar hasta 100 dispositivos. Además, la nueva plataforma deberá cumplir lo siguiente: o Posibilidad de instalación tanto en servidores Windows como Linux. o Panel único de control de la red. Solución de gestión de red modular compuesta por un módulo base sobre el que se puedan instalar módulos adicionales que enriquezcan las funcionalidades de gestión. o Acceso a la plataforma de gestión vía web. 14

16 o Representación topológica de la red (nivel 2 y nivel 3). o Análisis de prestaciones de la red mediante la captación de variables SNMP de los equipos gestionados. o Gestión de alarmas o Gestión de las configuraciones y firmware de los equipos. o Generación de informes. o Gestión de VLANs. o Gestión de ACLS. o Posibilidad de definir perfiles de administración. o Control de acceso y definición de políticas de acceso de usuario a la red mediante RADIUS. 22. MEJORAS TÉCNICAS LOTE2 Como mejoras técnicas valorables se solicitan las siguientes; En cuanto a los switches de distribución, como mejora valorable, se solicita que los puertos donde irán conectadas las pilas de planta, sean SFP, es decir, 24 puertos a 1Gbps y conectables mediante fibra óptica, con los GBICS para fibra multimodo necesarios. Para los switches de acceso se solicita como mejora valorable: Que todos los puertos sean PoE o PoE+. No estamos hablando de poner un dispositivo adicional para añadir PoE a la red, si no que los propios switchs tengan la capacidad de ofrecer esta funcionalidad en todos sus puertos. Si se ofrece la mejora en cuanto a los switches de distribución, se debe tener en cuenta que los switchs de acceso de la Rambla se deberán conectar mediante fibra multimodo. Bolsa de horas del adjudicatario para poder dar soporte a los técnicos de sistemas durante el primer año (una vez aceptada la puesta en marcha). Esta bolsa de horas podrá ser tanto remota como presencial, en los casos que se requiera intervención física. 23. GARANTÍAS Y SOPORTE TÉCNICO LOTE2 Para todo el equipamiento excluyendo los SPINE, LEAF_ToR i LEAF_COM se solicita: Garantía de por vida hasta 5 años después del final de ventas del producto por parte del fabricante(end of Live), que incluya: Soporte telefónico 8x5 en días laborables. Sustitución en caso de avería hardware en 24 hores 15

17 Actualizaciones de versiones de firmware (minor versions). Actualización de firmwares con nuevas funcionalidades (major versions). Resolución de bugs. La garantía para el resto de equipos (SPINE, LEAF_ToR i LEAF_COM) ha de ser de 2 años como mínimo. En cuanto al soporte del fabricante, que como mínimo ha de ser de 1 año para estos dispositivos, se solicita 13x5x4, es decir, que el soporte cubra el horario de oficina (13 horas diarias), 5 días a la semana (de lunes a viernes) con un tiempo de respuesta de 4 horas. Para la plataforma de gestión se pide que tenga soporte contratado con el fabricante como mínimo por un año. Se valorará la ampliación del soporte de los elementos que componen la solución. 24. SERVICIOS (INSTALACIÓN Y CONFIGURACIÓN) La empresa adjudicataria deberá incluir en la oferta la totalidad de los servicios necesarios para que el hardware quede instalado, totalmente operativo y en producción. Esta instalación se realizará conjuntamente con los técnicos de sistemas de la Sección de Informática. En la oferta se deberá describir una planificación de los trabajos a realizar, con plazo y descripción lo más ajustada posible de las diferentes fases. 25. DOCUMENTACIÓ I FORMACIÓ La empresa adjudicataria deberá de aportar documentación sobre: Planificación de la instalación. Aportación de diagrama de Gantt con fases de ejecución. Las personas que se destinarán para llevar a cabo el proyecto y la formación/certificaciones de las que disponen. La información generada referente a la instalación/configuración del sistema. Además, deberá presentar un plan de formación de la solución de red implantada a los técnicos de sistemas de la Sección de Informática, para que estos tengan los conocimientos suficientes para llevar con éxito la gestión diaria del sistema. Es necesario que en el proyecto presentado quede fijado un calendario de formación. Se deberán presentar junto con la documentación los precios de mantenimiento por años sucesivos de cara a poder valorarlos y tenerlos previstos en los presupuestos. 26. LUGAR Y PLAZO DE ENTREGA 16

18 El lugar de entrega de los bienes será la Sección de Informática del Ayuntamiento de Tarragona, ubicada en el edificio de la Plaza de la Font, 1 El plazo máximo para efectuarlo será de tres meses a contar desde el día siguiente a la formalización del contrato, excepto que el adjudicatario hubiera ofertado otro plazo de entrega menor. Dentro de este plazo queda comprendida no solamente la entrega sino también la prestación de los servicios que dictamina la cláusula PREGUNTAS SOBRE EL PLIEGO Los licitadores podrán realizar las preguntas que crean oportunas con el fin de aclarar las dudas que puedan surgir. El procedimiento a seguir para efectuar las preguntas es el siguiente: Enviar las preguntas a través de correo electrónico a la dirección: ovillanova@tarragona.cat El plazo para efectuar preguntas acabará a los 3 días naturales antes de finalizar el plazo de presentación de ofertas. Las respuestas se reenviarán a todos los licitadores que así lo soliciten. Para solicitar el reenvío de las respuestas, los licitadores interesados, enviarán un correo electrónico a la dirección anteriormente citada, indicando la dirección electrónica donde deseen recibir las respuestas. 6. CONFIDENCIALIDAD Los operadores licitadores deberán describir las medidas a aplicar con el objetivo de garantizar: La confidencialidad e integridad de los datos correspondientes al Ayuntamiento de Tarragona Los requerimientos de la LOPD en materia de seguridad y protección de datos que se puedan aplicar. EL JEFE TÉCNICO DE SISTEMAS Y COMUNICACIONES Sr. Oscar Villanova Pascual Tarragona 28 de marzo de