LAN infrastruktura Dodané aktivní prvky musí splnit (nebo převýšit) všechny technické parametry uvedené v následujících tabulkách.

Transkript

1 Popis projektu Řešení infrastruktury v nové budově SFŽP je realizováno za účelem vytvoření moderní počítačové sítě využívající dvouvrstvý hierarchický model (přístupová a páteřní vrstva). Zároveň v této infrastruktuře je nasazena bezpečnost jak na úrovni perimetru sítě, tak na úrovni ochrany uživatelských stanic zaměstnanců SFŽP. Pro zajištění mobility pracovníků i navštěvujících osob SFŽP je implementována integrovaná bezdrátová síť s centrálním managementem. Uchazeč je povinen doložit, že je certifikovaným partnerem výrobce pro prodej a servis nabízených zařízení velkým společnostem pro páteřní přepínače, přístupové přepínače a hardwarový firewall. Schéma celkového řešení projektu je znázorněna na následujícím schématu: Technické y řešení Všechny komponenty řešení musí být od jednoho výrobce pro dosažení maximální kompatibility a jednoduchosti správy řešení. Součástí dodávky musí být návrh ip adresního prostoru s dostatečným prostorem IP adres (RFC1918), segmentace minimálně do 10. VLAN. LAN infrastruktura Dodané aktivní prvky musí splnit (nebo převýšit) všechny technické y uvedené v následujících tabulkách. Přístupové přepínače 6ks Základní vlastnosti Třída zařízení Formát zařízení Směrování IPv4 L3 switch stohovatelný 1 z 1

2 Směrování IPv6, upgradem SW Provedení minimálně následující 2 typy přepínačů a jejich množství 5ks přepínačů - 48 portů 10/100/1000, 4 porty 1GE - (SFP) 1ks přepínače - 48 portů 10/100/1000, 4 porty 1GE (SFP), i v provedení s napájenými porty podle standardu 802.3af Výkonnostní y Propustnost přepínacího subsystému Min. 32 Gbps Protokoly fyzické vrstvy IEEE IEEE 802.3ad Podpora "jumbo rámců" Protokoly 2. vrstvy IEEE 802.1D IEEE 802.1Q Minimální počet aktivních VLAN 1000 IEEE 802.1X - Port Based Network Access Control IEEE 802.1s - Multiple Spanning Tree Protocol IEEE 802.1w - Rapid Tree Spanning Protocol IEEE 802.1p - Minimální počet vnitřních front 4 Per VLAN rapid spanning tree (PVRST+) nebo ekvivalentní Detekce protilehlého zařízení Detekce jednosměrnosti optické linky Multicast/broadcast storm control - hardwarové omezení poměru unicast/multicast rámců na portu v procentech Protokol IP IP alias (více IP sítí na jednom rozhraní) QoS DHCP relay Směrovací protokoly BGPv4, upgradem SW 2 z 2

3 OSPFv2, OSPFv3 OSPF s MD5 RIPv2, upgradem SW, upgradem SW Směrování multicastu IGMPv2 IGMPv3 IGMPv3 snooping IPv6 MLDv1 & v2 snooping Bezpečnost Podpora reverse path check (urpf) ACL na rozhraní IN/OUT (včetně virtuálních - VLAN, loopback, 802.1ad) ACL pro IP IPv6 ACL ACL pro ethernetové rámce Možnost definovat povolené MAC adresy na portu Možnost definovat maximální počet MAC adres na portu Možnost definovat různé chování při překročení počtu MAC adres na portu (zablokování portu, blokování nové MAC adresy) DHCP snooping Dynamic ARP inspection (DAI), upgradem SW Management CLI rozhraní SSHv2 SSHv2 over IPv6 Možnost omezení přístupu k managementu (SSH, SNMP) pomocí ACL SNMPv2 SNMPv3 Čítače paketů a bytů pro každou frontu a shaper (včetně přístupu přes SNMP) Čítače paketů pro jednotlivá pravidla v ACL Sériová konzolová linka DNS klient 3 z 3

4 NTP klient s MD5 autentizací RADIUS klient pro AAA (autentizace, autorizace, accounting) Port mirroring Vzdálený port mirroring Syslog Možnost rozšíření o záložní napájení Páteřní přepínač 2ks Základní vlastnosti Typ zařízení Formát zařízení Řídící modul s dvěma integrovanými rozhraními 10GE (Ethernet 10 Gb/s) pro propojení páteřních přepínačů mezi sebou - min. 1ks s možností rozšíření o druhý redundantní řídící modul L3 přepínač modulární Minimální počet portů ethernet 10/100/1000 (RJ-45) 24 Minimální počet portů ethernet 1000BaseT (SFP) 24 Redundantní zdroj Minimální počet slotů v šasi 6 Podpora modulů se 6 porty 10GE pro budoucí rozšíření Podpora modulů s min. 24 porty 1000BaseX (SFP) Směrování IPv4 Směrování IPv6 Podpora IPv4, IPV6 v hardware Výkonnostní y Celková propustnost centrálních řídících modulů (IPv4/IPv6) Celková kapacita centralního přepínání /propustnost přepínacího subsystému Minimální dostupná kapacita na slot Minimální počet záznamů ve směrovací tabulce - IPv4 unicast Minimální počet záznamů ve směrovací tabulce IPv6 unicast Minimální počet záznamů ve směrovací tabulce - IPv4 multicast Minimální počet záznamů ve směrovací tabulce IPv6 multicast 250/125 Mpps 320 Gbps/250 Mpps 24 Gbps 256k 128k 128k 64k Protokoly fyzické vrstvy IEEE IEEE 802.3ad 4 z 4

5 IEEE 802.3ad přes více karet Podpora "jumbo rámců" Protokoly 2. vrstvy IEEE 802.1D IEEE 802.1Q Minimální počet aktivních VLAN 4096 IEEE 802.1X - Port Based Network Access Control IEEE 802.1s - multiple spanning trees IEEE 802.1w - Rapid Tree Spanning Protocol IEEE 802.1p Vynucená 10/100 autonegotiation pro 10/100/1000BaseT porty Detekce protilehlého zařízení Detekce jednosměrnosti optické linky Možnost autorecovery po chybovém stavu (UDLD, root guard, loop guard) Multicast/broadcast storm control - hardwarové omezení poměru unicast/multicast rámců na portu v procentech Protokol IP IP alias (více IP sítí na jednom rozhraní) QoS DSCP-based Queue Mapping DHCP relay Router redundancy protokol Směrovací protokoly BGPv4 OSPFv2, OSPFv3 OSPF s MD5 RIPv2 Policy-based routing podle ACL Podpora Virtual Route Forwarding-Lite (VRF-Lite) formou volitelné licence Směrování multicastu PIM (dense i sparse mód) IGMPv2 IGMPv3 IGMPv3 snooping IPv6 MLDv1 & v2 snooping 5 z 5

6 Bezpečnost Podpora reverse path check (urpf) ACL na rozhraní IN/OUT (včetně virtuálních - VLAN, loopback, 802.1ad) ACL pro IP ACL pro ethernetové rámce Možnost definovat povolené MAC adresy na portu Možnost definovat maximální počet MAC adres na portu Možnost definovat různé chování při překročení počtu MAC adres na portu (zablokování portu, blokování nové MAC adresy) DHCP snooping Dynamic ARP inspection (DAI) Počet NAC a DHCP snooping záznamů Management CLI rozhraní SSHv2 Možnost omezení přístupu k managementu (SSH, SNMP) pomocí ACL SNMPv2 SNMPv3 Interpretace uživatelských CLI a Tcl skriptů a jejich aktivace asynchronní událostí v systému zařízení Čítače paketů pro jednotlivá pravidla v ACL Sériová konzolová linka DNS klient NTP klient s MD5 autentizací RADIUS klient pro AAA (autentizace, autorizace, accounting) Port mirroring Vzdálený port mirroring Syslog Služby Podpora NTP DHCP server Bezdrátová infrastruktura Dodané bezdrátové řešení musí splnit (nebo převýšit) všechny technické y uvedené v následujících tabulkách. 6 z 6

7 Obecné vlastnosti Automatizovaná správa frekvenčního pásma Automatizované řešení roamingu uživatelů v rámci AP na jednom kontroleru i mezi kontrolery Podpora hlasových aplikací (call admission control, QoS, rychlý roaming při WPA autentizaci) Integrované řešení návštěvnického přístupu Bezpečné oddělení návštěvnického provozu od zaměstnaneckého provozu Integrovaná správa návštěvnických účtů s možností definice jejich platnosti Webová autentizace návštěvníků Podpora možnosti tunelování uživatelských dat z AP až na kontroler Podpora možnosti lokálního bridgování uživatelských dat přímo na příslušném AP Bezpečnost Podpora i, respektive jeho implementací WPA a WPA2 včetně enterprise variant autentizace/šifrování 802.1x/EAP autentizace: PEAP, LEAP, EAP-FAST, EAP-TLS,... Šifrování: AES, TKIP Integrovaný IDS systém pro detekci útoků na bezdrátovou síť (wireless IDS) Detekce cizích AP (Rogue AP) a klientů v AdHoc režimu Možnost vynuceného odpojení klientů od cizích AP Podpora ochrany řídících rámců na AP a klientovi (Management Frame Protection) Možnost integrace s L3 IDS/IPS (odpojení uživatele od bezdrátové sítě v návaznosti na impuls od L3 IDS/IPS systému Centrální administrace správců s granularitou přístupových práv Vysoká dostupnost Automatické zvýšení vysílacího výkonu okolních AP při výpadku AP ( self healing ) Možnost redundance na úrovni kontrolerů a jejich portů Diferenciace QoS pro hlasové služby, zaměstnance a návštěvníky Podpora e/WMM Policing provozu na úrovni jednotlivých uživatelů (nastavitelná šířka pásma pro uživatele) Vlastnosti AP s integrovanými anténami (12ks) Podpora a Podpora b/g 7 z 7

8 Typ antén 10/100 Ethernet rozhraní Integrované Konsolový port Možnost PoE napájení AP na úrovni 802.3af ze síťového přepínače Hardwarově asistované AES šifrování Ochrana management rámců Kontroler pro bezdrátovou síť 1ks Konzolový port Podpora správy přes telnet CLI, SSH CLI, https a http web GUI Podpora až 12 registrovaných AP Podpora Fast Secure Roamingu Podpora a/b/g, podporav n Draft Možnost clustrování s dalšími bezdrátovými kontrolery Možnost využívání šablon pro vytváření QoS a bezpečnostních politik, mobility skupin Integrovaný radio-resource management Detekce průniku do bezdrátové sítě, jeho lokalizace a jeho vyřešení Mobility management Optimalizace multicast provozu v bezdrátové síti (plný IGMP snooping) Podpora auto-provisioningu Rychlá detekce selhání AP (pod 4 sekundy) Management a správa guest access 1ks Podpora operačního systému Windows Podpora GUI přes HTTP/HTTPS Hierarchické mapy zobrazující umístění AP, předpokládané šíření signálu a případně i aktuální pozice wifi klientů (notebooků, PDA, WiFi telefonů, WiFi RFID tagů apod.) Inventory management Centrální konfigurace bezdrátových sítí vč. bezpečnostních politik, QoS profilů Konfigurace pomocí šablon Centralizovaný sběr wifi událostí včetně bezpečnostních a přeposílání do nadřazeného dohledu Nástroje pro detekci a řešení problémů v bezdrátové síti (grafy obsazenosti kanálů, grafy odpovídající provozu klientů, atd.) 8 z 8

9 Nástroje pro plánování sítě, rozšíření stávající a pro nové lokality Reporting Podpora SNMPv1, SNMPv2, SNMPv3 Možnost detekce intereference non-wifi původu Portál pro vytváření guest účtů (tzv. Lobby ambassador) Bezpečnostní řešení Dodané bezpečnostní řešení musí splnit (nebo převýšit) všechny technické y uvedené v následujících tabulách. Hardwarový firewall a VPN koncentrátor 1ks Podporovaný počet současně otevřených spojení Min Podpora stateful failover Propustnost samotného firewallu active/active i active/standby Min. 300 Mbps Podporovaný počet nových spojení za sekundu 9000 Rozšiřitelnost firewallu o IPS funcionalitu pomocí přídavného IPS modulu Propustnost firewallu kombinovaného s IPS Podpora virtuálních bezpečnostních kontextů (virtuálních firewallů) možnost budoucího rozšíření Rozhraní Min. 150 Mbps, dva v základu, přikoupením licence v případě potřeby až na pět min. 5x 10/100 pro data Podporovaný počet VLAN min. 100 Podpora IPSec VPN Podpora SSL VPN, zakoupená licence pro min. 250 uživatelů, možnost pozdějšího rozšíření až na 250 uživatelů formou licence Počet současných VPN spojení (i kombinovaných IPSec/SSL) Min. 250 Propustnost 3DES/AES VPN Podpora VPN clustering a load balancing Podpora L2 (transparentního) módu s podporou NAT a PAT Podpora L3 (routovaného) módu s podporou NAT a PAT Správa firewallu pomocí grafického rozhraní Správa firewallu pomocí příkazové řádky (CLI) Redundantní zdroj Min. 170 Mbps 9 z 9

10 Kontrola přístupu uživatelů do sítě Podpora min. počtu uživatelů Řešení formou hw appliance a současně sw nástroje na management řešení Identifikace uživatele Identifikace zařízení Kontrola stavu zařízení Vynucení určitého stavu (instalovaný SW, aktualizace, běžící služby) před vlastním přístupem do sítě Namapování požadavku na stav stanice po identifikaci uživatele je na jeho identitu (popř. skupinu uživatelů) Autentizace integrovaná se single-sign-on pro VPN klienty, bezdrátové klienty, a Windows AD domény Integrace s Kerberosem, LDAP, RADIUS, AD Proaktivní prevence virů, červů, spyware Automatizované vyhodnocení zranitelnosti koncové stanice (pro OS MS Windows, Mac OS, Linux-based, také non-pc zařízení) Identifikace aplikací podle nastavení registračních klíčů, běžících služeb nebo systémových souborů Karanténování zařízení, které není v souladu s bezpečnostními politikami Zajištění přístupu karanténovaného zařízení ke zdrojům nápravy (servisní patche, antivirové aktualizace apod.) Automatická aktualizace bezpečnostní politiky Centralizovaný management přes webové GUI Flexibilní módy nasazení (virtuální nebo skutečná IP gateway, u perimetru nebo centrální, L2 nebo L3 klientský přístup, in-band, out-of-band) Integrace single sign-on s centrální řídící jednotkou pro bezdrátovou síť Řešení musí umožnit, aby prostřednictvím změn nastavení sítě došlo k povolení konektivity resp. vynucení bezpečnostních politik na koncových zařízení SW vybavení aktivních prvků musí obsahovat inteligenci potřebnou k nasazení network admission control Použití SNMP protokolu, pro komunikaci s aktivními prvky, při nasazení v režimu out-of-band Ověření uživatele různými metodami na stejném NAC HW (host X firemní uživatel) Namapování identity uživatele na požadavky IT a bezpečnostní politiky organizace Prověření stavu zařízení různými metodami (instalovaný agent X ActiveX WEB agent, Network Scan) Autentizace oproti AD, LDAP, AAA serveru či lokálně Min. 250 uživ. 10 z 10

11 Možnost budoucího rozšíření řešení na kontrolu přístupu nemanagovaných zařízení, např. tiskárny, kamery, UPS atp. Rozmístění: Rozmístění technologických místností a hrubý přehled pozičního řešení Office planu je v příloze jako náčrtek (Přílohy 1a-c). 11 z 11