Objeto: 1.1 Registro de preços para eventual aquisição de materiais permanentes de informática, para atender às necessidades do Instituto Federal de Educação, Ciência e Tecnologia de Pernambuco – Campus Garanhuns e demais órgãos participantes, conforme especificações e quantidades estabelecidas abaixo:







  

19. Deve possuir autenticação IEEE 802.1x de múltiplos usuários por porta, para o caso de links com switches não gerenciáveis. Apenas o tráfego dos usuários que se autenticarem será permitido;
20. Deve possuir funcionalidade que permita o autodescobrimento do equipamento conectado na porta do switch. Após este descobrimento, o switch deve aplicar sem intervenção humana as regras na porta (VLAN, velocidade, QoS, spanning tree) conforme o tipo de equipamento conectado;
21.O equipamento deve permitir sua configuração automática com base em outro equipamento da rede, sem intervenção humana, permitindo a rápida substituição do equipamento. Ao ser ligado, o equipamento deve buscar esta configuração com base em parâmetros de DHCP previamente definidos;
22. Deve possuir funcionalidade para encriptação dos uplinks entre switches em camada 2, preservando a segurança dentro da rede;
23. Deve permitir configurar quantos endereços MAC podem ser aprendidos em uma porta (port security), e permitir configurar qual ação será tomada quando esta regra for quebrada, alertar ou desativar a porta;
24. Deve possuir Spanning Tree padrão IEEE 802.1w (Rapid Spanning Tree) e IEEE 802.1s (Multiple Spanning Tree) com filtros BPDU. Deve implementar pelo menos 64 instancias de STP;
25.Deve possuir o protocolo “Network Timing Protocol” (NTP) autenticado para a sincronização do relógio com outros dispositivos;
26. Deve permitir a criação de listas de acesso (ACLs) baseadas em endereço IP de origem, endereço IP de destino, portas TCP e UDP de origem e destino, e dia e hora da semana; 27. Deve possuir priorização de pacotes (QoS) com 4 filas de prioridade por porta. Deve implementar a classificação de pacotes com base em regras de ACL;
28. Deve possuir cliente DNS;
29. Deve implementar IPv6 nas camadas 2 e 3;
30. Deve possuir DHCP Snooping para eliminação de falsos servidores de DHCP;
31. Deve permitir a configuração de DHCP Server e DHCP Relay;
32. Deve ser fornecido com capacidade instalada para operar em conformidade com o padrão IEEE 802.1AB para descobrimento de uplinks;
33. Deve permitir que portas de uma mesma VLAN que não se comuniquem entre si (Private VLAN ou semelhante);
34. Deve permitir o envio de mensagens geradas pelo sistema em servidor externo (syslog); 35.As mensagens geradas pelo sistema devem ser enviadas para o servidor externo indicando a hora exata do acontecimento;
36. Deve ser fornecido com fonte de alimentação interna com capacidade para operar em tensões de 110V e 220V com comutação automática;
37. Deve suportar fonte redundante, a ser instalada internamente no equipamento para operação em N+1;
38. Gabinete padrão para montagem em rack de 19", incluindo todos os acessórios;
39. Deve ser empilhável com o switch marca Cisco modelo Catalyst 3750G já existente neste órgão;
40. Deve ser garantida atualização de software/firmware do equipamento pelo período de garantia sem custos para este órgão. Um atestado do fabricante, referenciando este processo, deve ser apresentado garantindo este item;
41. Atestado de capacidade técnica, emitido por instituições ou empresas de direito público ou privado no Brasil, impresso em papel timbrado (não serão aceitas declarações genéricas de catálogos, manuais ou Internet), original (não serão aceitas cópias), com nome e telefone de contato dos responsáveis pela informação atestada, comprovando que a



  

empilhamento não precisam ser fornecidos neste processo;
6. Deve empilhar com switches PoE e não PoE. Os switches PoE devem prover alimentação conforme o padrão 802.3at, fornecendo até 30W por porta;
7. Deve permitir a criação de links agrupados virtualmente (link aggregation) utilizando portas de diferentes switches da pilha;
8.
Deve possuir porta de console para total gerenciamento local, com conector RS-232, RJ-45 ou USB;
9. Deve possuir capacidade de vazão de pelo menos 35 mpps, com switching bandwidth de 76 Gbps;
10. Deve permitir configuração/administração remota através de SSH e SNMPv3;
11. Deve permitir a criação de três níveis de administração e configuração do switch: somente leitura, leitura e configuração das portas, acesso completo. Deve permitir a autenticação de usuário de gerência em servidor RADIUS e TACACS+;
12. Deve possuir funcionalidade que permita o autodescobrimento do equipamento conectado na porta do switch. Após este descobrimento, o switch deve aplicar sem intervenção humana as configurações na porta (VLAN, velocidade, spanning tree, QoS) conforme o tipo de equipamento conectado. A detecção do equipamento conectado deve ocorrer de forma automática;
13. O equipamento deve permitir sua configuração automática com base em outro equipamento da rede, sem intervenção humana, permitindo a rápida substituição do equipamento. Ao ser ligado, o equipamento deve buscar esta configuração em outro equipamento da rede, utilizando-se para isso parâmetros fornecidos pelo DHCP;
14. Deve implementar roteamento IP (Layer 3) com pelo menos 4 interfaces roteáveis, permitindo a criação de pequenos backbones;
15. Deve permitir o espelhamento do tráfego de uma porta (port mirroring) para outra porta do mesmo switch ou para uma porta de outro switch que estiver na rede;
16. Deve possuir Jumbo Frame de 9000 bytes;
17. Deve possuir IGMP e MVR para controle de tráfego de multicast. Deve permitir a criação de pelo menos 100 grupos IGMP em IPv4;
18. Deve ser fornecido com capacidade instalada para operar em conformidade com o padrão IEEE 802.1Q para criação de redes virtuais, e deve permitir a criação de no mínimo 128 VLANs com IDs entre 1 e 4094;
19. Deve identificar automaticamente portas em que telefones IP estejam conectados e associá- las automaticamente a VLAN de voz;
20. Deve possuir autenticação IEEE 802.1x com assinalamento de VLAN por usuário e Guest VLAN para usuários não autenticados. Para usuários sem cliente IEEE 802.1x instalado, deve possuir um portal Web (interno ao equipamento) para autenticação;
21. Deve possuir autenticação IEEE 802.1x de múltiplos usuários por porta, para o caso de links com switches não gerenciáveis. Apenas o tráfego dos usuários que se autenticarem será permitido;
22. Deve implementar criptografia de todos os pacotes enviados ao servidor de controle de acesso e não só os pacotes referentes a senha;
23. Deve permitir configurar quantos endereços MAC podem ser aprendidos em uma porta (port security), e permitir configurar qual ação será tomada quando esta regra for quebrada, alertar ou desativar a porta;
24. Deve possuir Spanning Tree padrão IEEE 802.1w (Rapid Spanning Tree), IEEE 802.1s (Multiple Spanning Tree) com filtros BPDU. Deve implementar pelo menos 64 instancias de STP;
25. Deve possuir o protocolo “Network Timing Protocol” (NTP), autenticado, para a sincronização do relógio com outros dispositivos de rede, garantindo a alta efetividade e segurança na troca

de mensagens com os servidores de tempo;
26. Deve permitir a criação de listas de acesso (ACLs), internamente ao equipamento, baseadas em endereço IP de origem, endereço IP de destino, portas TCP e UDP de origem e destino e dia e hora;
27. Deve possuir priorização de pacotes (QoS) com 4 filas de prioridade por porta. Deve implementar a classificação de pacotes com base em regras de ACL;
28. Deve implementar IPv6 com as seguintes RFCs: 1981, 2373, 2460, 2461, 2462 e 2463;
29. Deve possuir cliente DNS para resolução de nomes;
30. Deve possuir DHCP Snooping para eliminação de falsos servidores de DHCP;
31. Deve possuir análise do protocolo DHCP e permitir que se crie uma tabela de associação entre endereços IP atribuídos dinamicamente, MAC da máquina que recebeu o endereço e porta física do switch em que se localiza tal MAC, de forma a evitar ataques na rede;
32. Deve permitir a configuração de DHCP Server e DHCP Relay com suporte a múltiplas VLANs simultaneamente;
33. Deve permitir o envio de mensagens geradas pelo sistema em servidor externo (syslog), indicando a hora exata do acontecimento;
34. Deve ser fornecido com fonte de alimentação interna com capacidade para operar em tensões de 110V e 220V com comutação automática;
35. Permitir a instalação de fonte redundante;
36. Gabinete padrão para montagem em rack de 19", incluindo todos os acessórios para o perfeito funcionamento;
37. Deve ser garantida atualização de software/firmware do equipamento pelo período de garantia sem custos para este órgão. Um atestado do fabricante, referenciando este processo, deve ser apresentado garantindo este item;
38. Atestado de capacidade técnica, emitido por instituições ou empresas de direito público ou privado no Brasil, impresso em papel timbrado (não serão aceitas declarações genéricas de catálogos, manuais ou Internet), original (não serão aceitas cópias), com nome e telefone de contato dos responsáveis pela informação atestada, comprovando que a licitante forneceu equipamento de características semelhantes aos especificados neste edital, em quantidade próxima, prestando serviços (quando existente) e a garantia dos equipamentos, de forma satisfatória. Junto com o atestado deve ser apresentado o contrato assinado ou nota fiscal de fornecimento dos equipamentos e/ou serviços (conforme disposto no item 9.2, TC- 013.576/2006-2, Acórdão no. 1.524/2006-TCU-Plenário);
39. A empresa deve indicar, na assinatura do contrato, os procedimentos para abertura de suporte técnico, cabendo a este órgão a abertura do chamado com intermediação da empresa fornecedora dos equipamentos ou diretamente com o fabricante dos equipamentos;
40. A empresa deve possuir, após a assinatura do contrato, pelo menos 1 (um) profissional com certificação técnica emitida pelo fabricante do equipamento ofertado, capaz de prestar suporte de primeiro nível aos produtos em garantia, e escalar o suporte ao fabricante conforme necessidade;
41. O fabricante deve possuir estrutura de suporte com atendimento em português do Brasil e chamada direta grátis (DDG) 0800 ou a cobrar durante o horário comercial;
42. Conforme disposto no item I do artigo 15 da lei 8.666, de 21 de junho de 1993 (I - Atender ao principio de padronização, que imponha compatibilidade técnica e de desempenho, observadas, quando for o caso, as condições de manutenção, assistência técnica e garantia oferecidas), este equipamento, por questões de compatibilidade, gerencia, suporte e garantia, deve ser do mesmo fabricante dos equipamentos deste grupo (lote);
43. Garantia de 36 (trinta e seis) meses com atendimento em até 1 dia útil e envio de peças e equipamento em até 3 dias úteis para a cidade de Recife/PE;
44. Não serão aceitos suportes compartilhados entre revenda e fabricante (shared support) para



  

security);
20. Deve implementar access control list com suporte a 500 regras. Deve ser possível filtrar pacotes usando endereço IP, endereço MAC, porta, campo DSCP, prioridade 802.1p. As regras de controle de acesso devem ser aplicadas conforme o tempo/hora/dia;
21. Deve aplicar controle de banda (rate limit) usando para isso regras de ACL;
22. Deve possuir funcionalidade para supressão de tráfego broadcast, multicast e unicas;
23. Deve possuir Spanning Tree padrão IEEE 802.1w (Rapid Spanning Tree) e IEEE 802.1s (Multiple Spanning Tree) com filtros BPDU;
24. Deve possuir o protocolo “Simple Network Timing Protocol” (SNTP) para a sincronização do relógio com outros dispositivos;
25. Deve possuir priorização de pacotes (QoS) com 4 filas de prioridade por porta;
26. Deve possuir cliente DNS;
27. Deve implementar IPv6 incluindo endereçamento IP, ICMP e operação dual-stack. Além disso, deve implementar IPv6 QoS em hardware;
28. Deve permitir a configuração de DHCP Relay para IPv4 e IPv6;
29. Deve permitir configuração/administração remota através de interface gráfica web-based SSL, SSH, SNMP e TFTP em IPv4 e IPv6;
30. Deve ser fornecido com capacidade instalada para operar em conformidade com o padrão IEEE 802.1AB para descobrimento de uplinks;
31. Deve permitir o envio de mensagens geradas pelo sistema em servidor externo (syslog);
32. Deve ser fornecido com fonte de alimentação interna com capacidade para operar em tensões de 110V e 220V com comutação automática;
33. Gabinete padrão para montagem em rack de 19", incluindo todos os acessórios;
34. Atestado de capacidade técnica, emitido por instituições ou empresas de direito público ou privado no Brasil, impresso em papel timbrado (não serão aceitas declarações genéricas de catálogos, manuais ou Internet), original (não serão aceitas cópias), com nome e telefone de contato dos responsáveis pela informação atestada, comprovando que a licitante forneceu equipamento de características semelhantes aos especificados neste edital, em quantidade próxima, prestando serviços (quando existente) e a garantia dos equipamentos, de forma satisfatória. Junto com o atestado deve ser apresentado o contrato assinado ou nota fiscal de fornecimento dos equipamentos e/ou serviços (conforme disposto no item 9.2, TC- 013.576/2006-2, Acórdão no. 1.524/2006-TCU-Plenário);
35. A empresa deve possuir, após a assinatura do contrato, pelo menos 1 (um) profissional com certificação técnica emitida pelo fabricante do equipamento ofertado, capaz de prestar suporte de primeiro nível aos produtos em garantia, e escalar o suporte ao fabricante conforme necessidade;
36. Conforme disposto no item I do artigo 15 da lei 8.666, de 21 de junho de 1993 (I - Atender ao principio de padronização, que imponha compatibilidade técnica e de desempenho, observadas, quando for o caso, as condições de manutenção, assistência técnica e garantia oferecidas), este equipamento, por questões de compatibilidade, gerencia, suporte e garantia, deve ser do mesmo fabricante dos equipamentos deste grupo (lote);
37. Garantia de 36 (trinta e seis) meses com atendimento em até 1 dia útil e envio de peças e equipamento em até 30 dias úteis para a cidade de Recife/PE;
38. Não serão aceitos suportes compartilhados entre revenda e fabricante (shared support) para substituição de hardware;
39. Para comprovação de pleno atendimento aos requisitos deste edital, serão consultados folhetos, prospectos, manuais e toda documentação pública disponível diretamente do site do fabricante do equipamento. Em caso de dúvida ou divergência na comprovação da especificação técnica, este órgão poderá solicitar amostra do equipamento ofertado, sem ônus ao processo, para comprovação técnica de funcionalidades. Esta amostra deverá ocorrer em



  



  

Características técnicas mínimas:
1. Equipamento tipo switch gigabit ethernet com capacidade de operação em camada 3 do modelo OSI;
2.
Deve ser fornecido com 8 (oito) portas 100/1000BaseT PoE, conector RJ-45;
3. Deve ser fornecido com 2 slots SFP para conexão de transceivers SFP com fibras ópticas multimodo e monomodo. Estas portas não devem ser do tipo COMBO com as portas do item anterior;
4.
Deve possuir 10 (dez) portas ativas simultaneamente;
5. Deve implementar Power over Ethernet conforme o padrão IEEE 802.3af, fornecendo pelo menos 124W de energia específica para alimentação PoE, a ser distribuído nas 8 (oito) portas 100/1000 de acesso;
6.
Deve possuir porta de console para gerenciamento local;
7.
Deve possuir capacidade de vazão de pelo menos 12 mpps;
8. Deve possuir funcionalidade que permita o autodescobrimento do equipamento conectado na porta do switch. Após este descobrimento, o switch deve aplicar sem intervenção humana as regras na porta conforme o tipo de equipamento conectado;
9. Deve permitir o espelhamento do tráfego de uma porta (port mirroring) para outra porta do mesmo switch;
10. Deve possuir Jumbo Frame de 9000 bytes;
11. Deve possuir IGMP e MVR para tráfego de multicast;
12. Deve ser fornecido com capacidade instalada para operar em conformidade com o padrão IEEE 802.1Q para criação de redes virtuais, e deve permitir a criação de no mínimo 64 VLANs com IDs entre 1 e 4094;
13. Deve identificar automaticamente portas em que telefones IP estejam conectados e associá- las automaticamente a VLAN de voz;
14. Deve implementar roteamento em hardware capaz de criar 64 interfaces IP roteáveis e pelo menos 256 rotas estáticas;
15. Deve possuir autenticação IEEE 802.1x com assinalamento de VLAN por usuário e Guest VLAN para usuários não autenticados;
16. Deve permitir a autenticação de usuário de gerência em servidor RADIUS e TACACS;
17. Deve permitir a autenticação de um usuários através de seu endereço MAC;
18. Deve permitir configurar quantos endereços MAC podem ser aprendidos em uma porta (port security);
19. Deve implementar access control list com suporte a 512 regras. Deve ser possível filtrar pacotes usando endereço IP, endereço MAC, porta, campo DSCP, prioridade 802.1p. As regras de controle de acesso devem ser aplicadas conforme o tempo/hora/dia;
20. Deve aplicar controle de banda (rate limit) usando para isso regras de ACL;
21. Deve possuir funcionalidade para supressão de tráfego broadcast, multicast e unicast;
22. Deve possuir Spanning Tree padrão IEEE 802.1w (Rapid Spanning Tree) e IEEE 802.1s (Multiple Spanning Tree) com filtros BPDU;
23. Deve possuir o protocolo “Simple Network Timing Protocol” (SNTP) para a sincronização do relógio com outros dispositivos;
24. Deve possuir priorização de pacotes (QoS) com 4 filas de prioridade por porta;
25. Deve possuir cliente DNS;
26. Deve implementar IPv6 incluindo endereçamento IP, ICMP e operação dual-stack. Além disso, deve implementar IPv6 QoS em hardware;
27. Deve permitir a configuração de DHCP Relay para IPv4 e IPv6;
28. Deve permitir configuração/administração remota através de interface gráfica web-based SSL, SSH, SNMP e TFTP em IPv4 e IPv6;
29. Deve ser fornecido com capacidade instalada para operar em conformidade com o padrão



  


Deve possuir capacidade de vazão de pelo menos 12 mpps;
7. Deve possuir funcionalidade que permita o autodescobrimento do equipamento conectado na porta do switch. Após este descobrimento, o switch deve aplicar sem intervenção humana as regras na porta conforme o tipo de equipamento conectado;  
Deve permitir o espelhamento do tráfego de uma porta (port mirroring) para outra porta do mesmo switch;  
Deve possuir Jumbo Frame de 9000 bytes;
10. Deve possuir IGMP e MVR para tráfego de multicast;
11. Deve ser fornecido com capacidade instalada para operar em conformidade com o padrão IEEE 802.1Q para criação de redes virtuais, e deve permitir a criação de no mínimo 64 VLANs com IDs entre 1 e 4094;
12. Deve identificar automaticamente portas em que telefones IP estejam conectados e associá-las automaticamente a VLAN de voz;
13. Deve implementar roteamento em hardware capaz de criar 64 interfaces IP roteáveis e pelo menos 256 rotas estáticas;
14. Deve possuir autenticação IEEE 802.1x com assinalamento de VLAN por usuário e Guest VLAN para usuários não autenticados;
15. Deve permitir a autenticação de usuário de gerência em servidor RADIUS e TACACS;
16. Deve permitir a autenticação de um usuários através de seu endereço MAC;
17. Deve permitir configurar quantos endereços MAC podem ser aprendidos em uma porta (port security);
18. Deve implementar access control list com suporte a 512 regras. Deve ser possível filtrar pacotes usando endereço IP, endereço MAC, porta, campo DSCP, prioridade 802.1p. As regras de controle de acesso devem ser aplicadas conforme o tempo/hora/dia;
19. Deve aplicar controle de banda (rate limit) usando para isso regras de ACL;
20. Deve possuir funcionalidade para supressão de tráfego broadcast, multicast;
21. Deve possuir Spanning Tree padrão IEEE 802.1w (Rapid Spanning Tree) e IEEE 802.1s (Multiple Spanning Tree) com filtros BPDU;
22. Deve possuir o protocolo “Simple Network Timing Protocol” (SNTP) para a sincronização do relógio com outros dispositivos;
23. Deve possuir priorização de pacotes (QoS) com 4 filas de prioridade por porta;
24. Deve possuir cliente DNS;
25. Deve implementar IPv6 incluindo endereçamento IP, ICMP e operação dual-stack. Além disso, deve implementar IPv6 QoS em hardware;
26. Deve permitir a configuração de DHCP Relay para IPv4 e IPv6;
27. Deve permitir configuração/administração remota através de interface gráfica web-based SSL, SSH, SNMP e TFTP em IPv4 e IPv6;
28. Deve ser fornecido com capacidade instalada para operar em conformidade com o padrão IEEE 802.1AB para descobrimento de uplinks;
29. Deve permitir o envio de mensagens geradas pelo sistema em servidor externo (syslog); 30. Deve ser fornecido com fonte de alimentação interna com capacidade para operar em tensões de 110V e 220V com comutação automática;
31. Gabinete padrão para montagem em rack de 19", incluindo todos os acessórios;
32. Atestado de capacidade técnica, emitido por instituições ou empresas de direito público ou privado no Brasil, impresso em papel timbrado (não serão aceitas declarações genéricas de catálogos, manuais ou Internet), original (não serão aceitas cópias), com nome e telefone de contato dos responsáveis pela informação atestada, comprovando que a licitante forneceu equipamento de características semelhantes aos especificados neste edital, em quantidade próxima, prestando serviços (quando existente) e a garantia dos equipamentos, de forma satisfatória. Junto com o atestado deve ser apresentado o contrato assinado ou nota fiscal de fornecimento dos equipamentos e/ou serviços




  

 Deve permitir configuração/administração remota através de SSH e SNMPv3;
 Deve permitir a criação de três níveis de administração e configuração do switch: somente leitura, leitura e configuração das portas, acesso completo. Deve permitir a autenticação de usuário de gerência em servidor RADIUS e TACACS+;
 Deve possuir funcionalidade que permita o autodescobrimento do equipamento conectado na porta do switch. Após este descobrimento, o switch deve aplicar sem intervenção humana as configurações na porta (VLAN, velocidade, spanning tree, QoS) conforme o tipo de equipamento conectado. A detecção do equipamento conectado deve ocorrer de forma automática;
O equipamento deve permitir sua configuração automática com base em outro equipamento da rede, sem intervenção humana, permitindo a rápida substituição do equipamento. Ao ser ligado, o equipamento deve buscar esta configuração em outro equipamento da rede, utilizando-se para isso parâmetros fornecidos pelo DHCP;
 Deve implementar roteamento IP (Layer 3) com pelo menos 4 interfaces roteáveis, permitindo a criação de pequenos backbones;
 Deve permitir o espelhamento do tráfego de uma porta (port mirroring) para outra porta do mesmo switch ou para uma porta de outro switch que estiver na rede;
 Deve possuir Jumbo Frame de 9000 bytes;
 Deve possuir IGMP e MVR para controle de tráfego de multicast. Deve permitir a criação de pelo menos 100 grupos IGMP em IPv4;
 Deve ser fornecido com capacidade instalada para operar em conformidade com o padrão IEEE 802.1Q para criação de redes virtuais, e deve permitir a criação de no mínimo 128 VLANs com IDs entre 1 e 4094;
 Deve identificar automaticamente portas em que telefones IP estejam conectados e associá-las automaticamente a VLAN de voz;
 Deve possuir autenticação IEEE 802.1x com assinalamento de VLAN por usuário e Guest VLAN para usuários não autenticados. Para usuários sem cliente IEEE 802.1x instalado, deve possuir um portal Web (interno ao equipamento) para autenticação;
 Deve possuir autenticação IEEE 802.1x de múltiplos usuários por porta, para o caso de links com switches não gerenciáveis. Apenas o tráfego dos usuários que se autenticarem será permitido;
 Deve implementar criptografia de todos os pacotes enviados ao servidor de controle de acesso e não só os pacotes referentes a senha;
 Deve permitir configurar quantos endereços MAC podem ser aprendidos em uma porta (port security), e permitir configurar qual ação será tomada quando esta regra for quebrada, alertar ou desativar a porta;
 Deve possuir Spanning Tree padrão IEEE 802.1w (Rapid Spanning Tree), IEEE 802.1s (Multiple Spanning Tree) com filtros BPDU. Deve implementar pelo menos 64 instancias de STP;
Deve possuir o protocolo “Network Timing Protocol” (NTP), autenticado, para a sincronização do relógio com outros dispositivos de rede, garantindo a alta efetividade e segurança na troca de mensagens com os servidores de tempo;
 Deve permitir a criação de listas de acesso (ACLs), internamente ao equipamento, baseadas em endereço IP de origem, endereço IP de destino, portas TCP e UDP de origem e destino e dia e hora;
 Deve possuir priorização de pacotes (QoS) com 4 filas de prioridade por porta. Deve implementar a classificação de pacotes com base em regras de ACL;
 Deve implementar IPv6 com as seguintes RFCs: 1981, 2373, 2460, 2461, 2462 e 2463;

 Deve possuir cliente DNS para resolução de nomes;
 Deve possuir DHCP Snooping para eliminação de falsos servidores de DHCP;
 Deve possuir análise do protocolo DHCP e permitir que se crie uma tabela de associação entre endereços IP atribuídos dinamicamente, MAC da máquina que recebeu o endereço e porta física do switch em que se localiza tal MAC, de forma a evitar ataques na rede;
 Deve permitir a configuração de DHCP Server e DHCP Relay com suporte a múltiplas VLANs simultaneamente;
 Deve permitir o envio de mensagens geradas pelo sistema em servidor externo (syslog), indicando a hora exata do acontecimento;
 Deve ser fornecido com fonte de alimentação interna com capacidade para operar em tensões de 110V e 220V com comutação automática;
 Permitir a instalação de fonte redundante;
 Gabinete padrão para montagem em rack de 19", incluindo todos os acessórios para o perfeito funcionamento;
 Deve ser garantida atualização de software/firmware do equipamento pelo período de garantia sem custos para este órgão. Um atestado do fabricante, referenciando este processo, deve ser apresentado garantindo este item;
 Atestado de capacidade técnica, emitido por instituições ou empresas de direito público ou privado no Brasil, impresso em papel timbrado (não serão aceitas declarações genéricas de catálogos, manuais ou Internet), original (não serão aceitas cópias), com nome e telefone de contato dos responsáveis pela informação atestada, comprovando que a licitante forneceu equipamento de características semelhantes aos especificados neste edital, em quantidade próxima, prestando serviços (quando existente) e a garantia dos equipamentos, de forma satisfatória. Junto com o atestado deve ser apresentado o contrato assinado ou nota fiscal de fornecimento dos equipamentos e/ou serviços (conforme disposto no item 9.2, TC-013.576/2006-2, Acórdão no. 1.524/2006-TCU- Plenário);
 A empresa deve indicar, na assinatura do contrato, os procedimentos para abertura de suporte técnico, cabendo a este órgão a abertura do chamado com intermediação da empresa fornecedora dos equipamentos ou diretamente com o fabricante dos equipamentos;
 A empresa deve possuir, após a assinatura do contrato, pelo menos 1 (um) profissional com certificação técnica emitida pelo fabricante do equipamento ofertado, capaz de prestar suporte de primeiro nível aos produtos em garantia, e escalar o suporte ao fabricante conforme necessidade;
 O fabricante deve possuir estrutura de suporte com atendimento em português do Brasil e chamada direta grátis (DDG) 0800 ou a cobrar durante o horário comercial;
 Conforme disposto no item I do artigo 15 da lei 8.666, de 21 de junho de 1993 (I - Atender ao principio de padronização, que imponha compatibilidade técnica e de desempenho, observadas, quando for o caso, as condições de manutenção, assistência técnica e garantia oferecidas), este equipamento, por questões de compatibilidade, gerencia, suporte e garantia, deve ser do mesmo fabricante dos equipamentos deste grupo (lote);
 Garantia de 36 (trinta e seis) meses com atendimento em até 1 dia útil e envio de peças e equipamento em até 3 dias úteis para a cidade de Recife/PE;
 Não serão aceitos suportes compartilhados entre revenda e fabricante (shared support) para substituição de hardware;
 Para comprovação de pleno atendimento aos requisitos deste edital, serão consultados folhetos, prospectos, manuais e toda documentação pública disponível diretamente do site



  

 Deve possuir autenticação IEEE 802.1x com as seguintes extensões: assinalamento de VLAN por usuário e Guest VLAN para usuários não autenticados. Para usuários sem cliente IEEE 802.1x instalado, deve possuir um portal Web para autenticação;
 Deve possuir autenticação IEEE 802.1x de múltiplos usuários por porta, para o caso de links com switches não gerenciáveis. Apenas o tráfego dos usuários que se autenticarem será permitido;
 Deve possuir funcionalidade que permita o autodescobrimento do equipamento conectado na porta do switch. Após este descobrimento, o switch deve aplicar sem intervenção humana as regras na porta (VLAN, velocidade, QoS, spanning tree) conforme o tipo de equipamento conectado;
O equipamento deve permitir sua configuração automática com base em outro equipamento da rede, sem intervenção humana, permitindo a rápida substituição do equipamento. Ao ser ligado, o equipamento deve buscar esta configuração com base em parâmetros de DHCP previamente definidos;
 Deve possuir funcionalidade para encriptação dos uplinks entre switches em camada 2, preservando a segurança dentro da rede;
 Deve permitir configurar quantos endereços MAC podem ser aprendidos em uma porta (port security), e permitir configurar qual ação será tomada quando esta regra for quebrada, alertar ou desativar a porta;
 Deve possuir Spanning Tree padrão IEEE 802.1w (Rapid Spanning Tree) e IEEE 802.1s (Multiple Spanning Tree) com filtros BPDU. Deve implementar pelo menos 64 instancias de STP;
Deve possuir o protocolo “Network Timing Protocol” (NTP) autenticado para a sincronização do relógio com outros dispositivos;
 Deve permitir a criação de listas de acesso (ACLs) baseadas em endereço IP de origem, endereço IP de destino, portas TCP e UDP de origem e destino, e dia e hora da semana;  Deve possuir priorização de pacotes (QoS) com 4 filas de prioridade por porta. Deve implementar a classificação de pacotes com base em regras de ACL;
 Deve possuir cliente DNS;
 Deve implementar IPv6 nas camadas 2 e 3;
 Deve possuir DHCP Snooping para eliminação de falsos servidores de DHCP;
 Deve permitir a configuração de DHCP Server e DHCP Relay;
 Deve ser fornecido com capacidade instalada para operar em conformidade com o padrão IEEE 802.1AB para descobrimento de uplinks;
 Deve permitir que portas de uma mesma VLAN que não se comuniquem entre si (Private VLAN ou semelhante);
 Deve permitir o envio de mensagens geradas pelo sistema em servidor externo (syslog); As mensagens geradas pelo sistema devem ser enviadas para o servidor externo indicando a hora exata do acontecimento;
 Deve ser fornecido com fonte de alimentação interna com capacidade para operar em tensões de 110V e 220V com comutação automática;
 Deve suportar fonte redundante, a ser instalada internamente no equipamento para operação em N+1;
 Gabinete padrão para montagem em rack de 19", incluindo todos os acessórios;
 Deve ser empilhável com o switch marca Cisco modelo Catalyst 3750G já existente neste órgão;
 Deve ser garantida atualização de software/firmware do equipamento pelo período de garantia sem custos para este órgão. Um atestado do fabricante, referenciando este



  



  



  



  



  



  

45. Qualquer licença necessária para ativação das portas deverá ser fornecida;
7. Deverá possuir uma porta console serial;
8. Deverá ser fornecido com fonte de alimentação interna com capacidade para operar em tensões de 110V ou 220V / 60 Hz, chaveada automaticamente;
j. Requisitos de Firewall
1. Deverá prover mecanismos que possibilitem o bloqueio de serviços em horários específicos;
2.
Deverá permitir a inspeção detalhada de conexões HTTP com os seguintes requisitos: 3. Verificação de conformidade das requisições HTTP com a RFC 2616 e suporte a bloqueio de requisições não conformes;
4. Verificação do comprimento do “Header” das mensagens HTTP. Deve ser possível bloquear conexões cujos comprimentos do Header HTTP não estejam em conformidade com os valores pré-definidos na política de segurança aplicada ao equipamento;
5. Possibilidade de bloqueio de conexões HTTP de acordo com o tipo de conteúdo por elas transportado. O equipamento deve prover suporte a filtragem de no mínimo os seguintes tipos de conteúdo : audio/mpeg, image/jpeg, image/png, image/gif, video/mpeg, video/x-avi, video/quicktime e application/zip;
6. Possibilidade de bloqueio de requisições HTTP de acordo do método (“request method”) utilizado pelo cliente web.
7. Deverá permitir a criação de listas de acesso (ACLs) baseadas em protocolo de camada 3, endereço IP de origem, endereço IP de destino e portas TCP e UDP de origem e destino;
8. Deverá possuir capacidade de filtrar “applets” Java e controles ActiveX, para alguns sites;
9.
Deverá implementar, por interface, as funções de DHCP Server e Relay.
10. Deverá permitir o bloqueio de aplicações do tipo “instant messaging” (como AOL Instant Messenger, Microsoft Messenger, e Yahoo Messenger) e “redes peer-to-peer” (como Kazaa), tuneladas através de HTTP;
11. Deverá suportar NAT (Network Address Translation) e PAT (Port Address Translation) para aplicações baseadas nos padrões H.323, RTSP e SIP;
12. Deverá suportar roteamento dinâmico do tipo RIP e OSPF;
k. Identidade Firewall
1.
Deverá integrar com a solução de AD já presente, permitindo a criação de políticas de filtragem baseados em Usuários e Grupos de Usuários presentes no Active Directory; 2.
Deverá implementar ACLs com no minimo os seguintes campos: IP de Origem, Nome do Usuário/Grupo do AD, IP Destino, Porta TCP/UDP e Ação;
3. Deverá implementar ACLs baseadas no nome de usuário e grupo de active directory de forma totalmente transparente para o usuário final;
4. Deverá permitir a autenticação dos usuários não cadastrados no Active Directory, através de autenticação prévia em portal HTTPS fornecida pelo solução de Firewall;
5. Deverá permitir a visualização de todas as conexões iniciadas por um usuário, informando nome do usuário, conexões ativas para este usuário e tempo das conexões.
l. Concentrador VPN
1. Deverá funcionar como concentrador de VPNs IPSEC e SSL para acessos remotos e ser capaz de passar parâmetros tais como endereço IP do cliente VPN, endereço IP do WINS Server, endereço IP do DNS Server e Default Domain Name para o cliente; 2.
Deverá suportar os padrões 3DES/AES de 128 e 192 bits para criptografia de dados; 3.
Deverá suportar autenticação através de Certificado Digital no formato X.509;
4.
Deverá suportar os padrões de criptografia Suite B, tais como:


AES-GCM/GMAC de 128, 192 e 256 bits  
ECDSA de 256, 384 e 512 bits para criptografia de dados;  
SHA-2 de 256, 384 e 512 bits para criptografia de dados;
5. Deverá ser capaz de configurar nos clientes VPN quais as redes são acessíveis de forma direta e quais as redes são acessíveis pela conexão VPN. Deve também ser possível a operação no modo em que todo o tráfego do cliente VPN só poderá ser transportado através da conexão VPN;
6. Deverá permitir a criação de políticas de VPN distintas para cada perfil de usuário, sendo que para cada uma destas políticas poderão ser definidas regras de acesso (ACLs) e horário, autenticação e criptografia, endereçamento IP e rotas criptografadas; 7. A configuração do cliente VPN IPSec deverá ser completamente automatizada e controlada pelo firewall, sendo exigida do usuário apenas a instalação do software cliente VPN em seu microcomputador/notebook;
8. O software cliente VPN IPSec deverá ser compatível com os seguintes sistemas operacionais: Windows XP, Windows Vista, Windows 7, Linux e MacOS. O software cliente VPN IPSec deverá ser obrigatoriamente do mesmo fabricante da solução de firewall;
9. O software cliente VPN IPSec, quando instalado em plataforma Linux, deverá permitir sua operação em modo CLI (Command Line Interface), de maneira a ser possível a automatização de seu uso através de scripts e programas auxiliares;
10. O software cliente VPN deverá permitir especificar, na configuração de um acesso VPN, a conexão a mais de um concentrador (pelo menos dois hosts/endereços de destino distintos), de maneira que quando o primeiro endereço encontre-se indisponível, a conexão seja estabelecida com o segundo endereço;
11. O software cliente VPN deverá permitir a autenticação de usuários baseada em certificado digital, de maneira que seja possível estabelecer conexão sem interação/intervenção do usuário;
12. O software cliente VPN deverá ser capaz de realizar autenticação utilizando os protocolos LDAP e RADIUS;
13. Deverão ser fornecidas com o firewall, licenças ilimitadas do software cliente VPN IPSec que permitam a conexão de pelo menos 25 usuários simultâneos;
14. Deverá suportar VPNs SSL para acessos remotos. O cliente VPN deverá ser baixado automaticamente para o PC do usuário, via HTTPS, que deverá ter acesso irrestrito à rede ou poderá ser instalado manualmente pelo administrador com os devidos privilégios;
15. Deverá permitir VPN LAN-to-LAN (sem usar NAT), mesmo que uma das unidades possua endereço IP dinâmico;
16. Deverá permitir a criação de “banners” personalizados para indicar se houve sucesso ou falha na requisição de acesso VPN e, em caso de sucesso, mensagens de natureza administrativa;
17. Deverá permitir a definição dos horários do dia e dos dias da semana em que um dado usuário pode requisitar uma conexão VPN;
18. Deverá permitir a terminação de conexões no modo IPSec sobre TCP;
m. IPv6  
Deverá possuir inspeção stateful de tráfego IPv6  
Deverá possuir roteamento estático do protocolo IPv6;  
Deverá permitir estabelecer regras de filtragem IPv6.  
Deverá possuir stateful failover de conexões IPv6
5. Deverá possuir inspeção avançada de pacotes IPv6 na camada de aplicação para os protocolos: FTP, HTTP, ICMP, SIP e SMTP;


n. Sistema Operacional
1.Deverá possuir sistema operacional nativo do fabricante, homologado para o equipamento ofertado. Não são permitidas modalidades OEM de sistemas operacionais de uso genérico;
2. Todo o processamento das funções de firewall e concentrador VPN devem ser independentes, ou seja, deve ser realizado pela própria solução, sem utilizar recursos de equipamento adicional;
o. Monitoramento
1. Deverá possuir ferramenta que possibilite o monitoramento, em tempo real, de todas as conexões TCP e sessões UDP que se encontram ativas através do firewall e a remoção de qualquer uma destas sessões ou conexões;
2. Deverá possibilitar o armazenamento de mensagens geradas pelo sistema (Logs) em servidor externo (Syslog);
3. Deverá permitir a emissão de alertas personalizados através do envio de mensagens de e-mail para o administrador da rede quando um evento crítico acontecer; 4.Deverá possuir suporte ao protocolo “Network Time Protocol” (NTP) para a sincronização do relógio com outros dispositivos;
5. Deverá permitir a captura de pacotes que entram ou saem de suas interfaces sem o uso de probes externas, para fins de solução de problemas (troubleshooting) e salvar em formato PCAP, para que o administrador possa analisá-los com os programas Ethereal, Wireshark ou com ferramenta do fabricante que permita esta analise;
6.
Deverá suportar o protocolo NetFlow ou sFlow afim de analisar o trafego; Gerenciamento:
7. Deverá ser realizado através de interface gráfica (GUI) e linha de comando (console serial, telnet e ssh);
8. A interface gráfica do software de gerenciamento deverá ser acessada através de um navegador padrão Web, com conexão segura via protocolo HTTPS;
9. Deverá implementar mecanismos de controle de acesso, seja por usuário e/ou senha, antes de permitir realizar tarefas de configuração;
10. Deverá permitir o estabelecimento de múltiplos níveis de privilégio para a configuração via console;
11. Deverá ser capaz de exportar para arquivo externo (e importar), a configuração do sistema, para fins de cópia de segurança (backup);
12. Deverá permitir o seu gerenciamento através de SNMPv3;
13.Deverá estar licenciado para executar todos os requisitos solicitados nesta especificação;
14. O equipamento deverá ser novo e estar na linha de produção do fabricante no momento da apresentação das propostas;
15. O equipamento deverá ser fornecido com um conjunto completo de manuais originais, confeccionados pelo fabricante.
16. As licenças, caso necessárias e fornecidas, deverão ser do mesmo fabricante deste item FIREWALL – TIPO 1 por razões de compatibilidade e padronização;
p. Deve estabelecer túneis VPN site-to-site com o firewall marca Cisco modelo ASA já existente neste órgão. Deve ser possível a priorização de tráfego sobre o túnel VPN;
q. Deve ser garantida atualização de software/firmware do equipamento pelo período de garantia sem custos para este órgão. Um atestado do fabricante, referenciando este processo, deve ser apresentado garantindo este item;
r. Atestado de capacidade técnica, emitido por instituições ou empresas de direito público ou privado no Brasil, impresso em papel timbrado (não serão aceitas declarações genéricas de catálogos, manuais ou Internet), original (não serão aceitas cópias), com



  

Deve ser contemplada em tecnologia “appliance”, não sendo aceitas soluções baseadas em sistemas operacionais de uso geral tais como Unix, Windows NT, Windows 2000/2003, Linux ou “x”BSD;
Requisitos de Hardware
O equipamento deverá possuir memória Flash, ou similar, para o armazenamento do sistema operacional. Não serão aceitas mídias de armazenamento com partes móveis (como hard- disks);
Deverá possuir throughput de firewall de 1 Gbps;
Deverá possuir throughput de VPN de 200 Mbps;
Deverá suportar pelo menos 100.000 conexões simultâneas através do firewall, e estabelecer, no mínimo, 10.000 novas sessões por segundo;
Deverá suportar a criação de pelo menos 100 VLANs (Virtual LANs padrão IEEE 801.2Q) e estabelecer regras de filtragem entre estas;
Deverá suportar a instalação futura da funcionalidade de IPS, através de módulos opcionais internos ao equipamento ou licenças, com throughput mínimo de 250 Mbps (duzentos e cinquenta megabits por segundo) para o profile de assinaturas recomendado e com firewall habilitado;
Deverá possuir, no mínimo, 6 (seis) portas padrão GigabitEthernet (1000BaseT) permitindo a conectorização de cabo UTP (unshielded twisted-pair) categoria 6 com conector RJ-45, e suportar a adição de 6 (seis) slots SFP para módulos de fibras 1GbE. Qualquer licença necessária para ativação das portas deverá ser fornecida;
Deverá possuir uma porta console serial;
Alta disponibilidade
A solução deverá suportar alta disponibilidade em modo ativo (active/active) ou ativo/standby (active/standby), em caso de falha de um equipamento, o outro assumirá o tráfego automaticamente. Não deverá haver perda de nenhuma das conexões ativas e a transição destas conexões entre as duas unidades deve ser completamente transparente para o usuário final;
Deverá operar em alta disponibilidade para as conexões IPSEC VPN, permitindo a utilização de uma segunda unidade em “standby”. Em caso de falha de uma das unidades, não deverá haver perda das conexões ativas (stateful failover) e a transição destas conexões entre as duas unidades deve ser completamente transparente para o usuário final;
Deverá ser fornecido com fonte de alimentação interna com capacidade para operar em tensões de 110V ou 220V / 60 Hz, chaveada automaticamente;
Requisitos de Firewall
Deverá prover mecanismos que possibilitem o bloqueio de serviços em horários específicos; Deverá permitir a inspeção detalhada de conexões HTTP com os seguintes requisitos:
Verificação de conformidade das requisições HTTP com a RFC 2616 e suporte a bloqueio de requisições não conformes;
Verificação do comprimento do “Header” das mensagens HTTP. Deve ser possível bloquear conexões cujos comprimentos do Header HTTP não estejam em conformidade com os valores pré-definidos na política de segurança aplicada ao equipamento;
Possibilidade de bloqueio de conexões HTTP de acordo com o tipo de conteúdo por elas transportado. O equipamento deve prover suporte a filtragem de no mínimo os seguintes tipos de conteúdo : audio/mpeg, image/jpeg, image/png, image/gif, video/mpeg, video/x-avi, video/quicktime e application/zip;
Possibilidade de bloqueio de requisições HTTP de acordo do método (“request method”) utilizado pelo cliente web.
Deverá permitir a criação de listas de acesso (ACLs) baseadas em protocolo de camada 3, endereço IP de origem, endereço IP de destino e portas TCP e UDP de origem e destino;

Deverá permitir a criação de firewalls virtuais, com interfaces, configurações e administração independentes, sendo que um único equipamento poderá ser utilizado em, no mínimo, dois ambientes distintos;
Deverá possuir capacidade de filtrar “applets” Java e controles ActiveX, para alguns sites;
Deverá implementar, por interface, as funções de DHCP Server e Relay.
Deverá permitir o bloqueio de aplicações do tipo “instant messaging” (como AOL Instant Messenger, Microsoft Messenger, e Yahoo Messenger) e “redes peer-to-peer” (como Kazaa), tuneladas através de HTTP;
Deverá suportar NAT (Network Address Translation) e PAT (Port Address Translation) para aplicações baseadas nos padrões H.323, RTSP e SIP;
Deverá suportar roteamento dinâmico do tipo RIP e OSPF;
Identidade Firewall
Deverá integrar com a solução de Active Directory (AD), permitindo a criação de políticas de filtragem baseados em Usuários e Grupos de Usuários presentes no Active Directory; Deverá implementar ACLs com no minimo os seguintes campos: IP de Origem, Nome do Usuário/Grupo do AD, IP Destino, Porta TCP/UDP e Ação;
Deverá implementar ACLs baseadas no nome de usuário e grupo de active directory de forma totalmente transparente para o usuário final;
Deverá permitir a autenticação dos usuários não cadastrados no Active Directory, através de autenticação prévia em portal HTTPS fornecida pelo solução de Firewall;
Deverá permitir a visualização de todas as conexões iniciadas por um usuário, informando nome do usuário, conexões ativas para este usuário e tempo das conexões.
IPS - Intrusion Prevention System
Deverá suportar a instalação futura da funcionalidade de IPS (Intrusion Prevention System), através de módulos opcionais internos ao equipamento ou licenças, para fornecer a função de técnicas de captura eficiente de tráfego e proteção contra tentativas de intrusão;
A funcionalidade de IPS deverá:
Detectar e prevenir, através de um banco de dados de assinaturas, a ocorrência de spyware, vírus, trojan e worms, intrusões, vulnerabilidades de protocolos, sistemas operacionais e aplicativos de servidores, nos protocolos SMTP, POP3, IMAP, HTTP, FTP, NetBIOS e Streaming, em tempo real;
Oferecer proteção contra: violação da política, exploração de vulnerabilidades, anomalias no tráfego e detalhada inspeção de tráfegos nas camadas 2 até 7 do modelo OSI;
Possuir capacidade de bloquear códigos maliciosos, dos tipos sypyware/adware;
Permitir a análise dos pacotes incluindo a camada de aplicação, buscando padrões conhecidos de ataques e aplicações maliciosas. Esses padrões são caracterizados por assinaturas armazenadas em base interna do IPS;
Permitir a configuração manual de assinaturas por parte do administrador;
Permitir a configuração em modo IDS e em modo IPS;
Quando habilitada, a função de IPS deverá ser capaz de atualizar as definições (assinaturas) do IPS Manual e Automaticamente, através do website do fabricante durante todo o período de garantia;
Concentrador VPN
Deverá funcionar como concentrador de VPNs IPSEC e SSL para acessos remotos e ser capaz de passar parâmetros tais como endereço IP do cliente VPN, endereço IP do WINS Server, endereço IP do DNS Server e Default Domain Name para o cliente;
Deverá suportar os padrões 3DES/AES de 128 e 192 bits para criptografia de dados;
Deverá suportar autenticação através de Certificado Digital no formato X.509;
Deverá suportar os padrões de criptografia Suite B, tais como:
AES-GCM/GMAC de 128, 192 e 256 bits
ECDSA de 256, 384 e 512 bits para criptografia de dados;

SHA-2 de 256, 384 e 512 bits para criptografia de dados;
Deverá ser capaz de configurar nos clientes VPN quais as redes são acessíveis de forma direta e quais as redes são acessíveis pela conexão VPN. Deve também ser possível a operação no modo em que todo o tráfego do cliente VPN só poderá ser transportado através da conexão VPN;
Deverá permitir a criação de políticas de VPN distintas para cada perfil de usuário, sendo que para cada uma destas políticas poderão ser definidas regras de acesso (ACLs) e horário, autenticação e criptografia, endereçamento IP e rotas criptografadas;
A configuração do cliente VPN IPSec deverá ser completamente automatizada e controlada pelo firewall, sendo exigida do usuário apenas a instalação do software cliente VPN em seu microcomputador/notebook;
O software cliente VPN IPSec deverá ser compatível com os seguintes sistemas operacionais: Windows XP, Windows Vista, Windows 7, Linux e MacOS. O software cliente VPN IPSec deverá ser obrigatoriamente do mesmo fabricante da solução de firewall;
O software cliente VPN IPSec, quando instalado em plataforma Linux, deverá permitir sua operação em modo CLI (Command Line Interface), de maneira a ser possível a automatização de seu uso através de scripts e programas auxiliares;
O software cliente VPN deverá permitir especificar, na configuração de um acesso VPN, a conexão a mais de um concentrador (pelo menos dois hosts/endereços de destino distintos), de maneira que quando o primeiro endereço encontre-se indisponível, a conexão seja estabelecida com o segundo endereço;
O software cliente VPN deverá permitir a autenticação de usuários baseada em certificado digital, de maneira que seja possível estabelecer conexão sem interação/intervenção do usuário;
O software cliente VPN deverá ser capaz de realizar autenticação utilizando os protocolos LDAP e RADIUS;
Deverão ser fornecidas com o firewall, licenças ilimitadas do software cliente VPN IPSec que permitam a conexão de pelo menos 250 usuários simultâneos;
Deverá suportar VPNs SSL para acessos remotos. O cliente VPN deverá ser baixado automaticamente para o PC do usuário, via HTTPS, que deverá ter acesso irrestrito à rede ou poderá ser instalado manualmente pelo administrador com os devidos privilégios;
Deverá suportar modo “cluster” para funcionalidade de concentrador VPN, onde o master do “cluster” deve ser responsável por direcionar conexões para os demais membros do “cluster”, permitindo o balanceamento de conexões;
Deverá permitir VPN LAN-to-LAN (sem usar NAT), mesmo que uma das unidades possua endereço IP dinâmico;
Deverá permitir a criação de “banners” personalizados para indicar se houve sucesso ou falha na requisição de acesso VPN e, em caso de sucesso, mensagens de natureza administrativa; Deverá permitir a definição dos horários do dia e dos dias da semana em que um dado usuário pode requisitar uma conexão VPN;
Deverá permitir a terminação de conexões no modo IPSec sobre TCP;
IPv6
Deverá possuir inspeção stateful de tráfego IPv6
Deverá possuir roteamento estático do protocolo IPv6;
Deverá permitir estabelecer regras de filtragem IPv6.
Deverá possuir stateful failover de conexões IPv6
Deverá possuir inspeção avançada de pacotes IPv6 na camada de aplicação para os protocolos: FTP, HTTP, ICMP, SIP e SMTP;
Sistema Operacional
Deverá possuir sistema operacional nativo do fabricante, homologado para o equipamento ofertado. Não são permitidas modalidades OEM de sistemas operacionais de uso genérico;

Todo o processamento das funções de firewall, concentrador VPN e IPS devem ser independentes, ou seja, deve ser realizado pela própria solução, sem utilizar recursos de equipamento adicional;
Monitoramento
Deverá possuir ferramenta que possibilite o monitoramento, em tempo real, de todas as conexões TCP e sessões UDP que se encontram ativas através do firewall e a remoção de qualquer uma destas sessões ou conexões;
Deverá possibilitar o armazenamento de mensagens geradas pelo sistema (Logs) em servidor externo (Syslog);
Deverá permitir a emissão de alertas personalizados através do envio de mensagens de e-mail para o administrador da rede quando um evento crítico acontecer;
Deverá possuir suporte ao protocolo “Network Time Protocol” (NTP) para a sincronização do relógio com outros dispositivos;
Deverá permitir a captura de pacotes que entram ou saem de suas interfaces sem o uso de probes externas, para fins de solução de problemas (troubleshooting) e salvar em formato PCAP, para que o administrador possa analisá-los com os programas Ethereal, Wireshark ou com ferramenta do fabricante que permita esta analise;
Deverá suportar o protocolo NetFlow ou sFlow afim de analisar o trafego;
Gerenciamento:
Deverá ser realizado através de interface gráfica (GUI) e linha de comando (console serial, telnet e ssh);
A interface gráfica do software de gerenciamento deverá ser acessada através de um navegador padrão Web, com conexão segura via protocolo HTTPS;
Deverá implementar mecanismos de controle de acesso, seja por usuário e/ou senha, antes de permitir realizar tarefas de configuração;
Deverá permitir o estabelecimento de múltiplos níveis de privilégio para a configuração via console; Deverá ser capaz de exportar para arquivo externo (e importar), a configuração do sistema, para fins de cópia de segurança (backup);
Deverá permitir o seu gerenciamento através de SNMPv3;
Deverá estar licenciado para executar todos os requisitos solicitados nesta especificação;
O equipamento deverá ser novo e estar na linha de produção do fabricante no momento da apresentação das propostas;
O equipamento deverá ser fornecido com um conjunto completo de manuais originais, confeccionados pelo fabricante.
As licenças, caso necessárias e fornecidas, deverão ser do mesmo fabricante deste ido ITEM - FIREWALL – TIPO 2 por razões de compatibilidade e padronização;
Deve estabelecer túneis VPN site-to-site com o firewall marca Cisco modelo ASA já existente neste órgão. Deve ser possível a priorização de tráfego sobre o túnel VPN;
Deve ser garantida atualização de software/firmware do equipamento pelo período de garantia sem custos para este órgão. Um atestado do fabricante, referenciando este processo, deve ser apresentado garantindo este item;
Atestado de capacidade técnica, emitido por instituições ou empresas de direito público ou privado no Brasil, impresso em papel timbrado (não serão aceitas declarações genéricas de catálogos, manuais ou Internet), original (não serão aceitas cópias), com nome e telefone de contato dos responsáveis pela informação atestada, comprovando que a licitante forneceu equipamento de características semelhantes aos especificados neste edital, em quantidade próxima, prestando serviços (quando existente) e a garantia dos equipamentos, de forma satisfatória. Junto com o atestado deve ser apresentado o contrato assinado ou nota fiscal de fornecimento dos equipamentos e/ou serviços (conforme disposto no item 9.2, TC- 013.576/2006-2, Acórdão no. 1.524/2006-TCU-Plenário);



  

consumo máximo de 15 W;
7. Cada AP deve suportar, no mínimo, 16 (desseseis) SSIDs com configurações distintas de rede, vlan, segurança, criptografia e QoS;
8.
Possuir 01(uma) interface Ethernet 10/100/1000, RJ 45;
9. Deve possuir 01 (uma) interface de console, RJ-45, RS-232 ou USB, para gerenciamento completo local através de cabo console;
10. Deve possuir potência mínima de 100 mW em ambas as frequências;
11. Deve possuir LED frontal com intuito de obter-se status do equipamento;
12. Deve possibilitar implementação Plug-and-Play através de cliente DHCP, de modo que toda configuração seja baixada da controladora automaticamente;
13. Implementar gerenciamento automatizado de RF e potência, ou seja, os elementos da solução (Controlador + APs) devem definir sem intervenção manual os parâmetros de potência de transmissão e ajuste de canal de frequência, evitando interferências e sobreposição de canais; 14. Implementar técnica de Beamforming, ou seja, os elementos da solução (Controlador + APs) devem otimizar a cobertura e performance para clientes 802.11a/g/n sem intervenção manual, aumentando assim o desempenho da rede wireless e reduzindo a utilização da bateria por parte dos clientes;
15. Implementar técnica de Band Steering, ou seja, os elementos da solução (Controlador + APs) devem balancear os acessos de clientes entre os rádios de 2.4GHz e 5GHz para que não haja sobrecarga do espectro de 2.4GHz;
16. Deve suportar WMM;
17. Deve suportar operação MIMO 3x3 com sensibilidade mínima de -93 dBm operando em IEEE 802.11n;
18.Deve possuir 3 (três) antenas internas ao equipamento, operando como dual-band (transmissão e recepção simultânea nas duas faixas de frequência), com potência mínima de 4 dBi em 2.4 GHz e 4 dBi em 5 GHz. As antenas devem possuir radiação omnidirecional. Opcionalmente, pode ser fornecido equipamento com 6 antenas internas, 3 delas operando em 2.4 GHz e 3 delas operando em 5 GHz, com ganhos individuais de 4 dBi;
19. Deve operar com velocidades de até 300 Mbps e até 2 fluxos espaciais (spatial streams), de acordo com a disponibilidade de hardware do usuário;
20. Em conjunto com a controladora, deve possuir funcionalidade que trate o tráfego multicast, otimizando a performance de aplicações e da rede quando há o envio deste tipo de pacote;
21. Para segurança, o AP deve suportar os padrões IEEE 802.11i, WPA2, WPA, TLS, TTLS, MSCHAPv2, PEAP, GTC e EAP-FAST . O AP deve suportar TKIP para criptografia WPA e AES para criptografia WPA2;
22. Suportar autenticação segundo o padrão IEEE 802.1x com assinalamento de VLAN por usuário, conforme pré-definido em servidor Radius padrão de mercado (como por exemplo, FreeRadius e Microsoft IAS);
23. Possuir sistema anti-furto tipo Kensington Security Lock ou suporte específico para cadeado para proteção física do equipamento;
24. Deve estar homologado pela Anatel na data do pregão;
25. Deve vir totalmente habilitado e funcional para operação, sem restrição de licenças que habilitem funcionalidades específicas;
26. Deve ser compatível com a controladora marca Cisco modelo 5508 já existente no IFPE;
27. Deve ser garantida atualização de software/firmware do equipamento pelo período de garantia sem custos para este órgão. Um atestado do fabricante, referenciando este processo, deve ser apresentado garantindo este item;
28. Atestado de capacidade técnica, emitido por instituições ou empresas de direito público ou privado no Brasil, impresso em papel timbrado (não serão aceitas declarações genéricas de catálogos, manuais ou Internet), original (não serão aceitas cópias), com nome e telefone de



  

forma simultânea. Não serão aceitas antenas do tipo dual-band;
4.
Cada AP deve suportar, no mínimo, 8 (oito) SSIDs para o equipamento;
5. Possuir 01(uma) interface Ethernet 10/100/1000, RJ 45 auto-sense. Adicionalmente, deve possuir uma interface SFP para conexão de transceiver de fibra óptica. Ambas interfaces devem ser internas ao equipamento, evitando problemas provenientes da exposição ao tempo; 6. Deve possuir 01 (uma) interface de console, RJ-45 ou RS-232, para gerenciamento completo local através de cabo console, interna ao equipamento;
7.
Deve possuir potência mínima de 28 dBm em ambas as frequências;
8.
Deve possuir LEDs externos com intuito de obter-se status do equipamento;
9. Deve possibilitar implementação Plug-and-Play, através de cliente DHCP, de modo que toda configuração seja baixada da controladora automaticamente;
10. Implementar gerenciamento automatizado de RF e potência, ou seja, os elementos da solução (Controlador + APs) devem definir sem intervenção manual os parâmetros de potência de transmissão e ajuste de canal de frequência, evitando interferências e sobreposição de canais; 11. Deverá implementar criptografia TKIP e AES;
12. Deve suportar operação MIMO 2x3 com sensibilidade mínima de -93 dBm operando em IEEE 802.11n;
13. Deve acompanhar um conjunto de 2 (duas) antenas direcionais tipo painel do mesmo fabricante que o ponto de acesso;
14. Deve acompanhar 1 antena tipo painel de instalação externa ao equipamento, com operação em 2.4 GHz, potência mínima de 13 dBi e irradiação direcional. A fim de flexibilizar a instalação e posicionamento da antena, esta deve suportar dual polarization (polarização dupla). Devem ser fornecidos os cabos de comunicação com o ponto de acesso, protetores contra surto elétrico para cada conector da antena e acessórios para fixação desta no ponto de acesso;
15. Deve acompanhar 1 antena tipo painel de instalação externa ao equipamento, com operação em 5 GHz, potência mínima de 14 dBi e irradiação direcional. A fim de flexibilizar a instalação e posicionamento da antena, esta deve suportar dual polarization (polarização dupla). Devem ser fornecidos os cabos de comunicação com o ponto de acesso, protetores contra surto elétrico para cada conector da antena e acessórios para fixação desta no ponto de acesso;
16. Deve possuir funcionalidade para identificação de interferências nas frequências 2.4 e 5 GHz, com granularidade menor que 500 KHz, identificando interferências provenientes de outros pontos de acesso, bluetooth, micro-ondas, telefones sem fio e qualquer outro dispositivo que possua transmissão nestas faixas de frequências. Estas interferências devem ser classificadas e mitigadas pelo próprio access point, quando possível;
17. O AP deve suportar arquitetura centralizada onde o AP opera de modo dependente do controlador central WLAN, já existente neste órgão, marca Cisco, modelo 5508, que faz o gerenciamento das políticas de segurança, qualidade de serviço (QoS) e monitoramento de RF, utilizando para isto o protocolo de gerenciamento de RF especifico;
18. Deve possuir funcionalidade WiMesh, sendo possível a conexão com o equipamento pontos de acesso modelo 1142 já existentes neste órgão;
19. Deve suportar operação no modo Bridge para conexões Ponto-a-Ponto;
20. Deve acompanhar fonte de alimentação e cabo de energia com pelo menos 1 metro de comprimento, do mesmo fabricante do equipamento;
21. Toda a solução deve ser própria para utilização outdoor, sem acessórios externos ou caixas externas;
22. Deve vir totalmente habilitado e funcional para operação, sem restrição de licenças que habilitem funcionalidades específicas;
23. Deve ser compatível com a controladora marca Cisco modelo 5508 já existente no IFPE;
24. Deve ser garantida atualização de software/firmware do equipamento pelo período de garantia sem custos para este órgão. Um atestado do fabricante, referenciando este processo, deve ser



  

acessórios para fixação em poste. Temperatura de operação de 0 a 55º C;
3. Implementar padrões IEEE 802.11a/b/g/n simultaneamente, com rádios distintos, permitindo configurações distintas para 2.4 e 5 GHz dentro do mesmo equipamento. O equipamento deve permitir a instalação de 6 antenas omnidirecionais, sendo 3 (três) delas em 2.4GHz e outras 3 (três) em 5GHz de forma simultânea. Não serão aceitas antenas do tipo dual-band;
4.
Cada AP deve suportar, no mínimo, 8 (oito) SSIDs para o equipamento;
5. Possuir 01(uma) interface Ethernet 10/100/1000, RJ 45 auto-sense. Adicionalmente, deve possuir uma interface SFP para conexão de transceiver de fibra óptica. Ambas interfaces devem ser internas ao equipamento, evitando problemas provenientes da exposição ao tempo;
6. Deve possuir 01 (uma) interface de console, RJ-45 ou RS-232, para gerenciamento completo local através de cabo console, interna ao equipamento;
7.
Deve possuir potência mínima de 28 dBm em ambas as frequências;
8.
Deve possuir LEDs externos com intuito de obter-se status do equipamento;
9. Deve possibilitar implementação Plug-and-Play, através de cliente DHCP, de modo que toda configuração seja baixada da controladora automaticamente;
10. Implementar gerenciamento automatizado de RF e potência, ou seja, os elementos da solução (Controlador + APs) devem definir sem intervenção manual os parâmetros de potência de transmissão e ajuste de canal de frequência, evitando interferências e sobreposição de canais;
11. Deverá implementar criptografia TKIP e AES;
12. Deve suportar operação MIMO 2x3 com sensibilidade mínima de -93 dBm operando em IEEE 802.11n;
13. Deve acompanhar um conjunto de 6 (seis) antenas omnidirecionais, sendo 3 (três) delas em 2.4GHz e outras 3 (três) em 5GHz;
14. Deve acompanhar 3 (três) antenas de instalação externa ao equipamento com operação em 2.4 GHz, potência mínima de 8 dBi e irradiação omnidirecional. As antenas devem ser preparadas para uso externo e serem do mesmo fabricante;
15. Deve acompanhar 3 (três) antenas de instalação externa ao equipamento com operação em 5 GHz, potência mínima de 8 dBi e irradiação omnidirecional. As antenas devem ser preparadas para uso externo e serem do mesmo fabricante;
16. Deve possuir funcionalidade para identificação de interferências nas frequências 2.4 e 5 GHz, com granularidade menor que 500 KHz, identificando interferências provenientes de outros pontos de acesso, bluetooth, micro-ondas, telefones sem fio e qualquer outro dispositivo que possua transmissão nestas faixas de frequências. Estas interferências devem ser classificadas e mitigadas pelo próprio access point, quando possível;
17. O AP deve suportar arquitetura centralizada onde o AP opera de modo dependente do controlador central WLAN, já existente neste órgão, marca Cisco, modelo 5508, que faz o gerenciamento das políticas de segurança, qualidade de serviço (QoS) e monitoramento de RF, utilizando para isto o protocolo de gerenciamento de RF especifico;
18. Deve possuir funcionalidade WiMesh, sendo possível a conexão com o equipamento pontos de acesso modelo 1142 já existentes neste órgão;
19. Deve acompanhar fonte de alimentação e cabo de energia com pelo menos 1 metro de comprimento, do mesmo fabricante do equipamento;
20. Toda a solução deve ser própria para utilização outdoor, sem acessórios externos ou caixas externas;
21. Deve vir totalmente habilitado e funcional para operação, sem restrição de licenças que habilitem funcionalidades específicas;
22. Deve ser compatível com a controladora marca Cisco modelo 5508 já existente no IFPE;



  

(RJ45/SFP) que se conectam a rede LAN (cabeada) e que controle(m) de maneira centralizada os pontos de acesso (pontos de acesso - APs), espalhados pela rede LAN e WAN deste órgão; 2. Deve ser fornecido na forma de appliance ou módulo de chassis. Em ambos os casos, a solução deve estar totalmente pronta para operação. Ou seja, em caso de fornecimento de módulo de chassis, devem ser fornecidos o bastidor, fontes, módulo de gerência/supervisão e interfaces, capaz de atender em sua totalidade as especificações contidas neste termo de referência;
3. Deve ser fornecido em sua totalidade de hardware e software, estando apto a funcionar com todas as características solicitadas aqui neste termo de referência;
4.
A solução deve permitir o tráfego IP, multicast e IPv6 através do controlador (camada 2);
5.
Deve executar o controle, configuração e gerência dos APs, bem como otimizar o desempenho e a cobertura da radiofrequência (RF) oferecido pela solução;
6. A solução deve implementar alta disponibilidade no formato 1+1 onde a segunda unidade (redundante) não deve ser licenciada. Neste caso, a controladora redundante deve “adquirir” as licenças da controladora principal em caso de falha na mesma;
7. A solução deve gerenciar a quantidade de 25 APs simultaneamente, num único hardware, permitindo o upgrade para até 500 AP’s com adição de licenças. A quantidade total de APs suportados reflete a previsão de crescimento da rede wireless deste órgão;
8.
Deve suportar pelo menos 6000 clientes/usuários simultâneos conectados;
9.Deve possuir pelo menos 6 (seis) interfaces gigabit ethernet, padrão 1000Base-T ou 1000Base-X. No caso de interface 1000 Base-X, com slot SFP ou XFP, deve acompanhar pelo menos 6 (seis) interfaces 1000Base-T com conector RJ-45. Desta forma, deve ser possível atrelar cada interface física a uma VLAN;
10. Deve permitir o gerenciamento completo através de porta de console, padrão RJ-45 ou RS- 232;
11.A solução deve controlar APs de uso interno “indoor” e de uso externo “outdoor”, estabelecendo link em wireless mesh entre eles. Devem acompanhar licenças para habilitar tais funcionalidades para a quantidade total de pontos de acesso suportados pela controladora; 12. Deve possuir funcionalidade baseada em reconhecimento de aplicações através de inspeção de pacotes, que permita ao administrador da rede identificar quais aplicações estão sendo trafegadas pelo equipamento, podendo-se realizar filtros por usuário (cliente). A base de aplicações deve permitir o reconhecimento de pelo menos 900 aplicações e deve estar habilitada no equipamento durante todo o período de garantia. Caso o equipamento não ofereça tal recurso, deve ser oferecido equipamento a parte que permita tal visualização, obedecendo as limitações de performance da controladora;
13. A solução deve permitir a adição de pontos de acesso que implementem análise de espectro (com granularidade melhor que 200 kHz), em hardware dedicado a esta finalidade, sem impacto no tráfego de rede dos clientes. Desta maneira, a solução como um todo deve permitir o gerenciamento mais apurado no cenário RF, utilizando da melhor maneira os canais mais imunes a interferência, ruído e/ou sujeira e alertando ao administrador do sistema possíveis ações que devam ser tomadas para troubleshooting da solução;
14. Ajuste dinâmico de canais e potência para otimizar a cobertura de rede e performance baseado na cobertura de APs vizinhos e interferência. Deve ser possível desabilitar o ajuste de potencia e ajuste de canal automático;
15. Deve permitir balanceamento de carga de usuários de modo automático fazendo a distribuição de usuários entre os APs próximos de forma automática e sem intervenção humana. Deve ser possível escolher em qual WLAN (SSID) será permitido executar tal ação;
16. Deve implementar o controle dinâmico de potência, onde o sistema dinamicamente ajusta a saída de potência dos pontos de acesso individualmente para acomodar as condições de

alterações da rede;
17. Implementar mecanismos para detecção de pontos de acesso não autorizados (rogues) de forma integrada e automática, classificando-os como conhecidos, malicioso ou não classificado. Deve ser permitido ajustar um nível de sinal mínimo (RSSI) para que o ponto de acesso vizinho (rogue) seja detectado como ponto de acesso não autorizado;
18. Se um dos controladores falhar, os APs relacionados a este controlador deverão se associar a um controlador secundário de forma automática;
19. Implementar opção de escritório remoto (local switching). Neste modo não é necessário que todo o tráfego seja direcionado ao controlador antes de ser encaminhado ao restante da rede, sendo possível a comunicação local seja com recursos de rede (impressoras, servidores) seja com outros usuários WiFi sem o controle prévio do controlador, otimizando a conexão em caso de pontos de acesso gerenciados sobre um link remoto (internet, WAN, MPLS);
20. Deve operar com AP’s remotos, mesmo acessado por NAT, através de túnel criptografado (VPN ou semelhante). Desta forma, é possível definir o IP público do controlador e fazer com que pontos de acesso remotos conectem-se automaticamente ao controlador através da Internet. Em caso de falha na comunicação entre controladora e ponto de acesso, o ponto de acesso deve continuar sua operação de transferência de dados aos clientes já conectados e aceitação de novos usuários sem ônus a rede WLAN local;
21.A solução deve detectar, classificar e mitigar interferências não WiFi que impactem diretamente no funcionamento da rede em menos de 10 minutos;
22. Deve implementar, no mínimo, 64 (sessenta e quatro) domínios de mobilidade (SSID), permitindo configurações distintas de autenticação, QoS, criptografia, SSID e VLAN para cada domínio. Deve ser possível especificar em quais APs/Grupo de APs cada domínio será aplicado;
23. Para fins de controle, deve permitir a restrição da quantidade de usuários conectados em um determinado domínio de mobilidade (SSID);
24. Implementar os padrões IEEE 802.11h, IEEE 802.11u e IEEE 802.11i;
25.Deve ser possível localizar usuários de forma integrada ao software da controladora, permitindo configurar filtros baseados em endereços MAC, nome do AP e SSID. Ao encontrar o usuário, deve ser possível obter informações sobre o usuário, máquina e conexão, incluindo endereço IP, nível de sinal (RSSI), endereço MAC, quantidade de tráfego realizado e nome do usuário 802.1X (caso esteja logado);
26. Implementar o protocolo IEEE 802.1x com associação dinâmica de usuário a VLAN com base nos parâmetros da etapa de autenticação fornecidos por servidor Radius;
27. Para permitir a maior dispersão de usuários e melhoria nas condições de RF e performance nas faixas de frequência de 2.4 e 5 GHz, deve possuir funcionalidade capaz de fazer a admissão de novos usuários de acordo com sua capacidade de operação, ou seja, a controladora deve escolher sem intervenção do usuário ou administrador, em qual frequência o usuário se conectará (se 2.4 ou 5 GHz), de acordo com hardware disponível do usuário e condições de rede, independente do SSID que o usuário estará conectando-se. Deve ser possível habilitar/desabiliatar tal funcionalidade de acordo com a WLAN (SSID);
28. Deve possuir funcionalidade capaz de tratar o tráfego de vídeo (multicast) para otimização de velocidade e qualidade de vídeo;
29. A solução deverá operar com os padrões IEEE 802.11A/B/G/N, com diferentes rádios de diferentes padrões, sejam rádios operando nas frequências B/G/N, A/B/G, B/G ou qualquer uma das configurações. Também deve controlar rádio mesh outdoor, de forma a atender grandes áreas externas. Devem acompanhar todas as licenças necessárias para o funcionamento conforme os itens descritos neste processo;
30. Suporte a mobilidade dos usuários em redes camada 2 e 3;

31. Deve implementar SNTP para sincronização de tempo com outros dispositivos de rede;
32. Deve implementar listas de controle de acesso (ACLs) com restrições de endereço IP, tipos de protocolos, portas, QoS e direção do fluxo de dados. Deve ser possível a criação de ACL para APs conectados remotamente (modo escritório local);
33. Deve possuir funcionalidades de wIPS diretamente na controladora, com intuito de ajudar a controladora no controle e identificação de tentativa de ataques a rede WLAN. Deve implementar mecanismos contra ataques tipo auth flood, deauth flood, EAPOL flood, broadcast deauth e tetstumbler;
34. Autenticação, Autorização e Accounting (AAA) em servidor RADIUS;
35. Em parceria com o AP, deve gerenciar chaves de criptografia WPA, WPA2, e WEP (40 e 128 bits), TKIP e AES;
36. Além das funcionalidades de criptografia, deve possuir funcionalidade de autenticação web (captive portal). Todo o mecanismo de autenticação deve ser interno a controladora (website, lista de usuários, políticas), sendo que a criação destes usuário deverá dar-se numa tela/interface diferente da tela de gerência do equipamento, permitindo que pessoas menos qualificadas possam fazer o cadastro de novos usuários. Além disso, deve ser possível especificar o tempo que um determinado usuário (login) ficará válido para ter acesso a rede através da autenticação web;
37. Deve permitir a atualização remota do software (firmware) da controladora e do software (firmware) dos pontos de acesso (APs), mesmo quando conectado remotamente;
38. Administração e gerência através de navegador padrão (HTTP/HTTPS), SSH, Telnet e interface console;
39. Permitir a gravação de eventos em log interno e servidor syslog externo;
40. Implementar SNMP v2c e v3 incluindo a geração de traps;
41. Possuir suporte a MIB II, conforme RFC 1213;
42. Permitir o armazenamento de sua configuração em memória não volátil, podendo, numa queda e posterior restabelecimento da alimentação, voltar à operação normalmente na mesma configuração anterior à queda de alimentação;
43. Possuir indicadores luminosos (led) para a indicação do status;
44. Deve ser fornecido com fonte de alimentação, com capacidade para operar em tensões de 110V / 220V com comutação automática. Deve suportar a instalação de fonte redundante N+1, interna no equipamento;
45. Deve ser compatível com a controladora marca Cisco modelo 5508 já existente no IFPE;
46. Deve ser compatível e deve gerenciar os pontos de acesso marca Cisco modelo 1142N já existente no IFPE;
47. Deve ser garantida atualização de software/firmware do equipamento pelo período de garantia sem custos para este órgão. Um atestado do fabricante, referenciando este processo, deve ser apresentado garantindo este item;
48. Atestado de capacidade técnica, emitido por instituições ou empresas de direito público ou privado no Brasil, impresso em papel timbrado (não serão aceitas declarações genéricas de catálogos, manuais ou Internet), original (não serão aceitas cópias), com nome e telefone de contato dos responsáveis pela informação atestada, comprovando que a licitante forneceu equipamento de características semelhantes aos especificados neste edital, em quantidade próxima, prestando serviços (quando existente) e a garantia dos equipamentos, de forma satisfatória. Junto com o atestado deve ser apresentado o contrato assinado ou nota fiscal de fornecimento dos equipamentos e/ou serviços (conforme disposto no item 9.2, TC- 013.576/2006-2, Acórdão no. 1.524/2006-TCU-Plenário);
49. A empresa deve indicar, na assinatura do contrato, os procedimentos para abertura de suporte técnico, cabendo a este órgão a abertura do chamado com intermediação da empresa fornecedora dos equipamentos ou diretamente com o fabricante dos equipamentos;



  



  

11. Deve implementar RMON (Remote Monitoring) nativamente;
12. Deve implementar DNS Proxy, Syslog e NTP;
13. Deve permitir a criação de listas de controle de acesso (ACL – Access Control List);
14. Deve suportar os seguintes protocolos: MPLS (Multiprotocol Label Switching ), Frame Relay, MLFR (Multilink Frame Relay), PPP (Point-to-Point Protocol), PPPoE (PPP over Ethernet), PPPoA (PPP over ATM), MLPPP (Multilink PPP), ATM (Asynchronous Transfer Mode) e ADSL (Asymmetric Digital Subscriber Line Support). Estes protocolos podem estar disponíveis para instalação futura através de adição de módulos internos ao equipamento ou aplicação de licenças quando necessário;
15. Deve permitir encapsulamento de roteamento genérico (Generic Routing Encapsulation); 16. Deve implementar Vlans 802.1q;
17. Deve implementar Jumbo Frames de, no mínimo, 9000 Bytes;
18. Deve implementar e suportar IPv6;
19. Deve implementar NAT (Network Address Translation) e Multicast NAT;
20. Deve suportar Multicast VPN permitindo sua instalação futura através da adição de módulos internos ao equipamento ou aplicação de licenças quando necessário;
21. Deve suportar DMVPN (Dynamic Multipoint VPN) permitindo sua instalação futura através da adição de módulos internos ao equipamento ou aplicação de licenças quando necessário;
22. Deve implementar funcionalidade que permita criar mais de 1 (uma) instância das tabelas de roteamento (routing table) e encaminhamento (forwarding table) no mesmo hardware; 23. Deve implementar as funcionalidades de DHCP (Dynamic Host Control Protocol) Server, DHCP Proxy e DHCP Relay;
24. Deve possuir os seguintes recursos de QoS: LLQ (Low-Latency Queuing), WFQ (Weighted Fair Queuing), Weighted Random Early Detection (WRED) e CBWFQ (Class-Based Weighted Fair Queuing);
25. Deve permitir a leitura e identificação de prioridades CoS 802.1p em quadros de controle PPP e PPPoE;
26. Deve implementar Policy-Based Routing (PBR);
27. Deve implementar os seguintes protocolos de roteamento: RIP (v1 e v2), RIPng, OSPF, OSPFv3, BGP4, IS-IS;
28. Deve implementar VRRP (Virtual Router Redundancy Protocol) ou protocolo similar;
29. Deve implementar IGMPv3 e IGMP Snooping;
30. Deve implementar os protocolos de roteamento para Multicast: PIM-SM (PIM Sparse Mode) e PIM-SSM (PIM Source-Specific Multicast);
31. Deve implementar o protocolo MLD (Multicast Listener Discovery) versões 1 e 2;
32. Deve suportar BFD (Bidirectional Forwarding Detection) permitindo sua instalação futura através da adição de módulos internos ao equipamento ou aplicação de licenças quando necessário;
33. Deve suportar instalação futura (através da adição de módulos internos ao equipamento ou aplicação de licenças quando necessário) de funcionalidade que determine a interface de destino por onde o pacote será roteado, utilizando como métricas as seguintes informações: latência, throughput, utilização do link, custo monetário do link, protocolos e aplicações (Layer 7). A decisão da interface de destino deverá ser tomada sempre consultando as informações no momento em que o pacote será enviado, permitindo assim uma distribuição inteligente da carga, melhorando a utilização e o balanceamento dos links;
34. Deve implementar Netflow ou sFlow;
35. Deve implementar o protocolo LLDP (Link Layer Discovery Protocol) IEEE 802.1AB;
36. Deve implementar uRPF (Unicast Reverse Path Forwarding);
37. Deve possuir controle de broadcast e multicast por porta;

38. Deve implementar autenticação IEEE 802.1x com assinalamento de VLAN por usuário e Guest VLAN para usuários não autenticados;
39. Deve implementar o mecanismo mudança de autorização dinâmica para 802.1x, conhecido como RADIUS CoA (Change of Authorization);
40.Deve implementar mecanismo de autenticação para acesso local ou remoto ao equipamento baseado em um Servidor de Autenticação/Autorização do tipo TACACS e RADIUS;
41. Deve implementar a criptografia de todos os pacotes enviados ao servidor de controle de acesso e não só os pacotes referentes à senha;
42. Quando integrado com servidor de autenticação, deve permitir controlar quais comandos os usuários ou grupos de usuários podem emitir na console do equipamento;
43. Deve possuir fonte de alimentação AC bivolt, com seleção automática de tensão (na faixa de 100 a 240V) e frequência (de 50/60 Hz);
44. Deve suportar fonte redundante;
45. Deve ser fornecido com documentação técnica (em papel ou download) e manuais que contenham informações suficientes para possibilitar a instalação, configuração e operacionalização do equipamento;
46. Deve ser garantida atualização de software/firmware do equipamento pelo período de garantia sem custos para este órgão. Um atestado do fabricante, referenciando este processo, deve ser apresentado garantindo este item;
47. Atestado de capacidade técnica, emitido por instituições ou empresas de direito público ou privado no Brasil, impresso em papel timbrado (não serão aceitas declarações genéricas de catálogos, manuais ou Internet), original (não serão aceitas cópias), com nome e telefone de contato dos responsáveis pela informação atestada, comprovando que a licitante forneceu equipamento de características semelhantes aos especificados neste edital, em quantidade próxima, prestando serviços (quando existente) e a garantia dos equipamentos, de forma satisfatória. Junto com o atestado deve ser apresentado o contrato assinado ou nota fiscal de fornecimento dos equipamentos e/ou serviços (conforme disposto no item 9.2, TC-013.576/2006-2, Acórdão no. 1.524/2006-TCU- Plenário);
48. A empresa deve indicar, na assinatura do contrato, os procedimentos para abertura de suporte técnico, cabendo a este órgão a abertura do chamado com intermediação da empresa fornecedora dos equipamentos ou diretamente com o fabricante dos equipamentos;
49. A empresa deve possuir, após a assinatura do contrato, pelo menos 1 (um) profissional com certificação técnica emitida pelo fabricante do equipamento ofertado, capaz de prestar suporte de primeiro nível aos produtos em garantia, e escalar o suporte ao fabricante conforme necessidade;
50. O fabricante deve possuir estrutura de suporte com atendimento em português do Brasil e chamada direta grátis (DDG) 0800 ou a cobrar durante o horário comercial;
51. Conforme disposto no item I do artigo 15 da lei 8.666, de 21 de junho de 1993 (I - Atender ao principio de padronização, que imponha compatibilidade técnica e de desempenho, observadas, quando for o caso, as condições de manutenção, assistência técnica e garantia oferecidas), este equipamento, por questões de compatibilidade, gerencia, suporte e garantia, deve ser do mesmo fabricante dos equipamentos deste grupo (lote); 52. Garantia de 36 (trinta e seis) meses com atendimento em até 1 dia útil e envio de peças e equipamento em até 3 dias úteis para a cidade de Recife/PE;
53. Não serão aceitos suportes compartilhados entre revenda e fabricante (shared support) para substituição de hardware;





  



  




  



  





  



Credenciamento: 5.1. O credenciamento dar-se-á pela atribuição de chave de identificação e de senha, pessoal e intransferível, para acesso ao sistema eletrônico, no Portal Comprasnet, conforme procedimento da Instrução Normativa SLTI/MPOG n° 02, de 11 de outubro de 2010.

5.5. O licitante será responsável por todas as transações que forem efetuadas em seu nome no sistema eletrônico, assumindo como firmes e verdadeiras suas propostas e lances.
5.6. Incumbirá ainda ao licitante acompanhar as operações no sistema eletrônico durante a sessão pública do Pregão, ficando responsável pelo ônus decorrente da perda de negócios diante da inobservância de quaisquer mensagens emitidas pelo sistema ou de sua desconexão.

Habilitação: 11.1. Como condição prévia ao exame da documentação de habilitação do licitante detentor da proposta classificada em primeiro lugar, o Pregoeiro verificará o eventual descumprimento das condições de participação, especialmente quanto à existência de sanção que impeça a participação no certame ou a futura contratação, mediante a consulta aos seguintes cadastros:

contratar com o Poder Público, inclusive por intermédio de pessoa jurídica da qual seja sócio majoritário.
11.1.2. Constatada a existência de sanção, o Pregoeiro reputará o licitante inabilitado, por falta de condição de participação.
11.2. Não ocorrendo inabilitação, o licitante detentor da proposta classificada em primeiro lugar deverá comprovar, no prazo máximo de 01 (uma) hora, a contar da solicitação no sistema eletrônico, sua condição de habilitação, por meio do e-mail compras@garanhuns.ifpe.edu.br, com posterior encaminhamento do documento pertinente por via postal ou similar no prazo máximo de 03 (três) dias úteis.
11.2.1. Os documentos poderão ser apresentados em original, em cópia autenticada por cartório competente ou por servidor da Administração, ou por meio de publicação em órgão da imprensa oficial.
11.3. Para a habilitação, o licitante deverá apresentar os documentos a seguir relacionados:
11.3.1. Relativos à Habilitação Jurídica:
a. No caso de empresário individual: inscrição no Registro Público de Empresas Mercantis, a cargo da Junta Comercial da respectiva sede;
b. No caso de sociedade empresária ou empresa individual de responsabilidade limitada - EIRELI: ato constitutivo, estatuto ou contrato social em vigor, devidamente registrado na Junta Comercial da respectiva sede, acompanhado de documento comprobatório de seus administradores;
b.1. Os documentos acima deverão estar acompanhados de todas as alterações ou da consolidação respectiva;

f. No caso de empresa ou sociedade estrangeira em funcionamento no País: decreto de autorização;
11.3.2. Relativos à Regularidade Fiscal e Trabalhista:
a. Prova de inscrição no Cadastro Nacional de Pessoas Jurídicas;
b. Prova de inscrição no cadastro de contribuintes municipal e estadual, relativo ao domicílio ou sede do licitante, pertinente ao seu ramo de atividade e compatível com o objeto contratual;
c. Prova de regularidade com a Fazenda Federal, mediante certidão conjunta negativa de débitos, ou positiva com efeitos de negativa, relativos aos tributos federais e à Dívida Ativa da União;
d. Prova de regularidade para com a Fazenda Municipal e Estadual, do domicílio ou sede do licitante, pertinente ao seu ramo de atividade e compatível com o objeto contratual;
e. Prova de regularidade relativa à Seguridade Social, mediante certidão negativa de débitos, ou positiva com efeitos de negativa, relativos às contribuições previdenciárias e às de terceiros;
f. Prova de regularidade relativa ao Fundo de Garantia do Tempo de Serviço (FGTS), mediante Certificado de Regularidade do FGTS;
g. Prova de inexistência de débitos inadimplidos perante a Justiça do Trabalho, mediante Certidão Negativa de Débitos Trabalhistas (CNDT), ou certidão positiva com efeitos de negativa.

b. Balanço patrimonial e demonstrações contábeis do último exercício social, já exigíveis e apresentados na forma da lei, que comprovem a boa situação financeira da empresa, vedada a sua substituição por balancetes ou balanços provisórios, podendo ser atualizados por índices oficiais quando encerrados há mais de 3 (três) meses da data de apresentação da proposta;
b.1. O balanço patrimonial deverá estar assinado por contador ou por outro profissional equivalente, devidamente registrado no Conselho Regional de Contabilidade;
b.2. As empresas constituídas no exercício em curso deverão apresentar cópia do balanço de abertura ou cópia do livro diário contendo o balanço de abertura, inclusive com os termos de abertura e encerramento;
b.3. No caso de licitação para fornecimento de bens para pronta entrega, não se exigirá da microempresa ou empresa de pequeno porte a apresentação de balanço patrimonial do último exercício social;
b.4. Caso o licitante seja cooperativa, tais documentos deverão ser acompanhados da última auditoria contábil-financeira, conforme dispõe o artigo 112 da Lei nº 5.764, de 1971, ou de uma declaração, sob as penas da lei, de que tal auditoria não foi exigida pelo órgão fiscalizador;
b.5. A boa situação financeira do licitante será avaliada pelos Índices de Liquidez Geral (LG), Solvência Geral (SG) e Liquidez Corrente (LC), maiores que 1 (um), resultantes da aplicação das fórmulas abaixo, com os valores extraídos de seu balanço patrimonial ou apurados mediante consulta on line, no caso de empresas inscritas no SICAF:
Ativo Circulante + Realizável a Longo Prazo LG =
Passivo Circulante + Passivo Não Circulante
Ativo Total
SG =
Passivo Circulante + Passivo Não Circulante

a. Comprovação de aptidão para o fornecimento de bens em características, quantidades e prazos compatíveis com o objeto desta licitação, ou com o item pertinente, por meio da apresentação de atestados fornecidos por pessoas jurídicas de direito público ou privado.
11.4. A comprovação dos requisitos de habilitação será exigida do licitante de acordo com o vulto e a complexidade de cada item.
11.4.1. O licitante provisoriamente vencedor em um item, que estiver concorrendo em outro item, ficará obrigado a comprovar os requisitos de habilitação cumulativamente, isto é, somando as exigências do item em que venceu às do item em que estiver concorrendo, e assim sucessivamente, sob pena de inabilitação, além da aplicação das sanções cabíveis.
11.5. O licitante que já estiver cadastrado no SICAF, em situação regular, até o terceiro dia útil anterior à data da abertura da sessão pública, ficará dispensado de apresentar os documentos comprobatórios abrangidos pelo referido cadastro que estejam validados e atualizados.
11.5.1. A verificação se dará mediante consulta on-line, realizada pelo Pregoeiro, devendo o resultado ser impresso e anexado ao processo.
11.5.2. Na hipótese de algum documento que já conste do SICAF estar com o seu prazo de validade vencido, e caso o Pregoeiro não logre êxito em obter a certidão correspondente através do sítio oficial, o licitante será advertido a encaminhar, no prazo de 01 (uma) hora, documento válido que comprove o atendimento às exigências deste Edital, sob pena de inabilitação, ressalvado o disposto quanto à comprovação da regularidade fiscal das microempresas e empresas de pequeno porte e das cooperativas enquadradas no artigo 34 da Lei nº 11.488, de 2007.
11.5.3. O licitante obriga-se a declarar, sob as penalidades legais, a superveniência de fato impeditivo da habilitação.

11.9. Havendo necessidade de analisar minuciosamente os documentos exigidos, o Pregoeiro suspenderá a sessão, informando no “chat” a nova data e horário para a continuidade da mesma.
11.10. No julgamento da habilitação, o Pregoeiro poderá sanar erros ou falhas que não alterem a substância dos documentos e sua validade jurídica, mediante despacho fundamentado, registrado em ata e acessível a todos, atribuindo-lhes validade e eficácia para fins de habilitação.
11.11. Constatado o atendimento às exigências de habilitação fixadas no Edital, o licitante será declarado vencedor.
11.11.1. Caso o licitante seja microempresa ou empresa de pequeno porte, ou cooperativa enquadrada no artigo 34 da Lei nº 11.488, de 2007, havendo alguma restrição na comprovação de sua regularidade fiscal, ser-lhe-á assegurado o prazo de 02 (dois) dias úteis, a contar do momento em que for declarado vencedor do certame, prorrogável por igual período, para a regularização da documentação, pagamento ou parcelamento do débito, e emissão de eventuais certidões negativas ou positivas com efeito de certidão negativa.
11.11.1.1. Como condição para o deferimento do prazo de regularização, o Pregoeiro poderá consultar o Portal da Transparência do Governo Federal (www.portaldatransparencia.gov.br), para verificação do somatório dos valores das ordens bancárias recebidas pelo licitante no exercício anterior ou corrente, conforme procedimento previsto na fase de aceitação e julgamento da proposta, caso ainda não o tenha realizado.
11.11.1.2. Constatada a ocorrência de qualquer das situações de extrapolamento do limite legal, o Pregoeiro indeferirá a aplicação do tratamento diferenciado em favor do licitante, conforme artigo 3°, §§ 9°, 9°-A, 10 e 12, da Lei Complementar n° 123, de 2006, com a negativa do prazo de regularização e consequente inabilitação, sem prejuízo das penalidades incidentes.
11.11.2. A prorrogação do prazo a que se refere o subitem anterior deverá sempre ser concedida pela Administração quando requerida pelo licitante, a não ser que exista urgência na contratação ou prazo insuficiente para o empenho devidamente justificados.

11.12.1. Neste caso, o Pregoeiro retomará o procedimento a partir da fase de julgamento da proposta, examinando a proposta subsequente e, assim sucessivamente, na ordem de classificação, até que se atinja a quantidade total estimada no Termo de Referência.
11.13. Da sessão pública do Pregão divulgar-se-á Ata no sistema eletrônico.