C.C.T.P PROJET DE MISE EN PLACE D UNE INFRASTRUCTURE RESEAU WIFI AU SEIN DES BATIMENTS DE LA MAIRIE DE SAINT MARTIN DE CRAU 1. Préambule La mairie de St Martin de Crau souhaite se doter d une infrastructure réseau sans fil (WIFI) pour couvrir ses bâtiments municipaux. Les principaux axes retenus pour ce projet sont : - Proposer un accès au système d information en mobilité, les principaux utilisateurs seront les élus et les agents de la collectivité, un usage public est aussi prévu de façon ponctuelle dans certains bâtiments. - Recherche d une couverture optimisée pour limiter le nombre de points d accès (AP) - Recherche d une architecture optimale en termes de coût d achat et de maintenance, mais aussi en termes d intégration avec l existant. - Mise en place d une solution évolutive et pérenne dans le temps, les matériels mis en place devront être suivis et pouvoir faire l objet d extensions sur une période d au minimum 5 ans. - Mise en place d un partenariat technique et commercial pour garantir la bonne intégration de la solution au système d information existant. 2. Situation Actuelle La mairie de Saint Martin de Crau est répartie sur une trentaine de sites connectés via un réseau MAN privé en fibre optique et cuivre, seuls 3 sites ne sont pas connectés en très haut débit mais via des tunnels VPN. L architecture réseau est composée de 2 commutateurs HP Procurve 5412ZL en cœur de réseau qui assurent le routage de niveau 3 et d environ 40 commutateurs d extrémités HP Procurve 2510, 2520 et 2530. La plupart de sites sont équipés de commutateurs POE. L ensemble du réseau est administré via la solution HP PCM. La collectivité dispose de plusieurs réseaux distincts segmentés sur environ 40 VLANs, on citera de façon non limitative: - le réseau mairie (plusieurs VLAN routés en cœur de réseau), - le réseau des écoles (primaires et maternelles de la commune) - les réseaux parapublics (associations, DSP, intervenants externes ) - les réseaux publics (médiathèque, espace multimédia, espace emploi, usagers ) Environ 200 postes sont connectés sur notre réseau en filaire, il faut y ajouter environ 50 postes dans les écoles. La sécurité en périphérie de nos installations est assurée par des boitiers UTM qui prennent en charge les liens VPN, le routage des communications entre nos différents réseaux et le filtrage des accès internet. Le réseau MAN véhicule des flux de données, voix et vidéo avec un système de priorisation des flux (QOS), l ensemble des ressources centrales sont répartis sur 2 salles informatiques reliées par des fibres optiques monomodes. Les serveurs, au nombre d une trentaine, sont virtualisés sur un cluster VMware attaché à une baie de stockage connectée en FC, l ensemble est réparti sur les 2 salles informatiques de la mairie. Les serveurs sont composés pour 1/3 de Linux pour 2/3 de Windows 2008R2, ils prennent en charge des fonctions d infrastructures, de communications et d applications. Page 1 sur 7
Le nombre de personnes susceptibles de s identifier sur notre réseau peut être estimé à environ 300, sans compter les élèves des écoles qui pour l instant ne possèdent pas de compte informatique. Nous comptons sur notre réseau 4 domaines active directory pour la partie authentification, ceux-ci sont indépendants les uns des autres car ils prennent en charge des entités complètement indépendantes. La mairie ne possède actuellement aucune infrastructure réseau sans fils, seuls quelques points d accès isolés sont en place. 3. Réponse des entreprises et prestations demandés 3.1. Objet du marché La présente consultation a pour objet la fourniture et la mise en service d une infrastructure sans fil sécurisé (WIFI) administrable de façon centralisée, celle-ci devra aussi être fournie avec des outils de supervision permettant de s assurer de son bon fonctionnement mais aussi de son niveau de performance. La solution devra s appuyer sur l infrastructure réseau en place. La présente consultation concerne : - La fourniture de matériel, accessoires, câbles de raccordement électrique et réseau aux normes françaises. - La prestation de mise en œuvre. - La documentation technique permettant de décrire et maintenir l architecture mise en place, celle-ci devra être fournie sous forme de fichiers informatiques modifiables pour permettre son évolution au fil des modifications, - La formation et le transfert de compétences pour assurer un minimum d indépendance au service informatique dans l administration du système (3 personnes), - Le support, les modifications de paramétrage et la maintenance des matériels et logiciels. - L installation physique des contrôleurs dans les salles informatiques sera prise en charge par la DSI, de même, la mise en place des bornes WIFI sera réalisée en dehors du marché car chaque bâtiment devra être adapté au niveau du câblage. Néanmoins, nous attendons un accompagnement pour optimiser le placement des points d accès en vue de maximiser la couverture. Trois bâtiments seront mis en service rapidement durant la prestation soit environ 8 points d accès, les autres seront déployés par la DSI au fur et à mesure des besoins. - La fourniture d un catalogue détaillé des produits et prestations assurés par les soumissionnaires, pour les fournitures devront figurer les prix publics et le taux de remise applicable. Sur une première étape du projet, nous souhaitons assurer la couverture Wifi uniquement sur certains bâtiments, nous évaluons le nombre total de point d accès (AP) à environ 20. L objectif est d assurer une couverture ponctuelle dans des salles de réunion ou plus complète au niveau des écoles. Des AP supplémentaires seront ajoutés en fonction des besoins sur les 4 ans dans le cadre du marché, nous estimons à une centaine le nombre maximum de point d accès à l issus de la période. 3.2. Conditions générales à respecter - Une visite du site est obligatoire car certaines informations détaillées ne seront disponibles que lors de cette visite. - Durant la phase d élaboration de la réponse, les échanges entre les soumissionnaires et la mairie de Saint Martin de Crau se feront exclusivement par messagerie électronique. Page 2 sur 7
3.3. Présentation de la réponse La réponse, obligatoirement en langue française, comprendra: Une présentation du soumissionnaire Un dossier des équipements fournis et le détail des prestations Le CV du ou des intervenants en charge du projet, les niveaux de certifications chez le constructeur proposé. Une date de validité des offres qui sera au minimum de 3 mois à compter de la remise de celles-ci Une description des certifications et accords de partenariat que le soumissionnaire possède auprès des constructeurs de matériels proposés Une liste de références pour des installations similaires Le délai de réalisation à réception de commande L ensemble sera présenté sous la forme d un mémoire technique, celui-ci sera intégré dans l évaluation des réponses. Les critères qualitatifs retenus seront : la taille qui ne devra pas excéder 60 pages, la clarté et la pertinence des informations qui doivent apporter une réponse à l ensemble des points demandés. Une description de la démarche projet mise en place est indispensable à l appréciation de la qualité de la réponse. 3.4. Agréments du matériel Les matériels proposé devront être conforme à la règlementation française, la prise en charge des normes dites «écologiques ou green IT» sera un plus. 3.5. Pérennité du choix La mairie de Saint Martin de Crau a toujours inscrit ses investissements dans une démarche de long terme. Pour cela, les évolutions tant matérielles que logicielles, les technologies et partenariats techniques proposés devront être en concordance cette stratégie. Cette garantie de pérennité associée à une perspective d exploitation simple et rationnelle favorisera notre choix. Les solutions proposées devront s intégrer dans l infrastructure réseau existante sans remettre en question cette dernière. Compte tenu des risques d intrusions avec les connexions sans fils, l accent devra être mis sur les moyens de protection intégrés dans la solution proposée, nous serons attentifs aux aspects matériels, logiciels mais aussi aux mises à jour nécessaires pour corriger les failles de sécurité et à la durée du support de la solution par le fabriquant. Compte tenu de l essor des solutions sans fils nous attendons de la solution proposée qu elle nous accompagne sur une période de 5 à 7 ans. Bien qu il soit difficile d estimer le nombre maximum de points d accès sur une période aussi longue, il nous semble que 250 AP représentent une valeur maximum. 3.6. Découpage de la réponse Nous souhaitons que la réponse détaille : la partie installée sur le ou les sites centraux les points d accès avec leurs accessoires (alimentations externes ou injecteurs, antennes, fixation etc. ) la prestation de mise en œuvre, documentation, formation (transfert de compétences). Attention même si la prestation est forfaitisée, nous souhaitons l estimation du nombre de jours prévus sur site et en agence pour réaliser l ensemble de la prestation (à reporter dans le DQE). Les conditions de garantie, maintenance et le support Page 3 sur 7
3.7. Caractéristiques techniques La solution proposée devra être évolutive. Même si nous envisageons une solution monocontrôleur dans une première étape nous n excluons pas la possibilité d évoluer vers un cluster de type actif-actif. Nous attendons donc un chiffrage qui permette l achat d un contrôleur avec une option permettant d en avoir un deuxième qui pourra fonctionner en cluster avec le premier. Les licences proposées devront détailler les deux modes de fonctionnement. Dans le cas où nous optons pour la solution avec 2 contrôleurs, nous attendons une solution qui sera capable de fonctionner sans interruption en cas de panne sur un des deux contrôleurs. Nous pouvons accepter en mode dégradé une baisse de performances à condition que la solution reste utilisable avec un confort raisonnable. Les nombre total d utilisateurs et d équipements va croitre progressivement jusqu à un total d environ 300 équipements, lors d évènements ponctuel (salons ou expositions) nous pourrons atteindre 500 connexions instantanées. Fonctionnalités attendues de la solution proposée : - Alimentations redondantes - Adressage IPV4 et IPV6 - Connexion en roaming entre les bornes sans coupure - QOS - IEEE 802.1x - IEEE 802.3az - Redondance 1+1 si choix deux contrôleurs - Gestion de 1024 VLANs - Nombre de points d accès 96 extensible à 256-500 connexions simultanées - Gestion des interférences, analyseur de spectre, gestion dynamique des canaux en fonction de l environnement - Support des clients Apple, Android, Linux, Windows, en fixe, mobile, téléphones et tablettes - Gestion de la configuration des AP par groupe pour faciliter le déploiement - Mise à jour des firmwares des APs de façon centralisée - Prise en charge par les contrôleurs d APs situés derrières des liens VPN sans concentration des flux au niveau des contrôleurs (Administration de l AP au niveau du contrôleur sur le site central mais connexion internet sur le site distant en local) - Authentification sur le contrôleur, portail web https, IEEE 802.1x, radius, LDAP - La prise en charge de plusieurs annuaires est un plus qui devra être détaillé (4 AD dans la mairie) - Cryptage WEP, WPA et WPA2 - Filtrage des adresses mac en local et/ou radius - Différents réseaux SSID devront être accessibles depuis chaque borne radio, leurs niveaux de sécurité pourront être ajustés différemment en fonction de la criticité des ressources accessibles, une gestion des VLANs permettra de dispatcher les flux vers les différents réseaux en toute sécurité. Les liaisons possibles entre VLAN et SSID devront être précisées. - Les SSID pourront être masqués si nécessaire - Précisez les dispositifs de sécurité existants pour assurer la confidentialité des échanges entre 2 clients connectés sur le même SSID d une même borne. - Le contrôleur et ou les points d accès devront assurer des contrôles d intégrités (End Point) sur les échanges pour garantir la sécurité de la solution - Les logs auront une importance particulière, préciser la capacité de stockage prévu en fonction de la durée de rétention, éventuellement toute solution de stockage externe au contrôleur qu il faudrait prévoir. Page 4 sur 7
- Précisez s il existe des outils optionnels permettant d optimiser le paramétrage des contrôleurs et de suivre leur fonctionnement et niveau de performance. Détailler les fonctionnalités et le coût des diverses solutions. Ces outils qui peuvent être externes aux boitiers et soumis à licences devront être chiffrés séparément, leur mise en œuvre sera optionnelle. Nous souhaitons la remontée d alertes par Email en cas de disfonctionnements tant matériels que logiciels de la solution. - La nouvelle règlementation pour les écoles primaires nous oblige à désactiver les points d accès lorsque les outils multimédias ne sont pas utilisés. Un système de planification devra nous permettre de couper le rayonnement WIFI sur des plages horaires définies et ce pour un ensemble de points d accès. Préciser les combinaisons possibles entre profils horaires et groupes de points d accès. Les bornes proposées devront : - Etre administrable à distance - Etre interopérable avec les clients IEEE 802.11a/b/g/n/ac - Posséder 2 bandes radios 802.11b/g/n, a/n/ac, - Offrir des dispositifs de sécurité intégrés (type IDS-IPS) - Etre POE, des injecteurs adaptés devront être proposé pour l alimentation des APs dans des locaux non équipés de switch POE. - Le montage devra pouvoir se faire en mur et plafond, - Permettre la connexion d antennes extérieures - Répondre à la règlementation française - Un catalogue chiffré devra présenter en variante des bornes de mêmes caractéristiques pour installation en extérieur - Une gamme d antennes optionnelles devra être détaillée pour permettre d adapter la couverture à des besoins particuliers. 3.8. Portail captif Nous souhaitons pouvoir prendre en charge les utilisateurs occasionnels ainsi que les usagers via une authentification assurée par un portail captif, celui-ci devra être en mesure de communiquer avec plusieurs serveurs AD, radius, LDAP ou une base de comptes locaux. La prise en charge de plusieurs sources en parallèle comme plusieurs annuaire AD serait un plus dans notre contexte. A minima nous attendons : - la possibilité d attribuer des tickets de durées variables allant de 1h00 à 1 an, - d affecter un profil utilisateur à un SSID qui va conditionner ses possibilités d accès et établir sa connexion à un vlan réseau, - Un système de log nous permettant de tracer les connexions internet et de répondre aux obligations d un fournisseur d accès. Cette partie pourra faire l objet d une consolidation avec le système en place actuellement (solution liée aux boitiers UTM en place). Nous souhaiterions pour des raisons de coût privilégier la solution proposée par le constructeur en charge de la partie WIFI, pour cela nous vous demandons de préciser les fonctionnalités du portail captif fourni ainsi que ses limites. Un produit tiers aux fonctionnalités plus développées pourra faire l objet d une proposition optionnelle, devront être mis en avant les fonctionnalités avancées qui le différencie de l offre de base. Si le produit est lui-même modulaire, les coûts d achat et maintenance des solutions ainsi qu une comparaison des couvertures fonctionnelles sont attendus. Page 5 sur 7
3.9. Garantie et maintenance : La maintenance au-delà de la garantie devra être optimisée en terme de coût en fonction de la politique du fabriquant, s il existe des extensions de garantie constructeur prépayées celles-ci devront être proposés (5 ans de préférence). Si le fabriquant propose une garantie à vie les modalités devront être précisées. En fonction du nombre de contrôleur mis en place (1 ou 2) la GTR (garantie de temps de rétablissement) pourra être assouplie, nous souhaitons pouvoir choisir le bon équilibre entre le coût et la GTR, plusieurs propositions sont attendues pour éclairer notre choix. Le début de la garantie des équipements prendra effet à la date de la validation de service régulier (VSR) ce qui correspond à l acceptation de la solution. Le contrat de maintenance devra préciser comment il s applique durant la phase de garantie et en dehors. Le contrat devra détailler l ensemble des prestations téléphoniques, déplacements, remplacement de matériels, ainsi que l application des mises à jour majeures. En cas d exclusions celles-ci devront être explicitement décrites. 3.10. Prestation de mise en œuvre La réponse devra détailler la gestion du projet, l étude, la mise en œuvre des équipements, le paramétrage et les tests de validation. La mise en œuvre et le suivi devront être réalisés par du personnel qualifié, vous devrez fournir les CVs des intervenants avec leur niveau de certification. Le projet devra être phasé, nous attendons le détail des jours nécessaires à sa mise en place ainsi que les réunions nécessaires au cadrage et suivi tout au long du processus de mise en place. La prestation devra comprendre au minimum les phases suivantes : - Phase d étude : o analyse détaillée des besoins, inventaire des réseaux et usages, contraintes, plan de test et planning de mise en œuvre. o Proposition d une architecture technique. - Phase d installation o Paramétrage et mise en œuvre des fonctions de base o Paramétrage de 7 points d accès en environnement MAN ou LAN o Paramétrage de 1 point d accès en environnement VPN o Nous serons très attentifs à la validation de la configuration ainsi qu à la sauvegarde des différentes configurations, le prestataire devra mettre en place un processus de sauvegarde capable d assurer un redémarrage rapide en cas de panne. o Documentation technique o Transfert de compétences auprès de la DSI o Procédure de production (maj firmware, patch, contrôle, suivi des alertes,.) o Mise en production et validation d aptitude (VA) de la solution - Phase de d ajustement : o Ajustement du paramétrage en fonction des retours d expériences (Logs, évolution des besoins ) o Validation de service régulier (VSR) 4 semaines minimum après la validation d aptitude (VA). Démarrage de la phase de garantie. Page 6 sur 7
3.11. Dérogation au CCAG TIC Dérogation Article CCTP Article CCAG TIC Pénalités de retard 4 Art. 14 Page 7 sur 7