1.1	Popis současného stavu
Bezdrátová síť pokrývá vnitřní prostory v NBD ČVUT a slouží primárně pro připojení studentů a zaměstnanců. Hardwarová infrastruktura je tvořena dvojicí bezdrátových kontrolérů Cisco WiSM1 WS-SVC-WISM-1-K9 pracujících v režimu vysoké dostupnosti, kdy v případě výpadku jednoho převezme funkci záložní. Další součástí infrastruktury je 185 ks indoor přístupových bodů, konktrétně se jedná o modely Cisco AIR-LAP1131AG-E-K9 a Cisco AIR-LAP1142N-E-K9. Přístupové body pracují v režimu tenký klient. Kontrolér slouží pro centrální monitoring a správu bezdrátové sítě. Všechny aktivní prvky bezdrátové sítě jsou zastaralé ve stavu ukončení podpory výrobce, bez možnosti software update a hardware podpory. Přístupové body podporují pouze starší bezdrátové normy 802.11a/b/g a částečně 802.11n. Aktuální řešení nepostačuje s ohledem na požadovaný výkon, podporu nových bezdrátových standardů a nevyhovuje také po stránce bezpečnostní. S ohledem na rostoucí množství mobilních zařízení a potřebu po kvalitním bezdrátovém připojení je nutná odpovídající náhrada.
Hlavní problémy současného stavu:
-	Nedostačující výkonová kapacita bezdrátové sítě z pohledu provozních špiček.
-	Nedostačující kvalita připojení ve vybraných místech s vysokou hustotou klientů.
-	Vysoké stáří aktivních prvků a chybějící podpora nových bezdrátových standardů.
-	Aktivní prvky bez možnosti hardware podporu výrobce zařízení.
-	Bezpečnostní rizika - aktivní prvky bez možnosti software podpory výrobce zařízení.
-	Chybějící nástroj pro centrální a dlouhodobý monitoring infrastruktury i uživatelů.

1.2	Obecné požadavky na řešení
-	Bezdrátová síť bude sloužit pro připojení studentů, zaměstnanců a externích hostů, konektivita bude zajištěna v pásmech 2,4 a 5GHz současně.
-	Je požadovaná vysoká dostupnost a škálovatelnost, řešení musí umožňovat současné připojení bezdrátových zařízení v řádu tisíců ks, systém lze rozšiřovat bez nutnosti výměny centrálních řídících prvků.
-	Indoor přístupové body s podporou standardu IEEE 802.11ac wave2, každý přístupový bod umožňuje obsloužit minimálně 100 aktivních klientů stahujících data.
-	Inteligentní provoz v prostředí s vysokou hustotou klientů, tzn. dynamické vyvažování zátěže klientů mezi AP a pásmy 2,4 a 5GHz se zohledněním počtu klientů, síly signálu, zatížení AP a v koordinaci s ostatními AP.
-	Současný provoz více SSID včetně odlišných autentizací a QoS politik. Podpora VLAN Pooling pro distribuci wifi provozu do LAN a využívání VLAN pro oddělení jednotlivých bezpečnostních zón.
-	Současný provoz více SSID s různým nastavením ověřením (AAA) a zabezpečením provozu. Vyžadována je podpora WPA2-Enterprise, PSK, Open a Web (Captive portál) autentizace, Možnost filtrování na základě seznamu MAC adres.
-	Schopnost rozpoznávat aplikace na základě DPI a možnost omezit přenosové pásmo na uživatele a zvolenou aplikaci nebo omezení podle časového rozvrhu. Možnost definice odlišných a unikátních firewall pravidel na každého uživatele v rámci jednoho SSID. Firewall oddělení bezdrátového provozu s možností filtrovat komunikaci jak dle IP, tak podle aplikací.
-	Dalším požadavkem je podpora plynulého roamingu a zohlednění možnosti budoucího využití WiFi pro hlasový provoz VoWiFi (např. Skype for business), tzn. klasifikace VoiP provozu a možnost aplikace rozdílných QoS profilů na jednotlivé třídy provozu.
-	Z důvodu vyšší propustnosti je požadována možnost využití SingleSSID, kdy je do prostředí vysíláno minimální množství SSID a tím i minimální množství servisních rámců. Systém musí umožňovat aplikovat na každého bezdrátového klienta nejen rozdílnou VLANu, ale i aplikační pravidla a QoS (např. pro omezení rychlosti).
-	Využívání VLAN pro oddělení jednotlivých bezpečnotních zón.
-	Podpora spektrální analýzy pro detekci RF rušení nepocházející z 802.11b/g/n/ac sítí.
-	Volitelná možnost web content filtering (dle URL, podle IP, podle web obsahu, podle typu provozu).
-	Centrální monitoring a management nástroj s možností uchování dlouhodobých statistik např. pro účely řešení bezpečnostních incidentů.
-	Napájení jednotlivých access pointů bude realizováno pomocí PoE IEEE 802.3af ze stávající LAN infrastruktury, přepínače pro napájení nejsou součástí dodávky.
1.3	Předmět plnění a požadovaný rozsah plnění
Předmětem plnění veřejné zakázky je obnova technologické infrastruktury, a to dodávka hardwarové zařízení pro zajištění bezdrátové sítě s připojením k internetu v nové budově ČVUT, a to včetně instalace a zprovoznění hardwarového zařízení a konfigurace bezdrátové sítě a zajištění pokrytí WiFi v místě plnění. 
Zadavatel požaduje obnovit bezdrátové body a bezdrátový kontroler. Používání stávající technologie již není pro Zadavatele ekonomické ani bezpečné. Zadavatel požaduje dodání 2ks bezdrátových kontrolérů, 200ks bezdrátových bodů, a 1ks management nástroje, které splňují požadavky definované v následujících tabulkách s uvedením minimálních parametrů. Kontrolery, přístupové body a management nástroje musí být vzájemně kompatibilní a musí tvořit jeden komplexní funkční celek, přičemž příslušný dodávaný SW musí být určen či doporučen výrobcem pro společné dodání s dodávaným HW zařízením. Záruka na všechny HW komponenty bude 60 měsíců, není-li dále uvedeno jinak, a k SW komponentům bude poskytována podpora v dále uvedeném rozsahu. Veškeré náklady s tím spojené musejí být součástí ceny. Na minimálně další 3 roky musí být možno dokoupit podporu výrobce. Po uplynutí doby podpory má zadavatel právo používat management software, avšak bez možnosti dalších aktualizací a bez možnosti konzultací při řešení problémů. 
Dále je poptáváno zařízení typu Next Generation Firewall s požadovanou zárukou výrobce na všechny požadované funkce a parametry definované v Tabulka D) a hardware na 60 měsíců.
Zadavatel požaduje dodání originálního, nového a nepoužitého zařízení.  Dodavatel je povinen doložit potvrzení od výrobce či jeho zástupce (v případě Firewall řešení i případně od distributora) o autorizaci k prodeji HW zařízení a určení dodávaného HW pro trh EU  (včetně sériových čísel dodávaných zařízení). V databázi výrobce musí být Zadavatel uveden jako první uživatel zařízení.
Dodavatel musí zajistit minimálně následující podmínky záručního servisu:
(1)	Záruční doba bude činit minimálně 60 měsíců a začne běžet dnem podpisu protokolu o předání a převzetí. Je požadována záruka na hardware kontrolerů v délce 60 měsíců s výměnou v místě instalace (on-site), tato záruka musí být garantovaná přímo výrobcem zařízení.
(2)	Je požadovaná software podpora výrobce v délce 60 měsíců v režimu 24x7, tato podpora musí být garantovaná přímo výrobcem zařízení.
(3)	Je požadovaná hardware záruka výrobce na přístupové body v délce 96 měsíců v režimu NBD, tato záruka musí být garantovaná přímo výrobcem zařízení.
(4)	Zadavatel požaduje, aby měl možnost si sám legálně stahovat nové verze software přímo ze stránek výrobce.
(5)	Zadavateli požaduje, aby mu byl umožněn přístup k dokumentaci výrobce zařízení a znalostní bázi, kterou výrobce v rámci své podpory poskytuje. 

Tabulka A) 
minimální zadavatelem požadované parametrY KONTROLERU – požadovány jsou 2 ks:
Požadovaná funkcionalita/vlastnost
	
Základní vlastnosti
 	
Kontrolér bezdrátové sítě 	
Specializovaná HW appliance - nepřipouští se virtualizovaný kontrolér 	
Velikost 1U s montáží do standardního 19” datového rozvaděče 	
2x interní AC hot-swap napájecí zdroje 	
Minimálně 4x 10Gbit/s SFP+ optický port, součástí dodávky je 2x 10Gbit SR optický transceiver  	
Minimálně 2x 1Gbit/s RJ45 ethernet port 	
Licence pro 200 připojených AP součástí zařízení 	
Možnost rozšíření až na 500 AP bez nutnosti přidávání hardware 	
Minimálně 16 000 současně připojených bezdrátových klientů 	
Minimální výkon statefull firewallu 16 Gbit/s 	
Sdílení licencí mezi více kontrolery 	
Vysoká dostupnost na úrovni kontrolerů a jejich portů, výpadek aktivního kontroleru v redundantním páru nemá dopad na provoz již připojených klientů (tj. bez potřeby reautentizace) 	
Podpora Redundance (HA) kontrolerů v režimech: active-active a active-standby 	
Tunelování uživatelských dat z AP až na kontroler, možnost šifrování těchto dat 	
Vzdálené lokality - možnost lokálního bridgování uživatelských dat per SSID přímo na příslušném AP, podpora roamingu mezi AP na vzdálené lokalitě 	
Podpora šifrované řídící komunikace AP a kontroler 	
Podpora 4000 aktivních VLAN podle IEEE 802.1Q 	
Minimálně 64 000 záznamů v tabulce MAC adres 	
Podpora linkové agregace IEEE 802.3ad 	
IEEE 802.1w - Rapid spanning Tree 	
Podpora STP instance per VLAN s 802.1Q tagováním BPDU (např. PVST+) 	
Detekce protilehlého zařízení LLDP 	
Dynamické směrování OSPFv2 včetně podpory Stub a NSSA 	
Optimalizace multicast provozu v bezdrátové síti, podpora IGMPv3 a MLD 	
DHCP server pro IPv4 a IPv6 	
NTP včetně MD5 autentizace 	
Podpora překladu adres PAT/NAT 	
Podpora standardu 802.11ac Wave 2 a zpětná kompatibilita s 802.11a/b/g/n 	
Režimy přenosu uživatelských dat: tunelovaní přes kontrolér a lokální AP bridging 	
Podpora VLAN Pooling 	
podpora IPv6: konfigurace, správa (SSH, SNMP, Syslog, DHCPv6, RADIUS, PING), IPv6 Extension Header (EH) Filtering,  syst. komunikace mezi AP a kontrolérem. Kompatibilita s RFC 2460, RFC 3162, RFC 3736, RFC 6106 	
Typy autentizace: WPA/WPA2-PSK, WPA/WPA2-Enterprise, 802.1X, MAC autentizace, “captive portal”, 802.1X ověření s následným ověřením MAC 	
Podporované autentizační/autorizační zdroje: RADIUS, LDAP, Active Directory, RFC 3576 Change of Authorization 	
Funkce řízení a ochrany rádiového spektra s automatickou optimalizací sítě (přidělováni kanálů, fast roaming, rozdělení klientů na jednotlivá AP) 	
Aktivní scanování 802.11 kanálů pro výběr nejlepšího včetně automatického zastavení scanování  v případě že probíhá časově senzitivní provoz (např. VoIP) 	
Klasifikace klientských zařízení do tříd na základě typu nebo OS zařízení a následné uplatnění definovaných politik pro danou třídu 	
Vestavěný “captive portal” pro návštěvníky s podporou nativních IPv6 klientů, s možností úpravy vzhledu a přídáním vlastního loga, včetně vestavěného rozhraní pro vytváření dočasných guest účtů s možností definice jejich platnosti 	
Podpora standardů 802.11u, 802.11v, 802.11k, 802.11r 	
Automatické dynamické rozpoznání a prioritizace hlasových protokolů jako SIP, SCCP, VOCERA a SVP pomocí funkce DPI a jejich SLA monitoring 	
Centrální administrace správců s granularitou přístupových práv: administrátor, read-only, guest-provisoning 	
Podpora XML API pro automatizovanou konfiguraci kontroléru 	
Automatizovaná migrace klientů na optimální frekvenci, AP či rádio s využitím min. těchto parametrů: kategorie daného klienta, SNR, schopnosti klienta, kvalita signálu 	
Grafický dashboard zobrazujicí kvalitu a obsazenost kanálů, jednotlivé klienty, náhledy na VoIP přes WiFi síť a zobrazující informace o MOS (mean opinion score) aktivních hovorů. Možnost realtime analýzy kvality prováděných hovorů 	
Podpora rozpoznávaní aplikací na 7. vrstvě (aplikace typu: Youtube, Facebook, Dropbox, BitTorrent, Skype, Office365, apod.). Možnost jejich povolování, zakazování, prioritizace nebo omezování s možnosti vytvořit minimálně 20 souběžných aplikačních pravidel k omezení provozu konkrétních aplikací. 	
Centrální správa, aktualizace, konfigurace vč. bezpečnostních politik a QoS profilů pro všechna AP, možnost rozdělit a spravovat AP po skupinách  	
Blacklist zařízení překračující nastavitelné prahy (opakovaná autentizace, porušení bezpečnostní politiky) 	
Podpora RadSec (RADIUS over TLS) 	
Podpora Radius Accounting, roaming klienta mezi AP vyvolá Interim Update 	
Podpora tvorby bezpečnostních politik na základě časových pravidel 	
Podpora Apple Bojour protokolu, zpracování mDNS paketů, možnost filtrování služeb mezi subnety 	
Podpora L2 a L3 roaming bez nutnosti speciálního SW na klientovi 	
Podpora wireless MESH s protokolem pro výběr optimální cesty a podporovanou hloubkou min. 8 hopů, automatický výběr vhodného kanálu pro backhaul, současné připojení normálních a mesh AP k jednomu kontroleru 	
Podpora PKI, možnost importu certifikátů 	
Možnost terminace vzdálených VPN klientů (podpora SSL i IPSec VPN) 	
Integrovaný Wireless IDS pro detekci útoků na bezdrátovou síť pomocí IDS signatur, detekce Rogue AP, klientů v AdHoc režimu, DoS/flooding,  	
Integrovaný Wireless IPS s podporou wireless containment, možnost vynuceného odpojení klientů od cizích AP včetně Tarpit 	
Podpora spektrální analýzy 	
Podpora standardu 802.11w pro ochranu řídících rámců 	
Možnost rozšíření o web content filtering (URL, kategorie, reputace) 	
Management	
1x RJ45 serial konsole port 	
USB port pro přenos konfigurace a firmware 	
Dual boot flash 	
Podpora správy přes serial CLI, SSHv2, HTTPs web GUI, SNMPv2c a SNMPv3 	
Integrované nástroje na diagnostiku bezdrátové sítě – ping, traceroute, AAA test 	
Nástroj pro odchytávání WLAN datového provozu včetně 802.11 hlaviček a možnost jeho zasílání do ethernetového analyzátoru 	
Podpora upgrade firmware pomocí: HTTPS, TFTP, FTP a USB 	
Plná kompatibilita s nabízenými přístupovými body 	

Specifikace Dodavatelem nabÍZENÉHO PLNĚNÍ:
	Specifikace dodavatelem nabízeného plnění:	
Výrobce:	ARUBA A HEWLETT PACKARD COMPANY	
Produktové číslo, typ, specifikace:	JW743A, JW657A, JW118A, JW472AAE, JW473AAE,
JW474AAE, JW091A, H3DW5E, H6SD1E, H6RY6E,
H8FL3E, H8FP3E, H8FM3E 	
Jednotková cena bez DPH za 1 ks	967.800,365 KČ	
Celková cena bez DPH za nabízené plnění kontrolerů (celkem 2 ks):	1.935.600,73 Kč	

Tabulka B) 
minimální zadavatelem požadované parametry PŘÍSTUPOVého BODu (AP) – požadováno je 200 ks:
Požadovaná funkcionalita/vlastnost	
Indoor přístupový bod	
Uzavřená konstrukce bez větracích otvorů a ventilátorů	
Podpora standardů 802.11a/b/g/n a 802.11ac wave2	
Certifikace Wi-Fi Aliance: Wi-Fi CERTIFIED™ a, b, g, n, ac	
2 x 10/100/1000 Mbit/s RJ45 ethernet rozhraní	
Energy Efficient Ethernet (EEE) 802.3az	
Podpora PoE IEEE 802.3af a IEEE 802.3at na obou ethernetových portech	
Podpora standardního PoE 15,4W bez nutnosti redukce výkonu 5GHz rádia	
Možnost napájení z AC napájecího zdroje	
Interní omni down-tilt anténa	
Podpora linkové agregace LACP (802.3ad)	
Dual band rádio - současná podpora pásem 2,4GHz a 5GHz	
Podpora 4x4 MIMO pro 2,4 a 5GHz, podpora Multi User-MIMO, podpora až 160 MHz kanál pro 802.11ac	
Minimálně 16 inzerovaných SSID (BSSID) na rádio	
Pracovní režim AP řízené kontrolérem (lightweight)	
Automatické ladění kanálu a síly signálu v koordinaci s ostatními AP	
Možnost nastavení vysílacího výkonu s krokem 0.5 dBm	
Komunikační rychlost (Max data rate) 1.73 Gbit/s pro 5GHz a 600Mbit pro 2.4GHz	
Integrovaný TPM pro bezpečné uložení certifikátů a klíčů	
Podpora 802.11ac explicitního beamformingu	
USB port s podporou 3G/4G USB modemu jako WAN uplink	
Vypínatelné indikační LED diody informující o stavu zařízení	
Mapování SSID do různých VLAN podle IEEE 802.1Q	
Podpora wireless MESH s protokolem pro optimální výběr cesty	
Podpora spektrální analýzy v pásmech 2,4GHz a 5GHz	
Hardware filtry proti intermodulačního rušením pocházejícím z mobilních sítí (Advanced Cellular Coexistence) nebo obdobné	
802.11w ochrana management rámců	
AP lze fyzicky zabezpečit/zamknout k okolním pevným částem - Kensigton lock	
CLI formou serial konsole port a serial over bluetooth	
Podpora 802.1X suplikant, AP se ověřuje před připojením do LAN	
Integrované Bluetooth Low Energy (BLE) rádio	
Součástí AP je příslušenství pro montáž na zeď nebo strop	
Plně kompatibilní s poptávaným kontrolerem	

Specifikace Dodavatelem nabÍZENÉHO PLNĚNÍ:
	Specifikace dodavatelem nabízeného plnění:	
Výrobce:	ARUBA A HEWLETT PACKARD COMPANY	
Produktové číslo, typ, specifikace:	JW186A, JW047A	
Jednotková cena bez DPH za 1 ks	15.725,736 KČ	
KCelková cena bez DPH za nabízené plnění přístupových bodů (celkem 200 ks):	3.145.147,20 KČ	

Tabulka C) 
minimální zadavatelem požadované parametry MANAGEMENT Nástroje – požadován je 1 ks:
Požadovaná funkcionalita/vlastnost	
Management nástroj pro správu WiFi sítě s podporou správy produktů výrobce a 100% kompatibilní s nabízenými AP a kontrolery	
Virtuální appliance s podporou Hyper-V a VMware (OVA formát) bez nutnosti pořizovat další licence např. pro OS nebo databáze.	
Maximální nároky na virtuální prostředí: 4vCPU, 12 GB RAM, 500 GB HDD	
Správa aktivních prvků: přístupových bodů a WiFi kontrolerů	
Licence pro správu všech prvků, možnost flexibilního rozšiřování až do 4000	
Manuální a automatické discovery síťových zařízení pomocí SNMP, HTTP a CDP skenování	
Monitorovací nebo plný-managed režim pro nově objevená zařízení jako ochrana před nechtěným přepsáním konfigurace.	
Role pro jednotlivé síťové operátory na úrovni síťových zařízení a jejich funkcí.	
Podpora pro víceúrovňový vhled a analýzu síťového provozu	
Bezpečný přístup prostřednictvím webového grafického uživatelského rozhraní s podporou HTTPS 	
Real-time monitoring každého uživatele v síti včetně charakteristik jako jsou: kvalita RF signálu, utilizace pásma (in/out), autentizační status a čas, historie roamingu, délka trvání připojení, typ klientského zařízení, asociace s SSID, objem a seznam používaných L7 aplikací a navštívených webových kategorií.	
Vyhledávání koncových uživatelů na základě MAC adresy, IP adresy, uživatelského jména a LAN hostname.	
Konfigurace formou politik aplikovatelných na všechna zařízení, jejich skupinu nebo jednotlivé zařízení.	
Tvorba konfiguračních šablon: jak nových tak z běžících zařízení	
Podpora konfigurační změn a upgrade firmware pomocí jednorázových nebo opakujících se pracovních úloh (scheduled-job). 	
Archivace konfigurací	
Audit konfigurace, porovnávání rozdílů proti přednastaveným politikám individuálně pro jednotlivá a hromadně proti skupině zařízení. V případě nesouladu definice a runtime stavu konfigurační rollback.	
Konfigurační management: zálohy a obnova konfigurace, srovnávání rozdílů, auditování podle přednastavených i vlastních pravidel.	
Podpora alarmování s možností nastavitelných prahů pro jednotlivé události. Podporované události: odchylka od baseline konfigurace, RF metrika, nově objevené zařízení, Radius autentizace, Rogue AP, nadměrné utilizace AP (bandwidth), počet připojených klientů, nadměrná utilizace klientem (bandwidth), Up/Down zařízení, Up/Down Radio, IDS událost.	
Možnost monitorování stability a odezvy ostatních síťových služeb pro jednotlivé klienty jako je průměrný čas odpovědi DHCP, DNS či čas zpracování RADIUS autentizace.	
Vytváření reportů v PDF formátů reportujících různé přehledové statistiky o využití sítě a jejím stavu. Automatizované pravidelné zasílání reportů mailem.	
Monitoring a detekce síťových anomálií jako je např. nadměrné a neobvyklé navýšení objemu provozu a upozorňování na tyto stavy pomocí alarmů.	
Vizualizace umístění prvků sítě ve fyzických mapách. Zobrazení bezdrátových klientů na mapě a jejich signálu a využívaných L7 aplikací.	
Podpora plánování WiFi a lokalizace uživatelů	

Specifikace Dodavatelem nabÍZENÉHO PLNĚNÍ:
	Specifikace dodavatelem nabízeného plnění:	
Výrobce:	ARUBA A HEWLETT PACKARD COMPANY	
Produktové číslo, typ, specifikace:	JW546AAE, H2YW0E	
Jednotková cena bez DPH za 1 ks	464.502,64 Kč	
Celková cena bez DPH za nabízené plnění management nástroje (celkem 1 ks):	464.502,64 KČ	

Tabulka D) 
minimální parametry FIREWALL (High Availibility) – požadovány jsou 2 ks
Požadovaná funkcionalita/vlastnost	
Provedení jako HW appliance určená do low-latency prostředí (výrobce deklaruje daný model jako low-latency interní segmentační firewall) v HA režimu (2 fyzická zařízení, z nichž každé zvláště musí splnit níže uvedené parametry)	
Velikost zařízení 1 RU max.	
Minimálně 8x 1 GbE metalické porty, minimálně 8x 1 GbE SFP optické porty, minimálně 2x 10 GbE	
Správa přes webové rozhraní, příkazový řádek, sériovou konzoli	
Možnost napojení na centrální management daného výrobce	
Propustnost firewallu min. 32 Gbps (měřeno na UDP paketech o velikosti 64 B)	
Min. počet spojení firewallu 8 000 000, min. 200 000 nových spojení za sekundu	
Maximální latence firewallu 5 µs	
Paketová propustnost firewallu min. 30 Mpps	
Propustnost IPSEC VPN min 15 Gbps (AES 256, SHA256)	
Propustnost SSL inspekce min 6 Gbps	
Propustnost funkce IPS (optimální provoz/enterprise mix) min. 10 Gbps / 5 Gbps	
Celková propustnost funkcí NGFW 4.5 Gbps	
Propustnost funkcí ochrany před hrozbami (threat prevention) 4.5 Gbps	
Podpora VLAN (až 1024)	
Podpora LACP	
Antivirový engine s možností rozšíření o funkci Sandboxing stejného výrobce (cloud a on premise řešení)	
Kategorizace webového provozu s podporou lokálního prostředí (CZ), min. 50 kategoriemi, funkcí uživatelských kvót (čítání času pro daného uživatele a kategorii)	
Funkce SSL inspekce s automatickým vypnutím pro vybrané kategorie webových stránek (např. elektronické bankovnictví); možnost kontroly komunikace v SSL šifrovaných protokolech (HTTPS, IMAPS, POP3S,…)	
Funkce detekce sítových útoků (IPS/IDS), funkce ochrany před útoky typu DoS, možnost vytváření vlastních signatur	
Funkce detekce aplikací na L7 (identifikace aplikací dle charakteru provozu dle L7) s podporou minimálně 3500 aplikací a možností vytvářet custom signatury	
Funkce antispamové kontroly procházející pošty	
Filtrování DNS dotazů	
Funkce ochrany před únikem citlivých dat (DLP) na síťové úrovni	
Funkce napojení na doménu za účelem detekce identity uživatele (SSO) s podporou NTLM a Kerberos autentizace; ověřování uživatelů LDAP, Active Directory, Single Sign On, Radius, TACACS+, ověřování na základě certifikátu, dynamické profily – možnost přiřadit konkrétní profil uživateli na základě jeho ověření.	
Funkce reverzní proxy	
Dynamické routování: RIP, BGP, OSPF, IS-IS	
Funkce Policy routing	
Traffic Shaping, QoS s podporou DSCP markování a ToS, aplikace traffic shaping na konkrétní aplikaci nebo webovou kategorii	
DoS Policy prevence proti základním útokům typu DoS, syn proxy	
Endpoint Control a monitoring – kontrola připojené pracovní stanice na patch level, instalovaný vhodný service pack, antivirový software, personální firewall či jiný software	
Podpora funkce dvoufaktorové autentizace minimálně pro 2 administrátory; dvoufaktorová autentizace funguje pomocí mobilní OTP aplikace pro platformu iOS/Android	
Funkce IPSEC VPN, možnost aplikace statického i dynamického routingu nad VPN provozem	
Funkce SSL VPN (tunelový i portálový režim), VPN klient (MacOS, Windows) pro 50 uživatelů musí být součástí nabídky	
Integrovaná funkce explicitní proxy včetně všech bezpečnostních funkcí (AV, IPS, L7 analýza aplikací, DLP, SSL inspekce) a transparentního ověřování uživatelů (SSO) v prostředí MS AD protokolem NTLM a Kerberos	
Vestavěná podpora virtualizace s min 10. virtuálními kontexty	
Nadprůměrné umístění výrobce nabízeného NGFW v testu NSS LABS NGFW Security Value Map (SVM) za rok 2017 v obou sledovaných parametrech	

Specifikace Dodavatelem nabÍZENÉHO PLNĚNÍ:
	Specifikace dodavatelem nabízeného plnění:	
Výrobce:	FORTINET	
Produktové číslo, typ, specifikace:	FG-500E-BDL-950-60	
Jednotková cena bez DPH za 1 ks	398.171,925 Kč	
Celková cena bez DPH za nabízené plnění Firewall (celkem 2 ks):	796.343,85 KČ	

Tabulka E)
Instalační, konfigurační práce a zaškolení – požadováno jako komplet:
Stručný popis požadovaného plnění:	Demontáž stávajících přístupových bodů AP a montáž nových AP + zarackování WiFi kontrolerů a FW řešení, zprovoznění zařízení a konfigurace bezdrátové sítě k zajištění pokrytí WiFi v místě dodání včetně zaškolení obsluhy a dalších souvisejících činností
	
Celková cena bez DPH za nabízené plnění – instalace, konfigurace, zaškolení (kompletní provedení činností)	440.000,- KČ

CELKOVÁ VÝŠE NABÍDKOVÉ CENY ZA NABÍZENÉ PLNĚNÍ - SHRNUTÍ:
Celková cena bez DPH za nabízené plnění kontrolerů (celkem 2 ks):	1.935.600,73 Kč	
Celková cena bez DPH za nabízené plnění přístupových bodů (celkem 200 ks):	3.145.147,20 Kč	
Celková cena bez DPH za nabízené plnění management nástroje (celkem 1 ks):	464.502,64 Kč	
Celková cena bez DPH za nabízené plnění Firewall (celkem 2 ks):	796.343,85 Kč	
Celková cena bez DPH za nabízené plnění – instalace, konfigurace, zaškolení (kompletní provedení činností)	440.000,- Kč	
Celková výše nabídkové ceny bez DPH: 	6.781.594,42 Kč