Load Balancer-Cluster

a) Zur Angebotsabgabe auffordernde Stelle: Name des Auftraggebers: Landesamt für Geobasisinformation Sachsen; Bereich/Abteilung: Zentrale Vergabestelle/Abteilung 1; Straße, Hausnummer: Olbrichtplatz 3; Postleitzahl: 01099; Ort: Dresden; Land: Deutschland; E-Mail: [E-Mail entfernt]; Telefonnummer: [Telefonnummer entfernt]; Internetadresse: www.landesvermessung.sachsen.de; Den Zuschlag erteilende Stelle: s.o.; Stelle, bei der die Angebote oder Teilnahmeanträge einzureichen sind: s.o.
b) Vergabeart: Öffentliche Ausschreibung
c) Form, in der Teilnahmeanträge oder Angebote einzureichen sind: Angebote können nur elektronisch abgegeben werden; Anschrift, an die die Angebote elektronisch zu übermitteln sind: www.evergabe.de
d) Art und Umfang der Leistung: Das Landesamt für Geobasisinformation und Vermessung Sachsen (GeoSN) betreibt einen Load Balancer-Cluster des Herstellers F5. Dieser Verbund wird für Fachanwendungen wie ALKIS, DMS sowie den Zugriff auf das GeoSN-Netzwerk über Citrix benötigt. Der Load Balancer Cluster be-steht aus zwei physischen Knoten, die je drei virtuelle Load Balancer hosten.

Die Hardwareplattform dieser Load Balancer geht am 1. Januar 2027 in den Extended Support. Ab diesem Zeitpunkt wird das Load Balancer-Betriebssystem nicht mehr für diese Hardwareplatt-form gepflegt; entsprechend werden seitens des Herstellers keine Sicherheits- und Leistungs-Updates sowie Fehlerbehebungen mehr zur Verfügung gestellt.

Das GeoSN beabsichtigt daher, den bestehenden Load Balancer-Cluster (F5) durch einen neuen Application Delivery Controller (ADC) in Form einer Hardware-Appliance zu ersetzen.

Es ist ein Load Balancer-Cluster als Application Delivery Controller (ADC) in Form einer Hard-ware-Appliance zu liefern, mit dem das derzeit in Betrieb befindliche Load Balancer-Cluster er-setzt wird. Darin inbegriffen ist die Systemserviceleistung mit einer Mindestvertragsdauer (MVD) von 60 Monaten.
Hierzu ist auch ein Migrationsplan zu erarbeiten. Die für den Ersatz des bislang verwendeten Load Balancer-Clusters notwendigen Komponenten sind zu liefern, in den beiden Serverräumen des GeoSN aufzubauen und zu testen. Die Konfiguration und das Regelwerk sind zu erstellen und das System vollumfänglich in Betrieb zu setzen.
Die Administratoren des GeoSN sind in das Management der neuen Komponenten einzuweisen.
Der Ersatz erfolgt im laufenden Produktionsbetrieb. Änderungen, die einen Ausfall hervorrufen, können grundsätzlich nur in einem vom GeoSN festgelegten Wartungsfenster durchgeführt wer-den. Die Ausfallzeit ist so gering wie möglich zu halten.
4.3 Anforderungen an das zu liefernde Load Balancer-Cluster
4.3.1 Hardware
Es sind zwei identische ADC anzubieten, von denen jedes mindestens folgende Anforderungen erfüllt:
• 19'' Rack-Gehäuse, inkl. Einbauschienen für 19"-Racks
• Aufbau als redundantes Paar über eine Entfernung von mindestens 100 m
• Dedizierter Management-Zugang (RJ45)
• Mindestens zwei SFP+ Schnittstellen
• Mindestens acht 1Gb RJ45-Ports
• Redundante Stromversorgung (230V)
• Das System muss die Plattform für mindestens 3 virtuelle Instanzen bzw. als gleichwerti-ge dezidierte Hardware abbilden und auf mindestens 8 Instanzen aufrüstbar sein.
• Es muss möglich sein, Hardwareressourcen den Kontexten zuzuweisen.
• Durchsatz von mindestens 20 GBit/s
• Mindestens 20.000 Transaktionen pro Sekunde mit 2K-Schlüsseln
• Mindestens 500.000 Layer 7 Anfragen pro Sekunde
• Hardware-Kompression-Rate: mind. 35 GbpS
• Trade In inklusive der Außerbetriebnahme und des Abbaus der Altsysteme

Dem Angebot ist formlos die Stückliste der Komponenten beizulegen.

Technische Anforderungen
Die angegebenen technischen Anforderungen sind als Mindestforderungen zu verstehen. Dem Bieter steht es frei, einzelne Positionen ggf. der technischen Weiterentwicklung entsprechend hö-herwertig auszulegen. Höherwertigere Parameter haben keinen Einfluss auf die Auswahl des wirt-schaftlichsten Angebotes.
4.3.2 Software
• Role Based Access Control mit Anbindungsmöglichkeiten an LDAP und Microsoft Active Directory
• Webbasierte Administration aller Funktionen per HTTP/HTTPS
• Unterbrechungsfreier Betrieb (Updates/Patches im laufenden Betrieb, Konfigurationsän-derung ohne Dienstneustart, Session-Übergabe an HA-Partner, Austausch ohne Dienst-unterbrechung)
• Weiterleitungsentscheidung (pool selection, redirect, forward, reject, drop, log etc.) auf Basis der kompletten Payload eines Paketes.
• IPv4- und IPv6-Unterstützung ohne Einschränkung durch Verwendung von IPv6.
• URL Rewriting
• Mechanismen zur Entlastung der Backendserver, z.B. durch Session Reuse
• Offloading der Verschlüsselung mit der Möglichkeit zum Backend wieder neu zu ver-schlüsseln
• Ver- und Entschlüsselung mit TLS 1.2 und TLS 1.3
• Unterstützung von RSA-Schlüsseln mit 2048 und 4096 Bit sowie ECC-Zertifikaten (ECDSA)
• Reverseproxy für die Protokolle HTTP/HTTPS und HTTP/2, idealerweise HTTP/3 (QUIC)
• LACP Portchannels
• Web Application Firewall (WAF)
• Bandbreitenbegrenzung einzelner virtueller Server (VIPs)
• Unterstützung einer Proxy-Kaskade mit zentralem Logging (Syslog)
• Hardwareunterstützter Schutz vor SYN-flood-Attacken
• Management über SNMP
• Logging über Syslog
• Unterstützung von Inband Passive Health Monitoring zum Überwachen der Clientanfragen
• Monitoring folgender Dienste: ICMP, TCP Echo, HTTP/HTTPS, Oracle, PostgreSQL, SMB, UDP
• Webbasierter Zugriff (HTTPS, Browser) auf Citrix XenApp- und XenDesktop-Sites für ex-terne Nutzer mit Domänen-Authentifizierung
• Der Zugriff auf die Citrix-Komponenten soll mittels ICA-Protokoll erfolgen (Citrix muss unterstützt werden als ICA Relay, Authentifizierung gegen 2 Domänen und Load Balan-cing.)
• Für die ICA-Kommunikation muss ein vollumfänglicher herstellerseitiger Support der ein-gesetzten ICA-Proxy-Funktionalität gewährleistet sein.
• Unterstützung und Bereitstellung einer zentrale Zertifikatsverwaltung inkl. API-Anbindung.
• Dokumentation Bill of Materials (SBOM)

4.3.3 Migration
Es sind mindestens 25 virtuelle IP4-Adressen mit 40 Layer-7-Regeln zu migrieren, hinter denen insgesamt ca. 80 Backend-Server stehen. Des Weiteren müssen 120 VIPs für 150 Backend Ser-ver mit SSL Offloading und URL Rewriting migriert werden. Die Übernahme der Proxy Kaskade muss mit Logging (aktuell auf KIWI Server) und Übernahme der Citrix Konfiguration sichergestellt werden. Die Ausfallzeit ist so gering wie möglich zu halten. Dabei muss die Konfigurationen mit den identischen Funktionen wie auf dem derzeitigen F5 - Load Balancer auf das neue Gerät übernommen werden.
4.3.4 Software Bill of Materials (SBOM)
Der Auftragnehmer stellt dem Auftraggeber für die überlassene bzw. erstellte Software eine Software Bill of Materials (SBOM) gemäß BSI TR-03183-2 in den Formaten SPDX und Cyclo-neDX inkl. VEX-Informationen oder Vergleichbares zu der genannten BSOM zur Verfügung
4.4 Installation und Inbetriebnahme
Das zu liefernde Load Balancer-Cluster ist vom Auftragnehmer zu installieren und in Betrieb zu nehmen (vgl. insbesondere Anstriche 4 bis 8 der Meilensteine unter Punkt 4.8). Danach erfolgt die Abnahme durch den GeoSN.
4.5 Systemservice
Für die Instandhaltung des Loadbalancer Clusters sowie des virtuellen Clusters ist ein System-service ab dem Tag nach der Systemlieferung mit einer Mindestvertragsdauer von 60 Monaten und zu einem jährlichen Pauschalfestpreis anzubieten. (siehe Anlage 5).
Dem Auftraggeber muss es dabei jederzeit möglich sein, auf die neuesten Releases der System-software zuzugreifen.
Die Systemserviceleistung ist mit 8 x 5 NBD, Reconfigurieren und Vor-Ort-Austausch, Software-updates und Upgrades anzubieten. Der Support ist in deutscher Sprache anzubieten.
Die Störungsbehebung für alle Störungen hat mit einer Reaktionszeit von 4 Stunden innerhalb der Servicezeiten zu erfolgen.
• 8 x 5 x NBD
• Rekonfigurieren und Vor-Ort-Austausch,
• Softwareupdates und Upgrades auf 60 Monate, diese sind durch den Auftragnehmer bei Verfügbarkeit beim Auftraggeber einzuspielen,
• Support in deutscher...