Fourniture et déploiement d’une infrastructure réseau

Fourniture, installation, configuration, migration et maintien en conditions opérationnelles d’une solution WiFi privée et publique sur huit sites de l’Afdas, avec administration centralisée, supervision et transfert de compétences.

La fourniture minimale comprend 43 bornes WiFi 6 et 13 switches PoE dédiés : Paris 24 bornes et 5 switches ; Bordeaux 3 et 1 ; Lille 3 et 1 ; Lyon 3 et 1 ; Marseille 2 et 1 ; Montpellier 1 et 1 ; Rennes 4 et 2 ; Strasbourg 3 et 1.

La prestation inclut notamment :

• Dépose des équipements existants, installation physique, paramétrage complet, VLAN, SSID, sécurité et intégration éventuelle à ClearPass ; l’Afdas assure la mise au rebut du matériel déposé.
• WiFi privé interconnecté au réseau local, avec mobilité inter-sites et authentification centralisée 802.1X/EAP via RADIUS ou équivalent avec Active Directory/LDAP.
• WiFi public avec portail captif, identification des utilisateurs, filtrage web, isolation totale du réseau interne et conservation légale des données de connexion pendant 1 an ; les liens Internet dédiés relèvent du lot 3.
• Étude de couverture radio par site survey prédictif et/ou sur site, analyse de la couverture et de la capacité, puis ajustement du positionnement et du nombre de bornes avant et après déploiement.

La solution doit imposer WPA3-Enterprise sur les réseaux privés ; WPA3-Personal est toléré sur le réseau public et WPA2 uniquement en transition, avec bascule complète vers WPA3 avant la fin de la première année. WPA, WEP et TKIP sont interdits. Les tunnels de gestion doivent être chiffrés par CAPWAP sur DTLS ou équivalent conforme aux recommandations ANSSI.

Elle doit également assurer :

• Segmentation uniforme par VLAN Entreprise, Invité Public et Administration, avec absence de routage entre le réseau public et les réseaux internes.
• Détection WIDS/WIPS des points d’accès non autorisés, faux SSID, clients ad hoc et scans, avec alertes temps réel et intégration possible au SIEM.
• Administration centralisée en HTTPS/TLS 1.2 minimum, MFA, RBAC, SSH v2, SNMPv3, rotation des clés et certificats, journalisation exhaustive, synchronisation NTP et export des journaux vers le SIEM.
• Conservation en ligne des journaux WiFi public pendant 12 mois minimum, mises à jour de sécurité planifiables sur la durée totale du marché et exclusion des équipements EOL/EOS.

Les livrables comprennent le compte rendu de couverture radio, les documents d’architecture et d’exploitation, la documentation des configurations de sécurité et le transfert de compétences. La migration doit limiter l’impact sur les utilisateurs, permettre une bascule progressive ou un fonctionnement dual et prévoir un rollback.