Cisco ISA-3000 (Cisco ISA 3000): Tường lửa công nghiệp cho trạm

Cisco Secure Firewall ISA-3000 (hay Cisco ISA 3000, Industrial Security Appliance 3000) là dòng tường lửa công nghiệp thế hệ mới (NGFW) lắp thanh DIN-rail của Cisco, chuyên phân vùng mạng chuẩn ISA99 / IEC 62443 và kiểm soát sâu giao thức OT/SCADA tại một trạm biến áp 110kV và nhà máy. Dòng này gồm hai mẫu ISA-3000-4C (4 cổng đồng Gigabit RJ45) và ISA-3000-2C2F (2 cổng đồng Gigabit RJ45 + 2 cổng quang SFP), đạt chuẩn IEC 61850-3, IEEE 1613, làm mát không quạt -40°C đến +70°C và tích hợp nguồn DC kép 9.6 - 60 VDC.

Hiểu nhanh bằng hình

Vị trí của Cisco ISA-3000 trong kiến trúc mạng OT/SCADA

Theo mô hình Purdue và tiêu chuẩn ISA99 / IEC 62443, tường lửa thương mại lắp rack 19 inch chỉ đặt được ở phòng máy chủ có điều hòa. Khi cần đặt điểm kiểm soát an ninh tại tủ điều khiển bảo vệ (CRP), tủ RTU/Gateway ở một trạm biến áp 110kV hoặc tủ PLC phân xưởng nhà máy để cô lập từng ngăn lộ (Cell/Area Zone), thiết bị phải chịu được xung điện từ cao, nhiệt độ khắc nghiệt và nguồn một chiều của trạm.

Cisco ISA-3000 kết hợp vỏ công nghiệp với bộ máy kiểm tra gói tin sâu (DPI) của Cisco Firepower Threat Defense (FTD) hoặc Cisco ASA với Firepower Services, thiết lập vành đai an ninh điện tử (ESP) đáp ứng NERC-CIP, CFATS và ANSI/AWWA G430 mà không làm trễ luồng điều khiển thời gian thực.

Hai biến thể phần cứng: ISA-3000-4C và ISA-3000-2C2F

Hai mẫu dùng chung vỏ hợp kim IP30 kích thước 11.2 x 13 x 16 cm, nặng 1.9 kg, ngàm DIN-rail tích hợp và tản nhiệt đối lưu không quạt (fanless). Sự khác biệt nằm ở 4 cổng dữ liệu mặt trước và phần mềm cài sẵn:

• ISA-3000-4C (ISA-3000-4C-K9 chạy ASA / ISA-3000-4C-FTD chạy FTD): Gồm 4 cổng đồng 10/100/1000Base-T RJ45, cả 4 cổng đều hỗ trợ Hardware Bypass (đóng mạch vật lý nối thông hai cặp cổng khi mất nguồn), phù hợp lắp inline giữa switch trạm với RTU/Gateway hoặc giữa hai vùng cáp đồng.
• ISA-3000-2C2F (ISA-3000-2C2F-K9 chạy ASA / ISA-3000-2C2F-FTD chạy FTD): Gồm 2 cổng đồng 10/100/1000Base-T RJ45 (có Hardware Bypass) và 2 cổng quang SFP hỗ trợ 100BASE-FX/LX hoặc 1000BASE-SX/LX/LH, dùng khi đường uplink ra vòng quang trạm biến áp cần cách ly nhiễu điện từ.

Cả hai trang bị CPU Intel Atom 4 nhân 1.25 GHz, 8 GB DRAM, 16 GB flash, ổ 64 GB mSATA SSD và thẻ nhớ 1 GB SD flash công nghiệp (SD-IE-1GB=) giúp thay nhanh cấu hình tại hiện trường.

Mặt trước tách riêng 1 cổng quản trị Dedicated Management 10/100/1000Base-T RJ45 (Management 1/1), 2 cổng Console (1 RJ45 và 1 Mini-USB có vít khóa), 2 cổng USB 2.0 Type-A, nút Reset lỗ kim cùng dãy đèn LED trạng thái.

Hiệu năng FTD/ASA, kiểm soát giao thức OT và định tuyến Layer 3

Khi chạy Cisco Firepower Threat Defense (FTD), thiết bị tích hợp tường lửa trạng thái (Stateful Firewall), kiểm soát ứng dụng (AVC) và ngăn chặn xâm nhập (NGIPS) với hơn 55.000 luật Cisco Talos:

• Thông lượng (1024B): Đạt 500 Mbps (NGIPS), 375 Mbps (Firewall + AVC) và 350 Mbps (Firewall + AVC + IPS).
• Phiên và kết nối: Tối đa 50.000 phiên đồng thời (với AVC) và 2.700 kết nối mới/giây.
• IPsec VPN và VLAN: Thông lượng 50 Mbps (1024B TCP Fastpath), tối đa 25 VPN peers; hỗ trợ 100 VLAN và 400 giao diện trên FTD hoặc ASA kèm license Security Plus (L-ISA3000SEC+-K9) (ASA chuẩn có 5 VLAN, 200 giao diện).

Kiểm tra sâu lệnh điều khiển công nghiệp (OT Protocol Inspection)

Theo Bảng 1 datasheet chính hãng, ISA-3000 nhận diện và lọc lệnh trực tiếp cho các giao thức tự động hóa:

• Ngành điện và trạm biến áp: IEC 60870-5-104 (IEC-104) (AppID từng lệnh), IEC 61850 MMS (AppID từng lệnh), GOOSE, GSE, DNP3, ISO MMS và COSEM.
• Nhà máy và quá trình: Modbus, OPC-UA, Common Industrial Protocol (CIP) (AppID từng ứng dụng), EtherNet/IP, Siemens S7, BACnet, Omron FINS, COTP, Q.931, TPKT, Honeywell Control Station / NIF Server, Honeywell Esperion DSA và Fujitsu Device Control.

Kỹ sư có thể cho phép máy chủ Historian chỉ gửi lệnh đọc (Read) qua IEC-104/Modbus xuống RTU/PLC và chặn mọi lệnh ghi (Write/Control) trái phép.

Định tuyến Layer 3, chuyển mạch và đồng bộ PTP

Thiết bị chạy ở chế độ Routed (Layer 3) hoặc Transparent (Layer 2); hỗ trợ định tuyến tĩnh IPv4, định tuyến động RIP, EIGRP, IS-IS, OSPF, BGP, NAT hai chiều (128 subnet NAT entries), gom cổng LACP (802.3ad), STP/RSTP/MSTP và đồng bộ thời gian phần cứng IEEE 1588v2 PTP. Ví dụ cấu hình VLAN và OSPF trên CLI:

interface GigabitEthernet1/1.10
 vlan 10
 nameif SCADA_ZONE
 security-level 90
 ip address 10.10.10.1 255.255.255.0
!
router ospf 100
 network 10.10.10.0 255.255.255.0 area 0
 log-adjacency-changes

Lệnh kiểm tra nguồn DC, nhiệt độ và dự phòng HA khi nghiệm thu:

show environment
show interface ip brief
show failover state

Nguồn DC kép 9.6 - 60 VDC, cảnh báo rơ-le và giấy phép

Trên đỉnh máy, Cisco ISA-3000 tích hợp nguồn DC kép nội bộ (Dual internal DC) dùng đầu cắm Molex 5.00mm Eurostyle (dây 24 - 12 AWG) cùng ngõ cảnh báo ngoại vi:

• Dải nguồn và nối đất: Nhận điện áp danh định ±12 VDC, 24 VDC hoặc 48 VDC (dải 9.6 - 60 VDC), công suất tối đa 24W; hỗ trợ 3 sơ đồ nối đất Isolated DC, Positive DC và Negative DC để đấu thẳng nguồn 24 VDC tủ PLC hoặc -48 VDC trạm biến áp.
• Nguồn rời cho tủ 220 VAC/VDC: Khi tủ dùng nguồn 110/220 VDC hoặc 220 VAC, kết hợp nguồn DIN-rail PWR-IE50W-AC (hoặc PWR-IE50W-AC-IEC) đầu vào 100 - 240 VAC / 125 - 250 VDC (mở rộng 90 - 264 VAC / 106 - 300 VDC), xuất ra 24 VDC / 2.1A (50W).
• Cảnh báo (Alarm I/O): Có 2 ngõ vào tiếp điểm khô (Alarm In 1 & 2) báo mở cửa tủ và 1 ngõ ra rơ-le Form C (Alarm Out) báo lỗi về RTU.
• Quản trị và giấy phép: Quản lý qua FDM / ASDM, tập trung qua FMC hoặc đám mây CDO. Bản FTD dùng thuê bao 1/3/5 năm gồm Threat (L-ISA3000T-T-), AMP (L-ISA3000T-AMP-), URL (L-ISA3000T-URL-) hoặc gói gộp (L-ISA3000T-TM-, L-ISA3000T-TMC-). Do Firepower Services 7.0 là bản cuối trên ASA, dự án mới nên chọn mã FTD.

Bảng so sánh thông số Cisco ISA-3000-4C và ISA-3000-2C2F

Cisco ISA-3000 trong hồ sơ mời thầu

Cách ghi yêu cầu kỹ thuật

Hồ sơ tường lửa công nghiệp DIN-rail thường quy định 3 nhóm tiêu chí:

• Môi trường và chuẩn ngành: Gắn DIN-rail, không quạt, vỏ IP30, chịu nhiệt -40°C đến +70°C, đạt chuẩn IEC 61850-3 và IEEE 1613.
• Cổng vật lý: Tối thiểu 4 cổng Gigabit (4 RJ45 hoặc 2 RJ45 + 2 SFP), cổng Management riêng và Hardware Bypass trên cổng đồng.
• Hiệu năng và giao thức OT: NGIPS 500 Mbps, FW+AVC+IPS 350 Mbps, 50.000 phiên; lọc sâu IEC 60870-5-104, IEC 61850 MMS, GOOSE, DNP3, Modbus, OPC-UA; định tuyến OSPF, BGP, EIGRP, IS-IS và Active/Standby HA.

Lưu ý khi điền bảng đáp ứng

Khi bóc tách cấu hình, nhà thầu cần lưu ý 4 điểm:

• Giới hạn 4 cổng dữ liệu: Hai mẫu có 4 cổng dữ liệu cộng 1 cổng Management. Nếu hồ sơ yêu cầu gom 6 đến 8 cổng IED/RTU, cần kết hợp switch DIN-rail chuẩn IEC 61850-3 (như Cisco Catalyst IE-3300/IE-3400) hoặc chia VLAN trunking 802.1Q.
• Đồng bộ nguồn cấp: Máy nhận 9.6 - 60 VDC (đấu thẳng 24 VDC hoặc -48 VDC trạm điện). Nếu tủ dùng 110/220 VDC hoặc 220 VAC, phải kê thêm bộ nguồn PWR-IE50W-AC.
• Giải trình ICCP và OPC DA: Datasheet tích hợp sẵn IEC-104, IEC 61850 MMS, GOOSE, DNP3, Modbus, OPC-UA. Nếu hồ sơ yêu cầu IEC 60870-6 (ICCP) hoặc OPC DA, cần thuyết minh nhận diện qua OpenAppID.
• Chọn module SFP cho ISA-3000-2C2F: Chọn mã SFP dải nhiệt rộng đuôi -I (GLC-SX-MM-I, GLC-LX-SM-I) hoặc mã tiêu chuẩn (GLC-SX-MMD, GLC-LH-SMD, GLC-BX-U, GLC-BX-D) để thuận tiện đặt hàng và CO/CQ.

Xem thêm danh mục tường lửa mạng và bảo mật công nghiệp hoặc kết hợp bộ chuyển mạch công nghiệp. Tham khảo bài liên quan: cách chọn switch công nghiệp cho trạm biến áp và nhà máy, so sánh switch DIN-rail Cisco IE-3400 và IE-3300 và switch công nghiệp Layer 3 Cisco Catalyst IE-9300. Giá: liên hệ báo giá.

Nhận hỗ trợ hồ sơ thầu trong 24 giờ

Gửi cho NTCOM thông tin gói thầu kèm Phạm vi cung cấp (PVCC), datasheet, bảng thông số hoặc bảng điền đáp ứng. NTCOM tra mã sản phẩm, hãng sản xuất và điền đáp ứng kỹ thuật, phản hồi trong vòng 24 giờ. Báo giá ngay sau khi có đầy đủ hồ sơ, tên dự án, tên EU.

• Hotline: 0986 397 886
• Zalo: 0986397886
• Email: nguyen.cuong@ntcomvn.com

Nguồn tham khảo

• Cisco Secure Firewall ISA3000 Data Sheet (Document ID: C78-735839)
• Cisco ISA 3000 Industrial Security Appliance Hardware Installation Guide - Product Overview
• Cisco Industrial DIN-Rail Power Supplies Data Sheet (Document ID: C78-742180)

Tài liệu mang tính tham khảo kỹ thuật; thông số có thể thay đổi theo phiên bản datasheet của hãng, cần đối chiếu trước khi lập hồ sơ.