Cisco ISA-3000-2C2F-K9 tường lửa công nghiệp DIN-rail 2GE + 2 SFP

Cisco ISA-3000-2C2F-K9 là thiết bị tường lửa công nghiệp thế hệ mới (Industrial Next-Generation Firewall) gắn thanh DIN-rail thuộc dòng Cisco Secure Firewall ISA3000, trang bị 2 cổng đồng Gigabit Ethernet 10/100/1000Base-T RJ-45 hỗ trợ đóng mạch vật lý Hardware Bypass, 2 cổng quang SFP Gigabit và 1 cổng quản trị riêng 10/100/1000 Mbps, cài sẵn phần mềm nền Cisco ASA. Với thiết kế tản nhiệt đối lưu không quạt hoạt động bền bỉ từ -40°C đến +70°C (tủ thông gió) hoặc tới +75°C (tủ có quạt), đạt chuẩn trạm biến áp IEC 61850-3 và IEEE 1613 cùng khả năng kiểm soát sâu giao thức OT/SCADA, sản phẩm giúp phân vùng an ninh mạng theo tiêu chuẩn ISA99 / IEC 62443 và NERC-CIP cho trạm biến áp điện lực, nhà máy sản xuất, dầu khí, cấp thoát nước và giao thông thông minh.

Liên hệ: 0986 397 886

Tổng quan

Theo datasheet Cisco Secure Firewall ISA3000 (mã tài liệu C78-735839), model ISA-3000-2C2F-K9 là phiên bản phần cứng kết hợp đồng và quang (2 copper + 2 fiber) cài sẵn hệ điều hành Cisco Adaptive Security Appliance (ASA) và hỗ trợ mở rộng dịch vụ bảo mật Cisco Firepower Services. Thiết bị kết hợp kiến trúc tường lửa cấp doanh nghiệp đã được kiểm chứng của Cisco với khả năng nhận diện và kiểm soát chi tiết các giao thức điều khiển công nghiệp (OT/ICS) của Omron, Rockwell, GE, Schneider, Siemens, Honeywell và nhiều hãng tự động hóa khác.

Khác với các dòng tường lửa văn phòng chỉ lắp được trong phòng máy có điều hòa, Cisco ISA-3000-2C2F-K9 được chế tạo chuyên biệt trong vỏ hợp kim đạt chuẩn IP30 gắn trực tiếp lên thanh ray DIN-rail trong tủ điều khiển bảo vệ (CRP), tủ RTU/Gateway hoặc tủ PLC hiện trường. Hai cổng quang SFP cho phép đấu nối trực tiếp cáp quang Single-mode hoặc Multi-mode ra vòng mạng trạm biến áp để cách ly hoàn toàn nhiễu điện từ cao áp, trong khi hai cổng đồng RJ-45 tích hợp rơ-le Hardware Bypass bảo đảm lưu lượng điều khiển không bị đứt đoạn ngay cả khi mất nguồn.

Thiết bị tương thích chặt chẽ với hệ sinh thái bảo mật hội tụ IT/OT của Cisco: nhận thông tin thuộc tính thiết bị từ Cisco Cyber Vision để xây dựng chính sách phân vùng theo ngữ cảnh, trao đổi thẻ bảo mật Security Group Tags (SGT) với Cisco Identity Services Engine (ISE), gửi dữ liệu NetFlow tới Cisco Stealthwatch và kết nối cảnh báo lên nền tảng Cisco SecureX.

Liên hệ: 0986 397 886

Điểm nổi bật

• Kết hợp 2 cổng đồng Bypass và 2 cổng quang SFP cách ly nhiễu: trang bị 2 cổng 10/100/1000Base-T RJ-45 có tính năng "lights out" Hardware Bypass và 2 khe cắm quang SFP hỗ trợ 100BASE-X / 1000BASE-X, kèm 1 cổng RJ-45 Management 10/100/1000 Mbps độc lập.
• Cứng hóa toàn diện cho trạm biến áp và nhà máy khắc nghiệt: đạt chuẩn IEEE 1613 và IEC 61850-3 cho trạm biến áp điện lực, EN 50155 / EN 50121-4 cho đường sắt, NEMA TS-2 cho giao thông thông minh và chứng nhận chống cháy nổ Class I Div 2 / ATEX Zone 2; làm mát đối lưu không quạt từ -40°C đến +70°C (tủ thông gió) hoặc -40°C đến +75°C (tủ có quạt).
• Kiểm tra gói tin sâu (DPI) giao thức OT/SCADA tới từng lệnh: hỗ trợ sẵn AppID cho từng lệnh điều khiển của IEC 60870-5-104 (IEC-104), IEC 61850 MMS và CIP, đồng thời kiểm soát GOOSE, GSE, DNP3, Modbus, OPC-UA, EtherNet/IP, Siemens S7, BACnet, Omron FINS và cho phép tự định nghĩa bộ nhận diện qua OpenAppID.
• Năng lực xử lý bảo mật và định tuyến mạnh mẽ: khi vận hành với dịch vụ tường lửa thế hệ mới, dòng ISA3000 đạt thông lượng 500 Mbps NGIPS, 375 Mbps Firewall + AVC, 350 Mbps FW + AVC + IPS (gói 1024B), 50.000 phiên đồng thời, 2.700 kết nối mới/giây và 50 Mbps IPsec VPN; hỗ trợ định tuyến tĩnh và động (RIP, EIGRP, IS-IS, OSPF, BGP), NAT hai chiều và đồng bộ thời gian phần cứng IEEE 1588v2 PTP.
• Nguồn DC kép dự phòng và tiếp điểm cảnh báo rơ-le: tích hợp 2 ngõ vào nguồn một chiều độc lập (Dual internal DC) dải rộng 9.6V DC đến 60V DC (danh định ±12V DC, 24V DC hoặc 48V DC), công suất tiêu thụ chỉ 24W, kèm 2 ngõ vào cảnh báo tiếp điểm khô và 1 ngõ ra rơ-le Form C.
• Bảo mật phần cứng Cisco Trust Anchor và độ tin cậy cao: tích hợp chip chống giả mạo và bảo vệ chuỗi cung ứng Cisco Trust Anchor, chỉ số MTBF công bố của phần cứng ISA-3000-2C2F đạt 376.580 giờ.

Liên hệ: 0986 397 886

Phần cứng và cổng kết nối

Liên hệ: 0986 397 886

Cấu hình cổng

• 2 cổng đồng Gigabit Ethernet có Hardware Bypass: cổng 1 và cổng 2 chuẩn 10/100/1000Base-T RJ-45 ở phần trên cột giữa mặt trước. Khi kích hoạt tính năng Hardware Bypass ("lights out" traffic bypass), rơ-le cơ khí bên trong sẽ tự động nối thông vật lý giữa cổng 1 và cổng 2 nếu thiết bị mất nguồn hoặc gặp sự cố phần cứng, giúp luồng dữ liệu điều khiển quan trọng không bị gián đoạn.
• 2 cổng quang SFP Gigabit Ethernet: cổng 3 và cổng 4 chuẩn SFP ở phần dưới cột giữa mặt trước, hỗ trợ cả module quang Fast Ethernet 100BASE-FX/LX (IEEE 802.3ah) và Gigabit Ethernet 1000BASE-SX/LX/LH (IEEE 802.3z) trên cáp quang Multi-mode hoặc Single-mode, phù hợp kéo cáp quang đường trục về switch trung tâm trạm biến áp hoặc liên kết liên vùng nhà máy.
• 1 cổng quản trị độc lập (Dedicated Management): cổng RJ-45 10/100/1000Base-T (MGMT ENET) nằm trên cùng cột giữa, tách biệt hoàn toàn luồng quản trị cấu hình, giám sát và khởi động qua mạng khỏi 4 cổng lưu lượng dữ liệu.

Vi xử lý, bộ nhớ và giao diện quản trị

• Kiến trúc vi xử lý và lưu trữ: trang bị bộ vi xử lý 4-core Intel Atom processor dải nhiệt công nghiệp, 8-GB DRAM hàn cố định trên bo mạch (soldered down), 16-GB bộ nhớ flash onboard, ổ lưu trữ mSATA 64 GB và khe cắm thẻ nhớ tháo rời 1-GB removable SD flash memory card chuẩn nhiệt độ công nghiệp (đặt dưới nắp che có vít khóa ở mặt trước).
• Cổng Console và USB: tích hợp 1 cổng Console truyền thống chuẩn RJ-45, 1 cổng Console chuẩn Mini-USB (có vít khóa chống cháy nổ) và 2 cổng USB 2.0 Type-A ở mặt trước.
• Ngõ vào/ra cảnh báo (Alarm I/O): cọc đấu dây cảnh báo 6 chân ở góc phải dưới mặt trước cung cấp 2 ngõ vào cảnh báo (Two alarm inputs) phát hiện trạng thái đóng/mở tiếp điểm khô (như cảm biến mở cửa tủ, báo khói, nhiệt độ tủ) và 1 ngõ ra rơ-le cảnh báo Form C (One Form C alarm output relay) để kích hoạt còi/đèn báo hoặc gửi tín hiệu lỗi về RTU.

Liên hệ: 0986 397 886

Đặc tính cơ khí và nguồn điện

Cisco ISA-3000-2C2F-K9 có kích thước gọn 11.2 x 13 x 16 cm (4.41 x 5.12 x 6.30 in. - Rộng x Cao x Sâu) và trọng lượng 1.9 kg (4.2 lb), vỏ kim loại đạt cấp bảo vệ IP30, tích hợp sẵn ngàm gắn thanh ray DIN-rail ở mặt sau và hệ thống cánh tản nhiệt nhôm đúc đối lưu tự nhiên không quạt ở sườn trái. Thiết bị trang bị nguồn DC kép nội bộ (Dual internal DC) qua 2 đầu cắm DC-A và DC-B ở mặt trước, hỗ trợ điện áp danh định ± 12V DC, 24V DC hoặc 48V DC (dải điện áp tối đa từ 9.6V DC đến 60V DC) với mức tiêu thụ điện năng tối đa chỉ 24W, cho phép đấu nối trực tiếp vào nguồn 24V DC của tủ điều khiển PLC hoặc hệ thống tủ nguồn một chiều -48V DC tại trạm biến áp và trạm viễn thông. Khi lắp đặt trong tủ cấp nguồn xoay chiều 100-240VAC hoặc một chiều cao áp 125-250VDC, có thể kết hợp với bộ nguồn DIN-rail rời PWR-IE50W-AC hoặc PWR-IE50W-AC-IEC (ngõ ra 24VDC/2.1A). Chỉ số độ tin cậy MTBF của model ISA-3000-2C2F đạt 376.580 giờ.

Toàn bộ bảng số liệu kỹ thuật chi tiết của thiết bị xem tại tab Thông số kỹ thuật.

Bảo mật OT/ICS, định tuyến và quản trị

Model ISA-3000-2C2F-K9 được cài đặt sẵn phần mềm cơ sở Cisco ASA, cung cấp kiểm soát truy cập trạng thái (Stateful inspection từ Layer 2 đến Layer 7), vận hành linh hoạt ở chế độ định tuyến (Routed mode) hoặc trong suốt (Transparent mode), dịch vụ hạ tầng DMZ (DNS, DHCP, AAA), định tuyến tĩnh IPv4, định tuyến động (RIP, EIGRP, IS-IS, OSPF và BGP), NAT hai chiều (128 subnet NAT entries, mở rộng tới hàng chục nghìn mục dịch địa chỉ), 802.1Q VLAN trunking, gom cổng LACP (802.3ad), STP/RSTP/MSTP, xác thực 802.1X, Cisco TrustSec (SGT, MACsec, MAB), VPN Site-to-Site và Remote Access qua Cisco AnyConnect, cùng cơ chế dự phòng Active/Standby failover.

Khi trang bị thêm các gói thuê bao dịch vụ Firepower Services (Threat/Application, Malware Protection AMP, URL Filtering), thiết bị bổ sung hệ thống ngăn chặn xâm nhập thế hệ mới (NGIPS) với hơn 55.000 luật nhận diện mối đe dọa từ nhóm nghiên cứu Cisco Talos, lọc URL trên hơn 80 danh mục với hơn 280 triệu URL, chống mã độc nâng cao (AMP) và phân tích hành vi tập tin qua Cisco Secure Malware Analytics (Threat Grid). Quản trị linh hoạt tại chỗ qua giao diện đồ họa hoặc quản lý tập trung hàng trăm thiết bị qua Cisco Firepower Management Center (FMC) và nền tảng đám mây Cisco Defense Orchestrator (CDO).

Ứng dụng tiêu biểu

Phân vùng an ninh mạng SCADA và bảo vệ ngăn lộ trạm biến áp 110kV / 220kV

Đạt chuẩn IEC 61850-3 và IEEE 1613, nhận diện sâu bản tin IEC 60870-5-104, IEC 61850 MMS, GOOSE, GSE và DNP3 tới từng lệnh điều khiển, đồng thời có sẵn 2 cổng quang SFP cách ly nhiễu điện từ và 2 cổng đồng Hardware Bypass, ISA-3000-2C2F-K9 là lựa chọn chuẩn mực để đặt làm tường lửa DMZ hoặc tường lửa bảo vệ cụm RTU/Gateway kết nối về Trung tâm điều độ (A0/Ax/B0).

Cô lập ô sản xuất (Cell/Area Zone) theo chuẩn ISA99 / IEC 62443 trong nhà máy

Trong dây chuyền sản xuất ô tô, thực phẩm, hóa chất, xi măng và chế tạo máy, thiết bị được gắn trực tiếp trên thanh DIN-rail trong tủ PLC nhằm kiểm soát lưu lượng Modbus, EtherNet/IP, CIP, OPC-UA, Siemens S7 và Omron FINS giữa mạng điều khiển phân xưởng với mạng IT nhà máy, ngăn chặn mã độc lây lan ngang mà không ảnh hưởng thời gian thực.

Bảo mật kết nối WAN/VPN cho giàn khoan dầu khí, trạm bơm nước và tủ giao thông ITS

Nhờ dải nhiệt rộng -40°C đến +70°C, đạt chuẩn NEMA TS-2, EN 50155, chống ăn mòn muối biển (EN 60068-2-52) và khí ăn mòn (EN 60068-2-60) cùng chứng nhận chống cháy nổ Class I Div 2 / ATEX Zone 2, thiết bị hoạt động tin cậy tại các trạm quan trắc từ xa, trạm газо/dầu khí, tủ điều khiển đèn tín hiệu giao thông và trạm xử lý nước sạch theo chuẩn ANSI/AWWA G430.

Lưu ý khi lựa chọn

Phân biệt ISA-3000-2C2F-K9 (ASA) với ISA-3000-2C2F-FTD và bản 4 cổng đồng (4C)

Dòng Cisco Secure Firewall ISA3000 có 2 biến thể phần cứng và 2 tùy chọn phần mềm cơ sở: (1) về cổng vật lý, nhánh 2C2F (như ISA-3000-2C2F-K9 và ISA-3000-2C2F-FTD) trang bị 2 cổng đồng RJ-45 (có Bypass) + 2 cổng quang SFP với MTBF 376.580 giờ, trong khi nhánh 4C (ISA-3000-4C-K9 và ISA-3000-4C-FTD) trang bị 4 cổng đồng RJ-45 (cả 4 cổng đều có Bypass, không có cổng SFP) với MTBF 398.130 giờ; (2) về phần mềm cài sẵn, mã có hậu tố -K9 (như ISA-3000-2C2F-K9) chạy nền tảng Cisco ASA (dùng mã giấy phép L-ISA3000SEC+-K9 và nhóm thuê bao L-ISA3000-...), còn mã có hậu tố -FTD chạy nền tảng hợp nhất Cisco Firepower Threat Defense (FTD) (dùng nhóm thuê bao L-ISA3000T-...).

Lưu ý về vòng đời dịch vụ Firepower trên ASA, số lượng VLAN và phụ kiện

Theo chú thích trong datasheet C78-735839 và tài liệu phần cứng: (1) trên nền tảng Cisco ASA tiêu chuẩn, thiết bị hỗ trợ 5 VLAN và 200 giao diện định nghĩa; để mở rộng lên 100 VLAN, 400 giao diện, kích hoạt dự phòng High Availability (Active/Standby), SSL VPN và tăng số phiên kết nối trên ASA, cần trang bị thêm giấy phép Security Plus (L-ISA3000SEC+-K9); (2) datasheet lưu ý phiên bản Cisco Firepower Services 7.0 là bản phát hành Firepower Services cuối cùng chạy trên nền tảng Cisco ASA Firewall, vì vậy nếu dự án yêu cầu cập nhật lâu dài các tính năng NGIPS/AVC/AMP thế hệ mới trên ảnh phần mềm hợp nhất, có thể cân nhắc mã ISA-3000-2C2F-FTD hoặc chuyển đổi ảnh phần mềm sang FTD; (3) thiết bị sử dụng tính năng mật mã IPsec/SSL VPN và MACsec nên khi nhập khẩu cần lưu ý thủ tục giấy phép mật mã dân sự theo quy định hiện hành; và (4) bộ nguồn DIN-rail AC/DC (PWR-IE50W-AC), thẻ nhớ 1 GB SD (SD-IE-1GB=) cùng module quang SFP được đặt hàng riêng theo nhu cầu tủ điện thực tế.

Xem danh mục mã đặt hàng, giấy phép ASA/Firepower, bộ nguồn DIN-rail và module SFP tại tab Licensing and deployment.

Tham khảo thêm các bài viết chuyên sâu từ NTCOM tại Cisco ISA-3000: tường lửa công nghiệp cho trạm biến áp và nhà máy và Switch công nghiệp: cách chọn cho trạm biến áp và nhà máy.