Expresná doprava do
Kontaktujte nás
Sledovať objednávku
Hľadať
Populárne vyhľadávanie
dotaz
Nákupný vozík
Login

Kupón
Citujte teraz,
ušetrite až 8 %.

dotaz
Kontakt

spätná väzba
Tvoja spätná väzba
Ako by ste nás ohodnotili?
Jednoduchosť použitia:
Spätná väzba k nákupu:
Podrobnosti o produkte:

Segmentácia OT SCADA s EVPN VRF a firewallmi

Segmentácia OT SCADA s EVPN VRF a firewallmi
  • Úvod
  • Výzvy
  • Odporúčané produkty
  • POROVNAŤ
  • Prípady použitia
Získajte odbornú pomoc

Možnosti segmentácie konvergovaných OT

Možnosti segmentácie konvergovaných OT

  • Mestské energetické spoločnosti sú pod tlakom segmentovať siete OT a SCADA bez toho, aby prudko zvýšili počet sietí fabric, firewallov a zmenili domény. Zastarané ploché VLAN, bodové firewally medzi zónami a izolované rozvodne sťažujú presadzovanie politiky východ-západ, zavádzanie nových lokalít alebo integráciu obnoviteľných zdrojov energie a pokročilého merania, a to všetko pri zachovaní deterministického správania ochranných relé a riadenia prevádzky.

    Nasledujúce časti sa zameriavajú na to, ako použiť návrh EVPN a VRF v kombinácii so škálovateľnými inštanciami firewallu na vytvorenie čistých OT zón cez zdieľaný transport namiesto samostatných sietí pre každý projekt. Rozhodovacie body zahŕňajú, kedy ukotviť segmentáciu na routeroch Juniper EVPN, kam vložiť virtuálne firewally Huawei na riadenie OT zón a ako kompaktná agregácia Centec udržiava rast obmedzený a prevádzkovo zvládnuteľný.

Tlaky na návrh segmentácie OT/SCADA

Navrhovanie segmentácie OT/SCADA založenej na EVPN, VRF a firewalloch bez rozširovania siete Fabric je obmedzené zariadeniami pre bežné prevádzky, obmedzenými rozpočtami a prísnymi SLA pre spoľahlivosť.

Tlaky na návrh segmentácie OT/SCADA

  • Konvergácia IT, OT a SCADA bez rozrastania

    Viaceré OT zóny, VRF a inštancie EVPN musia koexistovať na obmedzenom hardvéri bez vytvárania paralelných fabric alebo prerušenia staršej sériovej/IP prevádzky v teréne.

  • Vyváženie priepustnosti, stavu a nákladov

    Inšpekcia východ-západ a smerovanie viacerých VRF zaťažujú kapacitu linkových kariet a relácie firewallov, zatiaľ čo rozpočty obcí obmedzujú nadmerné poskytovanie platforiem a licencií.

  • Integrácia a prevádzkyschopnosť brownfieldov

    Kombinácia nového hardvéru EVPN s existujúcimi RTU, staršími L2 kruhmi a rôznymi firewallmi komplikuje migráciu, riešenie problémov a konzistentné presadzovanie politík.

Možnosti segmentácie OT/SCADA

Objasnite, ako sa EVPN, VRF a firewally zosúlaďujú s cieľom zabezpečiť OT zóny bez nadmerného využívania infraštruktúry.

EVPN ako zdieľaná sieťová infraštruktúra

Na izoláciu mnohých OT služieb prostredníctvom VRF použite jednu podložku EVPN.

Zóny definované bránou firewall

Škálujte politiky zón OT pomocou virtuálnych systémov namiesto väčšieho počtu šasi.

Agregácia správnej veľkosti

Kompaktná agregácia Centec zabraňuje paralelným sieťam a uviaznutým portom.

EVPN vs. firewall vs. hybridná segmentácia

Porovnajte čisto EVPN/VRF, firewall-centrické a hybridné návrhy so segmentáciou OT/SCADA správnej veľkosti bez vytvárania rozrastania siete (fabric neurčito).

Vlastnosti Fabric iba pre EVPN/VRF Segmentácia zameraná na firewall
Hybridná EVPN + virtuálne firewally (horúce)
 Prevádzkový vplyv
Primárne nasadenie Juniper EVPN a multi-VRF na MPC7E/MPC5E pre striktné oddelenie L3 v rámci jednej smerovanej štruktúry; minimálna závislosť od firewallov. Licencie Huawei USG6630E a VSYS ako hlavný riadiaci bod medzi mnohými OT zónami; EVPN/VRF používané hlavne ako VLAN/IP transport. Agregácia Centec EVPN (CC-V530/CC-V680) pre škálovateľné VRF a virtuálne firewally Huawei pre selektívnu kontrolu a politiku zón OT. Zosúladiť hĺbku segmentácie s rizikom: smerovanie používať na hromadnú izoláciu a firewally iba tam, kde si to vyžadujú kontroly a dodržiavanie predpisov.
Bezpečnosť a hĺbka kontroly Silná logická izolácia prostredníctvom VRF a EVPN; žiadna natívna hĺbková inšpekcia pre staršie OT protokoly, pokiaľ nie je prepojená s externými bezpečnostnými uzlami. Bohaté bezpečnostné služby OT/IT, virtuálne systémy a politiky pre jednotlivé zóny; hĺbková kontrola, ale riziko nadmernej centralizácie všetkej prevádzky cez firewally. VRF presadzujú tvrdú izoláciu, zatiaľ čo virtuálne firewally kontrolujú iba kritické toky (napr. prevádzku z riadiaceho centra do poľa, medzizónovú prevádzku). Dosiahnite hĺbkovú ochranu bez toho, aby ste museli presúvať všetku prevádzku OT cez jediný bezpečnostný bod alebo preťažovať kapacitu firewallu.
Rozrastanie štruktúry a zložitosť topológie Jednotná, konvergovaná smerovacia štruktúra; menej fyzických domén, ale väčšia zložitosť návrhu VRF/EVPN a spoliehanie sa na robustné škálovanie riadiacej roviny. Môže vytvárať paralelné klastre firewallov a ďalšie L2/L3 preskoky okolo nich, čím sa zväčšujú sieťové ostrovy a rozrastanie dizajnu. Udržiava kompaktnú agregačnú vrstvu EVPN s obmedzenými bodmi vkladania firewallu; segmentácia riadená VRF a cielené reťazce služieb. Zachovať fyzickú zastavanosť a jednoduchú topológiu a zároveň podporovať mnoho OT zón a DMZ v rámci jedného jadra.
Škálovateľnosť OT zón a nájomníkov VRF sa dobre škálujú na MPC7E/MPC5E; pridávanie nových OT zón je väčšinou úlohou smerovania a politík, ale politiky na úrovni aplikácií zostávajú nepresné. VSYS a bezpečnostné politiky sa škálujú, ale databázy pravidiel sa môžu stať zložitými a tabuľky stavov zahltené pri raste prevádzky OT z východu na západ. Oddelenie každej zóny na základe trás plus škálovateľné virtuálne firewally pre segmenty s vyšším rizikom; stredná veľkosť databázy bezpečnostných pravidiel. Škálovateľnosť na desiatky alebo stovky zón OT/SCADA bez toho, aby ste museli narušiť stav firewallu alebo limity škálovateľnosti pravidiel v jadre.
Výkon a latencia pre prevádzku SCADA Vysoká priepustnosť, deterministické presmerovanie; najlepšie pre telemetriu s nízkou latenciou, GOOSE a ochranné obvody, keď sa nachádzajú v doménach VRF. Extra latencia a jitter, keď všetky toky prechádzajú centralizovanými firewallmi; pre pracovné zaťaženie OT v reálnom čase je potrebný starostlivý výber veľkosti a návrh vysokej dostupnosti. Prevádzka citlivá na latenciu zostáva v rámci EVPN/VRF; iba toky medzi zónami alebo smerom na sever prechádzajú cez firewally dimenzované pre tieto cesty. Zachovať deterministické správanie pre časovo kritické SCADA systémy a zároveň presadzovať robustné bezpečnostné politiky zón a potrubí.
Profil nákladov a licencovanie Kapitálové výdavky na špičkové smerovacie linkové karty (MPC7E/MPC5E); prevádzkové výdavky prevažne na smerovacie operácie, menej na bezpečnostné licencie. Priebežné výdavky na hardvér firewallu, licencie VSYS a aktualizácie podpisov; silné zabezpečenie, ale vyššie celkové náklady na vlastníctvo, ak sa používa ako jediný nástroj. Vyvážené výdavky: štíhle smerovacie jadro plus správne dimenzované platformy firewallov a licencie VSYS iba tam, kde inšpekcia prináša pridanú hodnotu. Vyhnite sa preplácaniu za firewally, ktoré robia to, čo dokážu VRF, a zároveň spĺňajú kybernetické a regulačné požiadavky nákladovo efektívne.
Operácie, zručnosti a riešenie problémov Zameranie na sieťový tím; intenzívne využívanie BGP EVPN, VRF route leaking a smerovacích politík; bezpečnostný tím má menšie právomoci pri každodenných zmenách. Zameranie na bezpečnostný tím; veľa zmien v tiketoch a zložité kontroly politík; potenciálne úzke miesta pre bežné zmeny v pripojení OT. Jasné rozdelenie povinností: sieť vlastní VRF a transport, bezpečnosť vlastní medzizónové politiky na virtuálnych firewalloch. Zlepšiť flexibilitu zmien a objasniť zodpovednosti medzi sieťovými a bezpečnostnými tímami v rámci prevádzky komunálnych služieb.
Najlepší prípad použitia pre komunálne služby Dodávatelia energií so silnými odbornými znalosťami v oblasti smerovania, menšími regulačnými obmedzeniami a obmedzenou potrebou hĺbkovej kontroly OT protokolov. Prostredia s prísnymi požiadavkami na kontrolu/súlad s predpismi, ale s jednoduchšími topológiami a nižšou citlivosťou výkonu v reálnom čase. Mestské spoločnosti potrebujú silnú izoláciu, pravidlá pripravené na audit a výkon v reálnom čase bez rozširovania fasád. Prijmite model segmentácie OT/SCADA, ktorý je pripravený na budúcnosť a je prispôsobený reguláciám a zabraňuje rozširovaniu infraštruktúry a bezpečnostným slepým miestam.

Potrebujete pomoc? Technickí experti sú k dispozícii.

  • +1-626-655-0998 (USA)
    UTC 15:00-00:00
  • +852-2592-5389 (Hoongkong)
    UTC 00:00-09:00
  • +852-2592-5411 (Hoongkong)
    UTC 06:00-15:00
Získajte ponuku
Chat
Potrebujete pomoc? Technickí experti sú k dispozícii.

Ideálne prípady použitia segmentácie OT/SCADA

Navrhnuté pre segmentáciu prevádzky OT a SCADA pre mestské podniky pomocou EVPN, VRF a firewallov – bez vytvárania predimenzovaných alebo fragmentovaných sietí.

Hlavná sieť OT pre celomestský rozvod energie

Hlavná sieť OT pre celomestský rozvod energie

  • Implementujte multi-VRF EVPN na smerovacích platformách Juniper na izoláciu prevádzky SCADA, podnikových IT a údržby naprieč mestskými rozvodňami bez budovania samostatných fabric.
  • Použite licencie Huawei na virtuálne systémy na vytvorenie vyhradených inštancií firewallu pre automatizáciu napájacích kanálov, ochranu relé a zóny backhaul AMI, čím presadíte politiku východ-západ medzi doménami OT.
  • Agregované kruhové a radiálne rozvodne na kompaktných prepínačoch dátových centier Centec s využitím EVPN ako spoločnej transportnej vrstvy pre segmenty OT a zároveň s minimálnou fyzickou sieťovou stopou.
SCADA siete pre úpravu a distribúciu vody

SCADA siete pre úpravu a distribúciu vody

  • Vytvorte segmentované EVPN VRF pre čistiarne odpadových vôd, čerpacie stanice a vzdialené nádrže, aby SCADA, monitorovanie kvality a technický prístup zostali logicky oddelené cez jedno zdieľané jadro IP/MPLS.
  • Nasaďte firewally Huawei s licenciami VSYS na okrajoch závodu a riadiacich centier, aby ste vytvorili virtuálne firewally pre každú procesnú oblasť, presadzovali prísne pravidlá OT zóny a kontrolovali prevádzku PLC a RTU.
  • Použite agregačné prepínače Centec na konvergovanie starších sériových brán, priemyselných prepínačov a IP kamier do samostatných segmentov EVPN, čo umožňuje bezpečný prenos tokov OT a dohľadu bez druhej siete Fabric.
Riadiace centrá integrovaných komunálnych služieb

Riadiace centrá integrovaných komunálnych služieb

  • Využite Juniper EVPN a VRF na hlavných routeroch na izoláciu prevádzky pre semafory, pouličné osvetlenie, telemetriu verejnej dopravy a automatizáciu budov a zároveň zdieľajte jednu vysoko dostupnú chrbticovú sieť.
  • Vytvorte viacero virtuálnych firewallov Huawei, aby každý obecný úrad dostal vlastnú bezpečnostnú zónu a sadu politík, čím sa minimalizuje laterálny pohyb medzi aplikáciami, ako sú CCTV, inteligentné parkovanie a HVAC.
  • Použite prepínače Centec V530 a V680 ako agregačné body EVPN v hlavnom riadiacom centre, čím zlúčite agregáciu serverov, úložísk a OT do kompaktnej štruktúry, ktorá sa vyhne samostatným sieťam pre každú službu.
Modernizácia a migrácia starých SCADA systémov

Modernizácia a migrácia starých SCADA systémov

  • Zaviesť segmentáciu VRF založenú na technológii Juniper EVPN paralelne s existujúcimi sieťami SCADA, čo umožní postupnú migráciu RTU a IED do nových segmentov OT bez rušivého prekabelovania alebo nových sietí.
  • Umiestnite firewally Huawei ako demarkačné body OT s virtuálnymi systémami, ktoré sa použijú na oddelenie tokov SCADA v starých brownfieldoch od novo nasadenej telemetrie založenej na IEC 61850 alebo IP počas viacročných aktualizácií.
  • Použite agregačné platformy Centec na ukončenie zmiešaných uplinov 1/10/40/100G zo starších aj nových OT lokalít, čím získate jednotné transportné jadro EVPN, ktoré podporuje staré protokoly aj nové mikrosegmentované služby.
Kybernetická bezpečnosť a súlad s predpismi pre kritické aktíva prevádzkových procesov

Kybernetická bezpečnosť a súlad s predpismi pre kritické aktíva prevádzkových procesov

  • Definujte vyhradené VRF pre zabezpečenie a dodržiavanie predpisov na routeroch Juniper pre kritické zariadenia, ako sú riadiace centrá, rozvodne a čistiarne odpadových vôd, a oddeľte tak regulované toky OT od bežnej prevádzky mestských IT.
  • Použite škálovanie VSYS firewallu Huawei na mapovanie zón zhody (napr. perimetre podobné NERC CIP alebo požiadavky národnej kritickej infraštruktúry) do virtuálnych firewallov s prispôsobenými politikami inšpekcie a protokolovania.
  • Centralizujte zákonné protokolovanie, detekciu anomálií a zrkadlenie prevádzky na agregačných prepínačoch Centec EVPN a smerujte vybrané segmenty OT do monitorovacích nástrojov bez budovania ďalších monitorovacích sietí alebo odbočiek.

Často kladené otázky

Ako sa mám rozhodnúť medzi segmentáciou založenou na Juniper EVPN/VRF a firewalle pre zóny komunálnych OT a SCADA?

  • Pre väčšinu komunálnych dodávateľov energií sú platformy Juniper EVPN/VRF (napr. MPC7E-10G, MPC5E-40G10G, MPC7E-MR-RTU-RB) najvhodnejšie pre škálovateľnú segmentáciu mnohých zón OT/SCADA založenú na trasách, zatiaľ čo firewally Huawei (USG6630E s licenciami VSYS) sú ideálne tam, kde je povinná podrobná kontrola medzi zónami založená na politikách (napr. SCADA-korporát, vzdialený prístup dodávateľa alebo prevádzka OT medzi lokalitami).
  • Bežným návrhom je ponechať hlavnú segmentáciu v EVPN/VRF na linkových kartách Juniper a citlivú medzizónovú prevádzku smerovať iba cez virtuálne systémy na firewalloch Huawei, čím sa zabráni rozširovaniu siete a zbytočnému „hair-pinningu“. Overenie architektúry a správnu veľkosť SKU môžete požiadať prostredníctvom nášho bezplatná podpora dizajnu CCIE pred konečným rozhodnutím o kúpe. Upozornenie: Konkrétne záručné podmienky a podporné služby sa môžu líšiť v závislosti od produktu a regiónu. Presné podrobnosti nájdete v oficiálnych informáciách. V prípade ďalších otázok kontaktujte: router-switch.com.

Ktoré linkové karty Juniper MPC sú lepšie pre segmentáciu multi-VRF OT s EVPN v obmedzene veľkých dátových halách?

  • Ak je vašou hlavnou požiadavkou vysoká hustota VRF a veľa malých segmentov OT/SCADA nad 10G, MPC7E-10G alebo MPC7E-10G-IRB sú zvyčajne uprednostňované kvôli ich škálovateľnosti a integrovaným možnostiam smerovania/premostenia (varianty IRB) pre úlohy brán L2/L3 na okraji zón OT.
  • Tam, kde sa agregujú vysokorýchlostné kanály z okruhov rozvodní alebo transportných vrstiev, sa MPC5E-40G10G a MPC5E-100G10G často používajú na uplinky a agregáciu EVPN, zatiaľ čo MPC7E-MR-RTU-RB alebo MPC7E-MRATE-IRB sa zvažujú, keď je dlhodobý rozsah (trasy, MAC, VRF) a viacrýchlostné rozhrania kľúčové pre budúce rozšírenia bez duplikácie štruktúry.

Ako sa licencie Huawei VSYS mapujú na návrh bezpečnostnej zóny OT a aké sú hlavné úskalia pri určovaní veľkosti?

  • Licencie Huawei VSYS (napr. LIC-VSYS-20-USG6000, SWP-E8000-LIC-VSYS-25/50/100/200, LIC-VSYS-200-NGFWM) definujú, koľko virtuálnych firewallov môžete vytvoriť; v návrhoch OT/SCADA je bezpečnejšie dimenzovať podľa bezpečnostných zón a životného cyklu, nielen podľa aktuálnych projektov. Napríklad samostatný VSYS pre rozvodňu, riadiace centrum, prístup dodávateľa, testovacie laboratórium a firemné prepojenie, plus rezervnú kapacitu pre budúce elektrárne alebo regulačné požiadavky.
  • Typickým problémom pri dimenzovaní je zaobchádzanie s každým logickým segmentom OT ako s vlastným VSYS namiesto použitia jedného VSYS na zónu alebo na obchodnú doménu, čo rýchlo vyčerpá kapacitu licencií a prevádzkovo komplikuje správu politík. Počas fázy plánovania môžete zdieľať svoj cieľový model zónovania a my vám pomôžeme ho namapovať na realistický plán VSYS a vhodné SKU, aby ste predišli nadmernému alebo nedostatočnému licencovaniu. Upozornenie: Konkrétne záručné podmienky a podporné služby sa môžu líšiť v závislosti od produktu a regiónu. Presné podrobnosti nájdete v oficiálnych informáciách. V prípade ďalších otázok kontaktujte: router-switch.com.

Je možné vložiť agregačné prepínače Centec EVPN bez vytvorenia druhej siete a aké obmedzenia interoperability by som mal očakávať?

  • Série Centec CC-V530 a CC-V680 sa často nasadzujú ako kompaktné agregačné a transportné vrstvy, ktoré ukončujú alebo prenášajú služby EVPN bez potreby samostatnej prekrývajúcej štruktúry, za predpokladu, že zosúladíte možnosti EVPN a návrh BGP s existujúcim jadrom Juniper. V mnohých mestských prostrediach sa na menších lokalitách používajú CC-V530-48S4X alebo CC-V530-16T16XY2Q a v centrálnych lokalitách CC-V680-48X8C alebo CC-V680-32C.
  • Medzi obmedzenia interoperability, ktoré je potrebné overiť, patria zhodné typy trás EVPN, správanie mapovania VLAN/VNI, MTU v trase a očakávania konvergencie, najmä pre protokoly SCADA citlivé na oneskorenie. Pred objednaním odporúčame kontrolu návrhu a funkcií oproti vašim existujúcim verziám operačného systému a rozsahu trás, s čím vám náš tím môže pomôcť prostredníctvom... bezplatná podpora CCIE.

Čo by mali mestské podniky zvážiť v súvislosti s životným cyklom, rizikom EOL/EOSL a plánovaním výmeny hardvéru na segmentáciu OT?

  • V prípade OT a SCADA životné cykly hardvéru často presahujú typické cykly obnovy IT, preto je dôležité overiť, či vybrané modely Juniper MPC, firewall Huawei a prepínačov Centec stále majú dostatočné časové okná podpory softvéru od dodávateľa a dostupnosť náhradných dielov v súlade s vašimi regulačnými a bezpečnostnými povinnosťami.
  • Predtým, ako sa zaviažete k platforme, môžete použiť naše Kontrola EOL / EOSL overiť stav a naplánovať postupnú výmenu alebo zásobovanie náhradnými dielmi. Pri nákupe tiež odporúčame definovať jasnú stratégiu náhradných dielov pre kritické linkové karty a moduly firewallu, aby ste mohli absorbovať poruchy bez zmeny dizajnu segmentácie pod tlakom. Upozornenie: Konkrétne záručné podmienky a podporné služby sa môžu líšiť v závislosti od produktu a regiónu. Presné podrobnosti nájdete v oficiálnych informáciách. V prípade ďalších otázok kontaktujte: router-switch.com.

Ako sa rieši doprava, colné záležitosti a záruka pre projekty segmentácie OT, ktoré zahŕňajú viacero energetických závodov a krajín?

  • V prípade nasadenia OT na viacerých miestach alebo cezhraničných nasadení budú spôsoby dopravy a dodacie lehoty závisieť od dostupnosti produktu, objemu a miesta určenia; v prípade položiek na sklade vieme zvyčajne zabezpečiť prepravu pomocou niekoľkých možností, ako je popísané v našich... spôsoby prepravy sprievodca, ale skutočné dodacie lehoty sa budú stále líšiť v závislosti od výkonu dopravcu a miestnych podmienok.
  • Colné poplatky, dovozné dane a procesy colného odbavenia sa líšia v závislosti od krajiny a typu subjektu (verejnoprávne služby, PPP, dodávateľ). Aby ste predišli oneskoreniam alebo neočakávaným nákladom, odporúčame vášmu tímu pre obstarávanie, aby si preštudoval naše dane a clá informácie a zosúladiť Incoterms a dokumentáciu v ranej fáze projektu. Záručný a popredajný servis vrátane logistiky RMA sú kryté našimi záručná politika a pokyny na vrátenie, ktoré by mali byť integrované do vašich prevádzkových postupov a SLA. Upozornenie: Konkrétne záručné podmienky a podporné služby sa môžu líšiť v závislosti od produktu a regiónu. Presné podrobnosti nájdete v oficiálnych informáciách. V prípade ďalších otázok kontaktujte: router-switch.com.

Viac riešení

Industrial Ethernet & Rugged Switches Collection

Kolekcia priemyselných ethernetových a robustných prepínačov

Preskúmajte odolné priemyselné ethernetové prepínače navrhnuté pre náročné prostredie – odolné voči širokému rozsahu teplôt, nárazom a skonštruované pre nepretržitú spoľahlivosť.

Priemyselné siete
Copper vs Fiber vs DAC/AOC Interconnects Guide

Sprievodca prepojeniami medené vs. optické vs. DAC/AOC

Kompletné porovnanie medených, optických, DAC a AOC – latencia, dosah, náklady a vhodnosť nasadenia 10G/25G/100G/400G.

Káble a vysielače/prijímače
Enterprise SASE Security Architecture Guide

Sprievodca architektúrou zabezpečenia podniku SASE

Zistite, ako SASE spája SD-WAN a cloudové zabezpečenie, aby znížila prevádzkové náklady o 40 – 60 % a poskytla jednotný prístup s nulovou dôverou pre distribuované podniky.

SIX
Prihlásiť sa
Registrácia