Cisco SD-Access 医療業界のプロファイルについて、次のユースケースを実施しています。Cisco SD-Access 医療業界向けソリューションのテストベッドの論理トポロジについては、トポロジ の図を参照してください。

• Cisco DNA Center を使用してインテントベース ネットワークを実装：

  • 管理者は、グローバルネットワーク階層を設計し、グローバルおよびサイトレベルのネットワーク設定を構成し、デバイスを自動的にプロビジョニングできます。

  • 管理者は、冗長性と拡張性を考慮して、デュアルボーダーとデュアル コントロール プレーン ノードを備えたメインキャンパスを展開できます。

  • 管理者は、デバイスのオンボーディングに自動化を活用することで、キャンパスおよびブランチサイトを柔軟に拡張できます。

    • ゼロタッチ プラグアンドプレイ LAN 自動化を使用してファブリックエッジをオンボーディング。

    • ゼロタッチ プラグアンドプレイを使用して IoT デバイス接続用にクラシック拡張ノードをファブリックにオンボーディング。

    • SGT の直接サポートと拡張トラフィック適用によりポリシー拡張ノードをファブリックにオンボーディング。

  • 管理者は、さまざまなボーダーオプションを使用して、多数の小規模なクリニックブランチサイトを自動的にプロビジョニングできます。

    • 組み込みのワイヤレスが有効でハードウェアスタックを備えた一体型ファブリック（FiaB）。

    • 組み込みまたはスタンドアロンのワイヤレスコントローラを備えたデュアル共存ボーダーおよびコントロールプレーンノード。

  • 分散キャンパスサイトは、Cisco SD-Access トランジットを使用して共有のデータセンターやインターネットサービスに接続できます。

• 複数の Cisco DNA Center インスタンスを単一の Cisco ISE クラスタで統合：

  • 管理者は、仮想ネットワーク、スケーラブルグループタグ、アクセス契約、およびセキュリティポリシーを作成者ノードで一元管理し、自動的にリーダーノードと同期できます。

  • 管理者は、ポリシーオブジェクトの一貫性を損なうことなく、異なる Cisco DNA Center インスタンスでロールの変更（作成者ノードの昇格など）を実行できます。

  • ポリシー適用の検証と認可変更（CoA）について、複数の Cisco DNA Center インスタンスで構成される環境のデバイスに Cisco ISE を使用して正常に展開できます。

• 機密性が高い医療データを保護する多層セキュリティを実装：

  • 管理者は、ネットワークでの脅威の拡散を制限するために、ユーザ、ゲスト、IoT デバイス、医療機器を適切な論理ネットワークにセグメント化できます。

  • 管理者は、不正アクセスを防ぐために、有線およびワイヤレスのエンドポイントに対してクローズド認証オンボーディング（dot1x）または MAC 認証バイパス（MAB）を有効にできます。

  • 管理者は、グループを作成し、ユーザやエンドポイントを（アイデンティティに基づいて）グループに分け、グループ間のトラフィックを制御するグループベースポリシーを定義できます。

  • 管理者は、病院のキャンパスに大規模なアクセスコントロールポリシーを実装できます。クライアントのオンボーディング時にセキュリティグループ ACL（SGACL）がエッジデバイスに適切にインストールされます。

  • 管理者は、監査ログを使用して Cisco DNA Center のアクティビティをモニタできます。監査ログには、発生したシステムイベント、発生した時刻と場所、開始したユーザが記録されます。

  • 管理者は、Cisco DNA Center へのアクセス権限が異なる詳細なロールベースのユーザを作成できます。

• サービスとネットワークの復元力：

  • デュアル Cisco SD-Access ボーダーとデュアル コントロール プレーン ノード、ボーダー SVL とボーダー/エッジスタック、およびトランジットネットワークのデュアル トランジット コントロール プレーンにより、ネットワーク全体でハイアベイラビリティを実現できます。ネットワーク障害後のフェールオーバーとリカバリで、トラフィックフローがほとんどまたはまったく中断されません。

  • 管理者は、3 ノード ハイ アベイラビリティ モードで Cisco DNA Center を設定できます。Cisco DNA Center クラスタでサービスやノードの障害が発生した場合、システムはユーザの介入なしで回復します。

  • Cisco ISE の分散展開モデルは、PAN、PSN、pxGrid サービスのフェールオーバー後に回復します。

  • 管理者は、Cisco ISE に到達できない場合にファブリックエッジに重要な VLAN を実装できます。

  • 管理者は、Cisco DNA Center の設定とデータのバックアップを特定の時間に実行するようにスケジュールしたり、オンデマンドでバックアップを開始したりできます。管理者は、以前の Cisco DNA Center の設定を復元するためにバックアップファイルを復元できます。

• シンプルな管理：

  • Cisco DNA Center により、デバイスインベントリが一元管理され、ユーザは IP アドレス、インストールされているソフトウェアバージョン、プロビジョニングステータス、インベントリ情報などのデバイス情報を確認できます。

  • 管理者は、Cisco DNA Center のソフトウェアイメージ管理（SWIM）機能を使用して、スイッチ、ルータ、拡張ノード、およびワイヤレスコントローラを選択したゴールデンイメージにアップグレードできます。

  • Cisco DNA Center のファブリックボーダーとコントロールプレーンの RMA ワークフローにより、デバイスの交換がシームレスになります。

  • サイトのボーダーの L3 ハンドオフによる VLAN の消費の最適化により、管理者が拡張マルチサイト環境で VLAN を割り当てる際の柔軟性がもたらされます。

  • LAN 自動化の重複プールオプションにより、異なるファブリックサイトのアンダーレイネットワークで同じアドレスを再利用することが可能になり、IP アドレスの使用が大幅に最適化されます。

• ネットワークサービス：

  • 管理者は、ファブリックサイト全体のワイヤレスエンドポイントにゲストサービスを提供するために、中央の場所にマルチサイト リモート ボーダーを実装できます。ゲストトラフィックはゲスト VN 内で分離され、インターネットアクセスのためにアンカーボーダーにトンネリングされます。

  • マルチサイト リモート ボーダー ソリューションで、複数のファブリックサイトの有線エンドポイントに同じサブネットを使用できます。

  • 異なる場所にデュアルアンカーボーダー/CP があるアンカーサイトを実装して、ネットワーク障害が発生した場合の冗長性を確保できます。

  • メインキャンパスサイトおよびリモートサイトで有効になっているマルチキャストサービスをさまざまな設計オプションで設定できます。

    • RP は、Cisco SD-Access ファブリックの外側にあり、ファブリックボーダーから到達可能です。

    • PIM-ASM は、オーバーレイ仮想ネットワークのマルチキャストサービスに対して有効です。

    • PIM-SSM は、アンダーレイネットワークのネイティブマルチキャストに対して有効です。

    • メイン キャンパス ファブリック サイトのボーダーは、Cisco SD-Access トランジットネットワークを介して分散キャンパスサイトにマルチキャストサービスを提供できます。

    • サーバルームのマルチキャスト送信元は、異なるファブリックサイトのマルチキャスト受信者を含むトランクを使用してエッジノードおよびボーダーノードに接続されます。

  • 管理者は、ファブリックサイト内のブロードキャスト、不明なユニキャスト、マルチキャスト（BUM）トラフィックだけでなく、サイレントの医療機器を処理する L2 フラッディングを有効にすることができます。

• Cisco DNA アシュアランスとアナリティクスを使用してネットワークとクライアントをモニタ：

  • 管理者は、アシュアランスを使用してネットワークの状態をモニタし、ネットワークの問題を特定できます。アシュアランスは、リンクのダウン、AP のダウン、スイッチスタックメンバーのダウンなど、さまざまなネットワーク障害に起因する問題を報告できます。

  • 管理者は、アシュアランスを使用して有線クライアントとワイヤレスクライアントの状態をモニタし、クライアントのオンボーディングの問題を特定できます。

  • 管理者は、テレメトリデータロガー（TDL）ベースのアシュアランスを有効にして、クライアントの状態を報告する際のスケールとパフォーマンスを向上させることができます。

  • 管理者は、多数の同時エンドポイントをモニタできます。アシュアランスチャートには、100,000 の同時エンドポイントと 250,000 の一時エンドポイントの情報が表示されます。

  • 管理者は、Cisco AI エンドポイント分析を使用して、エンドポイントと IoT デバイスを識別およびプロファイリングできます。

  • 管理者は、ワイヤレスセンサーを使用してワイヤレスネットワークのパフォーマンスをモニタできます。

  • 管理者は、アプリケーションテレメトリを有効にし、アシュアランスを使用してアプリケーションの遅延、ジッター、パケットドロップをモニタできます。

  • 管理者は、既存のエンドポイント間の通信を可視化して、新しいアクセス制御の導入の必要性と影響を評価できます。

  • 管理者は、Cisco AI エンドポイント分析を使用して（エンドポイントの分類と動作モデルの学習に基づいて）スプーフィングされたエンドポイントを検出し、適切なアクションを実行できます。

  • 管理者は、GBPA の機能を使用して、トラフィックパターンやプロトコルを確認できるほか、トラフィックフローを許可または拒否するマイクロセグメンテーション ポリシーを作成および実装できます。

このセクションでは、Cisco SD-Access 医療業界プロファイルのソリューションの検証に関する主なテクニカルノートについて説明します。

病院の有線およびワイヤレスエンドポイント向けアンカーサービス

医療機関では、多くの場合、すべてのサイトにまたがる大規模なゲストサービスを管理する必要があります。通常、ゲストエンドポイント（個々のファブリックサイトにバインドされたエンドポイント）はローカルサイトのアドレスプールから IP アドレスを取得し、すべてのトラフィックがローカルサイトのボーダーに送られます。そのため、複数サイトでのアドレス管理とポリシー適用が複雑になります。この課題に対処するために、Cisco DNA Center は VN アンカーを利用したマルチサイト リモート ボーダー ソリューションを提供しています。このソリューションでは、複数のサイトの VN からのトラフィックを集約し、単一の共通のサブネットを使用して中央の場所（アンカーサイト）に戻すことができます。その VN に対してサイトごとのサブネットを定義して使用する必要はありません。VN アンカーは、シンプルで一元化されたサブネット構造により、マルチサイトでのゲストサービスの展開を促進します。また、大規模な医療環境におけるゲストトラフィックのセキュアで一貫したセグメンテーションを実現します。

アンカーサービスを使用すると、各サイトのアンカー VN に属するすべてのエンドポイントのトラフィックが集約され、VXLAN を介してアンカーサイトにある中央のアンカーボーダーにトンネリングされます。アンカーサイトは従来のファブリックサイトと非常によく似ていますが、特定の VN にサービスを提供する仮想ファブリックサイトを形成します。この仮想ファブリックサイトには独自のサイトボーダーとコントロールプレーン（アンカーボーダーと CP）があり、それらがアンカーサイトに配置されます。アンカーサイトの特別な点は、このサイトのエッジとワイヤレスコントローラが複数のファブリックサイトに分散していることです。

マルチサイト リモート ボーダーは VN 単位で有効になります。アンカー VN（Guest_VNなど）の場合、アンカーサイトのすべてのエッジは、コントロールプレーンとデータプレーンの通信にアンカー CP/ボーダーを使用します。アンカーサイトのワイヤレスコントローラは、ワイヤレスエンドポイントの登録のためにアンカー CP と通信します。アンカーされていない従来の VN の場合、エッジおよびワイヤレスコントローラは、コントロールプレーンとデータプレーンの通信に独自のサイトローカル CP/ボーダーを使用します。ファブリックロールで動作するデバイスの他の RLOC と同様に、アンカーボーダー/CP ノードのループバック 0 アドレスは、アンカーサイトに配置されたエッジノードのグローバル ルーティング テーブルにある /32 ルートを介して到達可能である必要があります。

ワイヤレスゲストでマルチサイト リモート ボーダーが有効になっている場合、ゲストエンドポイントはゲスト SSID に参加し、Cisco ISE を介して中央 Web 認証（CWA）を完了し、アンカーされたゲスト VN に関連付けられます。ゲストトラフィックはアンカーされたボーダーにトンネリングされ、ファイアウォールを通過してインターネットに到達します。次の 1 つ目の図は、マルチサイト リモート ボーダーを有効にするための Cisco DNA Center の GUI 画面を示しています。2 つ目の図は、アンカー VN と非アンカー VN の両方のパケットフローを示しています。

医療サーバルーム：複数サイト間のマルチキャスト

Cisco SD-Access は、仮想オーバーレイネットワークと物理アンダーレイネットワークの両方で、マルチキャストの PIM Any-Source Multicast（PIM-ASM）と PIM Source-Specific Multicast（PIM-SSM）をサポートします。マルチキャスト送信元は、ファブリックドメイン外（通常はデータセンター内）またはファブリックオーバーレイ内（通常はエッジノードまたは拡張ノードに直接接続）のいずれかになります。マルチキャスト受信者は、通常、すべてのファブリックサイトのエッジノードまたは拡張ノードに直接接続されます。

Cisco DNA Center は、さまざまなお客様のネットワーク設計に対応するように VN 単位で調整された 2 つの異なるマルチキャスト転送方式を提供します。1 つ目の方法はヘッドエンドマルチキャスト（入力レプリケーション）です。アンダーレイネットワークでマルチキャストを必要としないため、クリーンなオーバーレイのみのマルチキャスト転送ソリューションが提供されます。もう 1 つの方法はネイティブマルチキャストです。マルチキャストレプリケーションがアンダーレイネットワーク全体で実行されるため、最もスケーラブルな帯域幅と CPU 効率が提供されます。

（注）	マルチキャスト転送は VN 単位で有効になりますが、特定のファブリックサイト内で 2 つの転送方式を同時に有効にすることはできません。

Cisco SD-Access 医療業界向けの設計で検証した使用例のシナリオを次に示します。これは、Cisco DNA Center を使用した大規模なマルチサイト病院ネットワークでのマルチキャストの展開を示しています。このシナリオでは、医療サーバルームが大規模メインキャンパスサイトのオーバーレイのファブリックエッジに接続されています。サーバルームのサーバがマルチキャスト送信元です。それぞれ異なる VN にあり、患者、管理者、医療スタッフ、医療実習生など、さまざまな対象者にサービスを提供します。受信者は分散キャンパスサイト全体に位置しています。図 7 では、マルチキャスト受信者は病院の大規模メインキャンパスサイトと中規模キャンパスサイトに存在しています。ランデブーポイント（RP）がファブリックの外部にあるため、既存のファブリックサイトと新しく展開されたファブリックサイトの両方に一貫してサービスを提供できます。

マルチキャストの使用例の対応する要件は次のとおりです。

• 異なる VN の複数のサーバ（マルチキャスト送信元）を大規模メインキャンパスサイトのトランクポートを介して単一のファブリックエッジに接続する。

• マルチキャスト送信元と同じキャンパスサイトからのマルチキャスト受信者を展開する。

• マルチキャスト送信元と異なるキャンパスサイトからのマルチキャスト受信者を展開する。

• Cisco SD-Access トランジットを分散キャンパスサイト全体に展開する。

• マルチキャスト RP をファブリックの外部に配置する。

これらの要件を満たす検証済みのソリューションを次に示します。

• サーバ接続用のトランクポートの展開：ファブリックホストのオンボーディングのポート割り当てワークフローに、接続されたデバイスタイプをトランクとして設定するオプションがあります。その結果、エッジノードまたは拡張ノードのスイッチポートがトランクとして設定されます。これにより、サーバルームのサーバを VLAN タグが異なるファブリックエッジに接続できます。

• ヘッドエンド レプリケーションによるマルチキャストの展開（オーバーレイの PIM-ASM）：前述のように、マルチキャストのヘッドエンド レプリケーションがオーバーレイネットワークで実行され、マルチキャストインユニキャスト カプセル化が実行されます。このサーバルームの場合、分散サイトのボーダーはファーストホップルータ（FHR）になり、オーバーレイの各マルチキャストパケット（S、G）が複製されます。VXLAN トンネル（FHR_RLOC、LHR_RLOC）を介して、該当するサブスクライバを含むすべてのラストホップルータ（LHR）にユニキャストでパケットが送信されます。小規模なキャンパスサイトでは、多くの場合、エッジがファブリックボーダーに直接接続されます。このオプションは、トポロジがシンプルであり、サイトのボーダー（FHR）で過剰な帯域幅のオーバーヘッドが発生しないため、小規模なファブリックサイトに適しています。また、アンダーレイマルチキャストを設定する必要がないため、運用上のオーバーヘッドが大幅に軽減されます。

  拡張ノードに複数の受信者が接続されている場合（IGMP スヌーピング機能がデフォルトで有効になっている場合）、拡張ノードは受信者が接続されているすべてのポートでパケットレプリケーションを完了します。図 7 では、転送オプションとしてヘッドエンド レプリケーションを使用した小規模ファブリックサイトにおけるパケットデータの詳細なパスを示しています。

• ネイティブマルチキャストの展開（オーバーレイの PIM-ASM、アンダーレイの PIM-SSM）：ネイティブマルチキャストでは、FHR に依存せずにパケットが複製されます。中間ノードを含むアンダーレイ全体がパケットレプリケーションに参加します。パケットは、アンダーレイの Source Specific Multicast（SSM）ツリーの分岐点ごとに複製されます。つまり、受信者に最も近いノードでパケットが複製され、必要なときにのみ複製されます。このオプションは、FHR およびネットワークの残りの部分の帯域幅と CPU 効率が最大になるため、大規模なキャンパスサイトに適しています。

  ネイティブマルチキャストでは、アンダーレイマルチキャスト転送に PIM-SSM が必要であり、FHR でマルチキャストオーバーマルチキャスト カプセル化が実行されます。このサーバルームの場合、マルチキャスト送信元（医療サーバ）がエッジに接続されているため、ファブリックエッジが FHR です。FHR は、オーバーレイのマルチキャストパケット（S_overlay、G_overlay）を受信すると、このパケットをアンダーレイのマルチキャストパケット（S_underlay、G_underlay）のペイロードとしてトンネリングします。そこから、アンダーレイの SSM ツリーを使用してパケットレプリケーションを完了します。図 7 では、転送オプションとしてネイティブマルチキャストを使用したメインキャンパスサイトにおけるパケットデータの詳細なパスを示しています。

• SD-Access トランジットを介したファブリックサイト間のマルチキャスト：分散した医療キャンパスサイトは、Cisco SD-Access トランジットを介して RP およびマルチキャスト送信元と通信します。PIM パケットは、最初にローカルキャンパスサイトのボーダーに送信され、次に VXLAN 経由でメインキャンパスサイトのボーダーにトンネリングされます。その後、メインキャンパスサイトのボーダーから、IP トランジットを介して RP（この場合はファブリックの外部）に転送されるか、VXLAN を介して送信元（医療サーバ）が配置されているエッジに転送されます。サイト間でのマルチキャストデータ転送では、Cisco SD-Access トランジットも使用します。図 7 では、大規模メインキャンパスサイト内の医療サーバから大規模メインキャンパスサイトと中規模キャンパスサイトの両方の受信者に送信されるマルチキャストデータパケットの詳細なパスを示しています。

• Cisco SD-Access Solution Design Guide (CVD)

• Cisco Software-Defined Access for Distributed Campus Prescriptive Deployment Guide

• Cisco Extended Enterprise Non-Fabric and SD-Access Fabric Design Guide

• Cisco Software-Defined Access Compatibility Matrix