このガイドでは、Cisco DNA Center および Cisco SD-Access を使用する一般的な運用技術（OT）ネットワーク導入プロファイルに関するガイダンスを提供します。このガイドは、検証の参考資料として使用できます。

OT ネットワークは、過去 20 ～ 30 年間、Purdue モデル（1990 年にリリース）に従っており、そのリリース以降、ネットワーキング業界で大きな変化があり、それらのイノベーションは今日の OT 業界で活用されています。

ここでは、今日の自動化要件を満たすために、進化する大規模な製造業 IT/OT ネットワークで考慮する必要がある重要な事項について説明します。

復元力、冗長性、および高可用性

OT ネットワークは組織の機能にとって重要になっているため（多くの場合、OT ネットワークは企業の中核であるため）、厳密なネットワークレベルとサービスレベルの復元力を提供することが重要です。ネットワークレベルの復元力は、デュアルファブリック ボーダー ノード、デュアルファブリック コントロール プレーン ノード、デュアルアンカーボーダーおよびコントロールプレーンノード、デュアル ワイヤレス コントローラ、ハードウェアスタックまたは StackWise Virtual を備えたファブリックスイッチ、IE 拡張ノードの REP リング、デュアルファブリック トランジット コントロール プレーン ノード（該当する場合）を含む堅牢なファブリックネットワーク設計で実現できます。サービスレベルの復元力は、次を展開することによって実現されます。

• Cisco DNA Center 3 ノードクラスタ。

• 複数のポリシー管理ノード（PAN）、モニタリングノード（MNT）、およびアクティブとスタンバイの Platform Exchange Grid（pxGrid） とポリシーサービスノード（PSN）を備えた分散型 Cisco Identity Services Engine（ISE）クラスタ。

セキュリティとネットワークのセグメンテーション

今日の OT ネットワークでは、セグメンテーション機能が制限されている場合があり、OT ネットワークの大部分は VLAN ベースです。より深いセグメンテーションが必要な場合、多くの組織は物理的に分離された OT ネットワークを作成します。この問題を解決するために、ネットワーク管理者は、物理的な分離の利点と単一ネットワークのシンプルさを備えている論理的なセグメント化を使用します。このセグメンテーションは、サイバーセキュリティの問題への対処にも役立ちます。セグメンテーションが IP アクセス制御リスト（ACL）によってインスタンス化される場合、ほとんどのシンプルな展開では、時間の経過とともに拡張、トラブルシューティング、および維持が困難になる可能性があります。

Cisco SD-Access アーキテクチャ内では、Cisco DNA Center と Cisco ISE は連動し、計画、設定、セグメンテーション、アイデンティティサービス、ポリシーサービスの自動化を実現します。Cisco ISE は、デバイスプロファイリング、アイデンティティサービス、ポリシーサービスを提供し、Cisco DNA Center と動的に情報を交換します。

Cisco SD-Access ソリューションは、マクロセグメンテーションを使用することで、IT デバイスと製造フロアにあるデバイスの間のデータプレーンとコントロールプレーンを完全に分離するニーズに対応します。異なるデバイスを作成し、異なるオーバーレイ仮想ネットワーク（VN）に配置することで、製造業の OT ネットワークで完全なデータの分離を実現し、さまざまな IT 部門間にセキュリティを提供できます。

Cisco SD-Access はグループベースのポリシー（GBP）のスケーラブルグループタグ（SGT）を使用したマイクロセグメンテーションを使用することで、同じ VN 内のエンドポイント間の詳細なデータプレーン分離のニーズにも対応します。Cisco DNA Center IT 管理者は、グループを作成し、従業員をロールごとにグループに配置し、各グループのメンバーが相互に対話する方法を制御するポリシーを定義します。

サイレントホストの処理

OT ネットワークにおける最大の問題の 1 つは、製造フロアにあるサイレントホストです。製造フロアの一部のエンドポイントはサイレントホストです。それらのサイレントエンドポイントでは、ネットワーク内のそれぞれのプレゼンスはブロードキャストされません。Cisco DNA Center は、レイヤ 2 フラッディング機能を介してサイレントホストに対するソリューションを提供します。レイヤ 2 フラッディングは、特定のオーバーレイサブネットのブロードキャスト、リンクローカル マルチキャスト、および ARP トラフィックのフラッディングを可能にします。この機能は、オーバーレイサブネットをアンダーレイの専用のマルチキャストグループにマッピングし、ターゲットのトラフィックをファブリックの Virtual Extensible LAN（VXLAN）でカプセル化して、送信先のアンダーレイ マルチキャスト グループにデータを送信します。このソリューションでは、アンダーレイで PIM Any-Source Multicast（PIM-ASM）が使用されます。これは、Cisco DNA Center の LAN 自動化ワークフローを使用して自動的に、または導入の後半のフェーズで手動で設定できます。このソリューションは、各種組み込み機能を備えたさまざまな OT デバイスに対応することで、OT ネットワークに柔軟性を提供します。

レイヤ 2 専用 VN（ファブリック外のゲートウェイ）

OT ネットワークの場合、さまざまなユースケースやビジネス目的用の多数のレイヤ 2 ネットワークが工場のフロアにあります。高レベルのセキュリティを実現するには、ファブリックネットワークの外部にあるファイアウォールでレイヤ 2 トラフィックを検査する必要があります。この要件は、すべてのトラフィックの最初のホップがファブリックの外部にある必要があることを意味します。この実装では、レイヤ 2 専用 VN とアンダーレイマルチキャスト機能を組み合わせて使用します。

ネットワークのアシュアランスと分析

ネットワーク管理者は、OT システムの動的なニーズに迅速に対応するために、ネットワークを効率的に管理およびモニターできます。導入環境では、ネットワーク、デバイス、アプリケーションのパフォーマンスを向上させるためにテレメトリを使用することで、ネットワーク関連やセキュリティ関連のリスクがプロアクティブに予測されます。Cisco DNA アシュアランス は Cisco AI Network Analytics を使用して、テレメトリデータを収集し、ネットワークデバイスのパフォーマンスをモニターし、検出された問題にフラグを付け、修復手順を提示します。

Cisco DNA アシュアランス および Cisco AI Network Analytics を使用することで、ネットワーク管理者は、ネットワークデバイスおよび接続されているエンドポイント（有線とワイヤレスの両方）の全体的な正常性をモニターできるだけでなく、デバイス、エンドポイント、および個々のアプリケーションの正常性を確認できます。この 360 度の分析により、管理者は、ワイヤレスラップトップの接続や OT デバイスのワイヤレス SSID への接続の問題など、ネットワーク要素が直面している個々の問題を特定できます。

Cisco AI エンドポイント分析

最新のセキュリティ脅威は、企業情報を得るために、エンタープライズ ネットワークの脆弱な単一のエントリポイントをエクスプロイトしようとします。エントリポイントが侵害されると、脅威はデバイス全体に数秒で水平拡散する可能性があります。Cisco SD-Access ソリューションのような、きめ細かいネットワーク セグメンテーションを行うことが、この種の脅威の水平拡散を防ぐためには推奨されます。従来の OT ネットワークには、無人搬送車（AGV）、プログラマブル ロジック コントローラ（PLC）、さまざまな製造機器や監視デバイスなど、数千台の類似デバイスが含まれています。ネットワーク上のすべてのデバイスを見つけて識別することは、時間がかかり、面倒な作業です。Cisco AI エンドポイント分析 は、パッシブ ネットワーク テレメトリ モニタリングとネットワークのディープ パケット インスペクションを通じて、タイプ、製造元、通信プロトコル、およびポート別にデバイスを識別することで、この問題に対処します。

Cisco DNA Center はエンドポイントの分類属性も Cisco ISE と共有します。新しいデバイスがアイデンティティベースの認証を介してオンボーディングされると、製造元とタイプによって自動的に識別されて、適切なグループに追加されます。セキュリティポリシーの定義と適用は、個々のエンドポイントではなくグループに適用した方が簡単です。グループベースのポリシーは、エンドポイントによるセキュリティ侵害などの新たな状況に合わせて簡単に編集でき、ネットワーク全体にグローバルに適用できます。

ソリューションは、次の表に示すハードウェアとソフトウェアで検証されています。サポートされているハードウェアの完全なリストについては、「Cisco Software-Defined Access Compatibility Matrix」を参照してください。

以下のユースケースは、図 1 に示されているトポロジを使用して製造プロファイルに対して検証されています。

• サービスとネットワークの復元力

  • デュアル Cisco SD-Access ボーダーとデュアル コントロール プレーン ノード、ボーダー StackWise Virtual リンクとボーダー/エッジスタック、およびトランジットネットワークのデュアル トランジット コントロール プレーンにより、ネットワーク全体で高可用性を実現できます。フェールオーバーとネットワーク障害の回復が発生した場合、トラフィックフローの中断は生じないか、最小限である必要があります。

  • 管理者は、3 ノード高可用性モードで Cisco DNA Center を設定できます。Cisco DNA Center クラスタでサービスやノードの障害が発生した場合、ユーザーの介入なしでシステムが回復する必要があります。

  • Cisco ISE の分散展開モデルは、PAN、PSN、pxGrid サービスのフェールオーバーにより回復する必要があります。

  • 管理者は、Cisco ISE に到達できない場合にファブリックエッジに重要な VLAN を実装できます。

  • Cisco DNA Center は、オンデマンドまたはスケジュールに従い設定とデータをバックアップできます。バックアップファイルを Cisco DNA Center に復元して、以前の設定にロールバックできます。

• 機密性の高い OT ネットワークデータを保護する多層セキュリティの実装

  • 管理者は、ネットワークでの脅威の拡散を制限するために、ユーザー、ゲスト、モノのインターネット（IoT）デバイス、OT デバイスをそれぞれの論理ネットワークにセグメント化できます。

  • 管理者は、不正アクセスを防ぐために、有線およびワイヤレスのエンドポイントに対してクローズド認証オンボーディング（dot1x 認証）または MAC 認証バイパス（MAB）を有効にできます。

  • 管理者は、グループを作成し、ユーザーやエンドポイントを（アイデンティティに基づいて）グループに分け、グループ間のトラフィックを制御するグループベースのポリシーを定義できます。

  • 管理者は、工場のフロアに大規模なアクセス コントロール ポリシーを実装でき、クライアントのオンボーディング時にセキュリティグループ ACL（SGACL）がエッジデバイスに適切にインストールされます。

  • 管理者は、システムイベントが記録される監査ログを使用して Cisco DNA Center のアクティビティをモニターできます。監査ログには、発生したシステムイベント、発生した時刻と場所、イベントを開始したユーザーが含まれます。

  • 管理者は、Cisco DNA Center へのアクセス権限が異なる詳細なロールベースのユーザーを作成できます。

• シンプルな管理

  • Cisco DNA Center により、デバイスインベントリが一元管理され、ユーザーは IP アドレス、プロビジョニングステータス、ソフトウェアリリース、インベントリインサイトなどのデバイス情報を確認できます。

  • Cisco DNA Center では、管理者は、ソフトウェアイメージ管理（SWIM）機能を使用して、スイッチ、ルータ、拡張ノード、およびワイヤレスコントローラのゴールデンイメージをアップグレードできます。

  • Cisco DNA Center では、ファブリックボーダーとコントロールプレーンの RMA ワークフローにより、デバイスの交換がシームレスになります。

  • サイトのボーダーの L3 ハンドオフによる VLAN の消費の最適化により、拡張マルチサイト環境における VLAN の割り当ての柔軟性が管理者にもたらされます。

  • LAN 自動化の重複プールオプションにより、アンダーレイネットワークの異なるファブリックサイト間で同じアドレスを再利用でき、IP アドレスの使用が大幅に最適化されます。

• ネットワーク サービス

  • 管理者は、Cisco SD-Access ファブリックエンドポイントをサポートすることを目的としたレイヤ 2 専用 VN 機能を実装できます。セキュリティ上の理由から、ファブリックの外部に存在するネットワークに対する厳密なエントリポイント（ファイアウォールを経由するなど）があります。

  • 管理者は、拡張ノードを使用してネットワーク障害の回復時間が 50 ms 未満となる冗長性を実現でき、ファブリックサイトの Resilient Ethernet Protocol（REP）リングを設定できます。

  • 管理者は、ファブリックサイト内のブロードキャスト、不明なユニキャスト、マルチキャスト（BUM）トラフィックだけでなく、サイレント OT デバイスを処理する L2 フラッディングを有効にできます。

• Cisco DNA アシュアランス と Cisco AI エンドポイント分析 を使用したネットワークとクライアントのモニター

  • 管理者は、Cisco DNA アシュアランス を使用してネットワークの正常性をモニターして、ネットワークの問題を特定できます。Cisco DNA アシュアランス は、リンクのダウン、AP のダウン、スイッチスタックメンバーのダウンなど、さまざまなネットワーク障害に起因する問題を報告できます。

  • 管理者は、Cisco DNA アシュアランス を使用して有線クライアントとワイヤレスクライアントの正常性をモニターし、クライアントのオンボーディングの問題を特定できます。

  • 管理者は、テレメトリデータロガー（TDL）ベースのアシュアランスを有効にして、クライアントの正常性を報告する際のスケールとパフォーマンスを向上できます。

  • 管理者は、多数の同時エンドポイントをモニターできます。アシュアランスチャートには、100,000 の同時エンドポイントと 250,000 の一時エンドポイントの情報が表示されます。

  • 管理者は、Cisco AI エンドポイント分析 を使用して、エンドポイントと IoT デバイスを識別およびプロファイリングできます。

  • 管理者は、ワイヤレスセンサーを使用してワイヤレスネットワークのパフォーマンスをモニターできます。

  • 管理者は、アプリケーションテレメトリを有効にし、Cisco DNA アシュアランス を使用して、遅延、ジッター、パケットドロップに関するアプリケーションの正常性をモニターできます。

  • 管理者は、既存のエンドポイント間の通信を可視化して、新しいアクセス制御の導入の必要性と影響を評価できます。

  • 管理者は、グループベースのポリシー分析機能を使用して、マイクロセグメンテーション ポリシーを作成および実装できます。

ソリューションのテストでは、次の表に示すスケールについて確認しました。ハードウェアキャパシティについては、Cisco DNA Center のデータシートを参照してください。

• Cisco SD-Access Solution Design Guide (Cisco Validated Design)

• Cisco Software-Defined Access for Distributed Campus Prescriptive Deployment Guide

• Cisco Software-Defined Access Compatibility Matrix