Was ist ein „ SASE “-Gateway?

Ein „ SASE “-Gateway ist ein „ Versa “-Gateway – das entweder in der Cloud unter Versa gehostet oder als kundeneigene bzw. MSP-eigene Appliance bereitgestellt wird –, das Tunnel zu Remote-Benutzern und zwischen Standorten terminiert, Sicherheitsrichtlinien wie TLS-Entschlüsselung, Virenschutz, IPS und URL-Filterung durchsetzt und den Zugriff zwischen „ SASE “-Clients und privaten oder Internet-Zielen vermittelt.

Die wichtigsten Erkenntnisse

• Beendet Remote-Benutzer- und Site-to-Site-Tunnel und setzt Sicherheitsrichtlinien durch.
• Wird als von „ Versa “ gehostetes Cloud-Gateway oder als kundeneigenes privates Gateway bereitgestellt.
• Die Service-Stufen legen fest, welche Sicherheitsdienste und Tunnelmodi verfügbar sind.
• Multitenant-Cloud-Gateways verbinden Geräte in Zweigstellen in einem SD-WAN-Full-Mesh-Netzwerk.
• Private Gateways laufen auf CSG700-, CSG1000-, CSG2500-, CSG5000- und vCSG-Hardware.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · SASE Gateway-Bereitstellungsmodelle · SASE Gateway & Versa · Häufig gestellte Fragen

Warum ist ein „ SASE “-Gateway wichtig?

Ein „ SASE “-Gateway ist der Punkt, an dem das Versprechen von „ SASE“ – einheitliche Sicherheit, unabhängig davon, wo sich ein Benutzer oder ein Standort verbindet – tatsächlich umgesetzt wird. Remote-Benutzer, Zweigstellen und private Anwendungen erreichen einander alle über dasselbe Gateway, sodass dieselben Richtlinien für Firewall, TLS-Entschlüsselung, Virenschutz, IPS und URL-Filterung sowohl einen Laptop im Netzwerk eines Hotels als auch einen Site-to-Site-Tunnel zu einem Rechenzentrum gleichermaßen schützen – ohne separate Geräte oder separate Regelsätze, die synchronisiert werden müssen.

Auch aus betrieblicher Sicht spielt dies eine Rolle. Da die Cloud-Gateways von Versamandantenfähig sind und in Rechenzentren in verschiedenen Regionen gehostet werden, kann ein Anbieter einen neuen Kunden online schalten, ohne Hardware einrichten zu müssen – es reicht, eine Service-Stufe zu bestellen, und schon wird ein Mandant auf dem gemeinsam genutzten Gateway instanziiert. Wenn Compliance- oder Datenstandortanforderungen dies erfordern, wird dieselbe Architektur stattdessen als privates Gateway auf kundeneigener Hardware bereitgestellt, sodass sich das Sicherheitsmodell auch dann nicht ändert, wenn sich das Hosting-Modell ändert.

Was ist ein „ SASE “-Gateway?

Ein „ SASE “-Gateway befindet sich zwischen „ SASE “-Clients, Filialgeräten und deren Zielorten und vermittelt jede Verbindung anhand von Richtlinien, anstatt sie direkt weiterzuleiten. Remote-Benutzer erreichen es über „ Versa Secure Private Access“ (VSPA) für private Anwendungen und „ Versa Secure Internet Access“ (VSIA) für den allgemeinen Internetverkehr; Filialgeräte erreichen es als SD-WAN-Peer, der zusammen mit anderen Gateways und Standorten in einem Full-Mesh-Netzwerk verbunden ist. Firewall-, Steering- und Sicherheitsregeln werden pro SD-WAN-, Internet- und Secure-Web-Gateway-Zone definiert.

Welche Dienste ein Gateway tatsächlich bereitstellt, hängt von seiner Servicestufe ab. Die „Essential“-Stufe ist die einfachere Variante – in der Regel umfasst sie eine Firewall und URL-Filterung oder Split-Tunnel-Routing, bei dem nur bestimmter Datenverkehr zum Gateway umgeleitet wird. Die „Professional“-Stufe bietet den vollständigen Funktionsumfang – Virenschutz, IPS und TLS-Entschlüsselung – sowie Full-Tunnel-Routing, bei dem der gesamte Client-Datenverkehr verschlüsselt und über das Gateway geleitet wird.

SASE Gateway-Bereitstellungsmodelle

Es gibt zwei Bereitstellungsmodelle. Das Cloud-Gateway wird v Versa-gehostet und ist mandantenfähig: Ein MSP, Reseller oder Anbieter bestellt es über das Titan -Portal, und Versa unterhält die zugrunde liegende Infrastruktur in Rechenzentren in den USA, Japan und Europa. Die Einrichtung eines neuen Kunden ist ein Lizenzvorgang und keine Hardware-Bereitstellung.

Das private „ SASE “-Gateway wird auf Hardware im Besitz des Kunden oder eines MSP bereitgestellt – den Serien CSG700, CSG1000, CSG2500 und CSG5000 sowie den virtuellen cCSG- und vCSG-Appliances – für Unternehmen, die das Gateway in ihrer eigenen Infrastruktur benötigen. Ein privates Gateway wird mit einer Standortrolle (Hub, Hub-Controller, Spoke oder Full-Mesh), vor der Aktivierung festgelegten WAN- und LAN-Schnittstellen sowie – zur Gewährleistung der Hochverfügbarkeit – einem VRRP-gestützten LAN mit einem IP-SLA-Monitor zur Überprüfung der Erreichbarkeit konfiguriert. Ports und VLANs können nach der Aktivierung des Gateways nicht mehr neu zugewiesen werden, daher muss die Schnittstellenplanung im Vorfeld erfolgen.

SASE Gateway & Versa

Die Bereitstellung erfolgt über das Portal „ Titan “, wo ein MSP, ein Store-Administrator oder ein Reseller-Anbieter eine Site erstellt, die Gerätekonfiguration des Gateways zusammenstellt, diese auf dem Controller-Knoten bereitstellt und die Appliance aktiviert – die vollständige Vorgehensweise finden Sie unter „Konfigurieren und Aktivieren von SASE -Gateway-Geräten“. Die Bestellung eines Cloud-Gateway-Dienstes oder einer privaten Gateway-Lizenz für einen Mandanten, einschließlich der Auswahl von Service-Stufen und Bandbreiten, wird im MSP-Bestellmanagement-Ablauf unter „Titan -Bestellmanagement für MSPs“ behandelt.

Bei privaten Gateways müssen zudem nach der Aktivierung VSA-Zertifikate (Versa Secure Access) hochgeladen werden, bevor ein MSP Mandanten auf dem Gerät anlegen kann; Titan kopiert die Zertifikate anschließend automatisch in jeden Mandanten. Titan Portal 9.1.1 dokumentiert diesen Zertifikats-Workflow sowie die Konfiguration von Firewall- und Steering-Regeln sowohl für Cloud- als auch für private SASE Gateways.

Häufig gestellte Fragen

Was ist der Unterschied zwischen einem Cloud- SASE -Gateway und einem privaten SASE -Gateway?

Ein Cloud-Gateway ist ein mandantenfähiges Infrastruktur Versa , das in seinen eigenen Rechenzentren gehostet und gewartet wird; die Bestellung erfolgt im Rahmen eines Lizenzierungsprozesses im „ Titan “-Portal. Ein privates Gateway läuft auf CSG-Hardware, die sich im Besitz des Kunden oder eines MSP befindet, und bietet einer Organisation aus Compliance- oder Konnektivitätsgründen die Möglichkeit, das Gateway auf ihrer eigenen Infrastruktur zu betreiben.

Was ist der Unterschied zwischen den Servicestufen „Essential“ und „Professional“?

Die „Essential“-Variante umfasst in der Regel Firewall- und URL-Filterung sowie Split-Tunnel-Routing, bei dem nur ausgewählter Datenverkehr das Gateway erreicht. Die „Professional“-Variante bietet zusätzlich Virenschutz, IPS und TLS-Entschlüsselung sowie Full-Tunnel-Routing, bei dem der gesamte Client-Datenverkehr verschlüsselt und zur Überprüfung über das Gateway geleitet wird.

Was sind VSIA und VSPA?

Versa „Secure Internet Access“ (VSIA) und „ Versa Secure Private Access“ (VSPA) sind die beiden Dienste, die ein „ SASE “-Gateway vermittelt: VSIA sichert den allgemeinen Internetverkehr, während VSPA den Zugriff auf private Anwendungen sichert. Ein einziges Gateway kann beide Dienste für denselben Mandanten bereitstellen.

Können die Schnittstellen eines privaten „ SASE “-Gateways nach der Aktivierung geändert werden?

Nein. LAN- und WAN-Ports, VLAN-Tagging und Schnittstellenzuweisungen müssen vor der Aktivierung endgültig festgelegt werden. Sobald ein privates Gateway aktiviert ist, können Sie keine LAN- oder WAN-Schnittstellen mehr hinzufügen, löschen oder neu zuweisen; um diese Änderungen vorzunehmen, muss das Gateway zunächst deaktiviert werden.

Werden Filialgeräte direkt oder über die SD-WAN-Struktur mit den „ SASE “-Gateways verbunden?

Über das Netzwerk. Die Geräte in den Zweigstellen werden im Rahmen des SD-WAN-Full-Mesh-Netzwerks automatisch mit den verfügbaren Gateways verbunden, und Administratoren legen Steuerungs- und Firewall-Regeln pro Zone fest – SD-WAN, Internet oder Secure Web Gateway –, anstatt einzelne Zweigstellen auf ein einziges Gateway zu verweisen.

Mehr zum „ SASE “-Gateway

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über „ SASE “-Gateways informieren, sollten Sie sich diese als Nächstes einmal ansehen.