Was ist Secure SD-LAN?

Secure SD-LAN ist die softwaredefinierte Architektur v Versafür lokale Netzwerke auf Campus- und Zweigstellenebene, die Switching, Routing und Sicherheit in einem System vereint. Sie wendet Zero-Trust-Zugriffskontrolle und Mikrosegmentierung über sichere Switches und WLAN-Zugangspunkte hinweg an und erweitert damit den gleichen Schutz vor Ort, den Unternehmen bereits für den Fernzugriff nutzen, auf das physische LAN selbst.

Die wichtigsten Erkenntnisse

• Secure SD-LAN ist die LAN-Komponente der Zero-Trust-LAN-Architektur (ZT-LAN) von „ Versa“.
• Bietet Mikrosegmentierung und Zero-Trust-Zugriffskontrolle am LAN-Rand.
• Läuft unter VOS auf den sicheren Switch-Familien CSX4000 und CSX8000.
• In Kombination mit ZT Edge ergibt sich eine vollständige ZTNA-Lösung für den Einsatz vor Ort.
• Die Verwaltung erfolgt wie beim restlichen VOS über „ Versa “, „Director“, „Concerto“ und „Analytics“.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Sichere SD-LAN-Komponenten · Secure SD-LAN und die „ VersaONE “-Plattform · Häufig gestellte Fragen

Warum ist Secure SD-LAN wichtig?

Ältere Campus- und Zweigstellen-LANs wurden für eine Welt entwickelt, in der Mitarbeiter an einem Schreibtisch über eine kabelgebundene Verbindung arbeiteten. Dieses Modell versagt bei einer hybriden Belegschaft: Ältere LAN-Geräte verfügen nicht über umfassende integrierte Sicherheitsfunktionen, bieten keinen wirklichen Schutz vor East-West-Angriffen zwischen Geräten im selben Netzwerk und können keinen echten softwaredefinierten Perimeter gewährleisten. Layer-2-Switching bringt eigene Einschränkungen mit sich – einzelne aktive Pfade, langsame Konvergenz und herstellerspezifische Technologien –, während Switching, WLAN, WAN-Edge und Sicherheit in der Regel als separate, isolierte Tools verwaltet werden, deren Betrieb komplex ist und die anfällig für Interoperabilitätsprobleme sind.

Secure SD-LAN wurde entwickelt, um diese Lücke zu schließen. Es überträgt das Zero-Trust-Modell, das Unternehmen bereits für Remote-Benutzer anwenden – zuerst überprüfen, nichts implizit vertrauen –, auf den physischen Campus und das Filialnetzwerk, und zwar mit einer Mikrosegmentierung, die so fein abgestuft ist, dass ein kompromittierter Laptop, ein IoT-Sensor oder ein nicht verwaltetes Gerät isoliert werden kann, ohne den Rest des LANs zu beeinträchtigen.

Was ist Secure SD-LAN?

Secure SD-LAN ist neben ZT Edge (das den softwaredefinierten Perimeter und die ZTNA-Durchsetzung vor Ort bereitstellt) eine von zwei Komponenten der ZT-LAN-Lösung von Versa. Während sich ZT Edge auf die Zulassung und Überprüfung von Benutzern und Geräten konzentriert, ist Secure SD-LAN die softwaredefinierte Campus- und Zweigstelleninfrastruktur selbst: eine standardbasierte Switching- und Zugangsinfrastruktur mit integrierter Mikrosegmentierung, sodass Geräte nach Typ, Sicherheitsstatus oder Zustand isoliert werden können, anstatt sich allein auf grobe VLAN-Grenzen zu verlassen.

Beide Komponenten laufen auf dem Betriebssystem „ Versa “ (VOS), das über den „Director-Controller-Analytics“-Komplex (DCA) bereitgestellt wird, wobei „ Versa Concerto“ ein einziges Portal bereitstellt, über das SD-LAN, Sicherheit und SD-WAN gemeinsam verwaltet werden. Ein charakteristisches Merkmal des Modells ist die Richtlinienmobilität: Sobald ein Gerät zugelassen und eine Sicherheitsrichtlinie angewendet wurde, folgt diese Richtlinie dem Gerät auf dem gesamten Campus, unabhängig davon, über welchen Switch-Port oder welchen WLAN-Zugangspunkt es sich als Nächstes verbindet.

Sichere SD-LAN-Komponenten

Secure SD-LAN läuft auf zwei Produktfamilien der „ Versa “ Cloud Services Switches (CSX), die jeweils einen handelsüblichen Ethernet-Switch-Chipsatz mit einem x86-Prozessorsubsystem kombinieren, um Richtlinien mit Leitungsgeschwindigkeit durchzusetzen. Die CSX4000-Serie – bestehend aus dem CSX4300 und dem CSX4500 – ist für den LAN-Rand und die Zugriffsebene ausgelegt und bietet eine hohe PoE++-Portdichte (bis zu 48 Ports) für Endgeräte wie Telefone, Kameras und Access Points. Die CSX8000-Serie – bestehend aus dem CSX8300 und dem CSX8500 – übernimmt Aggregations- und Core-Funktionen an Campus- oder Rechenzentrumsstandorten und verfügt über bis zu 32 QSFP28-100-Gigabit-Ethernet-Ports sowie eine Switching-Kapazität im Multi-Terabit-Bereich. WLAN-Access-Points erweitern diese Durchsetzung auf drahtlose Clients.

Für Brownfield-Standorte, an denen ein Austausch bestehender Switches und Access Points nicht praktikabel ist, bietet Versa stattdessen eine ZT-LAN-Appliance zur Durchsetzung von Richtlinien an: Der gesamte LAN-Datenverkehr von Drittanbietern wird zur Durchsetzung des Zero-Trust-Konzepts über diese Appliance geleitet. Diese Bereitstellung verzichtet zwar auf einen Teil der Ost-West-Transparenz, die eine native VOS-Edge-Bereitstellung bietet, gewährleistet aber dennoch einheitliche Richtlinien, Transparenz über eine einzige Oberfläche und eine geringere Komplexität im Vergleich zu isolierten Legacy-Tools.

Secure SD-LAN und die „ VersaONE “-Plattform

Innerhalb von „ VersaONE “ gehört Secure SD-LAN neben „ Secure SD-WAN “, SSE und der Next-Generation-Firewall zu den konvergenten Diensten, die die Plattform über einen einzigen VOS-Software-Stack bereitstellt. Es nutzt dieselbe Verwaltungsebene wie alle anderen Dienste von „ VersaONE “: „ Versa Director“ für Konfiguration und Vorlagen, „ Versa Concerto“ für das einheitliche Portal und „ Versa Analytics“ für Netzwerk- und Sicherheitstelemetrie. Kommerziell wird „Secure SD-LAN“ getrennt von „ Secure SD-WAN “ und der eigenständigen NGFW lizenziert – ein Kunde kann „ Secure SD-WAN “, „Secure SD-LAN“ oder beides auf demselben „ Versa “-Headend bereitstellen, ohne zweimal für Orchestrierungskapazität bezahlen zu müssen.

Häufig gestellte Fragen

Was ist der Unterschied zwischen Secure SD-LAN und ZT Edge?

Dies sind die beiden Komponenten der ZT-LAN-Lösung von Versa. Secure SD-LAN ist die softwaredefinierte Switching- und Access-Fabric mit Mikrosegmentierung; ZT Edge ist die lokal installierte ZTNA-Schicht, die Benutzer und Geräte authentifiziert und zulässt. Unternehmen können beide Komponenten entweder unabhängig voneinander oder gemeinsam als vollständiges ZT-LAN einsetzen.

Auf welcher Hardware läuft Secure SD-LAN?

Versa Cloud-Services-Switches: die CSX4000-Serie (CSX4300, CSX4500) für LAN-Edge und -Zugang sowie die CSX8000-Serie (CSX8300, CSX8500) für Aggregations- und Core-Funktionen. WLAN-Access-Points wenden dieselben Richtlinien auch auf drahtlose Clients innerhalb derselben Campus-Struktur an.

Kann Secure SD-LAN eingesetzt werden, ohne dass vorhandene Switches ausgetauscht werden müssen?

Ja. Bei Bestandsstandorten kann ein Gerät zur Durchsetzung der Zero-Trust-Richtlinien von Versa in das bestehende LAN eingebunden werden, sodass der Datenverkehr von Switches und Access Points von Drittanbietern zur Durchsetzung über dieses Gerät geleitet wird; allerdings bietet dies weniger East-West-Transparenz als native VOS-Switches am Netzwerkrand.

Benötigt Secure SD-LAN „ Secure SD-WAN “?

Nein. Secure SD-LAN, „ Secure SD-WAN “ und NGFW werden als separate Lösungsreihen lizenziert und bereitgestellt, die dieselbe „ Versa “-Headend- und VOS-Software nutzen. Ein Kunde kann Secure SD-LAN eigenständig, „ Secure SD-WAN “ eigenständig oder beide zusammen betreiben.

Was geschieht mit den Sicherheitsrichtlinien, wenn sich ein Gerät auf dem Campus bewegt?

Die Richtlinie gilt für das jeweilige Gerät. Sobald ein Gerät oder ein Benutzer identifiziert und mit einem bestimmten Sicherheitsstatus zugelassen wurde, gilt dieselbe Richtlinie unabhängig davon, über welchen kabelgebundenen Port oder welchen WLAN-Zugangspunkt die Verbindung als Nächstes hergestellt wird, ohne dass bei jedem neuen Verbindungspunkt eine manuelle Neukonfiguration oder erneute Authentifizierung erforderlich ist.

Mehr zum Thema „Secure SD-LAN“

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über Secure SD-LAN informieren, sollten Sie sich als Nächstes diese Artikel ansehen.