Was ist VCG?

Versa Cloud Gateway (VCG) ist ein von „ Versa “ gehostetes „ SASE “-Gateway, das Verbindungen von „ SASE “-Clients und -Niederlassungen terminiert und Authentifizierung, ZTNA-basierten Anwendungszugriff, sicheren Internetzugang sowie SD-WAN-Overlay-Konnektivität für Remote-Benutzer und -Standorte bereitstellt. Einem einzelnen Mandanten können mehrere logisch isolierte VCGs zugewiesen werden.

Die wichtigsten Erkenntnisse

• VCG ist das in der Cloud gehostete Gateway von „ Versa“ für „ SASE “-Clients und Filialtunnel.
• Beendet den Zugriff auf die ZTNA-App, den sicheren Internetzugang und den SD-WAN-Overlay-Datenverkehr.
• Ein Mandant kann mehrere isolierte VCGs betreiben, von denen jede über eigene IP-Pools verfügt.
• Stellt über Site-to-Site-IPsec und BGP eine Verbindung zu SD-WAN-Zweigstellen und -Hubs her.
• Über die Concerto-Benutzeroberfläche unter Versa konfiguriert und an Gateways veröffentlicht.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · VCG-Bereitstellungsmodelle · VCG und die „ VersaONE “-Plattform · Häufig gestellte Fragen

Warum ist VCG wichtig?

Unified SASE vereint WAN Edge (SD-WAN) und Security Service Edge (SSE) in einer Architektur, und der in der Cloud gehostete Teil dieser Kombination muss irgendwo untergebracht werden. VCG ist dieser Ort: ein von „ Versa “ betriebenes Gateway, das „ SASE “-Clients, Site-to-Site-Tunnel zwischen Zweigstellen und den Internetverkehr terminiert, sodass Remote-Mitarbeiter und Zweigstellen die gleiche Richtliniendurchsetzung erhalten, unabhängig davon, ob die SSE-Seite vor Ort oder in der Cloud von „ Versa“ betrieben wird.

VCG ist auch deshalb von Bedeutung, weil es Multi-Tenant- SASE en in großem Maßstab praktikabel macht. Jedem Mandanten kann ein eigenes, logisch isoliertes VCG – oder auch mehrere – mit dedizierten Adresspools, Bandbreite und Verschlüsselungseinstellungen zugewiesen werden, ohne dass ein Anbieter für jeden Kunden eine separate Infrastruktur einrichten muss. Für Managed-Service-Provider ist VCG die Ressource, auf die dedizierte oder gemeinsam genutzte MSP-Gateway-Typen tatsächlich verweisen.

Was ist VCG?

VCG ist eine von „ Versa “ gehostete Appliance, auf der das Betriebssystem „ Versa “ (VOS) läuft und die über Versa Networks verwaltet wird – und zwar auf einem Headend, das von den durch „ Versa Director“ verwalteten Zweigstellen und Controllern des Kunden getrennt ist. Sie dient als Endpunkt für zwei Arten von Verbindungen: „ SASE “-Clients (Remote-Benutzer, die den Client von Versa SASE ausführen) und Site-to-Site-Tunnel von SD-WAN-Zweigstellen oder SSE-Hubs, in der Regel über IPsec oder GRE mit EBGP für dynamisches Routing.

VCGs arbeiten im passiven IKE-Modus – sie initiieren niemals einen Site-to-Site-Tunnel, sodass die VOS-Niederlassung oder der SSE-Hub am anderen Ende stets der Initiator sein muss. Die Konnektivität wird über „ Versa “ Concerto, das die VCG-Seite verwaltet, und „ Versa “ Director, das die Niederlassungs- oder Hub-Seite verwaltet, konfiguriert; beide müssen sich hinsichtlich der IKE- und IPsec-Parameter, der Tunneladressierung sowie der EBGP-AS-Nummern und -Richtlinien abstimmen. Die symmetrische Weiterleitung auf Layer 3 ist auf VCGs standardmäßig aktiviert, wodurch die Datenpfade in beide Richtungen konsistent bleiben.

VCG-Bereitstellungsmodelle

Ein „ SASE “-Mandant erhält automatisch eine Standard-VCG mit dem Namen „tenant-name-Enterprise“, sofern keine explizit konfiguriert wurde. Unternehmen mit komplexeren Anforderungen können stattdessen mehrere VCGs pro Mandant konfigurieren; da separate VCGs keine Informationen austauschen, kann jede einzelne denselben Client-Adresspoolnamen und sogar überlappende IP-Bereiche wiederverwenden, und Administratoren weisen Gateway-Gruppen und Regionen pro VCG zu.

Bei Managed-Service-Anbietern haben MSP-Mandanten die Wahl zwischen zwei Gateway-Typen: „Shared“, bei dem der MSP-Mandant keine Gateways besitzt und seine Untermandanten Zugriff auf die VCGs des übergeordneten Mandanten erhalten, und „Dedicated“, bei dem die eigenen VCGs des MSP-Mandanten direkt auf Director bereitgestellt und anschließend von Concerto erkannt werden.

Wenn eine VCG eine Verbindung zu einem lokalen SD-WAN-SSE-Hub herstellt, gibt es für den Datenverkehrspfad selbst zwei Modelle: „Active-Standby“, bei dem der Datenverkehr durch BGP-AS-Path-Prepending und Community-Tagging zu einer bevorzugten VCG geleitet wird, mit Failover zu einer Backup-VCG, und „Active-Active“, bei dem EBGP-Pfade mit gleichen Kosten und die standardmäßige symmetrische Layer-3-Weiterleitung den Datenverkehr gleichmäßig auf beide verteilen.

VCG und die Plattform „ VersaONE “

VCG befindet sich auf der Cloud-Seite einer „ SASE “-Bereitstellung und wird über Versa Concerto statt über Versa Director bereitgestellt und verwaltet. In Concerto erstellen Administratoren SASE -Mandanten, weisen pro Region eine oder mehrere VCGs zu, konfigurieren Client-Adresspools und veröffentlichen die daraus resultierende Konfiguration an die Gateways. Versa Director ist weiterhin für das andere Ende der Verbindung zuständig – die VOS-Zweigstellen und SD-WAN-SSE-Hubs, deren Site-to-Site-Tunnel an einem VCG enden.

VCG ist außerdem mit der „Advanced Security Cloud“ von Versaverbunden: Mandanten mit ATP/DLP-, clientlosem Zugriffs- oder Remote-Browser-Isolations-Add-ons, die im Rahmen der Einrichtung des „SASE “-Mandanten konfiguriert wurden, geben Details zu ihren Cloud-Instanzen an ihre VCGs weiter, damit das Gateway den Datenverkehr zur Sandbox-Prüfung an diese Dienste weiterleiten kann. Die pro „ SASE “-Mandant konfigurierte Protokollierung – Firewall-, Web-, DNS- und CGNAT-Protokolle – wird vom VCG an „ Versa Analytics“ oder den „Advanced Logging Service“ weitergeleitet.

Häufig gestellte Fragen

Was ist der Unterschied zwischen einem VCG- und einem VOS-Zweig?

Eine VOS-Zweigstelle ist ein Standort beim Kunden oder ein virtuelles Gerät, das über „ Versa Director“ verwaltet wird und vom Unternehmen oder dessen Anbieter gehostet wird. Ein VCG ist das cloudseitige Gegenstück: eine von „ Versa “ gehostete und über „ Versa “ verwaltete Appliance an einem separaten Kopfende, die über Concerto konfiguriert wird und die Site-to-Site-Tunnel der Zweigstelle sowie die „ SASE “-Client-Verbindungen abschließt.

Wie viele VCGs kann ein Mieter haben?

Einem Mandanten können eine oder mehrere logisch voneinander isolierte VCGs zugewiesen werden. Wenn keine explizit konfiguriert ist, legt Concerto eine Standard-VCG an, die nach dem Mandanten benannt ist. Da separate VCGs keine Informationen austauschen, können mehrere VCGs desselben Mandanten sogar identische Namen für Client-Adresspools und IP-Bereiche wiederverwenden.

Wer initiiert den Site-to-Site-Tunnel zwischen einem VCG und einer Zweigstelle?

VCGs arbeiten im passiven IKE-Modus und initiieren niemals einen Site-to-Site-Tunnel. Die VOS-Niederlassung oder der SD-WAN-SSE-Hub am anderen Ende muss immer der Initiator sein; eine ebenfalls im passiven Modus konfigurierte Niederlassung sorgt dafür, dass der Tunnel dauerhaft nicht aufgebaut wird.

Was ist der Unterschied zwischen „Active-Standby“- und „Active-Active“-VCG-Datenpfaden?

Beim Active-Standby-Modus kommen BGP-AS-Path-Prepending und Community-Tagging zum Einsatz, sodass der Datenverkehr einem VCG bevorzugt zugewiesen wird und bei dessen Ausfall automatisch auf ein Backup umgeschaltet wird. Beim Active-Active-Modus werden EBGP-Pfade mit gleichen Kosten und die standardmäßige symmetrische Layer-3-Weiterleitung genutzt, um den Datenverkehr gleichzeitig auf zwei VCGs zu verteilen.

Was ist der Unterschied zwischen einem gemeinsam genutzten und einem dedizierten VCG für einen MSP-Mandanten?

Ein gemeinsamer MSP-Mandant besitzt selbst keine VCGs; seine Untermandanten erhalten Zugriff auf die Gateways des übergeordneten Mandanten. Ein dedizierter MSP-Mandant verfügt über eigene VCGs, die direkt in „ Versa Director“ bereitgestellt und anschließend von Concerto erkannt werden, sodass seine Untermandanten ausschließlich Zugriff auf diese Gateways haben.

Mehr über VCG

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über VCG informieren, sollten Sie sich als Nächstes diese Artikel ansehen.