Was ist der „ Versa “-Staging-Server?

Der „ Versa “-Staging-Server ist ein in der Cloud gehosteter Knoten, der neue Geräte in den Zweigstellen während der Zero-Touch-Bereitstellung initialisiert und authentifiziert. Er überprüft das mit „ Versa “ signierte Zertifikat jedes Geräts, sendet eine Staging-Konfiguration und leitet das Gerät an den „ Versa “-Controller weiter – danach hat die Zweigstelle keinen weiteren Kontakt mehr mit ihm.

Die wichtigsten Erkenntnisse

• Richtet neue Zweigstellengeräte im Rahmen der Zero-Touch-Bereitstellung (ZTP) ein.
• Überprüft vor der Übergabe das von „ Versa “ signierte Zertifikat jedes Geräts.
• Leitet das Gerät an den „ Versa “-Controller weiter und tritt dann in den Hintergrund.
• Gehostet von Versa Networks oder von einem Dienstleister – das ist optional.
• Global ZTP nutzt diese Funktion; URL-, mobil- und CLI-basierte ZTP-Methoden umgehen sie.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · So funktioniert der „ Versa “-Staging-Server · Versa Staging-Server und die „ VersaONE “-Plattform · Häufig gestellte Fragen

Warum ist der Staging-Server „ Versa “ wichtig?

Ein Filialgerät wird oft an einen Standort geliefert, an dem kein Netzwerktechniker vor Ort ist – beispielsweise an ein Einzelhandelsgeschäft, ein kleines Büro oder ein abgelegenes Lager. Die Zero-Touch-Bereitstellung hängt davon ab, dass sich das Gerät selbst initialisiert, doch dies ist nur dann vertrauenswürdig, wenn das Netzwerk zuvor bestätigt, dass das Gerät den richtigen Kunden erreicht hat und während des Transports nicht abgefangen oder ausgetauscht wurde. Genau das ist die Aufgabe des Staging-Servers: Er überprüft anhand des mit dem werkseitigen „ Versa “ signierten Zertifikats sowie einer PKI- oder Pre-Shared-Key-Authentifizierung, ob ein versendetes VOS-Gerät von der richtigen Person empfangen wurde, bevor ihm eine Produktionskonfiguration übergeben wird.

Genau dieser Verifizierungsschritt macht Global ZTP zu einer wirklich automatisierten Lösung. Ein Installateur schließt ein fabrikneues Gerät an, und das Gerät verbindet sich von selbst mit dem Staging-Server, authentifiziert sich und wird weitergeleitet – ganz ohne CLI-Sitzung, ohne manuelle Eingabe von Anmeldedaten und ohne Aktivierungs-URL, auf die man klicken muss.

Was ist der „ Versa “-Staging-Server?

Der Staging-Server ist ein in der Cloud gehosteter Knoten, der für das anfängliche Bootstrapping und die Registrierung von Filialgeräten in SD-WAN-Bereitstellungen zuständig ist; Versa Networks kann ihn hosten, oder ein Dienstanbieter kann einen eigenen betreiben. Neue Filialgeräte werden mit vorinstallierter VOS-Software und einem von Versa signierten Zertifikat ausgeliefert, das im Trusted Platform Module des Geräts gespeichert ist. Beim ersten Start öffnet das Filialgerät einen IPsec-Tunnel zum Staging-Server und sendet eine Staging-Anfrage, die dieses Zertifikat enthält.

Der Staging-Server überprüft das Zertifikat und sendet eine Staging-Konfiguration zurück. Diese Konfiguration führt einen Neustart des Geräts durch, baut einen IPsec-Tunnel von der Zweigstelle zum „ Versa “-Controller auf und leitet die Zweigstelle dorthin weiter, um den Onboarding-Vorgang fortzusetzen – danach hat die Zweigstelle keinen weiteren Kontakt mehr zum Staging-Server. Während dieser Übergabe wird das werkseitige Zertifikat durch ein Zertifikat des Netzwerkbetreibers ersetzt, sodass das Gerät schließlich vollständig unter der Kontrolle der richtigen Organisation steht.

So funktioniert der Staging-Server von „ Versa “

Die Einbindung erfolgt schrittweise. Vorab-Anbindung des VPN: Wenn ein neues VPN bereitgestellt wird, erfasst der Staging-Server die zugehörigen Gerätegruppen sowie die Kontaktdaten der Zertifizierungsstelle und der aktiven bzw. Standby-Controller. Vorab-Anbindung des Geräts: Vor dem Versand wird das VOS-Gerät anhand seiner Seriennummer und seines Zertifikats auf dem Staging-Server registriert und mit der Adresse des Staging-Servers vorkonfiguriert; bei Ankunft wird es an das lokale Netzwerk angeschlossen, erreicht den Staging-Server über DHCP, und mittels PKI oder eines vorab vereinbarten Schlüssels in Verbindung mit einer Zwei-Faktor-Authentifizierung wird sichergestellt, dass der richtige Empfänger das Gerät erhalten hat. Anschließen: Das Gerät kontaktiert anschließend die Zertifizierungsstelle (CA), um sein Zertifikat auszutauschen, öffnet seinen Control-Plane-Tunnel zum „ Versa “-Controller und ruft seine tatsächliche Konfiguration vom „ Versa Director“ ab. Wird ein Gerät stattdessen bereits mit den Adressen der Zertifizierungsstelle und des Controllers vorkonfiguriert versendet, wird der Staging-Server vollständig umgangen – dies ist der Weg, den Nicht-Global-ZTP-Methoden nutzen.

Versa Staging-Server und die „ VersaONE “-Plattform

Innerhalb der „ Versa “-Headend-Komponenten – Controller, Director und Analytics – ist der Staging-Server kein fester Bestandteil; er dient lediglich als Einstiegspunkt, der ausschließlich während des Onboardings genutzt wird. Sobald ein Zweigstellengerät authentifiziert und weitergeleitet wurde, bindet der „ Versa “-Controller es in die SD-WAN-Steuerungsebene ein, und der „ Versa “-Director überträgt seine tatsächliche Konfiguration über Netconf, während Analytics mit der Erfassung der Telemetriedaten beginnt. Damit ist die Aufgabe des Staging-Servers beendet: Er greift niemals auf laufende Richtlinien, das Routing oder die Überwachung zu, und ein bereits angeschlossenes Gerät kehrt nicht mehr zu ihm zurück.

Häufig gestellte Fragen

Was ist der Unterschied zwischen dem „ Versa “-Staging-Server und dem „ Versa “-Controller?

Der Staging-Server führt lediglich die Erstkonfiguration eines brandneuen Geräts durch: Er überprüft das Werkszertifikat und übergibt das Gerät anschließend. Der „ Versa “-Controller fungiert als zentraler Knotenpunkt der SD-WAN-Steuerungsebene – er beendet IPsec-Tunnel, verteilt Routen über MP-BGP und bleibt während der gesamten Laufzeit der Bereitstellung mit der Zweigstelle verbunden.

Ist der „ Versa “-Staging-Server für die Zero-Touch-Bereitstellung erforderlich?

Dies gilt nur für Global ZTP, bei dem sich ein Gerät automatisch beim Staging-Server anmeldet. „ Versa “ unterstützt außerdem URL-basiertes ZTP, die Bereitstellung über mobile Apps sowie die Bereitstellung über die Befehlszeile oder per Skript. Bei all diesen Methoden wird der Staging-Server umgangen, indem dem Gerät die Controller- und CA-Informationen direkt übermittelt werden.

Wer betreibt den Staging-Server von „ Versa “?

Entweder Versa Networks oder ein Dienstanbieter kann den Knoten hosten, da es sich um einen in der Cloud gehosteten Knoten und nicht um feste Hardware handelt. Ein Dienstanbieter, der einen eigenen Staging-Server betreibt, kann die Nachverfolgbarkeit des Onboarding-Prozesses für seine eigenen verwalteten Kunden selbst steuern, anstatt sich auf die Instanz von Versazu verlassen.

Was passiert mit dem Zertifikat des Geräts nach der Staging-Phase?

Jedes Gerät wird mit einem werkseitig signierten Zertifikat von Versa ausgeliefert, das ausschließlich zur Authentifizierung beim Staging-Server dient. Während der anschließenden Anbindungsphase nimmt das Zweigstellengerät Kontakt mit der Zertifizierungsstelle des VPN auf und ersetzt das werkseitige Zertifikat durch ein Zertifikat des Netzwerkbetreibers, wodurch das Gerät vollständig unter die Kontrolle des Kunden gestellt wird.

Kann der Staging-Server „ Versa “ umgangen werden?

Ja. Wenn ein Gerät vor dem Versand mit den Kontaktdaten seiner Zertifizierungsstelle und der Adresse des „ Versa “-Controllers vorkonfiguriert wird, kann es direkt starten und den Staging-Server vollständig überspringen. Dies ist stattdessen der normale Ablauf für URL-basierte, auf mobilen Apps basierende und CLI-basierte Zero-Touch-Bereitstellungsmethoden.

Mehr zu „ Versa “ SD-WAN

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über den Staging-Server von „ Versa “ informieren, sollten Sie sich als Nächstes diese Artikel ansehen.