Was ist VMS?

Versa Der Messaging Service (VMS) ist eine Kubernetes-basierte, skalierbare Headend-Komponente für das Message-Streaming, die Echtzeitdaten – Ereignisse zur Benutzeridentität, Bedrohungs-Feeds, Geräterisikobewertungen, Endpunktstatus – aus externen Quellen erfasst und diese an VOS-Geräte und „ SASE “-Gateways in einer „ Versa “-Bereitstellung weiterleitet.

Die wichtigsten Erkenntnisse

• VMS überträgt Identitäts-, Bedrohungs- und Risikodaten in Echtzeit an alle Geräte von „ Versa “.
• Basiert auf Kubernetes-Mikroservices mit Northbound- und Southbound-Schnittstellen.
• Wird als Standalone- oder HA-Lösung bereitgestellt, mit ADC-Failover zwischen Primär- und Backup-Knoten.
• Wird pro Mandant vollständig über „ Versa Director“ mithilfe eines VMS-Konnektors konfiguriert.
• Unterstützt „ SASE “ für SIM, SCIM, UEBA, Authentifizierung durch Drittanbieter und Bedrohungsinformationen.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · VMS-Bereitstellungsmodelle · VMS und die „ VersaONE “-Plattform · Häufig gestellte Fragen

Warum ist VMS wichtig?

Moderne „ SASE “- und SD-WAN-Implementierungen sind auf Daten angewiesen, die sich ständig ändern – wer sich gerade angemeldet hat, welche IP-Adresse ein Gerät derzeit hat, was ein Bedrohungs-Feed gemeldet hat, wie risikobehaftet ein Endpunkt aktuell erscheint. Der „Config-Template-Push“, das Modell, das der „ Versa Director“ für Richtlinien und Geräteeinstellungen verwendet, ist dafür das falsche Werkzeug: Er ist bewusst strukturiert und versioniert und nicht für kontinuierliche Datenströme ausgelegt. VMS schließt diese Lücke als dedizierte Echtzeit-Datenebene, sodass die Sicherheitsdurchsetzung auf VOS-Geräten auf Identitäts- und Risikoveränderungen reagieren kann, sobald diese eintreten – und nicht erst beim nächsten Konfigurations-Push.

VMS ist auch deshalb wichtig, weil es die Integrationsarbeit zentralisiert. Anstatt dass jedes VOS-Gerät separat eine Verbindung zu Active Directory, einem RADIUS-Server, Panorama oder einer EDR-Plattform herstellt, bezieht VMS die Daten einmalig aus diesen externen Quellen, normalisiert sie und verteilt sie über einen authentifizierten Kanal an die gesamte Infrastruktur. Dadurch werden Funktionen wie die clientlose Authentifizierung durch Drittanbieter, die Risikobewertung von Geräten und Live-Bedrohungsinformationen auf Flottenebene praktikabel.

Was ist VMS?

VMS läuft als Kubernetes-basierter Microservice-Cluster mit zwei Hauptschnittstellen. Die Northbound-Schnittstelle ist mit externen Quellen verbunden – einem WMI-Agenten, der Active Directory überwacht, einem RADIUS-Accounting-Server, einem SCIM-Identitätsanbieter, Panorama oder einer Bedrohungsdatenquelle – und normalisiert deren Daten. Die Southbound-Schnittstelle ist ein gRPC-Kanal, über den VOS-Zweigstellen und „ SASE “-Gateways diese Daten abonnieren und streamen und der zudem Protokolle und Ausnahmen an „ Versa Analytics“ weiterleitet. Eine elastische (floating) IP-Adresse sorgt für den Lastausgleich der Northbound-Seite über die Clusterknoten hinweg.

Administratoren installieren VMS als Knoten (auf einer physischen Maschine oder als VM-Image für AWS, VMware oder KVM) und konfigurieren es anschließend an zwei Stellen: lokal über die vsh CLI, das die Kubernetes-Steuerungsebene und die Zertifikate bereitstellt, sowie von Versa, wobei ein VMS-Konnektor den Cluster mit Mandanten und Diensten verbindet.

VMS-Bereitstellungsmodelle

VMS wird in zwei Varianten bereitgestellt. „Standalone“ besteht aus einem einzelnen VMS-Cluster und einem Control-Plane-Knoten – ausreichend für Labore und kleinere Umgebungen. Bei der Hochverfügbarkeitsvariante (HA) wird ein primärer VMS-Cluster mit einem sekundären gekoppelt, die häufig auf ein primäres Rechenzentrum und einen Disaster-Recovery-Standort verteilt sind; VOS-Geräte erreichen den aktiven Knoten über einen Application Delivery Controller (ADC), der beide Cluster auf ihren Betriebszustand überprüft und bei einem Failover die Southbound-gRPC-Sitzungen umleitet.

In beiden Varianten sind die Funktionen von VMS modular aufgebaut: Dienste wie „ SASE “ für SIM, SCIM, Authentifizierung durch Drittanbieter, UEBA, den VOS-Aggregator, XIP EIP (Panorama-HIP-zu-EIP-Konvertierung), Bedrohungsinformationen, Kafka MirrorMaker, ASC und den Geräte-Risikowert (DRS) werden jeweils unabhängig voneinander pro Mandant über den VMS-Konnektor in Director aktiviert.

VMS und die Plattform „ VersaONE “

VMS ist neben Director, dem Controller, Analytics und Concerto eine Headend-Komponente und ist für jeweils unterschiedliche Funktionen auf diese Komponenten angewiesen. Versa In Director erstellen Administratoren den VMS-Konnektor, fügen Mandanten hinzu und aktivieren oder deaktivieren Dienste. Versa Concerto übernimmt die Benutzer- und Gruppenkoordination für VMS-gestützte Dienste wie „ SASE “ für SIM und SCIM. Der Controller verwaltet den ADC und die Southbound-gRPC-Sitzungen, die VOS-Geräte mit VMS verbinden, und Versa Analytics empfängt die Start-, Stopp- und Ausnahmeprotokolle von VMS für die Berichterstellung und Fehlerbehebung.

Die End-to-End-Aktivierung eines Dienstes – beispielsweise die Authentifizierung durch Drittanbieter oder „ SASE “ für SIM – betrifft all diese Komponenten: einen Konnektor auf Director, ein Messaging-Server-Profil auf dem VOS-Gerät und häufig eine ADC-Konfiguration für das HA-Failover, wie in den Leitlinien zur HA-basierten VMS-Bereitstellung unter Versaausführlich beschrieben.

Häufig gestellte Fragen

Mit welchen externen Datenquellen lässt sich VMS integrieren?

VMS bezieht Daten aus Active Directory (über einen WMI-Agenten), RADIUS-Accounting-Servern, SCIM-Identitätsanbietern, Palo Alto Panorama, Kafka-Brokern und Threat-Intelligence-Feeds. Es normalisiert die Daten jeder Quelle und stellt sie den abonnierten VOS-Geräten sowie anderen Komponenten von „ Versa “ erneut zur Verfügung.

Wie kommuniziert VMS mit VOS-Geräten?

VOS-Geräte und „ SASE “-Gateways bauen eine dauerhafte gRPC-Verbindung zur Southbound-Schnittstelle von VMS auf und abonnieren einen oder mehrere Dienste. VMS übermittelt Aktualisierungen über diesen Kanal, sobald sich die zugrunde liegenden Daten ändern, anstatt dass die Geräte diese selbst abfragen müssen.

Welche Rolle spielt VMS bei der Authentifizierung durch Dritte?

Mit VMS können CPE-Geräte von Secure SD-WAN die Identität von Benutzern ohne Captive Portal überprüfen. Ein WMI-Agent, der Active Directory überwacht, benachrichtigt VMS über Anmelde- und Abmeldevorgänge, und VMS leitet die daraus resultierende Zuordnung von Benutzern zu IP-Adressen an alle abonnierten VOS-Geräte weiter.

Wie wird VMS für hohe Verfügbarkeit bereitgestellt?

Bei einer HA-VMS-Bereitstellung werden ein primärer und ein sekundärer Cluster betrieben, in der Regel in getrennten Rechenzentren, wobei jeder über einen eigenen Control-Plane-Knoten und synchronisierte Zertifikate verfügt. VOS-Geräte stellen über einen ADC eine Verbindung her, der beide Cluster auf ihren Betriebszustand überprüft und die aktive Sitzung umleitet, falls der primäre Cluster nicht mehr erreichbar ist.

Welche Dienste können über VMS aktiviert werden?

Pro Mandant ermöglicht der VMS-Konnektor von Director die Integration von „ SASE “ für SIM, SCIM, Authentifizierung durch Drittanbieter, UEBA, den VOS-Aggregator, XIP EIP, Bedrohungsinformationen, Kafka MirrorMaker, ASC und die Geräterisikobewertung – wobei jede dieser Funktionen unabhängig voneinander konfiguriert und aktiviert werden kann.

Mehr zu VMS

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über VMS informieren, sollten Sie sich als Nächstes diese Artikel ansehen.