Was ist VSPA?

Versa Secure Private Access (VSPA) ist die Fernzugriffskomponente des Security Service Edge von Versa: eine Zero-Trust-Netzwerkzugriffslösung, die Benutzer mit privaten Anwendungen – die vor Ort oder in der Cloud gehostet werden – verbindet, indem sie einen identitätsbasierten Zugriff mit geringstmöglichen Berechtigungen durchsetzt, anstatt die umfassende Netzwerkzugänglichkeit zu gewähren, die ein herkömmliches VPN bietet.

Die wichtigsten Erkenntnisse

• VSPA ist „ Versa “ – die ZTNA-Komponente von SSE für den Zugriff auf private Anwendungen.
• Es ersetzt den VPN-Zugang auf Netzwerkebene durch identitäts- und kontextbasierte Richtlinien.
• Registrierung, Verbindung und Durchsetzung von Richtlinien bilden ein dreistufiges Modell.
• VSPA unterstützt sowohl einen „ SASE “-Client als auch eine clientlose Verbindung.
• Es lässt sich innerhalb der SSE-Struktur mit dem „ Versa Secure Internet Access“ (VSIA) kombinieren.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · VSPA-Komponenten · VSPA und die Plattform „ Versa “ · Häufig gestellte Fragen

Warum ist VSPA wichtig?

Herkömmliche VPN-Konzentratoren gewähren Zugriff auf Netzwerkebene: Sobald eine Verbindung hergestellt ist, hat ein Benutzer in der Regel Zugriff auf weite Teile des internen Netzwerks, die hauptsächlich durch statische Zugriffslisten geschützt sind, die nicht zwischen verschiedenen Benutzerkontexten unterscheiden können. Dieses Modell vergrößert den Schadensumfang bei kompromittierten Anmeldedaten oder Geräten und erschwert die Durchsetzung des Prinzips der geringsten Berechtigungen für bestimmte Anwendungen.

VSPA löst dieses Problem, indem es die Prinzipien des Zero-Trust-Netzwerkzugangs auf die Anbindung von Remote-Standorten und Zweigstellen anwendet: Die Richtlinien werden anhand der Identität und des Kontexts bewertet, nicht anhand des Standorts im Netzwerk. So wird der Zugriff eines Benutzers auf die spezifischen privaten Anwendungen beschränkt, für die er autorisiert ist – unabhängig davon, wo diese Anwendungen gehostet werden. Da sich VSPA in bestehende Unternehmenswerkzeuge integrieren lässt, anstatt eine Neugestaltung zu erfordern, können Unternehmen von einem pauschalen VPN-Zugriff zu einem auf das Mindestmaß an Berechtigungen beschränkten, kontinuierlich bewerteten Zugriff übergehen, ohne ihre Anwendungsumgebung ersetzen zu müssen.

Was ist VSPA?

VSPA verbindet Nutzer mit privaten Anwendungen, indem es einen identitätsbasierten Netzwerkzugang durchsetzt – unabhängig vom Standort des Nutzers oder der Hosting-Umgebung der Anwendung. Dabei kommen das Prinzip der geringsten Berechtigungen sowie eine kontinuierliche Vertrauensbewertung zum Einsatz, anstatt einer einmaligen Verbindungsprüfung.

Versa beschreibt den Schutz durch VSPA in drei Stufen. Bei der Registrierung wird der Benutzer bei der ersten Nutzung des Clients authentifiziert – dabei werden LDAP, Single Sign-On und das Verzeichnis „ Versa “ für lokale Benutzer unterstützt, mit Multi-Faktor-Authentifizierung über TOTP oder E-Mail – anschließend wird die Konfiguration des Clients vom Portal „ SASE “ heruntergeladen. Die Verbindung ermittelt das Verbindungsverhalten anhand des Kontexts: „Fail-Close“- oder „Fail-Open“-Verhalten, Auswahl des besten Gateways, Gateway-zu-Client-Richtlinien wie Verschlüsselungsstufen, Always-On-Betrieb sowie Erkennung vertrauenswürdiger Netzwerke, um ein öffentliches Netzwerk von einem sicheren Unternehmensstandort zu unterscheiden. Bei der Richtliniendurchsetzung werden dann Unternehmensrichtlinien, ZTNA-Regeln und Schutzmaßnahmen im SWG-Stil – URL-, Datei-, DNS- und IP-Filterung, Virenschutz und Intrusion Prevention – auf den Datenverkehr des Nutzers angewendet.

VSPA-Komponenten

VSPA besteht aus vier Komponenten. Cloud-Gateways – „ Versa “ Cloud Gateways (VCGs) – bilden die „ SASE “-Struktur und verarbeiten den Datenverkehr von Remote-Benutzern über eine Single-Pass-Architektur. Ein „SASE “-Client erweitert die Struktur auf Endgeräte unter Windows, macOS, iOS, Android, Chromebook und Linux; VSPA unterstützt zudem eine agentenlose Verbindung für Fälle, in denen die Installation eines Agenten nicht praktikabel ist. Die SD-WAN-fähige Konnektivität ermöglicht den VCGs eine SLA-konforme Verkehrssteuerung zu Rechenzentren sowie die automatische Erkennung von Gateways und Zweigstellen, ohne dass Administratoren manuelle IPsec-Tunnel verwalten müssen. Ein Selbstverwaltungsportal bietet Unternehmensadministratoren eine zentrale Oberfläche zur Verwaltung von Benutzern, Anwendungen und Richtlinien sowohl für Remote-Benutzer als auch für Zweigstellen.

VSPA und die Plattform „ Versa “

VSPA ist neben „ Versa “ Secure Internet Access (VSIA) eine von zwei Abonnementarten innerhalb von „ Versa “ SSE; bei den Regeln für den sicheren clientbasierten Zugriff in Concerto wird pro Regel eine Abonnementart ausgewählt – VSPA, VSIA oder beide –, die die verfügbaren Datenverkehrsaktionen bestimmt. Die charakteristische Aktion von VSPA ist „Breakout to Internet“: Privater Datenverkehr wird über einen Tunnel zum VCG geleitet, während internetgebundener Datenverkehr lokal ausgegeben wird, wobei bestimmte benutzerdefinierte oder vordefinierte Anwendungen ausgewählt werden können, die zwingend über den Tunnel geleitet werden sollen, und Split-DNS standardmäßig aktiviert ist. Administratoren können den VSPA-Zugriff zusätzlich nach Gateway-Gruppe, geografischem Ursprungsstandort und Quell-IP-Adresse einschränken; die Routing-Präfixe für VSPA-Clients waren in früheren Versionen auf private RFC-1918-Bereiche beschränkt, bevor spätere Versionen die Unterstützung für öffentliche Bereiche hinzufügten. Auf der Seite des „ Titan “-Portals werden über „Manage Users“ VSPA-Benutzer (RAC/RAS) verwaltet – Konten, die lokal auf einem „ SASE “-Gateway, einem Remote-Access-Gerät in einer Zweigstelle oder einem mandantenfähigen RAC/RAS-Gerät authentifiziert werden – und die sich von den IDP-Benutzertypen „ Versa “ sowie externen SSO-Benutzertypen unterscheiden.

Häufig gestellte Fragen

Was ist der Unterschied zwischen VSPA und VSIA?

VSPA ist die ZTNA-Komponente von „ Versa “ SSE und vermittelt den Zugriff auf private Anwendungen nach dem Prinzip der geringsten Berechtigungen. VSIA (Versa Secure Internet Access) ist die Secure-Web-Gateway-Komponente, die Benutzer mit öffentlichen Clouds, SaaS-Diensten und dem Internet verbindet. Beide Komponenten lassen sich je nach Abonnementtyp auf demselben Client und Gateway konfigurieren.

Welches dreistufige Schutzmodell wendet VSPA an?

Bei der Registrierung wird der Client authentifiziert und seine Konfiguration vom Portal „ SASE “ heruntergeladen. Die Verbindung bestimmt das Verbindungsverhalten – Auswahl des Gateways, Verschlüsselungsrichtlinie, Erkennung vertrauenswürdiger Netzwerke. Im Rahmen der Richtliniendurchsetzung werden dann Unternehmenszugriff, ZTNA und SWG-ähnliche Schutzmaßnahmen auf den laufenden Datenverkehr des Benutzers angewendet.

Unterstützt VSPA den clientlosen Zugriff?

Ja. Neben dem Client „ Versa “ (SASE ) für Windows, macOS, iOS, Android, Chromebook und Linux unterstützt VSPA eine clientlose Anbindung für Szenarien, in denen die Installation eines Endpunkt-Agenten nicht praktikabel ist, wobei dennoch identitätsbasierte Zugriffsrichtlinien durchgesetzt werden.

Was ist ein VSPA-Benutzer (RAC/RAS) im „ Titan “-Portal?

Ein VSPA-Benutzer (RAC/RAS) ist ein lokal authentifiziertes Konto, das auf einem „ SASE “-Gateway, einem VPN-Gerät für den Fernzugriff in Zweigstellen oder einem mandantenfähigen RAC/RAS-Gerät eingerichtet wurde. Die Option wird nur für Mandanten angezeigt, die den VSPA-Dienst mit lokaler Authentifizierung erworben haben, und der Benutzer erhält eine E-Mail zur Registrierung des VSPA-Clients.

Inwiefern unterscheidet sich VSPA von einem herkömmlichen VPN?

Ein herkömmlicher VPN-Konzentrator gewährt Zugriff auf Netzwerkebene, der hauptsächlich durch statische Zugriffslisten gesteuert wird, die den Benutzerkontext nicht unterscheiden können. VSPA hingegen bewertet Identität, Gerät und Kontext kontinuierlich und beschränkt den Zugriff auf bestimmte Anwendungen, wobei es dem Zero-Trust-Netzwerkzugang folgt, anstatt eine umfassende Netzwerkzugänglichkeit zu ermöglichen.

Mehr über VSPA

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über VSPA informieren, sollten Sie sich als Nächstes diese Artikel ansehen.