Was ist ZT-LAN?

Zero-Trust-LAN (ZT-LAN) ist die lokale LAN-Architektur v Versa Networks , die ZT Edge und Secure SD-LAN kombiniert, um Zero-Trust-Netzwerkzugang, Mikrosegmentierung sowie softwaredefinierte Campus- und Zweigstellennetzwerke bereitzustellen. Dabei wird das Betriebssystem „ Versa “ (VOS) direkt auf Ethernet-Switches, WLAN-Access-Points und lokalen Geräten ausgeführt.

Die wichtigsten Erkenntnisse

• ZT-LAN vereint ZT Edge und Secure SD-LAN in einer einzigen lokalen Architektur.
• Läuft auf Ethernet-Switches, WLAN-Zugangspunkten und Geräten mit VOS.
• Enthält einen vollständigen Sicherheitsstack, wodurch dedizierte Firewall-Geräte überflüssig werden.
• 802.1X, Geräte-Fingerprinting und Benutzerrichtlinien regeln den Netzwerkzugang.
• EVPN-VXLAN-Overlays erweitern die Mikrosegmentierung auf LAN-Geräte.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · ZT-LAN-Komponenten · ZT-LAN & Versa · Häufig gestellte Fragen

Warum ist ZT-LAN wichtig?

Campus- und Zweigstellen-LANs galten bisher als vertrauenswürdige Zone, sobald ein Gerät die „Haustür“ passiert hatte – ein Modell, bei dem sich ein kompromittierter Endpunkt weitgehend ungehindert lateral ausbreiten kann. ZT-LAN kehrt diese Annahme um: Jedes Gerät wird identifiziert, authentifiziert und mit den Richtlinien abgeglichen, und Sicherheitsfunktionen der Schichten 3 bis 7 werden inline, nahe am Benutzer, ausgeführt, anstatt an eine entfernte Firewall weitergeleitet zu werden.

Durch diese Inline-Platzierung entfällt eine Hardwarekomponente, die in den meisten LAN-Konzepten als unverzichtbar gilt: eine dedizierte Firewall-Appliance. Da der gesamte Sicherheitsstack – NGFW, UTM, IPS, Malware-Schutz – in jeden sicheren Ethernet-Switch, jeden sicheren WLAN-Access-Point und jede ZT-LAN-Appliance integriert ist, erfolgt die Durchsetzung mit Wire-Rate genau dort, wo sich der Datenverkehr bereits befindet. Dank standardbasierter Interoperabilität bleibt dieser Stack in LANs mit Geräten verschiedener Hersteller einsetzbar, wodurch eine Herstellerabhängigkeit vermieden wird, während Geräte-Fingerprinting und 802.1X der IT-Abteilung Einblick in die IoT- und BYOD-Geräte verschaffen, die mittlerweile den Großteil der LAN-Ports ausmachen.

Was ist ZT-LAN?

ZT-LAN kombiniert ZT Edge (Zero-Trust-Durchsetzung in unmittelbarer Nähe zum Benutzer) und Secure SD-LAN (integriertes Switching, Routing und Sicherheit für das LAN), die beide als Teil von VOS ausgeführt werden. Zustandsbehaftete Funktionen – dieselben, die VOS auch an anderer Stelle auf der „ Versa “-Plattform antreiben – werden direkt in die LAN-Hardware integriert ausgeführt, während zustandslose Layer-2- und Layer-3-Funktionen mit Wire-Rate auf den Switches und Access Points ausgeführt werden, wobei Hardware-Offload-Engines für die ZTNA-Durchsetzung mit Line-Rate und die Mikrosegmentierung zum Einsatz kommen.

Eine Policy-Engine, die die Schichten 3 bis 7 abdeckt, wertet Anwendungen, URLs und kontextbezogene Signale wie den Standort aus, um Datenverkehr zuzulassen, zu blockieren, zu drosseln oder zu klassifizieren. Unified Threat Management (UTM) scannt Nutzdaten sowohl in Nord-Süd- als auch in Ost-West-Richtung auf Malware und Exploits und kann dynamisch angewendet werden – beispielsweise auf ein Gerät vor Ort, das von ZTNA als nicht konform markiert wurde. Richtlinien für Mandantenfähigkeit und Mikrosegmentierung trennen den Datenverkehr, die Anwendungen und die Geräte jedes Mandanten über die Verwaltungs-, Steuerungs- und Datenebenen hinweg mithilfe von VRFs, virtuellen Switches und IRB-Schnittstellen.

ZT-LAN-Komponenten

Es gibt zwei Formen der Zugriffskontrolle. Die clientlose Zugriffskontrolle nutzt 802.1X für die zertifikatsbasierte Authentifizierung und die Zuordnung zu Mikrosegmenten, Device Fingerprinting (Dev-ID) zur Klassifizierung von IoT-, Unternehmens- und BYOD-Endpunkten sowie die Benutzer-/Gruppenzugriffskontrolle über ein Captive Portal oder einen Identitätsanbieter wie Active Directory. Die clientbasierte Zugriffskontrolle nutzt den „ Versa “ Secure Private Access (VSPA)-Client, der ein Endpunkt-Informationsprofil erstellt – Betriebssystemversion, Patch-Stand, Festplattenverschlüsselung, Antivirenstatus – und dieses zur Durchsetzung der Richtlinien an die nächstgelegene VOS-Instanz meldet; der Client arbeitet im vertrauenswürdigen LAN ohne Tunnel und bei Fernzugriff über einen Tunnel.

Die EVPN-Steuerungsebene und VXLAN-Overlays erweitern Layer-2-Segmente über ZT-LAN-Geräte hinweg. MP-BGP verteilt MAC- und IP-Routing-Informationen zwischen Leaf- und Spine-ZT-LAN-Geräten, die als VXLAN-Tunnelendpunkte fungieren, und ordnet VLANs VXLAN-Netzwerkkennungen zu, sodass der Datenverkehr mehrerer Mandanten auf Campus-Ebene isoliert bleibt – siehe „EVPN-VXLAN für ZT-LAN konfigurieren“. Hosts können zur Redundanz im All-Active- oder Single-Active-Modus eine Multihoming-Verbindung zu zwei oder mehr ZT-LAN-Geräten herstellen; Einzelheiten hierzu finden Sie unter „EVPN-Multihoming für Hosts mit ZT-LAN konfigurieren“.

Die zentralisierte Verwaltung erfolgt über den „ Versa “ Concerto Orchestrator, der ein einheitliches Portal für die Richtlinienerstellung, die Geräte- und Dienstüberwachung, die hierarchische Mandantenfähigkeit mit rollenbasierter Zugriffskontrolle sowie die Integration von APIs von Drittanbietern und Cloud-Plattformen bietet.

ZT-LAN & Versa

ZT-LAN ist das Gegenstück auf LAN-Ebene zu den SD-WAN-Lösungen von Versaund basiert auf derselben VOS-Grundlage, derselben Concerto-basierten einheitlichen Benutzeroberfläche sowie derselben „ Versa “-Analysesuite, die Gerätedaten in Verhaltensanalysen, benutzerspezifische Datenverkehrberichte und Topologieeinblicke nahezu in Echtzeit umwandelt. Ethernet-Switches, WLAN-Access-Points und lokale Appliances laufen alle als ZT-LAN-Geräte unter VOS, sodass bei der Gestaltung von Richtlinien oder Segmentierungen dieselben Konzepte der Steuerungsebene – Organisationen, virtuelle Switches, virtuelle Router – zum Einsatz kommen wie im übrigen „ Versa “-Deployment. Ausführliche Informationen zu den Funktionen und Möglichkeiten finden Sie unter „ZT-LAN-Funktionen und -Möglichkeiten“.

Häufig gestellte Fragen

Was ist der Unterschied zwischen ZT-LAN und Secure SD-LAN?

ZT-LAN ist die umfassendere LAN-Architektur für den Einsatz vor Ort, die ZT Edge (Zero-Trust-Durchsetzung in unmittelbarer Nähe zum Benutzer) mit Secure SD-LAN kombiniert, wobei es sich konkret um die einheitliche Switching-, Routing- und Sicherheitsschicht für Campus- und Zweigstellen-LANs handelt.

Benötigt ZT-LAN ein separates Firewall-Gerät?

Nein. Der gesamte Sicherheitsstack – NGFW, UTM, IPS, Malware-Schutz – ist direkt in jeden sicheren Ethernet-Switch, jeden sicheren WLAN-Access-Point und jede ZT-LAN-Appliance integriert, sodass die Sicherheitsmaßnahmen inline und ohne separate Firewall-Box umgesetzt werden.

Wie entscheidet ZT-LAN, ob ein Gerät auf das Netzwerk zugreifen darf?

Entweder über clientlose Steuerelemente – 802.1X-Authentifizierung und Geräte-Fingerprinting zur Klassifizierung von IoT-, Unternehmens- und BYOD-Geräten – oder über den clientbasierten VSPA-Client, der ein Endpunktprofil erstellt und dieses zur Durchsetzung der Richtlinien an die nächstgelegene VOS-Instanz übermittelt.

Welche Rolle spielt EVPN in ZT-LAN?

EVPN ist die Steuerungsebene, die die MAC- und IP-Erreichbarkeit zwischen ZT-LAN-Geräten mithilfe von MP-BGP verteilt, während VXLAN das Overlay der Datenebene bereitstellt, das Layer-2-Segmente und die Isolierung mehrerer Mandanten über den gesamten Campus hinweg erweitert.

Wie wird eine ZT-LAN-Bereitstellung verwaltet?

Über den „ Versa Concerto Orchestrator“, ein Portal mit einheitlicher Benutzeroberfläche, das eine zentralisierte Richtlinienverwaltung, hierarchische Mandantenfähigkeit mit rollenbasierter Zugriffskontrolle, Geräte- und Dienstüberwachung sowie die Integration mit Management-Systemen von Drittanbietern und Cloud-Management-Systemen bietet.

Mehr zur „ Versa “-Hardware

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über ZT-LAN informieren, sollten Sie sich als Nächstes diese Artikel ansehen.