Was ist ZTP?

Zero-Touch Provisioning (ZTP) ist ein automatisierter Prozess, bei dem ein neues Netzwerkgerät – ein Router, ein Switch oder eine SD-WAN-Appliance – aktiviert und konfiguriert wird, ohne dass ein Techniker vor Ort die Einstellungen manuell eingeben muss. Das Gerät schaltet sich ein, stellt eine Verbindung zu einem Staging-Server her, authentifiziert sich und erhält automatisch seine Konfiguration.

Die wichtigsten Erkenntnisse

• ZTP aktiviert und konfiguriert Geräte automatisch, ohne dass eine manuelle Einrichtung erforderlich ist.
• Das Gerät stellt unmittelbar nach dem Einschalten eine Verbindung zu einem Staging-Server her.
• PKI-Zertifikate, die häufig in einem TPM-Chip gespeichert sind, dienen zur Authentifizierung des Geräts.
• Versa unterstützt globale, URL-basierte, CLI-, USB- und Cloud-Init-ZTP-Methoden.
• ZTP ersetzt Vor-Ort-Einsätze und die manuelle CLI-Konfiguration an entfernten Standorten.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · ZTP & Versa · Häufig gestellte Fragen

Warum ist ZTP wichtig?

Die manuelle Konfiguration eines Geräts – mit einem Konsolenkabel, einer IP-Adresse sowie Routing- und Sicherheitseinstellungen, die Feld für Feld eingegeben werden müssen – lässt sich nicht über eine Handvoll Standorte hinaus skalieren. Unternehmen, die SD-WAN- oder „ SASE “-Geräte in Hunderten von Niederlassungen einführen, können nicht überall einen Techniker entsenden, und die manuelle Eingabe birgt die Gefahr von Tippfehlern und Verzögerungen, die dazu führen können, dass ein Standort tagelang offline bleibt.

ZTP entlastet den Mitarbeiter vom kritischen Arbeitsablauf. Ein Gerät wird direkt vom Hersteller an eine Niederlassung geliefert, wo es lediglich an die Stromversorgung und ein WAN-Kabel angeschlossen werden muss, woraufhin es sich gemäß den zentral festgelegten Richtlinien selbst konfiguriert. Dadurch verkürzt sich die Einführungszeit von Tagen auf Minuten, das Risiko, dass Anmeldedaten vor dem Versand auf die Hardware vorinstalliert werden, entfällt, und ein einziges Betriebsteam kann eine unbegrenzte Anzahl von Standorten parallel aktivieren.

Was ist ZTP?

Unabhängig von den herstellerspezifischen Details folgt ZTP überall dem gleichen Handshake-Verfahren. Ein Gerät wird ohne weitere Konfiguration als die Werkseinstellungen eingeschaltet, fordert über DHCP eine Adresse an und stellt eine Verbindung – einen „Call Home“ – zu einem Provisioning-Server her, anstatt darauf zu warten, dass jemand auf es zugreift. Der Server identifiziert das Gerät, in der Regel anhand einer vorab registrierten Seriennummer oder eines vom Hersteller installierten Zertifikats, und legt fest, zu welchem Netzwerk es gehört, an welchen Verwaltungsknoten es berichtet und welche Software es benötigt.

Der Server überträgt diese Konfiguration und gegebenenfalls ein Software-Image an das Gerät, das diese übernimmt und sich dem Produktionsnetzwerk anschließt, ohne dass vor Ort ein einziger Tastenanschlag erforderlich ist. Die Sicherheit dieses Modells beruht auf dieser Identitätsprüfung: Da sich das Gerät in ein Netzwerk einbindet, dem es noch nicht vertraut, muss die Authentifizierung erfolgen, bevor die Konfiguration akzeptiert wird.

Arten von ZTP

ZTP-Implementierungen unterscheiden sich hauptsächlich darin, wie ein Gerät seinen Provisioning-Server findet und seine Identität nachweist. DHCP/Bootstrap-Datei-ZTP ist das älteste Muster: DHCP-Optionen leiten ein frisch hochgefahrenes Gerät an einen Ort weiter, von dem es eine Startkonfiguration abrufen kann; dies ist bei LAN-Geräten in Unternehmen üblich. Beim Cloud-Call-Home-ZTP wählt das Gerät beim Booten einen vom Hersteller gehosteten Cloud-Dienst an; der Dienst validiert es anhand der Seriennummer und leitet es an den richtigen Provisioning-Knoten weiter – das Modell, das die meisten SD-WAN- und „ SASE “-Zweigstellen-Appliances verwenden. Das standardbasierte, sichere ZTP formalisiert den Handshake kryptografisch: SZTP (RFC 8572) und BRSKI (RFC 8995) der IETF verwenden signierte Vouchers, sodass ein Gerät seine Identität nachweist, bevor es die Konfiguration akzeptiert. Das lokal/manuell ausgelöste ZTP behält die Eigenschaft der Null-Konfiguration bei, erfordert jedoch weiterhin eine Person vor Ort, wenn das Internet ohne Hilfe nicht erreichbar ist.

ZTP & Versa

Versa VOS-Geräte unterstützen ZTP über verschiedene Methoden. Global ZTP aktiviert ein Gerät automatisch beim Einschalten: Es stellt eine Verbindung zu einem Cloud-Staging-Server unter Versa Networks her, der die Seriennummer überprüft und das Gerät weiterleitet – zunächst durch die Vorbereitung (Prestaging), dann zum Staging-Controller-Knoten – über eine IPsec-Sitzung, die mit einem von Versa signierten Zertifikat authentifiziert wird, dessen privater Schlüssel im TPM-Chip des Geräts gespeichert ist. URL-basiertes ZTP Ermöglicht es einem Administrator, die Aktivierung über einen per E-Mail versendeten Link von einem Laptop oder Smartphone aus abzuschließen, wodurch das Gerät von einer bestimmten Niederlassung entkoppelt wird. CLI-basierte Staging-Umgebung betreibt die staging.py Skript auf dem Gerät und USB-basierte Staging-Umgebung lautet: staging.params Datei von einem eingelegten Laufwerk. Bei virtuellen Instanzen gilt: cloud-init vereint Installation, Konfiguration und Einbindung in einer einzigen Startsequenz. Geräte, Gerätegruppen und Controller stammen aus Erstkonfiguration von VOS.

Häufig gestellte Fragen

Was ist der Unterschied zwischen globalem ZTP und URL-basiertem ZTP?

Global ZTP wird automatisch aktiviert, sobald ein Gerät eingeschaltet wird und eine Internetverbindung herstellt, wobei eine vorab registrierte Seriennummer verwendet wird. Bei URL-basiertem ZTP muss ein Website-Administrator auf einen per E-Mail versendeten Aktivierungslink klicken, wodurch die physische Verbindung zwischen dem Gerät und einer bestimmten Niederlassung aufgehoben wird.

Ist für ZTP ein Techniker vor Ort erforderlich?

Nein – genau darum geht es ja. Bei „Global ZTP“ und „cloud-init“ sind außer dem Einschalten des Geräts keine lokalen Maßnahmen erforderlich. Bei URL-basiertem, CLI-basiertem und USB-basiertem ZTP muss zwar weiterhin jemand vor Ort sein, doch diese Person muss lediglich auf einen Link klicken oder einen Datenträger einstecken – das Gerät selbst wird dabei nicht konfiguriert.

Wie weist ein ZTP-Gerät dem Netzwerk seine Identität nach?

Die meisten Implementierungen stützen sich auf ein vom Hersteller installiertes Zertifikat, das häufig durch ein Trusted Platform Module abgesichert ist, oder auf eine vorab registrierte Seriennummer, die mit dem Bestand des Anbieters abgeglichen wird. Standards wie SZTP und BRSKI formalisieren dies durch signierte Belege, mit denen das Gerät authentifiziert wird, bevor es die Konfiguration akzeptiert.

Kann ZTP virtuelle oder cloudbasierte Geräte bereitstellen?

Ja. Virtuelle Netzwerkgeräte nutzen „cloud-init“, ein branchenübliches, plattformübergreifendes Initialisierungsverfahren, das von allen wichtigen öffentlichen Cloud- und Virtualisierungsplattformen unterstützt wird, um beim ersten Start der Instanz automatisch Software zu installieren, Konfigurationen vorzunehmen und die Einrichtungsprozesse abzuschließen – ganz ohne manuelle Vorbereitungsschritte.

Was passiert, wenn die Konfiguration eines ZTP-Geräts bereits geändert wurde?

Die Einbindung funktioniert nicht ordnungsgemäß, da ZTP davon ausgeht, dass das Gerät noch seine unveränderte Werkseinstellung aufweist. Ein Gerät, dessen Konfiguration bereits geändert wurde, muss zunächst über die lokale CLI auf die Werkseinstellungen zurückgesetzt werden; danach kann der ZTP-Aktivierungsprozess normal abgeschlossen werden.

Mehr über ZTP

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über ZTP informieren, sollten Sie sich als Nächstes diese Artikel ansehen.