SD-WAN und Secure Service Edge für DoD- und Ultra-Secure-Einsätze

Aufgebaut mit IETF-Standard-basierten Protokollen: Basierend auf BGP/MPLS VPN und Ethernet VPN, mit der Verwendung eines privaten SAFI (Sub Address Family Identifier) zur Übertragung von SD-WAN-bezogenen Informationen wie z. B.:

• Schlüsselverwaltung
• Zugriff auf Zustand und Status des Stromkreises
• NAT-bezogene Informationen
• Informationen über SLA zu kritischen Anwendungen

Schlüsselverwaltung und Zertifikatsverwaltung

• Echte Emulation von IKE ohne Verwendung von IKE.
• Das Geheimnis einer Zweigstelle wird nie auf dem Drahtweg übermittelt und kann alle vier Minuten gewechselt werden.
• Zwischen jedem Paar von Zweigen wird algorithmisch ein eindeutiges gemeinsames Geheimnis abgeleitet.
• Erweiterte Funktionen zur Zertifikatsverwaltung.
• Unterstützung für OCSP, CMPv2, SCEP und ACME
• Unterstützung für die externe Schlüsselverwaltung mit dem Key Management Interoperability Protocol (KMIP ) für Einsätze, die vom Mieter/Kunden generierte Schlüssel erfordern.

Einsatzmöglichkeit in DDIL-Umgebungen (Denied, Disrupted, Intermittent und Limited)

• Drei VM-Images - Die Mindestanzahl von Images für einen vollständig getrennten Betrieb beträgt drei. Alle Aktualisierungen von Sicherheits-Images werden in einer vollständig getrennten Umgebung unterstützt.
• Die Lizenz wird zentral von Versa verwaltet. Versa ist eines der drei Images, in denen die Lizenz geladen ist, sodass kein Zugriff auf das Internet erforderlich ist.
• Versa ist eines der Bilder. Es bietet Betreibern vollständige Transparenz in Bezug auf Sicherheit, Konnektivität und Leistung.
• Single Pane of Management sowie zentralisierte Bereitstellung, Verwaltung, Überwachung, Sichtbarkeit und Big Data Analytics für alle SASE (SD-WAN, SSE) und Multi-Cloud.
• Die am weitesten verbreitete SD-WAN-Lösung bei satellitengestützten Dienstanbietern, in der Schifffahrt und im Seeverkehr. Unterstützung für bis zu 14 Underlay-Transportdomänen pro Knoten. Es kann gleichzeitig mehrere Underlays wie SATCOM (LEO, MEO, GEO), Private MPLS, LTE/5G, terrestrische Glasfaser, Breitband und andere unterstützen.

Vielseitige Verkehrssteuerung, Verkehrsaufbereitung und erweiterte TCP-Optimierung

• Verkehrslenkung auf der Grundlage beliebiger Layer3-Layer7-Felder des Pakets, der Layer7-Anwendung, der URL-Kategorie, des Benutzers, der Gruppe, des Gerätezustands, des Entity Confidence Score, der Geo-Location, des mit der Quelle verbundenen Security Tags, der Tageszeit und anderer Faktoren.

  • Tunnel-los auf Basis des Datenflusses. Versa Tunnel-loses SD-WAN, wo und wann immer dies erforderlich ist. Weitere Informationen finden Sie im AbschnittVersaTunnel-loses SD-WAN-Lösung“.
  • Die Verschlüsselung kann für jeden einzelnen Datenfluss aktiviert oder deaktiviert werden.

• Versa eignet sich sehr gut und bietet die beste Anwendungserfahrung für Satelliten-, See- und Bundesnetzwerke, die NSA High Assurance Internet Protocol Encryption (HAIPE) oder Commercial Solutions for Classified (CSfC)-basierte Architekturen nutzen, bei denen DDIL und widrige Bedingungen auftreten können. Weitere Informationen finden Sie im AbschnittVersa für klassifizierte Lösungen“.

• Die Verkehrssteuerung basiert auf der Sichtbarkeit dynamischer End-to-End-Pfadmerkmale wie Paketverlust, Latenz und Jitter. Diese Funktion sorgt für genauere und widerstandsfähigere End-to-End-Anwendungs-SLAs. Alle anderen Anbieter wählen den besten Pfad basierend auf dem SLA zum unmittelbar nächsten Hop. Nur Versa den Datenverkehr basierend auf End-to-End-Pfadmetriken steuern.
• Verkehrskonditionierung mit FEC, Replikation und anderen Maßnahmen, die alle automatisch ausgelöst werden, wenn sich das SLA verschlechtert, und gestoppt werden, wenn sich das SLA verbessert. Diese Funktionen sind für alle Verkehrsarten und nicht nur für Sprache und Video verfügbar.
• Unterstützung fortschrittlicher TCP-Optimierungs- und Staukontrollalgorithmen wie BBR, Hybla, SACK, Recent Acknowledgement.

Umfassende QoS-Funktionen Versa unterstützt sehr umfassende QoS-Funktionen (Layer3-QoS-Policy, AppQoS Policy, Policer, Marking, HQoS mit 4K-Shapern und 64.000 Warteschlangen) und SD-WAN-Traffic-Steering-Funktionen. Basierend auf den Layer3-Layer7-Feldern innerhalb des empfangenen Datenverkehrs, einschließlich Anwendung, URL-Kategorie und Gerätezustand, wird einem Datenfluss eine Weiterleitungsklasse (FC) und eine Paketverlustpriorität (PLP) zugeordnet. Die FC und PLP priorisieren und planen den Datenverkehr innerhalb einer VOS-Plattform. Zusätzlich werden das Umschreiben der inneren und äußeren Header sowie das Egress-Shaping auf der Grundlage der FC und PLP durchgeführt. Daher wird der missionskritische Datenverkehr sowohl innerhalb einer Versa als auch bei der Übertragung gegenüber weniger kritischem Datenverkehr priorisiert.

Sehr gut geeignet für den Aufbau von Brownfield-Netzwerken.

• Unterstützung aller wichtigen Layer2- und Layer3-Protokolle (IPv4 und IPv6).
• Unterstützung für IPv4, IPv6 und Dual-Stack für VRFs, sowie Underlay-Transport.

Unterstützung für komplexe Topologien wie Full Mesh, Hub und Spoke, Partial Mesh, Spoke-Hub-Hub-Spoke, Hub-Controller, Controller hinter dem Hub und viele mehr.

Sehr umfangreiche Vorlageninfrastruktur: Versa eine sehr umfangreiche Vorlageninfrastruktur, die eine Hierarchie von Vorlagen unterstützt. Mithilfe dieser Vorlagenhierarchie können globale Richtlinien definiert werden, wobei bestimmte Richtlinien Vorrang haben. Dies macht die gesamte Konfigurationsverwaltung einfach und effizient.

Eine Gerätegruppe ist eine Sammlung von Geräten mit ähnlichen, aber nicht identischen Konfigurationen. Eine Gerätegruppe ist in der Regel mit einer Gerätevorlage und einer Reihe von Dienstvorlagen unterschiedlicher Typen verbunden, z. B. Sicherheitsdienstvorlage, Anwendungssteuerungsdienstvorlage, QoS-Dienstvorlage, allgemeine Dienstvorlage und andere. Eine Gerätegruppe kann mit mehreren Sicherheitsdienstvorlagen verknüpft sein, die in einer vom Betreiber festgelegten Reihenfolge angewendet werden. Außerdem kann es gerätespezifische Sicherheitsdienstvorlagen geben.

CGNAT für v4 und v6 NAPT-44, DNAT-44, Dynamic NAT-44, Basic-NAT-44, Twice Basic NAT-44, NPT66, NAT64, MAP-E

Mehrere Optionen für Zero Touch Provisioning.

Universelles CPE zur Aufnahme mehrerer VNFs. Service Chaining gehosteter VNFs und externer physischer PNFs.

Versa bietet Versa eine tunnel-lose SD-WAN-Lösung an, die das Netzwerk skalierbarer und bandbreiteneffizienter macht, die Fragmentierung von Paketen eliminiert und für mehr Sicherheit sorgt. Einige der Anwendungsfälle, die zu dieser tunnel-losen Lösung geführt haben, waren Satelliten-, Seefahrts- und Bundesnetzwerke, die NSA High Assurance Internet Protocol Encryption (HAIPE) oder Commercial Solutions for Classified (CSFC)-basierte Architekturen nutzen.

Bei allen tunnellosen Lösungen wird das innere Paket in veränderliche und unveränderliche Felder unterteilt. Abbildung 3 zeigt alle gemeinsamen Felder eines IP-Headers, TCP-Headers und UDP-Headers. Eine Teilmenge der unveränderlichen Felder in einem IP-Header, TCP-Header und UDP-Header, die für die Dauer eines 5-Tupel-Flusses unveränderlich sind, sind in blauer Farbe dargestellt. Alle Lösungen assoziieren eine Form von Cookie, Label, Flow-ID oder ein Paar (Quelle-Port, Ziel-Port) mit den unveränderlichen Feldern.

Dieses Cookie/Label/Flow-ID/Port-Paar wird mindestens einmal mit dem gesamten Nutzdatenpaket von einem sendenden SD-WAN-CPE (SDWAN-CPE1) an einen empfangenden SD-WAN-CPE (SDWAN-CPE2) übertragen. Sobald ein entferntes SDWAN-CPE (z. B. SDWAN-CPE2) die Zuordnung des Senders (z. B. SDWAN-CPE1) gelernt hat und diese an den Sender übermittelt, codiert der Sender (SDWAN-CPE1) seine Flow-ID im SDWAN-Header und überspringt alle unveränderlichen Felder des Nutzdatenpakets im Datenverkehr, der von SDWAN-CPE1 an SDWAN-CPE2 gesendet wird. Bitte beachten Sie, dass innerhalb der Versa ein Sender-SD-WAN-CPE viele andere IP-, TCP- und UDP-Felder des Nutzdatenpakets überspringt, wenn er Datenverkehr an einen Peer-SD-WAN-CPE sendet. Diese werden in diesem Whitepaper nicht beschrieben.

SD-WAN schafft ein virtuelles privates Netzwerk, das transportunabhängig und anwendungsorientiert ist und eine zentrale Verwaltung und Bereitstellung unterstützt. Es ist wichtig, dass sich eine SD-WAN-Lösung problemlos in ein Brownfield-Netzwerk einfügen lässt und eine schrittweise Migration vom bestehenden MPLS- oder DMVPN-Netzwerk zum SD-WAN-Netzwerk ermöglicht.

Wie oben erläutert, wird bei allen Lösungen ohne Tunnel das innere Paket in veränderliche und unveränderliche Felder unterteilt. Alle Lösungen assoziieren mit den unveränderlichen Feldern eine Form von Cookie, Label, Flow-ID oder ein Paar (Quelle-Port, Ziel-Port). Dieses Cookie/Label/Flow-ID/Port-Paar wird mindestens einmal mit dem gesamten Nutzdatenpaket von einem sendenden SD-WAN-CPE (SDWAN-CPE1) zu einem empfangenden SD-WAN-CPE (SDWAN-CPE2) übermittelt. Sobald ein entferntes SDWAN-CPE (z. B. SDWAN-CPE2) das Mapping des Absenders (z. B. SDWAN-CPE1) kennt und es dem Absender mitteilt, kodiert der Absender (SDWAN-CPE1) seine Flow-ID im SDWAN-Header und überspringt alle unveränderlichen Felder des Nutzlastpakets im Verkehr, der von SDWAN-CPE1 an SDWAN-CPE2 gesendet wird.

Aufgrund der unterschiedlichen Methoden (Flow-IDs, Kombination von äußerem Quell- und Zielport), die die verschiedenen Anbieter für die Verschlüsselung der unveränderlichen Daten gewählt haben, können sie nur an den Grenzen (NNI: Network to Network Interface) der SDWAN-Netze der verschiedenen Anbieter zusammenarbeiten. Dies ist unter anderem deshalb der Fall, weil die Schlüsselverwaltung, die Kodierung von Paketen, die Ver-/Entschlüsselung, die Steuerungsebene (Weiterleitung von Routen), die Verwaltungsebene (Konfiguration und Überwachung) und die Sichtbarkeitsebene (Big-Data-Analyse) bei allen Anbietern sehr unterschiedlich sind.

Zwei Anbieter können unter Verwendung von IETF-basierten Protokollen wie E-BGP, IKE-basiertem IPsec und TWAMP interoperieren. Zwei Anbieter können auch die Fähigkeit zur Dekodierung und Kodierung der Formate der Datenebene des jeweils anderen Anbieters hinzufügen.

Der Versa Time Monitor liefert Echtzeitinformationen zu allen Netzwerk-, SD-WAN- und Sicherheitsdiensten, die auf jedem Versa konfiguriert sind. Außerdem liefert er Informationen zum Zustand (CPU, Speicher, Bandbreite auf jeder der Schnittstellen, Auslastung) der VOS-Instanzen.

Versa ist eine Big-Data-Lösung, die Protokolle und Ereignisse analysiert und Versa leistungsstarke Berichte, Analysen und Rückmeldungen liefert. Sie lässt sich nativ in Datenberichts- und SIEM-Produkte von Drittanbietern wie HP ArcSight, Splunk, IBM QRadar, LogRhythm und Elastic Search integrieren. VOS™s an Zweigstellen liefern kontinuierlich Versa zu Verbindungen, Netzwerkpfaden, Sicherheitsereignissen, Diensten, Anwendungen usw. Darüber hinaus generieren alle Dienste auf dem VOS™, wie z. B. die Firewall der nächsten Generation, IDS/IPS, URL-Filterung, CASB, SWG, DLP, RBI, UEBA, DNS-Proxy und andere Module, Flow-Level- und aggregierte Protokollmeldungen, die von der Versa -Plattform verarbeitet werden.

All diese Informationen können für Funktionen wie Kapazitätsplanung und Sicherheitsforensik genutzt werden. Abbildung 6, Abbildung 7, Abbildung 8 und Abbildung 9 zeigen einige Beispiele für Informationen, die mit Versa verfügbar sind.

Versa sendet diese Protokolle über einen KAFKA-Bus an Versa . Versa kann anomale Ereignisse aller Entitäten wie Benutzer, Laptops, Telefone, IoT-Geräte und mehr verfolgen und markieren. Wenn ein Benutzer oder ein IoT-Gerät anomales Verhalten zeigt, wird sein Entity Confidence Score (ECS) herabgestuft. Dieser ECS wird in verschiedenen Arten von Richtlinien verwendet, z. B. in der Sicherheitszugriffskontrollrichtlinie und der Verkehrsüberwachungsrichtlinie. Wenn sich der ECS einer Entität verschlechtert, wird dies über den Versa Service an alle Abonnenten (z. B. Versa Gateways) weitergegeben. Die Versa Gateways können bei einer Verschlechterung des ECS sofortige Abhilfemaßnahmen ergreifen.