SD-WAN und Secure Service Edge für DoD- und Ultra-Secure-Einsätze

Aufgebaut mit IETF-Standard-basierten Protokollen: Basierend auf BGP/MPLS VPN und Ethernet VPN, mit der Verwendung eines privaten SAFI (Sub Address Family Identifier) zur Übertragung von SD-WAN-bezogenen Informationen wie z. B.:

• Schlüsselverwaltung
• Zugriff auf Zustand und Status des Stromkreises
• NAT-bezogene Informationen
• Informationen über SLA zu kritischen Anwendungen

Schlüsselverwaltung und Zertifikatsverwaltung

• Echte Emulation von IKE ohne Verwendung von IKE.
• Das Geheimnis einer Zweigstelle wird nie auf dem Drahtweg übermittelt und kann alle vier Minuten gewechselt werden.
• Zwischen jedem Paar von Zweigen wird algorithmisch ein eindeutiges gemeinsames Geheimnis abgeleitet.
• Erweiterte Funktionen zur Zertifikatsverwaltung.
• Unterstützung für OCSP, CMPv2, SCEP und ACME
• Unterstützung für die externe Schlüsselverwaltung mit dem Key Management Interoperability Protocol (KMIP ) für Einsätze, die vom Mieter/Kunden generierte Schlüssel erfordern.

Einsatzmöglichkeit in DDIL-Umgebungen (Denied, Disrupted, Intermittent und Limited)

• Drei VM-Images - Die Mindestanzahl von Images für einen vollständig getrennten Betrieb beträgt drei. Alle Aktualisierungen von Sicherheits-Images werden in einer vollständig getrennten Umgebung unterstützt.
• Die Lizenz wird zentral von Versa Director verwaltet. Versa Director ist eines der drei Abbilder, in die die Lizenz geladen wird, und erfordert keine Verbindung zum oder über das Internet.
• Versa Analytics ist eine der Abbildungen. Es bietet Betreibern einen umfassenden Überblick über Sicherheit, Konnektivität und Leistung.
• Single Pane of Management sowie zentralisierte Bereitstellung, Verwaltung, Überwachung, Sichtbarkeit und Big Data Analytics für alle SASE (SD-WAN, SSE) und Multi-Cloud.
• Die am weitesten verbreitete SD-WAN-Lösung bei satellitengestützten Dienstanbietern, in der Schifffahrt und im Seeverkehr. Unterstützung für bis zu 14 Underlay-Transportdomänen pro Knoten. Es kann gleichzeitig mehrere Underlays wie SATCOM (LEO, MEO, GEO), Private MPLS, LTE/5G, terrestrische Glasfaser, Breitband und andere unterstützen.

Vielseitige Verkehrssteuerung, Verkehrsaufbereitung und erweiterte TCP-Optimierung

• Verkehrslenkung auf der Grundlage beliebiger Layer3-Layer7-Felder des Pakets, der Layer7-Anwendung, der URL-Kategorie, des Benutzers, der Gruppe, des Gerätezustands, des Entity Confidence Score, der Geo-Location, des mit der Quelle verbundenen Security Tags, der Tageszeit und anderer Faktoren.

  • Tunnellos auf einer Pro-Flow-Basis. Versa kann SD-WAN ohne Tunnel unterstützen, wo und wann immer dies erforderlich ist. Bitte lesen Sie den Abschnitt "Versa's Tunnel-Less SD-WAN Solution".
  • Die Verschlüsselung kann für jeden einzelnen Datenfluss aktiviert oder deaktiviert werden.

• Die Versa-Lösung ist sehr gut geeignet und bietet die beste Anwendungserfahrung für Satelliten-, See- und Bundesnetzwerke, die NSA High Assurance Internet Protocol Encryption(HAIPE) oder auf kommerziellen Lösungen für Verschlusssachen(CSfC) basierende Architekturen nutzen, die DDIL und widrigen Bedingungen ausgesetzt sein können. Bitte beachten Sie den Abschnitt "Versa SD-WAN für klassifizierte Lösungen".

• Die Verkehrssteuerung basiert auf der Sichtbarkeit dynamischer Ende-zu-Ende-Pfadeigenschaften wie Paketverlust, Latenz und Jitter. Diese Funktion bietet genauere und stabilere End-to-End-Anwendungs-SLAs. Alle anderen Anbieter wählen den besten Pfad auf der Grundlage von SLAs zum unmittelbar nächsten Hop. Nur Versa kann den Datenverkehr auf der Grundlage von End-to-End-Pfadmetriken lenken.
• Verkehrskonditionierung mit FEC, Replikation und anderen Maßnahmen, die alle automatisch ausgelöst werden, wenn sich das SLA verschlechtert, und gestoppt werden, wenn sich das SLA verbessert. Diese Funktionen sind für alle Verkehrsarten und nicht nur für Sprache und Video verfügbar.
• Unterstützung fortschrittlicher TCP-Optimierungs- und Staukontrollalgorithmen wie BBR, Hybla, SACK, Recent Acknowledgement.

Umfassende QoS-Funktionen Die Versa-Lösung unterstützt sehr umfassende QoS- (Layer3-QoS-Policy, AppQoS Policy, Policer, Marking, HQoS mit 4K Shapern und 64.000 Warteschlangen) und SD-WAN-Traffic-Steering-Funktionen. Auf der Grundlage der Layer3-Layer7-Felder im empfangenen Datenverkehr, einschließlich Anwendung, URL-Kategorie und Gerätestatus, werden eine Weiterleitungsklasse (FC) und eine Paketverlustpriorität (PLP) mit einem Datenfluss verknüpft. Mit der FC und PLP wird der Verkehr innerhalb einer VOS-Plattform priorisiert und geplant. Darüber hinaus werden innere und äußere Header umgeschrieben und das Egress-Shaping auf der Grundlage der FC und PLP durchgeführt. Daher wird der Missionsverkehr gegenüber weniger kritischem Verkehr sowohl innerhalb einer Versa-Appliance als auch bei der Übertragung priorisiert.

Sehr gut geeignet für den Aufbau von Brownfield-Netzwerken.

• Unterstützung aller wichtigen Layer2- und Layer3-Protokolle (IPv4 und IPv6).
• Unterstützung für IPv4, IPv6 und Dual-Stack für VRFs, sowie Underlay-Transport.

Unterstützung für komplexe Topologien wie Full Mesh, Hub und Spoke, Partial Mesh, Spoke-Hub-Hub-Spoke, Hub-Controller, Controller hinter dem Hub und viele mehr.

Sehr umfangreiche Vorlageninfrastruktur: Versa unterstützt eine sehr umfangreiche Vorlageninfrastruktur, die eine Hierarchie von Vorlagen unterstützt. Mithilfe dieser Vorlagenhierarchie können globale Richtlinien definiert werden, wobei spezifische Richtlinien einen höheren Vorrang haben. Dies macht die gesamte Konfigurationsverwaltung einfach und effizient.

Eine Gerätegruppe ist eine Sammlung von Geräten mit ähnlichen, aber nicht identischen Konfigurationen. Eine Gerätegruppe ist in der Regel mit einer Gerätevorlage und einer Reihe von Dienstvorlagen unterschiedlicher Typen verbunden, z. B. Sicherheitsdienstvorlage, Anwendungssteuerungsdienstvorlage, QoS-Dienstvorlage, allgemeine Dienstvorlage und andere. Eine Gerätegruppe kann mit mehreren Sicherheitsdienstvorlagen verknüpft sein, die in einer vom Betreiber festgelegten Reihenfolge angewendet werden. Außerdem kann es gerätespezifische Sicherheitsdienstvorlagen geben.

CGNAT für v4 und v6 NAPT-44, DNAT-44, Dynamic NAT-44, Basic-NAT-44, Twice Basic NAT-44, NPT66, NAT64, MAP-E

Mehrere Optionen für Zero Touch Provisioning.

Universelles CPE zur Aufnahme mehrerer VNFs. Service Chaining gehosteter VNFs und externer physischer PNFs.

Versa bietet auch eine SD-WAN-Lösung ohne Tunnel an, die das Netzwerk skalierbarer und bandbreiteneffizienter macht, die Fragmentierung von Paketen verhindert und die Sicherheit verbessert. Einige der Anwendungsfälle, die für diese tunnellose Lösung ausschlaggebend waren, waren Satelliten-, Schifffahrts- und Bundesnetzwerke, die NSA High Assurance Internet Protocol Encryption (HAIPE) oder Commercial Solutions for Classified (CSFC)-basierte Architekturen nutzen.

Bei allen tunnellosen Lösungen wird das innere Paket in veränderliche und unveränderliche Felder unterteilt. Abbildung 3 zeigt alle gemeinsamen Felder eines IP-Headers, TCP-Headers und UDP-Headers. Eine Teilmenge der unveränderlichen Felder in einem IP-Header, TCP-Header und UDP-Header, die für die Dauer eines 5-Tupel-Flusses unveränderlich sind, sind in blauer Farbe dargestellt. Alle Lösungen assoziieren eine Form von Cookie, Label, Flow-ID oder ein Paar (Quelle-Port, Ziel-Port) mit den unveränderlichen Feldern.

Dieses Cookie/Label/Flow-id/Port-Paar wird mit dem gesamten Nutzdatenpaket von einem sendenden SD-WAN-CPE (SDWAN-CPE1) an ein empfangendes SD-WAN-CPE (SDWAN-CPE2) mindestens einmal übermittelt. Sobald ein entferntes SDWAN-CPE (z. B. SDWAN-CPE2) das Mapping des Absenders (z. B. SDWAN-CPE1) gelernt hat und es dem Absender mitteilt, kodiert der Absender (SDWAN-CPE1) seine Flow-ID im SDWAN-Header und überspringt alle unveränderlichen Felder des Nutzdatenpakets im Verkehr, der von SDWAN-CPE1 an SDWAN-CPE2 gesendet wird. Bitte beachten Sie, dass innerhalb der Versa Tunnel-less-Lösung ein sendendes SD-WAN-CPE viele andere IP-, TCP- und UDP-Felder des Nutzdatenpakets überspringt, wenn es Datenverkehr an ein Peer-SD-WAN-CPE sendet. Diese werden in diesem Whitepaper nicht beschrieben.

SD-WAN schafft ein virtuelles privates Netzwerk, das transportunabhängig und anwendungsorientiert ist und eine zentrale Verwaltung und Bereitstellung unterstützt. Es ist wichtig, dass sich eine SD-WAN-Lösung problemlos in ein Brownfield-Netzwerk einfügen lässt und eine schrittweise Migration vom bestehenden MPLS- oder DMVPN-Netzwerk zum SD-WAN-Netzwerk ermöglicht.

Wie oben erläutert, wird bei allen Lösungen ohne Tunnel das innere Paket in veränderliche und unveränderliche Felder unterteilt. Alle Lösungen assoziieren mit den unveränderlichen Feldern eine Form von Cookie, Label, Flow-ID oder ein Paar (Quelle-Port, Ziel-Port). Dieses Cookie/Label/Flow-ID/Port-Paar wird mindestens einmal mit dem gesamten Nutzdatenpaket von einem sendenden SD-WAN-CPE (SDWAN-CPE1) zu einem empfangenden SD-WAN-CPE (SDWAN-CPE2) übermittelt. Sobald ein entferntes SDWAN-CPE (z. B. SDWAN-CPE2) das Mapping des Absenders (z. B. SDWAN-CPE1) kennt und es dem Absender mitteilt, kodiert der Absender (SDWAN-CPE1) seine Flow-ID im SDWAN-Header und überspringt alle unveränderlichen Felder des Nutzlastpakets im Verkehr, der von SDWAN-CPE1 an SDWAN-CPE2 gesendet wird.

Aufgrund der unterschiedlichen Methoden (Flow-IDs, Kombination von äußerem Quell- und Zielport), die die verschiedenen Anbieter für die Verschlüsselung der unveränderlichen Daten gewählt haben, können sie nur an den Grenzen (NNI: Network to Network Interface) der SDWAN-Netze der verschiedenen Anbieter zusammenarbeiten. Dies ist unter anderem deshalb der Fall, weil die Schlüsselverwaltung, die Kodierung von Paketen, die Ver-/Entschlüsselung, die Steuerungsebene (Weiterleitung von Routen), die Verwaltungsebene (Konfiguration und Überwachung) und die Sichtbarkeitsebene (Big-Data-Analyse) bei allen Anbietern sehr unterschiedlich sind.

Zwei Anbieter können unter Verwendung von IETF-basierten Protokollen wie E-BGP, IKE-basiertem IPsec und TWAMP interoperieren. Zwei Anbieter können auch die Fähigkeit zur Dekodierung und Kodierung der Formate der Datenebene des jeweils anderen Anbieters hinzufügen.

Der Versa Real Time Monitor liefert Echtzeitinformationen über alle Netzwerk-, SD-WAN- und Sicherheitsdienste, die auf jeder Versa-Appliance konfiguriert sind. Außerdem liefert er Informationen über den Zustand (CPU, Speicher, Bandbreite auf den einzelnen Schnittstellen, Last) der VOS-Instanzen.

Versa Analytics ist eine Big Data-Lösung, die Protokolle und Ereignisse analysiert und leistungsstarke Berichte, Analysen und Feedback für Versa Director bereitstellt. Sie lässt sich nativ mit Datenberichts- und SIEM-Produkten von Drittanbietern integrieren, z. B. HP ArcSight, Splunk, IBM QRadar, LogRhythm und Elastic Search. VOS™s an Zweigstellen liefern Versa Analytics kontinuierlich Überwachungsinformationen zu Verbindungen, Netzwerkpfaden, Sicherheitsereignissen, Services, Anwendungen usw. Darüber hinaus generiert jeder Dienst auf dem VOS™, wie z. B. die Firewall der nächsten Generation, IDS/IPS, URL-Filterung, CASB, SWG, DLP, RBI, UEBA, DNS-Proxy und andere Module, Protokollmeldungen auf Flow-Ebene und aggregierte Meldungen, die von der Versa Analytics-Plattform genutzt werden.

All diese Informationen können für Funktionen wie Kapazitätsplanung und Sicherheitsforensik genutzt werden. Abbildung 6, Abbildung 7 , Abbildung 8 und Abbildung 9 zeigen einige Beispiele für Informationen, die mit Versa Analytics verfügbar sind.

Versa Analytics sendet diese Protokolle über einen KAFKA-Bus an Versa UEBA. Versa UEBA kann anomale Ereignisse von allen Entitäten wie Benutzern, Laptops, Telefonen, IoT-Geräten und mehr verfolgen und kennzeichnen. Wenn ein Benutzer oder ein IoT-Gerät ein anormales Verhalten zeigt, wird sein Entity Confidence Score (ECS) herabgesetzt. Dieser ECS wird in verschiedenen Arten von Richtlinien verwendet, z. B. in der Security Access Control Policy und der Traffic Monitoring Policy. Wenn sich der ECS einer Entität verschlechtert, wird dies allen Abonnenten (z. B. Versa Cloud Gateways) über den Versa Message Service mitgeteilt. Die Versa Cloud Gateways können bei einer Verschlechterung des ECS Abhilfemaßnahmen in Echtzeit ergreifen.