¿Qué es una pasarela « SASE »?

Una pasarela « SASE » es una pasarela « Versa » —alojada en la nube por Versa o implementada como un dispositivo propiedad del cliente o de un proveedor de servicios gestionados (MSP)— que termina los túneles de usuarios remotos y de sitio a sitio, aplica políticas de seguridad como el descifrado TLS, el antivirus, el IPS y el filtrado de URL, y gestiona el acceso entre los clientes de SASE y destinos privados o de Internet.

Puntos clave

• Establece túneles de usuario remoto y de sitio a sitio, y aplica la política de seguridad.
• Se implementa como una pasarela en la nube alojada en Versa o como una pasarela privada propiedad del cliente.
• Los niveles de servicio determinan qué servicios de seguridad y modos de túnel están disponibles.
• Las pasarelas en la nube multitenant conectan los dispositivos de las sucursales en una red SD-WAN de malla completa.
• Las puertas de enlace privadas se ejecutan en equipos CSG700, CSG1000, CSG2500, CSG5000 y vCSG.

En esta página: Por qué es importante · Cómo funciona · SASE Modelos de implementación de la pasarela · SASE Gateway y Versa · Preguntas frecuentes

¿Por qué es importante una pasarela de pago « SASE »?

Una puerta de enlace « SASE » es el punto de aplicación donde se materializa realmente la promesa de « SASE»: seguridad uniforme independientemente del lugar desde el que se conecte un usuario o un sitio. Los usuarios remotos, las sucursales y las aplicaciones privadas se comunican entre sí a través de la misma puerta de enlace, por lo que el mismo cortafuegos, el mismo sistema de descifrado TLS, el mismo antivirus, el mismo IPS y la misma política de filtrado de URL protegen tanto un ordenador portátil conectado a la red de un hotel como un túnel de sitio a sitio hacia un centro de datos, sin necesidad de dispositivos independientes ni conjuntos de reglas distintos que haya que mantener sincronizados.

También es importante desde el punto de vista operativo. Dado que las pasarelas en la nube de Versason multitenant y están alojadas en centros de datos repartidos por distintas regiones, un proveedor puede conectar a un nuevo cliente sin necesidad de instalar hardware: basta con solicitar un nivel de servicio para que se cree una instancia del inquilino en la pasarela compartida. Cuando las necesidades de cumplimiento normativo o de residencia de datos lo requieran, la misma arquitectura se implementa como una pasarela privada en hardware propiedad del cliente, de modo que el modelo de seguridad no cambia aunque sí lo haga el modelo de alojamiento.

¿Qué es una pasarela de pago « SASE »?

Una pasarela « SASE » se sitúa entre los clientes « SASE », los dispositivos de las sucursales y sus destinos, gestionando cada conexión mediante políticas en lugar de enrutarla directamente. Los usuarios remotos acceden a ella a través de « Versa » (VSPA) para aplicaciones privadas y de « Versa » (VSIA) para el tráfico general de Internet; los dispositivos de las sucursales acceden a ella como un par de SD-WAN, conectados en una malla completa junto con otras pasarelas y emplazamientos. Las reglas de cortafuegos, redireccionamiento y seguridad se definen por zona de SD-WAN, de Internet y de pasarela web segura.

Los servicios que ofrece realmente una pasarela dependen de su nivel de servicio. El nivel «Essential» es la opción más básica: suele incluir un cortafuegos y filtrado de URL, o enrutamiento con túnel dividido, en el que solo se redirige a la pasarela un tráfico específico. El nivel «Professional» añade la gama completa de funciones —antivirus, IPS y descifrado TLS— y el enrutamiento con túnel completo, en el que todo el tráfico de los clientes se cifra y se envía a través de la pasarela.

SASE Modelos de implementación de puertas de enlace

Existen dos modelos de implementación. La pasarela en la nube está alojada en Versa y es multitenant: un MSP, un distribuidor o un proveedor la solicita a través del portal Titan , y Versa se encarga del mantenimiento de la infraestructura subyacente en centros de datos repartidos por Estados Unidos, Japón y Europa. La puesta en marcha de un nuevo cliente es una operación relacionada con las licencias, no un despliegue de hardware.

La pasarela privada « SASE » se implementa en hardware propiedad del cliente o del proveedor de servicios gestionados (MSP) —las series CSG700, CSG1000, CSG2500 y CSG5000, además de los dispositivos virtuales cCSG y vCSG— para aquellas organizaciones que necesitan la pasarela en su propia infraestructura. Una pasarela privada se configura con una función de sitio (centro, controlador de centro, satélite o malla completa), interfaces WAN y LAN definidas antes de la activación y, para garantizar una alta disponibilidad, una LAN respaldada por VRRP con un monitor IP SLA que valida la accesibilidad. Los puertos y las VLAN no se pueden reasignar una vez activada la pasarela, por lo que la planificación de las interfaces debe realizarse de antemano.

SASE Puerta de enlace y Versa

La puesta en marcha se realiza a través del portal Titan , donde un MSP, un administrador de tienda o un proveedor distribuidor crea un sitio, configura el dispositivo de la pasarela, lo implementa en el nodo controlador y activa el dispositivo; la secuencia completa se describe en «Configurar y activar dispositivos de pasarela de SASE ». El proceso de solicitud de un servicio de pasarela en la nube o de una licencia de pasarela privada para un inquilino, incluidas las opciones de nivel de servicio y ancho de banda, se explica en el flujo de gestión de pedidos para MSP en «Gestión de pedidos para MSP» enTitan .

Las pasarelas privadas también requieren que se carguen certificados VSA (Versa Secure Access) tras la activación antes de que un MSP pueda crear inquilinos en el dispositivo; Titan copia entonces los certificados a cada inquilino de forma automática. Titan Portal 9.1.1 documenta este flujo de trabajo de certificados, junto con la configuración del cortafuegos y de las reglas de redireccionamiento, tanto para las pasarelas en la nube como para las privadas SASE .

Preguntas frecuentes

¿Cuál es la diferencia entre una pasarela «cloud SASE » y una pasarela « SASE »?

Una pasarela en la nube es una infraestructura multitenant Versa que aloja y mantiene en sus propios centros de datos; solicitar una supone un paso del proceso de concesión de licencias en el portal Titan . Una pasarela privada se ejecuta en hardware CSG propiedad del cliente o de un proveedor de servicios gestionados (MSP), lo que permite a una organización disponer de la pasarela en su propia infraestructura por motivos de cumplimiento normativo o de conectividad.

¿Cuál es la diferencia entre los niveles de servicio «Essential» y «Professional»?

El plan Essential suele incluir un cortafuegos y filtrado de URL, o enrutamiento con túnel dividido, en el que solo el tráfico seleccionado llega a la pasarela. El plan Professional añade antivirus, IPS y descifrado TLS, además de enrutamiento con túnel completo, en el que todo el tráfico de los clientes se cifra y se envía a través de la pasarela para su inspección.

¿Qué son VSIA y VSPA?

Versa El acceso seguro a Internet (VSIA) y el acceso privado seguro de Versa (VSPA) son los dos servicios que gestiona una pasarela de SASE : VSIA protege el tráfico general destinado a Internet, mientras que VSPA protege el acceso a aplicaciones privadas. Una sola pasarela puede proporcionar ambos servicios al mismo cliente.

¿Se pueden modificar las interfaces de una pasarela privada de SASE una vez activada?

No. Los puertos LAN y WAN, el etiquetado de VLAN y las asignaciones de interfaces deben estar definidos antes de la activación. Una vez activada una pasarela privada, no es posible añadir, eliminar ni reasignar interfaces LAN o WAN; para realizar esos cambios, primero hay que desactivar la pasarela.

¿Los dispositivos de las sucursales se conectan a las pasarel SASE s directamente o a través de la estructura SD-WAN?

A través de la red. Los dispositivos de las sucursales se conectan automáticamente a las pasarelas disponibles como parte de la malla completa de la SD-WAN, y los administradores definen las reglas de enrutamiento y de cortafuegos por zona —SD-WAN, Internet o pasarela web segura— en lugar de dirigir cada sucursal hacia una única pasarela.

Más información sobre la pasarela « SASE »

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre las pasarelas de « SASE », te conviene echarles un vistazo a continuación.