¿Qué es una pasarela SSE?

Una puerta de enlace SSE es el punto de aplicación de Security Service Edge de Versa, que se implementa como una puerta de enlace en la nube alojada en Versa o como un dispositivo local, y que termina los túneles de los clientes de SASE y las conexiones de sitio a sitio, además de aplicar la autenticación, el descifrado y las políticas de amenazas y acceso al tráfico que pasa a través de ella.

Puntos clave

• Una pasarela SSE es el punto de aplicación de Versapara el tráfico de SASE .
• Interrumpe tanto los túneles de cliente de « SASE » como los túneles de sitio a sitio.
• Se implementa a través de Director y, a continuación, se detecta y se integra en Concerto.
• Se requiere un certificado de una autoridad de certificación pública (CA) que cubra todos los nombres de dominio completos (FQDN) de las pasarelas en uso.
• La función «Detección de redes de confianza» permite omitir los túneles en las redes de confianza.

En esta página: Por qué es importante · Cómo funciona · Modelos de implementación de SSE Gateway · Pasarelas SSE y Versa · Preguntas frecuentes

¿Por qué es importante una pasarela SSE?

Security Service Edge solo funciona si el tráfico circula realmente a través de la pila de seguridad: cada comprobación ZTNA, cada inspección TLS y cada decisión de protección frente a amenazas deben realizarse en algún lugar, en algún dispositivo, antes de que el tráfico llegue a Internet o a una aplicación privada. Una pasarela SSE es ese «algún lugar»: el único punto de aplicación donde el túnel del cliente de un usuario remoto, o el túnel de sitio a sitio de una sucursal, llega antes de que su tráfico se dirija a cualquier otro sitio. Sin ella, una políti SASE a no es más que un documento; con ella, la política es lo que el tráfico experimenta realmente.

La centralización de la aplicación de políticas en la pasarela es también lo que hace que « SASE » sea coherente en tipos de conexión muy diferentes. Un usuario que trabaja desde un ordenador portátil a través de Internet, una sucursal que accede a la misma aplicación privada a través de una superposición SD-WAN y una sesión de servidor de terminales compartida por docenas de usuarios necesitan que se les aplique la misma política que tenga en cuenta la identidad y el estado de seguridad; y esto es posible porque la pasarela es el punto donde convergen la autenticación, el descifrado y el control de acceso, independientemente de cómo haya llegado el tráfico.

¿Qué es una pasarela SSE?

Una pasarela SSE gestiona dos tipos de conexiones. Versa SASE Los clientes establecen túneles IPsec, TLS o DTLS directamente con ella, registrándose mediante el nombre de dominio completo (FQDN) de un portal y autenticándose por usuario. Las sedes se conectan a ella a través de túneles IPsec de sitio a sitio o de superposición SD-WAN, de modo que todo el tráfico de una sucursal —y no solo el de clientes individuales— puede enrutarse a través del mismo punto de control. En cualquier caso, una vez que el tráfico llega a la pasarela, se somete a los mismos procesos de autenticación, descifrado TLS, protección contra amenazas y evaluación de políticas de acceso.

Dado que los clientes identifican una pasarela mediante su FQDN, la cobertura del certificado TLS es tan importante como la accesibilidad de la red: el certificado del dispositivo de la pasarela, firmado por una autoridad de certificación pública, debe cubrir todas las variantes de FQDN que utilicen los clientes y los navegadores —el dominio raíz de acceso seguro y, para el acceso mediante proxy inverso sin cliente, un myapps comodín. Las pasarelas redundantes implementadas para garantizar una alta disponibilidad necesitan sus propios certificados con fechas de caducidad escalonadas, de modo que la renovación de una pasarela nunca coincida con la caducidad de su par.

Modelos de implementación de SSE Gateway

Las pasarelas se configuran en Director como un tipo de dispositivo de «Cloud-Security» utilizando la función «Hub Controller», un flujo de trabajo de plantilla específico y un grupo de dispositivos específico por cada pasarela; las plantillas no se comparten entre pasarelas. Las interfaces WAN de la pasarela llevan etiquetas de circuito que definen la finalidad de cada circuito: NO_DIA desactiva el acceso directo a Internet en un circuito, NO_S2S lo excluye de los túneles de sitio a sitio, NO_RAC_RAS bloquea las conexiones de los clientes de « SASE », y DIA_ON_PROVIDER activa el NAT de origen para el tráfico de Internet de los subarrendatarios a nivel del proveedor; si no se etiqueta un circuito, este queda disponible para los tres tipos de tráfico.

Una vez implementadas, las pasarelas se detectan desde Versa Concerto: un administrador añade el nodo Director propietario a Concerto, ejecuta la detección de inquilinos y las pasarelas aprovisionadas bajo el inquilino del proveedor de ese Director aparecen para su incorporación a regiones e inquilinos. Una pasarela también puede funcionar en modo asistido por red de confianza, en el que reconoce a los clientes que se conectan desde una IP privada situada detrás de un túnel SD-WAN o IPsec existente y omite la creación de un túnel redundante SASE , sin dejar de realizar un seguimiento de la identidad y el estado de seguridad a través de un canal de control ligero.

Pasarelas SSE y Versa

La implementación de una pasarela SSE y la incorporación de inquilinos recorre todo el proceso: creación de plantillas y grupos de dispositivos en el lado de Director, instalación de certificados, configuración de DNS y hora, y, a continuación, detección en el lado de Concerto y configuración del dominio raíz para los FQDN de las pasarelas. La detección de redes de confianza (asistida por la puerta de enlace) permite que una puerta de enlace SSE distinga entre conexiones de confianza y no confiables en función de la dirección IP de origen del cliente y omita la creación de túneles para los clientes que ya se encuentran dentro de una red segura, al tiempo que sigue aplicando la política específica del usuario a través del canal de control.

La pasarela también garantiza la identidad en situaciones que un cliente no puede gestionar por sí solo. Detrás de un servidor de terminales de Windows compartido, donde el dispositivo VOS vería, de otro modo, una dirección IP por cada usuario conectado, el agente del servidor de terminales registra cada sesión en la pasarela SSE a través de la superposición SD-WAN o de un túnel IPsec hacia la URL del portal, lo que proporciona a la pasarela una visibilidad por usuario y la aplicación de políticas que no podría obtener únicamente a partir del tráfico de red.

Preguntas frecuentes

¿Cuál es la diferencia entre una pasarela SSE y un cliente « SASE »?

El cliente es un software de terminal que establece un túnel; la pasarela SSE es el punto de control en el que termina dicho túnel. El cliente autentica al usuario y transmite el tráfico; la pasarela inspecciona, descifra y aplica la política a ese tráfico una vez que llega.

¿Puede una pasarela SSE gestionar tanto túneles de cliente como túneles de sitio a sitio?

Sí. La misma pasarela gestiona las conexiones de clientes d SASE de usuarios individuales y los túneles IPsec o SD-WAN de sitio a sitio de sucursales enteras, aplicando el mismo conjunto de autenticación, descifrado y políticas de acceso a ambos, de modo que un único diseño de pasarela da cobertura tanto a los usuarios remotos como a las sucursales conectadas sin necesidad de una infraestructura independiente para cada uno.

¿Por qué una pasarela SSE necesita un certificado público firmado por una autoridad de certificación?

Los clientes se conectan a través de HTTPS a los nombres de dominio completos (FQDN) que aloja la pasarela, y un certificado público firmado por una autoridad de certificación (CA) permite que tanto las conexiones con cliente como las que no lo tienen confíen en la pasarela sin necesidad de instalar certificados raíz adicionales en cada dispositivo, lo cual es necesario tanto para la variante de acceso seguro como para la de proxy inverso de los FQDN.

¿Qué es la detección de redes de confianza en una pasarela SSE?

Permite a la pasarela reconocer, a partir de la dirección IP de origen del cliente, cuándo un usuario ya se encuentra dentro de una red con una conexión segura existente —como una oficina conectada a través de una superposición SD-WAN— y evitar así la creación de un túnel de cliente redundante, sin dejar de aplicar las políticas de identidad y estado de seguridad.

¿Cómo gestiona una puerta de enlace SSE las sesiones compartidas de Terminal Server?

De forma predeterminada, no puede distinguir entre los usuarios que comparten una misma dirección IP del servidor de terminales. El agente del servidor de terminales registra cada sesión de usuario en la pasarela por separado, a través del túnel SD-WAN o IPsec existente, de modo que la pasarela pueda aplicar un control de acceso individual para cada usuario en lugar de una política compartida.

Más información sobre SSE Gateways

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre las pasarelas SSE, te conviene echarles un vistazo a continuación.