¿Qué es VCG?

Versa Cloud Gateway (VCG) es una pasarela SASE alojada en Versa que termina las conexiones de los clientes y las sucursales SASE , proporcionando autenticación, acceso a aplicaciones basado en ZTNA, acceso seguro a Internet y conectividad SD-WAN superpuesta para usuarios y sedes remotas. A un mismo cliente se le pueden asignar varios VCG aislados lógicamente.

Puntos clave

• VCG es la pasarela alojada en la nube de Versapara los clientes de SASE y los túneles de sucursales.
• Interrumpe el acceso a la aplicación ZTNA, el acceso seguro a Internet y el tráfico de la red superpuesta SD-WAN.
• Un inquilino puede ejecutar varios VCG aislados, cada uno con sus propios conjuntos de direcciones IP.
• Se conecta a las sucursales y centros de la SD-WAN mediante IPsec de sitio a sitio y BGP.
• Configurado y publicado en las pasarelas desde la interfaz gráfica de usuario de Concerto de Versa .

En esta página: Por qué es importante · Cómo funciona · Modelos de implementación de VCG · VCG y la plataforma « VersaONE » · Preguntas frecuentes

¿Por qué es importante el VCG?

SASE , en su versión unificada, combina WAN Edge (SD-WAN) y Security Service Edge (SSE) en una única arquitectura, y la parte de esa combinación alojada en la nube tiene que estar en algún sitio. VCG es ese «algún lugar»: una pasarela gestionada por Versa que termina los clientes de SASE , los túneles de sucursal a sucursal y el tráfico destinado a Internet, de modo que los trabajadores remotos y las sucursales se benefician de la misma aplicación de políticas, independientemente de si el lado SSE se ejecuta en las propias instalaciones o en la nube de Versa.

El VCG también es importante porque hace que el « SASE » multicliente sea viable a gran escala. A cada cliente se le puede asignar su propio VCG —o varios— aislado lógicamente, con conjuntos de direcciones, ancho de banda y configuraciones de cifrado dedicados, sin que el proveedor tenga que implementar una infraestructura independiente para cada cliente. Para los proveedores de servicios gestionados, el VCG es el recurso al que apuntan realmente los tipos de pasarelas MSP dedicadas o compartidas.

¿Qué es VCG?

VCG es un dispositivo alojado en Versa que ejecuta el sistema operativo Versa (VOS), gestionado por Versa Networks en una cabecera independiente de las sucursales y controladores del propio cliente gestionados por Versa Director. Establece dos tipos de conexiones: clientes SASE (usuarios remotos que ejecutan el cliente Versa SASE ) y túneles de sitio a sitio desde sucursales SD-WAN o concentradores SSE, normalmente a través de IPsec o GRE con EBGP para el enrutamiento dinámico.

Los VCG funcionan en modo pasivo IKE: nunca inician un túnel de sitio a sitio, por lo que la sucursal VOS o el nodo central SSE del otro extremo debe ser siempre el iniciador. La conectividad se configura desde un Concerto Versa , que gestiona el lado del VCG, y un Director Versa , que gestiona el lado de la sucursal o del nodo central; ambos deben acordar los parámetros de IKE e IPsec, el direccionamiento del túnel y los números AS y la política de EBGP. El reenvío simétrico de capa 3 está habilitado de forma predeterminada en los VCG, lo que mantiene la coherencia de las rutas de tráfico en ambas direcciones.

Modelos de implementación de VCG

Un inquilino de « SASE » obtiene automáticamente un VCG predeterminado, denominado «tenant-name-Enterprise», si no se ha configurado ninguno de forma explícita. Las empresas con requisitos más complejos pueden configurar varios VCG por inquilino; dado que los VCG independientes no comparten información, cada uno de ellos puede reutilizar los mismos nombres de grupos de direcciones de cliente e incluso rangos de IP que se solapen, y los administradores asignan grupos de puertas de enlace y regiones por VCG.

En el caso de los proveedores de servicios gestionados, los clientes del MSP pueden elegir entre dos tipos de pasarelas: las compartidas, en las que el cliente del MSP no posee ninguna pasarela y sus subclientes heredan el acceso a las VCG del cliente principal, y las dedicadas, en las que las propias VCG del cliente del MSP se aprovisionan directamente en Director y, posteriormente, son detectadas por Concerto.

Cuando un VCG se conecta a un hub SSE de SD-WAN local, la propia ruta de tráfico presenta dos modelos: «activo-en espera», en el que la inserción previa de la ruta AS de BGP y el etiquetado de comunidades dirigen el tráfico hacia un VCG preferido con conmutación por error a uno de reserva; y «activo-activo», en el que las rutas EBGP de igual coste y el reenvío simétrico por defecto de la capa 3 reparten la carga de tráfico entre ambos.

VCG y la plataforma « VersaONE »

VCG se sitúa en el lado de la nube de una implementación de « SASE », aprovisionada y gestionada a través de Versa Concerto en lugar de Versa Director. Concerto es donde los administradores crean SASE tenants, asignan uno o más VCG por región, configuran los conjuntos de direcciones de los clientes y publican la configuración resultante en las pasarelas. Versa Director sigue siendo responsable del otro extremo de la conexión: las sucursales VOS y los hubs SD-WAN SSE cuyos túneles de sitio a sitio terminan en un VCG.

VCG también se conecta a la Nube de Seguridad Avanzada de Versa: los inquilinos que cuenten con complementos de ATP/DLP, acceso sin cliente o aislamiento remoto del navegador, configurados como parte de la configuración del inquilino deSASE , comparten los detalles de la instancia en la nube con sus VCG para que la pasarela pueda derivar el tráfico en entorno de pruebas a dichos servicios. Los registros configurados por cada inquilino de SASE —registros de cortafuegos, web, DNS y CGNAT— fluyen desde el VCG hacia Versa Analytics o el Servicio de Registro Avanzado.

Preguntas frecuentes

¿Cuál es la diferencia entre una rama VCG y una rama VOS?

Una sucursal VOS es un dispositivo virtual o ubicado en las instalaciones del cliente que se gestiona a través de « Versa Director» y que está alojado por la empresa o su proveedor. Un VCG es su equivalente en la nube: un dispositivo alojado en « Versa » y gestionado por « Versa » en una cabecera independiente, configurado a través de Concerto, que termina los túneles de sitio a sitio de la sucursal y las conexiones de los clientes de « SASE ».

¿Cuántos VCG puede tener un inquilino?

A un inquilino se le pueden asignar uno o varios VCG aislados lógicamente. Si no se configura ninguno de forma explícita, Concerto crea un VCG predeterminado con el nombre del inquilino. Dado que los VCG independientes no comparten información, varios VCG de un mismo inquilino pueden incluso reutilizar nombres de grupos de direcciones de cliente y rangos de IP idénticos.

¿Quién inicia el túnel de sitio a sitio entre un VCG y una sucursal?

Los VCG funcionan en modo pasivo IKE y nunca inician un túnel de sitio a sitio. La sucursal VOS o el concentrador SD-WAN SSE del otro extremo debe ser siempre el iniciador; si una sucursal también está configurada en modo pasivo, el túnel permanecerá sin establecer de forma permanente.

¿Cuál es la diferencia entre las rutas de tráfico VCG «activo-en espera» y «activo-activo»?

El modo «activo-en espera» utiliza el prefijado de la ruta AS de BGP y el etiquetado de comunidades para que el tráfico se dirija preferentemente a un VCG, con conmutación automática a uno de reserva en caso de fallo. El modo «activo-activo» utiliza rutas EBGP de igual coste y el reenvío simétrico predeterminado de capa 3 para repartir la carga del tráfico entre dos VCG simultáneamente.

¿Cuál es la diferencia entre un VCG compartido y uno dedicado para un inquilino de MSP?

Un inquilino compartido de MSP no posee ningún VCG por sí mismo; sus subinquilinos heredan el acceso a las puertas de enlace del inquilino principal. Un inquilino dedicado de MSP cuenta con sus propios VCG, que se aprovisionan directamente en un director de Versa y, a continuación, son detectados por Concerto, lo que permite a sus subinquilinos acceder únicamente a esas puertas de enlace.

Más información sobre VCG

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre VCG, te recomiendo que eches un vistazo a lo siguiente.