¿Qué es la VSPA?

Versa Secure Private Access (VSPA) es el componente de acceso remoto de Security Service Edge de Versa: una solución de acceso a la red de confianza cero (Zero Trust Network Access) que conecta a los usuarios con aplicaciones privadas —alojadas en las propias instalaciones o en la nube— mediante la aplicación de un acceso basado en la identidad y con privilegios mínimos, en lugar del amplio alcance de red que ofrece una VPN tradicional.

Puntos clave

• VSPA es el componente ZTNA de SSE de Versa para el acceso a aplicaciones privadas.
• Sustituye el acceso a la VPN a nivel de red por una política basada en la identidad y el contexto.
• El registro, la conexión y la aplicación de políticas conforman un modelo de tres etapas.
• VSPA admite tanto un cliente de tipo « SASE » como la conectividad sin cliente.
• Se integra con el acceso seguro a Internet « Versa » (VSIA) dentro de la estructura SSE.

En esta página: Por qué es importante · Cómo funciona · Componentes de VSPA · VSPA y la plataforma « Versa » · Preguntas frecuentes

¿Por qué es importante la VSPA?

Los concentradores VPN tradicionales conceden acceso a nivel de red: una vez conectado, el usuario suele tener acceso a amplios segmentos de la red interna, protegidos principalmente mediante listas de acceso estáticas que no pueden distinguir entre los contextos de los distintos usuarios. Ese modelo amplía el alcance de los efectos de una credencial o un dispositivo comprometido y dificulta la aplicación del principio de «privilegio mínimo» en aplicaciones específicas.

VSPA aborda esta cuestión aplicando los principios del acceso a la red de confianza cero (Zero Trust Network Access) a la conectividad remota y de las sucursales: la política se evalúa en función de la identidad y el contexto, y no de la ubicación en la red, por lo que el acceso de un usuario se limita a las aplicaciones privadas específicas para las que está autorizado, independientemente de dónde estén alojadas dichas aplicaciones. Dado que VSPA se integra con las herramientas empresariales existentes en lugar de requerir un rediseño, las organizaciones pueden pasar de un acceso amplio mediante VPN a un acceso con privilegios mínimos y evaluado de forma continua sin necesidad de sustituir su entorno de aplicaciones.

¿Qué es la VSPA?

VSPA conecta a los usuarios con aplicaciones privadas mediante la aplicación de un acceso a la red basado en la identidad, independientemente de la ubicación del usuario o del entorno de alojamiento de la aplicación, aplicando el principio del mínimo privilegio y una evaluación continua de la confianza, en lugar de una comprobación de conexión puntual.

Versa Describe la protección de VSPA en tres fases. El registro autentica al usuario la primera vez que utiliza el cliente —es compatible con LDAP, el inicio de sesión único y el directorio de usuarios locales de Versa , con autenticación multifactorial mediante TOTP o correo electrónico— y, a continuación, descarga la configuración del cliente desde el portal SASE . La conexión determina el comportamiento de conectividad en función del contexto: gestión de «fail-close» o «fail-open», selección de la mejor puerta de enlace, políticas de puerta de enlace a cliente (como los niveles de cifrado), funcionamiento siempre activo y detección de redes de confianza para distinguir una red pública de una ubicación corporativa segura. A continuación, la aplicación de políticas aplica la política corporativa, las reglas de ZTNA y las protecciones de tipo SWG —filtrado de URL, archivos, DNS e IP, antivirus y prevención de intrusiones— al tráfico del usuario.

Componentes del VSPA

VSPA se compone de cuatro partes. Las pasarelas en la nube —las pasarelas en la nube de Versa (VCG)— conforman la estructura de la red de acceso a la empresa ( SASE ) y procesan el tráfico de los usuarios remotos a través de una arquitectura de paso único. Un clienteSASE amplía la estructura a los dispositivos de los usuarios finales en Windows, macOS, iOS, Android, Chromebook y Linux; VSPA también admite la conectividad sin cliente para aquellos casos en los que no resulte práctico instalar un agente. La conectividad habilitada para SD-WAN proporciona a los VCG una gestión del tráfico hacia los centros de datos que tiene en cuenta los acuerdos de nivel de servicio (SLA), así como la detección automática de puertas de enlace y sucursales, sin que los administradores tengan que gestionar túneles IPsec manualmente. Un portal de autogestión ofrece a los administradores de la empresa una interfaz unificada para gestionar usuarios, aplicaciones y políticas tanto para los usuarios remotos como para las sucursales.

VSPA y la plataforma « Versa »

VSPA es uno de los dos tipos de suscripción disponibles en el SSE de Versa , junto con el Acceso Seguro a Internet de Versa (VSIA); las reglas de acceso seguro basadas en cliente de Concerto seleccionan un tipo de suscripción por regla —VSPA, VSIA o ambos—, lo que determina las acciones de tráfico disponibles. La acción característica de VSPA es «Breakout to Internet»: el tráfico privado se canaliza a través de un túnel hacia el VCG, mientras que el tráfico destinado a Internet sale localmente; se pueden seleccionar aplicaciones específicas, personalizadas o predefinidas, para que pasen obligatoriamente por el túnel, y la función «Split DNS» está habilitada por defecto. Los administradores pueden restringir aún más el acceso de VSPA por grupo de puertas de enlace, ubicación geográfica de origen y dirección IP de origen; además, los prefijos de ruta para los clientes de VSPA se limitaban a los rangos privados de la RFC 1918 en versiones anteriores, antes de que las versiones posteriores añadieran compatibilidad con rangos públicos. Por parte del portal « Titan », la función «Manage Users» gestiona a los usuarios de VSPA (RAC/RAS) —cuentas autenticadas localmente en una pasarela « SASE », un dispositivo de acceso remoto de sucursal o un dispositivo RAC/RAS multitenant— de forma distinta a los tipos de usuarios del IDP « Versa » y de SSO externo.

Preguntas frecuentes

¿Cuál es la diferencia entre VSPA y VSIA?

VSPA es el componente ZTNA de la SSE ( Versa ) de Microsoft, que gestiona el acceso con privilegios mínimos a aplicaciones privadas. VSIA (Versa Secure Internet Access) es el componente de pasarela web segura, que conecta a los usuarios con nubes públicas, servicios SaaS e Internet. Ambos se pueden configurar según el tipo de suscripción en el mismo cliente y en la misma pasarela.

¿En qué consiste el modelo de protección en tres fases que utiliza VSPA?

El registro autentica al cliente y descarga su configuración desde el portal SASE . La conexión determina el comportamiento de conectividad: selección de puerta de enlace, política de cifrado y detección de redes de confianza. A continuación, la aplicación de políticas aplica protecciones corporativas de acceso, ZTNA y de tipo SWG al tráfico en curso del usuario.

¿Admite VSPA el acceso sin cliente?

Sí. Además del cliente « Versa » (SASE ) para Windows, macOS, iOS, Android, Chromebook y Linux, VSPA admite la conectividad sin cliente para aquellos casos en los que no resulte práctico instalar un agente en el terminal, sin dejar de aplicar la política de acceso basada en la identidad.

¿Qué es un usuario VSPA (RAC/RAS) en el portal « Titan »?

Un usuario de VSPA (RAC/RAS) es una cuenta autenticada localmente configurada en una pasarela de SASE , un dispositivo VPN de acceso remoto de sucursal o un dispositivo RAC/RAS multitenant. La opción solo aparece para los clientes que hayan contratado el servicio VSPA con autenticación local, y el usuario recibe un correo electrónico para registrar el cliente VSPA.

¿En qué se diferencia VSPA de una VPN tradicional?

Un concentrador VPN tradicional concede acceso a nivel de red controlado principalmente mediante listas de acceso estáticas, que no pueden distinguir el contexto del usuario. Por el contrario, VSPA evalúa de forma continua la identidad, el dispositivo y el contexto, y limita el acceso a aplicaciones específicas, siguiendo el modelo de «acceso a la red de confianza cero» (Zero Trust Network Access) en lugar de permitir un acceso amplio a la red.

Más información sobre VSPA

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre VSPA, te conviene echar un vistazo a lo siguiente.