¿Qué es ZT-LAN?

La LAN de confianza cero (ZT-LAN) es una arquitectura de LAN local de Versa Networks que combina ZT Edge y Secure SD-LAN para ofrecer acceso a la red de confianza cero, microsegmentación y redes de campus y sucursales definidas por software. Ejecuta el sistema operativo « Versa » (VOS) directamente en conmutadores Ethernet, puntos de acceso WLAN y dispositivos locales.

Puntos clave

• ZT-LAN combina ZT Edge y Secure SD-LAN en una única arquitectura local.
• Ejecuta VOS en conmutadores Ethernet, puntos de acceso WLAN y dispositivos.
• Incorpora una solución de seguridad completa, lo que elimina la necesidad de dispositivos de cortafuegos independientes.
• El acceso a la red se controla mediante 802.1X, la identificación de dispositivos y las políticas de usuario.
• Las superposiciones EVPN VXLAN amplían la microsegmentación a todos los dispositivos de la LAN.

En esta página: Por qué es importante · Cómo funciona · Componentes de ZT-LAN · ZT-LAN y Versa · Preguntas frecuentes

¿Por qué es importante ZT-LAN?

Las redes LAN de los campus y las sucursales han sido tradicionalmente una zona de confianza una vez que un dispositivo supera la puerta de entrada, un modelo que permite que un terminal comprometido se desplace lateralmente sin apenas control. ZT-LAN invierte esa premisa: se toma la huella digital de cada dispositivo, se autentica y se comprueba su conformidad con la política, y las funciones de seguridad de las capas 3 a 7 se ejecutan en línea, cerca del usuario, en lugar de ser redirigidas a un cortafuegos distante.

Esa ubicación en línea elimina un componente de hardware que la mayoría de los diseños de LAN dan por obligatorio: un dispositivo de firewall dedicado. Dado que toda la pila de seguridad —NGFW, UTM, IPS, protección contra malware— está integrada en cada conmutador Ethernet seguro, punto de acceso WLAN seguro y dispositivo ZT-LAN, la aplicación de las políticas se produce a velocidad de línea, allí donde ya se encuentra el tráfico. La interoperabilidad basada en estándares permite que esa pila se pueda utilizar en redes LAN de múltiples proveedores, evitando la dependencia de un único proveedor, mientras que la identificación de dispositivos y el protocolo 802.1X proporcionan al departamento de TI visibilidad sobre los dispositivos IoT y BYOD que ahora dominan la mayoría de los puertos de las redes LAN.

¿Qué es ZT-LAN?

ZT-LAN combina ZT Edge (aplicación del modelo Zero Trust cerca del usuario) y Secure SD-LAN (conmutación, enrutamiento y seguridad unificados para la LAN), ambos ejecutándose como parte de VOS. Las funciones con estado —las mismas que impulsan VOS en el resto de la plataforma « Versa »— se ejecutan integradas en el hardware de la LAN, mientras que las funciones sin estado de las capas 2 y 3 se ejecutan a velocidad de línea en los conmutadores y puntos de acceso, utilizando motores de descarga de hardware para la aplicación de ZTNA a velocidad de línea y la microsegmentación.

Un motor de políticas que abarca desde la capa 3 hasta la capa 7 evalúa aplicaciones, URL y señales contextuales, como la ubicación, para permitir, bloquear, limitar la velocidad o clasificar el tráfico. La gestión unificada de amenazas (UTM) analiza las cargas útiles en busca de malware y vulnerabilidades tanto en la dirección norte-sur como en la este-oeste, y puede aplicarse de forma dinámica; por ejemplo, a un dispositivo local que el ZTNA marque como no conforme. Las políticas de multitenencia y microsegmentación separan el tráfico, las aplicaciones y los dispositivos de cada inquilino en los planos de gestión, control y datos, utilizando VRF, conmutadores virtuales e interfaces IRB.

Componentes de ZT-LAN

El control de acceso se presenta en dos modalidades. El control de acceso sin cliente utiliza el estándar 802.1X para la autenticación basada en certificados y la asignación de microsegmentos, la identificación de dispositivos (Dev-ID) para clasificar los terminales de IoT, corporativos y BYOD, y el control de acceso de usuarios y grupos a través de un portal cautivo o un proveedor de identidad como Active Directory. El control de acceso basado en cliente utiliza el cliente Secure Private Access (VSPA) de Versa , que crea un perfil de información del terminal —versión del sistema operativo, nivel de parches, cifrado de disco, estado del antivirus— y lo comunica a la instancia de VOS más cercana para la aplicación de políticas; el cliente funciona sin túnel en la LAN de confianza y con túnel de forma remota.

El plano de control de EVPN y las superposiciones VXLAN amplían los segmentos de capa 2 a través de los dispositivos ZT-LAN. MP-BGP distribuye la información de enrutamiento MAC e IP entre los dispositivos ZT-LAN de tipo «leaf» y «spine» que actúan como puntos finales de túneles VXLAN, asignando las VLAN a identificadores de red VXLAN para que el tráfico multitenant permanezca aislado a escala de campus; véase «Configurar EVPN VXLAN para ZT-LAN». Los hosts pueden conectarse a dos o más dispositivos ZT-LAN en modo «all-active» o «single-active» para garantizar la redundancia, tal y como se detalla en «Configuración del multihoming EVPN para hosts mediante ZT-LAN».

La gestión centralizada se lleva a cabo a través de Concerto Orchestrator, de Versa , lo que ofrece un único portal para el diseño de políticas, la supervisión de dispositivos y servicios, la multitenencia jerárquica con control de acceso basado en roles y la integración con API de terceros y plataformas en la nube.

ZT-LAN y Versa

ZT-LAN es el equivalente en la capa LAN de las soluciones SD-WAN de Versa, ya que comparte la misma base VOS, la misma interfaz unificada basada en Concerto y el mismo motor de análisis « Versa » que transforma la telemetría de los dispositivos en análisis de comportamiento, informes de tráfico por usuario y información sobre la topología casi en tiempo real. Los conmutadores Ethernet, los puntos de acceso WLAN y los dispositivos locales ejecutan VOS como dispositivos ZT-LAN, por lo que el diseño de políticas o segmentación utiliza los mismos conceptos del plano de control —organizaciones, conmutadores virtuales, enrutadores virtuales— que el resto de una implementación de Versa . Los detalles completos sobre las características y capacidades se recogen en la documentación sobre características y capacidades de ZT-LAN.

Preguntas frecuentes

¿Cuál es la diferencia entre ZT-LAN y Secure SD-LAN?

ZT-LAN es la arquitectura LAN local más amplia, que combina ZT Edge (aplicación del modelo Zero Trust cerca del usuario) con Secure SD-LAN, que es, concretamente, la capa unificada de conmutación, enrutamiento y seguridad para las redes LAN de campus y sucursales.

¿ZT-LAN requiere un dispositivo de cortafuegos independiente?

No. Toda la pila de seguridad —NGFW, UTM, IPS y protección contra malware— está integrada directamente en cada conmutador Ethernet seguro, punto de acceso WLAN seguro y dispositivo ZT-LAN, por lo que la aplicación de las medidas de seguridad se lleva a cabo en línea, sin necesidad de un dispositivo de cortafuegos independiente.

¿Cómo decide ZT-LAN si un dispositivo puede acceder a la red?

Ya sea mediante controles sin cliente —autenticación 802.1X y reconocimiento de dispositivos que clasifica los dispositivos IoT, corporativos y BYOD— o mediante el cliente VSPA, que crea un perfil del terminal y lo envía a la instancia de VOS más cercana para la aplicación de las políticas.

¿Qué papel desempeña EVPN en ZT-LAN?

EVPN es el plano de control que distribuye la accesibilidad MAC e IP entre los dispositivos ZT-LAN mediante MP-BGP, mientras que VXLAN proporciona la superposición del plano de datos que amplía los segmentos de capa 2 y el aislamiento multitenant en todo el campus.

¿Cómo se gestiona una implementación de ZT-LAN?

A través de Versa Concerto Orchestrator, un portal con vista única que ofrece gestión centralizada de políticas, multitenencia jerárquica con control de acceso basado en roles, supervisión de dispositivos y servicios, e integración con sistemas de gestión de terceros y en la nube.

Más información sobre el hardware de « Versa »

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre ZT-LAN, te conviene echar un vistazo a esto a continuación.