SD-WAN y Secure Service Edge para el Departamento de Defensa e implantaciones ultraseguras

Construida utilizando protocolos basados en estándares IETF: Basado en BGP/MPLS VPN y Ethernet VPN, con el uso de un SAFI Privado (Sub Address Family Identifier) para transportar información relacionada con SD-WAN como:

• Gestión de claves
• Estado y estado del circuito de acceso
• Información relacionada con NAT
• Información sobre SLA a aplicaciones críticas

Gestión de claves y certificados

• Emulación real de IKE sin utilizar IKE.
• El secreto de una sucursal nunca se envía por cable y puede rotarse cada cuatro minutos.
• Se deriva algorítmicamente un secreto compartido único entre cada par de ramas.
• Funciones avanzadas de gestión de certificados.
• Compatibilidad con OCSP, CMPv2, SCEP y ACME
• Compatibilidad con la gestión externa de claves mediante el Protocolo de Interoperabilidad de Gestión de Claves (KMIP) para implantaciones que requieran claves generadas por el arrendatario/cliente.

Capacidad de despliegue en entornos DDIL (Denegado, Interrumpido, Intermitente y Limitado).

• Tres imágenes VM - El conjunto mínimo de imágenes para operar completamente desconectado es de tres. Todas las actualizaciones de imágenes de seguridad son compatibles en un entorno completamente desconectado.
• La licencia se gestiona de forma centralizada mediante Versa . Versa es una de las tres imágenes en las que se carga la licencia y no requiere conexión a Internet.
• Versa es una de las soluciones. Ofrece a los operadores una visibilidad completa de la seguridad, la conectividad y el rendimiento.
• Panel único de gestión, así como aprovisionamiento centralizado, gestión, supervisión, visibilidad y análisis de Big Data para todos los servicios SASE (SD-WAN, SSE) y multicloud.
• La solución SD-WAN más utilizada por los proveedores de servicios por satélite, navieros y marítimos. Admite hasta 14 dominios de transporte subyacente por nodo. Puede alojar simultáneamente múltiples subyacentes como SATCOM (LEO, MEO, GEO), MPLS privado, LTE/5G, fibra terrestre, banda ancha y otros.

Dirección versátil del tráfico, acondicionamiento del tráfico y optimización avanzada de TCP

• Dirección del tráfico basada en cualquier campo de capa3-capa7 del paquete, aplicación de capa7, categoría de URL, usuario, grupo, postura del dispositivo, puntuación de confianza de la entidad, geolocalización, etiqueta de seguridad asociada a la fuente, hora del día y otros factores.

  • Sin túneles por flujo. Versa la tecnología SD-WAN sin túneles cuando y donde sea necesario. Consulte la sección«Solución SD-WAN sin túnelesVersa».
  • El cifrado puede activarse o desactivarse por flujo.

• Versa es ideal y ofrece la mejor experiencia de uso para redes satelitales, marítimas y federales que utilizan el cifradoHAIPE(High Assurance Internet Protocol Encryption) de la NSA o arquitecturas basadas enCSfC(Commercial Solutions for Classified) que puedan verse expuestas a DDIL y a condiciones adversas. Consulte la secciónVersa para soluciones clasificadas».

• El enrutamiento del tráfico se basa en la visibilidad de las características dinámicas de la ruta de extremo a extremo, como la pérdida de paquetes, la latencia y la fluctuación. Esta función ofrece acuerdos de nivel de servicio (SLA) para aplicaciones de extremo a extremo más precisos y resistentes. El resto de proveedores seleccionan la mejor ruta basándose en el SLA del siguiente salto inmediato. Solo Versa enrutar el tráfico basándose en métricas de ruta de extremo a extremo.
• Acondicionamiento del tráfico mediante FEC, replicación y otras medidas, que se activan automáticamente cuando el SLA se degrada y se detienen cuando el SLA mejora. Estas funciones están disponibles para todos los tipos de tráfico y no solo para voz y vídeo.
• Soporta algoritmos avanzados de optimización TCP y control de congestión como BBR, Hybla, SACK, Recent Acknowledgement.

Funciones completas de calidad de servicio (QoS): Versa ofrece funciones muy completas de calidad de servicio (políticas de QoS de capa 3, políticas de QoS de aplicaciones, controladores de tráfico, marcado, HQoS con reguladores de 4K y 64 000 colas) y de dirección del tráfico SD-WAN. Basándose en los campos de capa 3 a capa 7 del tráfico recibido, incluyendo la aplicación, la categoría de URL y el estado del dispositivo, se asocia una clase de reenvío (FC) y una prioridad de pérdida de paquetes (PLP) a un flujo de tráfico. La FC y la PLP priorizan y programan el tráfico dentro de una plataforma VOS. Además, la reescritura de los encabezados internos y externos y el modelado de salida se realizan en función de la FC y la PLP. Por lo tanto, el tráfico de misión tiene prioridad sobre el tráfico menos crítico tanto dentro de un Versa como en la transmisión.

Muy adecuado para el despliegue de redes en zonas industriales abandonadas.

• Compatible con los principales protocolos de capa 2 y 3 (IPv4 e IPv6).
• Compatibilidad con IPv4, IPv6 y doble pila para VRF, así como transporte subyacente.

Soporta topologías complejas como Full Mesh, Hub and Spoke, Partial Mesh, Spoke-Hub-Hub-Spoke, Hub-Controllers, Controller behind the hub, y muchas más.

Una infraestructura de plantillas muy completa: Versa una infraestructura de plantillas muy completa que admite una jerarquía de plantillas. Gracias a esta jerarquía, es posible definir políticas globales en las que las políticas específicas tengan mayor prioridad. Esto hace que la gestión general de la configuración resulte sencilla y eficiente.

Un grupo de dispositivos es una colección de dispositivos con configuraciones similares pero no idénticas. Un grupo de dispositivos suele estar asociado a una plantilla de dispositivo y a un conjunto de plantillas de servicio de distintos tipos, como plantilla de servicio de seguridad, plantilla de servicio de dirección de aplicaciones, plantilla de servicio QoS, plantilla de servicio general y otras. Un grupo de dispositivos puede estar asociado a múltiples plantillas de servicios de seguridad que se aplican en un orden especificado por el operador. Además, puede haber plantillas de servicios de seguridad específicas para cada dispositivo.

CGNAT para v4 y v6 NAPT-44, DNAT-44, Dynamic NAT-44, Basic-NAT-44, Twice Basic NAT-44, NPT66, NAT64, MAP-E

Múltiples opciones para el aprovisionamiento sin intervención.

CPE universal para alojar múltiples VNF. Encadenamiento de servicios de VNF alojadas y PNF físicas externas.

Versa ofrece una solución SD-WAN sin túneles, que hace que la red sea más escalable y eficiente en cuanto al ancho de banda, al tiempo que elimina la fragmentación de paquetes y mejora la seguridad. Algunos de los casos de uso que impulsaron esta solución sin túneles fueron las redes satelitales, marítimas y federales que utilizan arquitecturas basadas en el Protocolo de Cifrado de Internet de Alta Seguridad (HAIPE) de la NSA o en las Soluciones Comerciales para Información Clasificada (CSFC).

En el caso de todas las soluciones Tunnel-less, el paquete interior se divide en campos mutables e inmutables. La Figura 3 muestra todos los campos comunes de una cabecera IP, una cabecera TCP y una cabecera UDP. Un subconjunto de campos inmutables dentro de una cabecera IP, cabecera TCP y cabecera UDP, que son invariables durante la duración de un flujo de 5 tuplas, se muestran en color azul. Todas las soluciones asocian algún tipo de cookie, etiqueta, identificador de flujo o un par (puerto de origen, puerto de destino) con los campos inmutables.

Esta cookie/etiqueta/identificador de flujo/par de puertos se transmite junto con todo el paquete de carga útil desde un CPE SD-WAN emisor (SDWAN-CPE1) a un CPE SD-WAN receptor (SDWAN-CPE2) al menos una vez. Una vez que un CPE SD-WAN remoto (por ejemplo, SDWAN-CPE2) ha aprendido la asignación del emisor (por ejemplo, SDWAN-CPE1) y se lo comunica al remitente, este (SDWAN-CPE1) codifica su ID de flujo en el encabezado SD-WAN y omite todos los campos inmutables del paquete de carga útil en el tráfico que se envía desde SDWAN-CPE1 a SDWAN-CPE2. Tenga en cuenta que, dentro de la solución Versa , un CPE SD-WAN emisor omite muchos otros campos IP, TCP y UDP del paquete de carga útil al enviar tráfico a un CPE SD-WAN par. Estos no se describen en este informe técnico.

SD-WAN crea una red privada virtual que es independiente del transporte y de las aplicaciones, y admite la gestión y el aprovisionamiento centralizados. Es esencial que una solución SD-WAN pueda insertarse fácilmente en una red existente y permitir la migración gradual de las redes MPLS o DMVPN existentes a la red SD-WAN.

Como se ha explicado anteriormente, en el caso de todas las soluciones Tunnel-less, el paquete interno se divide en campos mutables e inmutables. Todas las soluciones asocian alguna forma de cookie, etiqueta, flow-id, o un par (origen-puerto, destino-puerto) con los campos inmutables. Este par de cookie/etiqueta/id de flujo/puerto se comunica con todo el paquete de carga útil desde un CPE SD-WAN emisor (SDWAN-CPE1) a un CPE SD-WAN receptor (SDWAN-CPE2) al menos una vez. Una vez que un SDWAN-CPE remoto (por ejemplo, SDWAN-CPE2) ha aprendido el mapeo del remitente (por ejemplo, SDWAN-CPE1) y lo comunica al remitente, el remitente (SDWAN-CPE1) codifica su flow-id en la cabecera SDWAN y omite todos los campos inmutables del paquete de carga útil en el tráfico que se envía desde SDWAN-CPE1 a SDWAN-CPE2.

Debido a las diferentes formas (flow-ids, combinación de puerto exterior de origen y puerto de destino) que los distintos proveedores han elegido para codificar los datos inmutables, sólo pueden interoperar en los límites (NNI: Network to Network Interface) de las redes SDWAN de los distintos proveedores. Esto se debe, entre otras cosas, a que la gestión de claves, la codificación de paquetes, el cifrado/descifrado, el plano de control (propagación de rutas), el plano de gestión (configuración y supervisión) y el plano de visibilidad (análisis de macrodatos) son muy diferentes para todos los proveedores.

Dos proveedores pueden interoperar utilizando protocolos basados en IETF como E-BGP, IPsec basado en IKE y TWAMP. Dos proveedores también pueden añadir la capacidad de descodificar y codificar los formatos del plano de datos del otro.

El Versa Time Monitor ofrece información en tiempo real sobre todos los servicios de red, SD-WAN y seguridad configurados en cada Versa . También proporciona información relativa al estado (CPU, memoria, ancho de banda en cada una de las interfaces, carga) de las instancias de VOS.

Versa es una solución de big data que analiza registros y eventos y proporciona potentes informes, análisis y retroalimentación a Versa . Se integra de forma nativa con productos de generación de informes de datos y SIEM de terceros, como HP ArcSight, Splunk, IBM QRadar, LogRhythm y Elastic Search. Los VOS™ de las sucursales proporcionan continuamente Versa información de supervisión relacionada con enlaces, rutas de red, eventos de seguridad, servicios, aplicaciones, etc. Además, todos los servicios del VOS™, como el firewall de última generación, IDS/IPS, filtrado de URL, CASB, SWG, DLP, RBI, UEBA, proxy DNS y otros módulos, generan mensajes de registro a nivel de flujo y agregados que son procesados por la plataforma Versa .

Toda esta información puede aprovecharse para funciones como la planificación de la capacidad y el análisis forense de seguridad. Las figuras 6, 7 , 8 y 9 ofrecen algunos ejemplos de la información disponible mediante Versa .

Versa envía estos registros a Versa a través de un bus KAFKA. Versa puede rastrear y señalar eventos anómalos de todas las entidades, como usuarios, ordenadores portátiles, teléfonos, dispositivos IoT y más. Si un usuario o un dispositivo IoT muestra un comportamiento anómalo, su puntuación de confianza de entidad (ECS) se reduce. Esta ECS se utiliza en diferentes tipos de políticas, como la política de control de acceso de seguridad y la política de supervisión del tráfico. Si la ECS de una entidad se degrada, se publica a todos los suscriptores (como las puertas de enlace Versa ) mediante el Servicio Versa . Las puertas de enlace Versa pueden aplicar medidas correctivas en tiempo real cuando la ECS se degrada.