SD-WAN y Secure Service Edge para el Departamento de Defensa e implantaciones ultraseguras

Construida utilizando protocolos basados en estándares IETF: Basado en BGP/MPLS VPN y Ethernet VPN, con el uso de un SAFI Privado (Sub Address Family Identifier) para transportar información relacionada con SD-WAN como:

• Gestión de claves
• Estado y estado del circuito de acceso
• Información relacionada con NAT
• Información sobre SLA a aplicaciones críticas

Gestión de claves y certificados

• Emulación real de IKE sin utilizar IKE.
• El secreto de una sucursal nunca se envía por cable y puede rotarse cada cuatro minutos.
• Se deriva algorítmicamente un secreto compartido único entre cada par de ramas.
• Funciones avanzadas de gestión de certificados.
• Compatibilidad con OCSP, CMPv2, SCEP y ACME
• Compatibilidad con la gestión externa de claves mediante el Protocolo de Interoperabilidad de Gestión de Claves (KMIP) para implantaciones que requieran claves generadas por el arrendatario/cliente.

Capacidad de despliegue en entornos DDIL (Denegado, Interrumpido, Intermitente y Limitado).

• Tres imágenes VM - El conjunto mínimo de imágenes para operar completamente desconectado es de tres. Todas las actualizaciones de imágenes de seguridad son compatibles en un entorno completamente desconectado.
• Licencia gestionada centralmente por Versa Director. Versa Director es una de las tres imágenes donde se carga la licencia y no requiere llegar de nuevo a o a través de Internet.
• Versa Analytics es una de las imágenes. Proporciona a los operadores una visibilidad completa de la seguridad, la conectividad y el rendimiento.
• Panel único de gestión, así como aprovisionamiento centralizado, gestión, supervisión, visibilidad y análisis de Big Data para todos los servicios SASE (SD-WAN, SSE) y multicloud.
• La solución SD-WAN más utilizada por los proveedores de servicios por satélite, navieros y marítimos. Admite hasta 14 dominios de transporte subyacente por nodo. Puede alojar simultáneamente múltiples subyacentes como SATCOM (LEO, MEO, GEO), MPLS privado, LTE/5G, fibra terrestre, banda ancha y otros.

Dirección versátil del tráfico, acondicionamiento del tráfico y optimización avanzada de TCP

• Dirección del tráfico basada en cualquier campo de capa3-capa7 del paquete, aplicación de capa7, categoría de URL, usuario, grupo, postura del dispositivo, puntuación de confianza de la entidad, geolocalización, etiqueta de seguridad asociada a la fuente, hora del día y otros factores.

  • Tunnel-less por flujo. Versa puede soportar SD-WAN sin túnel donde y cuando sea necesario. Consulte la sección "Solución SD-WAN sin túnel de Versa".
  • El cifrado puede activarse o desactivarse por flujo.

• La solución Versa es muy adecuada y proporciona la mejor experiencia de aplicación para redes satelitales, marítimas y federales que aprovechan el cifrado de protocolo de Internet de alta seguridad(HAIPE) de la NSA o arquitecturas basadas en soluciones comerciales para clasificados(CSfC) que podrían experimentar DDIL y condiciones adversas. Consulte la sección "Versa SD-WAN para soluciones clasificadas".

• La dirección del tráfico se basa en la visibilidad de las características de la ruta dinámica de extremo a extremo, como la pérdida de paquetes, la latencia y la fluctuación. Esta función proporciona unos SLA de aplicación de extremo a extremo más precisos y resistentes. Todos los demás proveedores seleccionan la mejor ruta basada en SLA hasta el siguiente salto inmediato. Sólo Versa puede dirigir el tráfico basándose en métricas de ruta de extremo a extremo.
• Acondicionamiento del tráfico mediante FEC, replicación y otras medidas, que se activan automáticamente cuando el SLA se degrada y se detienen cuando el SLA mejora. Estas funciones están disponibles para todos los tipos de tráfico y no solo para voz y vídeo.
• Soporta algoritmos avanzados de optimización TCP y control de congestión como BBR, Hybla, SACK, Recent Acknowledgement.

Amplias capacidades de QoS La solución Versa admite una QoS muy completa (Layer3-QoS-Policy, AppQoS Policy, Policer, Marking, HQoS con 4K shapers y 64.000 colas) y capacidades de direccionamiento de tráfico SD-WAN. En función de los campos de capa 3 y capa 7 del tráfico recibido, incluida la aplicación, la categoría de URL y la postura del dispositivo, se asocia una clase de reenvío (FC) y una prioridad de pérdida de paquetes (PLP) a un flujo de tráfico. La FC y la PLP priorizan y programan el tráfico dentro de una plataforma VOS. Además, la reescritura de las cabeceras internas y externas y el modelado de salida se basan en la FC y la PLP. Por lo tanto, el tráfico de misión tiene prioridad sobre el tráfico menos crítico dentro de un dispositivo Versa, así como en la transmisión.

Muy adecuado para el despliegue de redes en zonas industriales abandonadas.

• Compatible con los principales protocolos de capa 2 y 3 (IPv4 e IPv6).
• Compatibilidad con IPv4, IPv6 y doble pila para VRF, así como transporte subyacente.

Soporta topologías complejas como Full Mesh, Hub and Spoke, Partial Mesh, Spoke-Hub-Hub-Spoke, Hub-Controllers, Controller behind the hub, y muchas más.

Infraestructura de plantillas muy rica: Versa soporta una infraestructura de plantillas muy rica que soporta una jerarquía de plantillas. Utilizando esta jerarquía de plantillas, se pueden definir políticas globales con políticas específicas que tienen mayor precedencia. Esto hace que la gestión global de la configuración sea sencilla y eficaz.

Un grupo de dispositivos es una colección de dispositivos con configuraciones similares pero no idénticas. Un grupo de dispositivos suele estar asociado a una plantilla de dispositivo y a un conjunto de plantillas de servicio de distintos tipos, como plantilla de servicio de seguridad, plantilla de servicio de dirección de aplicaciones, plantilla de servicio QoS, plantilla de servicio general y otras. Un grupo de dispositivos puede estar asociado a múltiples plantillas de servicios de seguridad que se aplican en un orden especificado por el operador. Además, puede haber plantillas de servicios de seguridad específicas para cada dispositivo.

CGNAT para v4 y v6 NAPT-44, DNAT-44, Dynamic NAT-44, Basic-NAT-44, Twice Basic NAT-44, NPT66, NAT64, MAP-E

Múltiples opciones para el aprovisionamiento sin intervención.

CPE universal para alojar múltiples VNF. Encadenamiento de servicios de VNF alojadas y PNF físicas externas.

Versa también ofrece una solución SD-WAN sin túnel, que hace que la red sea más escalable y eficiente en ancho de banda, eliminando la fragmentación de paquetes y mejorando la seguridad. Algunos de los casos de uso que impulsaron esta solución sin túneles fueron las redes satelitales, marítimas y federales que aprovechan el cifrado de protocolo de Internet de alta seguridad (HAIPE) de la NSA o las arquitecturas basadas en soluciones comerciales para clasificación (CSFC).

En el caso de todas las soluciones Tunnel-less, el paquete interior se divide en campos mutables e inmutables. La Figura 3 muestra todos los campos comunes de una cabecera IP, una cabecera TCP y una cabecera UDP. Un subconjunto de campos inmutables dentro de una cabecera IP, cabecera TCP y cabecera UDP, que son invariables durante la duración de un flujo de 5 tuplas, se muestran en color azul. Todas las soluciones asocian algún tipo de cookie, etiqueta, identificador de flujo o un par (puerto de origen, puerto de destino) con los campos inmutables.

Esta cookie/etiqueta/id de flujo/par de puertos se comunica con todo el paquete de carga útil desde un CPE SD-WAN emisor (SDWAN-CPE1) a un CPE SD-WAN receptor (SDWAN-CPE2) al menos una vez. Una vez que un SDWAN-CPE remoto (por ejemplo, SDWAN-CPE2) ha aprendido el mapeo del remitente (por ejemplo, SDWAN-CPE1) y se lo comunica al remitente, el remitente (SDWAN-CPE1) codifica su flow-id en la cabecera SDWAN y omite todos los campos inmutables del paquete de carga útil en el tráfico que se envía desde SDWAN-CPE1 a SDWAN-CPE2. Tenga en cuenta que dentro de la solución Versa Tunnel-less, un CPE SD-WAN emisor omite muchos otros campos IP, TCP y UDP del paquete de carga útil cuando envía tráfico a un CPE SD-WAN par. Estos campos no se describen en este libro blanco.

SD-WAN crea una red privada virtual que es independiente del transporte y de las aplicaciones, y admite la gestión y el aprovisionamiento centralizados. Es esencial que una solución SD-WAN pueda insertarse fácilmente en una red existente y permitir la migración gradual de las redes MPLS o DMVPN existentes a la red SD-WAN.

Como se ha explicado anteriormente, en el caso de todas las soluciones Tunnel-less, el paquete interno se divide en campos mutables e inmutables. Todas las soluciones asocian alguna forma de cookie, etiqueta, flow-id, o un par (origen-puerto, destino-puerto) con los campos inmutables. Este par de cookie/etiqueta/id de flujo/puerto se comunica con todo el paquete de carga útil desde un CPE SD-WAN emisor (SDWAN-CPE1) a un CPE SD-WAN receptor (SDWAN-CPE2) al menos una vez. Una vez que un SDWAN-CPE remoto (por ejemplo, SDWAN-CPE2) ha aprendido el mapeo del remitente (por ejemplo, SDWAN-CPE1) y lo comunica al remitente, el remitente (SDWAN-CPE1) codifica su flow-id en la cabecera SDWAN y omite todos los campos inmutables del paquete de carga útil en el tráfico que se envía desde SDWAN-CPE1 a SDWAN-CPE2.

Debido a las diferentes formas (flow-ids, combinación de puerto exterior de origen y puerto de destino) que los distintos proveedores han elegido para codificar los datos inmutables, sólo pueden interoperar en los límites (NNI: Network to Network Interface) de las redes SDWAN de los distintos proveedores. Esto se debe, entre otras cosas, a que la gestión de claves, la codificación de paquetes, el cifrado/descifrado, el plano de control (propagación de rutas), el plano de gestión (configuración y supervisión) y el plano de visibilidad (análisis de macrodatos) son muy diferentes para todos los proveedores.

Dos proveedores pueden interoperar utilizando protocolos basados en IETF como E-BGP, IPsec basado en IKE y TWAMP. Dos proveedores también pueden añadir la capacidad de descodificar y codificar los formatos del plano de datos del otro.

Versa Real Time Monitor proporciona información en tiempo real sobre todos los servicios de red, SD-WAN y seguridad que están configurados en cada appliance Versa. También proporciona información relativa a la salud (CPU, Memoria, Ancho de banda en cada una de las interfaces, Carga) de las instancias VOS.

Versa Analytics es una solución de big data que analiza registros y eventos y proporciona potentes informes, análisis y comentarios a Versa Director. Se integra de forma nativa con productos SIEM y de generación de informes de datos de terceros, como HP ArcSight, Splunk, IBM QRadar, LogRhythm y Elastic Search. Los VOS™ en las sucursales proporcionan continuamente información de supervisión de Versa Analytics relacionada con enlaces, rutas de red, eventos de seguridad, servicios, aplicaciones, etc. Además, cada servicio del VOS™, como el cortafuegos de nueva generación, IDS/IPS, filtrado de URL, CASB, SWG, DLP, RBI, UEBA, DNS Proxy y otros módulos, genera mensajes de registro a nivel de flujo y agregados que son consumidos por la plataforma Versa Analytics.

Toda esta información puede aprovecharse para funciones como la planificación de la capacidad y el análisis forense de la seguridad. Las figuras 6, 7, 8 y 9 muestran algunos ejemplos de la información disponible con Versa Analytics.

Versa Analytics envía estos registros a Versa UEBA a través de un bus KAFKA. Versa UEBA puede rastrear y marcar eventos anómalos de todas las entidades, como usuarios, portátiles, teléfonos, dispositivos IoT, etc. Si un usuario o un dispositivo IoT muestra un comportamiento anómalo, su puntuación de confianza de la entidad (Entity Confidence Score, ECS) se degrada. Este ECS se utiliza en diferentes tipos de políticas, como la Política de Control de Acceso de Seguridad y la Política de Monitorización de Tráfico. Si el ECS de una entidad se degrada, entonces se publica a todos los suscriptores (como las puertas de enlace de Versa Cloud) utilizando el Servicio de Mensajes Versa. Las puertas de enlace de Versa Cloud pueden aplicar correcciones en tiempo real cuando el ECS se degrada.