Qu'est-ce qu'un groupe d'adresses ?

Un groupe d'adresses est un objet de politique d'Versa réutilisable qui regroupe sous un même nom des sous-réseaux IP, des plages d'adresses, des adresses génériques, des noms de domaine complets (FQDN), des objets d'adresse ou d'autres groupes d'adresses. Le fait de faire référence au groupe – plutôt qu'à chacune des adresses qu'il contient – permet à une seule politique de sécurité, de SD-WAN ou de qualité de service (QoS) de s'appliquer simultanément à de nombreuses adresses.

Points clés à retenir

• Les groupes d'adresses regroupent plusieurs adresses afin qu'une seule règle puisse s'appliquer à toutes.
• Les éléments peuvent être des sous-réseaux, des plages d'adresses, des caractères génériques, des noms de domaine complets (FQDN) ou d'autres groupes.
• Les groupes statiques répertorient explicitement leurs membres ; les groupes dynamiques sont constitués en fonction de balises.
• Une organisation peut définir un nombre illimité de groupes d'adresses.
• Les politiques de sécurité, SD-WAN et QoS acceptent toutes les groupes d'adresses comme critères.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · Groupes d’adresses et Versa · FAQ

Pourquoi les groupes d'adresses sont-ils importants ?

Les politiques de sécurité, de SD-WAN et de qualité de service (QoS) filtrent toutes le trafic en fonction des adresses source et de destination. Sans regroupement, un administrateur qui souhaite appliquer une décision d’accès à un ensemble d’hôtes liés (un sous-réseau de serveurs, une liste de plages d’adresses IP de partenaires, un parc de charges de travail dans le cloud) doit ajouter chaque adresse à chaque règle qui en a besoin, puis répéter cette modification dans chaque règle lorsque l’ensemble évolue.

Un groupe d'adresses regroupe cette liste en un seul objet nommé auquel une règle fait référence une seule fois. Ajoutez ou supprimez un membre, et toutes les politiques faisant référence à ce groupe sont mises à jour automatiquement, sans qu'il soit nécessaire de passer par chaque règle. Les groupes d'adresses dynamiques étendent cet avantage aux adresses qui ne sont pas stables au moment de la configuration : une charge de travail dans le cloud soumise à une migration à chaud conserve la couverture de ses politiques même lorsque son adresse IP change, car le groupe est identifié par une balise plutôt que par une valeur fixe.

Qu'est-ce qu'un groupe d'adresses ?

Un groupe d'adresses est un conteneur nommé qui regroupe des adresses de sites Web, des objets d'adresse, des fichiers d'adresses et d'autres groupes d'adresses en une seule valeur de correspondance réutilisable. Plutôt que de faire référence à un objet d'adresse (un sous-réseau IP, une plage d'adresses, un masque générique ou un nom de domaine complet), une politique fait référence au groupe, qui peut contenir jusqu'à six types d'adresses et, en l'absence de fichier d'adresses importé, des dizaines de milliers de valeurs par type.

Les groupes d’adresses sont configurés dans la section « Objets et connecteurs » d’ Versa Director, ou dans « Objets réutilisables » de la vue « Tenant » de Concerto, puis sélectionnés comme critères de correspondance source ou destination dans les politiques de pare-feu avec état, de pare-feu nouvelle génération (NGFW), de qualité de service (QoS) des applications, de routage basé sur des politiques et d’acheminement du trafic SD-WAN. Un groupe peut également être créé directement lors de la création d’une règle de politique. Étant donné qu’un groupe peut lui-même contenir d’autres groupes, les administrateurs peuvent créer des regroupements hiérarchisés – par exemple, un groupe régional composé de plusieurs groupes au niveau des sites.

Types de groupes d'adresses

Versa distingue deux types de groupes d'adresses. Un groupe d'adresses statique répertorie explicitement ses membres : objets d'adresse, fichiers d'adresses importés, sous-réseaux IP, plages d'adresses, masques génériques, sous-réseaux IPv6 ou autres groupes d'adresses, dans n'importe quelle combinaison comprenant jusqu'à six types par groupe. Il s'agit du type par défaut, utilisé pour les infrastructures stables telles que les sous-réseaux de serveurs, les plages d'adresses IP des partenaires ou les réseaux locaux (LAN) des succursales.

Un groupe d’adresses dynamique associe ses membres par balise plutôt que par une valeur fixe ; il est conçu pour les adresses qui changent – qu’il s’agisse de charges de travail cloud balisées via un connecteur CMS ou d’hôtes mappés via un fichier de correspondance sous-réseau IP/balise téléchargé. Les critères de correspondance combinent des balises selon une logique ET/OU, de sorte que la composition du groupe s’actualise au fur et à mesure que les ressources balisées apparaissent ou disparaissent. Le workflow « Tenant-view » de Concerto propose le même choix que celui entre « Adresse IP statique » et « Flux d’adresses », ce dernier récupérant la composition du groupe à partir d’un flux externe.

Groupes d'adresses et Versa

Les groupes d'adresses font partie des objets réutilisables proposés par Versa : une configuration est ainsi créée une seule fois et référencée partout où elle s'applique, au même titre que les objets d'adresse, les services, les plannings et les profils de journalisation. Director suit chaque référence à un groupe, ce qui permet à un administrateur de voir quels modèles et appareils l'utilisent avant de le modifier ou de le supprimer ; la vue « Objets réutilisables » de Concerto ajoute les actions « Afficher le journal d'audit » et « Copier vers un sous-locataire » pour ces mêmes objets.

Les groupes d'adresses sont généralement associés à des modèles communs (de stockage de données) ; ainsi, un groupe défini une seule fois peut être référencé par tous les modèles de service d'un locataire qui en ont besoin, ce qui permet de maintenir la cohérence d'une politique partagée (par exemple, une liste de sous-réseaux partenaires bloqués) dans l'ensemble des configurations de pare-feu et de SD-WAN d'un locataire. L'onglet « Monitor » de Director affiche également directement l'appartenance aux groupes d'adresses, sous « Networking > Address Groups ». Reportez-vous à la section « Configurer les objets d'adresse » pour consulter la référence complète des champs.

Questions fréquentes

Quelle est la différence entre un objet « adresse » et un groupe d'adresses ?

Un objet d'adresse correspond à une seule valeur de correspondance : un sous-réseau IP, une plage d'adresses, un masque générique ou un nom de domaine complet (FQDN). Un groupe d'adresses regroupe plusieurs objets d'adresse, fichiers d'adresses ou autres groupes d'adresses en un seul objet nommé, ce qui permet à une politique de les cibler tous en faisant référence une seule fois à ce groupe.

Quelle est la différence entre un groupe d'adresses statique et un groupe d'adresses dynamique ?

Un groupe d'adresses statique répertorie explicitement ses membres : sous-réseaux, plages d'adresses, noms de domaine complets (FQDN) et objets d'adresse. Un groupe d'adresses dynamique sélectionne ses membres en fonction d'une balise, généralement pour les charges de travail dans le cloud dont les adresses IP changent ; la composition du groupe est mise à jour automatiquement à mesure que les ressources balisées apparaissent ou disparaissent, sans qu'il soit nécessaire de modifier le groupe.

Un groupe d'adresses peut-il contenir d'autres groupes d'adresses ?

Oui. Les groupes d'adresses statiques peuvent contenir d'autres groupes d'adresses, ainsi que des objets d'adresse, des sous-réseaux, des plages d'adresses et des noms de domaine complets (FQDN), ce qui permet aux administrateurs de créer des regroupements hiérarchisés – par exemple, en combinant plusieurs groupes au niveau d'un site en un seul groupe régional auquel une règle de politique unique peut ensuite faire directement référence.

Quelles politiques peuvent être associées à un groupe d'adresses ?

Les groupes d'adresses constituent des critères de correspondance de source ou de destination valides dans les politiques de sécurité des pare-feu avec suivi d'état et des pare-feu de nouvelle génération (NGFW), la qualité de service (QoS) des applications, le routage basé sur des politiques et les politiques d'acheminement du trafic SD-WAN – partout où une règle de politique doit faire correspondre le trafic en fonction de l'adresse source ou de destination plutôt qu'en fonction d'une seule adresse IP.

Y a-t-il une limite au nombre de groupes d'adresses qu'une organisation peut avoir ?

Non – Versa Director n'impose aucune limite quant au nombre de groupes d'adresses par organisation. Les limites s'appliquent plutôt au sein d'un même groupe : jusqu'à six types d'adresses et jusqu'à 32 767 entrées par type avant qu'un fichier d'adresses ne doive être importé.

En savoir plus sur les groupes d'adresses

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous renseignez sur les groupes d'adresses, cela vaut la peine de vous pencher sur ce sujet ensuite.