Qu'est-ce que le DIA ?

L'accès direct à Internet (DIA) est un modèle de connectivité des succursales dans lequel le trafic destiné à Internet et le trafic SaaS sont acheminés directement vers Internet depuis le site de la succursale, au lieu d'être acheminés via le réseau étendu (WAN) vers un hub central pour y être inspectés, ce qui réduit la latence et libère de la bande passante au siège social.

Points clés à retenir

• Il redirige le trafic destiné à Internet vers le réseau local au niveau de la succursale, et non vers un concentrateur.
• Réduit la latence et élimine les sauts en épingle à cheveux pour le trafic SaaS et cloud.
• Nécessite sa propre pile NAT et de sécurité à chaque point de sortie.
• Un circuit de dérivation central ou régional prend le relais en cas de défaillance d'un circuit local.
• Le pilotage basé sur les performances sélectionne le point DIA le plus rapide pour chaque application.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · DIA & Versa · FAQ

Pourquoi la DIA est-elle importante ?

Les réseaux de succursales traditionnels acheminent tout le trafic vers un hub via une liaison WAN privée, où un proxy centralisé et une pile de pare-feu l'inspectent avant qu'il n'atteigne Internet. Cela avait du sens lorsque les applications résidaient dans le centre de données, mais cela ajoute de la latence et consomme de la bande passante au niveau du hub, ce qui dégrade l'expérience utilisateur pour les applications cloud et SaaS qui n'avaient absolument pas besoin de passer par le hub.

La DIA revêt une importance particulière car des liaisons Internet fiables ont rendu la sortie locale rentable, et le passage au cloud public et aux plateformes SaaS telles qu’Office 365 l’a rendue indispensable. Le fait de faire sortir le trafic au niveau de la succursale réduit les besoins en bande passante au siège, élimine les sauts de réseau et diminue la latence. Le compromis : une succursale envoyant son trafic directement sur Internet est directement exposée ; les conceptions DIA doivent donc prévoir des contrôles de sécurité qu’un point de sortie centralisé assurait auparavant gratuitement.

Qu'est-ce que le DIA ?

D'un point de vue architectural, le DIA repose sur le routage standard et non sur un protocole spécifique. Une connexion logique est établie en interne entre le VRF d'un locataire et le routeur virtuel de transport WAN ; le VRF utilise alors l'EBGP pour annoncer une route par défaut vers ce routeur virtuel de transport, en déterminant son prochain saut via le tunnel logique qui les relie. Le trafic sortant emprunte ensuite cette route via la liaison WAN locale, au lieu de traverser le réseau superposé pour rejoindre un hub.

Une règle NAT (NAPT ou CGNAT) traduit l'ensemble du trafic sortant du réseau local vers une adresse IP publique partagée, de la même manière qu'un routeur domestique masque un réseau privé derrière une seule adresse accessible depuis Internet. Cela diffère d'un tunnel fractionné vers un sous-réseau privé, tel qu'un réseau MPLS : la connexion DIA applique toujours le NAT, tandis qu'un tunnel fractionné privé ne le fait généralement pas.

Types de DIA

Les déploiements DIA suivent quelques modèles courants, et la plupart des conceptions en combinent plusieurs. La sortie locale achemine le trafic Internet de chaque succursale via sa propre liaison WAN – il s’agit du modèle de base qui permet de tirer parti de la plupart des avantages du DIA. La sortie centrale ou régionale sert de solution de secours : une route par défaut moins privilégiée pointe vers un hub ou un site régional et s’active automatiquement en cas de défaillance du circuit local. La sortie basée sur les applications achemine localement un trafic spécifique, tel qu’une application SaaS donnée, tandis que le reste du trafic est acheminé de manière centralisée, ce qui limite l’exposition aux seules applications de confiance. La sortie basée sur les performances va plus loin : elle utilise des mesures de latence et de perte pour sélectionner automatiquement le meilleur point de sortie – local ou distant – pour chaque application.

DIA & Versa

Sur les périphériques VOS, la fonction DIA est configurée via les workflows du directeur d’ Versa , et non par un routage défini manuellement : l’activation de la fonction DIA sur un tunnel automatise le peering EBGP entre la VR de transport et la VR LAN, et provisionne la fonction CGNAT qui traduit le trafic sortant. Les liaisons WAN peuvent partager une préférence locale BGP à des fins d’équilibrage de charge, ou utiliser des préférences différentes pour une redondance de type « local avec sauvegarde centrale », comme détaillé dans le Guide de conception SD-WAN consolidé et le Guide de conception SD-WAN «Versa ».

Étant donné qu’une branche DIA est directement exposée à Internet, Versa recommande d’associer un IDS/IPS et un antivirus à chaque règle de pare-feu orientée vers la DIA, avec le déchiffrement SSL activé afin que les flux chiffrés puissent effectivement être inspectés. Les fonctionnalités de surveillance des applications SaaS et de proxy DNS d’ Versapermettent à un profil de transfert de sélectionner automatiquement le point de sortie présentant la latence la plus faible ; ainsi, la DIA basée sur les performances ne nécessite pas d’affecter manuellement les applications à un chemin.

Questions fréquentes

Quelle est la différence entre le DIA et un « split tunnel » ?

Le DIA est un type particulier de « split tunnel » : il s'agit d'un système qui sépare localement le trafic destiné à Internet et applique une traduction d'adresses réseau (NAT) afin de masquer les adresses du réseau local (LAN) derrière une adresse IP publique. Un « split tunnel » vers une infrastructure sous-jacente privée, telle qu'un réseau MPLS, fait généralement l'impasse sur l'étape de NAT, puisqu'il n'y a pas d'adresse à masquer au sein d'un réseau de confiance.

Pourquoi la DIA a-t-elle besoin de mesures de sécurité supplémentaires dans cette agence ?

Un point de sortie centralisé permet à un seul pare-feu et à une seule pile proxy d'inspecter l'ensemble du trafic Internet. La DIA supprime ce goulot d'étranglement ; ainsi, chaque succursale disposant d'une sortie locale devient son propre point d'exposition et doit disposer de ses propres systèmes IDS/IPS et antivirus pour maintenir le même niveau de sécurité.

Le DIA peut-il être redondant sur plusieurs liaisons WAN ?

Oui. Une succursale peut annoncer une route par défaut à partir de chaque liaison WAN avec des préférences locales BGP différentes, de sorte qu’une liaison soit principale et qu’une autre prenne automatiquement le relais en cas de défaillance de celle-ci, ou bien attribuer la même préférence à toutes les liaisons pour assurer un équilibrage de charge actif entre elles.

Comment fonctionne le « breakout » basé sur une application ?

Un profil de transfert SD-WAN et une règle de politique correspondent à une application spécifique, telle qu’une application SaaS donnée, et acheminent uniquement ce trafic vers un prochain saut local, tandis que le reste du trafic Internet de la succursale continue d’emprunter la route par défaut vers un point de sortie central ou régional.

Le DIA nécessite-t-il systématiquement le NAT ?

Oui, plus précisément pour la connexion à Internet. La configuration DIA crée une règle NAT qui traduit le trafic sortant du LAN vers une adresse IP publique partagée. Une connexion en « split tunnel » vers un réseau sous-jacent privé ne nécessite pas cela, car elle n'expose pas les adresses du LAN à l'Internet public.

Termes associés

Si vous vous intéressez à la DIA, voici quelques liens qui pourraient vous intéresser.