Qu'est-ce qu'une région ?

Une région est une entité définie par Concerto et Director qui regroupe des sites – ainsi que les hubs, les nœuds Director ou les nœuds Controller qui les desservent – afin de faire évoluer les réseaux SD-WAN de grande envergure, d’appliquer un contrôle d’accès basé sur les rôles région par région et de définir des topologies de type « hub-and-spoke » avec des priorités de hub par région ; une région Concerto peut également disposer de son propre domaine racine pour la génération de noms de domaine complets (FQDN) des passerelles d’ SASE .

Points clés à retenir

• Regroupement des sites, des hubs et des nœuds de direction par région pour les réseaux à grande échelle.
• Les rôles peuvent être définis par région, ce qui permet de limiter les informations accessibles à un administrateur.
• Un même centre peut desservir plusieurs régions, chacune ayant ses propres priorités.
• La topologie SHHS (maillage régional) achemine le trafic interrégional via des nœuds centraux.
• Une région peut disposer de son propre domaine racine pour les noms de domaine complets (FQDN) des passerelles d'SASE .

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · Régions et Versa · FAQ

Pourquoi les régions sont-elles importantes ?

Les déploiements à grande échelle de SD-WAN et d’ SASE dépassent rapidement les capacités d’une simple liste de sites. Les entreprises et les fournisseurs de services disposant de centaines, voire de milliers de sites, doivent segmenter leur réseau pour garantir l’évolutivité, déléguer l’administration et réguler le flux de trafic. Les régions constituent la solution proposée par Versa: une topologie et une limite de contrôle d’accès qui permettent à un opérateur d’attribuer des hubs, des nœuds Director et des autorisations par région, plutôt que de gérer chaque site individuellement.

Les avantages en matière de contrôle d'accès sont immédiats. Les rôles peuvent être limités à des régions spécifiques ; ainsi, un administrateur régional ne voit et ne gère que les sites, les appareils et les nœuds Director situés dans les régions qui lui sont attribuées – rien d'autre. Cette délimitation est essentielle pour les déploiements couvrant plusieurs pays ou plusieurs unités opérationnelles partageant une même instance de Concerto ou de Director.

Les régions influencent également l'ingénierie du trafic : un même nœud peut desservir plusieurs régions avec des priorités différentes, et le trafic interrégional peut être acheminé via des nœuds régionaux, ce qui permet aux concepteurs de créer des topologies trop vastes pour être gérées comme un ensemble de sites indifférenciés.

Qu'est-ce qu'une région ?

Une région est un objet topologique créé dans Concerto ou Director qui regroupe des sites et l'infrastructure qui les dessert. Dans Concerto, une région se voit attribuer un ou plusieurs hubs – chacun doté d'une priorité spécifique à la région – et un ou plusieurs nœuds Director ; un nouveau site ne peut sélectionner que des nœuds Director desservant sa région. Un hub peut appartenir à plusieurs régions, mais chaque site « spoke » n'appartient qu'à une seule.

Les identifiants de région permettent d'identifier numériquement chaque région (de 0 à 64 000 dans Concerto) ; chaque déploiement commence par une région par défaut créée automatiquement, à laquelle les sites existants sont affectés lors de la mise à niveau. Les régions au-delà de cette base sont facultatives ; elles sont créées uniquement à des fins d'accès basé sur les rôles, même lorsqu'elles ne remplissent aucune fonction réseau.

Dans Director, un concept de mise en correspondance regroupe les nœuds « hubs », « spokes » et « Controller » pour les topologies de type « spoke-hub-hub-spoke » (SHHS), dans lesquelles les périphériques associent aux routes annoncées une chaîne de communauté BGP spécifique à leur région, de sorte que les nœuds « spokes » n'acceptent que les routes portant le marqueur de leur propre région.

Types de régions

Versa La documentation décrit les régions dans deux contextes liés mais distincts, ainsi qu'une configuration de base à partir de laquelle chaque déploiement démarre.

Les régions Concerto constituent une entité de gestion et de contrôle d'accès : il s'agit d'un groupe nommé de sites auquel sont affectés des hubs, des nœuds Director et des autorisations basées sur les rôles, pouvant éventuellement disposer de son propre domaine racine que Concerto utilise lors de la génération des noms de domaine complets (FQDN) des passerelles SASE pour un locataire et ses locataires enfants.

Les régions de directeur SHHS sont destinées à l'ingénierie du trafic dans les topologies de type « spoke-hub-hub-spoke »: une région regroupe des hubs, des spokes et des nœuds contrôleurs, et peut utiliser des nœuds hub-contrôleur (HCN) dédiés qui combinent les fonctions de hub et de contrôleur pour desservir localement les spokes, au lieu de faire transiter chaque session vers un contrôleur de niveau supérieur.

La région par défaut (globale) constitue la base de départ de toute installation – elle correspond à l'ID de région 1 dans les déploiements à région unique – et c'est à celle-ci que les sites existants sont automatiquement affectés lors d'une mise à niveau. Les déploiements qui ne nécessitent jamais de segmentation multirégionale peuvent s'exécuter entièrement au sein de cette région.

Régions et Versa

Les régions sont présentes dans les deux volets de la plateforme « VersaONE ». Dans Concerto, l’espace de travail « Déployer > Régions » permet aux opérateurs de créer des régions, d’attribuer des hubs et des nœuds Director, d’ajouter des sites et, à partir de la version 13.1.1, de définir des autorisations de lecture, de mise à jour, de suppression et de publication par rôle et par région ; consultez la section « Configurer les régions » pour connaître le flux de travail complet. La version 11.3.1 a introduit les domaines racines par région, ce qui permet aux noms de domaine complets (FQDN) des passerelles d’ SASE de refléter un domaine spécifique à un pays plutôt que le domaine par défaut du locataire.

Dans Director, les régions apparaissent dans les modèles de workflow et les groupes de branches sous la forme d’un champ « Région », élément fondamental des topologies de type « branche-hub-hub-branche »; le Guide de conception SD-WAN consolidé aborde ce sujet sous le nom de topologie « maillage régional », recommandée pour les sites dispersés où le trafic interrégional doit transiter par des hubs régionaux plutôt que de s’interconnecter directement en maillage.

Questions fréquentes

Quelle est la différence entre une région « Concerto » et une région « Director » ?

Une région Concerto est un regroupement à des fins de gestion et de contrôle d'accès, comprenant des sites, des hubs, des nœuds Director et des autorisations de rôle. Une région Director prend en charge les topologies « spoke-hub-hub-spoke », en associant aux routes une communauté BGP spécifique à la région, de sorte que la délimitation du périmètre s'effectue au niveau de la couche de routage, et non pas uniquement sur le plan administratif.

Un hub peut-il appartenir à plusieurs régions ?

Oui. Un hub peut être affecté à plusieurs régions, et Concerto permet à un opérateur de définir une priorité différente pour ce hub dans chaque région. Il en va autrement pour les appareils « spoke » : chaque « spoke » appartient à une seule et même région à la fois.

Qu'est-ce que la région par défaut ?

La région par défaut est créée automatiquement lors de la première installation de Concerto ou de Director. Les sites existants y sont automatiquement affectés lors des mises à niveau qui introduisent des régions, et les déploiements ne nécessitant jamais de segmentation multirégionale peuvent laisser tous les sites dans cette région sans en créer d'autres.

En quoi les régions influent-elles sur le contrôle d'accès basé sur les rôles ?

Les régions permettent aux administrateurs de limiter la portée des rôles à des zones géographiques ou à des entités opérationnelles spécifiques. Un rôle peut se voir attribuer des autorisations de lecture, de modification, de suppression ou de publication par région (version 13.1.1 et ultérieures) ; ainsi, un administrateur ne gère que les sites et les appliances situés dans les régions qui lui sont attribuées.

Qu'est-ce qu'un nœud « hub-contrôleur » et quel est son lien avec les régions ?

Un nœud « hub-controller » (HCN) combine les fonctions de hub et de contrôleur afin de desservir localement les nœuds « spokes » de sa propre région, plutôt que de faire transiter chaque session vers un contrôleur de niveau supérieur. Les HCN établissent des tunnels vers les contrôleurs de niveau supérieur ; les nœuds « spokes » ne s'connectent par tunnel qu'au HCN local.

En savoir plus sur les régions

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez aux régions, voici quelques liens qui pourraient vous intéresser.