Qu'est-ce qu'un client « SASE » ?

Le client « SASE » – le client « Versa »SASE – est l’application VPN native de Versa, disponible pour Android, Chromebook, iOS, Linux, macOS et Windows. Elle permet de connecter les utilisateurs distants aux passerelles d’accès sécurisé Versa via des tunnels IPsec, TLS ou DTLS, tout en appliquant la politique « Zero Trust » grâce à l’authentification multifactorielle, aux contrôles de l’état des appareils et à la sélection continue de la meilleure passerelle et du meilleur chemin.

Points clés à retenir

• Une application VPN native pour Android, Chromebook, iOS, Linux, macOS et Windows.
• Anciennement appelée « Versa Secure Access (VSA) » (application client).
• Il s'enregistre auprès d'un portail, puis établit une connexion via un tunnel vers une passerelle d'accès sécurisée.
• Géré à partir du service d’accès sécurisé de l’ Versa , ou à partir de Concerto.
• Assure la mise en œuvre de l'authentification multifactorielle (MFA), de la conformité des appareils, du « split tunneling » et de la sélection de la meilleure passerelle.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · SASE Modèles de déploiement client · SASE Client et Versa · FAQ

Pourquoi est-il important d'avoir un client « SASE » ?

L'accès « Zero Trust » repose sur un point d'application cohérent au niveau du terminal lui-même, et non pas uniquement à la périphérie du réseau. Le client « SASE » constitue ce point de contrôle : il s’agit d’une application unique, disponible sur tous les principaux systèmes d’exploitation de bureau et mobiles, qui authentifie l’utilisateur, vérifie l’état de sécurité du terminal et applique toutes les règles définies par l’administrateur (tunneling sélectif, détection des réseaux de confiance, contrôles de prévention des pertes de données) sur le terminal à partir duquel l’utilisateur travaille. Sans ce client, l’accès à distance se résume à un simple tunnel VPN sans vérification continue une fois la connexion établie.

C’est également ce qui fait du « Zero Trust » une approche pratique, et non pas purement théorique, pour les utilisateurs finaux. Le client réévalue le contexte en continu : il bascule vers une passerelle ou un chemin plus performant lorsque les performances baissent, ne contourne le tunnel que lorsque les conditions d’un réseau de confiance sont vérifiables, et transmet les données télémétriques relatives à l’appareil et à la connexion à la plateforme. Ainsi, les décisions d’accès restent à jour, au lieu d’être prises une seule fois lors de la connexion et de ne plus jamais être réexaminées.

Qu'est-ce qu'un client « SASE » ?

Le client « SASE » est un client VPN natif, anciennement appelé « Versa Secure Access (VSA) » avant que le logiciel ne soit rebaptisé au fil des versions. Il établit une connexion VPN d’accès à distance via des tunnels IPsec (IKEv2), TLS ou DTLS, selon l’ordre des tunnels configuré sur la passerelle, avec une authentification de niveau entreprise, notamment EAP-MSCHAPv2, l’authentification à deux facteurs, les mots de passe à usage unique par SMS ou e-mail, TOTP, SAML et l’authentification des appareils par certificat. Cette même application est disponible pour toutes les principales plateformes de bureau et mobiles, ce qui garantit une expérience de connexion et des politiques d’application cohérentes, quel que soit l’appareil utilisé par l’utilisateur.

La connexion se déroule en deux étapes. Le client s'enregistre d'abord sur un portail d'accès sécurisé, qui authentifie l'utilisateur (localement ou via LDAP), transmet la configuration, les règles et les routes, et génère le secret à usage unique utilisé pour établir le tunnel. Il se connecte ensuite à une passerelle d'accès sécurisée pour la session VPN proprement dite, dont le comportement (règles applicables, passerelle privilégiée, utilisation ou non du « split tunneling ») est contrôlé en fonction de l'utilisateur, du groupe, de la région ou de l'appareil.

SASE Modèles de déploiement client

Une même application client est gérée à partir de l’un des deux backends. Dans le modèle géré par Director, un administrateur configure le service d’accès sécurisé d’ Versa directement sur les appareils VOS dans Director – Services > Accès sécurisé > Portail et passerelle, avec des profils d’accès sécurisé, des routes et des résolveurs DNS définis par modèle ; les rôles de portail et de passerelle peuvent résider sur le même appareil ou sur deux appareils distincts. Dans le modèle géré par Concerto, le client est quant à lui régi par des règles d’accès sécurisées basées sur le client, configurées via les workflows « SASE » de Concerto, qui connectent les utilisateurs à des passerelles cloud « Versa » plutôt qu’à une paire portail/passerelle hébergée sur VOS. Le modèle applicable dépend du fait que les services « SASE » du locataire soient administrés depuis Director ou depuis Concerto ; le binaire client, ses plateformes prises en charge et la plupart de ses fonctionnalités sont par ailleurs identiques.

SASE Client & Versa

Le client « SASE » constitue l’interface utilisateur du service d’accès sécurisé d’ Versa: il s’enregistre sur un portail, établit une connexion tunnel vers une passerelle et, à partir de là, utilise la même infrastructure de sécurité (pare-feu de nouvelle génération, système de prévention des intrusions et application des politiques) qui protège le trafic des succursales VOS. Des fonctionnalités telles que la surveillance de l’expérience numérique et la génération de rapports métriques périodiques transmettent les données de télémétrie relatives au client et à la connexion à Versa Analytics, tandis que les profils d’informations sur les terminaux permettent aux administrateurs de classer les appareils et d’agir en fonction de leur état de sécurité avant d’accorder l’accès, ce qui est revérifié à un intervalle configurable (généralement toutes les 10 minutes) ; les paramètres « Force Tunnel » et « Split Tunnel » déterminent quel trafic le client achemine via le tunnel. Des contrôles d’entreprise tels que la personnalisation de la marque, la protection inviolable et les algorithmes de chiffrement conformes à la norme FIPS complètent son adéquation aux déploiements réglementés. Consultez les guides « Utilisation de l’application client Versa SASE » et « Utilisation du client Versa SASE avec Concerto » pour connaître l’ensemble des fonctionnalités du client, ainsi que « Configuration du service d’accès sécurisé Versa » pour la configuration côté Director.

Questions fréquentes

Quels sont les systèmes d'exploitation pris en charge par le client « SASE » ?

Android 6.0 et versions ultérieures (y compris les Chromebooks), iOS 13 et versions ultérieures, Linux (Debian 10 ou Fedora 34 et versions ultérieures), macOS 10.14 et versions ultérieures, ainsi que Windows, notamment Windows 10, 11 et plusieurs versions de Windows Server ; toutefois, la prise en charge de Windows 7 et 8.1 est limitée, Microsoft ayant mis fin au support de ces versions.

Comment s'appelait auparavant le client « SASE » ?

Dans les versions antérieures du logiciel – antérieures à la version 7.4.3 pour Android, 7.3.7 pour macOS et 7.4.5 pour Windows –, cette même application était commercialisée sous le nom de client « Versa Secure Access » (VSA). Ce changement de nom reflète le positionnement plus large d’ Versaau sein de la plateforme « SASE » ; les fonctionnalités sous-jacentes du client ont été conservées.

Quelle est la différence entre le portail d'accès sécurisé et la passerelle d'accès sécurisé ?

Le portail authentifie l'utilisateur, enregistre le périphérique et transmet la configuration, les règles et les routes. La passerelle est le périphérique vers lequel le client établit ensuite une connexion tunnel pour la session VPN proprement dite. Ces deux rôles peuvent être exécutés sur le même périphérique VOS ou sur deux périphériques distincts.

Le client « SASE » peut-il être géré à la fois depuis Director et Concerto ?

Le logiciel client est le même dans les deux cas, mais un locataire donné est géré à partir d'un seul backend à la fois : soit le service d'accès sécurisé « Versa » configuré directement sur les appareils VOS via Director, soit les règles d'accès sécurisées basées sur le client configurées via Concerto.

Comment le client « SASE » procède-t-il à l'authentification des utilisateurs ?

Il prend en charge l'authentification locale et LDAP au niveau du portail, ainsi que l'authentification à deux facteurs, les mots de passe à usage unique par SMS ou e-mail, le protocole TOTP, le protocole SAML et l'authentification des appareils par certificat – configurables par utilisateur, groupe, région ou appareil via le profil d'accès sécurisé. Les versions les plus récentes permettent également de définir un ordre d'authentification, en choisissant si l'authentification de l'utilisateur ou celle de l'appareil s'effectue en premier.

En savoir plus sur le client « SASE »

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous renseignez sur le client « SASE », voici quelques liens qui pourraient vous intéresser.