Qu'est-ce qu'une passerelle « SASE » ?

Une passerelle « SASE » est une passerelle « Versa » — hébergée dans le cloud par Versa ou déployée sous forme d’appareil appartenant au client ou à un fournisseur de services gérés (MSP) — qui termine les tunnels entre utilisateurs distants et de site à site, applique des politiques de sécurité telles que le décryptage TLS, l’antivirus, l’IPS et le filtrage d’URL, et gère l’accès entre les clients SASE et les destinations privées ou sur Internet.

Points clés à retenir

• Met fin aux tunnels utilisateur distant et site à site, et applique la politique de sécurité.
• Se déploie sous la forme d'une passerelle cloud hébergée par Versa ou d'une passerelle privée appartenant au client.
• Niveaux de service : déterminent les services de sécurité et les modes de tunnel disponibles.
• Les passerelles cloud multi-locataires relient les équipements des succursales au sein d'un réseau SD-WAN en maillage complet.
• Les passerelles privées fonctionnent sur les modèles CSG700, CSG1000, CSG2500, CSG5000 et vCSG.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · SASE Modèles de déploiement des passerelles · SASE Passerelle et Versa · FAQ

Pourquoi une passerelle « SASE » est-elle importante ?

Une passerelle « SASE » constitue le point de contrôle où la promesse d’ SASE— une sécurité homogène, quel que soit l’endroit d’où se connecte un utilisateur ou un site — est réellement mise en œuvre. Les utilisateurs distants, les succursales et les applications privées communiquent tous entre eux via la même passerelle ; ainsi, le même pare-feu, le même déchiffrement TLS, le même antivirus, le même système de prévention des intrusions (IPS) et la même politique de filtrage d’URL protègent aussi bien un ordinateur portable connecté au réseau d’un hôtel qu’un tunnel de site à site vers un centre de données, sans qu’il soit nécessaire de synchroniser des appareils ou des ensembles de règles distincts.

Cela a également une importance sur le plan opérationnel. Les passerelles cloud d’ Versaétant multi-locataires et hébergées dans des centres de données répartis dans différentes régions, un fournisseur peut mettre un nouveau client en ligne sans avoir à installer de matériel : il suffit de commander un niveau de service pour qu’un locataire soit instancié sur la passerelle partagée. Lorsque les exigences de conformité ou de résidence des données l’imposent, cette même architecture peut être déployée sous forme de passerelle privée sur du matériel appartenant au client ; ainsi, le modèle de sécurité reste inchangé même lorsque le modèle d’hébergement évolue.

Qu'est-ce qu'une passerelle « SASE » ?

Une passerelle « SASE » se situe entre les clients « SASE », les terminaux des succursales et leurs destinations ; elle gère chaque connexion selon des règles de politique plutôt que de l’acheminer directement. Les utilisateurs distants y accèdent via « Versa » (VSPA) pour les applications privées et « Versa » (VSIA) pour le trafic Internet général ; les terminaux des succursales y accèdent en tant que pairs SD-WAN, connectés dans un maillage complet aux côtés d’autres passerelles et sites. Les règles de pare-feu, de redirection et de sécurité sont définies par zone SD-WAN, Internet et passerelle Web sécurisée.

Les services effectivement pris en charge par une passerelle dépendent de son niveau de service. Le niveau « Essential » correspond à l’option la plus basique : il comprend généralement un pare-feu et un filtrage d’URL, ou un routage en « split-tunnel », où seul un trafic spécifique est redirigé vers la passerelle. Le niveau « Professional » ajoute l’ensemble des fonctionnalités : antivirus, IPS et décryptage TLS, ainsi qu’un routage en « full-tunnel », où tout le trafic client est chiffré et acheminé via la passerelle.

SASE Modèles de déploiement des passerelles

Il existe deux modèles de déploiement. La passerelle cloud est hébergée par Versa et est multi-locataire : un MSP, un revendeur ou un fournisseur la commande via le portail Titan , et Versa assure la maintenance de l’infrastructure sous-jacente dans des centres de données situés aux États-Unis, au Japon et en Europe. La mise en service d’un nouveau client relève d’une opération de licence, et non d’un déploiement matériel.

La passerelle privée « SASE » est déployée sur du matériel appartenant au client ou à un fournisseur de services gérés (MSP) – les séries CSG700, CSG1000, CSG2500 et CSG5000, ainsi que les appliances virtuelles cCSG et vCSG – pour les organisations qui ont besoin de cette passerelle au sein de leur propre infrastructure. Une passerelle privée est configurée avec un rôle de site (hub, contrôleur de hub, spoke ou maillage complet), des interfaces WAN et LAN définies avant l’activation et, pour assurer une haute disponibilité, un réseau LAN soutenu par le protocole VRRP avec un moniteur IP SLA validant l’accessibilité. Les ports et les VLAN ne peuvent pas être réattribués une fois la passerelle activée ; la planification des interfaces doit donc être effectuée en amont.

SASE Passerelle & Versa

La mise en service s'effectue via le portail Titan , où un MSP, un administrateur de boutique ou un revendeur crée un site, définit la configuration de la passerelle, la déploie sur le nœud contrôleur et active l'appareil. La procédure complète est décrite dans la section « Configurer et activer les appareils de passerelle d'SASE ». La commande d'un service de passerelle cloud ou d'une licence de passerelle privée pour un locataire, y compris le choix du niveau de service et de la bande passante, est traitée dans le processus de gestion des commandes MSP, disponible à l'adresse Titan « Gestion des commandes pour les MSP ».

Les passerelles privées nécessitent également que des certificats VSA (Versa Secure Access) soient téléchargés après l'activation avant qu'un MSP puisse créer des locataires sur le périphérique ; Titan copie ensuite automatiquement ces certificats vers chaque locataire. Le portailTitan 9.1.1 documente ce processus de gestion des certificats ainsi que la configuration du pare-feu et des règles de routage pour les passerelles cloud et privées SASE .

Questions fréquentes

Quelle est la différence entre une passerelle « cloud SASE » et une passerelle « private SASE » ?

Une passerelle cloud est une infrastructure multi-locataires qu’ Versa héberge et gère dans ses propres centres de données ; sa commande s’effectue via une procédure d’octroi de licence sur le portail Titan . Une passerelle privée fonctionne sur du matériel CSG appartenant au client ou à un fournisseur de services gérés (MSP), ce qui permet à une organisation de disposer de la passerelle sur sa propre infrastructure pour des raisons de conformité ou de connectivité.

Quelle est la différence entre les niveaux de service « Essential » et « Professional » ?

La formule « Essential » inclut généralement un pare-feu et un filtrage d'URL, ou un routage en « split tunnel » où seul le trafic sélectionné atteint la passerelle. La formule « Professional » ajoute un antivirus, un système de prévention des intrusions (IPS) et le décryptage TLS, ainsi qu'un routage en « full tunnel », où tout le trafic client est chiffré et acheminé via la passerelle pour y être inspecté.

Que sont le VSIA et le VSPA ?

Versa L'accès Internet sécurisé (VSIA) et l'accès privé sécurisé d'Versa (VSPA) sont les deux services pris en charge par une passerelle SASE : le VSIA sécurise le trafic général à destination d'Internet, tandis que le VSPA sécurise l'accès aux applications privées. Une seule passerelle peut fournir ces deux services à un même locataire.

Est-il possible de modifier les interfaces d’une passerelle « private SASE » après son activation ?

Non. Les ports LAN et WAN, le balisage VLAN et les affectations d'interfaces doivent être définis avant l'activation. Une fois qu'une passerelle privée est activée, il n'est plus possible d'ajouter, de supprimer ou de réaffecter des interfaces LAN ou WAN ; il faut d'abord désactiver la passerelle pour effectuer ces modifications.

Les terminaux des succursales se connectent-ils directement aux passerelles d'SASE , ou via la structure SD-WAN ?

Via le réseau. Les terminaux des succursales sont automatiquement connectés aux passerelles disponibles dans le cadre du maillage complet SD-WAN, et les administrateurs définissent des règles de routage et de pare-feu par zone (SD-WAN, Internet ou passerelle Web sécurisée), plutôt que d’orienter chaque succursale vers une passerelle unique.

En savoir plus sur la passerelle « SASE »

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez aux passerelles « SASE », voici quelques modèles qui méritent votre attention.