Qu'est-ce que le SD-LAN ?

SD-LAN est le composant de réseau local sécurisé de la plateforme Universal SASE d’ VersaONE , intégré aux technologies SD-WAN, NGFW, SASE et SSE afin de connecter en toute sécurité les utilisateurs, les appareils, les charges de travail et les réseaux. Il fonctionne sur des commutateurs Ethernet basés sur VOS, configurés à l’aide de modèles de workflow Director qui définissent les ports des commutateurs, les profils de sécurité et les politiques d’accès.

Points clés à retenir

• SD-LAN constitue le pilier du réseau local sécurisé d'VersaONE, aux côtés du SD-WAN et du SSE.
• Fonctionne sur les commutateurs VOS : les gammes CSX4300, CSX4500 et CSX8300.
• Les modèles de workflow de Director permettent de configurer les ports, les profils et les politiques ACL.
• Prend en charge EVPN-VXLAN, l'authentification 802.1X et le multihébergement des commutateurs.
• S'associe à ZT Edge pour former la solution LAN « Zero-Trust » d'Versa.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Composants du SD-LAN · SD-LAN et VersaONE · FAQ

Pourquoi le SD-LAN est-il important ?

La gestion de la commutation LAN sur les campus et dans les succursales a toujours été distincte de celle du WAN et de la pile de sécurité : console différente, modèle de politique différent, et souvent une configuration CLI au cas par cas pour chaque commutateur. Le SD-LAN comble cette lacune en intégrant la commutation Ethernet au même logiciel VOS, aux mêmes modèles Director et à la même architecture de tête de réseau que ceux qui gèrent déjà le SD-WAN. Ainsi, une seule équipe et un seul modèle opérationnel couvrent à la fois la structure étendue et le réseau local.

Cela permet également de déplacer la sécurité là où les utilisateurs et les appareils se connectent réellement : au niveau du port d'accès. Grâce à l’authentification 802.1X au niveau des ports et aux politiques ACL, un commutateur peut appliquer le contrôle d’identité et d’accès en périphérie, plutôt que de faire confiance à tout ce qui se trouve à l’intérieur du bâtiment et de filtrer les données par la suite. Cette application au niveau de la couche d’accès constitue le fondement sur lequel reposent les conceptions de réseau local Zero Trust d’ Versa, et le déploiement basé sur des modèles lui confère la même évolutivité opérationnelle (configuration réutilisable déployée sur de nombreux commutateurs) qui a rendu le SD-WAN gérable à grande échelle.

Qu'est-ce que le SD-LAN ?

La configuration de SD-LAN commence par un modèle de workflow sur le nœud Director : un administrateur sélectionne le modèle de commutateur (CSX4300, CSX4500, CSX8300 ou un format VM), l’organisation et ses éventuelles sous-organisations, le ou les nœuds Controller qui géreront le commutateur, le niveau de solution de licence, ainsi que le cluster Analytics qui recevra ses journaux. L’assistant de configuration de Director guide l’utilisateur à chaque étape et déploie le modèle finalisé pour activer le commutateur.

À partir de là, les ports physiques sont configurés soit comme des interfaces de commutation de couche 2 (en mode accès ou trunk, avec attribution de VLAN), soit comme des interfaces routées de couche 3 avec adressage IPv4/IPv6 statique ou attribué par DHCP. Les ports de couche 3 peuvent également activer le protocole VXLAN, en annonçant l'interface et son réseau au sein d'une structure EVPN/VXLAN, ce qui permet aux domaines de couche 2 de s'étendre d'un site à l'autre via un cœur routé.

Composants SD-LAN

Les éléments constitutifs d'un modèle se répartissent en trois groupes. Les ports correspondent aux interfaces physiques et virtuelles : les ports physiques de couche 2 et de couche 3, les interfaces Ethernet agrégées via l'agrégation de liaisons LACP, les interfaces de gestion des commutateurs destinées à l'administration à distance, ainsi que les interfaces IRB assurant le routage entre un réseau de couche 3 et un domaine de pont de couche 2.

Les profils sont des paramètres réutilisables associés aux ports : des profils 802.1X pour l’authentification par port, des profils de multihébergement (MC-LAG) qui permettent à un commutateur d’accès de se connecter de manière redondante à plusieurs périphériques en amont, et des profils de port physique couvrant des fonctionnalités telles que l’alimentation par Ethernet (PoE) et le protocole LLDP. Les politiques sont des règles ACL qui contrôlent le trafic autorisé par un port ou un commutateur. À la base de tout cela se trouve le matériel du commutateur lui-même : la gamme CSX d’ Versacouvre aussi bien les appareils de périphérie et d’accès que les rôles de commutation d’agrégation et de cœur de réseau.

SD-LAN & VersaONE

Le SD-LAN est l’un des piliers convergents d’ VersaONE, reposant sur le même logiciel VOS et la même infrastructure centrale « Director-Controller-Analytics » qui orchestre le SD-WAN : les modèles Director configurent le commutateur, un nœud Controller le gère et un cluster Analytics collecte ses données de télémétrie – il s’agit du même modèle opérationnel, simplement appliqué à la commutation LAN plutôt qu’au routage des succursales.

Associé à ZT Edge, SD-LAN constitue la solution Zero-Trust LAN (ZT-LAN) d’ Versa, offrant un accès réseau « Zero Trust » et une microsegmentation pour les réseaux de campus et de succursales. La microsegmentation basée sur le profil d’informations des terminaux (EIP) va encore plus loin, en permettant aux clients d’ Versa SASE de se connecter en mode « réseau de confiance » assisté par une passerelle, de sorte que l’accès à distance et sur site applique la même politique tenant compte de l’identité.

Questions fréquentes

Quelle est la différence entre le SD-LAN et le SD-WAN ?

Le SD-WAN correspond à la couche de réseau étendu : les appareils VOS des succursales et des hubs établissent des tunnels IPsec et MP-BGP vers un contrôleur via divers moyens de transport. Le SD-LAN correspond à la couche de réseau local : ports de commutateurs Ethernet, VLAN et politique d'accès sur les commutateurs basés sur VOS au sein d'un site. Les deux partagent le même modèle de tête de réseau « Director-Controller-Analytics ».

Quel matériel de commutation est utilisé pour faire fonctionner le réseau SD-LAN d'Versa ?

VersaLa gamme CSX de commutateurs Ethernet basés sur la technologie VOS prend en charge le protocole SD-LAN ; elle comprend les modèles CSX4300, CSX4500 et CSX8300, ainsi qu’une version VM destinée aux déploiements virtuels. Les séries plus larges CSX2000, CSX4000 et CSX8000 étendent cette gamme aux rôles de commutation en périphérie, d’accès, d’agrégation et au cœur du réseau.

Comment configure-t-on un réseau SD-LAN ?

Les administrateurs utilisent un assistant de configuration guidée sur le nœud Director afin de créer un modèle de workflow qui prend en compte le modèle de commutateur, l'organisation, les licences et l'affectation au contrôleur. Ils configurent ensuite les ports physiques et virtuels, associent des profils de sécurité et appliquent des politiques ACL avant de déployer le modèle sur le commutateur.

Quel est le lien entre le SD-LAN et le réseau local « Zero-Trust » ?

Le réseau local Zero-Trust (ZT-LAN) est la solution LAN sur site la plus complète proposée par Versa. Elle associe Secure SD-LAN à ZT Edge pour offrir un accès réseau Zero Trust, une microsegmentation ainsi qu’une infrastructure réseau de campus et de succursales définie par logiciel, le tout sur la base de commutateurs et de points d’accès VOS. SD-LAN fournit la couche de commutation sur laquelle s’exécute le modèle de politiques de ZT-LAN.

SD-LAN prend-il en charge les protocoles VXLAN et EVPN ?

Oui. Les ports SD-LAN de couche 3 peuvent prendre en charge VXLAN, une technique d’encapsulation au niveau du plan de données qui achemine le trafic EVPN (Ethernet VPN) sur un réseau IP routé. L’activation de cette fonctionnalité permet de faire connaître l’interface et le réseau du port au sein de la structure EVPN/VXLAN, étendant ainsi les domaines de couche 2 à travers un cœur de réseau routé.

En savoir plus sur SD-LAN

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez au SD-LAN, voici quelques liens qui pourraient vous intéresser.