Qu'est-ce que Secure SD-LAN ?

Secure SD-LAN est l'architecture définie par logiciel d'Versa, destinée aux réseaux locaux (LAN) des campus et des succursales, qui regroupe la commutation, le routage et la sécurité au sein d'un seul et même système. Elle applique le contrôle d'accès « Zero Trust » et la microsegmentation à l'ensemble des commutateurs sécurisés et des points d'accès WLAN, étendant ainsi la protection sur site dont bénéficient déjà les entreprises à l'accès à distance au réseau LAN physique lui-même.

Points clés à retenir

• Secure SD-LAN constitue la composante LAN de l'architecture Zero-Trust LAN (ZT-LAN) d'Versa.
• Assure la microsegmentation et le contrôle d'accès « Zero Trust » à la périphérie du réseau local (LAN).
• Fonctionne sous VOS sur les gammes de commutateurs sécurisés CSX4000 et CSX8000.
• S'associe à ZT Edge pour offrir une solution ZTNA complète sur site.
• Géré via Versa Director, Concerto et Analytics, comme le reste de VOS.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Composants SD-LAN sécurisés · Secure SD-LAN et la plateforme d’ VersaONE · FAQ

Pourquoi le Secure SD-LAN est-il important ?

Les réseaux LAN traditionnels des campus et des succursales ont été conçus pour un monde où les employés travaillaient depuis un seul poste de travail, connecté via une seule connexion filaire. Ce modèle ne convient plus à une main-d’œuvre hybride : les équipements LAN traditionnels ne disposent pas de fonctionnalités de sécurité intégrées complètes, n’offrent aucune protection réelle contre les attaques « est-ouest » entre appareils au sein d’un même réseau et ne permettent pas de mettre en place un véritable périmètre défini par logiciel. La commutation de couche 2 présente ses propres limites – chemins actifs uniques, convergence lente et technologies propriétaires des fournisseurs – tandis que la commutation, le Wi-Fi, la périphérie du réseau étendu (WAN) et la sécurité sont généralement gérés comme des outils distincts et cloisonnés, complexes à exploiter et sujets à des problèmes d’interopérabilité.

Secure SD-LAN a pour vocation de combler cette lacune. Il transpose le modèle « Zero Trust » – « vérifier d’abord, ne rien considérer comme fiable a priori » –, que les entreprises appliquent déjà aux utilisateurs distants, au réseau physique du campus et des succursales, grâce à une microsegmentation suffisamment fine pour isoler un ordinateur portable, un capteur IoT ou un appareil non géré compromis, sans perturber le reste du réseau local.

Qu'est-ce que Secure SD-LAN ?

Secure SD-LAN est l’un des deux composants de la solution ZT-LAN d’ Versa, aux côtés de ZT Edge (qui assure la mise en place d’un périmètre défini par logiciel et l’application de la politique ZTNA sur site). Alors que ZT Edge se concentre sur l’admission et la vérification des utilisateurs et des appareils, Secure SD-LAN constitue le réseau de campus et de succursales défini par logiciel lui-même : une infrastructure de commutation et d’accès conforme aux normes et intégrant la microsegmentation, permettant ainsi d’isoler les appareils en fonction de leur type, de leur niveau de sécurité ou de leur état, plutôt que de se fier uniquement à des limites de VLAN approximatives.

Ces deux composants fonctionnent sous le système d’exploitation « Versa » (VOS), fourni via le complexe « Director-Controller-Analytics » (DCA), tandis que « Concerto » d’ Versa offre un portail unique permettant de gérer conjointement le SD-LAN, la sécurité et le SD-WAN. L’une des caractéristiques distinctives de ce modèle est la mobilité des politiques : une fois qu’un appareil est admis et qu’une politique de sécurité lui est appliquée, cette politique suit l’appareil partout sur le campus, quel que soit le port de commutateur ou le point d’accès sans fil auquel il se connecte par la suite.

Composants SD-LAN sécurisés

Secure SD-LAN s’exécute sur deux familles de commutateurs CSX ( Versa Cloud Services Switches), chacune combinant un chipset de commutateur Ethernet standard avec un sous-système de processeur x86 permettant l’application des politiques à la vitesse de la ligne. La série CSX4000 – composée des modèles CSX4300 et CSX4500 – est destinée à la périphérie du LAN et à la couche d’accès, avec une densité de ports PoE++ (jusqu’à 48 ports) pour les terminaux tels que les téléphones, les caméras et les points d’accès. La série CSX8000 – composée des modèles CSX8300 et CSX8500 – remplit des rôles d’agrégation et de cœur de réseau sur les campus ou dans les centres de données, avec jusqu’à 32 ports QSFP28 100 Gigabit Ethernet et une capacité de commutation de plusieurs térabits. Les points d’accès WLAN étendent cette même application des politiques aux clients sans fil.

Pour les sites existants où le remplacement des commutateurs et des points d’accès existants n’est pas envisageable, Versa propose à la place un dispositif ZT-LAN d’application des politiques : tout le trafic LAN provenant de tiers est acheminé par ce dispositif afin d’assurer la mise en œuvre du modèle « Zero Trust ». Ce déploiement ne permet pas d’obtenir toute la visibilité est-ouest offerte par un déploiement VOS Edge natif, mais il garantit néanmoins une politique unifiée, une visibilité centralisée et une complexité réduite par rapport aux outils hérités fonctionnant en silos.

Secure SD-LAN et la plateforme « VersaONE »

Au sein d’ VersaONE, Secure SD-LAN s’ajoute à Secure SD-WAN, SSE et au pare-feu de nouvelle génération parmi les services convergents que la plateforme fournit à partir d’une seule pile logicielle VOS. Il partage le même plan de gestion que tous les autres services d’ VersaONE : Versa Director pour la configuration et les modèles, Versa Concerto pour le portail unifié, et Versa Analytics pour la télémétrie réseau et de sécurité. Sur le plan commercial, Secure SD-LAN fait l’objet d’une licence distincte de celle d’ Secure SD-WAN et du NGFW autonome : un client peut déployer Secure SD-WAN, Secure SD-LAN, ou les deux, sur la même tête de réseau Versa sans payer deux fois pour la capacité d’orchestration.

Questions fréquentes

Quelle est la différence entre Secure SD-LAN et ZT Edge ?

Il s'agit des deux composants de la solution ZT-LAN d'Versa. Secure SD-LAN est la structure de commutation et d'accès définie par logiciel (SD-LAN) dotée d'une microsegmentation ; ZT Edge est la couche ZTNA sur site qui authentifie et autorise l'accès aux utilisateurs et aux appareils. Les entreprises peuvent les déployer séparément ou conjointement pour former un ZT-LAN complet.

Quel matériel permet d'utiliser Secure SD-LAN ?

Versa Commutateurs pour services cloud : la série CSX4000 (CSX4300, CSX4500) pour la périphérie et l'accès au réseau local (LAN), et la série CSX8000 (CSX8300, CSX8500) pour les rôles d'agrégation et de cœur de réseau. Les points d'accès WLAN étendent l'application de ces mêmes politiques aux clients sans fil sur la même infrastructure de campus.

Est-il possible de déployer Secure SD-LAN sans remplacer les commutateurs existants ?

Oui. Sur les sites existants, un dispositif d’application de la politique « Zero Trust » de l’ Versa peut être intégré au réseau local (LAN) existant afin que le trafic provenant des commutateurs et des points d’accès tiers soit acheminé par son intermédiaire pour y être contrôlé ; toutefois, cela offre une visibilité est-ouest moindre que celle des commutateurs VOS natifs situés en périphérie.

Secure SD-LAN nécessite-t-il l'Secure SD-WAN?

Non. Secure SD-LAN, « Secure SD-WAN » et NGFW sont des solutions sous licence déployées séparément, mais qui partagent la même tête de réseau « Versa » et le même logiciel VOS. Un client peut utiliser Secure SD-LAN seul, « Secure SD-WAN » seul, ou les deux ensemble.

Qu'advient-il de la politique de sécurité lorsqu'un appareil se déplace sur le campus ?

La politique s'applique en fonction de l'appareil. Une fois qu'un appareil ou un utilisateur a été identifié et autorisé avec un niveau de sécurité donné, cette même politique s'applique quel que soit le port filaire ou le point d'accès sans fil auquel il se connecte par la suite, sans qu'il soit nécessaire de procéder à une nouvelle configuration ou à une nouvelle authentification manuelle à chaque nouveau point de connexion.

En savoir plus sur Secure SD-LAN

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez au Secure SD-LAN, voici quelques liens qui pourraient vous intéresser.