Qu'est-ce qu'une passerelle SSE ?

Une passerelle SSE est le point d’application du Security Service Edge d’ Versa. Déployée sous la forme d’une passerelle cloud hébergée par Versa ou d’un appareil sur site, elle met fin aux tunnels client d’ SASE et aux connexions de site à site, et applique l’authentification, le déchiffrement ainsi que les politiques de gestion des menaces et d’accès au trafic qui la traverse.

Points clés à retenir

• Une passerelle SSE est le point de contrôle d'Versapour le trafic SASE .
• Il met fin aussi bien aux tunnels client d'SASE qu'aux tunnels de site à site.
• Déployé via Director, puis détecté et intégré dans Concerto.
• Nécessite un certificat d'une autorité de certification publique couvrant tous les noms de domaine complets (FQDN) des passerelles en service.
• La fonctionnalité « Détection des réseaux de confiance » lui permet d'ignorer les tunnels sur les réseaux de confiance.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Modèles de déploiement de SSE Gateway · Passerelles SSE et Versa · FAQ

Pourquoi une passerelle SSE est-elle importante ?

Security Service Edge ne fonctionne que si le trafic transite effectivement par la pile de sécurité : chaque contrôle ZTNA, chaque inspection TLS, chaque décision de protection contre les menaces doit avoir lieu quelque part, sur un périphérique, avant que le trafic n’atteigne Internet ou une application privée. Une passerelle SSE est cet endroit : le point d’application unique où le tunnel client d’un utilisateur distant, ou le tunnel site à site d’une succursale, aboutit avant que son trafic ne soit acheminé ailleurs. Sans elle, la politique d’ SASE n n’est qu’un simple document ; avec elle, cette politique est ce que le trafic subit réellement.

La centralisation de l’application des règles au niveau de la passerelle est également ce qui garantit la cohérence de l’ SASE , quel que soit le type de connexion. Qu’il s’agisse d’un utilisateur travaillant depuis un ordinateur portable via Internet, d’une succursale accédant à la même application privée via un réseau SD-WAN en superposition, ou encore d’une session de serveur terminal partagée par des dizaines d’utilisateurs, tous ont besoin que la même politique, tenant compte de l’identité et de l’état de sécurité, soit appliquée – et c’est possible, car la passerelle est le point de convergence de l’authentification, du déchiffrement et du contrôle d’accès, quelle que soit la manière dont le trafic est arrivé.

Qu'est-ce qu'une passerelle SSE ?

Une passerelle SSE prend en charge deux types de connexions. Versa Les clientsSASE établissent directement des tunnels IPsec, TLS ou DTLS vers celle-ci, en s’enregistrant auprès du nom de domaine complet (FQDN) d’un portail et en s’authentifiant individuellement. Les sites y accèdent via des tunnels IPsec de site à site ou des tunnels superposés SD-WAN, ce qui permet d’acheminer l’ensemble du trafic d’une succursale – et pas seulement celui des clients individuels – via le même point de contrôle. Dans les deux cas, une fois que le trafic arrive sur la passerelle, il est soumis aux mêmes procédures d’authentification, de décryptage TLS, de protection contre les menaces et d’évaluation des politiques d’accès.

Étant donné que les clients identifient une passerelle par son nom de domaine complet (FQDN), la couverture du certificat TLS est tout aussi importante que l'accessibilité du réseau : le certificat de la passerelle, signé par une autorité de certification publique, doit couvrir toutes les variantes de FQDN que les clients et les navigateurs sont susceptibles d'utiliser – le domaine racine d'accès sécurisé et, pour l'accès via un proxy inverse sans client, un autre myapps caractère générique. Les passerelles redondantes déployées à des fins de haute disponibilité doivent disposer de leurs propres certificats dont les dates d'expiration sont échelonnées, de sorte que le renouvellement d'une passerelle ne coïncide jamais avec l'expiration de celle qui lui est associée.

Modèles de déploiement de SSE Gateway

Les passerelles sont provisionnées sur Director en tant que type de périphérique « Cloud-Security » à l’aide du rôle « Hub Controller », d’un workflow de modèle dédié et d’un groupe de périphériques dédié par passerelle ; les modèles ne sont pas partagés entre les passerelles. Les interfaces WAN de la passerelle portent des balises de circuit qui définissent l’utilisation de chaque circuit : NO_DIA désactive l'accès direct à Internet sur une ligne, NO_S2S l'exclut des tunnels de site à site, NO_RAC_RAS l'empêche d'accueillir des connexions client SASE , et DIA_ON_PROVIDER active le NAT source pour le trafic Internet des sous-locataires au niveau du fournisseur ; si un circuit n'est pas marqué, il est accessible aux trois types de trafic.

Une fois déployées, les passerelles sont détectées via Versa Concerto : un administrateur ajoute le nœud « Director » propriétaire à Concerto, lance la détection des locataires, et les passerelles provisionnées sous le locataire fournisseur de ce « Director » apparaissent pour être intégrées dans les régions et les locataires. Une passerelle peut également fonctionner en mode « assisted by trusted network » (assisté par un réseau de confiance) : elle reconnaît alors les clients se connectant depuis une adresse IP privée située derrière un tunnel SD-WAN ou IPsec existant et évite ainsi de créer un tunnel redondant SASE , tout en continuant à suivre l’identité et l’état de sécurité via un canal de contrôle allégé.

Passerelles SSE et Versa

Le déploiement d’une passerelle SSE et l’intégration des locataires couvrent l’ensemble du processus : création de modèles et de groupes d’appareils côté Director, installation des certificats, configuration du DNS et de l’heure, puis découverte côté Concerto et configuration du domaine racine pour les noms de domaine complets (FQDN) des passerelles. La détection des réseaux de confiance (assistée par la passerelle) permet à une passerelle SSE de distinguer les connexions fiables de celles qui ne le sont pas en fonction de l’adresse IP source du client et d’éviter la création d’un tunnel pour les clients se trouvant déjà au sein d’un réseau sécurisé, tout en continuant à appliquer une politique spécifique à l’utilisateur via le canal de contrôle.

La passerelle assure également la gestion des identités dans des scénarios qu’un client ne peut pas gérer seul. Derrière un serveur Windows Terminal Server partagé, où l’appareil VOS ne verrait autrement qu’une seule adresse IP pour chaque utilisateur connecté, l’agent Terminal Server enregistre chaque session auprès de la passerelle SSE via la superposition SD-WAN ou un tunnel IPsec vers l’URL du portail, offrant ainsi à la passerelle une visibilité par utilisateur et une application des politiques qu’elle ne pourrait pas obtenir à partir du seul trafic réseau.

Questions fréquentes

Quelle est la différence entre une passerelle SSE et un client « SASE » ?

Le client est un logiciel de terminal qui établit un tunnel ; la passerelle SSE est le point de contrôle où aboutit ce tunnel. Le client authentifie l'utilisateur et achemine le trafic ; la passerelle inspecte, déchiffre et applique la politique à ce trafic dès son arrivée.

Une passerelle SSE peut-elle gérer à la fois les tunnels client et les tunnels de site à site ?

Oui. Cette même passerelle prend en charge à la fois les connexions client « SASE » des utilisateurs individuels et les tunnels IPsec ou SD-WAN de site à site de l’ensemble des succursales, en appliquant à ces deux types de trafic la même pile d’authentification, de déchiffrement et de politiques d’accès. Ainsi, une architecture à passerelle unique permet de couvrir à la fois les utilisateurs distants et les sites connectés, sans nécessiter d’infrastructure distincte pour chacun.

Pourquoi une passerelle SSE a-t-elle besoin d'un certificat public signé par une autorité de certification ?

Les clients se connectent via HTTPS aux noms de domaine complets (FQDN) pris en charge par la passerelle, et un certificat public signé par une autorité de certification permet aux connexions avec ou sans client de faire confiance à la passerelle sans avoir à installer de certificats racine supplémentaires sur chaque appareil – ce qui est nécessaire tant pour les variantes d'accès sécurisé que pour celles utilisant un proxy inverse.

Qu'est-ce que la « détection des réseaux de confiance » sur une passerelle SSE ?

Cela permet à la passerelle de détecter, à partir de l'adresse IP source du client, si un utilisateur se trouve déjà au sein d'un réseau disposant d'une connexion sécurisée existante – comme un bureau situé derrière un réseau SD-WAN en superposition – et d'éviter ainsi la création d'un tunnel client redondant, tout en continuant à appliquer les politiques d'identité et de posture.

Comment une passerelle SSE gère-t-elle les sessions partagées du serveur Terminal Server ?

Par défaut, il ne peut pas distinguer les utilisateurs partageant une même adresse IP de serveur terminal. L'agent du serveur terminal enregistre séparément chaque session utilisateur auprès de la passerelle, via le tunnel SD-WAN ou IPsec existant, afin que la passerelle puisse appliquer un contrôle d'accès individuel par utilisateur plutôt qu'une politique commune.

En savoir plus sur les passerelles SSE

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez aux passerelles SSE, voici quelques liens qui pourraient vous intéresser.