Qu'est-ce que le VCG ?

Versa Cloud Gateway (VCG) est une passerelle SASE hébergée par Versa qui achemine les connexions des clients et des succursales SASE . Elle offre des fonctionnalités d’authentification, d’accès aux applications via le protocole ZTNA, d’accès sécurisé à Internet et de connectivité SD-WAN en superposition pour les utilisateurs et les sites distants. Un même locataire peut se voir attribuer plusieurs VCG logiquement isolés.

Points clés à retenir

• VCG est la passerelle hébergée dans le cloud d'Versa, destinée aux clients d'SASE et aux tunnels de succursales.
• Interrompt l'accès aux applications ZTNA, l'accès sécurisé à Internet et le trafic de la couche SD-WAN.
• Un locataire peut exécuter plusieurs VCG isolés, chacun disposant de ses propres plages d'adresses IP.
• Se connecte aux succursales et aux hubs SD-WAN via des liaisons site à site IPsec et BGP.
• Configuré et publié sur les passerelles depuis l'interface graphique Concerto d'Versa .

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Modèles de déploiement VCG · VCG et la plateforme d’ VersaONE · FAQ

Pourquoi le VCG est-il important ?

L'SASE e unifiée (Unified ) combine le WAN Edge (SD-WAN) et le Security Service Edge (SSE) au sein d'une seule architecture, et la partie hébergée dans le cloud de cette combinaison doit être hébergée quelque part. VCG est cet emplacement : une passerelle exploitée par Versa qui achemine les clients d’ SASE , les tunnels de site à site des succursales et le trafic destiné à Internet, afin que les télétravailleurs et les succursales bénéficient de la même application des politiques, que le volet SSE soit exécuté sur site ou dans le cloud d’ Versa.

Le VCG revêt également une importance particulière, car il permet de déployer à grande échelle des services « SASE » multi-locataires. Chaque locataire peut se voir attribuer un ou plusieurs VCG logiquement isolés, dotés de pools d’adresses, d’une bande passante et de paramètres de chiffrement dédiés, sans que le fournisseur ait à mettre en place une infrastructure distincte pour chaque client. Pour les fournisseurs de services gérés (MSP), le VCG est la ressource vers laquelle pointent les types de passerelles MSP dédiées ou partagées.

Qu'est-ce que le VCG ?

VCG est une appliance hébergée par Versa qui exécute le système d’exploitation Versa (VOS), gérée par Versa Networks sur une tête de réseau distincte des succursales et contrôleurs gérés par Versa Director du client. Elle prend en charge deux types de connexions : les clients SASE (utilisateurs distants exécutant le client Versa SASE ) et les tunnels de site à site provenant de succursales SD-WAN ou de hubs SSE, généralement via IPsec ou GRE avec EBGP pour le routage dynamique.

Les VCG fonctionnent en mode IKE passif : ils n’initient jamais de tunnel site à site ; c’est donc toujours la succursale VOS ou le concentrateur SSE à l’autre extrémité qui doit prendre l’initiative. La connectivité est configurée à partir d’ Versa Concerto, qui gère le côté VCG, et d’ Versa Director, qui gère le côté succursale ou concentrateur ; les deux doivent s’accorder sur les paramètres IKE et IPsec, l’adressage du tunnel, ainsi que sur les numéros AS EBGP et la politique correspondante. Le transfert symétrique de couche 3 est activé par défaut sur les VCG, ce qui garantit la cohérence des chemins de trafic dans les deux sens.

Modèles de déploiement VCG

Un locataire d’ SASE se voit automatiquement attribuer un VCG par défaut, nommé « tenant-name-Enterprise », si aucun n’est explicitement configuré. Les entreprises ayant des besoins plus complexes peuvent plutôt configurer plusieurs VCG par locataire ; comme les VCG distincts ne partagent pas d’informations entre eux, chacun peut réutiliser les mêmes noms de pools d’adresses client et même des plages d’adresses IP qui se chevauchent, et les administrateurs attribuent des groupes de passerelles et des régions à chaque VCG.

Pour les fournisseurs de services gérés (MSP), les clients MSP ont le choix entre deux types de passerelles : les passerelles partagées, dans lesquelles le client MSP ne possède aucune passerelle et où ses sous-locataires héritent de l'accès aux VCG du client parent, et les passerelles dédiées, dans lesquelles les VCG propres au client MSP sont directement provisionnées sur Director, puis détectées par Concerto.

Lorsqu'un VCG se connecte à un hub SSE SD-WAN sur site, le chemin de trafic lui-même peut prendre deux formes : « actif-veille », où l'ajout d'un chemin AS BGP en tête et le marquage par communauté orientent le trafic vers un VCG préféré avec basculement vers un VCG de secours ; et « actif-actif », où des chemins EBGP à coût égal et un acheminement symétrique par défaut de couche 3 répartissent la charge de trafic de manière équilibrée entre les deux.

VCG et la plateforme « VersaONE »

Le VCG se situe du côté « cloud » d’un déploiement « SASE », provisionné et géré via Versa Concerto plutôt que via Versa Director. C’est dans Concerto que les administrateurs créent des locataires SASE , attribuent un ou plusieurs VCG par région, configurent les pools d’adresses client et publient la configuration ainsi obtenue vers les passerelles. Versa Director continue de gérer l’autre extrémité de la connexion : les succursales VOS et les hubs SD-WAN SSE dont les tunnels site à site aboutissent sur un VCG.

VCG se connecte également à l’Advanced Security Cloud d’ Versa: les locataires disposant de modules complémentaires ATP/DLP, d’accès sans client ou d’isolation de navigateur à distance, configurés dans le cadre de la mise en place d’un locataireSASE , partagent les détails de leurs instances cloud avec leurs VCG afin que la passerelle puisse transférer le trafic en sandbox vers ces services. Les journaux configurés pour chaque locataire SASE – journaux de pare-feu, Web, DNS et CGNAT – sont transmis depuis le VCG vers Versa Analytics ou l’Advanced Logging Service.

Questions fréquentes

Quelle est la différence entre une branche VCG et une branche VOS ?

Une succursale VOS est un équipement installé chez le client ou un dispositif virtuel géré via Versa Director, hébergé par l’entreprise ou son fournisseur. Un VCG est son équivalent côté cloud : un appareil hébergé par Versa et géré par Versa sur une tête de réseau distincte, configuré via Concerto, qui termine les tunnels site à site de la succursale et les connexions des clients SASE .

Combien de VCG un locataire peut-il avoir ?

Un locataire peut se voir attribuer un ou plusieurs VCG isolés logiquement. Si aucun n’est explicitement configuré, Concerto crée un VCG par défaut portant le nom du locataire. Étant donné que les VCG distincts ne partagent pas d’informations entre eux, plusieurs VCG au sein d’un même locataire peuvent même réutiliser des noms de pools d’adresses client et des plages d’adresses IP identiques.

Qui initie le tunnel site à site entre un VCG et une succursale ?

Les VCG fonctionnent en mode passif IKE et n'initient jamais de tunnel site à site. C'est toujours la succursale VOS ou le hub SD-WAN SSE situé à l'autre extrémité qui doit prendre l'initiative ; une succursale également configurée en mode passif empêche le tunnel de s'établir de manière permanente.

Quelle est la différence entre les chemins de trafic VCG « actif-veille » et « actif-actif » ?

Le mode « actif-veille » utilise l'ajout d'un chemin AS BGP en tête et le marquage par communauté afin que le trafic privilégie un VCG, avec basculement automatique vers un VCG de secours en cas de défaillance de celui-ci. Le mode « actif-actif » utilise des chemins EBGP à coût égal et un acheminement symétrique par défaut de couche 3 pour répartir la charge du trafic entre deux VCG simultanément.

Quelle est la différence entre un VCG partagé et un VCG dédié pour un locataire MSP ?

Un locataire MSP partagé ne possède pas de VCG en propre ; ses sous-locataires héritent de l'accès aux passerelles du locataire parent. Un locataire MSP dédié dispose de ses propres VCG, provisionnées directement sur un direct Versa , puis détectées par Concerto, ce qui permet à ses sous-locataires d'accéder uniquement à ces passerelles.

En savoir plus sur VCG

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez à VCG, voici quelques liens qui pourraient vous intéresser.