Qu'est-ce que le VSPA ?

Versa Secure Private Access (VSPA) est le composant d'accès à distance du Security Service Edge d'Versa: une solution d'accès réseau « Zero Trust » qui connecte les utilisateurs à des applications privées – hébergées sur site ou dans le cloud – en imposant un accès basé sur l'identité et le principe du « privilège minimal », au lieu de l'accès réseau étendu offert par un VPN traditionnel.

Points clés à retenir

• VSPA ( Versa ) est le composant ZTNA de SSE destiné à l'accès aux applications privées.
• Elle remplace l'accès VPN au niveau du réseau par une politique fondée sur l'identité et le contexte.
• L'enregistrement, la connexion et l'application des politiques constituent un modèle en trois étapes.
• VSPA prend en charge à la fois une connectivité via un client « SASE » et une connectivité sans client.
• Il s'associe à la solution « Secure Internet Access » (VSIA) d'Versa au sein de la structure SSE.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Composants du VSPA · VSPA et la plateforme « Versa » · FAQ

Pourquoi le VSPA est-il important ?

Les concentrateurs VPN traditionnels accordent l'accès au niveau du réseau : une fois connecté, un utilisateur accède généralement à de vastes segments du réseau interne, sécurisés principalement par des listes d'accès statiques incapables de distinguer un contexte utilisateur d'un autre. Ce modèle élargit la portée d'une compromission d'identifiants ou d'un appareil et rend difficile l'application du principe du « privilège minimal » à des applications spécifiques.

VSPA résout ce problème en appliquant les principes du « Zero Trust Network Access » à la connectivité à distance et des succursales : la politique est évaluée en fonction de l’identité et du contexte, et non de l’emplacement réseau ; ainsi, l’accès d’un utilisateur est limité aux applications privées spécifiques pour lesquelles il est autorisé, quel que soit l’endroit où ces applications sont hébergées. Comme VSPA s’intègre aux outils d’entreprise existants sans nécessiter de refonte, les organisations peuvent passer d’un accès VPN généralisé à un accès basé sur le principe du « moindre privilège » et évalué en continu, sans avoir à remplacer leur environnement applicatif.

Qu'est-ce que le VSPA ?

VSPA permet aux utilisateurs d'accéder à des applications privées en mettant en œuvre un accès réseau basé sur l'identité, quel que soit l'emplacement de l'utilisateur ou l'environnement d'hébergement de l'application, en appliquant le principe du « privilège minimal » et une évaluation continue de la fiabilité plutôt qu'une simple vérification ponctuelle de la connexion.

Versa décrit la protection offerte par VSPA en trois étapes. L’enregistrement authentifie l’utilisateur lors de la première utilisation du client – en prenant en charge LDAP, l’authentification unique (Single Sign-On) et l’annuaire des utilisateurs locaux de l’ Versa , avec une authentification multifactorielle via TOTP ou e-mail – puis télécharge la configuration du client depuis le portail SASE . La connexion détermine le comportement de connectivité en fonction du contexte : gestion « fail-close » ou « fail-open », sélection de la meilleure passerelle, politique passerelle-client (telle que les niveaux de chiffrement), fonctionnement en permanence et détection des réseaux de confiance pour distinguer un réseau public d’un site d’entreprise sécurisé. L’application des politiques applique ensuite la politique d’entreprise, les règles ZTNA et les protections de type SWG – filtrage d’URL, de fichiers, de DNS et d’adresses IP, antivirus et prévention des intrusions – au trafic de l’utilisateur.

Composants VSPA

VSPA se compose de quatre éléments. Les passerelles cloud – les passerelles cloud « Versa » (VCG) – constituent la structure « SASE » et traitent le trafic des utilisateurs distants via une architecture à passage unique. Un client «SASE » étend cette structure aux terminaux des utilisateurs finaux sous Windows, macOS, iOS, Android, Chromebook et Linux ; VSPA prend également en charge la connectivité sans client dans les cas où l’installation d’un agent n’est pas envisageable. La connectivité SD-WAN offre aux VCG une gestion du trafic conforme aux SLA vers les centres de données, ainsi qu’une découverte automatique des passerelles et des succursales, sans que les administrateurs aient à gérer manuellement des tunnels IPsec. Un portail d’autogestion fournit aux administrateurs d’entreprise une interface unique permettant de gérer les utilisateurs, les applications et les politiques, tant pour les utilisateurs distants que pour les succursales.

VSPA et la plateforme « Versa »

VSPA est l’un des deux types d’abonnement proposés dans l’environnement SSE d’ Versa , aux côtés de l’accès Internet sécurisé Versa (VSIA) ; les règles d’accès sécurisées basées sur le client dans Concerto permettent de sélectionner un type d’abonnement par règle – VSPA, VSIA ou les deux – qui détermine les actions disponibles sur le trafic. L’action caractéristique de VSPA est « Breakout to Internet » : le trafic privé est acheminé via un tunnel vers le VCG tandis que le trafic destiné à Internet sort localement ; il est possible de sélectionner des applications spécifiques, personnalisées ou prédéfinies, pour les forcer à passer par le tunnel, et la fonction Split DNS est activée par défaut. Les administrateurs peuvent restreindre davantage l’accès VSPA par groupe de passerelles, emplacement géographique source et adresse IP source ; les préfixes de routage pour les clients VSPA étaient limités aux plages privées RFC 1918 dans les versions antérieures, avant que les versions ultérieures n’ajoutent la prise en charge des plages publiques. Du côté du portail « Titan », la fonction «Manage Users» gère les utilisateurs VSPA (RAC/RAS) – comptes authentifiés localement sur une passerelle « SASE », un dispositif d’accès à distance de succursale ou un dispositif RAC/RAS multi-locataires – distincts des types d’utilisateurs IDP « Versa » et SSO externes.

Questions fréquentes

Quelle est la différence entre le VSPA et le VSIA ?

VSPA est le composant ZTNA d’ Versa SSE, qui gère l’accès avec le moins de privilèges possible aux applications privées. VSIA (Versa Secure Internet Access) est le composant de passerelle Web sécurisée, qui connecte les utilisateurs aux clouds publics, aux services SaaS et à Internet. Ces deux composants sont configurables en fonction du type d’abonnement sur le même client et la même passerelle.

En quoi consiste le modèle de protection en trois étapes utilisé par VSPA ?

L'enregistrement permet d'authentifier le client et de télécharger sa configuration depuis le portail SASE . La connexion détermine le comportement de connectivité : sélection de la passerelle, politique de chiffrement, détection des réseaux de confiance. L'application des politiques applique ensuite les protections d'accès d'entreprise, ZTNA et de type SWG au trafic en cours de l'utilisateur.

VSPA prend-il en charge l'accès sans client ?

Oui. Outre le client « Versa » (SASE ) disponible pour Windows, macOS, iOS, Android, Chromebook et Linux, VSPA prend en charge la connectivité sans client pour les cas où l'installation d'un agent sur le terminal n'est pas envisageable, tout en continuant à appliquer une politique d'accès basée sur l'identité.

Qu'est-ce qu'un utilisateur VSPA (RAC/RAS) sur le portail « Titan » ?

Un utilisateur VSPA (RAC/RAS) est un compte authentifié localement, configuré sur une passerelle SASE , un dispositif VPN d'accès à distance en succursale ou un dispositif RAC/RAS multi-locataires. Cette option n'apparaît que pour les locataires ayant souscrit au service VSPA avec authentification locale, et l'utilisateur reçoit un e-mail lui permettant d'enregistrer le client VSPA.

En quoi le VSPA diffère-t-il d'un VPN classique ?

Un concentrateur VPN traditionnel offre un accès au niveau du réseau contrôlé principalement par des listes d'accès statiques, qui ne permettent pas de distinguer le contexte de l'utilisateur. Le VSPA, quant à lui, évalue en permanence l'identité, le terminal et le contexte, et limite l'accès à des applications spécifiques, en suivant le modèle « Zero Trust Network Access » plutôt qu'une accessibilité réseau étendue.

En savoir plus sur la VSPA

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez au VSPA, voici quelques liens qui pourraient vous intéresser.