Qu'est-ce qu'une zone ?

Une zone – ou zone de sécurité – est une entité de l’ Versa qui regroupe des interfaces réseau et des réseaux partageant les mêmes exigences de sécurité au sein d’un seul objet nommé. Les zones servent de critères de correspondance entre source et destination dans les règles de SD-WAN, de contrôle d’accès et de déchiffrement TLS, et peuvent être associées à un profil de protection de zone facultatif qui filtre le trafic entrant à la recherche de flux excessifs, d’analyses de sécurité et de paquets malveillants.

Points clés à retenir

• Une zone regroupe les interfaces et les réseaux qui partagent les mêmes exigences en matière de sécurité.
• Les zones correspondent aux règles de trafic dans le SD-WAN, aux règles de contrôle d'accès et aux règles de décryptage TLS.
• Un locataire peut configurer jusqu'à 1 024 zones pour ses politiques.
• Un profil de protection par zone, disponible en option, protège contre les inondations et les analyses.
• Le trafic inter-zones est bloqué par défaut ; le trafic intra-zones est autorisé.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · Zones et Versa · FAQ

Pourquoi les zones sont-elles importantes ?

Sans zones, chaque règle de politique devrait énumérer individuellement les interfaces, et chaque nouveau site ou point d'accès Wi-Fi impliquerait de réécrire toutes les règles. Regrouper dans une zone les interfaces partageant un même niveau de sécurité permet de maintenir la politique en place : un étage d'access points ou un ensemble de liaisons WAN peut s'agrandir ou se réduire sans qu'il soit nécessaire de modifier la moindre règle faisant référence à la zone par son nom.

Les zones constituent également les limites sur lesquelles le pare-feu de nouvelle génération d’ Versase base par défaut. Lorsque les règles NGFW sont activées sans configuration explicite, le trafic entre deux zones différentes est refusé et le trafic au sein d’une même zone est autorisé – une politique de refus implicite qui oblige les administrateurs à ouvrir délibérément les chemins entre les zones plutôt que de les laisser exposés. Ce paramètre par défaut, associé à des profils de protection par zone, permet à une architecture de séparer les segments internes fiables des segments non fiables à l’aide d’un nombre gérable de règles, au lieu d’une règle par paire d’interfaces.

Qu'est-ce qu'une zone ?

Une zone est un regroupement nommé d'une ou plusieurs interfaces, réseaux, instances de routage ou organisations partageant des exigences de sécurité identiques. Les zones sont configurées par locataire, et un locataire peut en définir jusqu'à 1 024 ; les locataires étant isolés les uns des autres, deux locataires différents peuvent réutiliser le même nom de zone sans conflit. Chaque zone peut, de manière facultative, faire référence à un profil de protection de zone unique et à un profil de journalisation pour l'exportation des alarmes.

Une zone se distingue d’un réseau, qui est l’objet VOS regroupant des interfaces similaires au sein d’instances de routage similaires afin de permettre leur gestion conjointe : une zone est un regroupement de politiques de sécurité s’appuyant sur les réseaux et les interfaces, et non une entité de routage. La configuration des zones s’effectue dans Director, sous Configuration > Réseau > Zones ; le guide « Configuration des zones et des profils de protection des zones » décrit la procédure étape par étape.

Types de zones

Chaque appareil VOS est livré avec plusieurs zones générées par le système – « host », « ptvi », « remote-client », « versa-fileexport » et « versa-speedtest » – qui ne doivent en aucun cas être modifiées directement, car elles correspondent à des fonctions internes du système et non à des segments définis par l'administrateur.

Au-delà de cela, les administrateurs créent des zones définies par l’utilisateur pour tout regroupement requis par leur politique : une zone pour les interfaces LAN, une autre pour les interfaces WAN exposées à Internet, ou encore une par étage d’un bâtiment. Une approche courante consiste à attribuer un rôle « de confiance » ou « non fiable » à ces zones : on place un profil de protection de zone entre une zone non fiable (exposée à Internet) et une zone de confiance (interne), puis on ajoute une règle de pare-feu avec la zone non fiable comme source et la zone de confiance comme destination. Cette distinction est une convention de conception reposant sur des zones et des profils ordinaires, et non un type de zone distinct.

Zones & Versa

Les zones constituent des critères de correspondance applicables à trois types de politiques : les règles de politique SD-WAN peuvent s'appliquer en fonction de la zone source et de la zone de destination (outre les adresses, les sites et les critères de couches 4/7) ; les règles de contrôle d'accès NGFW utilisent la correspondance inter-zones et intra-zones pour déterminer ce qui est implicitement refusé ; et la politique de décryptage TLS peut également s'appuyer sur la zone.

Un profil de protection de zone, configuré sous « Réseau > Profils de protection de zone », s'applique uniquement au premier paquet d'un nouveau flux et couvre quatre domaines : Inondation (seuils pps par protocole pour TCP, UDP, ICMP et autres, avec des niveaux d’alerte, d’activité et de débit maximal), Analyse (détection des balayages d’hôtes et des reconnaissances TCP et UDP), Protection contre les attaques par paquets (options de rejet telles que l’usurpation d’adresse IP et la gestion des fragments) et vérifications spécifiques à l’ICMP. Une zone ne peut accepter qu’un seul profil à la fois ; le guide « Configurer les zones et les profils de protection de zone (NGFW) » présente en détail chaque onglet. Les événements correspondants apparaissent dans « Versa Analytics », sous « Journaux > Détection des menaces > Journaux des menaces DoS ».

Questions fréquentes

Quelle est la différence entre une zone et un réseau dans « Versa » ?

Un réseau regroupe des interfaces similaires au sein d'instances de routage similaires à des fins de gestion ; une interface appartient à un seul et même réseau. Une zone est un regroupement de politiques de sécurité (interfaces, réseaux, instances de routage ou organisations) utilisé comme critère de correspondance dans les règles de politique.

Combien de zones peut-on configurer par locataire ?

Jusqu'à 1 024 zones par locataire. Les locataires étant isolés les uns des autres sur un périphérique VOS partagé, les noms de zone doivent uniquement être uniques au sein d'un même locataire, et non à l'échelle de l'ensemble du système.

Que devient le trafic entre les zones par défaut ?

Lorsque le pare-feu de nouvelle génération (NGFW) est activé sans règles explicites, le trafic inter-zones est bloqué par une règle de refus implicite, tandis que le trafic intra-zone (au sein d'une même zone) est autorisé. Pour bloquer le trafic intra-zone, il faut définir une règle explicite indiquant cette zone à la fois comme source et comme destination.

Qu'est-ce qu'un profil de protection par zone ?

Profil facultatif associé à une zone qui analyse le premier paquet de chaque nouveau flux afin de détecter les inondations de trafic, les analyses de ports et les balayages d’hôtes, ainsi que les paquets mal formés ou usurpés, en appliquant des seuils configurables et des actions de rejet avant que le trafic n’atteigne le réseau.

Les zones générées par le système peuvent-elles être modifiées ?

Non. Les zones telles que « host », « ptvi », « remote-client », « versa-fileexport » et « versa-speedtest » prennent en charge des fonctions internes du système et ne doivent pas être sélectionnées pour être modifiées ; les zones définies par l'administrateur sont créées séparément à des fins de gestion des politiques.

En savoir plus sur les zones et la segmentation du réseau

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez aux zones, voici quelques liens qui pourraient vous intéresser.