Qu'est-ce que le ZT-LAN ?

Le réseau local Zero-Trust (ZT-LAN) est l’architecture de réseau local sur site proposée par Versa Networks , qui combine les technologies ZT Edge et Secure SD-LAN pour offrir un accès réseau Zero Trust, une microsegmentation ainsi qu’une infrastructure réseau de campus et de succursales définie par logiciel. Il exécute le système d’exploitation « Versa » (VOS) directement sur les commutateurs Ethernet, les points d’accès WLAN et les appliances sur site.

Points clés à retenir

• ZT-LAN réunit ZT Edge et Secure SD-LAN au sein d'une seule et même architecture sur site.
• Exécute VOS sur des commutateurs Ethernet, des points d'accès WLAN et des appareils.
• Intègre une pile de sécurité complète, rendant ainsi superflues les appliances pare-feu dédiées.
• Le protocole 802.1X, l'identification des périphériques et les politiques d'accès des utilisateurs régissent l'accès au réseau.
• Les superpositions EVPN VXLAN étendent la microsegmentation à l'ensemble des périphériques du réseau local.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Composants ZT-LAN · ZT-LAN et Versa · FAQ

Pourquoi le ZT-LAN est-il important ?

Les réseaux locaux (LAN) des campus et des succursales ont toujours été considérés comme une zone de confiance dès lors qu'un appareil franchissait la porte d'entrée – un modèle qui permet à un terminal compromis de se déplacer latéralement sans pratiquement aucun contrôle. Le ZT-LAN renverse cette hypothèse : chaque appareil est identifié, authentifié et soumis à une politique de sécurité, et les fonctions de sécurité des couches 3 à 7 s'exécutent en ligne, à proximité de l'utilisateur, au lieu d'être acheminées vers un pare-feu distant.

Ce déploiement en ligne permet de se passer d’un élément matériel que la plupart des architectures LAN considèrent comme indispensable : un pare-feu dédié. En effet, l’ensemble de la pile de sécurité (NGFW, UTM, IPS, protection contre les logiciels malveillants) étant intégré à chaque commutateur Ethernet sécurisé, à chaque point d’accès WLAN sécurisé et à chaque appliance ZT-LAN, l’application des règles s’effectue à la vitesse du réseau, là où le trafic circule déjà. L’interopérabilité basée sur des normes garantit la compatibilité de cette pile sur des réseaux LAN multifournisseurs, évitant ainsi la dépendance vis-à-vis d’un fournisseur, tandis que l’identification des appareils et le protocole 802.1X offrent au service informatique une visibilité sur les appareils IoT et BYOD qui occupent désormais la majeure partie des ports LAN.

Qu'est-ce que le ZT-LAN ?

ZT-LAN combine ZT Edge (application du modèle Zero Trust à proximité de l'utilisateur) et Secure SD-LAN (commutation, routage et sécurité unifiés pour le LAN), ces deux technologies fonctionnant dans le cadre de VOS. Les fonctions avec état – les mêmes qui alimentent VOS ailleurs dans la plateforme d’ Versa s – s’exécutent de manière intégrée sur le matériel LAN, tandis que les fonctions sans état de couches 2 et 3 s’exécutent à la vitesse du réseau sur les commutateurs et les points d’accès, en utilisant des moteurs de déchargement matériel pour l’application du ZTNA à la vitesse de la ligne et la microsegmentation.

Un moteur de politiques couvrant les couches 3 à 7 évalue les applications, les URL et les signaux contextuels tels que la localisation afin d’autoriser, de bloquer, de limiter le débit ou de classer le trafic. La gestion unifiée des menaces (UTM) analyse les charges utiles à la recherche de logiciels malveillants et d’exploits, tant dans les directions nord-sud qu’est-ouest, et peut être appliquée de manière dynamique – par exemple, à un appareil sur site signalé comme non conforme par le ZTNA. Les politiques de mutualisation et de microsegmentation séparent le trafic, les applications et les appareils de chaque locataire sur les plans de gestion, de contrôle et de données, à l’aide de VRF, de commutateurs virtuels et d’interfaces IRB.

Composants ZT-LAN

Le contrôle d’accès se présente sous deux formes. Le contrôle d’accès sans client utilise la norme 802.1X pour l’authentification par certificat et le placement par microsegmentation, l’empreinte numérique des appareils (Dev-ID) pour classer les terminaux IoT, d’entreprise et BYOD, ainsi que le contrôle d’accès par utilisateur/groupe via un portail captif ou un fournisseur d’identité tel qu’Active Directory. Le contrôle d’accès avec client utilise le client Secure Private Access (VSPA) d’ Versa , qui établit un profil d’informations sur le terminal (version du système d’exploitation, niveau de correctifs, chiffrement du disque, état de l’antivirus) et le transmet à l’instance VOS la plus proche pour l’application des politiques ; le client fonctionne sans tunnel sur le réseau local (LAN) de confiance et via un tunnel à distance.

Le plan de contrôle EVPN et les superpositions VXLAN étendent les segments de couche 2 à travers les périphériques ZT-LAN. Le protocole MP-BGP distribue les informations de routage MAC et IP entre les périphériques ZT-LAN de type « leaf » et « spine » agissant comme points d’extrémité de tunnels VXLAN, en mappant les VLAN aux identifiants de réseau VXLAN afin que le trafic multi-locataires reste isolé à l’échelle du campus – voir « Configurer EVPN VXLAN pour ZT-LAN ». Les hôtes peuvent être multihébergés sur deux ou plusieurs périphériques ZT-LAN en mode « all-active » ou « single-active » à des fins de redondance, comme détaillé dans la section « Configurer le multihébergement EVPN pour les hôtes à l'aide de ZT-LAN ».

La gestion centralisée s'effectue via Concerto Orchestrator d'Versa , qui offre un portail unique pour la conception des politiques, la surveillance des appareils et des services, la multi-location hiérarchique avec contrôle d'accès basé sur les rôles, ainsi que l'intégration d'API tierces et de plateformes cloud.

ZT-LAN & Versa

ZT-LAN est l’équivalent au niveau de la couche LAN des offres SD-WAN d’ Versa; il repose sur la même base VOS, partage la même interface unique basée sur Concerto et utilise le même moteur d’analyse « Versa » qui transforme les données télémétriques des appareils en analyses de comportement, en rapports de trafic par utilisateur et en informations sur la topologie en temps quasi réel. Les commutateurs Ethernet, les points d’accès WLAN et les appliances sur site exécutent tous VOS en tant que périphériques ZT-LAN ; ainsi, la conception d’une politique ou d’une segmentation repose sur les mêmes concepts de plan de contrôle (organisations, commutateurs virtuels, routeurs virtuels) que le reste d’un déploiement d’ Versa . Le détail complet des fonctionnalités et capacités est documenté dans la section « Fonctionnalités et capacités de ZT-LAN ».

Questions fréquentes

Quelle est la différence entre ZT-LAN et Secure SD-LAN ?

ZT-LAN est l'architecture LAN sur site au sens large, qui combine ZT Edge (application du modèle Zero Trust à proximité de l'utilisateur) et Secure SD-LAN, qui constitue plus précisément la couche unifiée de commutation, de routage et de sécurité pour les réseaux LAN de campus et de succursales.

ZT-LAN nécessite-t-il un pare-feu dédié ?

Non. L'ensemble de la pile de sécurité (pare-feu de nouvelle génération, UTM, IPS, protection contre les logiciels malveillants) est directement intégré à chaque commutateur Ethernet sécurisé, à chaque point d'accès WLAN sécurisé et à chaque appliance ZT-LAN ; la mise en œuvre des mesures de sécurité s'effectue ainsi en ligne, sans nécessiter de pare-feu dédié.

Comment ZT-LAN détermine-t-il si un appareil peut accéder au réseau ?

Soit via des contrôles sans client – authentification 802.1X et identification des appareils permettant de classer les appareils IoT, d'entreprise et BYOD –, soit via le client VSPA, qui établit un profil de terminal et le transmet à l'instance VOS la plus proche en vue de l'application des politiques.

Quel rôle joue l'EVPN dans le ZT-LAN ?

EVPN est le plan de contrôle qui assure la distribution de l'accessibilité MAC et IP entre les périphériques ZT-LAN à l'aide du protocole MP-BGP, tandis que VXLAN fournit la superposition du plan de données qui étend les segments de couche 2 et assure l'isolation multi-locataires à l'échelle du campus.

Comment gère-t-on le déploiement d'un réseau ZT-LAN ?

Grâce à l’outil « Concerto Orchestrator » d’ Versa , un portail offrant une vue d’ensemble unique qui permet la gestion centralisée des politiques, une multi-location hiérarchique avec contrôle d’accès basé sur les rôles, la surveillance des appareils et des services, ainsi que l’intégration avec des systèmes de gestion tiers et dans le cloud.

En savoir plus sur le matériel « Versa »

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez à ZT-LAN, voici quelques liens qui pourraient vous intéresser.