Qu'est-ce que le ZTP ?

Le « Zero-Touch Provisioning » (ZTP) est un processus automatisé qui permet d’activer et de configurer un nouveau périphérique réseau (routeur, commutateur ou appareil SD-WAN) sans qu’un technicien sur site ait à saisir manuellement les paramètres. Le périphérique s’allume, se connecte à un serveur de préparation, s’authentifie et reçoit automatiquement sa configuration.

Points clés à retenir

• ZTP active et configure automatiquement les appareils, sans aucune configuration manuelle.
• Dès sa mise sous tension, l'appareil se connecte à un serveur de transit.
• Les certificats PKI, souvent stockés dans une puce TPM, permettent d'authentifier l'appareil.
• Versa prend en charge les méthodes ZTP globales, basées sur une URL, via l'interface en ligne de commande (CLI), via USB et via cloud-init.
• ZTP remplace les déplacements sur site et la configuration manuelle du CLI sur les sites distants.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · ZTP et Versa · FAQ

Pourquoi le ZTP est-il important ?

La configuration manuelle d'un appareil – à l'aide d'un câble de console, en saisissant une adresse IP, les paramètres de routage et de sécurité champ par champ – n'est pas évolutive au-delà d'une poignée de sites. Les entreprises qui déploient des appliances SD-WAN ou « SASE » dans des centaines de succursales ne peuvent pas envoyer un ingénieur partout, et la saisie manuelle est source de fautes de frappe et de retards qui peuvent laisser un site hors ligne pendant plusieurs jours.

La technologie ZTP élimine l'intervention humaine du chemin critique. Un appareil est expédié directement du fabricant vers une succursale, où il suffit de le brancher sur le secteur et de lui connecter un câble WAN pour qu'il se configure automatiquement conformément à une politique définie de manière centralisée. Cela réduit le temps de déploiement de plusieurs jours à quelques minutes, élimine le risque lié au préchargement d'identifiants sur le matériel avant son expédition et permet à une seule équipe opérationnelle d'activer un nombre illimité de sites en parallèle.

Qu'est-ce que le ZTP ?

Une fois les spécificités propres à chaque fournisseur mises de côté, le protocole ZTP suit partout le même processus d’établissement de connexion. Un appareil s’allume sans aucune configuration autre que les paramètres d’usine par défaut, demande une adresse via DHCP, puis contacte – par un « appel à la maison » – un serveur de provisionnement au lieu d’attendre que quelqu’un le contacte. Le serveur identifie l’appareil, généralement grâce à un numéro de série préenregistré ou à un certificat installé par le fabricant, puis détermine à quel réseau il appartient, à quel nœud de gestion il doit rendre compte et de quels logiciels il a besoin.

Le serveur transmet cette configuration, ainsi qu'une image logicielle si nécessaire, à l'appareil, qui l'applique et se connecte au réseau de production sans qu'aucune touche ne soit enfoncée localement. La sécurité de ce modèle repose sur ce contrôle d'identité : comme l'appareil s'initialise sur un réseau auquel il ne fait pas encore confiance, l'authentification doit avoir lieu avant que la configuration ne soit acceptée.

Types de ZTP

Les implémentations ZTP varient principalement selon la manière dont un appareil identifie son serveur de provisionnement et prouve son identité. Le ZTP via DHCP/fichier de démarrage est le modèle le plus ancien : des options DHCP dirigent un appareil qui vient de démarrer vers un emplacement où il peut récupérer une configuration de démarrage, ce qui est courant sur les équipements LAN d’entreprise. Le ZTP « cloud call-home » consiste à faire en sorte que le périphérique contacte un service cloud hébergé par le fournisseur au démarrage ; ce service le valide à l’aide de son numéro de série et le redirige vers le nœud de provisionnement approprié – c’est le modèle utilisé par la plupart des appliances SD-WAN et « SASE » en succursale. Le ZTP sécurisé basé sur des normes formalise la procédure d’établissement de la connexion de manière cryptographique : les protocoles SZTP (RFC 8572) et BRSKI (RFC 8995) de l’IETF utilisent des bons signés afin qu’un appareil prouve son identité avant d’accepter la configuration. Le ZTP local/à déclenchement manuel conserve la propriété « zéro configuration », mais nécessite tout de même la présence d’une personne sur site, là où l’accès à Internet est impossible sans assistance.

ZTP & Versa

Versa Les appareils VOS prennent en charge le ZTP via plusieurs méthodes. ZTP mondial active automatiquement un appareil à la mise sous tension : il se connecte à un serveur de préparation cloud Versa Networks , qui valide le numéro de série et le redirige – d’abord vers la phase de pré-préparation, puis vers le nœud de contrôle de préparation – via une session IPsec authentifiée à l’aide d’un certificat signé par Versa, dont la clé privée est stockée dans la puce TPM de l’appareil. ZTP basé sur l'URL permet à un administrateur de finaliser l'activation depuis un ordinateur portable ou un téléphone via un lien envoyé par e-mail, ce qui dissocie l'appareil d'une agence spécifique. Mise en place via l'interface CLI gère le staging.py script sur l'appareil, et Préparation via USB on peut y lire : staging.params fichier provenant d'un lecteur inséré. Pour les instances virtuelles, cloud-init regroupe l'installation, la configuration et la mise en service au sein d'une seule séquence de démarrage. Les périphériques, les groupes de périphériques et les contrôleurs proviennent de configuration initiale de VOS.

Questions fréquentes

Quelle est la différence entre le ZTP global et le ZTP basé sur l'URL ?

La fonctionnalité ZTP globale s'active automatiquement dès qu'un appareil est mis sous tension et se connecte à Internet, à l'aide d'un numéro de série préenregistré. La fonctionnalité ZTP par URL nécessite qu'un administrateur du site clique sur un lien d'activation envoyé par e-mail, ce qui dissocie l'appareil physique d'une succursale spécifique.

Le service ZTP nécessite-t-il l'intervention d'un technicien sur place ?

Non, c’est justement ça. Les solutions ZTP Global et cloud-init ne nécessitent aucune intervention locale autre que la mise sous tension de l’appareil. Les solutions ZTP par URL, via l’interface en ligne de commande (CLI) ou par USB nécessitent toujours la présence d’une personne sur place, mais celle-ci se contente de cliquer sur un lien ou d’insérer une clé USB, sans avoir à configurer l’appareil.

Comment un appareil ZTP prouve-t-il son identité au réseau ?

La plupart des implémentations s'appuient sur un certificat installé par le fabricant, souvent adossé à un module de plateforme sécurisée (TPM), ou sur un numéro de série préenregistré dont la validité est vérifiée par rapport à l'inventaire du fournisseur. Des normes telles que SZTP et BRSKI formalisent ce processus à l'aide de justificatifs signés, qui authentifient l'appareil avant qu'il n'accepte la configuration.

ZTP permet-il de mettre en service des appareils virtuels ou basés sur le cloud ?

Oui. Les périphériques réseau virtuels utilisent cloud-init, une méthode d'initialisation multiplateforme conforme aux normes du secteur et prise en charge par toutes les principales plateformes de cloud public et de virtualisation, afin d'installer automatiquement les logiciels, d'appliquer la configuration et de mener à bien la mise en service dès le premier démarrage de l'instance, sans aucune étape de préparation manuelle.

Que se passe-t-il si la configuration d'un appareil ZTP a déjà été modifiée ?

L'intégration ne s'effectuera pas correctement, car le protocole ZTP s'attend à ce que l'appareil conserve sa configuration d'usine d'origine, sans aucune modification. Un appareil dont la configuration a déjà été modifiée doit d'abord être réinitialisé aux paramètres d'usine via l'interface CLI locale ; le processus d'activation ZTP pourra alors se dérouler normalement.

En savoir plus sur ZTP

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez au ZTP, voici quelques liens qui pourraient vous intéresser.