SD-WAN et Secure Service Edge pour la Défense et les déploiements ultra-sécurisés

Construit à l'aide de protocoles basés sur les normes de l'IETF : Basé sur BGP/MPLS VPN et Ethernet VPN, avec l'utilisation d'un SAFI privé (Sub Address Family Identifier) pour transporter les informations liées au SD-WAN telles que :

• Gestion des clés
• Accéder à l'état et au statut du circuit
• Informations relatives à la NAT
• Informations sur l'accord de niveau de service pour les applications critiques

Gestion des clés et des certificats

• Véritable émulation d'IKE sans utilisation d'IKE.
• Le secret d'une succursale n'est jamais transmis sur le réseau et peut être renouvelé toutes les quatre minutes.
• Un secret partagé unique est dérivé algorithmiquement entre chaque paire de branches.
• Capacités avancées de gestion des certificats.
• Prise en charge de OCSP, CMPv2, SCEP et ACME
• Prise en charge de la gestion des clés externes à l'aide du protocole KMIP (Key Management Interoperability Protocol) pour les déploiements nécessitant des clés générées par le locataire/client.

Capacité à être déployé dans des environnements DDIL (Denied, Disrupted, Intermittent, and Limited)

• Trois images VM - L'ensemble minimum d'images pour fonctionner de manière totalement déconnectée est de trois. Toutes les mises à jour des images de sécurité sont prises en charge dans un environnement complètement déconnecté.
• La licence est gérée de manière centralisée par Versa Director. Versa Director est l'une des trois images où la licence est chargée et n'a pas besoin d'être connectée à l'internet.
• Versa Analytics est l'une des images. Il offre aux opérateurs une visibilité totale de la sécurité, de la connectivité et de la performance.
• Single Pane of Management ainsi que le provisionnement centralisé, la gestion, la surveillance, la visibilité et l'analyse des Big Data pour tous les services SASE (SD-WAN, SSE) et multi-cloud.
• Solution SD-WAN la plus largement déployée par les fournisseurs de services par satellite, le transport maritime et la navigation. Prise en charge d'un maximum de 14 domaines de transport sous-couche par nœud. Il peut accueillir simultanément plusieurs sous-couches telles que SATCOM (LEO, MEO, GEO), MPLS privé, LTE/5G, fibre terrestre, large bande et autres.

Pilotage polyvalent du trafic, conditionnement du trafic et optimisation avancée du TCP

• Orientation du trafic en fonction des champs de la couche 3 et de la couche 7 du paquet, de l'application de la couche 7, de la catégorie d'URL, de l'utilisateur, du groupe, de la posture de l'appareil, du score de confiance de l'entité, de la géolocalisation, de l'étiquette de sécurité associée à la source, de l'heure de la journée, et d'autres facteurs.

  • Sans tunnel sur une base de flux. Versa peut prendre en charge le SD-WAN sans tunnel là où c'est nécessaire. Veuillez vous référer à la section "Solution SD-WAN sans tunnel de Versa".
  • Le chiffrement peut être activé ou désactivé pour chaque flux.

• La solution Versa est très bien adaptée et fournit la meilleure expérience d'application pour les réseaux satellitaires, maritimes et fédéraux qui utilisent le cryptage de protocole Internet de haute assurance de la NSA(HAIPE) ou des architectures basées sur des solutions commerciales pour la classification(CSfC) qui peuvent être confrontées à des DDIL et à des conditions défavorables. Veuillez vous référer à la section "Versa SD-WAN pour les solutions classifiées".

• Le pilotage du trafic est basé sur la visibilité des caractéristiques dynamiques du chemin de bout en bout, telles que la perte de paquets, la latence et la gigue. Cette fonction permet d'obtenir des accords de niveau de service (SLA) plus précis et plus résilients pour les applications de bout en bout. Tous les autres fournisseurs sélectionnent le meilleur chemin basé sur le SLA jusqu'au saut suivant immédiat. Seule Versa peut diriger le trafic en fonction des mesures du chemin de bout en bout.
• Conditionnement du trafic à l'aide de FEC, de réplication et d'autres mesures, qui se déclenchent automatiquement lorsque l'ANS se dégrade et s'arrêtent lorsque l'ANS s'améliore. Ces capacités sont disponibles pour tous les types de trafic, et pas seulement pour la voix et la vidéo.
• Prise en charge de l'optimisation TCP avancée et des algorithmes de contrôle de la congestion tels que BBR, Hybla, SACK, Recent Acknowledgement.

Capacités complètes de QoS La solution Versa prend en charge des capacités très complètes de QoS (Layer3-QoS-Policy, AppQoS Policy, Policer, Marking, HQoS avec 4K shapers et 64 000 files d'attente) et d'orientation du trafic SD-WAN. En fonction des champs de la couche 3 et de la couche 7 du trafic reçu, y compris l'application, la catégorie d'URL et la position de l'appareil, une classe de transfert (FC) et une priorité de perte de paquets (PLP) sont associées à un flux de trafic. La classe d'acheminement et la priorité de perte de paquets permettent de hiérarchiser et de planifier le trafic au sein d'une plateforme VOS. En outre, les réécritures des en-têtes internes et externes et la mise en forme des sorties sont effectuées sur la base de la CF et de la PLP. Ainsi, le trafic de mission est priorisé par rapport au trafic moins critique au sein d'une appliance Versa ainsi que lors de la transmission.

Très bien adapté aux déploiements de réseaux dans les friches industrielles.

• Prise en charge de tous les principaux protocoles des couches 2 et 3 (IPv4 et IPv6).
• Prise en charge de l'IPv4, de l'IPv6 et de la double pile pour les VRF, ainsi que du transport sous-couche.

Prise en charge de topologies complexes telles que Full Mesh, Hub and Spoke, Partial Mesh, Spoke-Hub-Hub-Spoke, Hub-Controllers, Controller behind the hub, et bien d'autres encore.

Infrastructure de modèles très riche : Versa supporte une infrastructure de modèles très riche qui supporte une hiérarchie de modèles. En utilisant cette hiérarchie de modèles, des politiques globales peuvent être définies avec des politiques spécifiques ayant une priorité plus élevée. Cela rend la gestion de la configuration globale simple et efficace.

Un groupe de dispositifs est un ensemble de dispositifs ayant des configurations similaires mais non identiques. Un groupe de dispositifs est généralement associé à un modèle de dispositif et à un ensemble de modèles de service de différents types, tels que le modèle de service de sécurité, le modèle de service de pilotage d'application, le modèle de service de qualité de service, le modèle de service général, etc. Un groupe de dispositifs peut être associé à plusieurs modèles de services de sécurité qui sont appliqués dans un ordre spécifié par l'opérateur. En outre, il peut y avoir des modèles de service de sécurité spécifiques aux appareils.

CGNAT pour v4 et v6 NAPT-44, DNAT-44, Dynamic NAT-44, Basic-NAT-44, Twice Basic NAT-44, NPT66, NAT64, MAP-E

Plusieurs options pour le provisionnement sans contact.

CPE universel pour héberger plusieurs VNF. Chaînage de services entre les VNF hébergés et les PNF physiques externes.

Versa offre également une solution SD-WAN sans tunnel, qui rend le réseau plus évolutif et plus efficace en termes de bande passante, en éliminant la fragmentation des paquets et en améliorant la sécurité. Parmi les cas d'utilisation qui ont motivé cette solution sans tunnel, citons les réseaux satellitaires, maritimes et fédéraux qui utilisent des architectures basées sur le High Assurance Internet Protocol Encryption (HAIPE) de la NSA ou sur les Commercial Solutions for Classified (CSFC).

Dans le cas de toutes les solutions sans tunnel, le paquet intérieur est divisé en champs mutables et immuables. La figure 3 montre tous les champs communs d'un en-tête IP, d'un en-tête TCP et d'un en-tête UDP. Un sous-ensemble de champs immuables dans un en-tête IP, un en-tête TCP et un en-tête UDP, qui sont invariants pendant la durée d'un flux de 5 tuple, est représenté en bleu. Toutes les solutions associent une forme de cookie, d'étiquette, d'identifiant de flux ou une paire (source-port, destination-port) aux champs immuables.

Ce cookie/label/identifiant de flux/paire de ports est communiqué avec l'ensemble du paquet de données utiles d'un CPE SD-WAN émetteur (SDWAN-CPE1) à un CPE SD-WAN récepteur (SDWAN-CPE2) au moins une fois. Une fois qu'un CPE SDWAN distant (par exemple, SDWAN-CPE2) a appris le mappage de l'expéditeur (par exemple, SDWAN-CPE1) et l'a communiqué à l'expéditeur, l'expéditeur (SDWAN-CPE1) encode son flow-id dans le SDWAN-header et saute tous les champs immuables du paquet de données utiles dans le trafic qui est envoyé de SDWAN-CPE1 à SDWAN-CPE2. Veuillez noter que dans la solution Versa Tunnel-less, un CPE SD-WAN émetteur saute de nombreux autres champs IP, TCP et UDP du paquet de charge utile lorsqu'il envoie du trafic à un CPE SD-WAN homologue. Ces champs ne sont pas décrits dans ce livre blanc.

Le SD-WAN crée un réseau privé virtuel qui ne dépend pas du transport, qui tient compte des applications et qui prend en charge la gestion et l'approvisionnement centralisés. Il est essentiel qu'une solution SD-WAN puisse s'insérer facilement dans un réseau brownfield et permettre une migration progressive des réseaux MPLS ou DMVPN existants vers le réseau SD-WAN.

Comme expliqué ci-dessus, dans le cas de toutes les solutions sans tunnel, le paquet intérieur est divisé en champs mutables et immuables. Toutes les solutions associent une forme de cookie, d'étiquette, d'identifiant de flux ou une paire (source-port, destination-port) aux champs immuables. Ce cookie/étiquette/identifiant de flux/paire de ports est communiqué au moins une fois avec l'ensemble du paquet de données utiles d'un CPE SD-WAN émetteur (SDWAN-CPE1) à un CPE SD-WAN récepteur (SDWAN-CPE2). Une fois qu'un CPE SDWAN distant (par exemple, SDWAN-CPE2) a appris le mappage de l'expéditeur (par exemple, SDWAN-CPE1) et l'a communiqué à l'expéditeur, l'expéditeur (SDWAN-CPE1) code son flow-id dans l'en-tête SDWAN et saute tous les champs immuables du paquet de données utiles dans le trafic envoyé de SDWAN-CPE1 à SDWAN-CPE2.

En raison des différentes manières (identifiants de flux, combinaison de ports source et destination extérieurs) que les différents fournisseurs ont choisies pour encoder les données immuables, ils ne peuvent interopérer qu'aux frontières (NNI : Network to Network Interface) des réseaux SDWAN des différents fournisseurs. Cela s'explique notamment par le fait que la gestion des clés, le codage des paquets, le cryptage/décryptage, le plan de contrôle (propagation des itinéraires), le plan de gestion (configuration et surveillance) et le plan de visibilité (analyse des big data) sont très différents d'un fournisseur à l'autre.

Deux fournisseurs peuvent interopérer en utilisant des protocoles basés sur l'IETF tels que E-BGP, IPsec basé sur IKE et TWAMP. Deux fournisseurs peuvent également ajouter la capacité de décoder et d'encoder les formats du plan de données de l'autre.

Le Versa Real Time Monitor fournit des informations en temps réel sur tous les services de réseau, SD-WAN et de sécurité qui sont configurés sur chaque appliance Versa. Il fournit également des informations relatives à la santé (CPU, Mémoire, Bande passante sur chacune des interfaces, Charge) des instances VOS.

Versa Analytics est une solution big data qui analyse les logs et les événements et fournit des rapports puissants, des analyses et un retour d'information à Versa Director. Elle s'intègre nativement avec des produits tiers de reporting de données et de SIEM, tels que HP ArcSight, Splunk, IBM QRadar, LogRhythm et Elastic Search. Les VOS™ des sites de succursales fournissent en permanence des informations de surveillance Versa Analytics liées aux liens, aux chemins de réseau, aux événements de sécurité, aux services, aux applications, etc. En outre, chaque service sur le VOS™, tel que le pare-feu de nouvelle génération, l'IDS/IPS, le filtrage d'URL, le CASB, le SWG, le DLP, le RBI, l'UEBA, le DNS Proxy et d'autres modules, génère des messages de journalisation au niveau du flux et agrégés qui sont consommés par la plateforme Versa Analytics.

Toutes ces informations peuvent être exploitées pour des fonctions telles que la planification de la capacité et l'analyse judiciaire de la sécurité. Les figures 6, 7 , 8 et 9 donnent quelques exemples d'informations disponibles grâce à Versa Analytics.

Versa Analytics envoie ces journaux à Versa UEBA par l'intermédiaire d'un bus KAFKA. Versa UEBA peut suivre et signaler les événements anormaux de toutes les entités, telles que les utilisateurs, les ordinateurs portables, les téléphones, les appareils IoT, et plus encore. Si un utilisateur ou un appareil IoT présente un comportement anormal, alors son score de confiance de l'entité (ECS) est dégradé. Cette ECS est utilisée dans différents types de politiques, telles que la politique de contrôle d'accès à la sécurité et la politique de surveillance du trafic. Si l'ECS d'une entité se dégrade, il est publié à tous les abonnés (tels que les passerelles Versa Cloud) à l'aide du Versa Message Service. Les passerelles Versa Cloud peuvent appliquer des mesures correctives en temps réel lorsque l'ECS se dégrade.