SD-WAN et Secure Service Edge pour la Défense et les déploiements ultra-sécurisés

Construit à l'aide de protocoles basés sur les normes de l'IETF : Basé sur BGP/MPLS VPN et Ethernet VPN, avec l'utilisation d'un SAFI privé (Sub Address Family Identifier) pour transporter les informations liées au SD-WAN telles que :

• Gestion des clés
• Accéder à l'état et au statut du circuit
• Informations relatives à la NAT
• Informations sur l'accord de niveau de service pour les applications critiques

Gestion des clés et des certificats

• Véritable émulation d'IKE sans utilisation d'IKE.
• Le secret d'une succursale n'est jamais transmis sur le réseau et peut être renouvelé toutes les quatre minutes.
• Un secret partagé unique est dérivé algorithmiquement entre chaque paire de branches.
• Capacités avancées de gestion des certificats.
• Prise en charge de OCSP, CMPv2, SCEP et ACME
• Prise en charge de la gestion des clés externes à l'aide du protocole KMIP (Key Management Interoperability Protocol) pour les déploiements nécessitant des clés générées par le locataire/client.

Capacité à être déployé dans des environnements DDIL (Denied, Disrupted, Intermittent, and Limited)

• Trois images VM - L'ensemble minimum d'images pour fonctionner de manière totalement déconnectée est de trois. Toutes les mises à jour des images de sécurité sont prises en charge dans un environnement complètement déconnecté.
• Licence gérée de manière centralisée par Versa . Versa est l'une des trois images sur lesquelles la licence est chargée et ne nécessite pas de connexion à Internet.
• Versa est l'une des images. Elle offre aux opérateurs une visibilité complète sur la sécurité, la connectivité et les performances.
• Single Pane of Management ainsi que le provisionnement centralisé, la gestion, la surveillance, la visibilité et l'analyse des Big Data pour tous les services SASE (SD-WAN, SSE) et multi-cloud.
• Solution SD-WAN la plus largement déployée par les fournisseurs de services par satellite, le transport maritime et la navigation. Prise en charge d'un maximum de 14 domaines de transport sous-couche par nœud. Il peut accueillir simultanément plusieurs sous-couches telles que SATCOM (LEO, MEO, GEO), MPLS privé, LTE/5G, fibre terrestre, large bande et autres.

Pilotage polyvalent du trafic, conditionnement du trafic et optimisation avancée du TCP

• Orientation du trafic en fonction des champs de la couche 3 et de la couche 7 du paquet, de l'application de la couche 7, de la catégorie d'URL, de l'utilisateur, du groupe, de la posture de l'appareil, du score de confiance de l'entité, de la géolocalisation, de l'étiquette de sécurité associée à la source, de l'heure de la journée, et d'autres facteurs.

  • Sans tunnel, sur la base du flux. Versa prendre en charge le SD-WAN sans tunnel lorsque cela est nécessaire. Veuillez vous reporter à la section «Solution SD-WAN sans tunnelVersa ».
  • Le chiffrement peut être activé ou désactivé pour chaque flux.

• Versa est parfaitement adaptée et offre la meilleure expérience d'application pour les réseaux satellitaires, maritimes et fédéraux qui exploitentle protocole HAIPE(High Assurance Internet Protocol Encryption) de la NSA ou les architecturesCSfC(Commercial Solutions for Classified) susceptibles d'être confrontées à des conditions DDIL et défavorables. Veuillez vous reporter à la section «Versa pour les solutions classifiées ».

• Le routage du trafic repose sur la visibilité des caractéristiques dynamiques du chemin de bout en bout, telles que la perte de paquets, la latence et la gigue. Cette fonctionnalité offre des accords de niveau de service (SLA) applicatifs de bout en bout plus précis et plus résilients. Tous les autres fournisseurs sélectionnent le meilleur chemin en fonction du SLA vers le saut immédiatement suivant. Seul Versa acheminer le trafic en fonction des métriques du chemin de bout en bout.
• Conditionnement du trafic à l'aide de FEC, de réplication et d'autres mesures, qui se déclenchent automatiquement lorsque l'ANS se dégrade et s'arrêtent lorsque l'ANS s'améliore. Ces capacités sont disponibles pour tous les types de trafic, et pas seulement pour la voix et la vidéo.
• Prise en charge de l'optimisation TCP avancée et des algorithmes de contrôle de la congestion tels que BBR, Hybla, SACK, Recent Acknowledgement.

Capacités QoS complètes Versa prend en charge des capacités QoS très complètes (Layer3-QoS-Policy, AppQoS Policy, Policer, Marking, HQoS avec 4K shapers et 64 000 files d'attente) et des capacités de gestion du trafic SD-WAN. Sur la base des champs de couche 3 à couche 7 du trafic reçu, notamment l'application, la catégorie d'URL et la posture de l'appareil, une classe de transfert (FC) et une priorité de perte de paquets (PLP) sont associées à un flux de trafic. La FC et la PLP hiérarchisent et planifient le trafic au sein d'une plateforme VOS. De plus, la réécriture des en-têtes internes et externes et le façonnage de la sortie sont effectués en fonction de la FC et de la PLP. Ainsi, le trafic de mission est prioritaire par rapport au trafic moins critique au sein d'un Versa ainsi que lors de la transmission.

Très bien adapté aux déploiements de réseaux dans les friches industrielles.

• Prise en charge de tous les principaux protocoles des couches 2 et 3 (IPv4 et IPv6).
• Prise en charge de l'IPv4, de l'IPv6 et de la double pile pour les VRF, ainsi que du transport sous-couche.

Prise en charge de topologies complexes telles que Full Mesh, Hub and Spoke, Partial Mesh, Spoke-Hub-Hub-Spoke, Hub-Controllers, Controller behind the hub, et bien d'autres encore.

Infrastructure de modèles très riche : Versa une infrastructure de modèles très riche qui supporte une hiérarchie de modèles. Grâce à cette hiérarchie, il est possible de définir des politiques globales avec des politiques spécifiques ayant une priorité plus élevée. Cela rend la gestion globale de la configuration simple et efficace.

Un groupe de dispositifs est un ensemble de dispositifs ayant des configurations similaires mais non identiques. Un groupe de dispositifs est généralement associé à un modèle de dispositif et à un ensemble de modèles de service de différents types, tels que le modèle de service de sécurité, le modèle de service de pilotage d'application, le modèle de service de qualité de service, le modèle de service général, etc. Un groupe de dispositifs peut être associé à plusieurs modèles de services de sécurité qui sont appliqués dans un ordre spécifié par l'opérateur. En outre, il peut y avoir des modèles de service de sécurité spécifiques aux appareils.

CGNAT pour v4 et v6 NAPT-44, DNAT-44, Dynamic NAT-44, Basic-NAT-44, Twice Basic NAT-44, NPT66, NAT64, MAP-E

Plusieurs options pour le provisionnement sans contact.

CPE universel pour héberger plusieurs VNF. Chaînage de services entre les VNF hébergés et les PNF physiques externes.

Versa propose Versa une solution SD-WAN sans tunnel, qui rend le réseau plus évolutif et plus efficace en termes de bande passante, éliminant la fragmentation des paquets et améliorant la sécurité. Parmi les cas d'utilisation qui ont motivé cette solution sans tunnel, on peut citer les réseaux satellitaires, maritimes et fédéraux qui exploitent le protocole HAIPE (High Assurance Internet Protocol Encryption) de la NSA ou les architectures basées sur les solutions commerciales pour les informations classifiées (CSFC).

Dans le cas de toutes les solutions sans tunnel, le paquet intérieur est divisé en champs mutables et immuables. La figure 3 montre tous les champs communs d'un en-tête IP, d'un en-tête TCP et d'un en-tête UDP. Un sous-ensemble de champs immuables dans un en-tête IP, un en-tête TCP et un en-tête UDP, qui sont invariants pendant la durée d'un flux de 5 tuple, est représenté en bleu. Toutes les solutions associent une forme de cookie, d'étiquette, d'identifiant de flux ou une paire (source-port, destination-port) aux champs immuables.

Ce cookie/étiquette/flow-id/paire de ports est communiqué avec l'ensemble du paquet de charge utile depuis un CPE SD-WAN émetteur (SDWAN-CPE1) vers un CPE SD-WAN récepteur (SDWAN-CPE2) au moins une fois. Une fois qu'un CPE SDWAN distant (par exemple, SDWAN-CPE2) a appris le mappage de l'émetteur (par exemple, SDWAN-CPE1) et le communique à l'expéditeur, l'expéditeur (SDWAN-CPE1) encode son flow-id dans l'en-tête SDWAN et ignore tous les champs immuables du paquet de données utiles dans le trafic envoyé de SDWAN-CPE1 à SDWAN-CPE2. Veuillez noter que dans la solution Versa , un CPE SD-WAN expéditeur ignore de nombreux autres champs IP, TCP et UDP du paquet de données utiles lorsqu'il envoie du trafic à un CPE SD-WAN pair. Ceux-ci ne sont pas décrits dans ce livre blanc.

Le SD-WAN crée un réseau privé virtuel qui ne dépend pas du transport, qui tient compte des applications et qui prend en charge la gestion et l'approvisionnement centralisés. Il est essentiel qu'une solution SD-WAN puisse s'insérer facilement dans un réseau brownfield et permettre une migration progressive des réseaux MPLS ou DMVPN existants vers le réseau SD-WAN.

Comme expliqué ci-dessus, dans le cas de toutes les solutions sans tunnel, le paquet intérieur est divisé en champs mutables et immuables. Toutes les solutions associent une forme de cookie, d'étiquette, d'identifiant de flux ou une paire (source-port, destination-port) aux champs immuables. Ce cookie/étiquette/identifiant de flux/paire de ports est communiqué au moins une fois avec l'ensemble du paquet de données utiles d'un CPE SD-WAN émetteur (SDWAN-CPE1) à un CPE SD-WAN récepteur (SDWAN-CPE2). Une fois qu'un CPE SDWAN distant (par exemple, SDWAN-CPE2) a appris le mappage de l'expéditeur (par exemple, SDWAN-CPE1) et l'a communiqué à l'expéditeur, l'expéditeur (SDWAN-CPE1) code son flow-id dans l'en-tête SDWAN et saute tous les champs immuables du paquet de données utiles dans le trafic envoyé de SDWAN-CPE1 à SDWAN-CPE2.

En raison des différentes manières (identifiants de flux, combinaison de ports source et destination extérieurs) que les différents fournisseurs ont choisies pour encoder les données immuables, ils ne peuvent interopérer qu'aux frontières (NNI : Network to Network Interface) des réseaux SDWAN des différents fournisseurs. Cela s'explique notamment par le fait que la gestion des clés, le codage des paquets, le cryptage/décryptage, le plan de contrôle (propagation des itinéraires), le plan de gestion (configuration et surveillance) et le plan de visibilité (analyse des big data) sont très différents d'un fournisseur à l'autre.

Deux fournisseurs peuvent interopérer en utilisant des protocoles basés sur l'IETF tels que E-BGP, IPsec basé sur IKE et TWAMP. Deux fournisseurs peuvent également ajouter la capacité de décoder et d'encoder les formats du plan de données de l'autre.

Le moniteur Versa temps Versa fournit des informations en temps réel sur tous les services réseau, SD-WAN et de sécurité configurés sur chaque Versa . Il fournit également des informations relatives à l'état (CPU, mémoire, bande passante sur chacune des interfaces, charge) des instances VOS.

Versa est une solution Big Data qui analyse les journaux et les événements et fournit des rapports, des analyses et des commentaires puissants à Versa . Elle s'intègre nativement à des produits tiers de reporting de données et de SIEM, tels que HP ArcSight, Splunk, IBM QRadar, LogRhythm et Elastic Search. Les VOS™ des succursales fournissent en continu Versa des informations de surveillance relatives aux liens, aux chemins réseau, aux événements de sécurité, aux services, aux applications, etc. De plus, chaque service du VOS™, tel que le pare-feu de nouvelle génération, l'IDS/IPS, le filtrage d'URL, le CASB, le SWG, le DLP, le RBI, l'UEBA, le proxy DNS et d'autres modules, génère des messages de journalisation agrégés et au niveau du flux qui sont consommés par la plateforme Versa .

Toutes ces informations peuvent être exploitées pour des fonctions telles que la planification des capacités et l'analyse sécuritaire. Les figures 6, 7, 8 et 9 fournissent quelques exemples d'informations disponibles à l'aide de Versa .

Versa envoie ces journaux à Versa via un bus KAFKA. Versa peut suivre et signaler les événements anormaux de toutes les entités, telles que les utilisateurs, les ordinateurs portables, les téléphones, les appareils IoT, etc. Si un utilisateur ou un appareil IoT présente un comportement anormal, son score de confiance d'entité (ECS) est dégradé. Cet ECS est utilisé dans différents types de politiques, telles que la politique de contrôle d'accès de sécurité et la politique de surveillance du trafic. Si l'ECS d'une entité est dégradé, il est publié à tous les abonnés (tels que les passerelles Versa ) à l'aide du service Versa . Les passerelles Versa peuvent appliquer des mesures correctives en temps réel lorsque l'ECS est dégradé.