SD-WAN et Secure Service Edge pour la Défense et les déploiements ultra-sécurisés

Conçu à partir de protocoles conformes aux normes de l'IETF : basé sur les technologies BGP/MPLS VPN et Ethernet VPN, et utilisant un identifiant SAFI (Sub Address Family Identifier) privé pour acheminer les informations liées au SD-WAN, telles que :

• Gestion des clés
• Accéder à l'état et au statut du circuit
• Informations relatives à la NAT
• Informations sur l'accord de niveau de service pour les applications critiques

Gestion des clés et des certificats

• Véritable émulation d'IKE sans utilisation d'IKE.
• Le secret d'une succursale n'est jamais transmis sur le réseau et peut être renouvelé toutes les quatre minutes.
• Un secret partagé unique est dérivé algorithmiquement entre chaque paire de branches.
• Capacités avancées de gestion des certificats.
• Prise en charge de OCSP, CMPv2, SCEP et ACME
• Prise en charge de la gestion externe des clés via le protocole KMIP (Key Management Interoperability Protocol) pour les déploiements nécessitant des clés générées par le locataire/client.

Capacité à être déployé dans des environnements DDIL (Denied, Disrupted, Intermittent, and Limited)

• Trois images VM - Le nombre minimum d'images requis pour fonctionner en mode totalement hors ligne est de trois. Toutes les mises à jour des images de sécurité sont prises en charge dans un environnement totalement hors ligne.
• La licence est gérée de manière centralisée par Versa . Versa est l'une des trois images sur lesquelles la licence est chargée et ne nécessite pas de connexion à Internet.
• Versa est l'une de ces solutions. Elle offre aux opérateurs une visibilité complète sur la sécurité, la connectivité et les performances.
• Une interface de gestion unique, ainsi que des fonctionnalités centralisées de provisionnement, de gestion, de surveillance, de visibilité et d'analyse de mégadonnées pour l'ensemble SASE (SD-WAN, SSE) et des environnements multicloud.
• Solution SD-WAN la plus largement déployée par les fournisseurs de services par satellite, ainsi que dans les secteurs du transport maritime et de la logistique. Prise en charge de jusqu'à 14 domaines de transport sous-jacents par nœud. Elle peut prendre en charge simultanément plusieurs infrastructures sous-jacentes telles que les communications par satellite (LEO, MEO, GEO), le MPLS privé, le LTE/5G, la fibre optique terrestre, le haut débit et bien d'autres.

Pilotage polyvalent du trafic, conditionnement du trafic et optimisation avancée du TCP

• Ajustement du trafic basé sur sur les champs des couches 3 à 7 du paquet, l'application de couche 7, la catégorie d'URL, l'utilisateur, le groupe, l'état de sécurité de l'appareil, le score de confiance de l'entité, la géolocalisation, le balise de sécurité associée à la source, l'heure de la journée et d'autres facteurs.
  • Sans tunnel, au cas par cas. Versa charge le SD-WAN sans tunnel là où et quand cela est nécessaire. Veuillez vous reporter à la section «Solution SD-WAN sans tunnelVersa».
  • Le chiffrement peut être activé ou désactivé pour chaque flux.

• Versa est parfaitement adaptée et offre la meilleure expérience d'utilisation pour les réseaux satellitaires, maritimes et fédéraux qui exploitent des architectures basées sur le protocole HAIPE ( High Assurance Internet Protocol Encryption ) de la NSA ou sur les solutions CSfC (Commercial Solutions for Classified ), susceptibles d'être exposées à des menaces DDIL et à des conditions défavorables. Veuillez vous reporter à la section «SolutionVersa pour les données classifiées ».
• L'acheminement du trafic repose sur la visibilité des caractéristiques dynamiques du chemin de bout en bout, telles que la perte de paquets, la latence et la gigue. Cette fonctionnalité permet d'offrir des accords de niveau de service (SLA) plus précis et plus résilients pour les applications de bout en bout. Tous les autres fournisseurs sélectionnent le meilleur chemin en fonction du SLA vers le saut suivant immédiat. Seul Versa acheminer le trafic en fonction des métriques du chemin de bout en bout.
• Le régulation du trafic à l'aide de la correction d'erreurs par code de correction (FEC), de la réplication et d'autres mesures, qui sont toutes déclenchées automatiquement en cas de dégradation du SLA et interrompues lorsque celui-ci s'améliore. Ces fonctionnalités sont disponibles pour tous les types de trafic, et pas seulement pour la voix et la vidéo.
• Prise en charge d'algorithmes avancés d'optimisation TCP et de contrôle de la congestion, tels que BBR, Hybla, SACK et Recent Acknowledgement.

Fonctionnalités QoS complètes: Versa prend en charge des fonctionnalités QoS très complètes (politiques QoS de couche 3, politiques AppQoS, policer, marquage, HQoS avec des shapers 4K et 64 000 files d'attente) ainsi que des capacités de routage du trafic SD-WAN. En fonction des champs de couche 3 à couche 7 du trafic reçu, notamment l'application, la catégorie d'URL et l'état de l'appareil, une classe de transfert (FC) et une priorité de perte de paquets (PLP) sont associées à un flux de trafic. La FC et la PLP hiérarchisent et planifient le trafic au sein d’une plateforme VOS. De plus, la réécriture des en-têtes internes et externes ainsi que la mise en forme de la sortie sont effectuées en fonction de la FC et de la PLP. Ainsi, le trafic critique est priorisé par rapport au trafic moins critique au sein d’un Versa ainsi que lors de la transmission.

Très bien adapté aux déploiements de réseaux dans les friches industrielles.

• Prise en charge de tous les principaux protocoles des couches 2 et 3 (IPv4 et IPv6).
• Prise en charge de l'IPv4, de l'IPv6 et de la double pile pour les VRF, ainsi que du transport sous-couche.

Prise en charge de topologies complexes telles que le maillage complet, le modèle « hub and spoke », le maillage partiel, le modèle « spoke-hub-hub-spoke », les contrôleurs de concentrateur, le contrôleur derrière le concentrateur, et bien d'autres encore.

Une infrastructure de modèles très complète : Versa une infrastructure de modèles très complète qui prend en charge une hiérarchie de modèles. Grâce à cette hiérarchie, il est possible de définir des règles globales, les règles spécifiques ayant priorité sur les règles générales. Cela rend la gestion globale de la configuration simple et efficace.

Un groupe de dispositifs est un ensemble de dispositifs ayant des configurations similaires mais non identiques. Un groupe de dispositifs est généralement associé à un modèle de dispositif et à un ensemble de modèles de service de différents types, tels que le modèle de service de sécurité, le modèle de service de pilotage d'application, le modèle de service de qualité de service, le modèle de service général, etc. Un groupe de dispositifs peut être associé à plusieurs modèles de services de sécurité qui sont appliqués dans un ordre spécifié par l'opérateur. En outre, il peut y avoir des modèles de service de sécurité spécifiques aux appareils.

CGNAT pour les versions v4 et v6: NAPT-44, DNAT-44, Dynamic NAT-44, Basic-NAT-44, Twice Basic NAT-44, NPT66, NAT64, MAP-E

Plusieurs options pour le provisionnement sans contact.

Un CPE universel capable d'héberger plusieurs VNF. Enchaînement de services entre les VNF hébergées et les PNF physiques externes.

Versa propose Versa une solution SD-WAN sans tunnel, qui rend le réseau plus évolutif et plus efficace en termes de bande passante, éliminant la fragmentation des paquets et améliorant la sécurité. Parmi les cas d'utilisation qui ont motivé cette solution sans tunnel, on peut citer les réseaux satellitaires, maritimes et fédéraux qui exploitent le protocole HAIPE (High Assurance Internet Protocol Encryption) de la NSA ou les architectures basées sur les solutions commerciales pour les informations classifiées (CSFC).

Dans le cas de toutes les solutions sans tunnel, le paquet intérieur est divisé en champs mutables et immuables. La figure 3 montre tous les champs communs d'un en-tête IP, d'un en-tête TCP et d'un en-tête UDP. Un sous-ensemble de champs immuables dans un en-tête IP, un en-tête TCP et un en-tête UDP, qui sont invariants pendant la durée d'un flux de 5 tuple, est représenté en bleu. Toutes les solutions associent une forme de cookie, d'étiquette, d'identifiant de flux ou une paire (source-port, destination-port) aux champs immuables.

Ce cookie/étiquette/flow-id/paire de ports est communiqué avec l'ensemble du paquet de charge utile depuis un CPE SD-WAN émetteur (SDWAN-CPE1) vers un CPE SD-WAN récepteur (SDWAN-CPE2) au moins une fois. Une fois qu'un CPE SDWAN distant (par exemple, SDWAN-CPE2) a appris le mappage de l'émetteur (par exemple, SDWAN-CPE1) et le communique à l'expéditeur, l'expéditeur (SDWAN-CPE1) encode son flow-id dans l'en-tête SDWAN et ignore tous les champs immuables du paquet de données utiles dans le trafic envoyé de SDWAN-CPE1 à SDWAN-CPE2. Veuillez noter que dans la solution Versa , un CPE SD-WAN expéditeur ignore de nombreux autres champs IP, TCP et UDP du paquet de données utiles lorsqu'il envoie du trafic à un CPE SD-WAN pair. Ceux-ci ne sont pas décrits dans ce livre blanc.

Le SD-WAN crée un réseau privé virtuel qui ne dépend pas du transport, qui tient compte des applications et qui prend en charge la gestion et l'approvisionnement centralisés. Il est essentiel qu'une solution SD-WAN puisse s'insérer facilement dans un réseau brownfield et permettre une migration progressive des réseaux MPLS ou DMVPN existants vers le réseau SD-WAN.

Comme expliqué ci-dessus, dans le cas de toutes les solutions sans tunnel, le paquet intérieur est divisé en champs mutables et immuables. Toutes les solutions associent une forme de cookie, d'étiquette, d'identifiant de flux ou une paire (source-port, destination-port) aux champs immuables. Ce cookie/étiquette/identifiant de flux/paire de ports est communiqué au moins une fois avec l'ensemble du paquet de données utiles d'un CPE SD-WAN émetteur (SDWAN-CPE1) à un CPE SD-WAN récepteur (SDWAN-CPE2). Une fois qu'un CPE SDWAN distant (par exemple, SDWAN-CPE2) a appris le mappage de l'expéditeur (par exemple, SDWAN-CPE1) et l'a communiqué à l'expéditeur, l'expéditeur (SDWAN-CPE1) code son flow-id dans l'en-tête SDWAN et saute tous les champs immuables du paquet de données utiles dans le trafic envoyé de SDWAN-CPE1 à SDWAN-CPE2.

En raison des différentes manières (identifiants de flux, combinaison de ports source et destination extérieurs) que les différents fournisseurs ont choisies pour encoder les données immuables, ils ne peuvent interopérer qu'aux frontières (NNI : Network to Network Interface) des réseaux SDWAN des différents fournisseurs. Cela s'explique notamment par le fait que la gestion des clés, le codage des paquets, le cryptage/décryptage, le plan de contrôle (propagation des itinéraires), le plan de gestion (configuration et surveillance) et le plan de visibilité (analyse des big data) sont très différents d'un fournisseur à l'autre.

Deux fournisseurs peuvent interopérer en utilisant des protocoles basés sur l'IETF tels que E-BGP, IPsec basé sur IKE et TWAMP. Deux fournisseurs peuvent également ajouter la capacité de décoder et d'encoder les formats du plan de données de l'autre.

Le moniteur Versa temps Versa fournit des informations en temps réel sur tous les services réseau, SD-WAN et de sécurité configurés sur chaque Versa . Il fournit également des informations relatives à l'état (CPU, mémoire, bande passante sur chacune des interfaces, charge) des instances VOS.

Versa est une solution Big Data qui analyse les journaux et les événements et fournit des rapports, des analyses et des commentaires puissants à Versa . Elle s'intègre nativement à des produits tiers de reporting de données et de SIEM, tels que HP ArcSight, Splunk, IBM QRadar, LogRhythm et Elastic Search. Les VOS™ des succursales fournissent en continu Versa des informations de surveillance relatives aux liens, aux chemins réseau, aux événements de sécurité, aux services, aux applications, etc. De plus, chaque service du VOS™, tel que le pare-feu de nouvelle génération, l'IDS/IPS, le filtrage d'URL, le CASB, le SWG, le DLP, le RBI, l'UEBA, le proxy DNS et d'autres modules, génère des messages de journalisation agrégés et au niveau du flux qui sont consommés par la plateforme Versa .

Toutes ces informations peuvent être exploitées pour des fonctions telles que la planification des capacités et l'analyse de sécurité. Les figures 6, 7, 8 et 9 fournissent quelques exemples d'informations disponibles via Versa .

Versa envoie ces journaux à Versa via un bus KAFKA. Versa peut suivre et signaler les événements anormaux de toutes les entités, telles que les utilisateurs, les ordinateurs portables, les téléphones, les appareils IoT, etc. Si un utilisateur ou un appareil IoT présente un comportement anormal, son score de confiance d'entité (ECS) est dégradé. Cet ECS est utilisé dans différents types de politiques, telles que la politique de contrôle d'accès de sécurité et la politique de surveillance du trafic. Si l'ECS d'une entité est dégradé, il est publié à tous les abonnés (tels que les passerelles Versa ) à l'aide du service Versa . Les passerelles Versa peuvent appliquer des mesures correctives en temps réel lorsque l'ECS est dégradé.