Secure SD-LANとは何ですか？

Secure SD-LANは、Versaが提供する、キャンパスおよび支社のローカルエリアネットワーク向けのソフトウェア定義型アーキテクチャ であり、スイッチング、ルーティング、セキュリティを1つのシステムに統合しています。このソリューションは、セキュアなスイッチやWLANアクセスポイント全体にゼロトラストアクセス制御とマイクロセグメンテーションを適用し、企業がリモートアクセス用にすでに導入しているオンプレミスの保護対策を、物理LAN自体にも拡張します。

主なポイント

• Secure SD-LANは、VersaのゼロトラストLAN（ZT-LAN）アーキテクチャ のLAN部分を構成するものです。
• LANエッジにおいて、マイクロセグメンテーションとゼロトラストアクセス制御を実現します。
• CSX4000およびCSX8000シリーズのセキュアスイッチファミリー上で、VOSを実行します。
• ZT Edgeと組み合わせることで、オンプレミス型のZTNAソリューションを構築できます。
• VOSの他の機能と同様、Versa 、Director、Concerto、Analyticsを通じて管理されます。

このページの内容： その重要性 ・ 仕組み ・ セキュアSD-LANの構成要素 ・ Secure SD-LANとVersaONE プラットフォーム ・ よくある質問

Secure SD-LANが重要なのはなぜですか？

従来のキャンパスおよび支店のLANは、従業員が1つのデスクで1つの有線接続を利用して働くことを前提に構築されていました。しかし、ハイブリッドな働き方が普及するにつれ、このモデルは機能しなくなっています。従来のLAN機器には包括的なセキュリティ機能が組み込まれておらず、同一ネットワーク上のデバイス間で行われるイースト・ウエスト攻撃に対する実質的な防御手段も備わっておらず、真のソフトウェア定義型境界（Software-Defined Perimeter）を実現することもできません。 レイヤー2スイッチングには、単一のアクティブパス、収束の遅さ、ベンダー固有の技術といった独自の制限があります。一方、スイッチング、WLAN、WANエッジ、セキュリティは通常、別々のサイロ化されたツールとして管理されており、運用が複雑で相互運用性の問題が生じやすい傾向にあります。

Secure SD-LANは、そのギャップを埋めるために存在します。このソリューションは、企業がすでにリモートユーザーに対して適用している「ゼロトラスト」モデル――「まず検証し、何も暗黙的に信頼しない」――を、物理的なキャンパスや支社ネットワークにも適用します。また、微細なマイクロセグメンテーションにより、LANの他の部分に支障をきたすことなく、侵害されたノートPC、IoTセンサー、または管理対象外のデバイスを隔離することが可能です。

Secure SD-LANとは何ですか？

Secure SD-LANは、VersaのZT-LANソリューションを構成する2つのコンポーネントのうちの1つであり、もう1つはZT Edge（ソフトウェア定義の境界とオンプレミスでのZTNA適用を実現する）です。 ZT Edgeがユーザーやデバイスの承認と検証に重点を置いているのに対し、Secure SD-LANはソフトウェア定義のキャンパスおよびブランチ・ファブリックそのものです。これは、マイクロセグメンテーションが組み込まれた標準準拠のスイッチングおよびアクセスインフラストラクチャであり、大まかなVLAN境界のみに依存することなく、デバイスの種類、セキュリティ状態、またはステータスに応じてデバイスを分離することができます。

両コンポーネントは、Director-Controller-Analytics（DCA）コンプレックスを通じて提供されるVersa オペレーティングシステム（VOS）上で動作し、Versa のConcertoが、SD-LAN、セキュリティ、SD-WANを統合して管理する単一のポータルを提供します。このモデルの特徴的な特性は「ポリシーモビリティ」です。つまり、デバイスが承認され、セキュリティポリシーが適用されると、そのポリシーは、デバイスが次にどのスイッチポートやワイヤレスアクセスポイントに接続しようとも、キャンパス内を移動するデバイスに追従します。

セキュアSD-LANコンポーネント

Secure SD-LANは、2つのVersa クラウドサービススイッチ（CSX）ファミリー上で動作します。各ファミリーは、市販のイーサネットスイッチ用チップセットとx86プロセッササブシステムを組み合わせ、ラインレートでのポリシー適用を実現しています。CSX4000シリーズ（CSX4300およびCSX4500で構成）は、LANエッジおよびアクセス層を担当し、電話機、カメラ、アクセスポイントなどのエンドポイント向けにPoE++ポート（最大48ポート）を備えています。CSX8000シリーズ（CSX8300およびCSX8500で構成）は、キャンパスやデータセンターにおいてアグリゲーションおよびコアの役割を果たし、最大32ポートのQSFP28 100ギガビット・イーサネットポートと、マルチテラビット級のスイッチング容量を備えています。WLANアクセスポイントは、ワイヤレスクライアントに対しても同様のポリシー適用を行います。

既存のスイッチやAPの交換が現実的ではないブラウンフィールドサイトの場合、Versa は代わりにZT-LANポリシー適用アプライアンスを提供します。これにより、すべてのサードパーティ製LANトラフィックがこのアプライアンスを経由してルーティングされ、ゼロトラストポリシーが適用されます。この導入方法では、ネイティブのVOSエッジ導入が提供するイースト-ウエスト方向の可視性の一部は得られませんが、サイロ化されたレガシーツールと比較して、統一されたポリシー、単一画面での可視性、および複雑さの軽減を実現します。

Secure SD-LAN および「VersaONE 」プラットフォーム

VersaONE において、Secure SD-LANは、Secure SD-WAN 、SSE、および次世代ファイアウォールと並んで、単一のVOSソフトウェアスタックからプラットフォームが提供する統合サービスの1つとして位置づけられています。これは、他のすべてのVersaONE サービスと同様に、Versa Director（設定およびテンプレート用）、Versa Concerto（統合ポータル用）、Versa Analytics（ネットワークおよびセキュリティのテレメトリ用）といった管理プレーンを共有しています。 商用面では、Secure SD-LANはSecure SD-WAN やスタンドアロンのNGFWとは別個にライセンス供与されます。つまり、顧客はオーケストレーション容量の費用を二重に支払うことなく、同じVersa ヘッドエンド上にSecure SD-WAN 、Secure SD-LAN、あるいはその両方を導入することができます。

よくある質問

Secure SD-LANとZT Edgeの違いは何ですか？

これらは、Versa社のZT-LANソリューションを構成する2つのコンポーネントです。Secure SD-LANは、マイクロセグメンテーション機能を備えたソフトウェア定義のスイッチングおよびアクセスファブリックであり、ZT Edgeは、ユーザーやデバイスの認証およびアクセス許可を行うオンプレミス型のZTNAレイヤーです。企業は、これらを個別に導入することも、組み合わせて完全なZT-LANとして導入することも可能です。

Secure SD-LAN はどのようなハードウェアで動作しますか？

Versa クラウドサービススイッチ：LANエッジおよびアクセス向けのCSX4000シリーズ（CSX4300、CSX4500）、およびアグリゲーションおよびコア向けのCSX8000シリーズ（CSX8300、CSX8500）。WLANアクセスポイントは、同じキャンパスファブリック上のワイヤレスクライアントに対しても、同様のポリシー適用を行います。

Secure SD-LANは、既存のスイッチを交換せずに導入できますか？

はい。ブラウンフィールド環境では、Versa のゼロトラストポリシー適用アプライアンスを既存のLANに組み込むことで、サードパーティ製のスイッチやアクセスポイントからのトラフィックをこのアプライアンス経由でルーティングし、ポリシーを適用することができます。ただし、この方法では、エッジに設置されたネイティブのVOSスイッチに比べ、イースト・ウェスト方向の可視性が低下します。

Secure SD-LANにはSecure SD-WAN が必要ですか？

いいえ。Secure SD-LAN、Secure SD-WAN 、およびNGFWは、同じVersa ヘッドエンドとVOSソフトウェアを共有する、別個のソリューションラインとしてライセンス供与され、導入されています。お客様は、Secure SD-LANを単独で、Secure SD-WAN を単独で、あるいは両方を組み合わせて運用することができます。

デバイスがキャンパス内を移動した場合、セキュリティポリシーはどうなるのでしょうか？

ポリシーはデバイスに紐づきます。デバイスまたはユーザーが特定され、所定のセキュリティ状態に基づいて承認されると、その後どの有線ポートや無線アクセスポイントを介して接続しても、その同じポリシーが適用されます。そのため、新しい接続ポイントごとに手動での再プロビジョニングや再認証を行う必要はありません。

Secure SD-LANの詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

Secure SD-LANについてお読みの方は、次に以下の内容もぜひご覧ください。