VSPAとは何ですか？

Versa Secure Private Access（VSPA）は、Versaの「Security Service Edge」を構成するリモートアクセスコンポーネントです。これは、従来のVPNが提供する広範なネットワーク接続の代わりに、IDベースの最小権限アクセスを実装することで、オンプレミスまたはクラウド上でホストされているプライベートアプリケーションにユーザーを接続する、ゼロトラスト・ネットワーク・アクセス（ZTNA）ソリューションです。

主なポイント

• VSPAは、Versa SSEのプライベートアプリケーションアクセス向けZTNAコンポーネントです。
• ネットワークレベルのVPNアクセスを、IDおよびコンテキストに基づくポリシーに置き換えます。
• 登録、接続、およびポリシーの適用は、3段階のモデルを構成しています。
• VSPAは、SASE クライアントとクライアントレス接続の両方をサポートしています。
• SSEファブリック内のVersa Secure Internet Access（VSIA）と連携します。

このページの内容： その重要性 ・ 仕組み ・ VSPAの構成要素 ・ VSPAとVersa プラットフォーム · よくある質問

VSPAはなぜ重要なのでしょうか？

従来のVPNコンセントレータは、ネットワークレベルでアクセスを許可します。接続されると、ユーザーは通常、内部ネットワークの広範なセグメントにアクセスできるようになりますが、そのセキュリティは主に、個々のユーザーコンテキストを区別できない静的アクセスリストによって確保されています。このモデルでは、認証情報やデバイスが侵害された場合の被害範囲が広がり、特定のアプリケーションに対して最小権限の原則を適用することが困難になります。

VSPAは、リモートおよび支店との接続に「ゼロトラスト・ネットワーク・アクセス」の原則を適用することで、この課題に対処しています。ポリシーはネットワーク上の位置ではなく、アイデンティティとコンテキストに基づいて評価されるため、ユーザーのアクセス権限は、そのアプリケーションがどこにホストされていようとも、ユーザーが利用を許可されている特定のプライベートアプリケーションに限定されます。VSPAは、システムの再設計を必要とせず、既存のエンタープライズツールと統合できるため、組織はアプリケーション環境を置き換えることなく、広範なVPNアクセスから、最小権限の原則に基づき継続的に評価されるアクセスモデルへと移行することができます。

VSPAとは何ですか？

VSPAは、ユーザーの所在地やアプリケーションのホスティング環境にかかわらず、IDベースのネットワークアクセスを適用することで、ユーザーとプライベートアプリケーションを接続します。また、単発の接続チェックではなく、最小権限の原則に基づく制御と継続的な信頼性評価を実施します。

Versa VSPAの保護機能は3つの段階に分けて説明されています。登録では、クライアントの初回利用時にユーザー認証が行われます。この際、LDAP、シングルサインオン、およびローカルユーザーのVersa ディレクトリに対応しており、TOTPまたは電子メールによる多要素認証がサポートされています。その後、SASE ポータルからクライアントの設定がダウンロードされます。接続段階では、コンテキストに基づいて接続動作を決定します。これには、フェイルクローズまたはフェイルオープンの処理、最適なゲートウェイの選択、暗号化レベルなどのゲートウェイからクライアントへのポリシー、常時接続動作、およびパブリックネットワークと安全な企業内ネットワークを区別するための信頼済みネットワークの検出が含まれます。その後、ポリシー適用段階では、企業のポリシー、ZTNAルール、およびSWGスタイルの保護機能（URL、ファイル、DNS、IPフィルタリング、ウイルス対策、侵入防止）をユーザーのトラフィックに適用します。

VSPAの構成要素

VSPAは4つの構成要素から成り立っています。クラウドゲートウェイ（Versa Cloud Gateways：VCG）は、SASE ファブリックを形成し、シングルパス方式のアーキテクチャ を通じてリモートユーザーのトラフィックを処理します。SASE クライアントは、Windows、macOS、iOS、Android、Chromebook、Linuxのエンドユーザーデバイスまでファブリックを拡張します。また、VSPAは、エージェントのインストールが現実的でない場合のために、クライアントレス接続もサポートしています。SD-WAN対応の接続機能により、VCGはデータセンターへのSLA対応トラフィックエンジニアリングや、ゲートウェイおよび支店の自動検出を実現し、管理者が手動でIPsecトンネルを管理する必要がなくなります。セルフマネジメントポータルにより、企業の管理者は、リモートユーザーと支店の両方にわたるユーザー、アプリケーション、ポリシーを一元的に管理できるインターフェースを利用できます。

VSPA と「Versa 」プラットフォーム

VSPAは、Versa SSEにおける2つのサブスクリプションタイプのうちの1つであり、もう1つはVersa Secure Internet Access（VSIA）です。Concertoのセキュアなクライアントベースのアクセスルールでは、ルールごとにVSPA、VSIA、またはその両方のいずれかのサブスクリプションタイプを選択し、それによって利用可能なトラフィックアクションが決まります。 VSPAの特徴的なアクションは「Breakout to Internet」です。これは、プライベートトラフィックがVCGへトンネル経由で送信される一方、インターネット向けのトラフィックはローカルから送信され、特定のカスタムまたは事前定義されたアプリケーションをトンネル経由で強制的に送信するように選択可能で、Split DNSがデフォルトで有効になっています。 管理者は、ゲートウェイグループ、送信元の地理的な場所、および送信元 IP アドレスによって VSPA アクセスの範囲をさらに絞り込むことができます。また、VSPA クライアントのルーティングプレフィックスは、後のリリースでパブリック範囲のサポートが追加されるまでは、以前のリリースでは RFC 1918 のプライベート範囲に制限されていました。Titan ポータル側では、「ユーザーの管理」機能により、VSPA（RAC/RAS）ユーザー（SASE ゲートウェイ、支社のリモートアクセスデバイス、またはマルチテナントRAC/RASデバイス上でローカルに認証されるアカウント）がプロビジョニングされます。これらは、Versa IDPおよび外部SSOユーザータイプとは区別されます。

よくある質問

VSPAとVSIAの違いは何ですか？

VSPAは、Versa SSEのZTNAコンポーネントであり、プライベートアプリケーションへの最小権限アクセスを仲介します。VSIA（Versa Secure Internet Access）は、セキュアWebゲートウェイコンポーネントであり、ユーザーをパブリッククラウド、SaaS、およびインターネットに接続します。これらはいずれも、同じクライアントおよびゲートウェイ上で、サブスクリプションの種類ごとに設定可能です。

VSPAが採用している3段階の保護モデルとはどのようなものですか？

登録によりクライアントの認証が行われ、SASE ポータルからその設定がダウンロードされます。接続時には、ゲートウェイの選択、暗号化ポリシー、信頼できるネットワークの検出といった接続動作が決定されます。その後、ポリシーの適用により、ユーザーの継続的なトラフィックに対して、企業アクセス、ZTNA、およびSWG方式の保護が適用されます。

VSPAはクライアントレスアクセスをサポートしていますか？

はい。Windows、macOS、iOS、Android、Chromebook、およびLinux向けのVersa クライアント（SASE ）に加え、VSPAは、エンドポイントエージェントのインストールが現実的でないシナリオにおいても、アイデンティティベースのアクセスポリシーを適用しつつ、クライアントレス接続をサポートしています。

Titan ポータルにおけるVSPA（RAC/RAS）ユーザーとは何ですか？

VSPA（RAC/RAS）ユーザーとは、SASE ゲートウェイ、支店向けリモートアクセスVPNデバイス、またはマルチテナント型RAC/RASデバイス上に設定された、ローカル認証アカウントのことです。このオプションは、ローカル認証付きのVSPAサービスを購入したテナントにのみ表示され、ユーザーにはVSPAクライアントを登録するためのメールが送信されます。

VSPAは従来のVPNとどう違うのですか？

従来のVPNコンセントレータは、主に静的アクセスリストによって制御されるネットワークレベルのアクセス権限を付与しますが、これではユーザーのコンテキストを区別することができません。一方、VSPAは、アイデンティティ、デバイス、およびコンテキストを継続的に評価し、広範なネットワークへの到達可能性ではなく、「ゼロトラスト・ネットワーク・アクセス」の原則に従って、特定のアプリケーションへのアクセスを限定します。

VSPAに関する詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

VSPAについてお読みになっているなら、次はこれらもぜひチェックしてみてください。