ZT-LANとは何ですか？

ゼロトラストLAN（ZT-LAN）は、Versa Networks が提供するオンプレミスLANアーキテクチャ であり、ZT EdgeとSecure SD-LANを組み合わせることで、ゼロトラスト・ネットワーク・アクセス、マイクロセグメンテーション、およびソフトウェア定義のキャンパスおよびブランチネットワークを実現します。Versa オペレーティングシステム（VOS）を、イーサネットスイッチ、WLANアクセスポイント、およびオンプレミスアプライアンス上で直接実行します。

主なポイント

• ZT-LANは、ZT EdgeとSecure SD-LANを1つのオンプレミス型アーキテクチャ に統合したものです。
• イーサネットスイッチ、WLANアクセスポイント、およびアプライアンス上でVOSを実行します。
• 包括的なセキュリティスタックを組み込んでおり、専用のファイアウォールアプライアンスが不要になります。
• 802.1X、デバイスフィンガープリンティング、およびユーザポリシーによって、ネットワークへのアクセスが制御されます。
• EVPN VXLAN オーバーレイは、LAN デバイス全体にマイクロセグメンテーションを拡張します。

このページの内容： その重要性 ・ 仕組み ・ ZT-LANの構成要素 · ZT-LAN とVersa ・ よくある質問

ZT-LANはなぜ重要なのでしょうか？

従来、キャンパスや支店のLANは、デバイスが正面玄関を通過すれば「信頼できるゾーン」とみなされてきました。このモデルでは、1台のエンドポイントが侵害されると、ほとんどチェックされることなく横方向への拡散が可能になってしまいます。ZT-LANはこの前提を覆します。すべてのデバイスに対してフィンガープリントの取得、認証、ポリシーとの照合が行われ、レイヤー3からレイヤー7までのセキュリティ機能は、遠隔地のファイアウォールへバックホールされるのではなく、ユーザーのすぐ近くでインライン処理されます。

このインライン配置により、ほとんどのLAN設計において必須と見なされているハードウェア、すなわち専用のファイアウォールアプライアンスが不要になります。NGFW、UTM、IPS、マルウェア対策といった完全なセキュリティスタックが、各セキュアイーサネットスイッチ、セキュアWLANアクセスポイント、およびZT-LANアプライアンスに組み込まれているため、トラフィックが実際に流れる場所でワイヤレートでのセキュリティ適用が可能になります。 標準に準拠した相互運用性により、そのスタックはマルチベンダーのLAN環境でも利用可能となり、ベンダーロックインを回避できます。また、デバイスフィンガープリントと802.1Xにより、IT部門は、現在ほとんどのLANポート数を占めるIoTデバイスやBYODデバイスを可視化できます。

ZT-LANとは何ですか？

ZT-LANは、ZT Edge（ユーザーに近い場所で適用されるゼロトラストの強制）とSecure SD-LAN（LAN向けのスイッチング、ルーティング、セキュリティを統合したもの）を組み合わせたもので、いずれもVOSの一部として動作します。 ステートフル機能（Versa プラットフォームの他の部分でVOSを駆動しているものと同じ機能）はLANハードウェアに組み込まれて実行される一方、ステートレスなレイヤー2およびレイヤー3機能は、スイッチやアクセスポイント上でワイヤレートで実行され、ラインレートのZTNA適用とマイクロセグメンテーションのためにハードウェアオフロードエンジンを利用します。

レイヤー3からレイヤー7にまたがるポリシーエンジンが、アプリケーション、URL、および位置情報などのコンテキスト信号を評価し、トラフィックの許可、ブロック、レート制限、または分類を行います。統合脅威管理（UTM）は、ノースサウス方向およびイーストウェスト方向の両方でペイロードをスキャンしてマルウェアやエクスプロイトを検出し、例えば、ZTNAによってコンプライアンス違反とフラグ付けされたオンプレミスのデバイスなどに対して、動的に適用することができます。 マルチテナントおよびマイクロセグメンテーションポリシーは、VRF、仮想スイッチ、IRBインターフェースを使用して、管理プレーン、制御プレーン、データプレーン全体で各テナントのトラフィック、アプリケーション、およびデバイスを分離します。

ZT-LAN コンポーネント

アクセス制御には2つの形式があります。クライアントレス型アクセス制御では、証明書ベースの認証とマイクロセグメント配置に802.1Xを採用し、デバイスフィンガープリント（Dev-ID）を用いてIoT、企業所有、BYODのエンドポイントを分類するとともに、キャプティブポータルやActive DirectoryなどのIDプロバイダーを介したユーザー／グループ単位のアクセス制御を行います。 クライアントベースのアクセス制御では、Versa のSecure Private Access（VSPA）クライアントを使用します。このクライアントは、OSのバージョン、パッチレベル、ディスク暗号化、ウイルス対策の状態といった「エンドポイント情報プロファイル」を作成し、ポリシー適用のために最寄りのVOSインスタンスに報告します。また、このクライアントは、信頼されたLAN上ではトンネルなしで動作し、リモート環境ではトンネル経由で動作します。

EVPN コントロールプレーンと VXLAN オーバーレイは、ZT-LAN デバイス間でレイヤ 2 セグメントを拡張します。MP-BGP は、VXLAN トンネルのエンドポイントとして機能するリーフおよびスパインの ZT-LAN デバイス間で MAC および IP ルーティング情報を配布し、VLAN を VXLAN ネットワーク識別子にマッピングすることで、キャンパス規模でマルチテナントトラフィックの分離を維持します。詳細は、「ZT-LAN 向けの EVPN VXLAN の設定」を参照してください。 ホストは、冗長性を確保するために、オールアクティブモードまたはシングルアクティブモードで 2 台以上の ZT-LAN デバイスにマルチホーム設定を行うことができます。詳細については、「ZT-LAN を使用したホストの EVPN マルチホーミングの設定」を参照してください。

Versa のConcerto Orchestratorを通じて一元管理が行われ、ポリシー設計、デバイスおよびサービスの監視、役割ベースのアクセス制御を備えた階層型マルチテナント機能、ならびにサードパーティ製APIやクラウドプラットフォームとの統合を、単一のポータルから行うことができます。

ZT-LAN &Versa

ZT-LANは、VersaのSD-WANソリューションに相当するLAN層のソリューションであり、同じVOS基盤、Concertoベースの統合管理画面、そしてデバイスのテレメトリデータを基に行動分析、ユーザーごとのトラフィックレポート、およびほぼリアルタイムのトポロジー分析を実現するVersa アナリティクスエンジンを共有しています。 イーサネットスイッチ、WLANアクセスポイント、オンプレミス型アプライアンスはすべて、ZT-LANデバイスとしてVOSを実行するため、ポリシーやセグメンテーションの設計においては、Versa のその他の展開部分と同様に、組織、仮想スイッチ、仮想ルーターといった制御プレーンの概念が使用されます。機能および性能の詳細については、「ZT-LANの機能と性能」に詳しく記載されています。

よくある質問

ZT-LANとSecure SD-LANの違いは何ですか？

ZT-LANは、より広範なオンプレミスLANアーキテクチャ であり、ZT Edge（ユーザーに近い場所でのゼロトラストの適用）と、キャンパスおよび支社LAN向けの統合スイッチング、ルーティング、セキュリティ層であるSecure SD-LANを組み合わせたものです。

ZT-LANには、別途ファイアウォールアプライアンスが必要ですか？

いいえ。NGFW、UTM、IPS、マルウェア対策といったセキュリティスタック全体が、各セキュアイーサネットスイッチ、セキュアWLANアクセスポイント、およびZT-LANアプライアンスに直接組み込まれているため、専用のファイアウォール装置を必要とせずに、インラインでセキュリティ対策が実施されます。

ZT-LANは、デバイスがネットワークにアクセスできるかどうかをどのように判断するのでしょうか？

クライアントレス制御（802.1X認証や、IoTデバイス、企業所有デバイス、BYODデバイスを分類するデバイスフィンガープリント）のいずれか、あるいはエンドポイントプロファイルを作成し、ポリシー適用のために最寄りのVOSインスタンスに報告するクライアントベースのVSPAクライアントを通じて。

ZT-LANにおいて、EVPNはどのような役割を果たしているのでしょうか？

EVPNは、MP-BGPを使用してZT-LANデバイス間のMACおよびIP到達可能性を配信する制御プレーンであり、一方、VXLANは、キャンパス全体にレイヤー2セグメントを拡張し、マルチテナント間の分離を実現するデータプレーンオーバーレイを提供します。

ZT-LANの導入はどのように管理されるのですか？

Versa Concerto Orchestrator を通じて、一元的なポリシー管理、役割ベースのアクセス制御を備えた階層型マルチテナント機能、デバイスおよびサービスの監視、ならびにサードパーティ製およびクラウド管理システムとの統合を提供する、単一画面のポータルを実現します。

Versa のハードウェアに関する詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

ZT-LANについてお読みの方は、次にこれらもぜひチェックしてみてください。