SD-WANとセキュアサービスエッジによるDoDと超高度セキュリティの展開

IETF 標準ベースのプロトコルを使用して構築： BGP/MPLS VPNとイーサネットVPNに基づき、プライベートSAFI（サブアドレス・ファミリー識別子）を使用して、以下のようなSD-WAN関連情報を伝送する：

• キーマネージメント
• 回路の状態とステータスにアクセス
• NAT関連情報
• 重要なアプリケーションへのSLAに関する情報

鍵管理と証明書管理

• IKEを使用せずにIKEの真のエミュレーションを行う。
• 支店の秘密は電信で送信されることはなく、4分ごとに交代させることができる。
• 一意な共有秘密は、すべてのブランチのペア間でアルゴリズムによって導き出される。
• 高度な証明書管理機能。
• OCSP、CMPv2、SCEP、ACMEのサポート
• テナント／顧客によって生成された鍵を必要とする配備については、KMIP（Key Management Interoperability Protocol）を使用した外部鍵管理をサポートする。

DDIL（拒否、中断、断続、制限）環境での展開能力

• 3つのVMイメージ- 完全な非接続環境で動作させるためのイメージの最小セットは3つです。セキュリティ・イメージのすべてのアップデートは、完全に分離された環境でサポートされます。
• ライセンスはVersa Directorで一元管理。Versa Directorは、ライセンスがロードされる3つのイメージのうちの1つであり、インターネットに接続する必要はありません。
• Versa Analyticsはそのイメージのひとつだ。オペレーターにセキュリティ、接続性、パフォーマンスの完全な可視性を提供する。
• すべてのSASE サービス（SD-WAN、SSE）およびマルチクラウドの一元的なプロビジョニング、管理、モニタリング、可視化、およびビッグデータ分析だけでなく、シングルペインの管理。
• 衛星ベースのサービスプロバイダ、海運、海事で最も広く導入されているSD-WANソリューション。ノードあたり最大14のアンダーレイトランスポートドメインをサポート。SATCOM（LEO、MEO、GEO）、プライベートMPLS、LTE/5G、地上ファイバ、ブロードバンドなど複数のアンダーレイに同時に対応可能。

多彩なトラフィック・ステアリング、トラフィック・コンディショニング、高度なTCP最適化

• パケットのレイヤー3-レイヤー7フィールド、レイヤー7アプリケーション、URLカテゴリ、ユーザー、グループ、デバイスの姿勢、エンティティの信頼性スコア、地理的位置、ソースに関連するセキュリティタグ、時刻、およびその他の要因に基づくトラフィックステアリング。

  • フロー毎のトンネルレス。Versaは必要に応じてトンネルレスSD-WANをサポートすることができます。"VersaのトンネルレスSD-WANソリューション"をご参照ください。
  • 暗号化はフロー単位で有効にも無効にもできる。

• Versaソリューションは、NSAのHAIPE（High Assurance Internet Protocol Encryption）またはCSfC（Commercial Solutions for Classified）ベースのアーキテクチャを活用し、DDILや悪条件が発生する可能性のある衛星、海上、連邦政府のネットワークに非常に適しており、最高のアプリケーション体験を提供します。"Versa SD-WAN for Classified Solution"のセクションを参照してください。

• トラフィック・ステアリングは、パケット損失、遅延、ジッターなどのエンド・ツー・エンドの動的パス特性の可視性に基づいています。この機能は、より正確で回復力のあるエンドツーエンドのアプリケーションSLAを提供します。他のすべてのベンダーは、直近のネクストホップへのSLAに基づいて最適なパスを選択します。エンドツーエンドのパスメトリクスに基づいてトラフィックを制御できるのはVersaだけです。
• FEC、レプリケーション、その他の手段を用いたトラフィック・コンディショニング。これらはすべて、SLAが低下すると自動的にトリガーされ、SLAが改善すると停止する。これらの機能は、単に音声とビデオだけでなく、すべてのトラフィック・タイプで利用可能です。
• BBR、Hybla、SACK、Recent Acknowledgementなどの高度なTCP最適化および輻輳制御アルゴリズムをサポート。

包括的なQoS機能Versaソリューションは、非常に包括的なQoS（Layer3-QoS-Policy、AppQoS Policy、Policer、Marking、4Kシェイパーと64,000キューを備えたHQoS）とSD-WANトラフィックステアリング機能をサポートしています。受信したトラフィック内のレイヤー3-レイヤー7フィールド（アプリケーション、URLカテゴリ、デバイス姿勢など）に基づいて、転送クラス（FC）とパケットロス優先度（PLP）がトラフィックフローに関連付けられる。FCとPLPはVOSプラットフォーム内でトラフィックの優先順位付けとスケジューリングを行う。さらに、FC と PLP に基づいて、内部ヘッダーと外部ヘッダーの書き換えとイグレス・シェーピングが行われる。従って、ミッション・トラフィックは、Versaアプライアンス内でも伝送上でも、重要度の低いトラフィックよりも優先されます。

ブラウンフィールドでのネットワーク展開に非常に適している。

• すべての主要なレイヤー2およびレイヤー3（IPv4およびIPv6）プロトコルをサポート。
• VRFのIPv4、IPv6、デュアルスタック、アンダーレイトランスポートをサポート。

フルメッシュ、ハブ＆スポーク、パーシャルメッシュ、スポーク-ハブ-ハブ-スポーク、ハブ-コントローラー、ハブの後ろにコントローラーなど、複雑なトポロジーをサポート。

非常に豊富なテンプレートインフラ：Versaは、テンプレートの階層構造をサポートする非常に豊富なテンプレートインフラをサポートしています。このテンプレート階層を使用することで、特定のポリシーがより優先されるグローバルポリシーを定義することができます。これにより、全体的な構成管理がシンプルかつ効率的になります。

デバイス・グループは、類似しているが同一ではない構成を持つデバイスの集合体である。デバイス・グループは通常、デバイス・テンプレートと、セキュリティ・サービス・テンプレート、アプリケーション・ステアリング・サービス・テンプレート、QoSサービス・テンプレート、一般サービス・テンプレートなどの異なるタイプのサービス・テンプレートのセットと関連付けられます。デバイス・グループは複数のセキュリティ・サービス・テンプレートと関連付けられ、オペレータが指定した順序で適用されます。さらに、デバイス固有のセキュリティ・サービス・テンプレートもあります。

v4およびv6用CGNATNAPT-44、DNAT-44、ダイナミックNAT-44、ベーシックNAT-44、トワイスベーシックNAT-44、NPT66、NAT64、MAP-E

ゼロ・タッチ・プロビジョニングのための複数のオプション。

複数のVNFをホストするユニバーサルCPE。ホスティングされたVNFと外部の物理PNFをサービスチェーンする。

VersaはトンネルレスSD-WANソリューションも提供している。これはネットワークをよりスケーラブルにし、帯域幅を効率化し、パケットの断片化をなくし、セキュリティを向上させる。このトンネルレスソリューションを推進したユースケースの中には、NSAのHAIPE（High Assurance Internet Protocol Encryption）やCSFC（Commercial Solutions for Classified）ベースのアーキテクチャを活用した衛星、海上、連邦政府のネットワークがあります。

すべてのトンネルレスソリューションの場合、内部パケットは変更可能なフィールドと 変更不可能なフィールドに分割される。図3は、IPヘッダー、TCPヘッダー、およびUDPヘッダーのすべての共通 フィールドを示している。IPヘッダー、TCPヘッダー、UDPヘッダー内の不変フィールドのサブセットは、5タプルフローの間不変であり、青色で示されている。すべてのソリューションは、クッキー、ラベル、フローID、または(送信元-ポート、宛先-ポート)のペアを何らかの形で不変フィールドに関連付ける。

このクッキー／ラベル／フローID／ポートペアは、送信側のSD-WAN CPE（SDWAN-CPE1）から受信側のSD-WAN CPE（SDWAN-CPE2）へ、ペイロードパケット全体とともに少なくとも1回は通信される。リモートのSDWAN-CPE（例えば、SDWAN-CPE2）が送信者（例えば、SDWAN-CPE1）のマッピングを学習して送信者に伝えると、送信者（SDWAN-CPE1）はSDWAN-ヘッダーにフローIDをエンコードし、SDWAN-CPE1からSDWAN-CPE2に送信されるトラフィック内のペイロードパケットのすべての不変フィールドをスキップします。Versa Tunnel-lessソリューションでは、送信側のSD-WAN CPEは、相手側のSD-WAN CPEにトラフィックを送信する際に、ペイロードパケットの他の多くのIP、TCP、UDPフィールドをスキップすることに注意してください。これらについては、このホワイトペーパーでは説明しません。

SD-WAN はトランスポートにとらわれず、アプリケーションを認識し、集中管理とプロビジョニングをサポートする仮想プライベートネットワークを構築する。SD-WAN ソリューションがブラウンフィールドのネットワークに簡単に挿入でき、既存の MPLS または DMVPN ネットワークから SD-WAN ネットワークに徐々に移行できることが不可欠です。

上で説明したように、すべてのトンネルレスソリューションの場合、内部パケットはミュータブル フィールドとイミュータブルフィールドに分割される。すべてのソリューションが、クッキー、ラベル、フロー ID、または（ソース-ポート、デスティネーション-ポート）ペアの何らかの形式を、不変フィールドに関連付ける。このクッキー／ラベル／フローID／ポートペアは、送信側のSD-WAN CPE（SDWAN-CPE1）から受信側のSD-WAN CPE（SDWAN-CPE2）へ、ペイロードパケット全体と少なくとも一度は通信される。リモートのSDWAN-CPE（例えば、SDWAN-CPE2）が送信者（例えば、SDWAN-CPE1）のマッピングを学習して送信者に伝えると、送信者（SDWAN-CPE1）はSDWAN-ヘッダーにそのフローIDをエンコードし、SDWAN-CPE1からSDWAN-CPE2に送信されるトラフィックのペイロードパケットのすべての不変フィールドをスキップします。

様々なベンダーが不変データをエンコードするために選択した様々な方法（フロー ID、外部ソースポートと外部デスティネーションポートの組み合わせ）のために、それらは異なるベンダーの SDWAN ネットワークの境界（NNI: Network to Network Interface）でしか相互運用できない。キー管理、パケットのエンコーディング、暗号化/復号化、コントロールプレーン（経路の伝播）、管理プレーン（設定と監視）、可視性プレーン（ビッグデータ分析）が全てのベンダーで大きく異なるからだ。

2つのベンダーは、E-BGP、IKEベースのIPsec、TWAMPなどのIETFベースのプロトコルを使って相互運用できる。また、2つのベンダーは互いのデータプレーン形式をデコードおよびエンコードする機能を追加することもできます。

Versaリアルタイムモニターは、各Versaアプライアンスに設定されているすべてのネットワーキング、SD-WAN、セキュリティサービスに関するリアルタイム情報を提供します。また、VOSインスタンスの健全性（CPU、メモリ、各インターフェイスの帯域幅、負荷）に関する情報も提供します。

Versa Analyticsは、ログやイベントを分析し、強力なレポート、分析、フィードバックをVersa Directorに提供するビッグデータソリューションです。HP ArcSight、Splunk、IBM QRadar、LogRhythm、Elastic SearchなどのサードパーティのデータレポートやSIEM製品とネイティブに統合します。ブランチサイトのVOS™は、リンク、ネットワークパス、セキュリティイベント、サービス、アプリケーションなどに関連するVersa Analyticsモニタリング情報を継続的に提供する。さらに、次世代ファイアウォール、IDS/IPS、URLフィルタリング、CASB、SWG、DLP、RBI、UEBA、DNSプロキシ、その他のモジュールなど、VOS™上のすべてのサービスは、Versa Analyticsプラットフォームによって消費されるフローレベルおよび集約ログメッセージを生成します。

これらの情報はすべて、容量計画やセキュリティ・フォレンジックなどの機能に活用できる。図6、図7 、図8、および図9は、Versa Analyticsを使用して利用可能な情報のいくつかの例を示しています。

Versa AnalyticsはこれらのログをKAFKAバス経由でVersa UEBAに送信します。Versa UEBAは、ユーザー、ラップトップ、電話、IoTデバイスなど、すべてのエンティティによる異常なイベントを追跡し、フラグを立てることができます。ユーザーやIoTデバイスが異常な動作を示すと、そのエンティティの信頼性スコア（ECS）が低下します。このECSは、セキュリティ・アクセス・コントロール・ポリシーやトラフィック・モニタリング・ポリシーなど、さまざまな種類のポリシーで使用される。エンティティのECSがデグレードすると、Versaメッセージサービスを使用してすべてのサブスクライバ（Versaクラウドゲートウェイなど）に公開されます。Versaクラウドゲートウェイは、ECSがデグレードした場合、リアルタイムの修復を実施することができます。