SD-WANとセキュアサービスエッジによるDoDと超高度セキュリティの展開

IETF 標準ベースのプロトコルを使用して構築： BGP/MPLS VPNとイーサネットVPNに基づき、プライベートSAFI（サブアドレス・ファミリー識別子）を使用して、以下のようなSD-WAN関連情報を伝送する：

• キーマネージメント
• 回路の状態とステータスにアクセス
• NAT関連情報
• 重要なアプリケーションへのSLAに関する情報

鍵管理と証明書管理

• IKEを使用せずにIKEの真のエミュレーションを行う。
• 支店の秘密は電信で送信されることはなく、4分ごとに交代させることができる。
• 一意な共有秘密は、すべてのブランチのペア間でアルゴリズムによって導き出される。
• 高度な証明書管理機能。
• OCSP、CMPv2、SCEP、ACMEのサポート
• テナント／顧客によって生成された鍵を必要とする配備については、KMIP（Key Management Interoperability Protocol）を使用した外部鍵管理をサポートする。

DDIL（拒否、中断、断続、制限）環境での展開能力

• 3つのVMイメージ- 完全な非接続環境で動作させるためのイメージの最小セットは3つです。セキュリティ・イメージのすべてのアップデートは、完全に分離された環境でサポートされます。
• ライセンス Versa によって一元管理されます。Versa 、ライセンスが読み込まれる3つのイメージのうちの1つであり、インターネットへの接続や経由を必要としません。
• Versa 一例です。これにより、運用担当者はセキュリティ、接続性、パフォーマンスの状況を完全に把握することができます。
• すべてのSASE サービス（SD-WAN、SSE）およびマルチクラウドの一元的なプロビジョニング、管理、モニタリング、可視化、およびビッグデータ分析だけでなく、シングルペインの管理。
• 衛星ベースのサービスプロバイダ、海運、海事で最も広く導入されているSD-WANソリューション。ノードあたり最大14のアンダーレイトランスポートドメインをサポート。SATCOM（LEO、MEO、GEO）、プライベートMPLS、LTE/5G、地上ファイバ、ブロードバンドなど複数のアンダーレイに同時に対応可能。

多彩なトラフィック・ステアリング、トラフィック・コンディショニング、高度なTCP最適化

• パケットのレイヤー3-レイヤー7フィールド、レイヤー7アプリケーション、URLカテゴリ、ユーザー、グループ、デバイスの姿勢、エンティティの信頼性スコア、地理的位置、ソースに関連するセキュリティタグ、時刻、およびその他の要因に基づくトラフィックステアリング。

  • フロー単位でのトンネルレス方式。Versa 。詳細は「VersaトンネルレスSD-WANソリューション」のセクションをご参照ください。
  • 暗号化はフロー単位で有効にも無効にもできる。

• Versa 、DDIL（直接的脅威）や過酷な環境下での運用が想定される、NSAのHigh Assurance Internet Protocol Encryption（HAIPE）またはCommercial Solutions for Classified（CSfC）に基づくアーキテクチャを活用する衛星、海上、および連邦政府ネットワークに極めて適しており、最高のアプリケーション体験を提供します。詳細は、「Versa 」のセクションをご参照ください。

• トラフィックステアリングは、パケットロス、遅延、ジッターといったエンドツーエンドの動的パス特性の可視性に基づいて行われます。この機能により、より正確で耐障害性の高いエンドツーエンドのアプリケーションSLAを実現します。他のベンダーはすべて、直近のネクストホップまでのSLAに基づいて最適なパスを選択します。エンドツーエンドのパスメトリクスに基づいてトラフィックをステアリングVersa だけです。
• FEC、レプリケーション、その他の手段を用いたトラフィック・コンディショニング。これらはすべて、SLAが低下すると自動的にトリガーされ、SLAが改善すると停止する。これらの機能は、単に音声とビデオだけでなく、すべてのトラフィック・タイプで利用可能です。
• BBR、Hybla、SACK、Recent Acknowledgementなどの高度なTCP最適化および輻輳制御アルゴリズムをサポート。

包括的なQoS機能 Versa 、非常に包括的なQoS（レイヤー3 QoSポリシー、AppQoSポリシー、ポリサー、マーキング、4Kシェイパーおよび64,000キューを備えたHQoS）と、SD-WANトラフィックステアリング機能をサポートしています。 受信トラフィック内のレイヤー3～レイヤー7フィールド（アプリケーション、URLカテゴリ、デバイスのポスチャーなど）に基づき、転送クラス（FC）およびパケット損失優先度（PLP）がトラフィックフローに関連付けられます。 FCとPLPは、VOSプラットフォーム内でのトラフィックの優先順位付けとスケジューリングを行います。さらに、FCとPLPに基づいて、内部および外部ヘッダーの書き換えやエグレス・シェーピングが行われます。したがって、Versa 内および伝送経路において、ミッションクリティカルなトラフィックが重要度の低いトラフィックよりも優先されます。

ブラウンフィールドでのネットワーク展開に非常に適している。

• すべての主要なレイヤー2およびレイヤー3（IPv4およびIPv6）プロトコルをサポート。
• VRFのIPv4、IPv6、デュアルスタック、アンダーレイトランスポートをサポート。

フルメッシュ、ハブ＆スポーク、パーシャルメッシュ、スポーク-ハブ-ハブ-スポーク、ハブ-コントローラー、ハブの後ろにコントローラーなど、複雑なトポロジーをサポート。

非常に充実したテンプレート機能： Versa 、テンプレートの階層構造をサポートする非常に充実したテンプレートVersa 。このテンプレートの階層構造を活用することで、グローバルなポリシーを定義しつつ、特定のポリシーに優先順位を高く設定することができます。これにより、全体的な設定管理がシンプルかつ効率的になります。

デバイス・グループは、類似しているが同一ではない構成を持つデバイスの集合体である。デバイス・グループは通常、デバイス・テンプレートと、セキュリティ・サービス・テンプレート、アプリケーション・ステアリング・サービス・テンプレート、QoSサービス・テンプレート、一般サービス・テンプレートなどの異なるタイプのサービス・テンプレートのセットと関連付けられます。デバイス・グループは複数のセキュリティ・サービス・テンプレートと関連付けられ、オペレータが指定した順序で適用されます。さらに、デバイス固有のセキュリティ・サービス・テンプレートもあります。

v4およびv6用CGNATNAPT-44、DNAT-44、ダイナミックNAT-44、ベーシックNAT-44、トワイスベーシックNAT-44、NPT66、NAT64、MAP-E

ゼロ・タッチ・プロビジョニングのための複数のオプション。

複数のVNFをホストするユニバーサルCPE。ホスティングされたVNFと外部の物理PNFをサービスチェーンする。

Versa 、ネットワークの拡張性と帯域幅効率を向上させ、パケットの断片化を解消し、セキュリティを強化する「トンネルレスSD-WAN」Versa 提供しています。このトンネルレスソリューションの導入を後押ししたユースケースには、NSAのHigh Assurance Internet Protocol Encryption（HAIPE）やCommercial Solutions for Classified（CSFC）に基づくアーキテクチャを活用する、衛星通信、海事、および連邦政府のネットワークなどが挙げられます。

すべてのトンネルレスソリューションの場合、内部パケットは変更可能なフィールドと 変更不可能なフィールドに分割される。図3は、IPヘッダー、TCPヘッダー、およびUDPヘッダーのすべての共通 フィールドを示している。IPヘッダー、TCPヘッダー、UDPヘッダー内の不変フィールドのサブセットは、5タプルフローの間不変であり、青色で示されている。すべてのソリューションは、クッキー、ラベル、フローID、または(送信元-ポート、宛先-ポート)のペアを何らかの形で不変フィールドに関連付ける。

このクッキー／ラベル／フローID／ポートペアは、送信元SD-WAN CPE（SDWAN-CPE1）から受信側SD-WAN CPE（SDWAN-CPE2）へ、ペイロードパケット全体と共に少なくとも1回は伝達されます。リモート側のSD-WAN CPE（例：SDWAN-CPE2）が送信元（例： SDWAN-CPE1）のマッピングを学習し、それを送信元に通知すると、送信元（SDWAN-CPE1）は自身のフローIDをSDWANヘッダーにエンコードし、SDWAN-CPE1からSDWAN-CPE2へ送信されるトラフィックにおいて、ペイロードパケットのすべての不変フィールドを省略します。 なお、Versa では、送信元SD-WAN CPEがピアSD-WAN CPEへトラフィックを送信する際、ペイロードパケットの他の多くのIP、TCP、およびUDPフィールドも省略します。これらについては、本ホワイトペーパーでは説明していません。

SD-WAN はトランスポートにとらわれず、アプリケーションを認識し、集中管理とプロビジョニングをサポートする仮想プライベートネットワークを構築する。SD-WAN ソリューションがブラウンフィールドのネットワークに簡単に挿入でき、既存の MPLS または DMVPN ネットワークから SD-WAN ネットワークに徐々に移行できることが不可欠です。

上で説明したように、すべてのトンネルレスソリューションの場合、内部パケットはミュータブル フィールドとイミュータブルフィールドに分割される。すべてのソリューションが、クッキー、ラベル、フロー ID、または（ソース-ポート、デスティネーション-ポート）ペアの何らかの形式を、不変フィールドに関連付ける。このクッキー／ラベル／フローID／ポートペアは、送信側のSD-WAN CPE（SDWAN-CPE1）から受信側のSD-WAN CPE（SDWAN-CPE2）へ、ペイロードパケット全体と少なくとも一度は通信される。リモートのSDWAN-CPE（例えば、SDWAN-CPE2）が送信者（例えば、SDWAN-CPE1）のマッピングを学習して送信者に伝えると、送信者（SDWAN-CPE1）はSDWAN-ヘッダーにそのフローIDをエンコードし、SDWAN-CPE1からSDWAN-CPE2に送信されるトラフィックのペイロードパケットのすべての不変フィールドをスキップします。

様々なベンダーが不変データをエンコードするために選択した様々な方法（フロー ID、外部ソースポートと外部デスティネーションポートの組み合わせ）のために、それらは異なるベンダーの SDWAN ネットワークの境界（NNI: Network to Network Interface）でしか相互運用できない。キー管理、パケットのエンコーディング、暗号化/復号化、コントロールプレーン（経路の伝播）、管理プレーン（設定と監視）、可視性プレーン（ビッグデータ分析）が全てのベンダーで大きく異なるからだ。

2つのベンダーは、E-BGP、IKEベースのIPsec、TWAMPなどのIETFベースのプロトコルを使って相互運用できる。また、2つのベンダーは互いのデータプレーン形式をデコードおよびエンコードする機能を追加することもできます。

Versa Time Monitorは、各Versa に設定されているすべてのネットワーク、SD-WAN、およびセキュリティサービスに関するリアルタイム情報を提供します。また、VOSインスタンスの稼働状況（CPU、メモリ、各インターフェースの帯域幅、負荷）に関する情報も提供します。

Versa 、ログやイベントを分析し、Versa 強力なレポート、分析結果、フィードバックを提供するビッグデータソリューションです。HP ArcSight、Splunk、IBM QRadar、LogRhythm、Elastic Searchなどのサードパーティ製データレポートおよびSIEM製品とネイティブに統合されます。 支店拠点のVOS™は、リンク、ネットワークパス、セキュリティイベント、サービス、アプリケーションなどに関するVersa 監視情報を継続的に提供します。さらに、次世代ファイアウォール、IDS/IPS、URLフィルタリング、CASB、SWG、DLP、RBI、UEBA、DNSプロキシ、その他のモジュールなど、VOS™上のすべてのサービスは、フローレベルおよび集計レベルのログメッセージを生成し、Versa プラットフォームによって利用されます。

これらの情報はすべて、キャパシティプランニングやセキュリティフォレンジックなどの業務に活用できます。図6、図7、図8、および図9は、Versa 取得可能な情報の例をいくつか示しています。

Versa 、これらのログをKAFKAバスVersa 送信します。Versa 、ユーザー、ノートPC、スマートフォン、IoTデバイスなど、あらゆるエンティティによる異常なイベントを追跡し、フラグを立てることができます。ユーザーやIoTデバイスが異常な動作を示した場合、そのエンティティ信頼度スコア（ECS）は低下します。このECSは、セキュリティアクセス制御ポリシーやトラフィック監視ポリシーなど、さまざまな種類のポリシーで使用されます。 エンティティのECSが低下した場合、Versa Serviceを使用してすべてのサブスクライバー（Versa ゲートウェイなど）に通知されます。Versa ゲートウェイは、ECSが低下した際にリアルタイムで是正措置を適用できます。