SD-WANとセキュアサービスエッジによるDoDと超高度セキュリティの展開

IETF標準に基づくプロトコルを採用： BGP/MPLS VPNおよびイーサネットVPNを基盤とし、プライベートSAFI（サブアドレスファミリー識別子）を使用して、以下のようなSD-WAN関連情報を伝送します：

• キーマネージメント
• 回路の状態とステータスにアクセス
• NAT関連情報
• 重要なアプリケーションへのSLAに関する情報

鍵管理と証明書管理

• IKEを使用せずにIKEの真のエミュレーションを行う。
• 支店の秘密は電信で送信されることはなく、4分ごとに交代させることができる。
• 一意な共有秘密は、すべてのブランチのペア間でアルゴリズムによって導き出される。
• 高度な証明書管理機能。
• OCSP、CMPv2、SCEP、ACMEのサポート
• テナント／顧客が生成した鍵を必要とする導入環境において、Key Management Interoperability Protocol（KMIP）を使用した外部鍵管理をサポートします。

DDIL（拒否、中断、断続、制限）環境での展開能力

• 3つのVMイメージ- 完全にオフライン状態で動作させるための最小限のイメージセットは3つです。セキュリティイメージのすべての更新は、完全にオフラインの環境でもサポートされています。
• ライセンス Versa によって一元管理されます。Versa 、ライセンスが読み込まれる3つのイメージのうちの1つであり、インターネットへの接続や経由を必要としません。
• Versa はその一例です。これにより、運用担当者はセキュリティ、接続性、パフォーマンスに関する状況を完全に把握することができます。
• すべてのSASE （SD-WAN、SSE）およびマルチクラウド環境に対し、一元的な管理画面に加え、プロビジョニング、管理、監視、可視化、およびビッグデータ分析を一元的に提供します。
• 衛星通信事業者、海運、および海事分野で最も広く導入されているSD-WANソリューションです。1ノードあたり最大14のアンダーレイ伝送ドメインに対応しています。SATCOM（LEO、MEO、GEO）、プライベートMPLS、LTE/5G、地上光ファイバー、ブロードバンドなど、複数のアンダーレイを同時に利用可能です。

多彩なトラフィック・ステアリング、トラフィック・コンディショニング、高度なTCP最適化

• トラフィック・ステアリングに基づく パケットのレイヤー3～7のフィールド、レイヤー7アプリケーション、URLカテゴリ、ユーザー、グループ、デバイスのセキュリティ状態、エンティティ信頼度スコア、地理的位置、送信元に紐づくセキュリティタグ、時間帯、およびその他の要因に基づいて。
  • フロー単位でのトンネルレス方式。Versa 、Versa 。詳細は「VersaトンネルレスSD-WANソリューション」のセクションをご参照ください。
  • 暗号化は、フローごとに有効または無効に設定できます。

• Versa 、DDIL（直接的脅威）や過酷な環境下での運用が想定される、NSAのHigh Assurance Internet Protocol Encryption（HAIPE）またはCommercial Solutions for Classified（CSfC）に基づくアーキテクチャを活用する衛星、海上、および連邦政府ネットワークに極めて適しており、最高のアプリケーション体験を提供します。詳細は、「Versa 」のセクションをご参照ください。
• トラフィックステアリングは、パケットロス、遅延、ジッターといったエンドツーエンドの動的パス特性の可視化に基づいて行われます。この機能により、より正確で耐障害性の高いエンドツーエンドのアプリケーションSLAを実現します。他のベンダーはすべて、直近のネクストホップまでのSLAに基づいて最適なパスを選択します。エンドツーエンドのパスメトリクスに基づいてトラフィックをステアリングVersa だけです。
• FEC、レプリケーション、その他の手段を用いたトラフィック調整は、SLAが低下した際に自動的に発動し、SLAが改善すると停止します。これらの機能は、音声やビデオだけでなく、あらゆる種類のトラフィックで利用可能です。
• BBR、Hybla、SACK、Recent Acknowledgement などの高度な TCP 最適化および輻輳制御アルゴリズムに対応しています。

包括的なQoS機能 Versa 、非常に包括的なQoS（レイヤー3 QoSポリシー、AppQoSポリシー、ポリサー、マーキング、4Kシェイパーおよび64,000のキューを備えたHQoS）と、SD-WANトラフィックステアリング機能をサポートしています。 受信トラフィック内のレイヤー3～レイヤー7フィールド（アプリケーション、URLカテゴリ、デバイスのポスチャーなど）に基づき、転送クラス（FC）およびパケット損失優先度（PLP）がトラフィックフローに関連付けられます。 FCとPLPは、VOSプラットフォーム内でのトラフィックの優先順位付けとスケジューリングを行います。さらに、FCとPLPに基づいて、内部および外部ヘッダーの書き換えやエグレスシェーピングが行われます。したがって、Versa 内および伝送経路において、ミッションクリティカルなトラフィックが重要度の低いトラフィックよりも優先されます。

ブラウンフィールドでのネットワーク展開に非常に適している。

• すべての主要なレイヤー2およびレイヤー3（IPv4およびIPv6）プロトコルをサポート。
• VRFのIPv4、IPv6、デュアルスタック、アンダーレイトランスポートをサポート。

フルメッシュ、ハブ・アンド・スポーク、パーシャルメッシュ、スポーク・ハブ・ハブ・スポーク、ハブ・コントローラー、ハブ背後のコントローラーなど、複雑なトポロジーを幅広くサポートしています。

非常に充実したテンプレート機能： Versa 、テンプレートの階層構造をサポートする非常に充実したテンプレートVersa 。このテンプレートの階層構造を活用することで、優先順位の高い個別のポリシーを含むグローバルポリシーを定義できます。これにより、全体的な構成管理がシンプルかつ効率的になります。

デバイス・グループは、類似しているが同一ではない構成を持つデバイスの集合体である。デバイス・グループは通常、デバイス・テンプレートと、セキュリティ・サービス・テンプレート、アプリケーション・ステアリング・サービス・テンプレート、QoSサービス・テンプレート、一般サービス・テンプレートなどの異なるタイプのサービス・テンプレートのセットと関連付けられます。デバイス・グループは複数のセキュリティ・サービス・テンプレートと関連付けられ、オペレータが指定した順序で適用されます。さらに、デバイス固有のセキュリティ・サービス・テンプレートもあります。

v4およびv6向けのCGNAT、NAPT-44、DNAT-44、Dynamic NAT-44、Basic-NAT-44、Twice Basic NAT-44、NPT66、NAT64、MAP-E

ゼロ・タッチ・プロビジョニングのための複数のオプション。

ユニバーサルCPEは、複数のVNFをホストします。ホストされたVNFと外部の物理PNFをサービスチェイニングします。

Versa 、ネットワークの拡張性と帯域幅効率を向上させ、パケットの断片化を解消し、セキュリティを強化する「トンネルレスSD-WAN」Versa 提供しています。このトンネルレスソリューションの導入を後押ししたユースケースには、NSAのHigh Assurance Internet Protocol Encryption（HAIPE）やCommercial Solutions for Classified（CSFC）に基づくアーキテクチャを活用する、衛星通信、海事、および連邦政府のネットワークなどが挙げられます。

すべてのトンネルレスソリューションの場合、内部パケットは変更可能なフィールドと 変更不可能なフィールドに分割される。図3は、IPヘッダー、TCPヘッダー、およびUDPヘッダーのすべての共通 フィールドを示している。IPヘッダー、TCPヘッダー、UDPヘッダー内の不変フィールドのサブセットは、5タプルフローの間不変であり、青色で示されている。すべてのソリューションは、クッキー、ラベル、フローID、または(送信元-ポート、宛先-ポート)のペアを何らかの形で不変フィールドに関連付ける。

このクッキー／ラベル／フローID／ポートペアは、送信元SD-WAN CPE（SDWAN-CPE1）から受信側SD-WAN CPE（SDWAN-CPE2）へ、ペイロードパケット全体と共に少なくとも1回は伝達されます。リモート側のSD-WAN CPE（例：SDWAN-CPE2）が送信元（例： SDWAN-CPE1）のマッピングを学習し、それを送信元に通知すると、送信元（SDWAN-CPE1）は自身のフローIDをSDWANヘッダーにエンコードし、SDWAN-CPE1からSDWAN-CPE2へ送信されるトラフィックにおいて、ペイロードパケットのすべての不変フィールドを省略します。 なお、Versa では、送信元SD-WAN CPEがピアSD-WAN CPEへトラフィックを送信する際、ペイロードパケットの他の多くのIP、TCP、およびUDPフィールドも省略します。これらについては、本ホワイトペーパーでは説明していません。

SD-WAN はトランスポートにとらわれず、アプリケーションを認識し、集中管理とプロビジョニングをサポートする仮想プライベートネットワークを構築する。SD-WAN ソリューションがブラウンフィールドのネットワークに簡単に挿入でき、既存の MPLS または DMVPN ネットワークから SD-WAN ネットワークに徐々に移行できることが不可欠です。

上で説明したように、すべてのトンネルレスソリューションの場合、内部パケットはミュータブル フィールドとイミュータブルフィールドに分割される。すべてのソリューションが、クッキー、ラベル、フロー ID、または（ソース-ポート、デスティネーション-ポート）ペアの何らかの形式を、不変フィールドに関連付ける。このクッキー／ラベル／フローID／ポートペアは、送信側のSD-WAN CPE（SDWAN-CPE1）から受信側のSD-WAN CPE（SDWAN-CPE2）へ、ペイロードパケット全体と少なくとも一度は通信される。リモートのSDWAN-CPE（例えば、SDWAN-CPE2）が送信者（例えば、SDWAN-CPE1）のマッピングを学習して送信者に伝えると、送信者（SDWAN-CPE1）はSDWAN-ヘッダーにそのフローIDをエンコードし、SDWAN-CPE1からSDWAN-CPE2に送信されるトラフィックのペイロードパケットのすべての不変フィールドをスキップします。

様々なベンダーが不変データをエンコードするために選択した様々な方法（フロー ID、外部ソースポートと外部デスティネーションポートの組み合わせ）のために、それらは異なるベンダーの SDWAN ネットワークの境界（NNI: Network to Network Interface）でしか相互運用できない。キー管理、パケットのエンコーディング、暗号化/復号化、コントロールプレーン（経路の伝播）、管理プレーン（設定と監視）、可視性プレーン（ビッグデータ分析）が全てのベンダーで大きく異なるからだ。

2つのベンダーは、E-BGP、IKEベースのIPsec、TWAMPなどのIETFベースのプロトコルを使って相互運用できる。また、2つのベンダーは互いのデータプレーン形式をデコードおよびエンコードする機能を追加することもできます。

Versa Time Monitorは、各Versa に設定されているすべてのネットワーク、SD-WAN、およびセキュリティサービスに関するリアルタイム情報を提供します。また、VOSインスタンスの稼働状況（CPU、メモリ、各インターフェースの帯域幅、負荷）に関する情報も提供します。

Versa 、ログやイベントを分析し、Versa 強力なレポート、分析結果、フィードバックを提供するビッグデータソリューションです。HP ArcSight、Splunk、IBM QRadar、LogRhythm、Elastic Searchなどのサードパーティ製データレポートおよびSIEM製品とネイティブに統合されます。 支店拠点のVOS™は、リンク、ネットワークパス、セキュリティイベント、サービス、アプリケーションなどに関するVersa 監視情報を継続的に提供します。さらに、次世代ファイアウォール、IDS/IPS、URLフィルタリング、CASB、SWG、DLP、RBI、UEBA、DNSプロキシ、その他のモジュールなど、VOS™上のすべてのサービスは、フローレベルおよび集計レベルのログメッセージを生成し、Versa プラットフォームによって利用されます。

これらの情報はすべて、キャパシティプランニングやセキュリティフォレンジックなどの業務に活用できます。図6、図7、図8、図9は、Versa を利用して得られる情報の例をいくつか示しています。

Versa 、これらのログをKAFKAバスVersa 送信します。Versa 、ユーザー、ノートPC、スマートフォン、IoTデバイスなど、あらゆるエンティティによる異常なイベントを追跡し、フラグを立てることができます。ユーザーやIoTデバイスが異常な動作を示した場合、そのエンティティ信頼度スコア（ECS）は低下します。このECSは、セキュリティアクセス制御ポリシーやトラフィック監視ポリシーなど、さまざまな種類のポリシーで使用されます。 エンティティのECSが低下した場合、Versa Serviceを使用してすべてのサブスクライバー（Versa ゲートウェイなど）に通知されます。Versa ゲートウェイは、ECSが低下した際にリアルタイムで是正措置を適用できます。