VSI : Amener la segmentation VRF à un niveau supérieur

La segmentation réseau a longtemps été un pilier de l'architecture de sécurité des entreprises. La technologie Virtual Routing and Forwarding (VRF) a introduit la possibilité de créer des domaines de routage isolés au sein d'une infrastructure physique unique — un concept puissant, mais limité par les contraintes du réseau traditionnel. Cato Networks a radicalement réimaginé ce concept avec l'introduction des Instances SASE Virtualisées (VSI), amenant l'isolation réseau et sécurité à la pile SASE native du cloud.

Le VRF permet à un routeur ou commutateur physique unique de maintenir plusieurs tables de routage indépendantes simultanément, permettant la segmentation réseau sans déploiement physique séparé. Bien que cela ait résolu les premiers besoins en segmentation, l'approche présente d'importantes limitations opérationnelles et architecturales dans les environnements d'entreprise complexes d'aujourd'hui.

L'Instance SASE virtualisée (VSI) de Cato reprend le concept fondamental de VRF - des domaines réseau isolés - et l'étend à l'ensemble de la pile SASE. Plutôt que d'isoler uniquement la couche de routage, un VSI crée un environnement SASE complètement indépendant avec son propre tissu réseau, ses politiques de sécurité, son plan de gestion et ses contrôles d'accès administratifs.

Chaque VSI est, en fait, une instance du cloud SASE dédiée fonctionnant au sein de l'ossature mondiale de Cato. Les organisations peuvent déployer plusieurs VSI au sein d'un même compte Cato, chacun étant adapté aux exigences spécifiques d'une unité commerciale distincte, d'un type d'environnement ou d'une filiale.

Une des applications les plus convaincantes du VSI est de permettre aux organisations de fonctionner dans des environnements SASE distincts pour des populations réseau fondamentalement différentes — utilisateurs informatiques, appareils IoT et systèmes OT — chacun ayant des postures de sécurité indépendantes adaptées à leurs profils de risque et exigences opérationnelles.

Les conflits d'adresses IP sont parmi les défis d'intégration les plus courants et complexes après une fusion ou une acquisition. Lorsque l'entreprise acquise utilise de l'espace d'adresses RFC 1918 qui se chevauche, les administrateurs ont un choix difficile : entreprendre un projet de re-adressage coûteux et perturbateur ou mettre en œuvre des solutions de contournement basées sur le NAT complexes.

L'Approche du VSI

Avec VSI, l'entreprise acquise est simplement intégrée à une nouvelle instance SASE dédiée. Leur schéma d'adressage IP existant reste totalement intact. Le VSI de l'entreprise mère et le VSI de l'entreprise acquise sont ensuite interconnectés avec des contrôles d'accès précis, gouvernés par des politiques — permettant des flux de trafic spécifiques tout en appliquant les principes Zero Trust à la frontière.

Modèle d'Intégration F&A avec VSI

Étape 1 : Démarrer un nouveau VSI pour l'entreprise acquise — prend des minutes, pas des mois

Étape 2 : Intégration des sites, utilisateurs et charges de travail de l'entreprise acquise au nouveau VSI

Étape 3 : Conserve le schéma d'adressage IP existant — aucun ré-adressage requis

Étape 4 : Définir les politiques d'interconnexion de VSI — accès granulaire, Zero Trust entre les deux VSI

Étape 5 : Les projets d'intégration IT peuvent avancer à un rythme mesuré sans disruption opérationnelle

Cette approche est particulièrement bien adaptée aux sociétés de portefeuille gérant plusieurs filiales opérationnelles (op-cos). Chaque op-co peut maintenir un certain degré d'indépendance IT et réseau au sein de son propre VSI, tandis que l'organisation mère conserve la gouvernance et la capacité de partager ou d'utiliser sélectivement des ressources ou des services entre les frontières du VSI.

Les VSI ne sont pas des îles isolées — Cato offre une interconnexion contrôlée entre les VSI avec des contrôles d'accès basés sur des politiques enracinés dans les principes Zero Trust. Plutôt que les fuites de route à grain grossier des conceptions de VRF traditionnelles, l'interconnect de VSI applique :

Cette capacité transforme l'interconnexion VSI d'une réflexion opérationnelle à un contrôle de sécurité de première classe — aligné sur les architectures Zero Trust modernes sans introduire de complexité d'infrastructure supplémentaire.

Les Instances SASE Virtualisées représentent une évolution fondamentale au-delà de la technologie VRF traditionnelle. En étendant l'isolation de la couche de routage à la pile SASE complète — englobant politique de sécurité, plan de gestion, RBAC et plan de données — le VSI permet aux organisations d'architecturer des environnements réseau et de sécurité véritablement indépendants à l'échelle du cloud.

Que l'objectif soit de séparer l'IT de l'OT, de gérer une intégration post-acquisition, ou de permettre l'indépendance des filiales au sein d'une structure de société de portefeuille, le VSI offre l'isolation d'un déploiement d'infrastructure dédié avec la simplicité opérationnelle d'une plateforme cloud unifiée.