VSI: Выведение сегментации VRF на новый уровень

Сегментация сети уже долгое время является краеугольным камнем архитектуры безопасности предприятия. Технология виртуальной маршрутизации и переадресации (VRF) ввела возможность создания изолированных доменов маршрутизации в пределах единственной физической инфраструктуры — мощный концепт, но ограниченный возможностями традиционных сетей. Cato Networks radикально пересмотрела этот концепт с введением Виртуализированных Инстансов SASE (VSI), предоставляя полное изолирование сети и безопасности в эпоху облачного SASE.

VRF позволяет одному физическому маршрутизатору или коммутатору поддерживать несколько независимых таблиц маршрутизации одновременно, включая сеть сегментации без необходимости развертывания отдельной физической инфраструктуры. Хотя это решало ранние требования к сегментации, подход имеет серьезные операционные и архитектурные ограничения в современных сложных корпоративных средах.

Виртуализированный Инстанс SASE Cato (VSI) берет основную концепцию VRF — изолированные домены сетей — и расширяет ее на весь стек SASE. Вместо изолирования только слоя маршрутизации, VSI создает полностью независимую среду SASE с собственным сетевым узлом, политиками безопасности, плоскостью управления и административными контролями доступа.

Каждый VSI фактически является выделенным облачным инстансом SASE, работающим внутри глобальной магистрали Cato. Организации могут развернуть несколько VSI в рамках одной учетной записи Cato, каждая из которых адаптирована к конкретным требованиям отдельного бизнес-единицы, типа среды или дочернего предприятия.

Одним из наиболее убедительных применений VSI является предоставление организациям возможности запускать отдельные среды SASE для принципиально разных сетевых популяций — пользователей IT, устройств IoT и систем OT — каждая с независимой позицией безопасности, соответствующей их профилям риска и операционным требованиям.

Конфликты IP-адресов являются одними из самых распространенных и сложных задач интеграции после слияния или приобретения. Когда приобретенная компания использует пересекающееся адресное пространство RFC 1918, администраторы сталкиваются с трудным выбором: приступить к дорогостоящему и разрушительному проекту перенумерации или внедрить сложные обходные решения на базе NAT.

Подход VSI

С VSI приобретенная компания просто переводится на новый, выделенный инстанс SASE. Существующая схема адресации IP остается полностью неприкосновенной. VSI родительской компании и VSI приобретенной компании затем взаимосвязаны с точными контролями доступа, управляемыми политикой — позволяет определенные потоки трафика, обеспечивая при этом принципы Zero Trust на границе.

Шаблон интеграции при M&A с VSI

Шаг 1: Создать новый VSI для приобретенной компании — занимает минуты, а не месяцы

Шаг 2: Загрузить сайты, пользователей и рабочие нагрузки приобретенной компании на новый VSI

Шаг 3: Сохранение существующей схемы адресации IP — перенумерация не требуется

Шаг 4: Определить политики межсоединения VSI — гранулированный, Zero Trust доступ между двумя VSI

Шаг 5: Проекты интеграции IT могут продвигаться соизмеримо без операционных сбоев

Этот подход особенно подходит для холдинговых компаний, управляющих несколькими операционными дочерними компаниями (операционными компаниями). Каждая дочерняя компания может поддерживать степень независимости IT и сети в своем собственном VSI, в то время как родительская организация сохраняет надзор и возможность избирательного обмена ресурсами или услугами через границы VSI.

VSI не являются изолированными островами — Cato предоставляет контролируемое межсоединение между VSI с политически ориентированными контролями доступа, укорененными в принципах Zero Trust. Вместо грубого утечки маршрута в традиционных VRF-дизайнах, межсоединение VSI обеспечивает:

Эта возможность преобразует межсоединение VSI из операционного послепланового шага в полноценный контроль безопасности — соответствующий современным архитектурам Zero Trust без внесения дополнительной сложности в инфраструктуру.

Виртуализированные Инстансы SASE представляют собой фундаментальную эволюцию за пределами традиционной технологии VRF. Расширив изоляцию от маршрутизационного слоя до полного стека SASE — в том числе политика безопасности, плоскость управления, RBAC и плоскость данных — VSI позволяет организациям проектировать действительно независимые сетевые и безопасностные среды на уровне облака.

Независимо от того, является ли целью разделение IT и OT, управление интеграцией после приобретения или обеспечение независимости дочерних компаний в структуре холдинговой компании, VSI обеспечивает изоляцию выделенной развернутой инфраструктуры с операционной простотой объединенной облачной платформы.