Acceso privado (ZTNA)
La mitad de acceso de SASE: una persona remota queda vinculada a su propio proveedor de identidad, recibe las aplicaciones que sus grupos dicen que puede alcanzar, y el tráfico que va dentro del túnel se encuentra con la política que se habría aplicado en la oficina. No es una nube aparte con reglas aparte.
Todo llega a un mismo sitio. Empiece aquí salvo que tenga un motivo para no hacerlo.
El tráfico entre dos sedes da un rodeo, y se inspecciona por el camino.
Una caída en la sede del concentrador no debe llevarse por delante a las demás.
Un segundo concentrador a la escucha que hay que mantener. Solo guarda rutas de host hasta que se le necesita.
Dos sedes hablan tanto entre sí que el rodeo cuesta tiempo de verdad.
El tráfico de esa pareja deja de pasar por el concentrador, así que deja de inspeccionarse allí.
Cada pareja habla con todas las demás. Con un límite de ocho sedes.
Cada sede mantiene un par por cada una de las demás, y un nodo sigue intermediando entre las parejas.
Cuatro pasos, y solo los dos primeros necesitan a alguien. Las claves se generan en cada dispositivo y nunca viajan; la consola distribuye la mitad pública y nada más.
Usted
Una sede se convierte en el concentrador, normalmente la que tiene dirección fija y capacidad para inspeccionar. Todas las demás son radios; nada necesita dirección fija salvo el concentrador. Un segundo concentrador, túneles directos entre los radios que los necesiten o la malla completa son las otras tres formas, y cada tarjeta dice lo que cuesta elegirla.
Usted
Añadir una sede a la topología escribe a la vez la configuración de los dos extremos del túnel —el radio y el cambio correspondiente en el concentrador—, de modo que no pueden separarse.
Zedmos
Cada radio establece el túnel saliendo hacia el concentrador. Por eso una sucursal con una línea doméstica de dirección cambiante funciona sin que nadie le abra un puerto.
Zedmos
Una persona remota abre un enlace de un solo uso y, si usted lo exige, inicia sesión antes en su propio proveedor OpenID Connect: un token sin declaración de segundo factor se rechaza. Su dispositivo crea su propia clave y recibe las aplicaciones concretas que permiten sus grupos del directorio, no una red. Un plazo la devuelve ante el proveedor; perder un portátil revoca ese dispositivo y deja los demás funcionando.
La inscripción es un enlace de un solo uso más una contraseña enviada por otra vía. El navegador genera el par de claves en la propia máquina del usuario y envía solo la mitad pública. En todo el sistema no hay ningún campo para una clave privada, porque no hay nada que poner en él.
Por defecto solo los rangos corporativos pasan por el túnel. El túnel completo es un interruptor, y está construido como una lista explícita de prefijos de internet en lugar de una ruta por defecto general, de modo que la impresora de casa del usuario sigue funcionando y el propio saludo del túnel nunca se enruta hacia sí mismo.
El tráfico remoto aterriza en el concentrador y se encuentra allí con el motor completo: control de aplicaciones, filtrado por categoría y por URL, IDS/IPS, inspección TLS, prevención de fuga de datos y la pasarela de IA. Un radio usado como punto de salida reenvía y traduce; no inspecciona. Saber qué máquina hace el trabajo importa a la hora de dimensionarlas.
Por el concentrador, por una sede concreta, o por la sede más cercana al lugar donde el usuario se inscribió. Útil cuando un servicio solo acepta conexiones desde el espacio de direcciones de un país.
Los usuarios y los grupos vienen de Active Directory, Azure AD o SCIM, y la política los selecciona por su nombre. Una persona remota queda vinculada a su propio proveedor OpenID Connect en la inscripción —un token sin declaración de segundo factor se rechaza— y el dispositivo lleva después esa identidad, de modo que el concentrador puede nombrar a la persona que hay detrás de un paquete. Sus grupos del directorio deciden qué aplicaciones concretas abre el concentrador, y un plazo la devuelve ante el proveedor. En la LAN, el agente del controlador de dominio proporciona la misma vinculación para todos los demás.
El motor deduce qué es cada dispositivo a partir del tráfico que ya ve —DHCP, mDNS, ARP, agentes de usuario, banners de SSH—, sin ningún agente que desplegar y sin nada que el usuario tenga que instalar. La política selecciona sobre el resultado: esta impresora, aquella clase de terminal, cualquier cosa no reconocida. Para un dispositivo remoto inscrito hay un segundo juicio, aparte: la consola lee su estado de salud del Microsoft Intune o del CrowdStrike Falcon que ya utiliza, y puede apagar el dispositivo en el concentrador cuando ese sistema lo declare comprometido. Una máquina por la que ninguno de los dos puede responder se lee como desconocida y conserva su acceso, salvo que usted pida la lectura estricta.
Esta página expone el argumento. Estas otras dicen cómo se hace en la práctica, pantalla a pantalla y ajuste a ajuste.
Cada pantalla y cada control de la sección SASE de la consola, con capturas: el lienzo, los ajustes de nodo, el acceso privado, las aplicaciones de acceso, el estado de los dispositivos, la SD-WAN y el monitor.
Qué se ejecuta dónde: concentradores, radios, las formas de la superposición, la decisión de conmutación y las cuatro preguntas que responde el acceso privado.
Qué se entrega hoy, en qué plataforma, y qué se sigue construyendo.
Demostración y precios: info@zedmos.com
Solicitar una demostración