VMware SASE Orchestrator stocke et exporte, via des API, des informations sensibles sur les clients et leurs réseaux. Pour protéger les informations sensibles du client sur site contre les attaques externes et limiter l'accès à ses API,
VMware SD-WAN prend en charge la configuration d'un dispositif Orchestrator de bastion (dispositif Orchestrator public) dans une zone démilitarisée (DMZ) accessible sur Internet à des fins de transfert et d'activation d'un dispositif
SD-WAN Edge. Lorsque la fonctionnalité de dispositif Orchestrator de bastion est activée, un super utilisateur opérateur peut activer un dispositif Edge provisionné sur un dispositif Orchestrator de bastion à l'aide de la clé d'activation reçue du dispositif Orchestrator de production (privé). Le dispositif Edge activé est ensuite promu de dispositif Orchestrator de bastion vers le dispositif Orchestrator de production via une communication sécurisée.
Note : Dans ce document, le terme « dispositif Orchestrator de bastion » est utilisé indistinctement avec le terme « dispositif Orchestrator public », et le terme « dispositif Orchestrator de production » est utilisé indistinctement avec le terme « dispositif Orchestrator privé ».
Le diagramme suivant illustre l'architecture et le workflow d'activation du dispositif Orchestrator de bastion.
L'architecture du dispositif Orchestrator de bastion comporte deux instances d'Orchestrator communiquant entre elles. L'instance publique de la paire de bastions est le « dispositif Orchestrator de bastion » et l'instance privée est le « dispositif Orchestrator de production ». Le workflow d'activation du dispositif Orchestrator de bastion - du dispositif Edge inclut les étapes suivantes :
Lors de la configuration du bastion, vous ne pouvez transférer qu'un seul compte de super utilisateur opérateur vers le dispositif Orchestrator de bastion. Une fois la connexion au bastion établie entre les dispositifs Orchestrator de bastion et de production, seul le compte de super utilisateur opérateur peut être utilisé à des fins d'urgence pour obtenir l'accès au dispositif Orchestrator de bastion. Le super utilisateur opérateur transféré n'a accès qu'à la page de configuration du dispositif Orchestrator de bastion.
Le découplage du dispositif Orchestrator de bastion du dispositif Orchestrator de production (opération Revenir au mode autonome (Return to Standalone Mode)) n'est pas pris en charge.
Pour activer un dispositif Edge, celui-ci doit être en mode Acquisition de certificat (« Certificate Acquire »). Lors de la promotion du dispositif Edge, pour regrouper les liaisons WAN avec la passerelle comme ACTIVE (UP), celle-ci doit être en mode Acquisition de certificat (« Certificate Acquire ») ou Certificat requis (« Certificate Required »).
Après la promotion d'un dispositif Edge du dispositif Orchestrator de bastion vers le dispositif Orchestrator de production, pour mettre à niveau l'image logicielle du dispositif Edge, assurez-vous de configurer la propriété système vco.trusted.uuids sur le dispositif Orchestrator de production comme suit :
uuid et sessionSecret sont des valeurs UUID et Secret de session (Session Secret) du dispositif Orchestrator de bastion. Vous pouvez obtenir les valeurs UUID et Secret de session (Session Secret) depuis les propriétés système vco.uuid et session.secret, respectivement.
Une fois que la passerelle et les dispositifs Edge sont transférés et activés dans le dispositif Orchestrator de bastion, vous ne pouvez plus effectuer les tests de diagnostics à distance à l'aide du dispositif Orchestrator de production pour la passerelle et les dispositifs Edge transférés dans le dispositif Orchestrator de bastion. Vous pouvez toutefois demander et générer un bundle de diagnostics à distance à partir du dispositif Orchestrator de production.
Le profil transféré par le bastion créé à des fins de transfert d'un client d'entreprise vers le dispositif Orchestrator de bastion doit disposer d'une configuration minimale liée aux segments globaux. Lors de la mise à jour des entités du profil, seuls les paramètres du périphérique, la Business Policy et le pare-feu sous le segment global sont synchronisés avec le dispositif Orchestrator de bastion. Les configurations de profil suivantes ne sont pas synchronisées avec le dispositif Orchestrator de bastion :
Segments autres que le segment global
Configurations des segments de réseau
Groupes d'objets
Récupération d'urgence pour le dispositif Orchestrator de bastion
Globalement, la fonctionnalité de récupération d'urgence (DR) est prise en charge pour le dispositif Orchestrator de production (privé). Mais pour le dispositif Orchestrator de bastion (public), comme il est sans état et reçoit ses instructions du dispositif Orchestrator de production, la fonctionnalité DR du dispositif Orchestrator de bastion n'est actuellement pas prise en charge.
Fonctionnalités récemment prises en charge dans la version 5.4.0
Dans la version 5.4.0, les nouvelles fonctionnalités suivantes sont introduites pour le dispositif Orchestrator de bastion :
Possibilité d'afficher les événements d'un dispositif Edge transféré à partir du dispositif Orchestrator de production via le dispositif Orchestrator de bastion.
Possibilité de demander le bundle de diagnostics à partir du dispositif Orchestrator de production via le dispositif Orchestrator de bastion d'un dispositif Edge transféré.
Si une promotion du dispositif Edge échoue pour une raison quelconque, le dispositif Edge revient à la dernière configuration correcte connue, c'est-à-dire qu'il est reconnecté au bastion.
Possibilité de configurer les informations liées à la mise à niveau du dispositif Edge (mises à niveau logicielles et du microprogramme) et de les envoyer au dispositif Orchestrator de bastion lors du transfert du dispositif SD-WAN Edge vers le dispositif Orchestrator de bastion. Cela permet au dispositif Edge d'être mis à niveau immédiatement après l'activation du dispositif Edge sur le dispositif Orchestrator de bastion. Pour plus d'informations, reportez-vous à la section Transférer un SD-WAN Edge vers le dispositif Orchestrator de bastion.
