Avanceret Mesh VPN-netværk: En komplet guide til virksomheder

Informatic Digital » Recursos » Avanceret Mesh VPN-netværk: En komplet guide til virksomheder

Når en virksomhed vokser og spreder sig på tværs af flere kontorer, cloud-sites og fjernarbejdere , ophører det med at være valgfrit at forbinde alt sikkert og hurtigt og bliver forretningskritisk. Traditionelle point-to-point VPN-teknologier kommer til kort, hvad angår fleksibilitet og fejltolerance, og det er her, avanceret mesh VPN kommer ind i billedet.

Denne type arkitektur gør det muligt for hvert websted eller hver trafikkilde at etablere direkte krypterede tunneler med alle andre lokationer , hvilket undgår flaskehalse i en enkelt hub og tilbyder høj tilgængelighed, forbedret ydeevne og problemfri integration med moderne tilgange såsom zero trust- eller hybridmiljøer (on-premises + cloud). I løbet af denne artikel vil vi gennemgå, hvordan disse netværk fungerer, deres tekniske krav (IPsec, IKE, BGP, routere og firewalls), og hvordan de passer til nuværende mesh Wi-Fi-løsninger og administrerede tjenester.

Hvad er et avanceret mesh VPN-netværk, og hvordan adskiller det sig fra andre modeller?

En avanceret mesh-VPN er en topologi, hvor hvert websted etablerer VPN-tunneler med alle andre websteder , så kommunikationen mellem to punkter ikke afhænger af, at en tredjepart er tilgængelig eller fungerer som mellemmand. Denne konfiguration er også kendt som en fuld mesh- eller decentraliseret VPN.

I stedet for et klassisk hub-and-spoke-design (alle lokationer hænger fra en central hub) vælger det avancerede mesh en distribueret arkitektur , hvilket er ideelt, når ressourcer er spredt på tværs af flere lokationer, eller når der ønskes robuste forretningsprocesser, der fortsætter med at fungere, selvom én lokation har forbindelsesproblemer.

I et typisk scenarie opretter hver firewall eller sikkerhedsenhed – for eksempel en Firebox på hvert sted – IPsec-tunneller til de andre. Hvis virksomhedskontoret går ned, fortsætter filialkontoret og distributionscentret med at kommunikere direkte via VPN'en uden at gå gennem hovedkvarteret.

Denne tilgang passer rigtig godt til Zero Trust Network -strategier , hvor sikkerhed er designet under antagelse af, at enhver del af netværket kan fejle eller blive kompromitteret, og hvor end-to-end-kryptering, segmentering og robusthed prioriteres.

Anvendelseseksempler: fra multi-site-virksomheder til hybridmiljøer med skyen

Et meget almindeligt anvendelsesscenarie for en avanceret mesh-VPN er i en organisation med flere lokationer: for eksempel en colocation-facilitet (Colo), et virksomhedshovedkvarter (Corp), et distributionscenter (Dist) og et lille fjernkontor (RMT). I denne sammenhæng har hvert sted brug for direkte og sikker adgang til de andres ressourcer.

I denne type design kan der være unikke ressourcer på en af ​​lokationerne (for eksempel et kritisk ERP-system på hovedkontoret eller en virksomhedsfilserver ), så pålidelig forbindelse mellem alle lokationer er afgørende. Jo flere fjernkontorer der tilføjes, desto vigtigere bliver det, at systemet understøtter tilføjelse af nye noder uden at omkonfigurere alt.

Når de fleste ressourcer er koncentreret på ét sted, kan en klassisk centraliseret arkitektur stadig give mening . Men hvis data og applikationer er distribueret, eller hvis der er forretningsprocesser, der kræver direkte kommunikation mellem lokationer (for eksempel konstant synkronisering mellem logistikcentre), tilbyder et fuldt integreret netværk større fleksibilitet og fejltolerance.

Et særligt almindeligt scenarie er kombinationen af ​​lokale netværk og skyen , for eksempel ved at forbinde lokale netværk til Azure via VPN Gateway og også oprette virtuelle netværk-til-virtuelle netværk (VNet-til-VNet) forbindelser. I disse hybridmiljøer er mesh-topologier og avancerede redundansmekanismer nøglen til at sikre servicekontinuitet.

Væsentlige tekniske komponenter i et avanceret mesh VPN-netværk

Bag betegnelsen "mesh VPN" gemmer sig en række meget specifikke tekniske komponenter, der gør magien mulig. Generelt set taler vi om avancerede VPN-sikkerhedsfunktioner såsom IPsec til datakryptering og IKE (Internet Key Exchange) til nøgleudveksling og forhandling af sikkerhedsparametre mellem endpoints.

I en typisk Firebox- eller anden næstegenerations firewallkonfiguration definerer hver lokation forgreningsgateways og tunneler , der forbinder til netværkene på de andre lokationer. For eksempel vil hver lokation i en organisation med fire lokationer have tre VPN-gateways til forgreninger og tre tilhørende tunneler (en til hver af de andre lokationer).

Konfiguration administreres normalt via specifikke værktøjer (f.eks. Policy Manager i Fireware), hvor du kan se og justere både filialgateways og filial-VPN-tunneler , samt de tunnelruter, der er nødvendige for, at trafik kan bevæge sig mellem lokale og eksterne undernet.

En meget vigtig detalje i mesh-netværksscenarier er brugen af ​​aggregerede undernet, når tunnelruter defineres, i stedet for at liste hvert lokalt netværk separat. For eksempel kan tunnelen "Colo til RMT" defineres til at bruge undernettet 172.16.0.0/16 til at repræsentere alle Colos interne netværk (f.eks. 172.16.1.0 og 172.16.2.0), så et enkelt par tunnelruter kan dække flere segmenter i stedet for at kræve flere tunneler.

Dette reducerer drastisk antallet af nødvendige tunnelruter, især i små kontorer, der kun behøver at nå et begrænset sæt af eksterne subnet. Men hvis der kræves meget fin trafikkontrol , kan individuelle netværk defineres, hvilket kræver mere konfigurations- og administrationsarbejde.

Infrastrukturkrav: båndbredde, hardware og pålidelighed

En avanceret mesh VPN er per definition mere krævende end en simpel opsætning. Hver tunnel involverer krypterings- og indkapslingsprocesser , så VPN'ens brugbare båndbredde vil altid være noget mindre end linkets fysiske hastighed.

Derfor skal virksomheder sikre, at forbindelserne mellem lokationer (fiber, MPLS, højkapacitetsinternet osv.) har tilstrækkelig båndbredde til at understøtte den krypterede trafik, der vil flyde gennem tunnellerne. Dette er især kritisk på steder, der huser unikke ressourcer eller fungerer som kommunikationsknudepunkter.

Den type sikkerhedsenhed, der er installeret på hvert punkt (f.eks. en Firebox, der passer til stedets størrelse; se routermanualer og datablade ), er lige så vigtig. Hver model tilbyder en specifik maksimal VPN-hastighed og samtidig tunnelkapacitet, så det er ikke tilrådeligt at underdimensionere dette udstyr, hvis flaskehalse skal undgås.

I praksis afhænger antallet af VPN-tunneler normalt af antallet af lokale og eksterne netværk , der skal tilsluttes (som defineret i tunnelruterne). I et typisk kontor er beregningen omtrentlig antallet af lokale netværk ganget med antallet af eksterne netværk, medmindre der anvendes aggregerede undernet.

Det er også vigtigt at sikre pålidelig forbindelse på steder, der hoster kritiske tjenester. Selvom mesh-arkitekturen tolererer fejl i en isoleret node, vil ethvert forbindelsesproblem på det tidspunkt resultere i serviceafbrydelser for resten af ​​stederne, hvis den node indeholder vigtige applikationer eller data.

IPsec, IKE og sikkerhedsprofiler: VPN'ens hjerte

Et avanceret mesh VPN-netværk er på protokolniveau afhængigt af kombinationen af ​​IPsec til datakryptering og IKE (Internet Key Exchange) til nøgleudveksling og forhandling af sikkerhedsparametre mellem slutpunkter.

IKE er den protokol, der etablerer en sikkerhedstilknytning (SA) mellem to punkter; det vil sige den gensidige aftale om, hvordan trafik krypteres og autentificeres. For at en VPN kan fungere pålideligt, skal IKE-politikkerne i begge ender stemme overens i alle relevante parametre (godkendelsesmetode, krypterings- og godkendelsesalgoritmer, Diffie-Hellman-grupper, levetid osv.).

I routere som Cisco RV110W er der defineret en IKE-politik , der blandt andet angiver udvekslingstilstanden (primær eller aggressiv), krypteringsalgoritmen (DES, 3DES, AES-128, AES-192, AES-256), godkendelsesalgoritmen (MD5, SHA-1, SHA2-256), den foruddelte nøgle og Diffie-Hellman-gruppen (f.eks. gruppe 1 på 768 bit, gruppe 2 på 1024 bit eller gruppe 5 på 1536 bit).

Ud over IKE-politikken defineres VPN-politikker , der bestemmer, hvilken trafik der beskyttes gennem tunnelen, hvilke netværksidentifikatorer der bruges til de lokale og eksterne ender (enkelt IP-adresse eller undernet), og om politikken er automatisk (med IKE-forhandling af nøgler og parametre) eller manuel (alle nøgler og SPI konfigureres manuelt i begge ender).

Manuelle politikker specificerer hexadecimale værdier for indgående og udgående SPI, krypteringsnøgler (Key-In og Key-Out) og integritetsalgoritmer (MD5, SHA1, SHA2-256), hvilket sikrer, at den eksterne enhed bruger præcis de samme værdier, så tunnelen kan etableres korrekt.

Avancerede profiler: "IPsec påkrævet", "IPsec valgfri" og ryd trafik

I mere sofistikerede mesh-netværksmiljøer oprettes der, udover den klassiske konfiguration af tunneler mellem steder, ofte avancerede forbindelsesprofiler , der bestemmer, hvornår brugen af ​​IPsec er obligatorisk, og hvornår fri trafik er tilladt.

For eksempel kan tre profiler defineres: én hvor IPsec er obligatorisk (kun krypteret trafik er tilladt), en anden hvor kryptering er valgfri (enten krypteret eller klarteksttrafik accepteres afhængigt af destinationen), og en tredje, der kun tillader ukrypteret trafik . I systemer baseret på ipsec.conf beskrives disse profiler med forbindelsesblokke (conn), der specificerer forbindelsestypen (passthrough eller transport), godkendelsestilstanden (f.eks. rsasig med certifikater), shunt-parametrene i tilfælde af fejl (drop eller passthrough) og referencer til RSA-certifikater og -nøgler.

Et typisk eksempel er en passthrough-forbindelse uden godkendelse for profilen "Ingen IPsec", en anden transportforbindelse med RSA-signaturgodkendelse og politikker for afslutning af fejl for "IPsec påkrævet" og en tredje transportforbindelse med RSA-signaturer, men med tilladt adfærd (passthrough) i tilfælde af fejl for "IPsec valgfri".

Kombination af disse profiler med de passende ruter muliggør implementering af adaptive sikkerhedsstrategier , hvor visse kritiske strømme altid skal krypteres, mens andre kan cirkulere i almindelig tekst på interne netværk med høj tillid eller opportunistisk udnytte IPsec, når begge ender tillader det.

VPN-politikkonfiguration i detaljer

For hver VPN-politik er det, udover IKE-parametrene, nødvendigt at angive, hvilken trafik der skal indkapsles i tunnelen . Kilde- og destinationsnetværk vælges typisk ved hjælp af identifikatorer som "Enkelt" (enkelt vært) eller "Undernet".

Hvis "Enkelt" er valgt, gælder politikken for en specifik IP-adresse (f.eks. en specifik server). Hvis et "Undernet" er defineret, dækker politikken et adresseinterval bestemt af kombinationen af ​​netværks-IP og undernetmaske ; enheder er beskyttet af VPN'en, når deres IP falder inden for dette interval.

I tilfælde af automatiserede politikker vælges der ud over sikkerhedstilknytningens levetid (i sekunder) også krypterings- og integritetsalgoritmer, og Perfect Forward Secrecy (PFS) aktiveres eventuelt med en ekstra Diffie-Hellman-gruppe. Dette tilføjer et lag af sikkerhed ved at generere nye sessionsnøgler, der ikke udelukkende er afhængige af masternøglen.

Under alle omstændigheder skal det sikres, at levetider, krypteringsalgoritmer, integritetsalgoritmer, PFS-grupper og endda den valgte IKE-politik stemmer overens i begge ender af tunnelen. Ellers vil forhandlingen mislykkes, eller tunnelen vil gå ned, når SA'en udløber, og der gøres et forsøg på at genforhandle.

Professionelle routere tilbyder ofte ekstra funktioner, såsom Dead Peer Detection (DPD) , som overvåger, om en peer stadig er aktiv, og fjerner forældede poster for at frigøre ressourcer. DPD giver dig typisk mulighed for at justere hyppigheden af ​​kontroller og timeout, før en peer betragtes som "død".

Høj tilgængelighed i skyen: Azure VPN Gateway i avanceret mesh

Når en avanceret mesh-VPN forbinder lokale netværk til Azure-infrastrukturen , kommer Azure VPN Gateway og dens forskellige redundansmuligheder i spil. Som standard består hver Azure VPN Gateway-instans af to instanser i en aktiv standby-konfiguration.

I tilfælde af planlagt vedligeholdelse eller uforudsete hændelser, og hvis den aktive instans bliver utilgængelig, overtager standby-instansen, og site-to-site (S2S) eller virtual network-to-virtual network (V2N) tunnellerne gendannes automatisk. Ved planlagte afbrydelser tager genoprettelse typisk 10-15 sekunder; ved uplanlagte fejl kan det tage 1-3 minutter. Ved point-to-site (P2S) VPN-klientforbindelser afbrydes sessionerne, og brugerne skal genoprette forbindelsen.

For at forbedre tilgængeligheden af ​​forbindelser mellem det lokale netværk og Azure kan der vælges flere ordninger: brug af flere lokale VPN-enheder (f.eks. at have to VPN'er installeret ), konfigurering af VPN Gateway-instanser i aktiv-aktiv-tilstand i Azure eller kombination af begge for dobbelt redundans, der passer perfekt ind i en mesh-topologi.

Med flere lokale VPN-enheder oprettes der flere S2S-forbindelser fra hver enhed til Azure-gatewayen, hvilket definerer en distinkt lokal netværksgateway pr. enhed, hver med en unik offentlig IP-adresse og BGP-peer-adresse . Ved hjælp af BGP og Equal Cost Per Mechanism (ECMP) fordeles trafikken parallelt på tværs af flere aktive tunneler.

I Azure VPN Gateways aktiv-aktive tilstand har hver gateway-instans sin egen offentlige IP-adresse og etablerer en S2S IPsec/IKE-tunnel til den lokale VPN-enhed, hvilket danner to tunneler, der faktisk tilhører den samme forbindelse. Fra Azure bruges begge tunneler samtidigt, hvilket øger tilgængeligheden og muliggør bedre trafikfordeling.

Komplet mesh mellem on-premises og Azure: dobbelt redundans

Den mest robuste løsning for en avanceret mesh VPN, der kombinerer cloud- og lokale miljøer, er at konfigurere dobbelt redundans : aktive gateways i Azure og samtidig flere VPN-enheder på det lokale netværk. Resultatet er en slags komplet mesh med fire IPsec-tunneller mellem det virtuelle Azure-netværk og det lokale miljø.

I dette design holdes alle gateways og tunneler aktive på Azure-siden, og trafikken fordeles på tværs af de fire links . Hvert TCP/UDP-flow følger typisk den samme tunnel fra Azures perspektiv, men de kombinerede flows fordeles på tværs af de fire, hvilket forbedrer den samlede ydeevne en smule og, vigtigst af alt, giver en meget høj fejltolerance.

For at implementere denne topologi kræves to lokale netværksgateways og to forskellige forbindelser til de to lokale VPN-enheder, altid bakket op af BGP for at muliggøre samtidig forbindelse til det samme lokale netværk via flere forbindelser.

Den samme tilgang kan anvendes på virtuel netværk-til-virtuel netværksforbindelse i Azure: aktiv-aktive gateways oprettes i hvert virtuelt netværk og forbindes til hinanden for også at opnå fire aktive tunneler mellem VNettene. I dette tilfælde er BGP valgfri, medmindre transittrafik skal dirigeres gennem denne forbindelse.

Med denne type arkitektur ophører cloud-netværk med blot at være satellitter til det lokale netværk og bliver til fuldgyldige noder i VPN-mesh'et , hvilket giver stor fleksibilitet, når man flytter arbejdsbelastninger, balancerer applikationer og designer planer for forretningskontinuitet.

Mesh Wi-Fi og VPN: en perfekt kombination i virksomhedens netværk

Konceptet "mesh" er ikke begrænset til VPN'er. Inden for Wi-Fi har løsninger som eero og dets TrueMesh-teknologi vist, at brugen af ​​flere sammenkoblede adgangspunkter er en yderst effektiv måde at eliminere døde zoner, minimere frafald og reducere frygtet buffering i hjemmet og små kontormiljøer.

I stedet for en enkelt Wi-Fi-router, der forsøger at dække hele huset eller kontoret, distribuerer et mesh Wi-Fi-netværk flere eero-enheder i hele rummet, hvilket giver klienter mulighed for altid at oprette forbindelse til det nærmeste og mest stabile adgangspunkt . TrueMesh omdirigerer intelligent trafik baseret på faktorer som nodernes fysiske layout, interferens fra nærliggende netværk og belastningen af ​​tilsluttede enheder.

Afhængigt af internetforbruget anbefales forskellige modeller: eero 6+ som et prisvenligt gigabit-system, eero Pro 6E til forbindelser op til 2 Gbps og mange samtidige enheder, eller eero Max 7 til avancerede brugere med wifi 7, hundredvis af enheder og maksimal ydeevne, der kræver både kablet og trådløst.

Alle disse enheder er kompatible med større internetudbydere og med hinanden, hvilket muliggør gradvis udvidelse eller opgraderinger af Wi-Fi-netværket . Derudover modtager de automatiske softwareopdateringer med sikkerhedsrettelser og funktionsforbedringer – et afgørende punkt, når Wi-Fi er det primære adgangspunkt for en virksomheds-VPN.

Digitalt hjem, sikkerhed og centraliseret styring med eero

Ud over grundlæggende tilslutningsmuligheder integrerer moderne eero-systemer smart home- funktioner takket være kompatibilitet med Thread, Zigbee og Matter (ved hjælp af Alexa som controller). I praksis betyder det, at mange smart home-enheder kan oprette direkte forbindelse til eero-netværket uden behov for yderligere hubs.

Med eero-appen kan du f.eks. konfigurere en Thread-enhed ved at aktivere indstillingen i Netværksindstillinger → Thread , eller du kan udnytte Zigbee-hubben ved at integrere dine eero- og Amazon-konti under Amazon Connected Home-sektionen. Når dette er gjort, kan du tilføje kompatible enheder ved hjælp af Alexa-appen eller en hvilken som helst Echo-højttaler på netværket.

Til den daglige styring gør eero enhedsadministration nem: du kan tildele enheder til individuelle profiler (for f.eks. at gruppere enhederne for hvert familiemedlem), anvende Wi-Fi-pauseplaner (meget nyttigt til at begrænse brugen på bestemte tidspunkter) og nemt omdøbe hver enhed for at identificere dem uden at blive vanvittig.

Det er også muligt at aktivere notifikationer for at modtage advarsler, når en ny enhed tilsluttes netværket, og at oprette et separat gæstenetværk med sit eget navn og adgangskode, hvilket holder hovednetværket mere isoleret og kontrolleret.

I kombination med VPN-tjenester – såsom VPN-adgangen, der er inkluderet via Guardian i eero Plus-abonnementet – får brugeren et ekstra krypteringslag, når de opretter forbindelse fra deres mobiltelefon eller tablet til eksterne netværk, hvilket perfekt supplerer flere mesh-VPN'er til virksomheder.

Yderligere sikkerhedstjenester: eero Plus og VPN til slutbrugere

eero Plus-abonnementet tilføjer en række avancerede sikkerhedsfunktioner rettet mod slutbrugere og små organisationer: forbedret beskyttelse, forældrekontrol, backup af internettet og integration med tre velkendte applikationer: 1Password (adgangskodeadministrator), Malwarebytes (malwarebeskyttelse) og Guardian (VPN-tjeneste).

Med indholdsfiltre kan forældre definere begrænsninger efter kategori – shopping, sociale medier, chats og beskeder, streaming – så specifikke enheder kun har adgang til passende indhold. Denne type kontrol fungerer særligt godt i miljøer, hvor Wi-Fi-mesh-netværket og virksomhedens VPN deler den samme hjemmeinfrastruktur.

Funktionen Backup Internet gør det muligt for eero automatisk at oprette forbindelse til et mobilt hotspot eller andet tilgængeligt netværk, når den primære udbyder går ned, og du kan vælge, hvilke enheder der forbliver tilsluttet under afbrydelsen, for at optimere den tilgængelige båndbredde.

Inden for personlig sikkerhed tilbyder integration med Malwarebytes beskyttelse mod onlinetrusler på op til tre kompatible enheder, mens 1Password muliggør sikker administration og opbevaring af legitimationsoplysninger , hvilket er vigtigt, når man arbejder med virksomheds-VPN-adgang, administrationspaneler og cloud-tjenester.

Endelig tilbyder Guardian en slutbrugerorienteret VPN , der er tilgængelig direkte fra eero-appen, og som krypterer trafik fra enheden (mobil eller tablet) til internettet, ideel til forbindelser fra offentlige eller upålidelige Wi-Fi-netværk. Selvom denne type VPN ikke erstatter et avanceret virksomheds-mesh-netværk, supplerer den slutbrugerbeskyttelsen rigtig godt.

Site-to-site VPN: Grundpillerne for et robust design

I en virksomhedskontekst er ethvert avanceret mesh VPN-netværk fundamentalt bygget op af flere site-to-site VPN'er . For at disse forbindelser kan være robuste og nemme at betjene i stor skala, er det vigtigt at tage højde for fem nøglekomponenter.

Den første er teknologisk sikkerhed i virksomheder : brug af robuste kryptografiske algoritmer (AES med 128/192/256 bit nøgler, SHA-2), korrekt nøglehåndtering, PFS, DPD og god hærdningspraksis på perimeterenheder.

Den anden søjle er brugervenlighed : ensartede politikker på tværs af lokationer, genanvendelige konfigurationsskabeloner, centraliserede administrations- og overvågningsværktøjer og klare processer til tilføjelse af nye lokationer eller ændring af parametre.

For det tredje er der enkel og sikker skalerbarhed , hvilket betyder at kunne tilføje placeringer uden at skulle redesigne hele topologien, udnytte teknikker som subnet-aggregering, brugen af ​​BGP til dynamisk routing og automatisering af implementering.

De sidste to søjler er forretningskontinuitet – at sikre, at en node- eller linkfejl ikke efterlader lokationerne isoleret – og fleksibel implementering , det vil sige muligheden for at implementere VPN'en i forskellige miljøer (on-premise, public cloud, flere clouds), samtidig med at der opretholdes ensartede sikkerhedspolitikker.

Administrerede VPN-tjenester og dedikerede sikkerhedsprodukter

For mange organisationer, især dem uden et stort internt netværks- og sikkerhedsteam, kan det være en meget fornuftig beslutning at bruge administrerede VPN-tjenester . Disse tjenester outsourcer noget af kompleksiteten: topologidesign, hardwarevalg, konfiguration af IPsec/IKE-politik, overvågning døgnet rundt, hændelsesrespons og løbende vedligeholdelse.

Sikkerhedsleverandører som Fortinet tilbyder dedikerede produkter og tjenester til opbygning og administration af site-to-site VPN'er og avancerede mesh-netværk, integration af firewalls, SD-WAN, deep packet inspection, webfiltrering og andre beskyttelseslag. På denne måde ophører VPN'en med at være en simpel "krypteret tunnel" og bliver en komponent i en lagdelt sikkerhedsarkitektur.

I store netværk med snesevis eller hundredvis af lokationer reducerer disse løsninger drastisk den operationelle belastning: de giver dig mulighed for at definere globale politikker , implementere dem på flere enheder, administrere certifikater, firmwareopdateringer og konfigurationsændringer på en orkestreret måde og få centraliseret overblik over status for alle tunneler.

Uanset om du vælger intern administration eller en outsourcet tjeneste, er nøglen, at mesh VPN'en holder trit med organisationen: den understøtter nye lokationer, nye cloudtjenester, trafikstigninger og ændringer i sikkerhedsbehov uden at blive en hindring for virksomheden.

Design og drift af et avanceret mesh VPN involverer en kombination af en distribueret arkitektur på tværs af flere lokationer, omhyggelig IPsec/IKE-konfiguration, strategier for høj tilgængelighed (både on-premise og i skyen), et pålideligt mesh Wi-Fi-fundament og i mange tilfælde yderligere sikkerheds- og administrationstjenester. Ved at integrere alle disse elementer – fra "IPsec påkrævet/valgfri"-profiler og aktiv-aktiv redundans til BGP, løsninger som eero Plus og professionelle firewallplatforme – kan organisationer opbygge sikre, skalerbare og fejltolerante netværk, der forbinder kontorer, hjem og skyer uden at gå på kompromis med ydeevne eller fleksibilitet.