什麼是動態分割？

什麼是動態分割？

動態分割會根據角色和相關存取權限將流量加以分割，藉此建立存取 IT 資源的最低權限。零信任和 SASE 架構都是以此概念為基礎，將身分和原則視為存取依據，而非使用者和裝置的連線地點及連線方式。

角色是一種邏輯上的權限分組方式。權限可包含可供存取的應用程式和服務、可連線的使用者和裝置，甚或特定使用者在當週可連線網路的某幾天。

由於角色和原則定義了存取及分割方式，動態分割消除了手動設定 SSID、ACL、子網路或連接埠型控制項的必要，因此省卻了複雜的網路分割、VLAN 蔓延問題，以及成本高昂的管理功能。

動態分割的運作原理是什麼？

Aruba ESP 根據組織的整體網路架構和覆疊選項支援兩種動態分割模型：集中式與分散式。

集中式動態分割模型在 AP 和 Aruba 閘道之間使用 GRE 通道來保護與區隔流量。Cloud Auth 雲端原生網路存取控制 (NAC)、ClearPass 和 Aruba Central NetConductor 原則管理員可提供角色和存取定義及管理功能。閘道在此的作用，是透過 Aruba ESP Layer 7 Policy Enforcement Firewall (PEF) 執行輸入原則。

分散式的動態分割模型則會運用 EVPN/VXLAN 覆疊、雲端原生 NAC，以及分別可進行網路設定和原則傳播的網狀架構精靈和原則管理員等 Central NetConductor 雲端原生服務。由於具備網狀架構功能的交換器能夠解譯標準全域原則識別碼 (GPID) 所傳送的存取控制資訊，使原則得以透過內嵌方式經由 Aruba 閘道和上述交換器執行。

藉由 Central NetConductor，動態分割的角色和原則可透過雲端管理，讓組織能夠自動設定網路基礎架構，達成最佳效能，並以全域規模持續執行精細的存取控制安全性原則。在將業務意圖與實體網路結構脫鉤後，組織就能大幅減少網路運作所需的時間和資源，進而提升 IT 生產力。

為什麼要使用動態分割？

企業都在加速實現數位轉型計劃，以便提供全新的使用者體驗、支援混合型辦公、實作新業務模型，並且取得更高的 IT 效率。這樣的趨勢也帶來越趨複雜的全球分散式網路，造成前所未見的可見度與安全性挑戰，因此帶動了零信任和 SASE 網路安全性架構的採用。組織必須更有效率地區隔流量，控制敏感應用程式的存取，並且確保資料隱私才行。

此外，IT 也需要對自家網路中的端點用戶端取得更高的可見度和控制。現實情況是，多數 IT 管理員無從得知所有連線至網路的裝置，再加上 IoT 和混合型辦公的採用率增長，這個問題只會逐漸加劇。IT 需要掌握網路上有哪些用戶端，才能有效地即時區隔流量並控制存取。

Aruba 動態分割這套解決方案能夠在全域規模簡化零信任和 SASE 架構的採用，不受網路的規模和複雜性所限制。