Was ist SD-WAN?

SD-WAN einfach erklärt

Ein WAN verbindet die Standorte eines Unternehmens miteinander, also Zentrale, Filialen, Lager und Rechenzentrum. Früher lief das meist über gemietete MPLS-Leitungen eines Netzbetreibers, und jeder Router am Standort hatte seine eigene, von Hand gepflegte Konfiguration. Software-Defined heißt: Die Logik, wohin welcher Verkehr fließt, steckt nicht mehr einzeln in jedem Gerät, sondern in einer zentralen Steuerung, die alle Standorte gemeinsam verwaltet.

Vergleichen lässt sich das mit einem Navigationssystem, das die Verkehrslage kennt. Statt immer dieselbe Route zu fahren, wählt SD-WAN für jede Anwendung laufend den Weg, der gerade am besten funktioniert, und weicht bei Stau auf eine andere Leitung aus.

Die Bausteine einer SD-WAN-Lösung

Die Hersteller benennen die Teile unterschiedlich, die Aufgabenteilung ist aber bei allen ähnlich.

• Edge-Geräte

  Sie stehen an jedem Standort, sind an alle vorhandenen Leitungen angeschlossen und leiten den Verkehr weiter. Es gibt sie als Hardware oder als virtuelle Instanz in der Cloud.

• Controller

  Er kennt alle Standorte, verteilt Richtlinien und Schlüssel und baut die Tunnel zwischen den Edge-Geräten auf.

• Orchestrator oder Managementoberfläche

  Hier legst du Richtlinien fest, rollst neue Standorte aus und siehst die Messwerte aller Pfade.

• Overlay-Tunnel

  Verschlüsselte Verbindungen, meist auf Basis von IPsec, die über die physischen Leitungen gelegt werden und gemeinsam das eigentliche Firmennetz bilden.

Weil der Controller die Konfiguration verteilt, holt sich ein neues Edge-Gerät nach dem Anschließen seine Einstellungen selbst ab. Das ist der Grund, warum eine Filiale ohne Netzwerkfachkraft vor Ort in Betrieb gehen kann. Für die Fehlersuche heißt das umgekehrt: Statt dich mit einem einzelnen Gerät zu verbinden, schaust du zuerst in die Telemetrie des Controllers, weil dort Pfadqualität und Richtlinienzuordnung zusammenlaufen.

Tunnel, Pfadmessung und Anwendungserkennung

Über die vorhandenen Anschlüsse legt SD-WAN ein eigenes Netz aus verschlüsselten Tunneln, das Overlay. Die Standorte können dabei sternförmig über die Zentrale verbunden sein, als Hub-and-Spoke, oder direkt miteinander als vollständiges Netz, als Full Mesh. Die Geräte messen laufend Laufzeit, Schwankung und Paketverlust auf jedem Pfad und ordnen Anwendungen den passenden zu. Eine Videokonferenz wandert bei steigender Schwankung auf die zweite Leitung, während ein Backup auf der günstigen Verbindung bleibt.

Damit das funktioniert, muss das Gerät Anwendungen erkennen. Bei verschlüsseltem Verkehr geht das nur noch über Merkmale wie Zieladressen, Domänennamen im Verbindungsaufbau oder mitgelieferte Anwendungslisten. Wer eine Eigenentwicklung im Haus hat, definiert die Erkennung selbst, sonst landet der Verkehr in der Standardklasse.

SD-WAN, MPLS und VPN im Vergleich

Bei der Standortvernetzung stehen sich meist drei Ansätze gegenüber, die sich auch kombinieren lassen.

Der übliche Antrieb für SD-WAN ist Geld, denn Breitband- und Mobilfunkanschlüsse kosten pro Bandbreite deutlich weniger als eine Carrier-Leitung. Der Haken liegt woanders. Sobald der Standort direkt ins Internet ausbricht, statt allen Verkehr in die Zentrale zu schicken, brauchst du dort Filterung und Angriffserkennung, entweder als Funktion im Gerät oder als Cloud-Dienst.

Weniger offensichtlich sind die Zusagen. Für eine Carrier-Leitung gibt es einen Vertrag mit Verfügbarkeit und Entstörzeit, für einen Internetanschluss oft nicht. SD-WAN gleicht das über zwei unabhängige Wege aus, nicht über bessere Einzelleitungen. Wer beide Anschlüsse beim selben Anbieter über dasselbe Kabel bestellt, hat die Redundanz nur auf dem Papier.