Anbindung von Standorten

Was ist SD-WAN?

Software-Defined Wide Area Network

SD-WAN ist ein Ansatz für Weitverkehrsnetze, bei dem eine zentrale Steuerung vorgibt, über welche Leitung welcher Datenverkehr läuft, während die Geräte am Standort nur noch weiterleiten. Die Standorte sind über verschlüsselte Tunnel verbunden, unabhängig davon, ob darunter MPLS, Glasfaser, DSL oder Mobilfunk liegt.

Wenn Filialen und Heimarbeitsplätze gleichzeitig an Cloud-Diensten hängen, entscheidet nicht mehr die Leitung allein, sondern die Frage, welcher Verkehr über welchen Weg läuft.

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt

Trennt: Steuerung von der Weiterleitung
Läuft über: MPLS, Glasfaser, DSL und Mobilfunk
Typisch bei: Vielen Standorten mit Cloud-Anwendungen
Verwechselt mit: SASE

Steuerung und Weiterleitung sind getrennt

Im klassischen Aufbau trägt jeder Router seine eigene Konfiguration, und eine Änderung an der Verkehrslenkung bedeutet Arbeit an jedem einzelnen Gerät. Bei SD-WAN liegt die Regel zentral: Der Controller kennt alle Standorte, verteilt Richtlinien und Schlüssel, und ein neues Gerät holt sich seine Konfiguration nach dem Anschließen selbst ab. Das ist der Grund, warum eine Filiale ohne Netzwerkfachkraft vor Ort in Betrieb gehen kann.

Für den Betrieb verschiebt sich damit auch die Fehlersuche. Statt dich mit einem einzelnen Gerät zu verbinden und dort Zähler zu lesen, schaust du zuerst in die Telemetrie des Controllers, weil dort Pfadqualität und Richtlinienzuordnung zusammenlaufen.

Overlay über beliebige Leitungen

Über die vorhandenen Anschlüsse legt SD-WAN ein eigenes Netz aus verschlüsselten Tunneln. Die Geräte messen laufend Laufzeit, Schwankung und Paketverlust auf jedem Pfad und ordnen Anwendungen den passenden zu. Eine Videokonferenz wandert bei steigender Schwankung auf die zweite Leitung, während ein Backup auf der günstigen Verbindung bleibt.

Damit das funktioniert, muss das Gerät Anwendungen erkennen. Bei verschlüsseltem Verkehr geht das nur noch über Merkmale wie Zieladressen, Domänennamen im Verbindungsaufbau oder mitgelieferte Anwendungslisten. Wer eine Eigenentwicklung im Haus hat, definiert die Erkennung selbst, sonst landet der Verkehr in der Standardklasse.

Was sich gegenüber MPLS ändert

Der übliche Antrieb ist Geld: Breitband- und Mobilfunkanschlüsse kosten pro Bandbreite deutlich weniger als eine Carrier-Leitung. Der Haken liegt woanders. Sobald der Standort direkt ins Internet ausbricht, statt allen Verkehr in die Zentrale zu schicken, brauchst du dort Filterung und Angriffserkennung, entweder als Funktion im Gerät oder als Cloud-Dienst.

Weniger offensichtlich sind die Zusagen. Für eine Carrier-Leitung gibt es einen Vertrag mit Verfügbarkeit und Entstörzeit, für einen Internetanschluss oft nicht. SD-WAN gleicht das über zwei unabhängige Wege aus, nicht über bessere Einzelleitungen. Wer beide Anschlüsse beim selben Anbieter über dasselbe Kabel bestellt, hat die Redundanz nur auf dem Papier.

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt

Nicht verwechseln

SD-WAN und was oft damit gleichgesetzt wird

SD-WAN gegen MPLS-VPN

Beim MPLS-VPN legt der Anbieter die Wege fest und garantiert Qualität. SD-WAN entscheidet selbst und pro Anwendung, kann MPLS aber als eine von mehreren Leitungen weiter einbinden.

SD-WAN gegen Site-to-Site-VPN

Ein klassischer VPN-Tunnel verbindet zwei Standorte fest. Es fehlt die zentrale Richtlinienverteilung und die laufende Messung, die den Verkehr während des Betriebs umlenkt.

SD-WAN gegen SASE

SASE beschreibt die Kombination aus SD-WAN und Sicherheitsfunktionen, die als Cloud-Dienst bezogen werden. SD-WAN ist darin der Netzteil.

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt

In der Praxis

Die Ersparnis kommt später als der Aufwand

Der wirtschaftliche Reiz liegt darin, den Verkehr zu Cloud-Diensten direkt am Standort ins Internet zu geben, statt ihn durch die Zentrale zu schleifen. Genau dort entstehen die ersten Störungen: Namensauflösung und Proxy-Ketten zeigen weiter auf die alte Zentrale, und Dienste, die dich anhand deiner Ausgangsadresse einer Region zuordnen, liefern plötzlich die falsche Sprache oder verlangen eine neue Anmeldung.

Die Pfadwahl reagiert auf Laufzeit, Schwankung und Paketverlust und schaltet deshalb auch mitten in einer laufenden Sitzung um. Wechselt eine Verbindung dabei die Leitung, verwirft eine Firewall am anderen Ende die Pakete, weil die Sitzung dort auf dem alten Weg registriert ist. Solche Abbrüche zeigen sich als sporadische Aussetzer in Telefonie und Videokonferenzen und lassen sich kaum reproduzieren.

Rechne fest damit, dass die alten Verträge eine Weile parallel laufen, weil Laufzeiten und Kündigungsfristen selten zum Projektplan passen. Klär vorher außerdem, wer künftig Regeln freigibt: Die Wegewahl ist Netzbetrieb, die Aufbrüche ins Internet sind Sicherheit, und wenn beide Seiten dieselbe Oberfläche bedienen, überschreibt eine Änderung schnell die andere.

SD-WAN lernen

Wie Controller, Standortgeräte und Pfadmessung im laufenden Betrieb zusammenspielen, behandeln die Trainings für Cisco-Netzwerktechnik mit eigenen Laborzugängen.

Kurse, die SD-WAN behandeln

Häufige Fragen

Ersetzt SD-WAN meine MPLS-Leitungen vollständig?

Meistens nicht sofort. Ein üblicher Weg ist der Mischbetrieb: Die MPLS-Leitung bleibt für Anwendungen mit harten Anforderungen, Breitband übernimmt den Rest, und nach einigen Monaten Messwerten entscheidest du, ob die teure Leitung noch gebraucht wird.

Brauche ich dafür neue Hardware?

In der Regel ja, zumindest neue Software auf den Standortgeräten und eine Controller-Instanz. Ältere Router unterstützen die Messung und Tunnelverwaltung oft nicht, und die Lizenzkosten des Controllers gehören von Anfang an in die Rechnung.

Wie ändert sich der Betrieb im Alltag?

Änderungen an der Verkehrslenkung werden zentral gemacht und wirken auf alle Standorte gleichzeitig, was Tempo bringt und Fehler multipliziert. Deshalb gehören Testgruppen und ein Rückweg zur alten Richtlinie zum Prozess.

Persönlich für dich da