Infra & Netzwerk

SD-WAN (Software-Defined Wide Area Network)

Overview

SD-WAN vernetzt Standorte, Rechenzentren und Cloud-Plattformen über ein Overlay aus verschlüsselten Tunneln, das über beliebige Underlay-Leitungen läuft: MPLS, Glasfaser, DSL, Kabel oder Mobilfunk (LTE/5G). Eine zentrale Steuerung legt per Richtlinie fest, welche Anwendung über welche Leitung geht.

Die Mplify Alliance (früher MEF Forum) definiert SD-WAN als anwendungsbewussten Over-the-Top-WAN-Dienst, der Anwendungsflüsse per Richtlinie über mehrere Underlay-Netze lenkt, unabhängig von Technik und Provider. Der Standard MEF 70 erschien 2019 als erster SD-WAN-Dienststandard, die aktuelle Fassung MEF 70.2 stammt vom Oktober 2023. Er beschreibt das von außen sichtbare Verhalten des Dienstes, nicht die Implementierung. In der Praxis nutzen die Hersteller eigene Protokolle, Edges verschiedener Anbieter arbeiten deshalb nicht miteinander.

Abgrenzung: Ein Site-to-Site VPN (eigener Eintrag) ist ein einzelner, statisch konfigurierter Tunnel. SD-WAN nutzt solche IPsec-Tunnel als Transport und ergänzt zentrale Orchestrierung, Leitungsmessung und anwendungsabhängige Pfadwahl. QoS priorisiert Verkehr innerhalb einer Leitung, SD-WAN wählt zwischen Leitungen. Azure Virtual WAN ist ein Netzwerk-Hub-Dienst in Azure (eigener Eintrag). SASE (Secure Access Service Edge) kombiniert SD-WAN mit Cloud-Sicherheitsfunktionen wie Secure Web Gateway, CASB und ZTNA.

How it works

MEF 70 beschreibt die Bausteine mit Begriffen wie SD-WAN Edge, SD-WAN UNI, Tunnel Virtual Connection und Underlay Connectivity Service. Vereinfacht:

  1. SD-WAN-Edge: physische oder virtuelle Netzwerkfunktion am Standort, im Rechenzentrum oder in der Cloud. Sie baut über alle verfügbaren Leitungen Tunnel zu den anderen Edges auf, in der Regel mit IPsec.
  2. Orchestrator: webbasiertes Werkzeug in der Cloud oder vor Ort für Konfiguration, Provisionierung und zentrale Richtlinien. Neue Edges holen sich ihre Konfiguration per Zero-Touch Provisioning selbst ab.
  3. Controller: trifft die Weiterleitungsentscheidungen für Anwendungsflüsse und läuft im Orchestrator oder in einem Gateway.
  4. Gateways: Zugangspunkte nahe an Cloud-Diensten oder Benutzern, vom Anbieter oder vom Kunden betrieben.
  5. Klassifizierung und Pfadwahl: Die Edge erkennt Anwendungen anhand von Merkmalen der OSI-Schichten 2 bis 7, misst die Qualität jeder Leitung laufend und lenkt Verkehr dynamisch um oder verteilt ihn auf mehrere Pfade.

Benefits

  • Mehrere Internetanschlüsse können MPLS ergänzen oder ersetzen, weil die Pfadwahl Ausfälle und Lastspitzen automatisch ausgleicht
  • Kritische Anwendungen wie Telefonie oder ERP bekommen die jeweils beste Leitung, da die Edge die Leitungsqualität fortlaufend misst
  • Neue Standorte gehen per Zero-Touch Provisioning in Betrieb, ohne dass ein Techniker vor Ort konfigurieren muss
  • Zentrale Richtlinien und eine Gesamtübersicht ersetzen die Einzelkonfiguration von Routern und Firewalls in jeder Filiale
  • Lokaler Internet-Breakout für SaaS-Dienste wie Microsoft 365 entlastet die Zentrale, weil dieser Verkehr nicht mehr über das Rechenzentrum läuft

Practical example

Ein Sanitärgroßhändler mit 22 Niederlassungen in Süddeutschland und Österreich hängt an einem MPLS-Netz mit zentralem Internetzugang. Teams-Besprechungen ruckeln, und jede Leitungsstörung legt eine Filiale lahm. Die IT ersetzt die Router durch SD-WAN-Edges mit je einem Glasfaser- oder Kabelanschluss plus 5G als Zweitweg. Die Warenwirtschaft läuft bevorzugt über die stabilste Leitung, Microsoft-365-Verkehr geht am Standort direkt ins Internet. Fällt eine Leitung aus, schwenkt der Verkehr automatisch um, den MPLS-Vertrag kündigt das Unternehmen nach einem Jahr Parallelbetrieb.

Things to keep in mind

  • Herstellerbindung einkalkulieren: Edges, Orchestrator und Gateways stammen in der Regel von einem Anbieter, ein Wechsel bedeutet den Austausch aller Geräte
  • Leitungen über verschiedene Provider und Medien beziehen (etwa Glasfaser plus Mobilfunk), sonst fällt der Standort bei einer Baustelle trotz SD-WAN aus
  • Sicherheitsfunktionen vorab klären: Nicht jede Edge ist eine vollwertige Firewall, ein lokaler Internet-Breakout braucht Filter am Standort oder einen Cloud-Sicherheitsdienst
  • Den Zugang zum Orchestrator mit MFA und eng gefassten Admin-Rollen absichern, weil sich darüber alle Standorte gleichzeitig ändern lassen
  • Anwendungsrichtlinien zuerst an einem Pilotstandort testen und Ausgangswerte für Latenz und Paketverlust dokumentieren

Conclusion

SD-WAN lohnt sich, sobald mehrere Standorte, mehrere Leitungen und Cloud-Anwendungen zusammenkommen. Wähle den Anbieter auch nach seinen Sicherheitsfunktionen, denn ein späterer Wechsel ist aufwendig.

Further reading

Related articles