indevis Secure SD-WAN

• Hub & Spoke (strict)
• ADVPN/Full Mesh
• Zentrales Firewall- und Log-Management

• NG-Firewalling
• SD-WAN Security Optionen (AV IPS, URL-Filter, App-Filter, SSL Inspection)
• Bereitstellung individueller VDOMs

• Managed Switches (redundante Anbindung der WAN-Router)
• Managed Extender (LTE Backup)

• Next Day Delivery Premium RMA-Service

SD-WAN steht für Software Defined Wide Area Network. Darunter versteht man ein Overlay-Netzwerk, das als Abstraktionsebene über eine bestehende WAN-Infrastruktur gelegt wird. Es entkoppelt die Steuerfunktionen von der Datenübertragungsebene und stellt sie Software-basiert bereit. Dadurch lassen sich verschiedene Wege wie MPLS-Leitungen (Multi Protocol Label Switching), LTE und Breitband-Internetdienste für die Datenübertragung kombinieren. SD-WAN kommt vor allem zur Anbindung von Zweigstellen zum Einsatz. Die Technik erhöht die Flexibilität, reduziert Kosten, vereinfacht das Netzwerk-Management und verbessert die User Experience.

SD-WAN unterstützt Unternehmen bei der digitalen Transformation ihrer Zweigstellen. Es gibt viele Gründe, auf die moderne, Software-definierte Netzwerktechnik umzusteigen. Die häufigsten Motivationen sind:

Bestehende MPLS-Netze ablösen und Kosten optimieren

Herkömmliche WAN-Modelle sind für die Anforderungen von modernen Unternehmen und das wachsende Datenaufkommen nicht mehr geeignet. Sie lassen sich nicht flexibel genug skalieren, sind aufwändig zu managen und stehen einer performanten Cloud-Nutzung im Wege. Um für Hochverfügbarkeit und Redundanz zu sorgen, sind in klassischen, MPLS-basierten WAN-Architekturen zusätzliche, physische Leitungen erforderlich. Doch diese zu legen ist sehr teuer. An manchen ländlichen Standorten ist zudem keine leistungsstarke, kosteneffiziente Breitbandanbindung verfügbar. Das führt gerade in Zweigstellen zu einer schlechten Nutzererfahrung. Viele Unternehmen entscheiden sich daher, ihre bestehenden MPLS-Netze durch SD-WAN abzulösen oder eine Hybrid-WAN-Architektur aufzubauen.

Performante Cloud-Nutzung ermöglichen

Unternehmen verschieben heute zunehmend Workloads in die Cloud und nutzen SaaS-Angebote. Ob Public Cloud oder Private Cloud: Für eine performante User Experience ist eine direkte Internetverbindung nötig. Größere Latenzen können hier sehr störend sein: Wenn Mitarbeiter zum Beispiel über Videokonferenz-Systeme virtuell zusammenarbeiten, muss das reibungslos funktionieren. Das klassische, Router-gesteuerte WAN ist nicht für die Cloud-Nutzung geeignet. Denn üblicherweise wird der Datenverkehr aus den Filialen zunächst über eine private Leitung ans zentrale Rechenzentrum geschickt, dort überprüft und dann erst ins Internet geleitet. Das kostet Zeit. Je weiter der Weg vom Endgerät in die Cloud, desto schlechter die Performance.

SD-WAN ermöglicht es, sicher und von jedem Standort oder Endgerät aus, die jeweils schnellste Verbindung in die Cloud zu nutzen. Eine Steuerungslogik erkennt Traffic, der zu vertrauenswürdigen Cloud-Anwendungen gehört, und leitet ihn dann direkt an die nächste, verfügbare Internetleitung weiter – ohne Umweg über das zentrale Rechenzentrum. SD-WAN kann den ausgehenden Cloud-Datenverkehr auch auf mehrere Internetverbindungen verteilen, sodass selbst bei hohem Datenaufkommen und vielen parallelen Anfragen eine gute Performance möglich ist.

SD-WAN legt eine virtualisierte Steuerungsebene über die vorhandene, physische Netzwerk-Infrastruktur. Man spricht auch von einem Overlay-Netzwerk und einem Underlay-Netzwerk. Das Underlay-Netzwerk besteht aus den bestehenden Leitungen und Protokollen für die Datenübertragung, zum Beispiel DSL, MPLS, LTE oder Breitband-Internet. SD-WAN bündelt deren Ressourcen in einem zentralen Pool und kann sie flexibel verteilen – unabhängig davon, welche Techniken im Underlay-Netzwerk vorhanden sind. Während man in einem klassischen WAN aufwändig von Hand konfigurieren muss, welcher Datenverkehr über welche Leitung geschickt wird, passiert dies im SD-WAN automatisiert mithilfe der Overlay-Logik. Sie erkennt, welcher Übertragungsweg zum aktuellen Zeitpunkt die beste Performance und den geringsten Paketverlust bietet, und steuert den Traffic entsprechend. Dabei kann sie den Datenverkehr auch aufteilen und über verschiedene Leitungen parallel schicken. Bei Bedarf lassen sich sogar alle Leitungen gleichzeitig nutzen.

Damit die automatisierte Steuerung funktioniert, müssen Administratoren vorab lediglich den Traffic kategorisieren und passende SD-WAN-Regeln definieren. Sie legen pro Kategorie die geforderte Mindestbandbreite und maximale Latenz fest. Welcher Datenverkehr ist geschäftskritisch und erfordert höchste Performance? In der Regel trifft das zum Beispiel auf Datenbankverbindungen oder IP-Telefonie und Video-Konferenzen zu. Denn hier wirken sich schon kurze Verzögerungen erheblich auf die Qualität aus und sorgen für Störungen. Dieser Traffic sollte also priorisiert behandelt werden. Für Anwendungen wie E-Mail, bei denen es nicht auf jede Sekunde oder Minute ankommt, reicht dagegen auch eine Übertragung mit etwas geringerer Qualität und höherer Latenz.

Kostenersparnis

Im traditionellen WAN kommen MPLS-Leitungen zum Einsatz. Je höher die Bandbreite, umso teurer sind sie. SD-WAN kann dagegen beliebige Leitungen im Underlay-Netzwerk nutzen, sie logisch bündeln und deren Ressourcen flexibel verteilen. So lässt sich die bestehende Infrastruktur effizienter nutzen. Viele Unternehmen entscheiden sich zudem, teure MPLS-Leitungen durch günstigere Breitband-Anschlüsse zu ersetzen.

Skalierbarkeit

SD-WAN ermöglicht es, die Bandbreite ganz nach Bedarf zu erhöhen. Da die Steuerungslogik getrennt von der Datentransportebene ist, lassen sich im Underlay-Netzwerk problemlos Leitungen hinzufügen oder auch wieder wegnehmen, ohne dass die Netzwerkkonfiguration manuell geändert werden muss.

Bessere User Experience

Dank höherer Bandbreite laufen auch datenintensive Applikationen in den Zweigstellen performant. Cloud-Traffic wird zudem nicht mehr erst über das zentrale Rechenzentrum, sondern von jedem Standort auf dem schnellsten Weg direkt ins Internet geleitet. Dadurch können Anwender Cloud-Applikationen und SaaS-Angebote besser nutzen.

Hochverfügbarkeit

SD-WAN kann sämtliche Leitungen im Underlay-Netzwerk ausschöpfen und kombinieren. Dadurch ist immer für Redundanz gesorgt und Hochverfügbarkeit gesichert. Die SD-WAN-Steuerungslogik wählt immer den aktuell besten Übertragungsweg für den Datenverkehr aus. Fällt einmal eine Leitung aus oder ist gestört, wird der Traffic einfach umgeleitet. Der Anwender bekommt davon gar nichts mit.

Einfacheres Management

Im traditionellen WAN müssen Administratoren das Routing von Hand konfigurieren. Das ist komplex und aufwändig. Schon eine kleine Änderung im Netzwerk kostet viel Zeit. Kommt es einmal zu Störungen, müssen Administratoren das Problem lokalisieren und manuell eingreifen, um den Datenverkehr umzuleiten. Im SD-WAN laufen solche Prozesse dagegen automatisiert ab. Einmal konfiguriert, entscheidet die Steuerungslogik selbstständig, welches der jeweils beste Übertragungsweg für den jeweiligen Datenverkehr ist. Das Management erfolgt meist zentralisiert über einen Cloud-Orchestrator. Dadurch sparen Administratoren nicht nur Zeit, sondern gewinnen auch Transparenz im ganzen Netzwerk. Treten einmal Probleme auf, lassen sie sich schnell identifizieren und ohne Zeitdruck beheben.

Zero-Touch-Provisionierung

SD-WAN erleichtert es, auch Zweigstellen, in denen es kein eigenes IT-Team gibt, ans Unternehmens-Netzwerk anzubinden. Mitarbeiter müssen die SD-WAN-Appliance lediglich ans Internet anschließen. Die Lösung verbindet sich dann mit einem zentralen Cloud-Orchestrator, lädt die vorbereiteten Einstellungen herunter und richtet sich automatisch ein. Auch wenn einmal defekte Hardware ausgetauscht werden muss, ist dies dank Zero Touch Provisioning schnell und einfach möglich.

Höhere Sicherheit

Viele Anwendungen erfordern heute direkten Internetzugang. Das führt zu erhöhten Sicherheitsrisiken. Mit SD-WAN können Unternehmen Breitband-Internetverbindungen in den Zweigstellen einfach und zuverlässig absichern. Die meisten Lösungen ermöglichen es, Netzwerk- und Firewall-Funktionalität zu kombinieren und zentral über die Cloud zu managen. Dadurch lässt sich auch in den Filialen ohne großen Aufwand effektiver Bedrohungsschutz umsetzen. Der Datenverkehr zwischen den Standorten erfolgt im SD-WAN zudem Ende-zu-Ende verschlüsselt über einen VPN-IPsec-Tunnel.

SD-WAN ist für alle Unternehmen empfehlenswert, die Filialen kostengünstig, sicher und zukunftsfähig vernetzen möchten. Die Technologie lohnt sich bereits, wenn es um wenige Standorte geht. Denn mit ihrer Hilfe wird es möglich, teure Standleitungen durch günstigere Internetleitungen zu ersetzen. Der Kostenvorteil ist umso höher, je mehr Zweigstellen ein Unternehmen hat. Außerdem ist SD-WAN für Standorte attraktiv, an denen es kein eigenes IT-Team gibt. Dank zentralisiertem Management und Zero Touch Provisioning lässt sich das Netzwerk bequem aus dem zentralen Data Center heraus einrichten und administrieren, ohne dass Experten vor Ort sein müssen.

SD-WAN ist kostengünstiger als MPLS, ermöglicht eine höhere Flexibilität und Skalierbarkeit sowie eine bessere Cloud-Nutzung. Bei MPLS sind Unternehmen von einem Provider abhängig, der die Leitungen und die zugehörige Technik zur Verfügung stellt. Das hat seinen Preis. Mit SD-WAN lassen sich dagegen Leitungen verschiedener Anbieter nutzen. So können Unternehmen sowohl Kosten als auch Verfügbarkeit optimieren. Hat ein Provider einmal Probleme, wird der Datenverkehr einfach automatisch umgeleitet.

SD-WAN und MPLS muss jedoch keine Entweder-Oder-Entscheidung sein. Viele Unternehmen nutzen bestehende MPLS-Leitungen weiterhin als Teil der Infrastruktur im Underlay-Netzwerk. Diese kommen dann vorwiegend für geschäftskritischen Datenverkehr zum Einsatz, während gewöhnlicher Web-Traffic über andere Leitungen übertragen wird. Um die Bandbreite zu erhöhen und Redundanz zu schaffen, reichen zusätzliche, günstigere Internetanschlüsse aus.

SD-WAN und SDN (Software-Defined Networking) sind ähnliche Konzepte. Beide abstrahieren Netzwerkfunktionen von der darunterliegenden physischen Infrastruktur und stellen sie auf einer virtualisierten Ebene Software-basiert zur Verfügung. Während SDN hauptsächlich in Rechenzentren zum Einsatz kommt, dient SD-WAN vor allem zur Anbindung von Niederlassungen und Zweigstellen. SD-WAN ist also das Software Defined Networking für das WAN.

Es gibt verschiedene Möglichkeiten, ein SD-WAN aufzubauen: dedizierte SD-WAN-Appliances oder Next Generation Firewalls (NGFW), die zusätzlich zu den Security Features auch SD-WAN-Funktionalität bereitstellen. Beide Lösungen haben ihre Vorteile. Welche im Einzelfall besser geeignet ist, hängt von den individuellen Voraussetzungen und Bedürfnissen eines Unternehmens ab.

Eine eigenständige Appliance empfiehlt sich für Organisationen, die SD-WAN- und Security-Funktionen trennen möchten, etwa um die beiden Bereiche von unterschiedlichen Teams oder Dienstleistern managen zu lassen. Auch welche Technologie bereits vorhanden ist, sollte berücksichtigt werden. Wer zum Beispiel eine virtuelle Citrix-Infrastruktur einsetzt, benötigt eine hochangepasste SD-WAN-Lösung. Hier empfiehlt sich eine dedizierte Citrix SD-WAN Appliance, weil sie Datenverkehr in Citrix-Umgebungen sehr genau analysieren und priorisieren kann.

Generell geht der Trend jedoch dahin, SD-WAN in Security Gateways zu integrieren. Das hat den Vorteil, dass keine zusätzliche Hardware nötig ist. Da man ein- und ausgehenden Datenverkehr ohnehin mit einer Firewall kontrollieren muss, bietet es sich an, auch die SD-WAN-Steuerung gleich dort anzusiedeln. Viele Security-Hersteller wie Fortinet oder Palo Alto Networks bieten solche Lösungen bereits an. Kunden können die SD-WAN-Funktionalität dann einfach in ihrer NGFW-Appliance freischalten, sofern diese noch genug freie Ressourcen bietet.

Wichtig ist: Die Wahl des SD-WAN-Anbieters will gut überlegt sein. Denn die Lösungen verschiedener Hersteller sind nicht miteinander kompatibel. Hat man sich einmal für ein Modell entschieden, muss man in der gesamten WAN-Umgebung, also der Zentrale und allen angeschlossenen Zweigstellen, Systeme desselben Herstellers einsetzen.

Um ein SD-WAN aufzubauen, benötigen Sie an jedem Standort eine SD-WAN-Appliance. Häufig besteht eine WAN-Architektur aus einem zentralen Rechenzentrum am Unternehmens-Hauptsitz und sternförmig angeschlossenen Zweigstellen. Man spricht dann auch von einer „Hub and Spoke“-Architektur. In solchen Fällen empfiehlt es sich, in der Zentrale, dem Hub, eine große SD-WAN-Appliance aufzusetzen, die alle eingehenden Verbindungen bündelt. In den Zweigstellen werden dann kleinere Systeme installiert, die die Konnektivität zur Zentrale aufbauen, beziehungsweise Datenverkehr für die Cloud direkt an den nächsten verfügbaren Internetanschluss leiten.

Zur Konfiguration des SD-WANs werden Traffic-Vorgaben definiert. Dafür muss man den Datenverkehr nach Performance- und Latenz-Anforderungen kategorisieren. So erhält die SD-WAN-Steuerung Regeln, welchen Traffic sie wie priorisieren und über welche Leitungen schicken muss. Viele SD-WAN-Lösungen bieten eine zentralisierte, Cloud-basierte Orchestrierung. Das vereinfacht das Management und ermöglicht es, Regeln einheitlich durchzusetzen. In manchen Fällen kann es trotzdem erforderlich sein, für einzelne Standorte Sonderkonfigurationen vorzunehmen.

Aus Unternehmenssicht muss ein Netzwerk zuverlässig funktionieren, redundant und ausfallsicher sein. Das verursacht Aufwand, erfordert Know-how und bindet Personal. In vielen Unternehmen sind IT-Abteilungen jedoch knapp besetzt. Der Netzwerkbetrieb zählt zu den Standard-Aufgaben, die sich ideal in einen Managed Service auslagern lassen. So werden Mitarbeiter entlastet und gewinnen Zeit, sich um wichtigere Projekte zu kümmern. Im Managed SD-WAN kümmert sich der Provider 24/7 um einen stabilen Betrieb.

Für viele Unternehmen spielt beim Aufbau und Betrieb ihres SD-WANs der Sicherheits-Aspekt eine zentrale Rolle. Als erfahrener Managed Security Services Provider kennt indevis die verschiedenen SD-WAN Produkte am Markt und vereint sowohl fundierte Sicherheits- als auch Netzwerkexpertise. Wir unterstützen unsere Kunden mit passgenauen Lösungen und individuell abgestimmten Leistungen – ganz gleich, ob sie nur eine Beratung wünschen, Hilfe in Teilbereichen benötigen oder die komplette SD-WAN-Betriebsverantwortung an uns übergeben möchten.

Ein SD-WAN-Projekt beginnt bei indevis stets mit einer Analyse des Ist-Zustands und der Definition der angestrebten Ziele: Zunächst ermitteln wir gemeinsam mit Ihnen, welche WAN-Lösung Sie bereits einsetzen, was Sie verbessern möchten und welche Anforderungen an Bandbreite, Verfügbarkeit und Redundanz Sie haben. Dabei berücksichtigen wir auch, wie Sie Ihre Netzwerkinfrastruktur in den nächsten Jahren weiterentwickeln wollen. Welche Rolle sollen zum Beispiel MPLS oder die Cloud künftig spielen? Was möchten Sie auslagern oder selbst betreiben? Eignet sich eine dedizierte SD-WAN Appliance oder eine NGFW mit integrierter SD-WAN-Funktion besser für Sie? Basierend auf Ihren Anforderungen und Wünschen entwickeln wir ein individuelles, zukunftssicheres Lösungs-Konzept für Sie.