SD-WAN

Kern von SD-WAN ist ein Overlay, das mehrere Underlay-Leitungen gleichzeitig nutzt, und die Trennung von Steuerebene (zentrale Routing- und Policy-Entscheidungen), Datenebene (die Edge-Geräte leiten weiter) und Management. Weil das Overlay transport-unabhängig ist, lässt sich teures Provider-MPLS an vielen Standorten durch günstige Internetanschlüsse ersetzen oder ergänzen, ohne die Anwendungen zu verändern.

Eine SD-WAN-Lösung besteht typischerweise aus drei Bausteinen: den Edge-Geräten an den Standorten (sie terminieren die Tunnel und leiten Pakete weiter), einem zentralen Controller/Orchestrator (er verteilt Routing-Informationen und Richtlinien) und einer Management-Oberfläche für Konfiguration und Telemetrie. Die Overlay-Tunnel zwischen den Edges sind in der Regel IPsec-gesichert.

Das Herzstück ist die anwendungsbewusste Pfadwahl: SD-WAN misst auf allen Tunneln laufend Latenz, Jitter und Paketverlust (meist per BFD) und vergleicht sie mit SLA-Klassen je Anwendung. Telefonie etwa läuft über die Leitung, die ihre Latenz- und Jitter-Grenzen einhält, und schwenkt bei Verschlechterung um, bei entsprechend kurz konfigurierter Erkennung im Sub-Sekunden-Bereich. Anwendungen erkennt die Plattform per Deep Packet Inspection.

SD-WAN-Overlays verschlüsseln den Verkehr per IPsec (üblich AES-GCM mit IKEv2, zertifikatsbasiert). Über VRFs lässt sich der Verkehr segmentieren (etwa Gäste, Produktion, Verwaltung getrennt), oft über denselben Tunnel. Viele Plattformen integrieren zusätzlich Firewall-Funktionen direkt im Edge.

Der nächste Schritt ist SASE (Secure Access Service Edge, von Gartner 2019 geprägt): SD-WAN plus cloud-gelieferte Sicherheitsdienste (Secure Web Gateway, CASB, ZTNA). SSE bezeichnet denselben Security-Anteil ohne den Netzwerkteil. Für verteilte Standorte mit viel Cloud-Verkehr ist das die übliche Ausbaurichtung.

Ein praktischer Vorteil ist Zero-Touch-Provisioning: Ein Edge-Gerät wird direkt an den Standort geschickt, bezieht beim Einschalten per DHCP seine Parameter, meldet sich zertifikatsbasiert beim Orchestrator, lädt seine Konfiguration und baut die Tunnel auf, ganz ohne Technikereinsatz vor Ort. Das senkt den Rollout-Aufwand bei vielen Filialen erheblich; ein abgesichertes Onboarding-Netz ist dabei Pflicht.

SD-WAN ist ein Overlay und schließt MPLS nicht aus: Im Hybrid bleibt eine MPLS-L3VPN-Strecke für latenz- und verlustempfindliche Anwendungen aktiv, während Internet und Mobilfunk die übrige Last tragen. MPLS liefert über reservierte Kapazität deterministische Performance mit vertraglichem SLA, bietet aber keine native Verschlüsselung. Reines Internet-Underlay hat kein Ende-zu-Ende-QoS; SD-WAN gleicht das über Messung und Pfadwahl aus, kann aber eine schlechte Leitung nicht besser machen, als sie ist.

Der MEF-Standard 70 (aktuell 70.2) definiert das nach außen sichtbare Verhalten eines SD-WAN-Dienstes, also Begriffe und Service-Attribute zwischen Kunde und Anbieter, nicht die interne Umsetzung. Lange gab es keinen herstellerübergreifenden Standard für Steuer- und Datenebene, weshalb Edge und Controller bisher vom selben Hersteller stammen müssen (Lock-in). Eine herstellerübergreifende Interoperabilitäts-Spezifikation (Universal SD-WAN Edge) ist in Arbeit und adressiert das, steckt in der Praxis aber noch am Anfang.