SD-WAN: architettura, vantaggi, differenze con MPLS e VPN

Il lunedì mattina i ticket arrivano sempre dalle stesse tre filiali. La videoconferenza si interrompe, il gestionale in cloud risponde a scatti, il collega commerciale scrive che “la rete non va” e allega uno screenshot di una barra di caricamento.

Tu guardi i grafici e la linea della sede non è satura. È satura la linea del datacenter centrale, dove tutto il traffico verso il cloud viene fatto passare per rispettare un disegno di rete progettato quando le applicazioni stavano ancora dentro quel datacenter.

Questa è la condizione in cui si trova buona parte delle reti geografiche aziendali italiane. Il carico di lavoro si è spostato verso servizi erogati in cloud e verso applicazioni distribuite, mentre l’infrastruttura di trasporto è rimasta quella di dieci anni fa: circuiti rigidi, costosi al megabit, con tempi di attivazione che si misurano in settimane e una visibilità sulle prestazioni applicative che si ferma al ping.

L’SD-WAN, cioè la rete geografica definita dal software, nasce per rimettere in equilibrio queste due velocità.

Qui vediamo come funziona davvero l’architettura software-defined e quali sono i suoi tre componenti, perché la WAN tradizionale fatica a reggere il traffico verso il cloud, quali apparati puoi già usare senza buttare l’infrastruttura esistente, come si comporta l’SD-WAN nel confronto tecnico ed economico con MPLS e VPN, quali benefici porta a chi gestisce sedi distribuite e dove porta il percorso naturale verso il modello SASE.

Cos’è l’architettura SD-WAN e come funziona la rete WAN software-defined

L’SD-WAN (Software-Defined Wide Area Network) è un’architettura di rete geografica che separa la gestione software della rete dal transito fisico dei dati.

Le regole che decidono come il traffico deve viaggiare vengono definite una volta in un punto centrale e applicate automaticamente a tutte le sedi, indipendentemente dal tipo di linea che ciascuna sede ha a disposizione.

La separazione riguarda due piani distinti:

• Il Control Plane è il livello logico in cui vivono le policy: quale applicazione ha priorità, quale percorso deve seguire un certo tipo di traffico, cosa succede quando una linea si degrada.
• Il Data Plane è il livello in cui i pacchetti transitano concretamente attraverso i collegamenti fisici.

Nelle reti tradizionali questi due piani coincidono dentro ogni singolo apparato, e ogni modifica va replicata a mano dispositivo per dispositivo. Nell’SD-WAN il controllo è centralizzato e il trasporto resta distribuito.

I tre componenti dell’architettura SD-WAN

I componenti che rendono possibile questa architettura sono tre:

• l’edge device, fisico o virtuale, installato in ogni sede: termina le linee disponibili, costruisce i tunnel cifrati verso le altre sedi e applica localmente le policy ricevute
• il controller, che distribuisce policy e informazioni di instradamento a tutti gli edge, mantenendo coerente il comportamento della rete senza configurazioni manuali ripetute
• l’orchestrator, il punto di gestione unico da cui definisci le regole, osservi le prestazioni applicative sede per sede e attivi una nuova filiale

L’instradamento intelligente del traffico

Sopra questi componenti lavora l’instradamento intelligente del traffico. L’edge riconosce l’applicazione che sta transitando e misura in tempo reale latenza, jitter e perdita di pacchetti su ciascuna linea disponibile.

Se la fibra primaria comincia a degradarsi, la sessione critica viene spostata sul collegamento alternativo mentre è ancora attiva, senza che l’utente se ne accorga.

È questa la differenza pratica con un failover tradizionale, che interviene solo quando la linea è già caduta.

Leggi l’approfondimento dedicato ai nostri servizi per l’implementazione, il supporto e lo sviluppo di soluzioni in ambito networ­king

Perché la rete WAN tradizionale non regge più il traffico verso il cloud

Una rete WAN (Wide Area Network) è l’infrastruttura che collega tra loro sedi geograficamente distanti: uffici, stabilimenti, punti vendita, datacenter.

Per anni il suo disegno è stato semplice, perché rispecchiava la realtà applicativa: le applicazioni stavano in un datacenter centrale, quindi tutto il traffico convergeva lì.

Il problema del backhauling

Quel disegno si chiama backhauling e oggi produce un effetto paradossale.

Un utente in filiale che apre un documento su una piattaforma di collaborazione in cloud genera traffico che parte dalla sede, attraversa il circuito geografico fino al datacenter, esce verso internet dal firewall centrale, torna indietro per la stessa strada.

Due passaggi inutili su un collegamento pagato a caro prezzo, con latenza aggiunta su un’applicazione che l’utente percepisce come lenta.

I limiti strutturali della WAN tradizionale

A questo si aggiungono tre limiti che conosci bene se gestisci una rete distribuita:

• il costo per megabit dei circuiti dedicati resta alto e cresce in modo lineare con la banda richiesta, mentre il consumo cresce in modo molto meno prevedibile
• i tempi di attivazione di un nuovo collegamento si misurano in settimane, quando l’azienda apre una sede e chiede la rete operativa in pochi giorni
• la visibilità si ferma al collegamento e non arriva all’applicazione, quindi la diagnosi di un rallentamento resta un lavoro artigianale fatto di test manuali

Il risultato è una rete che funziona, ma che detta i tempi al business invece di seguirli.

La rete geografica software defined interviene esattamente su questo punto: non sostituisce le linee, cambia il modo in cui vengono usate.

Quali apparati supportano la tecnologia SD-WAN e come scegliere l’hardware adatto

La domanda che arriva per prima, quando si apre il tema, riguarda l’investimento in hardware: bisogna sostituire tutto?

Nella maggior parte dei progetti la risposta è no. L’SD-WAN è una tecnologia che vive nel software e può essere abilitata su categorie di dispositivi molto diverse tra loro.

Le quattro tipologie di apparati

Le tipologie che puoi valutare sono quattro:

• firewall di nuova generazione con funzionalità SD-WAN native, che uniscono in un solo apparato il controllo del traffico e i presidi di sicurezza perimetrale, riducendo il numero di dispositivi da gestire in sede
• router di bordo tradizionali abilitati via software, quando gli apparati già installati supportano la funzionalità tramite aggiornamento o licenza, con un investimento iniziale contenuto
• agenti installabili su macchine virtuali, adatti alle sedi dove esiste già un hypervisor e non ha senso aggiungere hardware dedicato
• soluzioni cloud native, cioè edge virtuali attivati direttamente dentro gli ambienti cloud per collegare i carichi di lavoro alla stessa rete logica delle sedi fisiche

I criteri di scelta

La scelta non dipende dalle prestazioni dichiarate sulla scheda tecnica, ma da tre elementi concreti:

• il ciclo di vita residuo degli apparati che hai già in campo
• il livello di sicurezza che vuoi mantenere in sede rispetto a quanto ne sposti nel cloud
• la presenza di sedi piccole dove installare e mantenere un apparato fisico costa più del valore che porta

Nelle reti reali convivono quasi sempre più tipologie, ed è un bene: l’architettura è progettata per gestire un parco eterogeneo sotto un’unica orchestrazione.

SD-WAN vs MPLS vs VPN: la comparazione tecnica ed economica

Il confronto si gioca su quattro parametri, e nessuna delle tre tecnologie vince su tutti.

MPLS

L’MPLS (Multiprotocol Label Switching) è il circuito gestito dall’operatore, definito a livello di standard nel 2001. Instrada i pacchetti attraverso etichette invece che consultando le tabelle di routing a ogni passaggio, e garantisce qualità del servizio con livelli contrattuali misurabili.

La garanzia si paga: il costo per megabit resta il più alto dei tre, la banda non si amplia in tempi rapidi e ogni nuova sede richiede un intervento dell’operatore.

VPN

La VPN (Virtual Private Network) su internet pubblica ribalta il compromesso. Il costo della connettività crolla, perché usi collegamenti di mercato, ma sul percorso non esiste alcuna garanzia di prestazione: il traffico attraversa reti che non controlli.

La gestione dei tunnel, poi, cresce in modo scomodo. Collegare tutte le sedi tra loro a maglia completa significa configurare e mantenere un numero di tunnel che aumenta molto più rapidamente del numero di sedi.

SD-WAN

L’SD-WAN non sostituisce né l’una né l’altra: le governa.

Puoi mantenere il circuito MPLS dove la garanzia contrattuale serve davvero, affiancargli una linea internet o un collegamento mobile, e lasciare che sia la policy a decidere quale traffico merita il percorso premium.

Le linee di backup smettono di restare inattive in attesa di un guasto e contribuiscono alla capacità complessiva.

È qui che si costruisce il risparmio sul Total Cost of Ownership: non nella rinuncia alla qualità, ma nella fine della sovraccapacità pagata e mai usata.

Tabella comparativa

I benefici dell’SD-WAN per chi gestisce reti distribuite

Tradotti nelle attività quotidiane di una direzione IT, i vantaggi si concentrano su cinque punti:

• continuità operativa reale, perché il traffico critico si sposta sulla linea migliore prima che l’utente percepisca il disservizio, e non dopo la caduta del collegamento
• apertura di nuove sedi in tempi compatibili con il business, con l’apparato che si configura da solo al primo collegamento scaricando le policy dall’orchestrator
• esperienza applicativa più prevedibile sui servizi in cloud, perché il traffico esce direttamente dalla sede verso la destinazione, senza il giro attraverso il datacenter centrale
• visibilità che arriva all’applicazione, con dati sulle prestazioni per singolo servizio e per singola sede che rendono la diagnosi un’analisi e non un’ipotesi
• governo centralizzato delle regole, con una policy definita una volta e applicata ovunque, che riduce gli errori di configurazione e il tempo speso a replicarli

Il recupero di tempo

Il beneficio che i responsabili IT segnalano più spesso e non compare nelle schede tecniche è il recupero di tempo.

Le ore che prima venivano assorbite dalla configurazione ripetitiva e dalla ricerca manuale dei colli di bottiglia tornano disponibili per i progetti che fanno avanzare l’azienda.

In un contesto di carenza di competenze specialistiche, questo pesa quanto il risparmio sui circuiti.

Dall’SD-WAN al modello SASE: quando la rete incorpora la sicurezza

Far uscire il traffico direttamente dalle sedi risolve il problema delle prestazioni e ne apre un altro. Ogni filiale che esce verso internet in autonomia diventa un punto di accesso da proteggere, e replicare in venti sedi lo stesso livello di presidio che hai costruito nel datacenter centrale non è sostenibile né come costo né come gestione.

Cos’è il modello SASE

La risposta a questo problema è il modello SASE (Secure Access Service Edge), definito nel 2019 dagli analisti di settore.

L’idea è convergente: le funzioni di rete e quelle di sicurezza smettono di essere due infrastrutture separate e vengono erogate insieme come servizio dal cloud, applicate all’utente e al dispositivo ovunque si trovino.

L’ispezione del traffico web, il controllo sull’uso delle applicazioni in cloud, il filtraggio e l’accesso alle applicazioni interne vengono verificati in un punto di presenza vicino all’utente, invece che dentro un perimetro che ormai contiene solo una parte delle risorse aziendali.

L’SD-WAN come punto di partenza

L’SD-WAN è il punto di partenza naturale di questo percorso, perché porta già con sé la parte di rete che il modello richiede: edge distribuiti, policy centralizzate, traffico cifrato e identificato per applicazione.

Il passo successivo consiste nel portare i controlli di sicurezza nello stesso piano di governo, allineandoli ai principi di accesso a fiducia zero (Zero Trust), in cui ogni richiesta viene verificata invece di essere considerata affidabile perché proviene dalla rete interna.

Questo è anche il punto in cui la conversazione cambia interlocutore. Non è più una scelta che riguarda solo chi gestisce la rete: tocca la strategia di sicurezza, gli obblighi di conformità introdotti dalla direttiva NIS2 e il modo in cui l’organizzazione dimostra il controllo sui propri accessi.

Domande frequenti sull’SD-WAN

A cosa serve l’SD-WAN?

Serve a rendere governabile una rete distribuita su più sedi, riducendo il costo della connettività, accorciando i tempi di attivazione delle nuove sedi e migliorando le prestazioni delle applicazioni in cloud.

Consente inoltre di applicare le stesse regole di sicurezza e priorità a tutte le sedi da un unico punto di gestione.

Che cos’è l’architettura SD-WAN?

È l’insieme dei tre livelli che compongono la soluzione: gli edge device installati nelle sedi che instradano e cifrano il traffico, il controller che distribuisce policy e informazioni di instradamento, l’orchestrator che offre la gestione e il monitoraggio centralizzati.

La sua caratteristica distintiva è la separazione tra il piano di controllo, dove vivono le regole, e il piano dati, dove transitano i pacchetti.

Qual è la differenza principale tra MPLS e SD-WAN?

L’MPLS è una tecnologia di trasporto fornita e garantita dall’operatore su un circuito dedicato, con prestazioni certe e costi elevati. L’SD-WAN è un livello di gestione che lavora sopra il trasporto, qualunque esso sia, e sceglie via software come usarlo.

Le due cose non si escludono: molte reti mantengono l’MPLS per il traffico che richiede garanzie contrattuali e lo affiancano a linee internet governate dall’SD-WAN.

Quali apparati possono supportare la tecnologia SD-WAN?

La tecnologia è supportata da firewall di nuova generazione con funzionalità SD-WAN native, da router di bordo tradizionali abilitati tramite software o licenza, da agenti installabili su macchine virtuali e da soluzioni cloud native attivabili direttamente negli ambienti cloud.

La convivenza di più tipologie nella stessa rete è prevista dall’architettura e frequente nei progetti reali.

Come WeAreProject semplifica la gestione e l’orchestrazione della tua rete aziendale

Un progetto SD-WAN riesce quando smette di essere una scelta di prodotto e diventa una scelta di architettura.

Le domande che contano davvero sono altre: quali applicazioni meritano il percorso garantito, quanta sicurezza resta in sede e quanta si sposta nel cloud, come si evolve la rete senza restare vincolati a un singolo fornitore per i prossimi dieci anni.

Come Competence System Integrator lavoriamo esattamente su questo raccordo:

• le competenze di Hybrid Multicloud & Networking disegnano l’architettura di rete a partire dai carichi di lavoro che deve servire
• la Cyber Security presidia come perno trasversale il percorso verso i modelli SASE e l’accesso a fiducia zero
• i Managed Services garantiscono monitoraggio continuo, un Single Point of Contact e reportistica erogata come servizio

Non ci limitiamo a implementare la tecnologia: orchestriamo le componenti che la rendono governabile nel tempo, restando indipendenti rispetto ai vendor perché la scelta deve rispondere alla tua rete.

Sono oltre 30 anni che accompagniamo imprese, Pubblica Amministrazione e Sanità nella loro evoluzione digitale, con più di 800 professionisti, oltre 7.500 organizzazioni supportate e un tasso di fidelizzazione del 98%. Siamo grandi nelle competenze e vicini a te quando si tratta di tradurle in decisioni concrete.

Vuoi capire se la tua rete geografica è pronta a sostenere i prossimi progetti applicativi?

Richiedi una sessione di Advisory con i nostri specialisti di networking: analizziamo insieme la tua infrastruttura attuale, i costi di connettività e le priorità applicative, e definiamo il percorso di evoluzione più sostenibile per la tua organizzazione.

Leggi l’approfondimento dedicato ai nostri servizi per l’implementazione, il supporto e lo sviluppo di soluzioni in ambito networ­king