Egy cégnek, amelynek van egy központja, két gyártóüzeme és néhány irodája, valahogy össze kell kötnie ezeket a helyszíneket. A vállalatirányítási rendszer, a fájlszerver és a telefonközpont jellemzően a központban fut, a felhasználók pedig közben felhőszolgáltatásokat is használnak. A telephelyek közötti hálózat, a WAN, ennek a forgalomnak az útja.
Az SD-WAN (software-defined WAN) erre a feladatra ad egy szoftveresen vezérelt réteget a meglévő kapcsolatok fölött. Az alábbiakban végigmegyünk rajta, hogyan épül fel, mi alapján dönt az útvonalakról, mi történik vonalkieséskor, és hol vannak a biztonsági kérdései.
A hagyományos telephely-összekötés korlátai
A telephelyeket sokáig két módon kötötték össze. Az egyik a szolgáltatótól bérelt vonal vagy MPLS-hálózat (Multiprotocol Label Switching, IETF RFC 3031), amelyben a szolgáltató a saját gerincén, címkék alapján továbbítja a csomagokat, és szerződésben vállalja a rendelkezésre állást és a késleltetést. A másik a sima internetkapcsolat, amelyen a két telephely tűzfala között IPsec VPN fut.
Mindkettővel lehet működő hálózatot építeni, a gyakorlatban mégis ugyanazok a gondok jönnek elő:
- Egy telephelynek egy fő kapcsolata van, a második vonal ha létezik is, tétlenül várja, hogy az első kiessen. Az átkapcsolás sokszor kézi vagy lassú, mert a routing protokoll csak akkor reagál, amikor a kapcsolat teljesen megszakad.
- Az útválasztás a célcímet nézi, az alkalmazást nem. Egy videóhívás és egy több gigabájtos mentés ugyanazon a vonalon versenyez, és ha a vonal minősége romlik, de nem szakad meg, semmi nem tereli át a hívást.
- A felhőforgalom kerülőt tesz. Ha minden internetforgalom a központ tűzfalán megy ki, egy irodai felhasználó felhős levelezése előbb a központba utazik, onnan ki az internetre, majd ugyanígy vissza.
- Az eszközöket telephelyenként, egyenként konfigurálják. Tíz helyszínnél tíz külön beállítás van, amelyek idővel eltérnek egymástól, és egy új iroda bekötése napokig tartó helyszíni munka.
Az SD-WAN alatt a meglévő vonalak maradhatnak: MPLS, üzleti internet, optika vagy mobilinternet.
Overlay a meglévő vonalak fölött
Az SD-WAN két rétegben gondolkodik. Az alsó réteg, az underlay, a fizikai kapcsolatok összessége: telephelyenként egy vagy több vonal, különböző szolgáltatóktól. Erre épül rá az overlay, vagyis a telephelyi eszközök között felépített alagutak hálózata. A MEF Forum MEF 70 szabványa (2019) az SD-WAN-t szolgáltatásként is így írja le: az overlay a felhasználói forgalmat viszi, az underlay pedig ennek a szállítóközege, amelyről az overlay mérésekkel tájékozódik.
Minden telephelyen áll egy SD-WAN eszköz, amely gyakran egyben a helyszín tűzfala és útválasztója is. Ez minden saját vonalán alagutat épít a többi telephely felé, így két helyszín között annyi párhuzamos út lehet, ahány vonalpár összeköthető. Egy kétvonalas iroda és egy kétvonalas központ között négy alagút is futhat: internet az internetre, internet az MPLS-re és így tovább, ha az underlay ezt megengedi.
Topológia
A leggyakoribb kiindulás a csillag (hub-and-spoke): minden telephely a központhoz vagy két központi csomóponthoz kapcsolódik, az irodák egymás közötti forgalma is a központon megy át. Ez egyszerűen kezelhető, és a központi tűzfal minden telephelyek közötti forgalmat lát. Ahol két iroda között sok a közvetlen forgalom, például belső videóhívás vagy fájlmegosztás, ott a legtöbb megoldás igény szerint dinamikus alagutat épít a két telephely között, majd egy idő után lebontja, ha már nincs rá szükség. A teljes háló, amelyben minden telephely állandó alagúttal kapcsolódik mindenki máshoz, sok helyszínnél gyorsan kezelhetetlenné válik, mert az alagutak száma a helyszínek számának négyzetével nő.
Az overlay egyik gyakorlati haszna, hogy a telephelyek belső címzése független lesz a vonalaktól. A szolgáltató váltása vagy egy új mobilinternet-vonal felvétele az underlay-t változtatja meg, a belső hálózatok, a VLAN-ok és az útválasztás az overlayben változatlanok maradnak.
Alkalmazásalapú útvonalválasztás és a vonalminőség mérése
Az SD-WAN útválasztása két kérdésre épül: milyen forgalomról van szó, és melyik út alkalmas most rá.
A forgalom felismerése
Az eszköz a csomagokból azonosítja az alkalmazást. Az egyszerűbb jelek a cél IP-cím, a port és a protokoll, ezeken túl a forgalom tartalmának vizsgálata és a titkosított kapcsolatok elején látható szervernév, ha a kapcsolat nem rejti el (TLS Encrypted Client Hello). A felhős szolgáltatásoknál a gyártók rendszeresen frissített címlistákkal és alkalmazás-adatbázissal dolgoznak, mert ezeknek a szolgáltatásoknak a címei gyakran változnak. Az azonosított forgalom osztályokba kerül, jellemzően hang és videó, interaktív üzleti alkalmazás, általános internet és tömeges adatmozgatás.
A vonalak mérése
Az eszközök minden alagúton folyamatosan, néhány száz ezredmásodpercenként vagy másodpercenként mérőcsomagokat küldenek egymásnak, és ezekből három értéket számolnak:
- késleltetés: mennyi idő alatt ér át egy csomag a túloldalra és vissza, vagyis a körülfordulási idő (round-trip time);
- jitter: mennyit ingadozik ez a késleltetés csomagról csomagra;
- csomagvesztés: a kiküldött mérőcsomagok hány százaléka nem érkezik meg.
Minden forgalmi osztályhoz küszöbértékeket lehet rendelni. A hangátvitelnél az ITU-T G.114 ajánlása (2003) a legtöbb alkalmazásra legfeljebb 150 ms egyirányú késleltetést tart elfogadhatónak. A mérőcsomagok körülfordulási időt mérnek, az egyirányú késleltetés ennek nagyjából a fele, ezért egy körülfordulási időre beállított küszöbnél a G.114 értékének körülbelül kétszeresével kell számolni. A jitter és a csomagvesztés a késleltetéstől függetlenül is rontja a hangminőséget. Egy mentés ellenben elviseli a nagyobb késleltetést, neki a sávszélesség számít. Ha egy alagút mért értékei egy osztály küszöbe fölé mennek, az eszköz az adott osztály forgalmát, a már futó munkameneteket is, egy másik, megfelelő útra tereli.
| Forgalmi osztály | Ami számít | Szokásos útválasztási szabály |
|---|---|---|
| Hang és videó | Alacsony késleltetés, kis jitter, minimális csomagvesztés | A mért értékek alapján a legjobb út, romlásnál gyors áttérés |
| Interaktív üzleti alkalmazás | Késleltetés, rendelkezésre állás | Elsődleges vonal, küszöb túllépésekor tartalék |
| Általános internet | Elérhetőség | Helyi internetkijárat, a vonalak között elosztva |
| Mentés, nagy fájlok | Sávszélesség | A kevésbé terhelt vonal, alacsony prioritással |
Munkamenet vagy csomag szerinti elosztás
A legtöbb SD-WAN munkamenetenként választ utat: egy TCP-kapcsolat vagy egy hívás minden csomagja ugyanazon az alagúton megy, amíg át nem kell terelni. Ha az eszköz csomagonként osztaná szét a forgalmat két különböző késleltetésű vonal között, a csomagok felcserélt sorrendben érkeznének. A TCP a sorrendcserét csomagvesztésnek értelmezheti: a fogadó duplikált nyugtákat küld, a küldő fölöslegesen újraküld, és visszaveszi az átviteli sebességet. Ezért a több vonal együttes kapacitását a sok párhuzamos munkamenet használja ki, egyetlen fájlátvitel továbbra is egy vonal sebességét kapja.
A gyengébb minőségű vonalak kiegyenlítésére egyes megoldások további eszközöket is adnak. Csomagduplikálásnál a fontos forgalom minden csomagja két alagúton megy, és a túloldal az elsőként beérkezőt tartja meg. A hibajavító kódolás (forward error correction) plusz adatot küld, amelyből a túloldal az elveszett csomagok egy részét helyre tudja állítani. Mindkettő sávszélességbe kerül, ezért a hang- és videóforgalomra érdemes korlátozni.
Átkapcsolás vonalkieséskor
Egy vonal kétféleképpen romolhat el. A teljes kiesést, amikor egy földmunka elvágja a kábelt vagy leáll a szolgáltató eszköze, a mérőcsomagok elmaradása gyorsan jelzi. Gyakoribb és nehezebben észrevehető a részleges romlás: a vonal él, a routing protokoll is rendben látja, de a csomagvesztés néhány százalékra nő, és a hívások szaggatnak. A klasszikus útválasztás ezt nem érzékeli, az SD-WAN a folyamatos mérés miatt erre is reagál.
Észlelés és döntés
Az észlelés ideje a mérés gyakoriságán és azon múlik, hány egymást követő rossz mérés után tekinti az eszköz rossznak az utat. Ugyanez a logika a BFD protokollnál (Bidirectional Forwarding Detection, IETF RFC 5880) is: az észlelési idő a küldési időköz és a szorzó szorzata. A rövid időköz gyors átkapcsolást ad, de egy pillanatnyi csomagvesztés miatt is fölösleges váltást okozhat, ezért az időközt és a szorzót a kettő közötti kompromisszumként kell megválasztani.
A visszakapcsolásra is szabály kell. Ha a helyreállt elsődleges vonal azonnal visszakapná a forgalmat, egy ingadozó vonal percenként ide-oda terelné a hívásokat. A szokásos megoldás a hiszterézis: a vonalnak egy ideig folyamatosan jó értékeket kell mutatnia, mielőtt újra elsődleges lesz.
Mi marad meg a munkamenetekből
Az alagúton belüli forgalom az átkapcsolást általában túléli. A belső címek nem változnak, a csomagok csak egy másik alagúton érkeznek, ezért egy belső alkalmazás felé futó kapcsolat a rövid kimaradás után folytatódik. A helyi internetkijáraton kimenő forgalomnál más a helyzet. Ott a forgalom a vonal saját nyilvános címével megy ki, és ha az eszköz másik vonalra tereli, a túloldali szerver más forráscímet lát. A már nyitott kapcsolatok ilyenkor megszakadnak, és az alkalmazásnak újra kell kapcsolódnia. Ez a böngészésnél észrevétlen, egy hosszú letöltésnél vagy egy távoli asztali munkamenetnél nem.
A második vonal akkor ad valódi tartalékot, ha tényleg független az elsőtől. Két előfizetés ugyanattól a szolgáltatótól, ugyanabban a földkábelben, ugyanazon a helyi elosztón át egyetlen földmunkánál együtt esik ki. Az eltérő szolgáltató és fizikai út, vagy egy mobilinternet-vonal harmadik útként ezt a kockázatot csökkenti. Hogy a két kábel fizikailag merre fut, az a szerződésből általában nem derül ki, ezt a szolgáltatótól, illetve a szolgáltatóktól kell megkérdezni.
Központi menedzsment és sablonok
Az SD-WAN-eszközöket egy központi felügyeleti rendszer kezeli, amely lehet a cég saját szerverén vagy a gyártó felhőjében. Itt készülnek a szabályok, innen kerülnek ki az eszközökre, és ide futnak be a mérési adatok és a naplók.
Sablonok és változók
A telephelyek konfigurációja egy közös sablonból épül fel. A sablon tartalmazza az alagutak, a forgalmi osztályok, az útválasztási szabályok és a biztonsági beállítások közös részét, telephelyenként csak a változók térnek el: a helyszín neve, a belső címtartomány, a vonalak címei és sávszélessége. Egy szabály módosítása így egy helyen történik, és minden telephelyre ugyanúgy kerül ki. Az eltérések így nehezebben halmozódnak fel csendben, a legtöbb felügyeleti rendszer jelzi is, ha egy eszköz konfigurációja nem egyezik a sablonnal.
Új telephely bekötése
A zero-touch telepítésnél az eszközt a gyári beállításokkal szállítják ki a helyszínre. A helyi munkatárs bedugja a tápot és a vonalat, az eszköz felveszi a kapcsolatot a felügyeleti rendszerrel, azonosítja magát a sorozatszámával, és letölti a neki előre elkészített konfigurációt. Ehhez a helyszínen nem kell hálózati szakember, de előtte a központban mindent elő kell készíteni, és az eszköz sorozatszámát fel kell venni a rendszerbe.
Változáskezelés
A központi kezelésnek van egy kockázata is: egy hibás szabály egyetlen mozdulattal minden telephelyre kikerül. Ezért érdemes a változásokat előbb egy-két tesztelésre kijelölt telephelyen élesíteni, és csak utána a többin. A felügyeleti rendszerek többsége verziózza a konfigurációt, így egy rossz módosítás visszaállítható. A felügyelet kiesése jellemzően nem állítja le a forgalmat, az eszközök az utolsó kapott konfigurációval dolgoznak tovább, de amíg a kapcsolat helyre nem áll, változtatni sem lehet rajtuk.
A felügyeleti rendszer mérési adatai a hibakeresésben is segítenek: telephelyenként és vonalanként látszik, mikor nőtt meg a késleltetés vagy a csomagvesztés, és melyik alkalmazás forgalma került át emiatt. Az egész hálózatra kiterjedő láthatóságról a hálózati monitorozásról szóló cikk ír részletesebben.
Biztonság: titkosított alagutak, helyi internetkijárat
Az SD-WAN biztonsági kérdései abból adódnak, hogy a telephelyek közötti forgalom nagy része nyilvános interneten megy, és a telephelyek maguk is kimennek az internetre.
Titkosított alagutak
Az overlay alagútjai jellemzően IPsec-re épülnek (IETF RFC 4301 és RFC 4303), a kulcscserét az IKEv2 (IETF RFC 7296) végzi. A titkosítás és a csomagok hitelesítése megakadályozza, hogy az útközben lévő hálózatok olvassák vagy módosítsák a forgalmat. Az eszközök egymást jellemzően tanúsítvánnyal azonosítják, de előfordul előre megosztott kulcs vagy a felügyeleti rendszer által kiosztott kulcs is. Tanúsítványos azonosításnál a tanúsítványok kiadása, megújítása és egy ellopott eszköz tanúsítványának visszavonása a működés része. Az MPLS-vonalon futó alagutat is érdemes titkosítani: a szolgáltatói hálózat elkülöníti a forgalmat a többi előfizetőtől, de nem titkosítja.
Helyi internetkijárat
Ha a telephely közvetlenül megy ki az internetre, az útvonal rövidebb, a felhőalkalmazások gyorsabbak, a központ vonala pedig tehermentesül. Ugyanakkor ezzel minden telephely internetes határpont lesz, amelyet ugyanúgy védeni kell, mint a központot: tűzfalszabályokkal, behatolásmegelőzéssel, webszűréssel és naplózással. Ha a helyi kijárat csak címfordítást végez, a központi tűzfal védelme egyszerűen kimarad az irodák forgalmából. Ezért az SD-WAN-eszköz a legtöbb kiépítésben egyben a telephely tűzfala is, vagy a helyi kijárat forgalma egy felhős biztonsági szolgáltatáson megy át. Ez utóbbi irányt a Gartner 2019-ben SASE (Secure Access Service Edge) néven írta le: a hálózati és a biztonsági funkciók egy része a felhőben, a felhasználóhoz közel fut.
Szegmentáció az overlayben
Az overlayben a telephelyek belső hálózatai is elkülöníthetők egymástól. A vállalati, a vendég- és az ipari hálózat külön szegmensként, külön útválasztási táblával utazhat ugyanazokon az alagutakon, így egy iroda vendéghálózata nem éri el a gyártóüzem ipari eszközeit, csak azért, mert ugyanazon a WAN-on vannak. Ennek a megtervezése a belső szegmentáció folytatása a telephelyek között. Ha a cél az, hogy a felhasználók egy-egy alkalmazást érjenek el, és ne egész hálózatokat, a Zero Trust architektúráról szóló cikk ezt a megközelítést járja körül.
Végül maga az SD-WAN-eszköz is támadási felület. Internet felé néző eszközről van szó, ezért a gyártói biztonsági közleményeket követni kell, és a firmware-frissítéseket a sebezhetőségek súlyossága szerint ütemezni. A felügyeleti felület ne legyen elérhető az internetről, a hozzáférés pedig többfaktoros hitelesítéssel és név szerinti fiókokkal történjen.
Kapcsolódó szolgáltatás: SD-WAN →
