什么是SD-WAN?
SD-WAN(Software Defined Wide Area Network, 软件定义的广域网)将企业的分支、总部和多云之间互联起来,应用在不同混合链路(MPLS,Internet,5G,LTE等)之间选择最优的进行传输,提供优质的上云体验。
通过部署SD-WAN可以提高企业分支网络的可靠性、灵活性和运维效率,确保分支网络一直在线,保证业务的连续和稳定。
业界标准中的SD-WAN
对于SD-WAN的定义,不同SD-WAN的厂商会给你不同的答案,我们来了解一下业界的标准定义。
Gartner的定义
Gartner明确定义了SD-WAN的基本特性:
MEF的定义
MEF(Metro Ethernet Forum)在MEF-70中给出了第一个SD-WAN的标准化定义。标准中明确定义了SD-WAN组件、能力,并为每个组件的所有接口定义了框架和API的服务规范。
华为的SD-WAN
华为SD-WAN解决方案,遵循MEF的标准,并满足Gartner对SD-WAN的定义。华为SD-WAN拥有软件、硬件和虚拟计算平台等丰富的软硬件产品组合,丰富的接口类型,基于技术创新带来的差异化优势,在WAN Edge基础设施市场始终保持着强劲的增长势头,在2018~2020年Gartner发布的WAN Edge基础设施魔力象限报告中始终跃居挑战者象限。
SD-WAN的好处是什么?
针对企业网络当前面临的WAN封闭架构、业务体验难保障、业务部署慢和运维困难的问题,华为SD-WAN解决方案为企业提供分支与分支、分支与数据中心之间提供全场景随需互联,并通过应用级智能选路与智能加速、智能运维,构建更好的业务体验,重塑企业WAN互联全流程的业务体验。华为SD-WAN主要好处如下:
- 5G超宽,随需互联:5G/有线多种上行,随时随地连接到总部和云,大规模灵活组网使能可靠、可扩展的企业分支互联。
- 智能选路,极智体验:通过应用智能选路和优化,保证办公、生产等任意地点分支的本地和云上关键应用的体验。
- 一体管控,智能运维:LAN/WAN统一云管理,简化海量分支业务部署和运维复杂度。
SD-WAN的架构,SD-WAN是如何工作的?
从逻辑分层及功能角度划分,SD-WAN的逻辑架构主要包括业务呈现层、管理层、控制层以及网络层,每层承担的功能不同,其中又包括若干核心组件,如下图所示。
SD-WAN的架构
- 业务呈现层
SD-WAN的业务呈现层向下对接网络控制器,对外通过业务Portal界面实现SD-WAN的业务呈现和发放。业务呈现层当前有如下两种形式:
- 自研Portal界面:由SD-WAN解决方案提供商向客户提供SD-WAN端到端的业务配置和处理流程。
- 第三方BSS/OSS:第三方根据业务功能和展示风格需要,借助网络控制器的北向开放API,实现SD-WAN方案的集成和界面的灵活定制。
- 管理层
网络控制器是管理层的核心组件,是整个SD-WAN的“智慧大脑”。SD-WAN网络控制器一般有网络编排和管理功能:
- 网络编排:负责SD-WAN面向业务的网络模型抽象、编排和配置自动化发放,主要包括企业WAN组网和各种网络策略相关的业务编排。网络控制器通过对企业WAN进行网络模型的抽象和定义,屏蔽了SD-WAN部署和实现的技术细节,使WAN网络配置和业务发放更加简易、灵活。
- 网络管理:网络控制器的管理组件实现了企业WAN 的网络管理与运维功能,包括但不限于SD-WAN网元的告警和日志等故障信息采集;基于链路、应用、网络的性能数据采集、统计和分析,并对最终客户进行网络拓扑、告警管理、性能等运维信息的多维度统计和呈现。
- 控制层
RR(SD-WAN Route Reflector,SD-WAN路由反射器),是控制层的核心组件,主要负责网络控制。
RR的功能主要包括:SD-WAN租户VPN路由的分发和过滤,VPN拓扑的创建和修改,站点间Overlay隧道的创建和维护等。相比传统网络完全的分布式控制方式,这种集中式的控制实现了企业WAN控制平面和转发平面的分离,简化了网络运维操作,减少了网络配置错误几率,提升了企业WAN的运维效率。
- 网络层
从业务角度讲,企业的分支、总部和数据中心以及在云上部署的IT基础设施等都可以统称为企业的站点。不同企业站点用于WAN互联的网络设备以及中间WAN网络一起构成了SD-WAN网络层。
SD-WAN的网络设备,主要包括:Edge和GW两种类型。
- Edge
Edge,即(SD-WAN Edge)的主要是指企业总部、分支、数据中心或者云站点的出口CPE设备,是SD-WAN隧道的发起和终结点,也可以看做是SD-WAN网络的边界点。Edge之间的Overlay隧道可以构建在任意的有线或者无线的Underlay WAN技术之上,并且通常与某种数据加密技术(如IPSec)结合使用,以确保企业WAN数据传输的安全性。
Edge一般可以采用如下设备,在SD-WAN中,CPE可以是硬件形态的传统CPE和uCPE,也可以是软件形态的vCPE。- CPE:传统硬件CPE。CPE作为一种网络设备,最早是以硬件盒子的形态部署于站点中。从硬件角度来看,CPE中通常会包含主控板、接口卡、多核CPU以及各种硬件组件。从软件功能角度来看,CPE会提供二层交换和三层路由的功能,可以连接站点的内部网络和外部网络。一般把这种CPE称之为传统CPE(Traditional CPE)。
- uCPE:随着云计算和NFV技术的发展,云化和虚拟化成为不可阻挡的趋势,传统的专有硬件设备都已经有了软件化的形态,安全、广域加速、负载均衡等功能可以通过VNF(Virtual Network Function,虚拟网络功能)的形式提供。如果能将这些功能都放进CPE里面,既能降低设备成本和能耗,又能实现灵活快速的业务发放。
- vCPE:如果把传统CPE中的网络功能从硬件盒子中抽离出来,通过纯软件的方式实现,彻底将软件与硬件解耦,这种新的CPE形态就称为vCPE(Virtual CPE)。vCPE可以代替专用的硬件设备,通过软件的方式来实现传统CPE的功能,这样的方式有利于更轻松、更快速的部署业务,同时增强了业务的可伸缩性和可扩展性,并且降低了部署和运营成本。
- GW
GW(SD-WAN GW)是联接企业新的SD-WAN站点和其他传统VPN站点的中间设备。由于老的传统非SD-WAN站点的存在,借助GW实现SD-WAN网络到企业传统分支网络的互通。
- Edge
SD-WAN与MPLS VPN专线有什么关系?
在传统的WAN拓扑中,主要通过MPLS专线进行互联。可以有效保证带宽、减少数据包传输的延时。SD-WAN是从MPLS技术演变而来的。SD-WAN支持MPLS、Internet、LTE和5G链路灵活组合进行WAN分支互联。
通过如下方面,可以帮助你更好的理解MPLS与SD-WAN之间的关系:
- 成本:MPLS专线费用比较贵。SD-WAN支持MPLS、Internet、LTE和5G链路灵活组合,从而整体降低链路成本。
- 安全:MPLS可以提供安全、可靠的连接,适用于对安全性比较高的应用。在SD-WAN中,优先选用MPLS链路,可以保障连接的安全性。
- 性能:在同等带宽下,Internet的性能比MPLS的性能要低。SD-WAN可以通过将多条Internet链路聚合在一起,形成一条逻辑链路,从而保障性能。
- 稳定性:网络中会存在对时延、丢包率敏感,链路质量比较高的关键业务。MPLS没有提供一个平台来区分优先级,通过SD-WAN提供的策略的管理和智能选路能力,可以实现在发生拥塞时低优先级应用避让高优先级应用,即关键业务的流量通过MPLS进行发送,而其他所有业务的流量则通过高宽带的Internet进行发送。
- 部署效率:传统的MPLS部署可能需要1~6个月,SD-WAN比较短,只需要几个小时。
- 云计算、SaaS等移动应用:MPLS的建网及部署方式很难规模化的应用于云计算及SaaS。为了支持更快地访问在云中运行的应用程序,SD-WAN可以配置流量转向规则,以便为这些应用程序使用Internet连接。因此,云流量从分支机构直接传输到互联网,而不是回程到总部。一些SD-WAN运营商可以从其网关直接访问云数据中心(例如AWS或Microsoft Azure),从而提高托管在这些云上的应用程序的性能和可靠性。
SD-WAN使建立混合WAN更加容易,并且可以在成本,可靠性和性能之间找到适当的平衡,以实现各种应用程序流量的混合。
如何保障SD-WAN的安全?
SD-WAN的安全性可以从系统安全和业务安全两个方面来进行保障。系统安全是SD-WAN解决方案必备的基础安全能力,SD-WAN解决方案系统在初始化之后就应该自动具备这些能力,使其能安全可靠的运转。而业务安全是单独部署的安全功能,要根据企业用户实际的业务安全需求灵活选择合适的安全防护措施。
- 系统安全
系统安全涵盖的范围主要包括:SD-WAN解决方案中组件间的通信安全、多租户安全以及组件自身的安全。SD-WAN解决方案系统包含多个组件,组件本身以及组件之间的通信都会受到安全威胁。因此,必须要有安全措施来保证SD-WAN解决方案系统的构建和运转是安全可信的。
保证系统安全,即通过身份认证、数据加密、数据验证、权限控制等措施,避免非法接入、信息泄露、数据篡改等安全问题。特别是针对CPE接入的场景,SD-WAN解决方案基于零信任(Zero Trust)的安全理念,严格验证CPE的身份信息,防止身份仿冒,确保只有合法可信的CPE才能接入。
- 业务安全
业务安全指的是SD-WAN解决方案所承载业务的安全,部署SD-WAN解决方案的目的是要帮助企业更好地开展业务,根据企业的业务模型,业务安全包括站点间互访业务的安全、站点访问Internet业务的安全、站点入云业务的安全。
满足业务安全的需求,就是要针对不同的业务采取相应的安全防护措施。例如,对于站点间互访业务,要加密处理保证其在Internet上传输的安全性;对于站点访问Internet业务,可以使用CPE提供的安全功能,如ACL过滤、防火墙、IPS和URL过滤以及VAS高级安全功能等,防御各类攻击以及入侵行为。需要注意的是,这些安全功能可以基于VPN来配置,即针对同一个租户内的不同部门,实施差异化的业务安全防护措施。
另外,SD-WAN解决方案还支持对接第三方云安全网关,利用第三方云安全网关对访问公有云、SaaS的业务流量进行安全防护。
华为如何保障SD-WAN的安全,具体可以参考《华为SD-WAN安全技术白皮书》。
SD-WAN与云有什么关系?
随着云化时代的到来,越来越多的企业已经将自己的IT系统搬到公有云上。企业WAN也需要能灵活地连接各种云资源,这些云资源主要包括:IaaS 基础云服务以及SaaS云应用。
公有云站点的Edge可以部署vCPE软件虚拟CPE设备,并通过VNF(Virtual Network Function,虚拟网络功能)的形式提供软件化的安全、广域加速、负载均衡等功能。将这些功能都放进CPE里面,既能降低设备成本和能耗,又能实现灵活快速的业务发放。
连接公有云
为了更高效地访问SaaS 应用,SaaS路径可能存在多种路径选择,通过SD-WAN的智能选路能够实时感知每条可选路径的网络SLA(Service Level Agreements,服务等级协定)质量,并在集中的网络控制系统的帮助下,具备实时调整并选择最优SaaS 访问路径的能力。
访问SaaS 应用
- 作者: 冷婷
- 最近更新: 2024-06-14
- 浏览次数: 135909
- 平均得分: