SD-WAN : Qu’est-ce qu’un Software-Defined WAN ?

Le SD-WAN (Software-Defined WAN) est une architecture WAN virtuelle qui permet aux entreprises de connecter les utilisateurs aux applications de manière sécurisée et efficace. Cette solution technologique apporte aux réseaux une agilité exceptionnelle et permet de réaliser des économies de coûts. Avec le SD-WAN, les organisations peuvent fournir des applications plus réactives et plus prévisibles à moindre coût et plus rapidement que les services MPLS managés utilisés traditionnellement par l’entreprise. L’IT devient bien plus agile, et elle est en mesure de déployer des sites en quelques minutes ; de tirer parti de tous les services de données disponibles tels que le MPLS, l’accès Internet dédié (DIA), le haut débit ou le sans-fil ; et aussi de reconfigurer les sites instantanément.Pour cela, le SD-WAN sépare les applications des services réseau sous-jacents par le biais d’une couche virtuelle basée sur des stratégies. Cette couche assure la surveillance des caractéristiques de performance en temps réel des réseaux sous-jacents et sélectionne le réseau optimal pour chaque application en fonction des stratégies de configuration.

Le WAN défini par logiciel (SD-WAN) est conçu pour résoudre nombre des défis associés à la conception traditionnelle des WAN. Le SD-WAN fait abstraction des détails de la couche réseau, permettant au WAN d’utiliser une variété de types de connexion interchangeables, y compris 4G, MPLS et l’Internet haut débit. Cette abstraction peut améliorer la bande passante, les performances et la redondance du réseau et permet une gestion et une orchestration centralisées.

Le SD-WAN fonctionne en créant un réseau d’appliances SD-WAN connectées par des tunnels chiffrés. Chaque site sur le WAN possède sa propre appliance SD-WAN, et la totalité du trafic passe par cette appliance. Étant donné que toutes les appliances sont gérées de manière centralisée, des politiques de mise en réseau cohérentes peuvent être appliquées dans toute l’organisation. Lorsque le trafic entre dans une appliance SD-WAN, celle-ci détermine le type de trafic et l’achemine vers sa destination en fonction des politiques existantes et de la disponibilité et des performances des différentes liens.

Le SD-WAN traditionnel est loin d’être parfait. Nombreux sont les SD-WAN qui n’intègrent pas la sécurité, de sorte que chaque succursale doit déployer ses propres produits de sécurité autonomes. Le SD-WAN inclut également le déploiement d’une appliance SD-WAN à chaque extrémité, ce qui rend son utilisation difficile, voire impossible, pour le trafic cloud et mobile. Enfin, le SD-WAN dépend souvent de l’Internet public, ce qui peut poser des problèmes de fiabilité. Cependant, bon nombre de ces problèmes sont résolus avec les plateformes SASE (Secure Access Service Edge).

La technologie SD-WAN est une nouvelle façon de gérer et optimiser un réseau étendu. Elle est conçue pour répondre à l’évolution de l’utilisation des réseaux d’entreprise résultant de la croissance de l’informatique cloud et des appareils mobiles. Il s’agit d’une solution plus flexible que le MPLS, qui prend mieux en charge un personnel distribué et mobile, et qui est plus fiable et évolutive qu’un WAN basée sur une
solution VPN.

Le SD-WAN est mis en œuvre sous la forme d’un réseau d’appliances SD-WAN reliées par des tunnels chiffrés. Chaque appliance SD-WAN est connectée à un ensemble de services réseau (en général le MPLS et certains services Internet) et surveille la disponibilité et les performances actuelles de chacun de ces services. Le trafic parvenant à un appareil SD-WAN est classé en fonction de l’application et hiérarchisé à l’aide d’un ensemble de priorités gérées de manière centralisée avant d’être transmis sur la meilleure liaison réseau disponible.

Le SD-WAN permet de remplacer le MPLS dont la connexion de nouveaux emplacements est onéreuse et chronophage. Il permet également de distribuer les fonctionnalités de sécurité à la périphérie du réseau, ce qui rend inutile l’envoi de la totalité du trafic via le centre de données de l’entreprise avant de le transmettre aux services cloud, une pratique qui dégrade la latence et les performances.
En faisant converger les fonctionnalités de connectivité et de sécurité, un SD-WAN peut éliminer la nécessité de déployer des produits de sécurité coûteux sur les différents sites. Un SD-WAN doté d’un grand réseau de points de présence (PoP) répartis dans le monde entier est à même d’assurer une mise en réseau sécurisée et performante avec une gestion et une visibilité centralisées.

Les réseaux SD-WAN mettent en œuvre des principes de réseau SDN (software-defined networking) pour interconnecter des sites. Les SDN ont d’abord été introduits dans le datacenter dans le but d’étendre le réseau en séparant le plan des données du plan de contrôle. Les politiques et l’intelligence de routage s’exécutaient sur un ou plusieurs serveurs (« contrôleurs »), qui donnaient des instructions aux éléments de réseau qui acheminaient les paquets (switches et routeurs).
En créant une couche sur le réseau local, le SDN a ouvert un monde de possibilités en termes d’efficacité et d’agilité. Le SD-WAN crée une couche sur l’ensemble du réseau étendu, apportant également des gains d’efficacité et d’agilité incroyables.

Le cloud et les besoins accrus de mobilité caractérisent la façon dont nous utilisons les réseaux aujourd’hui. Or les réseaux étendus ont été conçus à une époque où l’accent était mis sur la liaison entre des emplacements physiques. Le recours à l’ancienne approche pour répondre aux nouveaux besoins se fait au prix d’une connectivité mondiale coûteuse, de topologies complexes et de « produits ponctuels » largement dispersés qui sont difficiles à maintenir et à sécuriser.

Le cycle interminable et fastidieux des correctifs, des mises à jour et des mises à niveau nécessite des techniciens qualifiés, une ressource de plus en plus rare. C’est une chose particulièrement pénible, car toute cette complexité constitue une cible attirante pour les pirates, qui peuvent exploiter des configurations erronées, des vulnérabilités logicielles et d’autres surfaces d’attaque.

Les WAN existants ne sont plus à la hauteur pour plusieurs raisons. Le MPLS, point focal de l’ancienne approche, est coûteux et son déploiement vers de nouveaux sites est très lent. Les WAN hérités n’entrent en contact avec Internet qu’au niveau des portails Web sécurisés, en général dans le datacenter. Cela conduit à l’effet « trombone » d’envoi des données Web entre les réseaux. Il en résulte une latence supplémentaire et un épuisement de l’offre de liaisons MPLS au fur et à mesure que le trafic Internet s’accroît. L’accès direct à Internet, qui reliait les succursales à Internet, est coûteux et pouvait submerger les matériels rudimentaires des succursales. Enfin, le WAN a été conçu en mettant l’accent sur la liaison des actifs physiques tels que les bureaux et les datacenters. Cette approche n’est pas idéale pour notre monde nouveau et diversifié.

Bien que le SD-WAN apporte de nombreux avantages, il rencontre aussi d’importantes limites. L’extension du SD-WAN au cloud requiert son installation dans ou à proximité du datacenter du fournisseur cloud, ce qui est une tâche compliquée, voire impossible. De plus, le SD-WAN ignore totalement les utilisateurs mobiles.

Et bien que le trafic soit chiffré, l’exposition des succursales à Internet accroît la menace des programmes malveillants, des e-mails d’hameçonnage et des autres attaques. À cause du déploiement des appliances dans les succursales les coûts d’achat, de dimensionnement et de maintenance ne sont pas éliminés. Les entreprises sont toujours obligées de mettre à jour les appliances, et l’IT doit appliquer dans son intégralité la gamme des fonctions de sécurité, à mesure que les volumes de trafic augmentent. Enfin, le dépannage est compliqué du fait que les équipes doivent jongler entre différentes consoles pour atteindre les causes fondamentales. Cela est inefficace et peut entraîner des erreurs et faire négliger des informations sur le problème à résoudre.

L’option qui s’impose consiste à faire converger les fonctions de sécurité et de réseau vers un logiciel à l’échelle du cloud. Tout le trafic Internet et WAN est envoyé et reçu via le point de présence (PoP) du fournisseur exécutant la solution. Les PoP communiquent alors sur leur propre backbone, évitant les problèmes de performance associés au noyau Internet. Cette approche a pour nom SD-WAN en tant que service ou SD-WAN 3.0.

Le point essentiel est que les défis liés à la gestion des piles de réseau et de sécurité sont atténués. Dans ce cas, les appareils SD-WAN se forment à partir d’une « périphérie mince » avec un traitement minimal. La tâche principale qu’effectuent ces appareils est d’évaluer les paquets pour déterminer s’ils doivent être envoyés à Internet, aux liens MPLS ou ailleurs. Grâce au processus de sécurité et de mise en réseau de base effectué dans le cloud, le SD-WAN en tant que service peut continuer à inspecter le trafic au débit de la ligne, quels que soient les volumes de trafic ou les fonctionnalités activées.

Un service managé par SD-WAN est une offre SD-WAN basée sur un opérateur ou un fournisseur de services. Il garantit à l’entreprise un certain niveau de performance sur son réseau. L’opérateur assure le transport et connecte l’entreprise à son datacenter et éventuellement à des services Cloud.

Les services managés par SD-WAN ne nous aident pas à savoir comment sécuriser l’accès Internet dans la succursale. Ils constituent simplement une approche commerciale et de gestion différente de la même infrastructure technologique.

Les connexions WAN vers les succursales sont soumises à différentes contraintes : elles doivent être sécurisées, fiables, abordables et offrir des performances réseau de niveau entreprise. Il existe de multiples solutions, mais bon nombre d’entre elles comportent leurs problèmes propres.

Une solution courante pour connecter des emplacements de succursale est l’utilisation de VPN sur l’Internet public. Bien que ceux-ci puissent garantir la sécurité dont une organisation a besoin, ils sont souvent difficiles à mettre en place et peuvent ne pas répondre aux besoins de l’organisation. Les clients VPN mobiles sont inexistants ou encombrants, et les appliances VPN physiques peuvent être longues à déployer et ne pas répondre aux besoins d’un personnel mobile. Enfin, les VPN peuvent également ne pas fournir la fiabilité dont l’entreprise a besoin en raison de la dépendance du VPN à l’égard de l’Internet.

Alors que le MPLS fournit des connexions réseau plus fiables et plus performantes, les connexions MPLS sont lentes à déployer et la bande passante MPLS est coûteuse. Cette technologie est également mal adaptée aux utilisateurs mobiles et du cloud et manque de sécurité intégrée.

Le WAN défini par logiciel basé sur le cloud (SD-WAN) offre une solution aux défis de la mise en réseau de succursales. Les points de présence (PoP) dans le cloud reliés par des connexions réseau de niveau 1 soutenues par des SLA assurent une mise en réseau performante, fiable et abordable. Le réseau de PoP basé sur le cloud permet aux utilisateurs de se connecter de n’importe où avec une latence minimale, et une pile de sécurité intégrée assure la sécurité dans l’intégralité du réseau.

Le MPLS et le WAN défini par logiciel basé sur appliance (SD-WAN) peuvent tous deux fournir à une organisation les capacités de réseau nécessaires pour un WAN. Cependant, ils présentent souvent des lacunes importantes en matière de sécurité. Les circuits du MPLS ne sont pas cryptés, et le MPLS et le SD-WAN basé sur appliance peuvent ne pas avoir de sécurité intégrée. En conséquence, de nombreuses organisations utilisant ces systèmes déploient des appliances de sécurité autonomes à chaque emplacement pour fournir les protections de cybersécurité nécessaires.

Cependant, cette approche de la sécurité du WAN peut être complexe, peu évolutive et coûteuse, car chaque nouvel emplacement nécessite un autre ensemble d’appliances de sécurité. Chacun de ces appareils doit être acquis, configuré, surveillé et géré individuellement, ce qui entraîne des coûts importants tout au long de leur durée de vie. Cette approche ne fonctionne pas non plus pour le cloud et la mobilité, où les appliances de sécurité ne peuvent pas être déployées sur site.

Le SD-WAN cloud natif offre une solution à ce problème. En plaçant des points de présence (PoP) dans le cloud, ils peuvent atteindre une couverture mondiale, permettant aux utilisateurs de se connecter via un PoP à proximité et d’utiliser le SD-WAN avec un impact de latence minimal. Ces PoP peuvent également intégrer des fonctionnalités de sécurité, éliminant la nécessité de déployer des appliances autonomes à chaque emplacement et donnant une visibilité centralisée de la connectivité et de la sécurité à travers le WAN d’entreprise. L’intégration de la connectivité et de la sécurité peut également améliorer les performances puisque les appliances de connectivité et de sécurité peuvent être optimisées pour interagir les unes avec les autres.

Comme les entreprises d’envergure mondiale se font de plus en plus nombreuses, le besoin de connecter des réseaux locaux géographiquement distribués via un réseau étendu devient extrêmement important. Pour être compétitives, les entreprises doivent avoir accès à un réseau étendu stable et performant pour un prix abordable. Pour cela, il y a trois options : l’Internet public, le MPLS, et le SD-WAN (Software-Defined WAN).

La première option permet à une entreprise d’acheminer le trafic interne sur l’Internet public. Les deux principaux avantages de cette approche sont la rapidité de la configuration et des coûts relativement faibles, étant donné que l’Internet à haut débit est largement déployé et généralement abordable. Toutefois, ces avantages se font au prix de performances instables, d’une latence volatile et d’un manque de gestion de bout en bout.

Le MPLS est conçu pour fournir des connexions réseau hautement performantes et fiables, soutenues par des SLA garantissant la latence, la remise de paquets et la disponibilité. Cependant, ces connexions hautes performances sont coûteuses et extrêmement lentes à déployer (prenant des semaines ou des mois). Les connexions MPLS sont également mal adaptées à pour connecter des instances cloud, car le trafic doit être ramené vers un point d’accès centralisé avant d’être envoyé vers sa destination.

Le SD-WAN offre le meilleur des deux mondes en faisant abstraction des détails de l’infrastructure réseau. En choisissant la meilleure façon pour acheminer le trafic à partir d’une collection de connexions Internet publiques et de liaisons MPLS, le SD-WAN peut équilibrer les performances et les coûts application par application. Le SD-WAN basé sur le cloud offre des avantages supplémentaires, y compris la sécurité intégrée, la prise en charge des utilisateurs mobiles et du cloud, ainsi qu’une latence et une perte de paquets prévisibles.

Le MPLS, un choix commun pour les entreprises qui ont besoin de connexions réseau haute vitesse et fiables, offre une disponibilité, une perte de paquets et une latence soutenues par des SLA.

Pourtant, si la technologie est effectivement mature et construite pour l’entreprise, elle a aussi ses inconvénients. Les fonctionnalités garanties du MPLS augmentent le coût de sa bande passante, sans parler du fait que le changement de connexions MPLS est difficile car le déploiement de nouvelles connexions peut prendre des semaines ou des mois. Cela affecte la capacité de configurer de nouveaux emplacements de succursale, d’étendre la bande passante aux emplacements existants et d’autres changements de réseau.

Le WAN défini par logiciel (SD-WAN) est conçu pour fournir une alternative au MPLS qui répond à ces défis. Le SD-WAN, qui se compose d’un réseau d’appliances SD-WAN connectées via des tunnels sur de multiples supports de transport, fait abstraction de la couche réseau et achemine de manière optimale le trafic sur différents services de données en fonction du type de trafic applicatif. En conséquence, il peut réduire le coût de la mise en réseau et permettre un déploiement rapide.

Et pourtant, le SD-WAN n’est pas une solution parfaite. Du fait de sa dépendance aux liaisons de communication existantes, le MPLS peut encore être nécessaire pour certaines applications, et les appliances SD-WAN n’ont souvent pas de sécurité intégrée par défaut. Pour résoudre ces problèmes et étendre la couverture aux utilisateurs mobiles et cloud, il faut un SD-WAN basé sur le cloud.

Alors que la comparaison entre le VPN basé sur Internet et le MPLS anime les débats depuis un certain temps, la technologie WAN a évolué ces dernières années.

Pendant ce temps, le SD-WAN s’est imposé comme une solution de connectivité de WAN d’entreprise qui fournit une combinaison de rentabilité, agilité et compatibilité cloud que ni le MPLS ni le VPN basé sur Internet ne peuvent égaler.

Le SD-WAN basé sur le cloud, en particulier, s’est avéré révolutionnaire en integrant à ce mélange des fonctionnalités de fiabilité et de sécurité.

Avec tant de paramètres entrant dans la prise de décision, comment pouvez-vous déterminer si le VPN ou le SD-WAN sur Internet est pertinent pour le cas d’utilisation de votre organisation ?

Le SD-WAN en tant que service étend les capacités de base du SD-WAN traditionnel. Il fait converger la périphérie du WAN, une dorsale mondiale et une pile de sécurité réseau complète dans une plateforme cloud-native unifiée. Connu sous le nom de SASE (ou Secure Access Service Edge), il est conçu pour connecter et sécuriser de manière optimale toutes les ressources de l’entreprise : les emplacements physiques, les centres de données cloud et le personnel mobile. En intégrant le SD-WAN dans le SASE, les entreprises peuvent progressivement transformer leur WAN pour traiter le cycle de transformation complet du WAN, sans déployer plusieurs solutions ponctuelles.

Le MPLS est bien connu pour sa fiabilité du kilomètre intermédiaire ; cependant, il n’en va pas de même pour le dernier kilomètre. Le coût de la bande passante MPLS rend souvent prohibitif le coût du déploiement des connexions redondantes du dernier kilomètre, ce qui conduit les organisations à rechercher des solutions alternatives.

Les deux premières méthodes adoptées pour résoudre le problème de la fiabilité du dernier kilomètre sont l’utilisation d’une connexion Internet de secours et l’agrégation de liens. Alors qu’une connexion Internet de secours peut aider à gérer les pannes de MPLS, le processus de basculement est lent et entraîne souvent une perte des connexions courantes. On a tenté, avec l’agrégation de liens de résoudre le problème de fiabilité du dernier kilomètre en agrégeant différents services de transport du dernier kilomètre. Cela a eu un impact positif sur la bande passante et la fiabilité du dernier kilomètre, mais n’a rien changé pour le kilomètre intermédiaire.

Le WAN défini par logiciel (SD-WAN) va encore plus loin dans le concept d’agrégation de liens. En faisant abstraction des détails du réseau, le SD-WAN est en mesure de présenter une gamme d’options de transport comme un canal unique vers une application et d’effectuer le routage du trafic en coulisses.

Cela permet au SD-WAN de fournir de nombreux avantages pour un WAN d’entreprise. Le dernier kilomètre peut être optimisé à l’aide du routage basé sur des politiques, de la prise en charge du WAN hybride, des liens actif/actif, de l’atténuation de la perte de paquets et de la QoS (en amont et en aval). Avec le SD-WAN basé sur le cloud, où le kilomètre intermédiaire est composé de dorsales privées Tier 1, il est également possible d’effectuer une optimisation du kilomètre intermédiaire, permettant au SD-WAN de concurrencer le MPLS dans le domaine de la fiabilité et de la performance du réseau au kilomètre intermédiaire.

Le SD-WAN (Software-defined WAN) apporte au WAN  l’abstraction du SDN ; cependant, il n’est que le dernier d’une série de transformations du WAN.

La toute première étape du réseau étendu, dans les années 1980, consistait à utiliser des lignes point à point (PPP) pour connecter différents réseaux locaux. Le prix et l’efficacité de ces connexions ont été améliorés avec l’introduction du relais de trames au début des années 1990. Au lieu de nécessiter une connexion PPP directe entre chaque paire de parties communicantes, le relais de trames a permis la connexion à un « cloud » depuis un fournisseur de services, permettant ainsi le partage de la bande passante de liaison du dernier kilomètre et l’utilisation d’équipements de routeur moins coûteux.

L’étape suivante a été l’introduction du MPLS (Multiprotocol Label Switching – Commutation multiprotocole par étiquette), qui a procuré un moyen basé sur IP de transporter la voix, la vidéo et les données sur le même réseau. Le MPLS fournit des connexions réseau fiables protégées par des SLA, mais il est coûteux et lent à provisionner.

Le SD-WAN est apparu en 2013 comme une alternative viable et rentable au MPLS – ce qui en fait la prochaine étape logique dans la technologie WAN. En faisant abstraction de la couche réseau et en acheminant le trafic en fonction d’un ensemble de politiques définies et gérées de manière centrale, le SD-WAN est capable d’optimiser le routage et la priorisation de divers types de trafic applicatif. La flexibilité offerte par le SD-WAN lui permet également de mieux répondre aux besoins des utilisateurs du cloud et mobiles. Comme ce type d’utilisation devient de plus en plus courant, il n’est pas surprenant que de nombreuses organisations prévoient d’adopter le SD-WAN.

SD-WAN 1.0 : Gourmand en bande passante

La première étape de l’évolution du SD-WAN était axée sur la résolution des problèmes de disponibilité et de bande passante du dernier kilomètre. Les nouveaux liens MPLS sont coûteux et lents à mettre en place, et le recours à une connexion Internet de secours ne se faisait qu’en cas de panne. À l’aide de l’agrégation de liens, un prédécesseur du SD-WAN pouvait combiner différents types de connexions au niveau de la liaison, améliorant ainsi la bande passante du dernier kilomètre.

SD-WAN 2.0 : L’essor des startups SD-WAN

L’agrégation de liens était limitée car elle améliorait uniquement les performances du dernier kilomètre. Pour de meilleures performances à travers le WAN, la sensibilisation au routage tout au long du chemin était nécessaire. Les premières solutions SD-WAN offraient un basculement/retour en arrière de virtualisation et un routage sensible aux applications. Avec un routage sensible aux applications, le SD-WAN a pu échapper à la dépendance totale sur les liens MPLS et acheminer le trafic de manière optimale en fonction du type d’application.

SD-WAN 3.0 : Aller au-delà

La dernière étape de l’évolution du réseau SD-WAN consiste à aller au-delà de la connexion des succursales de réseau. Alors que les entreprises déplacent de plus en plus de ressources vers le cloud, le SD-WAN fournit une solution pour connecter en toute sécurité ces déploiements cloud au WAN d’entreprise.