SD-WAN es un software que controla de forma centralizada cómo se conectan las sucursales de una empresa, eligiendo el mejor enlace disponible para cada aplicación en lugar de depender de un solo circuito privado fijo.
Si una conexión más económica aun obliga a su equipo a configurar cada sucursal por separado, ¿realmente ha mejorado la red? Esa es la brecha que resuelve SD-WAN: no se trata solo de qué circuitos adquiere, sino de cómo los opera.
Para un gerente de TI del Reino Unido, comprender la arquitectura es solo el comienzo. También debe decidir quién es el propietario de las políticas de las aplicaciones, cómo funcionará la seguridad en cada sucursal y si el servicio completo cuesta menos que la red a la que reemplaza.
Qué significa la red WAN definida por software en términos sencillos
Una red de área amplia, o WAN, conecta redes entre diferentes ubicaciones. La red local de su oficina conecta dispositivos dentro del edificio; la WAN conecta esa oficina con sucursales, centros de datos y servicios en otros lugares.
Piense en una WAN privada convencional como una ruta de autopista planificada. El ingeniero de red elige la ruta y configura el equipo para utilizarla. La WAN definida por software (SD-WAN) añade algo más parecido a la navegación por satélite: los administradores establecen las prioridades y el software selecciona las rutas adecuadas a través de las conexiones disponibles.
La analogía tiene un límite. Un sistema de navegación no puede crear una carretera y SD-WAN no puede crear conectividad. Aún debe contratar servicios de acceso físico.
WAN tradicional frente a SD-WAN
Esta comparación describe un punto de partida común en redes de sucursales, no en todas las WAN tradicionales. Las redes convencionales también pueden tener circuitos redundantes y gestión automatizada.
| Aspecto | WAN tradicional | SD-WAN |
|---|---|---|
| Transporte | Un circuito privado, generalmente MPLS | Cualquier combinación de MPLS, banda ancha, fibra y 4G/5G |
| Configuración | Cada enrutador se configura manualmente | Políticas definidas centralmente |
| Conmutación por error | Convergencia de enrutamiento tras una falla | El tráfico afectado se redirige a un enlace activo |
| Despliegue de cambios | Visitas de ingenieros o cambios manuales por sitio | Los cambios se envían a las sucursales desde una sola consola |
| Esquema de costos | Precios elevados por circuito privado | Enlaces de internet potencialmente más económicos más un servicio superpuesto |
| Uso ideal | Entornos estables con un solo operador y pocos cambios | Múltiples sucursales, aplicaciones basadas en la nube y cambios frecuentes |
MPLS no es lo opuesto a SD-WAN. MPLS es un servicio de red de operador que puede proporcionar transporte. SD-WAN controla cómo las aplicaciones utilizan el transporte, incluyendo MPLS. Mantener una conexión privada mientras se añade banda ancha es un diseño legítimo, no una migración incompleta.
El interés del Reino Unido es anterior a la conversación actual sobre seguridad en la nube. En la Encuesta sobre Comunicaciones Empresariales Europeas de 2018, el 35% de los encuestados del Reino Unido afirmó que utilizaba SD-WAN de alguna forma, incluidos proyectos piloto, y otro 18% planeaba comenzar a implementarlo, según el informe blanco de IDC sobre la transformación de redes. Esas son cifras históricas de adopción, no una medida del mercado actual.
Regla práctica: Considere la SD-WAN como una forma de operar su WAN, no como un circuito que usted contrata.
El cambio operativo es lo más importante. En lugar de traducir cada requisito empresarial en configuraciones de router independientes, su equipo define políticas compartidas, controla las excepciones y verifica si las sucursales las cumplen. La centralización reduce el trabajo repetitivo, pero también aumenta la importancia del diseño de políticas y de la aprobación de cambios.
Cómo se integran los componentes de una SD-WAN
Suponga que un grupo minorista desea que las llamadas del personal tengan prioridad sobre las transferencias de archivos en segundo plano. Siga una llamada desde una tienda hasta su destino y la arquitectura será más fácil de entender.
La llamada llega primero al extremo de SD-WAN, un dispositivo físico o virtual que da servicio a la sucursal. El extremo identifica el tráfico, aplica la política correspondiente y lo reenvía a través de una conexión disponible. Para el tráfico entre puntos de extremo SD-WAN participantes, puede colocar los paquetes dentro de un túnel cifrado.
La relación funcional se ve de la siguiente manera:
Edge, controlador u orquestador
El Controller distribuye información de control, políticas e instrucciones de enrutamiento a los extremos. El Orchestrator gestiona la configuración y coordinación a nivel de todo el servicio, incluyendo el aprovisionamiento, las plantillas y la gestión de la configuración.
Estos son roles funcionales, no necesariamente cajas independientes que deba comprar. En la plataforma de un proveedor, las interfaces de gestión pueden combinarlos. La separación entre el control de políticas y el transporte subyacente es fundamental para la arquitectura descrita en la explicación de SD-WAN de Red Hat.
Para el administrador de retail, cambiar la política de voz aprobada de forma centralizada reemplaza el tener que editar la configuración de cada tienda. El administrador aún debe verificar el estado de la implementación, identificar excepciones y mantener un plan de reversión. Un comando exitoso en la consola no es prueba de que cada extremo lo haya aplicado.
Red superpuesta (overlay), red subyacente (underlay) y acceso a la nube
La red subyacente (underlay) es la conectividad real: Ethernet dedicada, banda ancha, acceso móvil u otro transporte. La red superpuesta (overlay) es la red lógica creada a través de esos servicios.
Por lo tanto, una política de aplicaciones puede mantenerse uniforme cuando una sucursal cambia de proveedor de acceso. Sin embargo, el tráfico directo de internet no permanece necesariamente dentro de un túnel SD-WAN cifrado durante todo el trayecto hacia una aplicación SaaS. Verifique dónde termina cada túnel y qué protege el resto del trayecto.
La conectividad en la nube también requiere una terminología precisa. El desglose local de internet (local internet breakout) envía el tráfico de nube aprobado desde la sucursal en lugar de hacerlo a través de la oficina central. Una rampa de acceso a la nube (cloud on-ramp) conecta la WAN a un entorno de nube o a la puerta de enlace de un proveedor. Pueden respaldar el mismo objetivo de acceso a la nube, pero no son servicios idénticos.
Utilice una lista de verificación de compras que incluya:
- Compatibilidad de enrutamiento: Confirme la integración con las rutas y los límites de red existentes.
- Superposiciones cifradas: Establezca puntos finales de túnel compatibles y opciones de cifrado.
- Direccionamiento: Verifique los requisitos de IPv4 e IPv6.
- Conectividad con la nube: Identifique las puertas de enlace y rampas de acceso que requieren sus aplicaciones.
- Integración de firewall: Confirme dónde se realiza la inspección y quién la administra.
Por último, valide la disponibilidad de acceso en cada dirección. La propuesta de una conexión secundaria es útil únicamente cuando el proveedor pueda entregarla.
Cómo encuentra el tráfico la mejor ruta automáticamente
La conexión primaria de una sucursal se congestiona. Técnicamente sigue en línea, pero las personas que llaman escuchan voces entrecortadas y pausas largas. Esto es una caída parcial (brownout), en lugar de una interrupción total del servicio.
Una configuración de enrutamiento que solo verifica si el enlace está activo puede continuar usándolo. En su lugar, SD-WAN puede evaluar si la conexión sigue siendo adecuada para la aplicación y mover el tráfico afectado a una alternativa.
La selección dinámica de rutas basada en aplicaciones utiliza mediciones como latencia, fluctuación de fase (jitter), pérdida de paquetes y disponibilidad, junto con reglas definidas por el administrador, tal como se describe en la documentación de SD-WAN de Palo Alto Networks'.
Defina qué significa "adecuado"
La mejor ruta no siempre es la más rápida ni la más económica. Su equipo debe definir qué necesita cada aplicación.
- Voz y video: Prefiera una ruta con baja fluctuación (jitter), lo que significa poca variación en los tiempos de llegada de los paquetes.
- Aplicaciones transaccionales: Establezca un límite aceptable de pérdida de paquetes y proteja los intercambios críticos para la empresa.
- Interactivas SaaS: Priorice las transacciones de aplicaciones receptivas, no solo la ruta que parezca más corta.
- Navegación ordinaria: Permita banda ancha de menor costo cuando su rendimiento sea suficiente.
- Transferencias masivas: Evite que las copias de seguridad y las descargas grandes agoten la capacidad necesaria en otros procesos.
Las funciones avanzadas requieren una evaluación igualmente cuidadosa. La corrección de errores hacia adelante envía información de recuperación para ayudar a compensar la pérdida. La vinculación de túneles combina recursos de enlace, mientras que la calidad de servicio, o QoS, prioriza el tráfico que compite.
Estos mecanismos consumen recursos. El tráfico de recuperación utiliza ancho de banda, el cifrado utiliza capacidad de procesamiento y la priorización no puede generar capacidad en un circuito sobrecargado.
Pruebe la degradación, no solo la desconexión
Diseñe una prueba de aceptación basada en la latencia de ida y vuelta, la fluctuación (jitter), la pérdida de paquetes, el tiempo de conmutación por error, la puntuación media de opinión (MOS) de voz y el SaaSrendimiento de las transacciones bajo congestión. Una prueba de latencia y fluctuación puede ayudar a establecer una línea base, pero no sustituye las pruebas de aplicaciones.
Una prueba de velocidad exitosa no demuestra que una sucursal pueda seguir recibiendo llamadas cuando su conexión preferida se deteriora.
Verifique lo que experimentan los usuarios durante los cambios de ruta. No asuma que una sesión activa se mantendrá solo porque el proveedor anuncie una conmutación por error automática.
SD-WAN no garantiza el rendimiento por sí misma. Los resultados reflejan la calidad del bucle de acceso, la diversidad de operadores, la ubicación del controlador, sobrecarga de cifrado y la precisión de las políticas. Si la conexión alternativa también está congestionada, el extremo no tiene una ruta saludable que seleccionar.
Modelos de implementación y dónde rinde frutos SD-WAN
Elija el esquema operativo antes de comparar listas de características. Su organización necesita un modelo que coincida con sus habilidades, cobertura de soporte y nivel de apetito de control directo.
Modelos de implementación de SD-WAN
| Modelo de implementación | Quién lo gestiona | Ideal para | Aspectos a vigilar |
|---|---|---|---|
| Autogestionado | Su equipo de TI | Organizaciones con sólidas habilidades de red y una infraestructura manejable | Responsabilidad total de actualizaciones, políticas y resolución de problemas |
| SD-WAN administrada | Proveedor de servicios | Entornos multisitio sin un equipo de red extenso | Límites de SLA del proveedor y menor control directo |
| SD-WAN segura o SASE | Proveedor de servicios dentro de una oferta administrada | Sitios que requieren firewall integrado y seguridad en la nube | Mayor costo mensual y una dependencia más profunda del proveedor |
| Superposición híbrida | Compartido entre usted y el proveedor | Mantener MPLS para sitios críticos mientras se añade banda ancha | Acuerdos de transporte y soporte en paralelo durante la transición |
Estas categorías se superponen. Una red híbrida se puede autogestionar o administrar mediante un proveedor, mientras que SD-WAN segura describe capacidades en lugar de un acuerdo de soporte universal. Lea la descripción del servicio, no solo el nombre del paquete.
Adapte el diseño a la carga de trabajo
Venta al por menor. Supongamos que una cadena traslada la navegación habitual, el acceso al sistema de inventario y el tráfico de SaaSWiFi aprobado a la banda ancha empresarial, y luego añade un respaldo móvil en cada tienda. Conserva el transporte privado existente hasta que las aplicaciones operativas y de pago superen las pruebas. El resultado esperado es mantener las operaciones comerciales durante una falla de la línea fija, no simplemente una factura de circuito más baja.
Sector hotelero. Un grupo hotelero implementa políticas compartidas para el tráfico de huéspedes, del personal y de pagos. Añade un servicio de acceso secundario y asigna a las descargas de los huéspedes una prioridad más baja que a las transacciones operativas. El resultado útil es un tratamiento constante del tráfico en todas las propiedades, mientras que los controles de acceso local mantienen separados a los diferentes usuarios.
Sector salud. Un proveedor cambia el tráfico clínico aprobado en la nube del backhaul de la oficina central a una ruta probada de acceso a la nube. Mantiene la conectividad privada donde la dependencia de una aplicación lo requiere. El acceso a los expedientes y los flujos de trabajo de imágenes requieren una evaluación independiente: un inicio de sesión ágil no demuestra que la recuperación de imágenes funcione de manera aceptable.
En el caso de las residencias estudiantiles y edificios residenciales, el control WAN puede proteger las aplicaciones del personal y de la gestión del inmueble frente a la demanda de la competencia. Esto no genera un aislamiento del residente por sí solo. En la capa de acceso local, nuestro WiFi multiinquilino WiFi proporciona a cada residente una red privada en todos sus dispositivos, incluidas las consolas y los televisores sin navegador.
Una empresa con una sola ubicación que cuenta con un circuito confiable, aplicaciones sencillas y sin un requisito significativo de resiliencia puede obtener pocos beneficios de una superposición de SD-WAN. Un enrutador bien administrado y un servicio de respaldo adecuado podrían ser suficientes.
La señal más clara de un modelo de implementación adecuado es organizacional: usted puede nombrar a quién aprueba las políticas, quién monitorea las fallas y quién escala los problemas a cada proveedor. Si esas responsabilidades siguen sin estar claras, el servicio aún no está listo para ser adquirido.
Lo que realmente cuesta SD-WAN en comparación con MPLS
¿SD-WAN reduce el costo total de operar una WAN o solo la factura mensual del circuito? Para compararlo de manera equitativa con MPLS, incluya conectividad, resiliencia, seguridad, equipo y al personal que mantiene el servicio funcionando.
Costos indicativos de SD-WAN en el Reino Unido por sitio
La guía de precios de SD-WAN del Reino Unido de Compare Your Business Costs ofrece rangos mensuales indicativos: las superposiciones básicas rondan los £50 - £150 por sitio, los servicios administrados de £150 - £500 y la SD-WAN segura o SASE de £250 - £800 o más por sitio. La guía también señala que Ethernet dedicada puede superar los £1,000 mensuales, mientras que la banda ancha básica puede costar alrededor de £50.
| Nivel de servicio | Costo mensual típico | Por lo general adicional |
|---|---|---|
| Superposición básica | £50 - £150 por sitio | Conectividad, hardware y soporte |
| SD-WAN gestionada | £150 - £500 por sitio | Circuitos, hardware y soporte fuera del paquete acordado |
| SD-WAN segura o SASE | £250 - £800 o más por sitio | Conectividad, hardware y soporte fuera del paquete acordado |
| Comparación con Ethernet dedicada | Puede superar los £1,000 por circuito | Cargos de instalación donde se coticen; verifique el tiempo de entrega y el plazo del contrato |
| Comparación con banda ancha básica | Alrededor de £50 por línea | Resiliencia adicional y soporte mejorado según disponibilidad |
Considere estos datos como rangos de compra, no como cotizaciones. El tiempo de entrega de la instalación no es un cargo en sí mismo, pero los retrasos pueden significar pagar por un circuito existente durante más tiempo. Los productos de banda ancha también difieren en sus términos de servicio y soporte.
Desarrolle una comparación completa
Agregue circuitos de acceso, hardware perimetral, suscripciones, datos móviles, inspección de seguridad, monitoreo y gestión de proveedores. Incluya también los costos de transición: servicios paralelos, trabajos de instalación, contratos superpuestos y tiempo de ingeniería.
Un segundo circuito solo mejora la resiliencia si evita los mismos puntos de falla. Comprar a diferentes proveedores no demuestra que los cables utilicen ductos separados o una infraestructura independiente.
Pregunte:
- ¿Es necesario el enrutamiento enfocado en aplicaciones en este caso? Un sitio pequeño puede requerir un respaldo sencillo en lugar de una superposición exhaustiva.
- ¿Rutas de acceso diversificadas? Solicite información sobre la entrega para evaluar los puntos de falla compartidos.
- ¿El equipo puede resolver problemas entre proveedores? Alguien debe identificar si una falla corresponde al acceso, a la superposición, a un firewall o a una aplicación.
El análisis de costos de servicios administrados de Vight ofrece contexto para separar las tarifas de gestión de la conectividad y los trabajos de proyectos.
Prueba de compra: Compare una resiliencia y soporte equivalentes, no una conectividad privada de alto nivel frente a una línea de banda ancha sin protección.
El aprovisionamiento centralizado puede reducir la configuración repetitiva y las visitas a las instalaciones. Las empresas más grandes pueden valorar esa consistencia más que el ahorro en transporte; las infraestructuras más pequeñas pueden valorar el acceso a la experiencia administrada.
SD-WAN puede reducir los costos de transporte al tiempo que aumenta otros costos operativos. La decisión radica en si la resiliencia y el control resultantes justifican el costo total de ejecutar el servicio.
Límites de seguridad y acceso basado en identidades
Un túnel cifrado protege el tráfico a través de una ruta definida. No hace que una computadora portátil no administrada sea confiable, ni soluciona una aplicación en la nube expuesta ni corrige una regla de firewall demasiado permisiva.
La guía de seguridad SD-WAN del Reino Unido resumida por Compare Your Business Costs destaca el énfasis del Centro Nacional de Ciberseguridad en los controles de enrutamiento y el cifrado, incluida la verificación de la protección IPsec de extremo a extremo y un perfil de configuración sólido. La cuestión práctica es dónde empieza la protección, dónde termina y quién la mantiene.
Asigne un responsable a cada control
Un servicio administrado no transfiere automáticamente todas las responsabilidades de seguridad. Incluya las siguientes responsabilidades en el diseño del servicio y en el contrato:
- Cifrado y claves: Defina el alcance del cifrado, la rotación de claves y la gestión de certificados.
- Acceso al plano de control: Solicite administración autenticada y comunicaciones de control.
- Segmentación y aislamiento: Documente los límites de los inquilinos y el tráfico permitido entre segmentos.
- Acceso de proveedores: Especifique la aprobación, las restricciones y la revocación del acceso privilegiado.
- Registro y respuesta: Asigne la revisión de alertas, la investigación de incidentes y la retención de pruebas.
- Mantenimiento de software: Nombre al responsable de las actualizaciones, la respuesta a vulnerabilidades y las evidencias de auditoría.
La salida local a internet también cambia los requisitos de aplicación de políticas. Si una sucursal ya no envía tráfico a través de un punto de inspección central, proporcione la inspección adecuada y la aplicación de políticas en su nueva ruta.
Mantenga diferenciadas las redes y las identidades
SD-WAN dirige el tráfico a través de conexiones WAN. SASE, o extremo de servicio de acceso seguro, combina la conectividad WAN con capacidades de seguridad prestadas desde la nube. El acceso de confianza cero evalúa si un usuario y dispositivo en particular deben recibir acceso a un recurso.
Esas capas resuelven diferentes problemas. Reconocer una aplicación empresarial no establece la identidad de la persona que la utiliza, y estar conectado dentro de una sucursal no debería otorgar automáticamente un acceso amplio.
En el extremo de WiFi, las redes basadas en la identidad permiten a los administradores basar el acceso en usuarios y dispositivos autenticados, en lugar de una contraseña compartida o ubicación de red. Por lo tanto, su política de acceso debe alinearse con la segmentación implementada a través de la red más amplia.
Nuestro WiFi para empleados WiFi incorpora los dispositivos de los empleados con certificados EAP-TLS administrados, por lo que no hay una frase de contraseña compartida que rotar. Ofrece WPA2/3-Enterprise, WiFi sin contraseña WiFi y RADIUS-as-a-Service, brindando seguridad de WiFi para empleados WiFi a nivel empresarial sin la complejidad de un NAC.
Eso no reemplaza la seguridad de la WAN. Se encarga de la capa de autenticación local, la cual debe funcionar junto con el enrutamiento, la inspección y la autorización de aplicaciones.
Para datos personales, clínicos o de pago, la arquitectura y las operaciones diarias importan más que la etiqueta SD-WAN. Exija evidencias de que los controles previstos funcionan juntos, en lugar de aceptar el cifrado como prueba de una protección completa.
Cómo planificar la migración de MPLS a SD-WAN
Comience con una prueba piloto que demuestre sus políticas, no con una lista corta basada en demostraciones de proveedores. Una migración sensata conserva la capacidad de recuperación mientras su equipo aprende cómo se comporta el nuevo servicio.
El plan de trabajo muestra la secuencia general; la implementación requiere decisiones explícitas de validación y reversión.
Prepare la infraestructura y las responsabilidades
Haga un inventario de cada sitio, circuito, contrato y aplicación. Registre las fechas de finalización del contrato, los requisitos de notificación, los proveedores de acceso y los destinos de las aplicaciones, incluidos los servicios alojados en la nube. Incluya sitios pequeños, líneas heredadas y dependencias como el direccionamiento fijo que de lo contrario podrían desaparecer del diseño.
Clasifique el tráfico por sensibilidad y necesidad de rendimiento. Separe voz, video, transacciones y transferencias masivas. Documente qué aplicaciones pueden utilizar el acceso local a internet y cuáles requieren una ruta privada controlada; aplicar una sola política a todo anula el diseño orientado a las aplicaciones.
Elija el modelo operativo y asigne la propiedad de la seguridad. Registre por escrito quién aprueba los cambios, mantiene los certificados, revisa las alertas y gestiona el escalamiento con los proveedores. No asuma que el proveedor gestionado es propietario de un control a menos que el acuerdo lo especifique.
Compruebe el diseño antes de retirar los circuitos
Realice una prueba piloto en una sucursal de bajo riesgo con una opción de respaldo. Ejecute la superposición junto con la conectividad existente y mantenga una ruta documentada para volver atrás. Elija un sitio con aplicaciones representativas, no la ubicación más fácil de instalar.
Ejecute la prueba de aceptación basada en la congestión. Utilice las verificaciones de rendimiento descritas anteriormente, con los propietarios de las aplicaciones observando los flujos de trabajo reales. Acuerde los criterios de aprobación antes de realizar la prueba e incluya condiciones de enlace degradado en lugar de depender de una demostración de cable desconectado.
Realice la migración en olas controladas. Agrupe los sitios por riesgo comercial, dependencias de aplicaciones y preparación del acceso. Conserve la conectividad privada en las ubicaciones críticas hasta que un período de monitoreo acordado demuestre un funcionamiento aceptable, y no programe la transición en función de una fecha de entrega de banda ancha no confirmada.
Desmantele únicamente después de las verificaciones técnicas y contractuales. Confirme el funcionamiento estable, elimine las rutas obsoletas y verifique el período de notificación antes de cancelar los servicios. Conserve respaldos de configuración y actualice diagramas, registros de soporte y procedimientos de incidentes.
Antes de autorizar una ola de despliegue, revise las excepciones no resueltas con la mesa de ayuda y los propietarios de las aplicaciones. Un panel de control de red puede verse saludable mientras el personal aún enfrenta problemas con un flujo de trabajo empresarial.
Su primer entregable debe ser un conjunto de políticas probado y un piloto recuperable. Una vez que existan, las comparaciones de proveedores se vuelven más significativas porque usted podrá evaluar los servicios con base en los requisitos que su organización ha demostrado.
Ofrecemos WiFi para invitados WiFi, WiFi para empleados WiFi y WiFi multiinquilino WiFi para ayudar a controlar quién se conecta en la capa de acceso junto con su diseño de WAN. Visite Purple para explorar el acceso sin contraseña para empleados y las redes privadas para residentes, y conversar sobre cómo esas políticas de acceso pueden adaptarse a su migración a SD-WAN.
