A WireGuard, az IPsec és az SD-WAN nem ugyanazon a szinten helyezkedik el. A WireGuard és az IPsec alagutakban védi az adatforgalmat. Az SD-WAN egy vagy több alaphálózati kapcsolatra épülő, vezérelt telephelyi szolgáltatást ír le; a titkosítás különböző technikákon alapulhat. Több telephelynél ezért a választás az alkalmazásokkal, vonalakkal, felelősségekkel és hibaesetekkel kezdődik, nem egy terméknévvel.
Egy fiktív vállalatnak központja és három kirendeltsége van. Az ERP és a telefonálás központi szolgáltatásokat használ, a Microsoft 365 lehetőleg közvetlenül éri el az internetet, egy karbantartó cég pedig csak korlátozott szervizhozzáférést kap. Az OPNsense-karbantartásról szóló DAXS-cikk a tűzfal frissítési folyamatát tárgyalja; itt a telephelyi topológiáról és üzemeltetési döntéséről van szó. Egy második internetkapcsolat telephelyenként külön kérdés, amelyet az SD-WAN elnevezés önmagában nem old meg.
Négy ellenőrzés a protokollválasztás előtt
Először telephelyenként fel kell mérni az alkalmazásokat, célhálózatokat, mért csúcsterhelést, késleltetési igényt, nyilvános elérhetőséget és vonalkieséseket. Az átfedő privát címtartományok a tunnelprotokolltól függetlenül nehezítik az útválasztást és hozzáférési szabályokat. Ezután meg kell határozni, hogy a kirendeltségek csak a központtal vagy egymással közvetlenül is kommunikálnak-e; a hub-and-spoke kevesebb alagútkapcsolatot igényel, de szűk keresztmetszetté teheti a központot. Végül ki kell jelölni az üzemeltetés, kulcskezelés, monitorozás és egy tesztelt helyreállási út felelőseit.
| Megközelítés | Akkor illik, ha… | Ellenőrzések és korlátok |
|---|---|---|
| WireGuard | Kevés, egyértelműen meghatározott partner és hálózat mellett kezelhető a kulcsok karbantartása | Partnerenként gyakorlatban tesztelni kell az AllowedIPs, útvonalak, tűzfalszabályok, NAT és elérhetőség működését; a protokoll nem ad automatikus központi üzemeltetést |
| IPsec IKEv2-vel | A meglévő eszközök vagy partnerek szabványos IPsec-alagutakat igényelnek | A konkrét eszközpáron át kell venni a gyártóközi profilokat, tanúsítványokat, kulcscserét, NAT-T-t és hiba esetén történő átváltást |
| SD-WAN-szolgáltatás | Több vonal, sok telephely vagy alkalmazásfüggő út központi vezérlést és felügyeletet igényel | Szerződésesen és műszakilag vizsgálni kell az underlayt, edge-eszközöket, házirendet, mérési pontokat, menedzsmenthozzáférést, SLA-t és hibaútvonalat |
Kis hálózat WireGuarddal vagy IPseckel is nagyon jól üzemeltethető, ha valaki felel a konfigurációért és hibákért. Az SD-WAN-ajánlat összevonhatja ezt az üzemeltetési feladatot és vezérelheti az útvonalakat, de saját platform-, licenc-, támogatási és függőségi költségekkel jár. A jobb rendelkezésre állás a valóban független vonalaktól és a tesztelt átváltástól függ.
WireGuard: egyértelmű partnerek, egyértelmű hálózatok
A WireGuard nyilvános kulcsokhoz rendeli az engedélyezett IP-tartományokat. Telephelyi kapcsolatnál ezeknek illeszkedniük kell az útválasztási táblához és tűzfalszabályokhoz; a sikeres kézfogás még nem igazolja az ERP vagy telefonálás elérhetőségét. NAT mögötti partnernél keepalive lehet szükséges. Az OPNsense dokumentációja két telephelyre konkrét partner-, útvonal- és tűzfalellenőrzést, valamint lehetséges MTU/MSS-problémákat mutat be. Négy telephelynél nő a konfiguráció és kulcskezelés, különösen közvetlen telephelyek közötti utak esetén. A WireGuard önmagában nem ad automatikus házirend-kezelést, szolgáltatásmonitorozást vagy SLA-t.
IPsec/IKEv2: a szabványosítás átvételt igényel
Az IPsec hálózati rétegben védi a csomagokat; az IKEv2 biztonsági társításokat és kulcsokat egyeztet. Ez eltérő tűzfalaknál vagy meglévő partneri követelményeknél lehet hasznos. A kompatibilitás azonban nem automatikus: a titkosítási készleteknek, tanúsítványoknak, hálózati szelektoroknak, kulcscserének és NAT-átjárásnak mindkét oldalon illeszkedniük kell. Az RFC 7296 például az IPsec NAT melletti UDP-burkolását ismerteti. A pilot ezért ellenőrzi az alagút felépülését, tartós működését, kulcscseréjét és vonalkiesés utáni helyreállását. A sikeres ping itt sem szakmai átvétel.
SD-WAN: overlay, underlay és szerződés elkülönítése
A MEF 70.2 az SD-WAN-t megállapodott tulajdonságokkal rendelkező szolgáltatásként határozza meg, és kifejezetten elkülöníti az alatta lévő kapcsolati szolgáltatásoktól. A példában lehetséges követelmény az „ERP az A úton, mért hiba esetén B-n” vagy „telefonálás csak megfelelő késleltetés mellett”; tényleges elérhetőségük a szolgáltató termékétől, mérésétől és szerződéses szolgáltatásaitól függ. Egyetlen fizikai internetkapcsolattal rendelkező kirendeltség kiesését a központi vezérlés nem tudja konfigurációval eltüntetni. A második vonal sem segít sokat, ha mindkettő azonos nyomvonalon, áramellátáson vagy edge-eszközön halad.
Az ajánlatban ezért külön értékelendő az edge-hardver, menedzsmenthelyszín, vonalak, központi házirend, biztonsági határok, naplózás, firmware-karbantartás, támogatási idő, adatút és kilépési forgatókönyv. A „menedzselt” csak akkor előny, ha az eszkaláció, mérési adatok és hibafelelősség tisztázott.
Egy kiesési teszt többet mond az adatlapnál
A központ és egy kirendeltség együtt négy esetet tesztel: fő útvonal elvesztése, edge-eszköz hibája, érvénytelen kulcs vagy tanúsítvány, illetve aktív alagút ellenére hibás alkalmazás. Mérni kell az észlelést, átváltást, újracsatlakozást, alkalmazáshatást és normál út visszaállítását. Az ERP és telefonálás eltérő megengedett megszakításokat tolerálhat. A tesztjegyzőkönyv tényleges időket ad meg általános magas rendelkezésre állási ígéret helyett.
A költségdöntésbe az eszközök és pótalkatrészek, alagút- és házirend-beállítás, vonaldíjak, további valódi redundancia, licencek vagy szolgáltatási díjak, monitorozás és belső készenléti ráfordítás is beletartozik. Saját WireGuard-alagútnál lehet, hogy nincs külön protokoll-licencdíj, de az üzemeltetési és vonalköltség megmarad. Meglévő eszközökön egy IPsec-alagút kedvezőnek tűnhet, ha a karbantartást és gyártói jóváhagyást is beleszámítjuk. Sok telephelynél az SD-WAN-szolgáltatás csökkentheti a munkát, de azonos szolgáltatástartalommal kell összehasonlítani. Mérések és ajánlatok nélkül az euróban kifejezett rangsor kitaláció lenne.
A DAXS a vállalattal együtt átvételre alkalmas topológiává alakíthatja a négy telephelyet, alkalmazást és hibaesetet, majd összehasonlíthatja a megfelelő üzemeltetési változatokat. Egy DAXS-szal folytatott megbeszélés kiindulópontja a telephelyi hálózati terv, a vonalszerződések és a korábbi hibatörténet.
Források: WireGuard: Quick Start; OPNsense: WireGuard Site-to-Site; IETF RFC 7296: IKEv2; Mplify/MEF 70.2: SD-WAN Service Attributes.