Was ist eine Filiale?

Eine Zweigstelle ist ein entfernter Standort, der mit dem Weitverkehrsnetz (WAN) einer Organisation verbunden ist – in der Regel über eine oder mehrere WAN-Verbindungen, die an einem Zweigstellen-Gerät (CPE) enden –, sodass die dortigen Benutzer und Geräte gemäß den Netzwerk- und Sicherheitsrichtlinien auf Ressourcen des Rechenzentrums, das Internet und andere Zweigstellen zugreifen können.

Die wichtigsten Erkenntnisse

• Eine Zweigstelle ist ein Standort, der über ein CPE-Gerät mit dem WAN verbunden ist.
• SD-WAN-Niederlassungen bauen Overlay-Tunnel zu Hubs, Peers und der Cloud auf.
• Bei „Branch HA“ werden zwei Geräte im Aktiv-Aktiv- oder Aktiv-Standby-Modus gekoppelt.
• Die Wahl der Topologie – Vollvernetzung, Hub-and-Spoke-Struktur, Teilvernetzung – bestimmt die Reichweite.
• Durch den direkten Internetzugang können Filialen ihre Verbindungen lokal und nicht zentral herstellen.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · Zweigstellen & Versa · Häufig gestellte Fragen

Warum sind Zweige wichtig?

Eine Niederlassung ist der Ort, an dem die Geschäftstätigkeit einer Organisation tatsächlich stattfindet – ein Verkaufsschalter, eine Klinik, eine Produktionshalle, eine Regionalniederlassung – und sie bildet den Rand des WAN, an dem lokale Nutzer und Geräte auf die Leitungen, Richtlinien und Sicherheitsmaßnahmen treffen, die sie mit allem anderen verbinden. Wie gut sie konzipiert ist, entscheidet darüber, ob ein Ausfall den Standort offline schaltet oder ob ein transparenter Failover erfolgt.

Zweigstellen sind aus betrieblicher Sicht von Bedeutung, da es in der Regel viele davon gibt und jede einzelne eine potenzielle Schwachstelle darstellt – eine falsch konfigurierte Zweigstelle kann Datenverkehr nach außen durchlassen, eine Verbindung unterbrechen oder zum Schwachpunkt werden, über den ein Angreifer eindringen kann. SD-WAN hat das Konzept der Zweigstelle neu definiert: Statt einer festen Verbindung, die über ein Rechenzentrum zurückgeführt wird, handelt es sich nun um einen richtliniengesteuerten Edge-Knoten, der direkt mit der Cloud, einem Hub oder einer anderen Zweigstelle verbunden ist.

Was ist eine Filiale?

Eine Zweigstelle ist im Wesentlichen ein Standort mit einer oder mehreren WAN-Verbindungen – Internet, MPLS, LTE/5G –, die an einem Gerät am Kundenstandort (CPE) enden: einem Router oder einer SD-WAN-Appliance, die die Anbindung für das dahinterliegende LAN bereitstellt. In einer SD-WAN-Umgebung läuft auf dieser Appliance SD-WAN-Software, sie registriert sich bei einem Controller für ihre Steuerungsebene und baut verschlüsselte Overlay-Tunnel über die Underlay-Verbindungen auf, um einen Hub, ein Rechenzentrum, die Cloud oder andere Zweigstellen direkt zu erreichen.

Was eine Zweigstelle erreichen kann, wird durch Richtlinien bestimmt und nicht durch feste Verkabelung: Ein und dasselbe Gerät kann als „Spoke“ fungieren, das nur mit einem „Hub“ kommuniziert, als Teilnehmer eines Vollnetzwerks, das jeden Peer direkt erreicht, oder als mandantenfähiges Gerät, das mehrere Organisationen gleichzeitig bedient – und das alles ohne Austausch der Hardware.

Arten von Zweigstellenbereitstellungen

Die Konfiguration von Zweigstellen hängt hauptsächlich davon ab, über wie viele CPE-Geräte und WAN-Verbindungen ein Standort verfügt. Eine Zweigstelle mit einem einzigen CPE-Gerät schließt eine oder mehrere WAN-Verbindungen – in der Regel Internet und MPLS, manchmal mit LTE als Backup – an einem Gerät an; dies ist die einfachste und gängigste Konfiguration. Eine Zweigstelle mit zwei CPE-Geräten im Aktiv-Aktiv-Betrieb besteht aus zwei Geräten, von denen jedes seine eigene Transportverbindung abschließt; sie sind über eine physische Cross-Connect-Verbindung miteinander verbunden, sodass jedes Gerät bei Ausfall seiner eigenen Verbindung auf die Transportverbindung des anderen zugreifen kann – das Standard-HA-Modell neben einem weniger verbreiteten Aktiv-Standby-Modus. Eine LTE-Zweigstelle im Hot-Standby-Modus hält eine Mobilfunkverbindung für SLA-Prüfungen aufrecht, leitet den Datenverkehr jedoch erst weiter, wenn die kabelgebundenen Verbindungen ausfallen. Einige Zweigstellen fungieren zudem als Gateway- oder Transit-Zweigstellen und leiten den Datenverkehr zwischen Standorten weiter, die über kein gemeinsames Underlay verfügen.

Filialen & Versa

In der Architektur von „ Versa“ wird in einer Zweigstelle ein VOS-Gerät (Versa -Betriebssystem) betrieben – eine physische Appliance wie beispielsweise ein CSG oder eine virtuelle Instanz in einer öffentlichen Cloud –, das für die Steuerungsebene mit den Controller-Knoten der Kopfstelle und für die Konfiguration sowie den Lebenszyklus mit dem Director verbunden ist. Die Hochverfügbarkeit der Zweigstelle, die Topologie (Vollmaschennetz, Hub-and-Spoke, Spoke-to-Spoke über Hub, Teilmaschennetz oder regionales Spoke-Hub-Hub-Spoke) sowie der direkte Internetzugang werden alle über Director-Workflow-Vorlagen konfiguriert und nicht geräteweise. Informationen zu Bereitstellungsoptionen und Topologie-Abwägungen finden Sie im konsolidierten SD-WAN-Designleitfaden und im SD-WAN-Designleitfaden „Versa “.

Die Zweigstellen erstrecken sich auch auf SASE: Während die in der Cloud gehosteten SSE-Lösungen von Secure SD-WAN und Versaauf separater Infrastruktur laufen, baut das VOS-Gerät einer Zweigstelle Site-to-Site-IPsec-Tunnel zu einem Versa Cloud Gateway auf, sodass Benutzer in den Zweigstellen SWG-, CASB- und ZTNA-Richtlinien ohne separate Zugriffsmethode erhalten. Informationen zu den Tunneltopologien finden Sie unterVersa Secure SD-WAN Integration mit Versa SSE.

Häufig gestellte Fragen

Was ist der Unterschied zwischen einer Zweigstelle und einem Knotenpunkt?

Eine Zweigstelle ist ein Randstandort – ein Büro, ein Geschäft oder ein entlegener Standort –, während ein Hub ein Standort ist, über den andere Zweigstellen miteinander verbunden sind. Ein und derselbe Gerätetyp kann für beide Rollen konfiguriert werden; der Unterschied liegt in der topologischen Rolle, nicht in der Hardware.

Was verbindet eine Zweigstelle mit dem Rest des WAN?

Eine oder mehrere WAN-Verbindungen (Internet, MPLS, LTE/5G) enden an der CPE-Gerät der Zweigstelle, das je nach konfigurierter Topologie und Richtlinie verschlüsselte Overlay-Tunnel über diese Verbindungen zu einem Controller, einem Hub, einem Rechenzentrum oder anderen Zweigstellen aufbaut.

Was ist Branch-HA und warum ist das wichtig?

Bei der Hochverfügbarkeitslösung für Zweigstellen werden zwei Geräte an einem Standort gekoppelt, meist im Aktiv-Aktiv-Modus über eine Cross-Connect-Verbindung, sodass ein Ausfall eines Geräts oder einer WAN-Verbindung nicht dazu führt, dass der Standort offline geht. Eine Zweigstelle mit nur einem Gerät verfügt über kein lokales Failover, falls dieses Gerät ausfällt.

Was ist ein direkter Internetzugang (DIA) in einer Filiale?

Mit DIA kann eine Zweigstelle den für das Internet und SaaS bestimmten Datenverkehr direkt über ihre lokale Verbindung weiterleiten, anstatt ihn über einen zentralen Knotenpunkt zurückzuführen. Dies verbessert die Leistung von Cloud-Anwendungen, erfordert jedoch lokale Sicherheitsmaßnahmen, da die Zweigstelle selbst zum Internet-Edge wird.

Kann ein einzelnes Branch-Gerät mehrere Mandanten bedienen?

Ja. Ein „ Versa “-VOS-Edge-Gerät unterstützt Multitenancy nativ: Jede Organisation auf dem Gerät erhält eine eigene VRF-Instanz (Virtual Routing and Forwarding) und einen eigenen Richtlinien-Satz, sodass ein physisches oder virtuelles Gerät mehrere separate Kunden oder Geschäftsbereiche gleichzeitig bedienen kann.

Mehr zum Thema Zweigstellen

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade mit Zweigen beschäftigen, sollten Sie sich als Nächstes diese hier ansehen.