Was ist CPE?

Kundenseitige Geräte (Customer Premises Equipment, CPE) sind Netzwerkhardware, die am Standort eines Kunden – einer Niederlassung, einer Filiale oder einem Rechenzentrum – installiert ist und die WAN-Verbindungen eines Dienstanbieters abschließt sowie den Standort mit dem übergeordneten Netzwerk verbindet. Bei einer SD-WAN-Bereitstellung nach dem „ Versa “-Prinzip ist das CPE das VOS-Niederlassungsgerät, das jede WAN-Verbindung, jeden Tunnel und jede Richtlinie an diesem Standort verankert.

Die wichtigsten Erkenntnisse

• CPE bezeichnet die Netzwerkgeräte, die am physischen Standort eines Kunden installiert sind.
• Es schließt WAN-Verbindungen – MPLS, Internet, LTE/5G – vom Anbieter ab.
• Die Bereitstellungen reichen von einem einzelnen CPE bis hin zu Active-Active-HA-CPE-Paaren.
• Das CPE kann sich im Besitz eines Dienstanbieters oder des Unternehmens selbst befinden und von diesem verwaltet werden.
• VersaDas VOS-Branch-Gerät ist das CPE, auf dem SD-WAN und Sicherheitsfunktionen ausgeführt werden.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · CPE & Versa · Häufig gestellte Fragen

Warum ist CPE wichtig?

Jede WAN-Verbindung, die ein Unternehmen abschließt – sei es MPLS, Breitband-Internet, LTE oder 5G –, muss irgendwo auf der Kundenseite enden, und dieser Ort ist das CPE. Es ist das Grenzzugerät zwischen dem Netzwerk des Anbieters und dem kundeneigenen LAN, was es zum einzigen Punkt macht, an dem Routing, Sicherheit und SD-WAN-Richtlinien für einen Standort tatsächlich zum Tragen kommen.

Die Wahl der CPE-Geräte beeinflusst die Ausfallsicherheit und die Kosten. Eine Zweigstelle mit einem einzigen CPE-Gerät lässt sich einfach bereitstellen, verfügt jedoch über keine lokale Hardware-Redundanz; eine Zweigstelle mit zwei CPE-Geräten in einer Aktiv-Aktiv- oder Aktiv-Standby-Hochverfügbarkeitskonfiguration übersteht einen Geräteausfall ohne Unterbrechung – allerdings auf Kosten eines zusätzlichen Geräts und einer Querverbindung. Da sich das CPE am Netzwerkrand befindet, trägt es auch die operative Last: Die Durchsetzung von Firewall-Regeln, die VRRP-Gateway-Redundanz für das LAN, die BFD-basierte schnelle Fehlererkennung und der Export von Nutzungsstatistiken laufen alle darauf ab. Die richtige Wahl des CPE-Modells – wie viele Geräte, welche Übertragungswege und wer sie verwaltet – ist eine der ersten Entscheidungen bei jedem WAN- oder SD-WAN-Entwurf.

Was ist CPE?

CPE umfasst jedes Gerät, das sich am physischen Standort eines Kunden befindet und diesen Standort mit dem Netzwerk eines Anbieters verbindet – traditionell ein Modem oder Router, in SD-WAN-Bereitstellungen hingegen eine speziell entwickelte Edge-Appliance. Das CPE bildet auf der einen Seite den Abschluss des WAN-Transports (MPLS, Internet, LTE/5G) und auf der anderen Seite des Kunden-LANs und leitet den Datenverkehr zwischen beiden gemäß den auf dem Gerät konfigurierten Routing- und Sicherheitsrichtlinien weiter.

Wer Eigentümer des CPE ist, hängt vom jeweiligen Modell ab. Es kann vom Dienstanbieter im Auftrag des Unternehmens gehostet und verwaltet werden, vom Unternehmen selbst beschafft und verwaltet werden oder als virtuelle Instanz auf gemeinsam genutzten Rechenressourcen betrieben werden. Im SD-WAN-Kontext ist das CPE zudem der eigene Policy-Enforcement-Punkt des SD-WAN: Es betreibt die Overlay-Tunnel zu Controllern und anderen Standorten, wendet eine anwendungsorientierte Pfadauswahl über die verfügbaren Transportwege hinweg an und setzt in der Regel die Next-Generation-Firewall der Zweigstelle durch. Ein einzelnes CPE-Gerät kann zudem mehrere Mandanten gleichzeitig bedienen, wobei der Datenverkehr jedes Mandanten in einer eigenen virtuellen Routing- und Forwarding-Instanz verbleibt.

Arten von CPE

Die Bereitstellungen lassen sich im Allgemeinen in einige wenige Muster einteilen. Bei „Single CPE“ wird ein Gerät am Standort eingesetzt, das einen oder mehrere WAN-Transporte abwickelt – das einfachste Modell, das über eine Workflow-Vorlage konfigurierbar ist und sich für Single-Tenant- oder Multi-Tenant-Niederlassungen mit VRF-basierter Segmentierung eignet. Bei Dual-CPE mit Aktiv-Aktiv-Hochverfügbarkeit (HA) werden zwei Geräte über eine physische Cross-Connect-Verbindung gekoppelt, wobei jedes Gerät seinen eigenen WAN-Transport abwickelt und VRRP für Redundanz auf der LAN-Seite sorgt; beide Geräte übertragen den Datenverkehr gleichzeitig, allerdings werden NAT und Sitzungsstatus nicht zwischen ihnen synchronisiert. Dual-CPE, Aktiv-Standby-HA verzichtet auf die Querverbindung und verbindet stattdessen beide Verbindungen physisch mit beiden Geräten, wobei nur das aktive Gerät den Datenverkehr weiterleitet – einfachere Verkabelung, allerdings auf Kosten des Verlusts zustandsbehafteter Sitzungen beim Failover. Ein viertes Muster, das Universal-CPE (uCPE), ersetzt funktionsspezifische Hardware durch eine rechenfähige Plattform, die virtuelle Netzwerkfunktionen von Drittanbietern neben nativen SD-WAN-Diensten auf einem Gerät hosten kann. Die physischen Formfaktoren reichen von kleinen Filialgeräten bis hin zu Chassis mit höherem Durchsatz; virtuelles CPE lockert die Kopplung an die Hardware weiter, indem es als Instanz in einer privaten oder öffentlichen Cloud ausgeführt wird.

CPE & Versa

Bei einer SD-WAN-Bereitstellung mit „ Versa “ ist das CPE die VOS-Zweigstellen-Appliance – ein physisches Gerät (z. B. eine „ Versa “ CSG) oder eine virtuelle Instanz, die in einer Cloud wie Azure gehostet wird. Die Workflows von „Versa Director“ automatisieren die CPE-Bereitstellung für jede Topologie: Zweigstellen mit einem einzigen CPE, Aktiv-Aktiv-HA-Paare, die über eine Cross-Connect-Verbindung verbunden sind, sowie Aktiv-Standby-Paare, wobei in aktuellen Versionen bis zu 15 WAN-Verbindungen pro Mandant und Gerät unterstützt werden. Jedes CPE setzt für seinen Standort eine Next-Generation- und Stateful-Firewall durch, führt BFD zur schnellen Fehlererkennung gegenüber Kundenroutern durch und exportiert Nutzungsstatistiken an Analytics.

Zweigstellen, die ebenfalls an „Versa “ (SSE) angeschlossen sind, nutzen das CPE – in diesem Zusammenhang als „VOS-Zweigstelle“ bezeichnet –, um Site-to-Site-IPsec-Tunnel zu einem in der Cloud gehosteten Secure Cloud Gateway aufzubauen, wobei VRRP den Datenverkehr auf ein Standby-CPE umleitet, falls der aktive Tunnel ausfällt. Der „Consolidated SD-WAN Design Guide“ dokumentiert alle unterstützten CPE-Topologien und Best Practices.

Häufig gestellte Fragen

Was ist der Unterschied zwischen CPE und uCPE?

Standard-CPE ist in der Regel ein speziell für diesen Zweck entwickeltes Gerät, auf dem die Netzwerksoftware eines einzigen Anbieters läuft. Universal-CPE (uCPE) verfügt zusätzlich über Rechenkapazität, sodass auf demselben Gerät neben den nativen Diensten auch virtuelle Netzwerkfunktionen von Drittanbietern – beispielsweise eine virtualisierte Firewall oder ein WAN-Optimierer – gehostet werden können, wodurch mehrere separate Geräte zusammengefasst werden, die andernfalls erforderlich wären.

Wem gehört das CPE und wer verwaltet es?

Beides ist möglich. Ein Dienstleister kann das CPE im Rahmen eines Managed Service im Auftrag des Kunden hosten und verwalten, oder das Unternehmen kann das Gerät selbst beschaffen, bereitstellen und in seiner eigenen Kopfstelle betreiben – die Wahl wirkt sich auf die Zuständigkeit für den Support aus, nicht jedoch darauf, wie das Gerät im Netzwerk funktioniert.

Was ist der Unterschied zwischen Filialbereitstellungen mit einem CPE und solchen mit zwei CPEs?

In einer Zweigstelle mit einem CPE wird jedes WAN-Transportnetz am Standort über ein einziges Gerät terminiert – das ist einfach, bietet jedoch keine Hardware-Redundanz, falls dieses Gerät ausfällt. In einer Zweigstelle mit zwei CPEs werden zwei Geräte in einer Hochverfügbarkeitskonfiguration vom Typ „Aktiv-Aktiv“ oder „Aktiv-Standby“ gekoppelt, sodass ein Geräteausfall den Standort nicht außer Betrieb setzt.

Was ist eine Cross-Connect-Verbindung?

Eine Cross-Connect-Verbindung ist eine physische Verbindung zwischen zwei CPE-Geräten in einem Aktiv-Aktiv-HA-Paar. Sie leitet den Transportdatenverkehr jedes Geräts an dessen Partner weiter, sodass beide CPEs beide WAN-Leitungen nutzen können, obwohl jede Leitung physisch nur an einem der beiden Geräte endet.

Kann CPE virtuell statt als physische Hardware vorliegen?

Ja. Virtual CPE (vCPE) führt dieselben Netzwerkfunktionen als Software auf Standard-x86-Rechnern aus, anstatt auf dedizierter Appliance-Hardware – einschließlich als cloudgehostete Instanz bei einem Anbieter wie Azure –, wodurch speziell entwickelte Hardware zugunsten von Flexibilität und einfacher Skalierbarkeit aufgegeben wird.

Verwandte Begriffe

Wenn Sie sich gerade über CPE informieren, sollten Sie sich als Nächstes diese Artikel ansehen.