Was ist DIA?

Direct Internet Access (DIA) ist ein Modell für die Anbindung von Zweigstellen, bei dem der Internet- und SaaS-Datenverkehr direkt am Standort der Zweigstelle ins Internet geleitet wird, anstatt über das WAN zu einem zentralen Knotenpunkt zur Überprüfung weitergeleitet zu werden. Dadurch werden Latenzzeiten reduziert und Bandbreite in der Zentrale freigesetzt.

Die wichtigsten Erkenntnisse

• Leitet den für das Internet bestimmten Datenverkehr lokal in der Zweigstelle aus, nicht über einen Hub.
• Reduziert die Latenz und beseitigt „Hairpin-Hops“ beim SaaS- und Cloud-Datenverkehr.
• Benötigt an jedem Breakout-Punkt einen eigenen NAT- und Sicherheitsstack.
• Eine zentrale oder regionale Ausweichleitung dient als Reserve für eine ausgefallene lokale Leitung.
• Bei der leistungsbasierten Steuerung wird für jede App der schnellste DIA-Punkt ausgewählt.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · DIA & Versa · Häufig gestellte Fragen

Warum ist DIA wichtig?

Herkömmliche Filialnetzwerke leiten den gesamten Datenverkehr über eine private WAN-Verbindung an einen Hub weiter, wo er von einem zentralisierten Proxy- und Firewall-Stack geprüft wird, bevor er das Internet erreicht. Das war sinnvoll, als die Anwendungen noch im Rechenzentrum liefen, führt jedoch zu Latenz und beansprucht die Bandbreite des Hubs, was die Nutzererfahrung bei Cloud- und SaaS-Anwendungen beeinträchtigt, die den Hub gar nicht erst ansteuern mussten.

DIA ist von Bedeutung, weil zuverlässige Internetverbindungen den lokalen Netzwerkausgang wirtschaftlich gemacht haben und die Umstellung auf Public-Cloud- und SaaS-Plattformen wie Office 365 dies erforderlich gemacht hat. Durch die Ausleitung des Datenverkehrs in der Zweigstelle werden die Bandbreitenanforderungen in der Zentrale reduziert, Netzwerk-Hops vermieden und die Latenz verringert. Der Nachteil: Eine Zweigstelle, die Datenverkehr direkt ins Internet sendet, ist unmittelbar gefährdet. Daher müssen bei DIA-Konzepten Sicherheitsmaßnahmen einkalkuliert werden, die bei einem zentralisierten Netzwerkausgang früher kostenlos bereitgestellt wurden.

Was ist DIA?

Aus architektonischer Sicht basiert DIA auf Standard-Routing und nicht auf einem speziellen Protokoll. Intern wird eine logische Verbindung zwischen dem VRF eines Mandanten und dem virtuellen WAN-Transportrouter hergestellt, und der VRF nutzt EBGP, um eine Standardroute zu diesem Transport-VR anzukündigen, wobei der nächste Hop über den logischen Tunnel zwischen ihnen ermittelt wird. Der ausgehende Datenverkehr folgt dann dieser Route über die lokale WAN-Verbindung, anstatt das Overlay in Richtung eines Hubs zu durchqueren.

Eine NAT-Regel – NAPT oder CGNAT – leitet den gesamten ausgehenden LAN-Datenverkehr auf eine gemeinsam genutzte öffentliche IP-Adresse um, genauso wie ein Heimrouter ein privates Netzwerk hinter einer einzigen, nach außen gerichteten Adresse verbirgt. Dies unterscheidet sich von einem Split-Tunnel zu einem privaten Underlay, wie beispielsweise einem MPLS-Netzwerk: Bei DIA wird immer NAT angewendet, während dies bei einem privaten Split-Tunnel in der Regel nicht der Fall ist.

Arten von DIA

DIA-Implementierungen lassen sich in einige gängige Muster einordnen, wobei die meisten Konzepte mehrere davon kombinieren. Beim lokalen Breakout wird der Internetverkehr jeder Niederlassung über die eigene WAN-Verbindung geleitet – das Basismodell, das die meisten Vorteile von DIA nutzt. Der zentrale oder regionale Breakout dient als Backup: Eine weniger bevorzugte Standardroute führt zu einem Hub oder einem regionalen Standort und wird automatisch aktiviert, wenn die lokale Verbindung ausfällt. Beim anwendungsbasierten Breakout wird bestimmter Datenverkehr, wie beispielsweise eine namentlich benannte SaaS-Anwendung, lokal weitergeleitet, während der übrige Datenverkehr zentral geroutet wird, wodurch das Risiko auf vertrauenswürdige Anwendungen beschränkt bleibt. Der leistungsbasierte Breakout geht noch einen Schritt weiter und nutzt Latenz- und Verlustmessungen, um automatisch den besten Breakout-Punkt – lokal oder remote – für jede einzelne Anwendung auszuwählen.

DIA & Versa

Auf VOS-Edge-Geräten wird DIA über „ Versa “-Director-Workflows statt über manuell konfiguriertes Routing eingerichtet: Die Aktivierung von DIA für einen Tunnel automatisiert das EBGP-Peering zwischen der Transport-VR und der LAN-VR und richtet die CGNAT-Funktion ein, die den ausgehenden Datenverkehr übersetzt. WAN-Verbindungen können zur Lastverteilung eine gemeinsame lokale BGP-Präferenz nutzen oder unterschiedliche Präferenzen für eine „Local-with-Central-Backup“-Redundanz verwenden, wie im „Consolidated SD-WAN Design Guide“ und im „Versa SD-WAN Design Guide“ ausführlich beschrieben.

Da eine DIA-Verbindung direkt mit dem Internet verbunden ist, empfiehlt „ Versa “, jede Firewall-Regel, die in Richtung DIA gerichtet ist, mit IDS/IPS und Antivirus-Funktionen auszustatten und dabei die SSL-Entschlüsselung zu aktivieren, damit verschlüsselte Datenströme tatsächlich überprüft werden können. Dank der SaaS-Anwendungsüberwachung und der DNS-Proxy-Funktionen von „ Versa“ wählt ein Weiterleitungsprofil automatisch den Breakout-Punkt mit der geringsten Latenz aus, sodass bei einer leistungsbasierten DIA-Verbindung keine manuelle Zuordnung von Anwendungen zu einem bestimmten Pfad erforderlich ist.

Häufig gestellte Fragen

Was ist der Unterschied zwischen DIA und einem Split-Tunnel?

DIA ist eine spezielle Art von Split-Tunnel: Dabei wird der für das Internet bestimmte Datenverkehr lokal abgezweigt und mittels NAT verarbeitet, um die LAN-Adressen hinter einer öffentlichen IP-Adresse zu verbergen. Bei einem Split-Tunnel zu einem privaten Underlay, wie beispielsweise einem MPLS-Netzwerk, entfällt in der Regel der NAT-Schritt, da es keine Adresse gibt, die vor einem vertrauenswürdigen Netzwerk verborgen werden muss.

Warum benötigt die DIA zusätzliche Sicherheitsmaßnahmen in der Filiale?

Ein zentraler Ausgangspunkt ermöglicht es, den gesamten Internetverkehr über eine einzige Firewall und einen einzigen Proxy-Stack zu überwachen. DIA beseitigt diesen Engpass, sodass jede Niederlassung, die lokal auf das Internet zugreift, zu einem eigenen Angriffspunkt wird und über ein eigenes IDS/IPS sowie einen eigenen Virenschutz verfügen muss, um das gleiche Sicherheitsniveau aufrechtzuerhalten.

Kann DIA über mehrere WAN-Verbindungen hinweg redundant ausgelegt werden?

Ja. Eine Zweigstelle kann eine Standardroute von jeder WAN-Verbindung mit unterschiedlichen BGP-Lokalpräferenzen ankündigen, sodass eine Verbindung als primäre Verbindung fungiert und eine andere automatisch übernimmt, falls diese ausfällt, oder jede Verbindung auf dieselbe Präferenz einstellen, um einen aktiven Lastausgleich zwischen ihnen zu gewährleisten.

Wie funktioniert das anwendungsbasierte Breakout?

Ein SD-WAN-Weiterleitungsprofil und eine Richtlinienregel sind auf eine bestimmte Anwendung, beispielsweise eine namentlich genannte SaaS-Anwendung, abgestimmt und leiten ausschließlich diesen Datenverkehr an einen lokalen nächsten Hop weiter, während der übrige Internetdatenverkehr der Zweigstelle weiterhin die Standardroute zu einem zentralen oder regionalen Breakout nutzt.

Ist für DIA immer NAT erforderlich?

Ja, speziell für den Internet-Breakout. Die DIA-Konfiguration erstellt eine NAT-Regel, die ausgehenden LAN-Datenverkehr auf eine gemeinsam genutzte öffentliche IP-Adresse umsetzt. Ein Split-Tunnel-Breakout zu einem privaten Underlay erfordert dies nicht, da dabei keine LAN-Adressen ins öffentliche Internet gelangen.

Verwandte Begriffe

Wenn Sie sich gerade über DIA informieren, sollten Sie sich als Nächstes diese Artikel ansehen.