Was ist „Local Breakout“?

„Local Breakout“ (LBO) ist ein SD-WAN-Verfahren, bei dem vertrauenswürdiger Internet- und SaaS-bezogener Datenverkehr aus den Zweigstellen direkt am lokalen Standort ins Internet geleitet wird, anstatt ihn zur Überprüfung und zum Ausgang über das WAN zu einem zentralen Knotenpunkt oder Rechenzentrum weiterzuleiten. Dadurch werden Latenzzeiten reduziert und WAN-Bandbreite freigesetzt.

Die wichtigsten Erkenntnisse

• LBO leitet den Internetverkehr der Zweigstelle lokal weiter und umgeht dabei den Backhaul.
• Reduziert die Latenz und die WAN-Auslastung des Rechenzentrums im Vergleich zum Central Breakout (CBO).
• Gilt für den gesamten Datenverkehr oder nur für ausgewählte vertrauenswürdige Anwendungen.
• Erfordert zusätzliche Sicherheit in den Zweigstellen, da der Datenverkehr die Überprüfung am Hub umgeht.
• Erschwert zentralisierte Kontrollmechanismen wie die vertrauenswürdigen IP-Listen von Azure AD MFA.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · Lokaler Ausbruch & Versa · Häufig gestellte Fragen

Warum ist „Local Breakout“ wichtig?

Bei herkömmlichen WAN-Konzepten wird der Internetverkehr jeder Niederlassung über MPLS zurück zu einem Hub oder Rechenzentrum geleitet, wo er von einem zentralen Proxy oder einer Firewall geprüft wird, bevor er das Internet erreicht. Das funktionierte, solange sich die Anwendungen im Rechenzentrum befanden. Da Workloads jedoch zunehmend in die öffentliche Cloud und auf SaaS-Plattformen wie Microsoft 365 verlagert werden, verursacht das Umleiten des Datenverkehrs aus den Zweigstellen über einen zentralen Standort zusätzliche Latenz, beansprucht teure WAN-Bandbreite und erfordert, dass die Netzwerkausrüstung des Hubs für Datenverkehr skaliert wird, den sie zuvor nie verarbeiten musste.

LBO ist wichtig, weil es diesen Umweg beseitigt: Datenverkehr, der für vertrauenswürdige Internet- oder SaaS-Ziele bestimmt ist, wird direkt in der Zweigstelle über die jeweils verfügbare lokale Internetverbindung weitergeleitet. Das Ergebnis sind weniger Netzwerk-Hops, ein besserer Durchsatz für Cloud- und SaaS-Anwendungen sowie geringere Bandbreiten- und Ausrüstungskosten im Rechenzentrum. Der Nachteil dabei ist, dass eine Zweigstelle, die Datenverkehr direkt ins Internet sendet, über eigene Sicherheitskontrollen verfügen muss, da sie nicht mehr durch den zentralen Kontrollpunkt geschützt ist.

Was ist „Local Breakout“?

Technisch gesehen ist LBO eine Form des direkten Internetzugangs (DIA), die über Standard-Routing realisiert wird. Eine logische Verbindung verbindet das VRF des Mandanten in der Zweigstelle mit dem virtuellen WAN-Transportrouter, und EBGP gibt eine Standardroute über diese Verbindung bekannt, sodass der Datenverkehr der Zweigstelle den lokalen Pfad gegenüber allen aus dem SD-WAN-Overlay erlernten Routen bevorzugt. Eine NAT/CGNAT-Regel übersetzt ausgehenden LAN-Datenverkehr in die öffentliche WAN-Adresse der Zweigstelle, bevor er das Netzwerk verlässt.

Administratoren konfigurieren LBO über SD-WAN-Richtlinien zur Datenverkehrssteuerung: Weiterleitungsprofile wählen den lokalen Breakout-Punkt als nächsten Hop für Datenverkehr aus, der bestimmte Kriterien erfüllt, während der übrige Datenverkehr weiterhin der Standardroute zu einem zentralen oder regionalen Breakout-Punkt folgen kann. Dieselbe Infrastruktur unterstützt auch eine leistungsbasierte Auswahl, bei der das SD-WAN die Latenz und den Datenverlust über lokale und entfernte Breakout-Pfade misst und jede Sitzung an den Pfad mit der besten Leistung weiterleitet.

Arten des lokalen Ausbruchs

Die Bereitstellung erfolgt in der Regel in einer von drei Formen. Beim vollständigen (standardmäßigen) lokalen Breakout wird der gesamte für das Internet bestimmte Datenverkehr der Zweigstelle lokal weitergeleitet – das einfachste Modell, das sich für Zweigstellen eignet, bei denen die lokale Verbindung und deren Sicherheitskontrollen als vertrauenswürdig gelten. Beim anwendungsbasierten (selektiven) lokalen Breakout werden nur bestimmte Anwendungen oder SaaS-Gruppen – wie Microsoft 365 oder Salesforce – lokal weitergeleitet, während der übrige Datenverkehr weiterhin an einen zentralen oder regionalen Breakout-Punkt geleitet wird; dies ist das gängigere Produktionsmodell, da es die lokale Exposition auf eine definierte, vertrauenswürdige Gruppe von Zielen beschränkt. Der hybride lokale und zentrale „Breakout“ kombiniert beide Ansätze nach Richtlinien, indem beispielsweise Identitäts- und Authentifizierungsdatenverkehr zentral weitergeleitet wird, sodass er von einer kleinen Gruppe bekannter IP-Adressen stammt, während allgemeiner SaaS-Datenverkehr aus Leistungsgründen lokal weitergeleitet wird. Welches Muster geeignet ist, hängt davon ab, inwieweit der lokalen Verbindung einer Zweigstelle und dem verfügbaren Sicherheitsstack bei ungefiltertem ausgehendem Internetverkehr vertraut werden kann.

Lokaler Ausbruch & Versa

Versa Secure SD-WAN Implementiert LBO auf VOS-Edge-Geräten unter Verwendung der oben beschriebenen EBGP/CGNAT-Architektur, die über Director-Workflows auf der Registerkarte „Tunnels“ einer Gerätevorlage konfiguriert wird, mit der Option, eine lokale Standardroute zur Redundanz durch eine zentral oder regional bereitgestellte Route abzusichern. Der „Versa “ SD-WAN-Entwurfsleitfaden behandelt dieselben anwendungs- und leistungsbasierten Breakout-Entwürfe ausführlich, einschließlich SD-WAN-Richtlinienregeln, Weiterleitungsprofilen sowie den passiven und aktiven Überwachungs Versa en, die verwendet werden, um den leistungsstärksten Breakout-Pfad für SaaS-Datenverkehr wie Salesforce oder Microsoft 365 auszuwählen.

Versa beschreibt außerdem ein hybrides Konzept für Unternehmen, die Azure Active Directory MFA nutzen: Durch die Kombination von LBO mit zentral ausgegliedertem Authentifizierungsdatenverkehr bleibt die Liste der vertrauenswürdigen IP-Adressen für Azure AD MFA klein und stabil, während zugelassener SaaS-Datenverkehr weiterhin lokal in jeder Niederlassung ausgegliedert werden kann – einschließlich Niederlassungen mit dynamisch zugewiesenen WAN-Adressen.

Häufig gestellte Fragen

Was ist der Unterschied zwischen „Local Breakout“ und „Central Breakout“ (CBO)?

Beim „Local Breakout“ (LBO) wird der Internetverkehr der Zweigstelle direkt vor Ort ins Internet geleitet. Beim „Central Breakout“ (CBO) hingegen wird er über das WAN an einen zentralen Standort – ein Rechenzentrum oder die Zentrale – weitergeleitet, wo er vor dem Verlassen des Netzes überprüft wird. Beim CBO wird Leistung zugunsten einer zentralisierten Steuerung geopfert; beim LBO wird ein Teil der zentralisierten Steuerung zugunsten der Leistung aufgegeben.

Ist „Local Breakout“ dasselbe wie „Direct Internet Access“ (DIA)?

Im Grunde genommen ja, wie in der SD-WAN-Dokumentation von Versabeschrieben: DIA bezeichnet die Weiterleitung des Datenverkehrs ins Internet an der Zweigstelle, und „Local Breakout“ ist der Begriff für denselben, von der Zweigstelle ausgehenden Datenverkehr – im Gegensatz zur Weiterleitung dieses Datenverkehrs an einen zentralen Breakout-Punkt.

Erhöht ein lokaler Breakout das Sicherheitsrisiko?

Das ist möglich, da der Datenverkehr nicht mehr über einen zentralen Kontrollpunkt geleitet wird. Niederlassungen, die LBO nutzen, benötigen in der Regel einen eigenen Schutz – eine Next-Generation-Firewall-Funktion auf dem SD-WAN-Edge-Gerät oder einen Cloud-Sicherheitsdienst –, um die Richtlinien durchzusetzen, die andernfalls von einem zentralen Hub angewendet worden wären.

Wie wirkt sich „Local Breakout“ auf die vertrauenswürdigen IP-Listen von Azure AD MFA aus?

Jede Niederlassung, die LBO nutzt, leitet Benutzer über ihre eigene öffentliche IP-Adresse an Azure AD weiter, sodass die Liste der vertrauenswürdigen IP-Adressen, die zur Umgehung der MFA benötigt wird, mit jedem Standort wächst und bei Niederlassungen mit dynamischen WAN-Adressen nicht mehr funktioniert. Dies lässt sich vermeiden, indem nur der Authentifizierungsdatenverkehr zentral geroutet wird, während der übrige SaaS-Datenverkehr weiterhin über LBO läuft.

Kann eine Zweigstelle für unterschiedliche Datenverkehrstypen lokale und zentrale Breakout-Lösungen kombinieren?

Ja. SD-WAN-Richtlinien zur Datenverkehrssteuerung können bestimmte Anwendungen, wie beispielsweise einen Identitätsanbieter, identifizieren und diese über ein Weiterleitungsprofil zwingend über einen zentralen Breakout-Punkt leiten, während eine Standard- oder Catch-All-Regel alles andere lokal weiterleitet – das ist das hybride Design, das in den meisten Produktionsumgebungen zum Einsatz kommt.

Mehr zum Thema „Local Breakout“

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über „Local Breakout“ informieren, sollten Sie sich als Nächstes diese Artikel ansehen.