Was ist ein Overlay-Netzwerk?

Ein Overlay-Netzwerk ist ein logisches Netzwerk, das mithilfe von Tunneln wie IPsec und VXLAN auf einem oder mehreren Underlay-Transportnetzen – Internet, MPLS oder LTE – aufgebaut ist. Es fasst Standorte und Clouds zu einer adressierbaren Struktur zusammen, unabhängig von den darunter liegenden Leitungen, über die der Datenverkehr übertragen wird.

Die wichtigsten Erkenntnisse

• Overlay-Tunnel abstrahieren den Datenverkehr von dem jeweiligen Underlay-Transport, über den er übertragen wird.
• IPsec verschlüsselt den Overlay-Datenverkehr; VXLAN überträgt stattdessen das Overlay im Klartext.
• SD-WAN baut Overlay-Topologien mit MP-BGP auf, nicht durch manuelles Routing für jeden Standort.
• Gängige Overlay-Topologien sind Vollmaschen-, Hub-and-Spoke- und regionale Maschen-Topologien.
• Die Overlay-IP-Adressierung wird einmalig bei der Einrichtung des Directors festgelegt und kann später nicht mehr geändert werden.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Überlagerte Netzwerktopologien · Overlay- Networks en & Versa · Häufig gestellte Fragen

Warum sind Overlay-Netzwerke wichtig?

Unternehmen kontrollieren das physische Netzwerk selten durchgängig von Ende zu Ende. Zweigstellen sind über eine Mischung aus Breitband-, MPLS- und LTE-Verbindungen verschiedener Anbieter mit der Zentrale und der Cloud verbunden, wobei jeder Anbieter seine eigene Adressierung und Vertrauensstufe hat. Ein Overlay-Netzwerk löst diese Fragmentierung, indem es eine einzige logische, durchgängig adressierbare Struktur über alle Standorte hinweg aufbaut, unabhängig davon, über welche Underlay-Verbindung die Pakete übertragen werden. Tunnel verlaufen über jeden erreichbaren IP-Pfad, sodass das Hinzufügen eines Standorts oder der Wechsel des Anbieters keine Neugestaltung des Routings erfordert.

Overlays entkoppeln zudem die Sicherheit vom Transport. Verschlüsselte Tunnel schützen Daten durchgehend, sodass der Datenverkehr über das öffentliche Internet denselben Schutz genießt wie der Datenverkehr über eine private MPLS-Leitung, ohne dass man dem Netzbetreiber vertrauen muss. Speziell für SD-WAN ist es das Overlay, das eine anwendungsorientierte Leitwegsteuerung ermöglicht: Ohne eine stabile logische Struktur über den sich ständig ändernden physischen Verbindungen gibt es keinen konsistenten Anknüpfungspunkt für die Wegauswahl und die Durchsetzung von Richtlinien.

Was ist ein Overlay-Netzwerk?

Ein Overlay-Netzwerk besteht aus einer Reihe logischer Tunnel, die auf einem oder mehreren physischen Underlay-Transporten aufgesetzt sind. SD-WAN baut in der Regel zwischen jedem Standortpaar zwei Overlays auf: ein verschlüsseltes Overlay unter Verwendung von IPsec und ein Klartext-Overlay unter Verwendung von VXLAN, wobei die Wahl je nach Datenfluss davon abhängt, ob eine Verschlüsselung erforderlich ist. Die Daten werden standardmäßig über das verschlüsselte Overlay übertragen, allerdings können Administratoren pro WAN-Schnittstelle einen Klartext-Transport definieren – was bei einer bereits gesicherten Verbindung wie einem MPLS-Layer-3-VPN nützlich ist – oder dies dynamisch über eine Richtlinie vornehmen, die die Verschlüsselung für bereits verschlüsselten Datenverkehr, wie beispielsweise HTTPS, deaktiviert.

Overlay-Routen werden über MP-BGP ausgetauscht, wobei Community-Strings und Import-/Export-Richtlinien verwendet werden, um die gewünschte Topologie aufzubauen. Da das Overlay rein logischer Natur ist, ist seine IP-Adressierung unabhängig vom Underlay: Die Adressen werden einmalig aus einem für die Bereitstellung dimensionierten Pool ausgewählt und bleiben unabhängig davon, welche physische Verbindung darunter aktiv ist, weiter routingfähig.

Overlay-Netzwerktopologien

Die Form eines Overlays – und nicht die darunterliegende physische Verkabelung – bestimmt, wie Standorte tatsächlich miteinander kommunizieren. Bei einer Vollmaschenverbindung wird jede Zweigstelle über Overlay-Tunnel direkt mit jeder anderen Zweigstelle verbunden, wodurch ein zentraler Transitpunkt vermieden wird; dies eignet sich für Sprachverkehr und verteilte Sicherheitsarchitekturen, bei denen ein Hub zu Verzögerungen führen würde. Bei der Hub-and-Spoke-Architektur wird der Spoke-Verkehr über einen Hub geleitet, wobei die Varianten von „nur Spoke-zu-Hub“ (Spokes kommunizieren nie miteinander) über „Spoke-zu-Spoke über einen Hub“ und „direktes Spoke-zu-Spoke innerhalb einer Spoke-Gruppe“ bis hin zu einem gemischten Partial-Mesh-Design reichen. Regional-Mesh-Strukturen (Spoke-Hub-Hub-Spoke) gruppieren Zweigstellen nach Regionen, wobei innerhalb einer Region beliebige Topologien verwendet werden und der regionenübergreifende Datenverkehr über regionale Hubs geleitet wird. Multi-VRF-Overlays (Multitenancy) sorgen dafür, dass verschiedene Organisationen auf einer gemeinsam genutzten Infrastruktur mithilfe unterschiedlicher VRFs logisch voneinander isoliert bleiben.

All diese Lösungen nutzen denselben Mechanismus – MP-BGP-Communities und Import-/Export-Richtlinien –, sodass bei einer Bereitstellung Topologien je nach Niederlassung oder Region kombiniert werden können, ohne dass physische Verkabelungen angepasst werden müssen.

Overlay- Networks & Versa

VersaDie SD-WAN-Struktur von [Name] ist Overlay-basiert: Zweigstellen und Hubs verbinden sich mit einem Controller-Knoten, der die Steuerungs- und Verwaltungsebene bildet, und Topologien werden über Director-Workflows mithilfe von MP-BGP-Communities erstellt, anstatt manuell für jeden Standort einzeln konfiguriert zu werden. Der Artikel zu SD-WAN-Overlay-Netzwerken behandelt die von „ Versa “ standardmäßig erstellten Tunnelpaare aus verschlüsseltem IPsec und unverschlüsseltem VXLAN sowie die Auswahl zwischen verschlüsseltem und unverschlüsseltem Transport pro WAN-Schnittstelle oder pro SD-WAN-Richtlinie. Der konsolidierte SD-WAN-Entwurfsleitfaden und der SD-WAN-Entwurfsleitfaden „Versa “ behandeln die unterstützten Topologien – Full-Mesh, Hub-and-Spoke-Varianten, regionales Mesh und Multi-VRF – mit Anleitungen zur SLA-Überwachung und Skalierung für große Bereitstellungen. Die Overlay-IP-Adressierung wird einmalig bei der Ersteinrichtung des Directors konfiguriert und kann danach nicht mehr geändert werden. Daher muss bereits am ersten Tag entschieden werden, welche Methode verwendet wird und welches Subnetz für die Bereitstellung groß genug ist. Da Routen und Topologie workflowgesteuert sind, ist die Umgestaltung einer Bereitstellung eine Änderung der Richtlinien und keine Umverkabelung.

Häufig gestellte Fragen

Was ist der Unterschied zwischen einem Overlay-Netzwerk und einem Underlay-Netzwerk?

Das Underlay ist die physische oder anbieterbezogene Transportschicht – Internet, MPLS, LTE –, über die Pakete übertragen werden. Das Overlay ist das darauf aufbauende logische Netzwerk aus Tunneln. Der Overlay-Verkehr erreicht sein Ziel, solange eine Underlay-Verbindung die Erreichbarkeit gewährleistet.

Ist der Datenverkehr im Overlay-Netzwerk immer verschlüsselt?

Nicht unbedingt. SD-WAN-Overlays bauen in der Regel sowohl einen verschlüsselten IPsec-Tunnel als auch einen VXLAN-Tunnel im Klartext auf. Die Daten werden standardmäßig über den verschlüsselten Tunnel übertragen, aber Administratoren können den Transport im Klartext auf gesicherten Leitungen wie MPLS zulassen oder die Verschlüsselung für bereits verschlüsselten Datenverkehr wie HTTPS deaktivieren.

Welche Topologien kann ein SD-WAN-Overlay nutzen?

VersaDas SD-WAN-Overlay des Anbieters unterstützt Full-Mesh, verschiedene Hub-and-Spoke-Varianten (nur Spoke-zu-Hub, Spoke-zu-Spoke über einen Hub, Spoke-zu-Spoke direkt), regionales Mesh (Spoke-Hub-Hub-Spoke) sowie Multi-VRF-Multitenancy. Alle Lösungen basieren auf MP-BGP-Communities und Import-Richtlinien, die über Director-Workflows statt durch manuelle Routing-Änderungen konfiguriert werden.

Kann die Overlay-IP-Adressierung nach der Bereitstellung geändert werden?

Nein. Die Methode zur IP-Adressvergabe über Overlay sowie der Adresspool werden einmalig bei der Erst Versa von Director konfiguriert und können anschließend nicht mehr geändert werden. Administratoren müssen von Anfang an die richtige Methode wählen und ein Subnetz zuweisen, das groß genug für die erwartete Größe der Bereitstellung ist.

Wie gelangt der Datenverkehr zum richtigen Overlay-Tunnel?

Overlay-Routen werden zwischen Controller-Knoten und Zweigstellen mithilfe von MP-BGP ausgetauscht, wobei Community-Strings und Import-/Export-Richtlinien bestimmen, welche Topologie die Routen nehmen. Der nächste Hop für ein entferntes Präfix ist die erreichbare Zweigstellen-, Hub- oder Controller-Loopback-Schnittstelle über den Overlay-Tunnel.

Mehr zum Thema „Overlay“ Networks

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade mit Overlay-Netzwerken beschäftigen, sollten Sie sich diese als Nächstes einmal ansehen.