Was ist ein Site-to-Site-Tunnel?

Ein Site-to-Site-Tunnel (S2S) ist eine verschlüsselte IPsec- oder GRE-Verbindung zwischen einem Gateway oder VOS-Gerät von Versa SASE und einem Peer-Netzwerk – einem Unternehmensrechenzentrum, einem Cloud-VPC- oder VNet-Gateway oder einem Gerät eines Drittanbieters. Er überträgt den Datenverkehr privater Anwendungen und Integrationsdienste zwischen zwei Netzwerken so, als wären diese direkt miteinander verkabelt.

Die wichtigsten Erkenntnisse

• S2S-Tunnel nutzen IPsec oder GRE, um ein „ Versa “-Gateway mit einem Peer zu verbinden.
• Zu den Peers zählen Rechenzentren, Cloud-VPCs/VNets und Geräte von Drittanbietern.
• Für die Hochverfügbarkeit wird BGP mit redundanten Tunneln gegenüber statischen Routen empfohlen.
• Concerto unterstützt IPsec-, GRE-, EoGRE- und Geneve-Tunnelschnittstellen.
• VOS-Cloud-Gateways bleiben passiv; der Zweigstand initiiert stets den Tunnel.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · Site-to-Site-Tunnel & Versa · Häufig gestellte Fragen

Warum sind Site-to-Site-Tunnel wichtig?

Der Großteil des Unternehmensdatenverkehrs muss nach wie vor an Ziele gelangen, die nicht Teil der SD-WAN-Struktur selbst sind: ein Rechenzentrum, in dem Legacy-Anwendungen gehostet werden, eine Cloud-VPC, auf der Produktions-Workloads ausgeführt werden, oder die Cloud eines Sicherheitspartners wie Zscaler. Private Verbindungen zu jedem dieser Ziele lassen sich nicht skalieren; Site-to-Site-Tunnel bieten dieselbe private, verschlüsselte Erreichbarkeit über den normalen Internetverkehr, ohne dass wie bei einem Fernzugriffs-VPN auf jedem Benutzergerät ein dedizierter Client erforderlich ist.

Da ein Site-to-Site-Tunnel oft der einzige Weg zu einer kritischen Ressource ist, ist die Art und Weise, wie er ausfällt, genauso wichtig wie die Art und Weise, wie er eine Verbindung herstellt. Eine einzelne statische Route bietet keine Möglichkeit, einen stillen Ausfall schnell zu erkennen; die Kombination redundanter Tunnel mit BGP und BFD leitet den Datenverkehr innerhalb von Sekunden um einen ausgefallenen Pfad herum, und ein zweiter Tunnel zu einem geografisch getrennten Gateway schützt vor einem regionalen Ausfall auf der Peer-Seite, nicht nur vor einem Ausfall der Verbindung.

Was ist ein Site-to-Site-Tunnel?

Ein Site-to-Site-Tunnel wird als virtuelle Tunnelschnittstelle konfiguriert, die den Datenverkehr mithilfe eines Punkt-zu-Punkt-Protokolls kapseln – meist IPsec, das den Datenverkehr authentifiziert und verschlüsselt, oder GRE, das ihn ohne eigene Verschlüsselung kapselt. Der Tunnel verbindet ein VOS-CPE-Gerät (physisch oder cloudbasiert) mit einem Peer: einem cloudverwalteten Dienst oder einem Gerät eines Drittanbieters, das dasselbe Protokoll unterstützt.

Je nach Plattform gibt es zwei Konfigurationsmodelle. In „ Versa “ Director werden Tunnel auf der Registerkarte „Tunnel“ einer Workflow-Vorlage definiert und anschließend einem Gerät zugeordnet. In Concerto wird ein Site-to-Site-Tunnel direkt als Netzwerkschnittstelle hinzugefügt, und zwar unter der Kategorie „Site-to-Site-Tunnel“ oder „Subtenant-Site-to-Site-Tunnel“. Tunnel können zudem routenbasiert sein, wobei die Routing-Tabelle (statisch oder BGP) auswählt, welcher Tunnel den Datenverkehr überträgt, oder richtlinienbasiert, wobei explizite Quell-/Ziel-/Port-Regeln den Tunnel auswählen – Letzteres ist für einige Peers von Drittanbietern erforderlich, die keine routenbasierte Konfiguration unterstützen.

Arten von Site-to-Site-Tunneln

Die Tunnelschnittstellen von Concerto unterstützen vier Unterkategorien der Kapselung: IPsec (verschlüsselt, Standard), GRE, EoGRE (Ethernet over GRE, für Mobilitätsdienste für Privathaushalte) und Geneve (Layer-2-Frames, gekapselt in UDP). Das Workflows-Modell von Director organisiert Tunnel hingegen nach benannten Peer-Typen: AWS Transit Gateway (IPsec oder GRE, auf der AWS-Seite von Director automatisiert), Azure Virtual WAN (IPsec), Zscaler (IPsec oder GRE, zwei Tunnel für Redundanz erforderlich), einen von Director verwalteten Tunnel zwischen einem Anbieter und einem Mandanten Versa -Director (Erweiterung von SaaS-On-Ramps, Cloud Service Gateways und „ Titan “-Hubs auf einen Mandanten) sowie „Sonstige“ für generische IPsec-Peers von Drittanbietern wie Geräte von Cisco, Juniper oder Palo Alto.

Site-to-Site-Tunnel & Versa

Die Konfiguration eines Site-to-Site-Tunnels in Director erfolgt durch die Einbindung in die Registerkarte „Tunnel“ einer Workflows-Vorlage, wobei ein Peer-Typ, ein Tunnelprotokoll, ein WAN-/LAN-Netzwerk und ein LAN-VRF ausgewählt und die Vorlage anschließend einem Gerät zugeordnet werden; zu den peerspezifischen Feldern gehören BGP-AS-Nummern, PSKs und NAT-Adressierung. In Concerto erreicht man dasselbe Ergebnis, indem man eine „Site-to-Site-Tunnel“-Schnittstelle direkt unter „Netzwerkschnittstellen“ hinzufügt, die IKE/IPsec-Parameter konfiguriert und einen routenbasierten oder richtlinienbasierten Tunneltyp auswählt.

VersaDie Anleitung zur SD-WAN- und SSE-Integration erläutert die Bereitstellung von Site-to-Site-Tunneln von einer VOS-Niederlassung zu einem VOS Cloud Gateway (VCG) – dem SSE-Durchsetzungspunkt – in Topologien mit einem oder zwei CPEs sowie einem oder zwei WANs. VOS-VCGs führen IKE standardmäßig im passiven Modus aus, sodass die Zweigstelle stets den Tunnel initiiert. BGP in Kombination mit BFD ist der empfohlene Failover-Mechanismus für redundante Tunnel, und ein zweiter Tunnel zu einem geografisch getrennten VCG sorgt für zusätzliche Ausfallsicherheit bei regionalen Ausfällen.

Häufig gestellte Fragen

Was ist der Unterschied zwischen einem IPsec- und einem GRE-Site-to-Site-Tunnel?

IPsec authentifiziert und verschlüsselt den Datenverkehr im Tunnel; GRE kapselt ihn lediglich, ohne ihn selbst zu verschlüsseln. Einige Peer-Typen, wie beispielsweise AWS Transit Gateway und Zscaler, unterstützen beide Protokolle, und GRE wird manchmal mit einem separaten IPsec-Tunnel kombiniert, um einen geschützten Transport zu gewährleisten.

Sollte ein Site-to-Site-Tunnel statisches Routing oder BGP verwenden?

BGP in Kombination mit BFD wird immer dann empfohlen, wenn redundante Tunnel vorhanden sind, da es einen ausgefallenen Pfad erkennt und automatisch eine neue Route wählt – standardmäßig in der Regel innerhalb von 15 bis 18 Sekunden. Statisches Routing funktioniert zwar für einen einzelnen Tunnel, kann jedoch bei mehreren Pfaden kein nahtloses Failover gewährleisten.

Welche Peer-Typen unterstützt Versa für Site-to-Site-Tunnel?

Das „Director’s Workflows“-Modell unterstützt AWS Transit Gateway, Azure Virtual WAN, Zscaler, einen von Director verwalteten Peer (Provider-Director zu Tenant-Director) sowie einen generischen Typ „Sonstige“ für IPsec-Geräte von Drittanbietern wie Cisco, Juniper oder Palo Alto. Concerto hingegen organisiert Tunnel nach IPsec, GRE, EoGRE oder Geneve.

Was ist der Unterschied zwischen einem routenbasierten und einem richtlinienbasierten Tunnel?

Bei einem routenbasierten Tunnel entscheidet die Routing-Tabelle – ob statisch oder BGP – darüber, über welchen Tunnel der Datenverkehr geleitet wird. Bei einem richtlinienbasierten Tunnel hingegen wird der Datenverkehr mit expliziten Quell-, Ziel- und Port-Regeln abgeglichen. Eine richtlinienbasierte Konfiguration ist für einige ältere Peers von Drittanbietern erforderlich, beispielsweise für ältere Cisco ASA-Geräte.

Warum initiiert ein VOS Cloud Gateway niemals einen Site-to-Site-Tunnel?

VOS-Cloud-Gateways arbeiten standardmäßig im passiven IKE-Modus, d. h., sie warten darauf, dass die Zweigstelle die IPsec-Verhandlung einleitet, anstatt diese selbst zu initiieren. Die VOS-Zweigstelle darf nicht ebenfalls im passiven Modus konfiguriert sein, da sonst keine der beiden Seiten den Tunnel aufbauen wird.

Weitere Informationen zu Site-to-Site-Tunneln

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über Site-to-Site-Tunnel informieren, sollten Sie sich als Nächstes diese Informationen ansehen.