Was ist SD-LAN?

SD-LAN ist die Komponente für sichere lokale Netzwerke der „ VersaONE “-Universal- SASE -Plattform und ist zusammen mit SD-WAN, NGFW, „ SASE “ und SSE integriert, um Benutzer, Geräte, Workloads und Netzwerke sicher miteinander zu verbinden. Sie läuft auf VOS-basierten Ethernet-Switches und wird über „Director“-Workflow-Vorlagen konfiguriert, die Switch-Ports, Sicherheitsprofile und Zugriffsrichtlinien definieren.

Die wichtigsten Erkenntnisse

• SD-LAN ist neben SD-WAN und SSE die Säule für sicheres LAN bei „ VersaONE“.
• Läuft auf VOS-Switches: den Produktfamilien CSX4300, CSX4500 und CSX8300.
• Mit Director-Workflow-Vorlagen lassen sich Ports, Profile und ACL-Richtlinien konfigurieren.
• Unterstützt EVPN-VXLAN, 802.1X-Authentifizierung und Switch-Multihoming.
• Zusammen mit ZT Edge bildet es die Zero-Trust-LAN-Lösung v Versa.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · SD-LAN-Komponenten · SD-LAN & VersaONE · Häufig gestellte Fragen

Warum ist SD-LAN wichtig?

Das LAN-Switching auf dem Campus und in den Zweigstellen wurde bisher getrennt vom WAN und dem Sicherheitsstack verwaltet – mit einer eigenen Konsole, einem eigenen Richtlinienmodell und oft einer CLI-Konfiguration, die für jeden Switch einzeln vorgenommen werden musste. SD-LAN schließt diese Lücke, indem es das Ethernet-Switching in dieselbe VOS-Software, dieselben Director-Vorlagen und dieselbe Headend-Architektur integriert, auf denen bereits SD-WAN läuft. So können ein einziges Team und ein einziges Betriebsmodell sowohl die Weitverkehrsarchitektur als auch das lokale Netzwerk abdecken.

Außerdem wird die Sicherheit dorthin verlagert, wo Nutzer und Geräte tatsächlich eine Verbindung herstellen: zum Zugangsport. Dank der 802.1X-Authentifizierung auf Port-Ebene und ACL-Richtlinien kann ein Switch die Identitäts- und Zugriffskontrolle bereits am Rand durchsetzen, anstatt zunächst allem innerhalb des Gebäudes zu vertrauen und erst später zu filtern. Diese Durchsetzung auf der Zugriffsebene bildet die Grundlage für die Zero-Trust-LAN-Designs v Versa, und die vorlagengesteuerte Bereitstellung bietet dieselbe operative Skalierbarkeit – wiederverwendbare Konfigurationen, die auf viele Switches übertragen werden –, die SD-WAN in großem Maßstab verwaltbar gemacht hat.

Was ist SD-LAN?

Die SD-LAN-Konfiguration beginnt mit einer Workflow-Vorlage auf dem Director-Knoten: Ein Administrator wählt das Switch-Modell (CSX4300, CSX4500, CSX8300 oder einen VM-Formfaktor), die Organisation und etwaige Unterorganisationen, den oder die Controller-Knoten, die den Switch verwalten sollen, die Lizenzierungsstufe sowie den Analytics-Cluster aus, der die Protokolle empfängt. Der Konfigurationsassistent von Director führt durch jeden Schritt und stellt die fertige Vorlage bereit, um den Switch zu aktivieren.

Von dort aus werden die physischen Ports entweder als Layer-2-Switching-Schnittstellen – im Access- oder Trunk-Modus mit VLAN-Zuweisung – oder als Layer-3-Routing-Schnittstellen mit statischer oder per DHCP zugewiesener IPv4/IPv6-Adressierung konfiguriert. Layer-3-Ports können zudem VXLAN aktivieren, wodurch die Schnittstelle und ihr Netzwerk in einer EVPN/VXLAN-Struktur bekannt gegeben werden, sodass sich Layer-2-Domänen über einen gerouteten Kern hinweg auf mehrere Standorte erstrecken können.

SD-LAN-Komponenten

Die Bausteine einer Vorlage lassen sich in drei Gruppen einteilen. Ports sind die physischen und virtuellen Schnittstellen: physische Layer-2- und Layer-3-Ports, aggregierte Ethernet-Schnittstellen, die mit LACP-Link-Aggregation aufgebaut sind, Switch-Verwaltungsschnittstellen für die Fernverwaltung sowie IRB-Schnittstellen, die den Datenverkehr zwischen einem Layer-3-Netzwerk und einer Layer-2-Bridge-Domäne weiterleiten.

Profile sind wiederverwendbare Einstellungen, die mit Ports verknüpft sind: 802.1X-Profile für die portbasierte Authentifizierung, Multihoming-Profile (MC-LAG), mit denen ein Access-Switch redundant an mehr als ein Upstream-Gerät angeschlossen werden kann, sowie Profile für physische Ports, die Funktionen wie Power over Ethernet und LLDP abdecken. Richtlinien sind ACL-Regeln, die steuern, welchen Datenverkehr ein Port oder Switch zulässt. Die Grundlage für all dies bildet die Switch-Hardware selbst – die CSX-Familie von Versadeckt den gesamten Bereich ab, von Edge- und Access-Geräten bis hin zu Aggregations- und Core-Switches.

SD-LAN & VersaONE

SD-LAN ist eine der konvergenten Säulen von „ VersaONE“ und basiert auf derselben VOS-Software sowie demselben Director-Controller-Analytics-Headend, das auch SD-WAN koordiniert: Director-Vorlagen konfigurieren den Switch, ein Controller-Knoten verwaltet ihn und ein Analytics-Cluster erfasst dessen Telemetriedaten – das gleiche Betriebsmodell, nur dass es hier auf LAN-Switching statt auf Routing in Zweigstellen angewendet wird.

In Kombination mit ZT Edge bildet SD-LAN die Zero-Trust-LAN-Lösung (ZT-LAN) v Versa, die Zero-Trust-Netzwerkzugang und Mikrosegmentierung für Campus- und Zweigstellennetzwerke bereitstellt. Die auf Endpunkt-Informationsprofilen (EIP) basierende Mikrosegmentierung erweitert dies noch weiter und ermöglicht es Clients von „ Versa “SASE , sich im gatewaygestützten „Trusted-Network“-Modus zu verbinden, sodass sowohl für den Remote- als auch für den lokalen Zugriff dieselbe identitätsbasierte Richtlinie gilt.

Häufig gestellte Fragen

Was ist der Unterschied zwischen SD-LAN und SD-WAN?

SD-WAN ist die Weitverkehrsschicht: VOS-Geräte in Zweigstellen und Hubs bauen IPsec- und MP-BGP-Tunnel zu einem Controller über verschiedene Transportwege hinweg auf. SD-LAN ist die lokale Schicht: Ethernet-Switch-Ports, VLANs und Zugriffsrichtlinien auf VOS-basierten Switches an einem Standort. Beide nutzen dasselbe Headend-Modell aus Director, Controller und Analytics.

Welche Switch-Hardware wird im SD-LAN v Versa eingesetzt?

VersaDie CSX-Produktfamilie von VOS-basierten Ethernet-Switches läuft unter SD-LAN; dazu gehören die Modelle CSX4300, CSX4500 und CSX8300 sowie ein VM-Formfaktor für virtuelle Bereitstellungen. Die umfassenderen Serien CSX2000, CSX4000 und CSX8000 erweitern die Produktfamilie auf Edge-, Access-, Aggregations- und Core-Switching-Funktionen.

Wie wird SD-LAN konfiguriert?

Administratoren nutzen einen geführten Konfigurationsassistenten auf dem Director-Knoten, um eine Workflow-Vorlage zu erstellen, die das Switch-Modell, die Organisation, die Lizenzierung und die Controller-Zuweisung erfasst. Anschließend konfigurieren sie physische und virtuelle Ports, ordnen Sicherheitsprofile zu und wenden ACL-Richtlinien an, bevor sie die Vorlage auf dem Switch bereitstellen.

In welcher Beziehung stehen SD-LAN und Zero-Trust-LAN zueinander?

Zero-Trust LAN (ZT-LAN) ist die umfassendere Lösung von „ Versa“ für lokale LAN-Netzwerke. Sie kombiniert „Secure SD-LAN“ mit „ZT Edge“, um Zero-Trust-Netzwerkzugang, Mikrosegmentierung sowie softwaredefinierte Campus- und Zweigstellennetzwerke auf Basis von VOS-basierten Switches und Access Points bereitzustellen – „SD-LAN“ liefert die Switching-Ebene, auf der das Richtlinienmodell von „ZT-LAN“ läuft.

Unterstützt SD-LAN VXLAN und EVPN?

Ja. SD-LAN-Layer-3-Ports können VXLAN aktivieren, eine Datenebenen-Kapselung, die Ethernet-VPN-Verkehr (EVPN) über ein geroutetes IP-Netzwerk transportiert. Durch die Aktivierung werden die Schnittstelle und das Netzwerk des Ports in der EVPN/VXLAN-Struktur bekannt gegeben, wodurch Layer-2-Domänen über einen gerouteten Kern hinweg erweitert werden.

Mehr zu SD-LAN

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über SD-LAN informieren, sollten Sie sich als Nächstes diese Artikel ansehen.