Was ist Secure SD-WAN?

Secure SD-WAN – „ Versa “ (Secure SD-WAN ) – ist die WAN-Edge-Produktreihe v Versa: physische und virtuelle Kundenendgeräte (CPE), die softwaredefiniertes WAN-Routing mit einer integrierten Next-Generation-Firewall kombinieren. Sie werden in den Lösungsstufen „Essential“, „Professional“ und „Elite“ angeboten und als Teil der „ VersaONE “-Plattform über „ Versa Director“ oder „ Versa Concerto“ orchestriert.

Die wichtigsten Erkenntnisse

• Secure SD-WAN Kombiniert SD-WAN-Routing mit einer integrierten NGFW.
• Drei Lösungsstufen – Essential, Professional, Elite – bieten jeweils zusätzliche Funktionen.
• Die CPE-Lizenzierung erfolgt kapazitätsbasiert und ist nicht an die WAN-Bandbreite gebunden (Modell 2025).
• Sowohl „ Versa “ (Regie) als auch „ Versa “ (Konzert) sind von CPE unter Secure SD-WAN orchestriert.
• IPsec-Tunnel verbinden die Niederlassungen von „ Secure SD-WAN “ über SSE zu einem einheitlichen „ SASE “.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Secure SD-WAN Lösungsstufen · Secure SD-WAN & die „ VersaONE “-Plattform · Häufig gestellte Fragen

Warum ist „ Secure SD-WAN “ wichtig?

Der WAN-Edge einer Zweigstelle ist der Punkt, an dem ein Netzwerk auf das Internet trifft. Bislang bedeutete dies, dass ein Router, eine Firewall und separate SD-WAN-Hardware in einem Rack gestapelt werden mussten. „ Secure SD-WAN “ wurde entwickelt, um diesen Stapel zu reduzieren: Ein einziges CPE-Gerät übernimmt gleichzeitig das Routing auf Carrier-Niveau, die SD-WAN-Pfadauswahl und Sicherheit auf NGFW-Niveau, sodass ein Standort kein zweites Gerät für Firewall-Funktionen und Bedrohungsschutz benötigt.

Das gestaffelte Modell ist genauso wichtig wie die Konvergenz. Die Funktionen der Stufen „Essential“, „Professional“ und „Elite“ sind auf die tatsächlichen Einsatzanforderungen zugeschnitten, anstatt jedem Kunden ein einziges Paket aufzuzwingen. Das Lizenzmodell für 2025 basiert auf der Gerätekapazität statt auf der gemessenen WAN-Bandbreite, wodurch das Risiko von Kostenüberschreitungen entfällt. Da jedes CPE zentral über Director oder Concerto gesteuert wird, lässt sich ein einmal erstelltes Design – Routing, QoS, Sicherheitsrichtlinien – identisch auf die gesamte Flotte ausrollen. Dadurch ist „ Secure SD-WAN “ an Hunderten oder Tausenden von Standorten einsetzbar.

Was ist Secure SD-WAN?

Secure SD-WAN ist die WAN-Edge-Komponente der „ SASE “-Architektur von Versa: Sie verbindet Zweigstellen und Homeoffices mit privaten Rechenzentren, Clouds und dem Internet, während „Secure Access“ und „Secure Web Gateway“ jeweils den Zugriff für Remote-Benutzer sowie den Zugriff auf Cloud- und SaaS-Dienste abdecken. Jedes „ Secure SD-WAN “-Gerät ist ein CPE-Gerät – physisch oder virtuell –, auf dem das Betriebssystem „ Versa “ (VOS) läuft, und jedes bereitgestellte CPE-Gerät, einschließlich HA-Paare, benötigt eine eigene, kapazitätsbasierte Software-Abonnementlizenz. Die Lizenzierung umfasst drei Dimensionen: Lösungsstufe (Funktionen), Appliance-Modell (Kapazität) und Abonnementdauer (ein, drei oder fünf Jahre, im Voraus zu bezahlen). Die Kapazitätsbasis ist das, was sich mit dem Modell von 2025 geändert hat: Vor 2025 richtete sich die Lizenzgröße nach der erworbenen WAN-Bandbreitenstufe, von 10 Mbit/s bis zu 100 Gbit/s, gemessen am 95. Perzentil der monatlichen Nutzung.

Im Hintergrund kombiniert „ Secure SD-WAN “ zentrale SD-WAN-Funktionen – verschlüsselte VPN-Overlays, Anwendungserkennung, anwendungsorientiertes Datenverkehrsmanagement und SLA-basierte Pfadmessung – mit L4-7-NGFW-Funktionen: Stateful Firewall, IKEv2 IPsec, CGNAT und URL-/IP-Reputationsfilterung. Administratoren konfigurieren das System über die Gerätevorlagen von „ Versa Director“ oder die mandantenbasierten Profile von „ Versa Concerto“; beides wird im Konfigurationsleitfaden „Versa “Secure SD-WAN „Integration with Versa SSE“ behandelt.

Secure SD-WAN Lösungsstufen

Versa Secure SD-WAN unterteilt seine Funktionen in drei Lösungsstufen. „Essential“ bietet Routing und Switching auf Carrier-Niveau, kabelgebundene und kabellose Schnittstellen (LTE, 5G, WLAN), Zero-Touch-Provisioning, zentrale SD-WAN-Funktionen sowie Sicherheit auf den Schichten 4 bis 7: Stateful-Firewall, DoS-Schutz, CGNAT, IKEv2 IPsec, URL-/IP-Reputation und einen SSL/TLS-Proxy, der auf die Nutzung im Captive-Portal ausgelegt ist (allgemeine HTTPS-Prüfung zum Scannen ist in „Elite“ enthalten). „Professional“ erweitert „Essential“ um Funktionen zur Verbesserung der Anwendungserfahrung: MOS-basiertes Verkehrsmanagement, Vorwärtsfehlerkorrektur, Paket-Striping, Optimierung des direkten Internet-/Cloud-Zugangs, TCP-Optimierung und Identifizierung von IoT-Geräten. Elite erweitert Professional um Unified Threat Management (UTM) – einen TLS-Proxy mit vollem Funktionsumfang, Filterung anhand von Dateireputation, Intrusion Prevention (IPS), Antivirus- und Malware-Schutz sowie 60 GB pro CPE des von über die Cloud bereitgestellten Advanced Logging Service – wodurch keine separate Firewall-Appliance mehr erforderlich ist. Zusatzlizenzen erweitern jede Stufe um weitere Funktionen, darunter lokales ZTNA, eine Identitäts-Engine und XoT-Geräte-Fingerprinting (ein Add-on für „Essential“; in „Professional“ und „Elite“ enthalten) sowie – ausschließlich bei „Elite“ – Inline-CASB/DLP-Datenschutz und cloudbasiertes ATP-Sandboxing. Versa

Secure SD-WAN & die Plattform „ VersaONE “

Secure SD-WAN Die CPE-Orchestrierung erfolgt über die „ Versa “-Orchestrierungssuite: „Director“, „Controller“ und „Analytics“ sind Mindestanforderungen, während „Concerto“ und der „Messaging Service“ als ergänzende Komponenten empfohlen werden. Jede 2025-Lizenz umfasst standardmäßig eine nutzungsberechtigte, mandantenfähige und in der Cloud gehostete Orchestrierung; eine dedizierte, in der Cloud gehostete oder vollständig vor Ort betriebene Orchestrierung ist gegen Erwerb einer zusätzlichen Lizenz verfügbar, sofern dies aus Gründen der Datenhoheit oder aufgrund gesetzlicher Vorschriften erforderlich ist – die On-Premises-Orchestrierung ist für 250 bis 20.000 verwaltete CPEs ausgelegt, die dedizierte, in der Cloud gehostete Orchestrierung für 500 bis 20.000 – und die erworbene Orchestrierungskapazität ist unabhängig von der Anzahl der tatsächlich erworbenen CPE-Lizenzen und kann diese sogar übersteigen.

Bei der einheitlichen Lösung „ SASE “ laufen „ Secure SD-WAN “ und „ Versa “ gemeinsam in der Cloud von „ Versa“. Wird „ Secure SD-WAN “ hingegen von einem Dienstanbieter oder einem Unternehmen gehostet, verbindet es ein IPsec- (oder GRE-)Tunnel mit den von „ Versa “ gehosteten SSE-Komponenten – „Secure Access“ für Remote-Mitarbeiter, „Secure Web Gateway“ für SaaS- und Internetverkehr –, wodurch über eine andere Architektur dasselbe einheitliche Ergebnis von „ SASE “ erzielt wird.

Häufig gestellte Fragen

Was ist der Unterschied zwischen „ Secure SD-WAN “ und „ Versa SSE“?

Secure SD-WAN ist die WAN-Edge-Komponente: Routing, Pfadauswahl und NGFW-Sicherheit für Büros und Zweigstellen, die auf CPE-Geräten laufen. Versa SSE (Secure Access und Secure Web Gateway) schützt Remote-Benutzer und den Zugriff auf Cloud- und SaaS-Dienste. Zusammen bilden sie die „ SASE “-Architektur von Versa.

In welcher „ Secure SD-WAN “-Stufe ist die Einbruchprävention enthalten?

Intrusion Prevention (IPS), ein TLS-Proxy mit vollem Funktionsumfang, Virenschutz und Malware-Schutz sind Funktionen der Elite-Stufe, die zusätzlich zu allen in den Stufen „Professional“ und „Essential“ enthaltenen Funktionen bereitgestellt werden. Die Stufen „Essential“ und „Professional“ umfassen eine zustandsorientierte L4-7-Firewall sowie die Optimierung der Anwendungserfahrung, enthalten jedoch nicht den vollständigen Unified Threat Management-Stack, den die Elite-Stufe bietet.

Wie sieht die Preisgestaltung für die „ Secure SD-WAN “-Lizenzen für das Jahr 2025 aus?

Nach Gerätekapazität statt nach WAN-Bandbreite: Jedes CPE-Modell verfügt im Rahmen seines Abonnements über eine feste Nutzungsobergrenze, sodass Kunden diese Kapazität ohne Zusatzkosten ausschöpfen können. Die Abonnements haben eine Laufzeit von einem, drei oder fünf Jahren, und jedes CPE benötigt eine eigene Lizenz, einschließlich HA-Paare.

Lässt sich „ Secure SD-WAN “ auch ohne die Bereitstellung einer Orchestrierung vor Ort verwalten?

Ja. Jede „ Secure SD-WAN “-Lizenz für das Jahr 2025 umfasst standardmäßig eine nutzungsberechtigte, mandantenfähige und in der Cloud gehostete Orchestrierung, sodass für den Einstieg keine lokale Bereitstellung von Director, Controller oder Analytics erforderlich ist. Eine dedizierte, in der Cloud gehostete oder vollständig lokale Orchestrierung steht weiterhin als kostenpflichtige Option zur Verfügung, sofern dies aus Gründen der Datenhoheit oder aufgrund gesetzlicher Vorschriften erforderlich ist.

Wie stellt „ Secure SD-WAN “ eine Verbindung zu einem SSE-Anbieter eines Drittanbieters her?

Administratoren richten IPsec-Site-to-Site-Tunnel vom „ Secure SD-WAN “-Zweig, der in „ Versa Director“ konfiguriert ist, zur Cloud eines Drittanbieters ein, wobei sie statische Routen oder BGP mit BFD für das Failover verwenden. Die Dokumentation von „ Versa“ behandelt die auf dieselbe Weise eingerichteten Integrationen mit Zscaler, Netskope und Microsoft Entra Internet Access.

Mehr dazu unter Secure SD-WAN

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie gerade den Artikel „ Secure SD-WAN “ lesen, sollten Sie sich als Nächstes diese Artikel ansehen.