Was ist ein Underlay-Netzwerk?

Ein Underlay-Netzwerk ist die physische oder vom Anbieter bereitgestellte Transportinfrastruktur – eine MPLS-Verbindung, eine Breitband-Internetverbindung oder LTE/5G –, über die die verschlüsselten Tunnel eines SD-WAN-Overlays übertragen werden. Das Underlay überträgt die Pakete; das Overlay fasst diese zu einer logischen Struktur zusammen, auf der Richtlinien und Anwendungen ausgeführt werden.

Die wichtigsten Erkenntnisse

• Die Unterebene überträgt Pakete; die Oberebene baut darauf eine logische Struktur auf.
• Gängige Transportnetze sind MPLS, Breitband-Internet und LTE/5G.
• Websites können entweder eine gemeinsame Unterlage nutzen oder separate, voneinander unabhängige Unterlagen verwenden.
• SD-WAN-Gateways verbinden Niederlassungen, deren Underlay-Netzwerke nicht miteinander verbunden sind.
• Die Verschlüsselung einer WAN-Verbindung hängt oft davon ab, ob das zugrunde liegende Netzwerk als vertrauenswürdig gilt.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · Unterlegnetzwerke & Versa · Häufig gestellte Fragen

Warum ist das Underlay-Netzwerk wichtig?

Jede SD-WAN-Implementierung hängt von dem zugrunde liegenden Underlay ab, auf dem sie läuft, daher beginnen die Entwurfsentscheidungen bereits an dieser Stelle. Die Wahl – ein gemeinsames Transportnetz oder mehrere voneinander getrennte – bestimmt, über wie viel Redundanz ein Standort verfügt und ob der Controller ihn direkt erreichen kann. Eine Zweigstelle, die nur über ein einziges Underlay verbunden ist, funktioniert zwar weiterhin, verliert jedoch die automatische Ausfallsicherung eines Controllers, der über mehrere Transportdomänen hinweg erreichbar ist.

Auch die Art des Underlays beeinflusst Sicherheitsentscheidungen. Eine private MPLS-Verbindung gilt traditionell als gesichert, sodass ihr Datenverkehr einen Overlay-Tunnel im Klartext nutzen und den IPsec-Overhead umgehen kann; bei einem Internet-Underlay kann man diese Annahme nicht treffen. Auch die Topologie spielt für die Skalierbarkeit eine Rolle – ein Full-Mesh-Design mit mehreren Underlays erzeugt weitaus mehr Datenverkehr für die SLA-Überwachung als ein Hub-and-Spoke-Modell auf einem einzigen Underlay.

Was ist ein Underlay-Netzwerk?

Die Unterlage ist das physische Netzwerk oder das Anbieternetzwerk, das die Pakete tatsächlich weiterleitet: eine MPLS-Verbindung, eine Breitband-Internetverbindung, LTE/5G oder ein privater Layer-2-Dienst. SD-WAN behandelt diese Ebene rein als Transportschicht, ohne Rücksicht auf Mandanten, Anwendungen oder Richtlinien. Darauf aufbauend errichtet SD-WAN ein Overlay: verschlüsselte IPsec-Tunnel für den Datenverkehr und standardmäßig ein zweites, unverschlüsseltes, VXLAN-basiertes Overlay.

Zwei Standorte teilen sich ein Underlay, wenn sie über eine gemeinsame Transportverbindung direkt miteinander verbunden sind – beispielsweise, wenn beide denselben Internetanbieter nutzen. Sie verfügen über getrennte Underlays, wenn keine gemeinsame Transportverbindung besteht: Der eine Standort nutzt ausschließlich das Internet, der andere ausschließlich MPLS. Getrennte Underlays treten häufig nach Fehlern bei der NAT-Durchquerung oder während einer MPLS-Migration auf und sind der Grund für die Existenz von SD-WAN-Gateways.

Arten von Unternetzwerken

Gemeinsames Backbone – alle Standorte sind über denselben Transportweg miteinander verbunden, beispielsweise über einen gemeinsamen Internetanbieter oder einen MPLS-Dienst; dies ist die einfachste Konfiguration, für die kein Gateway erforderlich ist.

Getrennte Underlay-Netzwerke – zwei Standorte haben keine gemeinsamen Transportverbindungen, sodass ein drittes Gerät als SD-WAN-Gateway fungiert, das Routen aus dem VRF des einen Underlay-Netzwerks importiert und in das VRF des anderen wieder exportiert.

Multi-Transport-Underlay (Hybrid) – eine Zweigstelle überträgt gleichzeitig MPLS, Breitband und LTE/5G; die SD-WAN-Richtlinie leitet den Datenverkehr an dasjenige Underlay weiter, das die Latenz- und Verlustziele einer Anwendung erfüllt.

Eingeschränktes (isoliertes) Underlay – In Regionen, in denen IPsec über Grenzen hinweg blockiert wird, bilden Niederlassungen eine SD-WAN-Insel auf einem staatlich genehmigten Underlay, die nicht direkt, sondern über einen Hub-Controller-Knoten miteinander verbunden sind.

Unterlegnetzwerke & Versa

Versa VOS-Edge-Geräte bauen das SD-WAN-Overlay auf – verschlüsselte IPsec-Tunnel und optional einen VXLAN-Tunnel im Klartext – über alle an einem Standort vorhandenen Underlay-Transportwege hinweg, und die SLA-Überwachung misst die Latenz, den Jitter und den Datenverlust jedes Underlay-Pfades, um den Datenverkehr auf den besten Pfad zu lenken. Der „Consolidated SD-WAN Design Guide“ und der „Versa “ SD-WAN Design Guide behandeln die Overlay-Adressierung und -Verschlüsselung im Zusammenhang mit der Underlay-Vertrauenswürdigkeit.

Wenn Standorte kein gemeinsames Underlay-Netzwerk nutzen, beschreibt die SD-WAN-Lösungsarchitektur von Versaein SD-WAN-Gateway: ein Hub-Gerät mit Schnittstellen in beiden Underlay-Netzwerken, das Routen neu verteilt, sodass auch voneinander getrennte Zweigstellen weiterhin miteinander kommunizieren können.

Häufig gestellte Fragen

Was ist der Unterschied zwischen einem Underlay- und einem Overlay-Netzwerk?

Das Underlay ist die physische Transportschicht – MPLS, Internet, LTE/5G –, über die Pakete übertragen werden. Das Overlay ist das verschlüsselte, logische Netzwerk, das SD-WAN darauf aufbaut, sodass Anwendungen und Richtlinien eine einheitliche Struktur vorfinden, unabhängig davon, über welche physische Verbindung der Datenverkehr geleitet wurde.

Kann eine SD-WAN-Implementierung mehr als ein Underlay nutzen?

Ja, und das ist bei den meisten Produktionsumgebungen der Fall. Eine Zweigstelle nutzt in der Regel gleichzeitig MPLS, Breitband und LTE/5G, wobei jedes dieser Netzwerke ein separates Underlay bildet. Anhand von Echtzeitmessungen zu Latenz, Jitter und Paketverlust entscheiden die SD-WAN-Richtlinien und die SLA-Überwachung dynamisch, welches Underlay einen bestimmten Datenfluss überträgt.

Was ist ein unzusammenhängendes Unterlagennetzwerk?

Ein unzusammenhängendes Underlay liegt vor, wenn zwei Standorte keine gemeinsame Transportverbindung haben – der eine verfügt nur über Internet, der andere nur über MPLS. Ohne Gateway führt ein Ausfall einer der beiden Verbindungen zur Isolierung des jeweiligen Standorts. Ein SD-WAN-Gateway mit Schnittstellen in beiden Underlays verteilt die Routen neu, um eine Verbindung zwischen ihnen herzustellen.

Verschlüsselt „ Versa “ den gesamten Underlay-Datenverkehr?

Standardmäßig ja – die Daten werden über ein verschlüsseltes IPsec-Overlay übertragen. Administratoren können eine WAN-Schnittstelle für die Übertragung im Klartext konfigurieren, wenn es sich bei der Underlay-Verbindung um eine vertrauenswürdige private Verbindung wie MPLS handelt, um den IPsec-Overhead zu vermeiden; eine SD-WAN-Richtlinie kann dies pro Datenfluss außer Kraft setzen.

Können zugrunde liegende Netzwerke aus regulatorischen Gründen isoliert werden?

Ja. In Regionen, in denen der grenzüberschreitende verschlüsselte IPsec-Datenverkehr eingeschränkt ist, können Niederlassungen eine SD-WAN-Insel auf einem staatlich zugelassenen privaten Underlay bilden, ohne direkte Anbindung außerhalb der Region. Ein Hub-Controller-Knoten verbindet die Steuerungsebene der isolierten Insel wieder mit dem Rest des Netzwerks.

Mehr über das Underlay-Netzwerk

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade mit Underlay-Netzwerken beschäftigen, sollten Sie sich diese als Nächstes einmal ansehen.