¿Qué es la DIA?

El acceso directo a Internet (DIA) es un modelo de conectividad para sucursales en el que el tráfico destinado a Internet y el tráfico SaaS se redirige directamente a Internet desde la propia sucursal, en lugar de ser canalizado a través de la WAN hasta un centro de distribución para su inspección, lo que reduce la latencia y libera ancho de banda en la sede central.

Puntos clave

• Desvía el tráfico destinado a Internet a nivel local en la sucursal, no en un concentrador.
• Reduce la latencia y elimina los saltos en forma de horquilla en el tráfico de SaaS y en la nube.
• Necesita su propio NAT y su propia pila de seguridad en cada punto de salida.
• Una derivación central o regional sirve de respaldo a un circuito local que ha fallado.
• La gestión basada en el rendimiento selecciona el punto DIA más rápido para cada aplicación.

En esta página: Por qué es importante · Cómo funciona · Tipos · DIA y Versa · Preguntas frecuentes

¿Por qué es importante la DIA?

Las redes de sucursales tradicionales envían todo el tráfico a un nodo central a través de un enlace WAN privado, donde un proxy centralizado y una pila de cortafuegos lo inspeccionan antes de que llegue a Internet. Esto tenía sentido cuando las aplicaciones se alojaban en el centro de datos, pero añade latencia y consume ancho de banda del nodo central, lo que empeora la experiencia de las aplicaciones en la nube y SaaS que nunca han necesitado pasar por el nodo central.

La DIA es importante porque los circuitos de Internet fiables hicieron que la conexión local a Internet resultara rentable, y el cambio a la nube pública y a plataformas SaaS como Office 365 la hizo necesaria. Desviar el tráfico en la sucursal reduce los requisitos de ancho de banda en la sede central, elimina los saltos de red y reduce la latencia. La contrapartida: una sucursal que envía tráfico directamente a Internet queda expuesta de forma directa, por lo que los diseños de DIA deben prever controles de seguridad que un punto de conexión centralizado solía proporcionar de forma gratuita.

¿Qué es la DIA?

Desde el punto de vista arquitectónico, DIA se basa en el enrutamiento estándar, no en un protocolo especial. Se crea internamente una conexión lógica entre el VRF de un inquilino y el enrutador virtual de transporte de la WAN, y el VRF utiliza EBGP para anunciar una ruta por defecto hacia ese enrutador virtual de transporte, resolviendo su siguiente salto a través del túnel lógico que los une. A continuación, el tráfico saliente sigue esa ruta a través del enlace local de la WAN, en lugar de atravesar la superposición hacia un nodo central.

Una regla NAT —NAPT o CGNAT— traduce todo el tráfico saliente de la LAN a una dirección IP pública compartida, del mismo modo que un router doméstico oculta una red privada tras una única dirección conectada a Internet. Esto difiere de un túnel dividido hacia una red subyacente privada, como una red MPLS: el DIA siempre aplica NAT, mientras que un túnel dividido privado normalmente no lo hace.

Tipos de DIA

Las implementaciones de DIA se clasifican en unos pocos patrones comunes, y la mayoría de los diseños combinan más de uno. La salida local envía el tráfico de Internet de cada sucursal a través de su propio enlace WAN: el modelo básico que aprovecha la mayoría de las ventajas de DIA. La salida central o regional actúa como respaldo: una ruta predeterminada menos preferida apunta a un centro o a una sede regional y se activa automáticamente si falla el circuito local. La salida basada en aplicaciones envía tráfico específico, como una aplicación SaaS concreta, a través de la salida local, mientras que el resto del tráfico se enruta de forma centralizada, lo que limita la exposición únicamente a las aplicaciones de confianza. La salida basada en el rendimiento va más allá, ya que utiliza mediciones de latencia y pérdida para seleccionar automáticamente el mejor punto de salida —local o remoto— para cada aplicación.

DIA y Versa

En los dispositivos periféricos VOS, la DIA se configura mediante los flujos de trabajo de Director de Versa , en lugar de mediante un enrutamiento definido manualmente: al habilitar la DIA en un túnel, se automatiza el emparejamiento EBGP entre la VR de transporte y la VR de LAN y se habilita la función CGNAT que traduce el tráfico saliente. Los enlaces WAN pueden compartir una preferencia local de BGP para el equilibrio de carga, o bien utilizar preferencias diferentes para la redundancia «local con respaldo central», tal y como se detalla en la Guía de diseño de SD-WAN consolidada y en la Guía de diseño de SD-WAN «Versa ».

Dado que una rama DIA está expuesta directamente a Internet, Versa recomienda incorporar IDS/IPS y antivirus a cada regla del cortafuegos orientada a la DIA, con el descifrado SSL activado para que los flujos cifrados puedan inspeccionarse realmente. Las funciones de monitorización de aplicaciones SaaS y de proxy DNS de Versapermiten que un perfil de reenvío seleccione automáticamente el punto de salida con menor latencia, por lo que la DIA basada en el rendimiento no requiere asignar manualmente las aplicaciones a una ruta.

Preguntas frecuentes

¿Cuál es la diferencia entre DIA y un túnel dividido?

El DIA es un tipo específico de túnel dividido: uno que desvía localmente el tráfico destinado a Internet y aplica NAT para ocultar las direcciones de la LAN tras una IP pública. Un túnel dividido hacia una red subyacente privada, como una red MPLS, suele omitir el paso del NAT, ya que no hay ninguna dirección que ocultar a una red de confianza.

¿Por qué necesita DIA medidas de seguridad adicionales en la sucursal?

Un punto de salida centralizado permite que un único conjunto de cortafuegos y servidores proxy inspeccione todo el tráfico de Internet. DIA elimina ese cuello de botella, por lo que cada sucursal que se conecta a Internet de forma local se convierte en su propio punto de exposición y necesita su propio sistema IDS/IPS y antivirus para mantener el mismo nivel de seguridad.

¿Es posible que el DIA quede en desuso en varios enlaces WAN?

Sí. Una sucursal puede anunciar una ruta por defecto desde cada enlace WAN con diferentes preferencias locales de BGP, de modo que un enlace sea el principal y otro tome el relevo automáticamente en caso de fallo, o bien configurar todos los enlaces con la misma preferencia para lograr un equilibrio de carga activo entre ellos.

¿Cómo funciona el «breakout» basado en aplicaciones?

Un perfil de reenvío de SD-WAN y una regla de política se corresponden con una aplicación específica, como una aplicación SaaS concreta, y dirigen únicamente ese tráfico a un siguiente salto local, mientras que el resto del tráfico de Internet de la sucursal sigue utilizando la ruta predeterminada hacia un punto de salida central o regional.

¿El DIA siempre requiere NAT?

Sí, concretamente para la conexión a Internet. La configuración DIA crea una regla NAT que traduce el tráfico saliente de la LAN a una dirección IP pública compartida. Una conexión con túnel dividido a una red subyacente privada no requiere esto, ya que no expone las direcciones de la LAN a la Internet pública.

Términos relacionados

Si estás leyendo sobre la DIA, te recomiendo que eches un vistazo a lo siguiente.