¿Qué es «Local Breakout»?

El «Local Breakout» (LBO) es la práctica de SD-WAN que consiste en enrutar el tráfico de las sucursales destinado a Internet y a servicios SaaS de confianza directamente a Internet desde la propia sede local, en lugar de hacerlo pasar por la WAN hasta un nodo central o un centro de datos para su inspección y salida, lo que reduce la latencia y libera ancho de banda de la WAN.

Puntos clave

• LBO redirige el tráfico de Internet de las sucursales a la red local, sin pasar por el backhaul.
• Reduce la latencia y la carga de la WAN del centro de datos en comparación con la conexión centralizada (CBO).
• Se aplica a todo el tráfico o solo a determinadas aplicaciones de confianza.
• Requiere medidas de seguridad adicionales en las sucursales, ya que el tráfico no pasa por la inspección del centro de distribución.
• Complica los controles centralizados, como las listas de direcciones IP de confianza de Azure AD MFA.

En esta página: Por qué es importante · Cómo funciona · Tipos · Breakout local y Versa · Preguntas frecuentes

¿Por qué es importante el «Local Breakout»?

El diseño tradicional de la WAN redirige todo el tráfico de Internet de cada sucursal hacia un nodo central o un centro de datos a través de MPLS, donde un proxy o un cortafuegos central lo inspecciona antes de que llegue a Internet. Esto funcionaba cuando las aplicaciones se alojaban en el centro de datos, pero a medida que las cargas de trabajo se trasladan a la nube pública y a plataformas SaaS como Microsoft 365, el desvío del tráfico de las sucursales a través de una ubicación central añade latencia, consume un costoso ancho de banda de la WAN y obliga a que los equipos de red del nodo central se adapten a un volumen de tráfico que nunca antes habían tenido que gestionar.

El LBO es importante porque elimina ese desvío: el tráfico destinado a destinos de confianza en Internet o SaaS sale directamente desde la sucursal, a través de cualquier circuito de Internet local que esté disponible. El resultado es un menor número de saltos en la red, un mejor rendimiento para las aplicaciones en la nube y SaaS, y menores costes de ancho de banda y equipamiento en el centro de datos. La contrapartida es que una sucursal que envía tráfico directamente a Internet necesita sus propios controles de seguridad, ya que deja de estar protegida por el punto de inspección central.

¿Qué es «Local Breakout»?

Técnicamente, LBO es una forma de acceso directo a Internet (DIA) que se implementa mediante enrutamiento estándar. Una conexión lógica vincula el VRF del inquilino de la sucursal con el enrutador virtual de transporte de la WAN, y el EBGP anuncia una ruta por defecto a través de esa conexión, de modo que el tráfico de la sucursal da preferencia a la ruta local frente a cualquier ruta aprendida de la superposición SD-WAN. Una regla NAT/CGNAT traduce el tráfico de salida de la LAN a la dirección pública de la WAN de la sucursal antes de que salga.

Los administradores configuran el LBO mediante la política de enrutamiento de tráfico de la SD-WAN: los perfiles de reenvío seleccionan la salida local como siguiente salto para el tráfico que cumple determinados criterios, mientras que el resto del tráfico puede seguir la ruta predeterminada hacia un punto de salida central o regional. La misma infraestructura también admite la selección basada en el rendimiento, en la que la SD-WAN mide la latencia y la pérdida en las rutas de salida locales y remotas, y dirige cada sesión hacia la que ofrezca un mejor rendimiento.

Tipos de ruptura local

Las implementaciones suelen adoptar una de estas tres formas. La salida local completa (predeterminada) envía todo el tráfico de la sucursal destinado a Internet a través de la red local; se trata del modelo más sencillo, adecuado para sucursales en las que se confía en el circuito local y sus controles de seguridad. La salida local basada en aplicaciones (selectiva) solo permite la salida local de aplicaciones específicas o grupos de SaaS —como Microsoft 365 o Salesforce—, mientras que el resto del tráfico continúa hacia un punto de salida central o regional; este es el patrón de producción más habitual, ya que limita la exposición local a un conjunto definido y de confianza de destinos. La salida híbrida, local y central, combina ambas opciones según las políticas; por ejemplo, enrutando el tráfico de identidad y autenticación de forma centralizada para que provenga de un pequeño conjunto de direcciones IP conocidas, al tiempo que permite que el tráfico general de SaaS salga localmente para mejorar el rendimiento. El patrón más adecuado depende del grado de confianza que se pueda depositar en el circuito local de la sucursal y en la pila de seguridad disponible para permitir la salida a Internet sin filtrar.

Ruptura local y Versa

Versa Secure SD-WAN Implementa LBO en los dispositivos periféricos VOS utilizando la arquitectura EBGP/CGNAT descrita anteriormente, configurada a través de los flujos de trabajo de Director en la pestaña «Túneles» de una plantilla de dispositivo, con la opción de respaldar una ruta predeterminada local con otra de origen central o regional para garantizar la redundancia. La Guía de diseño de SD-WAN deVersa aborda en profundidad los mismos diseños de salida basados en aplicaciones y en el rendimiento, incluyendo las reglas de políticas de SD-WAN, los perfiles de reenvío y la supervisión pasiva y activa que utiliza Versa para seleccionar la ruta de salida con mejor rendimiento para el tráfico SaaS, como Salesforce o Microsoft 365.

Versa Además, describe un diseño híbrido para organizaciones que utilizan la autenticación multifactorial (MFA) de Azure Active Directory: la combinación de LBO con el tráfico de autenticación desviado de forma centralizada permite mantener la lista de direcciones IP de confianza de Azure AD MFA reducida y estable, al tiempo que permite que el tráfico SaaS autorizado se desvíe localmente en cada sucursal, incluidas aquellas con direcciones WAN asignadas dinámicamente.

Preguntas frecuentes

¿Cuál es la diferencia entre el «breakout» local y el «breakout» central (CBO)?

La conexión local (LBO) envía el tráfico de Internet de la sucursal directamente a Internet desde la propia sucursal. Por el contrario, la conexión centralizada (CBO) lo enruta a través de la WAN hacia una ubicación central —un centro de datos o la sede central— para su inspección antes de que salga de la red. La CBO sacrifica el rendimiento a cambio de un control centralizado; la LBO sacrifica parte del control centralizado a cambio de rendimiento.

¿El «local breakout» es lo mismo que el acceso directo a Internet (DIA)?

En efecto, sí, según la documentación sobre SD-WAN de Versa: DIA describe la salida del tráfico a Internet en la sucursal, y «salida local» es el término que se utiliza para referirse a esa misma salida procedente de la sucursal, a diferencia del enrutamiento de ese tráfico hacia un punto de salida central.

¿Aumenta el «local breakout» el riesgo de seguridad?

Es posible, ya que el tráfico ya no pasa por un punto de inspección central. Las sucursales que utilizan LBO suelen necesitar su propia protección —una función de cortafuegos de última generación en el dispositivo perimetral de la SD-WAN o un servicio de seguridad en la nube— para aplicar las políticas que, de otro modo, habría aplicado un nodo central.

¿Cómo afecta la conexión local a las listas de direcciones IP de confianza de Azure AD MFA?

Cada sucursal que utiliza LBO redirige a los usuarios a Azure AD desde su propia dirección IP pública, por lo que la lista de direcciones IP de confianza necesaria para eludir la autenticación de dos factores (MFA) crece con cada sede y deja de funcionar en el caso de las sucursales con direcciones WAN dinámicas. Esto se evita enrutando de forma centralizada únicamente el tráfico de autenticación, mientras se mantiene el resto del tráfico SaaS en LBO.

¿Puede una sucursal combinar el desagregado local y el central para diferentes tipos de tráfico?

Sí. La política de enrutamiento de tráfico de SD-WAN puede identificar aplicaciones específicas, como un proveedor de identidad, y obligarlas a pasar por un punto de salida central mediante un perfil de reenvío, mientras que una regla predeterminada o de «salvaguardia» envía todo lo demás a través de la red local: este es el diseño híbrido que utilizan la mayoría de las implementaciones en producción.

Más información sobre «Local Breakout»

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre «Local Breakout», te conviene echar un vistazo a lo siguiente.