¿Qué es una red superpuesta?

Una red superpuesta es una red lógica construida sobre uno o varios transportes subyacentes —Internet, MPLS o LTE— mediante túneles como IPsec y VXLAN. Abstrae las sedes y las nubes en una única estructura direccionable, independiente de los circuitos que transportan el tráfico en su base.

Puntos clave

• Los túneles de superposición abstraen el tráfico del transporte subyacente que lo transporta.
• IPsec cifra el tráfico de superposición; VXLAN, por su parte, transporta la superposición en texto sin cifrar.
• La SD-WAN crea topologías superpuestas mediante MP-BGP, en lugar de un enrutamiento manual por sitio.
• Las topologías de superposición más habituales son la malla completa, la de «hub-and-spoke» y la malla regional.
• La configuración de direcciones IP superpuestas se establece una sola vez durante la configuración del Director y no se puede modificar posteriormente.

En esta página: Por qué es importante · Cómo funciona · Topologías de redes superpuestas · Networks s superpuestas y Versa · Preguntas frecuentes

¿Por qué son importantes las redes superpuestas?

Las empresas rara vez controlan la red física de extremo a extremo. Las sucursales se conectan con la sede central y la nube a través de una combinación de circuitos de banda ancha, MPLS y LTE de diferentes proveedores, cada uno con su propio sistema de direccionamiento y nivel de confianza. Una red superpuesta resuelve esa fragmentación creando una estructura lógica con direccionamiento coherente en todas las sedes, independientemente del circuito subyacente que transporte los paquetes. Los túneles discurren por cualquier ruta IP accesible, por lo que añadir una sede o cambiar de proveedor no obliga a rediseñar el enrutamiento.

Las superposiciones también separan la seguridad del transporte. Los túneles cifrados protegen los datos de extremo a extremo, por lo que el tráfico que atraviesa la Internet pública obtiene la misma protección que el tráfico de un circuito MPLS privado, sin necesidad de confiar en el operador. En el caso concreto de la SD-WAN, la superposición es lo que hace posible el enrutamiento basado en aplicaciones: sin una estructura lógica estable sobre enlaces físicos en constante cambio, la selección de rutas y la aplicación de políticas no tienen un punto de referencia coherente al que aferrarse.

¿Qué es una red superpuesta?

Una red superpuesta es un conjunto de túneles lógicos que se superponen a uno o más transportes físicos subyacentes. La SD-WAN suele crear dos superposiciones entre cada par de sedes: una superposición cifrada mediante IPsec y otra en texto plano mediante VXLAN, que se eligen por flujo en función de si se necesita cifrado. Por defecto, los datos circulan por la red superpuesta cifrada, aunque los administradores pueden definir el transporte en texto claro por cada interfaz WAN —lo cual resulta útil en un circuito ya seguro, como una VPN MPLS de capa 3— o de forma dinámica, mediante una política que desactiva el cifrado para el tráfico que ya está cifrado, como el HTTPS.

Las rutas de la red superpuesta se intercambian a través de MP-BGP, utilizando cadenas de comunidad y políticas de importación/exportación para construir la topología deseada. Dado que la red superpuesta es puramente lógica, su direccionamiento IP es independiente de la red subyacente: las direcciones se eligen una sola vez, a partir de un conjunto de direcciones dimensionado para la implementación, y siguen siendo enrutables independientemente de qué circuito físico esté activo en la red subyacente.

Topologías de redes superpuestas

La forma de una superposición, y no el cableado físico que hay debajo, determina cómo se comunican realmente las sedes entre sí. La malla completa conecta cada sucursal directamente con todas las demás a través de túneles de superposición, evitando un punto de tránsito central; resulta adecuada para el tráfico de voz y las arquitecturas de seguridad distribuidas en las que un nodo central añadiría retraso. La topología «hub-and-spoke» canaliza el tráfico de los «spokes» a través de un «hub», con variantes que van desde la conexión exclusiva de «spoke» a «hub» (los «spokes» nunca se comunican entre sí) hasta la conexión de «spoke» a «spoke» a través de un «hub», la conexión directa de «spoke» a «spoke» dentro de un grupo de «spokes» y un diseño mixto de malla parcial. La malla regional (ramal-centro-centro-ramal) agrupa las sucursales por región, utilizando cualquier topología dentro de una región y enrutando el tráfico interregional a través de centros regionales. Las superposiciones multi-VRF (multitenencia) mantienen a las organizaciones separadas y lógicamente aisladas en una infraestructura compartida mediante VRF distintos.

Todas ellas utilizan el mismo mecanismo —las comunidades MP-BGP y las políticas de importación y exportación—, por lo que una implementación puede combinar diferentes topologías por sucursal o región sin necesidad de volver a cablear nada físicamente.

Superposición Networks & Versa

VersaLa estructura SD-WAN de [nombre de la empresa] se basa en una red superpuesta: las sucursales y los centros se conectan a un nodo controlador, que actúa como punto de anclaje del plano de control y gestión, y las topologías se crean mediante flujos de trabajo de Director utilizando comunidades MP-BGP, en lugar de una configuración manual por sitio. El artículo sobre redes superpuestas SD-WAN aborda el par de túneles IPsec cifrado y VXLAN de texto sin cifrar que Versa crea de forma predeterminada, así como la forma de elegir el transporte cifrado o de texto sin cifrar por interfaz WAN o por política de SD-WAN. La guía de diseño consolidada de SD-WAN y la guía de diseño de SD-WAN «Versa » abordan las topologías compatibles —malla completa, variantes de tipo «hub-and-spoke», malla regional y multi-VRF— junto con la supervisión de los SLA y las recomendaciones de escalabilidad para grandes implementaciones. El direccionamiento IP superpuesto se configura una sola vez durante la configuración inicial del Director y no se puede modificar posteriormente, por lo que elegir el método y una subred lo suficientemente grande para el despliegue es una decisión que debe tomarse desde el primer día. Dado que las rutas y la topología se basan en flujos de trabajo, reestructurar un despliegue supone un cambio de política, no un ejercicio de recableado.

Preguntas frecuentes

¿Cuál es la diferencia entre una red de superposición y una red de base?

La red subyacente es el medio físico o de transporte del proveedor —Internet, MPLS, LTE— que transporta los paquetes. La red superpuesta es la red lógica de túneles construida sobre ella. El tráfico de la red superpuesta llega a su destino siempre que haya al menos un circuito de la red subyacente que garantice la accesibilidad.

¿El tráfico de red de la red superpuesta está siempre cifrado?

No necesariamente. Las redes superpuestas SD-WAN suelen establecer tanto un túnel IPsec cifrado como un túnel VXLAN en texto plano. Por defecto, los datos circulan por el túnel cifrado, pero los administradores pueden permitir el transporte en texto plano en circuitos seguros como MPLS, o desactivar el cifrado para el tráfico que ya está cifrado, como el HTTPS.

¿Qué topologías puede utilizar una red superpuesta SD-WAN?

VersaLa red superpuesta SD-WAN de la empresa es compatible con la malla completa, varias variantes de la arquitectura «hub-and-spoke» (solo de «spoke» a «hub», de «spoke» a «spoke» a través de un «hub» y de «spoke» a «spoke» directamente), la malla regional (de «spoke» a «hub» a «hub» a «spoke») y la multitenencia con múltiples VRF. Todas ellas se han diseñado con comunidades MP-BGP y políticas de importación, configuradas a través de los flujos de trabajo de Director en lugar de mediante cambios manuales en el enrutamiento.

¿Se puede modificar el direccionamiento IP superpuesto tras la implementación?

No. El método de asignación de direcciones IP superpuestas y el conjunto de direcciones se configuran una sola vez durante la configuración inicial de Versa Director y no se pueden modificar posteriormente. Los administradores deben elegir el método adecuado y asignar desde el principio una subred lo suficientemente grande como para el tamaño previsto de la implementación.

¿Cómo llega el tráfico al túnel de superposición correcto?

Las rutas de superposición se intercambian entre los nodos controladores y las ramificaciones mediante MP-BGP, y son las cadenas de comunidad y las políticas de importación/exportación las que determinan qué topología siguen las rutas. El siguiente salto para un prefijo remoto es la ramificación accesible, el nodo central o la interfaz de bucle de retorno del controlador a través del túnel de superposición.

Más información sobre Overlay Networks

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre redes superpuestas, te conviene echarles un vistazo a continuación.