¿Qué es SD-LAN?

SD-LAN es el componente de red de área local segura de la plataforma « VersaONE » de Universal SASE , integrado junto con SD-WAN, NGFW, SASE y SSE para conectar de forma segura a usuarios, dispositivos, cargas de trabajo y redes. Se ejecuta en conmutadores Ethernet basados en VOS, configurados mediante plantillas de flujo de trabajo de Director que definen los puertos de los conmutadores, los perfiles de seguridad y las políticas de acceso.

Puntos clave

• SD-LAN es el pilar de la red LAN segura de VersaONE, junto con SD-WAN y SSE.
• Funciona en los conmutadores VOS: las familias CSX4300, CSX4500 y CSX8300.
• Las plantillas de flujo de trabajo de Director configuran los puertos, los perfiles y las políticas de ACL.
• Admite EVPN-VXLAN, autenticación 802.1X y multihoming de conmutadores.
• Se combina con ZT Edge para formar la solución LAN de confianza cero de Versa.

En esta página: Por qué es importante · Cómo funciona · Componentes de SD-LAN · SD-LAN y VersaONE · Preguntas frecuentes

¿Por qué es importante la SD-LAN?

Tradicionalmente, la gestión de la conmutación LAN en el campus y en las sucursales se ha llevado a cabo de forma independiente de la WAN y de la pila de seguridad: una consola diferente, un modelo de políticas distinto y, a menudo, una gestión mediante la interfaz de línea de comandos (CLI) individual para cada conmutador. SD-LAN elimina esa separación al integrar la conmutación Ethernet en el mismo software VOS, las mismas plantillas de Director y la misma arquitectura de cabecera que ya se utilizan para SD-WAN, de modo que un único equipo y un único modelo operativo abarcan tanto la estructura de área amplia como la red local.

Además, traslada la seguridad al punto en el que los usuarios y los dispositivos se conectan realmente: el puerto de acceso. La autenticación 802.1X a nivel de puerto y la política de ACL permiten que un conmutador aplique el control de identidad y acceso en el perímetro, en lugar de confiar en todo lo que hay dentro del edificio y filtrarlo posteriormente. Esa aplicación en la capa de acceso es la base sobre la que se asientan los diseños de LAN Zero Trust de Versa, y la implementación basada en plantillas le proporciona la misma escalabilidad operativa —una configuración reutilizable que se aplica a numerosos conmutadores— que hizo que la SD-WAN fuera gestionable a gran escala.

¿Qué es SD-LAN?

La configuración de SD-LAN comienza con una plantilla de flujo de trabajo en el nodo Director: un administrador selecciona el modelo de conmutador (CSX4300, CSX4500, CSX8300 o un formato de máquina virtual), la organización y las suborganizaciones, el nodo o nodos Controller que gestionarán el conmutador, el nivel de la solución de licencias y el clúster de Analytics que recibirá sus registros. El asistente de configuración de Director guía al usuario paso a paso y despliega la plantilla finalizada para activar el conmutador.

A partir de ahí, los puertos físicos se configuran como interfaces de conmutación de Capa 2 —en modo de acceso o de tronco, con asignación de VLAN— o como interfaces enrutadas de Capa 3 con direccionamiento IPv4/IPv6 estático o asignado mediante DHCP. Los puertos de Capa 3 también pueden habilitar VXLAN, anunciando la interfaz y su red en una estructura EVPN/VXLAN, de modo que los dominios de Capa 2 puedan extenderse entre sedes a través de un núcleo enrutado.

Componentes de SD-LAN

Los componentes básicos de una plantilla se dividen en tres grupos. Los puertos son las interfaces físicas y virtuales: puertos físicos de capa 2 y capa 3, interfaces Ethernet agregadas creadas mediante la agregación de enlaces LACP, interfaces de gestión del conmutador para la administración remota e interfaces IRB que enrutan entre una red de capa 3 y un dominio de puente de capa 2.

Los perfiles son configuraciones reutilizables asociadas a los puertos: perfiles 802.1X para la autenticación basada en puertos, perfiles de multihoming (MC-LAG) que permiten a un conmutador de acceso conectarse de forma redundante a más de un dispositivo de nivel superior, y perfiles de puertos físicos que abarcan funciones como Power over Ethernet y LLDP. Las políticas son reglas ACL que controlan qué tráfico permite un puerto o un conmutador. Detrás de todo ello se encuentra el propio hardware del conmutador: la familia CSX de Versaabarca desde dispositivos periféricos y de acceso hasta funciones de conmutación de agregación y núcleo.

SD-LAN y VersaONE

SD-LAN es uno de los pilares convergentes de VersaONE, basado en el mismo software VOS y en la misma cabecera de Director-Controller-Analytics que coordina la SD-WAN: las plantillas de Director configuran el conmutador, un nodo Controller lo gestiona y un clúster de Analytics recopila sus datos de telemetría; se trata del mismo modelo operativo, solo que aplicado a la conmutación de LAN en lugar del enrutamiento de sucursales.

Junto con ZT Edge, SD-LAN conforma la solución Zero-Trust LAN (ZT-LAN) de Versa, que ofrece acceso de red de confianza cero (Zero Trust Network Access) y microsegmentación para redes de campus y sucursales. La microsegmentación basada en el perfil de información de los terminales (EIP) amplía aún más estas capacidades, permitiendo que los clientes de Versa SASE se conecten en modo de red de confianza asistida por puerta de enlace, de modo que tanto el acceso remoto como el local apliquen la misma política basada en la identidad.

Preguntas frecuentes

¿Cuál es la diferencia entre SD-LAN y SD-WAN?

SD-WAN es la capa de área amplia: los dispositivos VOS de las sucursales y los centros de distribución establecen túneles IPsec y MP-BGP con un controlador a través de diversos medios de transporte. SD-LAN es la capa de área local: puertos de conmutador Ethernet, VLAN y políticas de acceso en los conmutadores basados en VOS de una sede. Ambas comparten el mismo modelo de cabecera «Director-Controlador-Análisis».

¿Qué hardware de conmutación utiliza la red SD-LAN de Versa ?

VersaLa familia CSX de conmutadores Ethernet basados en VOS de [nombre de la empresa] ejecuta SD-LAN, incluyendo los modelos CSX4300, CSX4500 y CSX8300, además de un formato VM para implementaciones virtuales. Las series más amplias CSX2000, CSX4000 y CSX8000 amplían la familia para abarcar funciones de conmutación en el perímetro, el acceso, la agregación y el núcleo.

¿Cómo se configura SD-LAN?

Los administradores utilizan un asistente de configuración guiada en el nodo Director para crear una plantilla de flujo de trabajo que recoge el modelo del conmutador, la organización, las licencias y la asignación del controlador. A continuación, configuran los puertos físicos y virtuales, asocian perfiles de seguridad y aplican políticas de ACL antes de implementar la plantilla en el conmutador.

¿Cuál es la relación entre una SD-LAN y una LAN de confianza cero?

La LAN de confianza cero (ZT-LAN) es la solución de LAN local más completa de Versa. Combina Secure SD-LAN con ZT Edge para ofrecer acceso a la red de confianza cero, microsegmentación y redes de campus y sucursales definidas por software sobre la base de conmutadores y puntos de acceso basados en VOS; SD-LAN proporciona la capa de conmutación sobre la que se ejecuta el modelo de políticas de ZT-LAN.

¿Es compatible SD-LAN con VXLAN y EVPN?

Sí. Los puertos de capa 3 de SD-LAN pueden habilitar VXLAN, una encapsulación del plano de datos que transporta tráfico de VPN Ethernet (EVPN) a través de una red IP enrutada. Al habilitarla, se anuncian la interfaz y la red del puerto en la estructura EVPN/VXLAN, lo que amplía los dominios de capa 2 a través de un núcleo enrutado.

Más información sobre SD-LAN

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre SD-LAN, te conviene echar un vistazo a lo siguiente.