Qu'est-ce que « Local Breakout » ?

Le « Local Breakout » (LBO) est une pratique SD-WAN consistant à acheminer directement vers Internet, depuis le site local, le trafic des succursales destiné à des services Internet et SaaS fiables, plutôt que de le faire transiter par le réseau étendu (WAN) vers un hub central ou un centre de données pour y être inspecté et acheminé vers l'extérieur, ce qui réduit la latence et libère de la bande passante sur le WAN.

Points clés à retenir

• Le LBO achemine le trafic Internet des succursales au niveau local, en contournant le réseau de raccordement.
• Réduit la latence et la charge du réseau étendu (WAN) du centre de données par rapport à une solution de répartition centralisée (CBO).
• S'applique à l'ensemble du trafic ou uniquement à certaines applications de confiance.
• Cela nécessite une sécurité supplémentaire au niveau des succursales, car le trafic ne passe pas par le contrôle du hub.
• Cela complique la gestion centralisée de certains contrôles, comme les listes d'adresses IP de confiance de l'authentification multifactorielle (MFA) d'Azure AD.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · Évasion locale et Versa · FAQ

Pourquoi le « Local Breakout » est-il important ?

Dans les architectures WAN traditionnelles, le trafic Internet de chaque succursale est redirigé vers un hub ou un centre de données via MPLS, où un proxy ou un pare-feu central l’inspecte avant qu’il n’atteigne Internet. Ce système fonctionnait lorsque les applications résidaient dans le centre de données, mais à mesure que les charges de travail migrent vers le cloud public et les plateformes SaaS telles que Microsoft 365, le fait de faire transiter le trafic des succursales par un site central augmente la latence, consomme une bande passante WAN coûteuse et oblige les équipements réseau du hub à s’adapter à un trafic qu’ils n’avaient jamais eu à gérer auparavant.

Le LBO est important car il supprime ce détour : le trafic à destination de sites Internet ou de services SaaS de confiance sort directement de la succursale, via n'importe quel circuit Internet local disponible. Il en résulte une réduction du nombre de sauts réseau, un meilleur débit pour les applications cloud et SaaS, ainsi qu'une baisse des coûts de bande passante et d'équipement au niveau du centre de données. En contrepartie, une succursale qui envoie son trafic directement vers Internet doit disposer de ses propres contrôles de sécurité, puisqu'elle n'est plus protégée par le point d'inspection central.

Qu'est-ce que « Local Breakout » ?

Techniquement, le LBO est une forme d’accès direct à Internet (DIA) mise en œuvre via un routage standard. Une connexion logique relie le VRF du locataire de la succursale au routeur virtuel de transport WAN, et le protocole EBGP annonce une route par défaut sur cette connexion, de sorte que le trafic de la succursale privilégie le chemin local par rapport à toute route apprise via la superposition SD-WAN. Une règle NAT/CGNAT traduit le trafic LAN sortant vers l’adresse WAN publique de la succursale avant qu’il ne quitte le réseau.

Les administrateurs configurent le LBO via une politique d’acheminement du trafic SD-WAN : les profils de transfert sélectionnent le point de sortie local comme prochain saut pour le trafic répondant à certains critères, tandis que tout le reste peut continuer à suivre la route par défaut vers un point de sortie central ou régional. Cette même infrastructure prend également en charge la sélection basée sur les performances, dans laquelle le SD-WAN mesure la latence et les pertes sur les chemins de sortie locaux et distants, et achemine chaque session vers celui qui offre les meilleures performances.

Types de « breakout » local

Les déploiements prennent généralement l’une des trois formes suivantes. Le « breakout » local complet (par défaut) achemine tout le trafic de la succursale destiné à Internet vers l’extérieur au niveau local ; il s’agit du modèle le plus simple, adapté aux succursales où la liaison locale et ses contrôles de sécurité sont fiables. Le « local breakout » basé sur les applications (sélectif) ne redirige localement que des applications spécifiques ou des groupes SaaS – tels que Microsoft 365 ou Salesforce –, tandis que le reste du trafic continue vers un point de sortie central ou régional ; il s’agit du modèle de production le plus courant, car il limite l’exposition locale à un ensemble défini et fiable de destinations. Le « breakout » hybride, à la fois local et central, combine les deux approches selon des règles définies ; par exemple, en acheminant de manière centralisée le trafic lié à l’identité et à l’authentification afin qu’il provienne d’un petit ensemble d’adresses IP connues, tout en laissant le trafic SaaS général sortir localement pour des raisons de performances. Le choix du modèle approprié dépend du degré de confiance que l’on peut accorder au circuit local d’une succursale et à sa pile de sécurité disponible pour gérer un trafic sortant vers Internet non filtré.

Évasion locale & Versa

Versa Secure SD-WAN met en œuvre le LBO sur les périphériques VOS en utilisant l’architecture EBGP/CGNAT décrite ci-dessus, configurée via les workflows Director dans l’onglet « Tunnels » d’un modèle de périphérique, avec la possibilité de faire appel à une route par défaut centrale ou régionale en renfort d’une route locale par défaut à des fins de redondance. Le guide de conception SD-WAN d’Versa traite en détail ces mêmes architectures de sortie basées sur les applications et les performances, notamment les règles de politique SD-WAN, les profils de transfert, ainsi que les mécanismes de surveillance passive et active utilisés par l’ Versa pour sélectionner le chemin de sortie le plus performant pour le trafic SaaS, tel que Salesforce ou Microsoft 365.

Versa présente également une architecture hybride destinée aux organisations utilisant l'authentification multifactorielle (MFA) d'Azure Active Directory : la combinaison du LBO et d'un trafic d'authentification acheminé de manière centralisée permet de maintenir une liste réduite et stable d'adresses IP de confiance pour l'authentification multifactorielle d'Azure AD, tout en autorisant le trafic SaaS approuvé à être acheminé localement dans chaque succursale, y compris celles disposant d'adresses WAN attribuées de manière dynamique.

Questions fréquentes

Quelle est la différence entre le « local breakout » et le « central breakout » (CBO) ?

Avec la sortie locale (LBO), le trafic Internet de la succursale est acheminé directement vers Internet au niveau de la succursale. La sortie centrale (CBO), quant à elle, achemine ce trafic via le réseau étendu (WAN) vers un site central – un centre de données ou un siège social – afin qu’il y soit inspecté avant de sortir du réseau. La CBO privilégie le contrôle centralisé au détriment des performances ; la LBO privilégie les performances au détriment d’une partie du contrôle centralisé.

Le « local breakout » correspond-il à l'accès direct à Internet (DIA) ?

En effet, c'est ce qu'indique la documentation sur le SD-WAN d'Versa: DIA désigne l'acheminement du trafic vers Internet au niveau de la succursale, et le terme « sortie locale » est utilisé pour désigner ce même trafic sortant provenant de la succursale, par opposition à l'acheminement de ce trafic vers un point de sortie central.

L'accès local augmente-t-il les risques liés à la sécurité ?

C'est possible, car le trafic ne transite plus par un point d'inspection central. Les succursales utilisant le LBO ont généralement besoin de leur propre protection – une fonction de pare-feu de nouvelle génération sur le périphérique SD-WAN ou un service de sécurité dans le cloud – pour appliquer les politiques qu'un hub central aurait autrement mises en œuvre.

Quel est l'impact de la connexion locale sur les listes d'adresses IP de confiance d'Azure AD MFA ?

Chaque succursale utilisant le LBO redirige les utilisateurs vers Azure AD à partir de sa propre adresse IP publique ; par conséquent, la liste des adresses IP de confiance nécessaire pour contourner l'authentification à deux facteurs (MFA) s'allonge à chaque nouveau site et ne fonctionne pas pour les succursales disposant d'adresses WAN dynamiques. Pour éviter cela, il suffit d'acheminer de manière centralisée uniquement le trafic d'authentification, tout en conservant le reste du trafic SaaS sur le LBO.

Une succursale peut-elle combiner une déconcentration locale et centrale pour différents types de trafic ?

Oui. Une politique de routage du trafic SD-WAN peut cibler des applications spécifiques, telles qu’un fournisseur d’identité, et les acheminer vers un point de sortie central via un profil de transfert, tandis qu’une règle par défaut ou « fourre-tout » achemine tout le reste vers le réseau local – c’est l’architecture hybride utilisée par la plupart des déploiements en production.

En savoir plus sur Local Breakout

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez à « Local Breakout », voici quelques liens qui pourraient vous intéresser.