Qu'est-ce qu'un réseau superposé ?

Un réseau de superposition est un réseau logique construit par-dessus un ou plusieurs réseaux de base (Internet, MPLS ou LTE) à l'aide de tunnels tels que IPsec et VXLAN. Il regroupe les sites et les clouds en une seule structure adressable, indépendante des circuits qui acheminent le trafic en arrière-plan.

Points clés à retenir

• Les tunnels de superposition dissocient le trafic du mode de transport sous-jacent qui l'achemine.
• IPsec chiffre le trafic de superposition ; VXLAN achemine quant à lui la superposition en clair.
• Le SD-WAN met en place des topologies de superposition à l'aide du protocole MP-BGP, et non par le biais d'un routage manuel site par site.
• Les topologies de réseau superposé les plus courantes sont le maillage complet, le réseau en étoile et le maillage régional.
• L'adressage IP par superposition est configuré une seule fois lors de la configuration du Director et ne peut plus être modifié par la suite.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Topologies de réseaux superposés · Networks s de superposition et Versa · FAQ

Pourquoi les réseaux superposés sont-ils importants ?

Les entreprises contrôlent rarement le réseau physique de bout en bout. Les succursales communiquent avec le siège social et le cloud via un mélange de circuits haut débit, MPLS et LTE provenant de différents fournisseurs, chacun disposant de son propre système d’adressage et de son propre niveau de confiance. Un réseau superposé résout cette fragmentation en créant une structure logique unique, adressable de manière cohérente sur l’ensemble des sites, quel que soit le circuit sous-jacent qui achemine les paquets. Les tunnels s’établissent sur n’importe quel chemin IP accessible ; ainsi, l’ajout d’un site ou le changement de fournisseur n’impose pas de refonte du routage.

Les superpositions dissocient également la sécurité du transport. Les tunnels chiffrés protègent les données de bout en bout ; ainsi, le trafic transitant par l’Internet public bénéficie de la même protection que celui circulant sur un circuit MPLS privé, sans qu’il soit nécessaire de faire confiance à l’opérateur. Dans le cas spécifique du SD-WAN, c’est la superposition qui rend possible l’acheminement en fonction des applications : sans une structure logique stable reposant sur des liaisons physiques en constante évolution, la sélection des chemins et l’application des politiques ne disposent d’aucun point d’ancrage cohérent.

Qu'est-ce qu'un réseau superposé ?

Un réseau superposé (overlay) est un ensemble de tunnels logiques superposés à un ou plusieurs transports physiques sous-jacents (underlay). Le SD-WAN établit généralement deux superpositions entre chaque paire de sites : une superposition chiffrée utilisant IPsec et une superposition en clair utilisant VXLAN, choisie pour chaque flux en fonction de la nécessité ou non d’un chiffrement. Par défaut, les données empruntent le réseau superposé chiffré, mais les administrateurs peuvent définir un transport en clair par interface WAN – ce qui s’avère utile sur un circuit déjà sécurisé tel qu’un VPN MPLS de couche 3 – ou de manière dynamique, via une politique désactivant le chiffrement pour le trafic déjà chiffré, comme le protocole HTTPS.

Les routes de superposition sont échangées via MP-BGP, à l'aide de chaînes de communauté et de politiques d'importation/exportation, afin de construire la topologie souhaitée. La superposition étant purement logique, son adressage IP est indépendant de la couche sous-jacente : les adresses sont choisies une seule fois, à partir d'un pool dimensionné en fonction du déploiement, et restent routables quel que soit le circuit physique actif en arrière-plan.

Topologies de réseaux superposés

C'est la structure d'un réseau superposé, et non le câblage physique sous-jacent, qui détermine la manière dont les sites communiquent réellement entre eux. Une architecture en maillage complet relie chaque succursale directement à toutes les autres via des tunnels superposés, évitant ainsi tout point de transit central ; elle convient au trafic vocal et aux architectures de sécurité distribuées où un concentrateur ajouterait un temps de latence. Dans une architecture « hub-and-spoke », le trafic des « spokes » transite par un « hub », selon différentes variantes allant du « spoke-to-hub-only » (les « spokes » ne communiquent jamais entre eux) au « spoke-to-spoke » via un « hub », en passant par le « spoke-to-spoke » direct au sein d’un groupe de « spokes », et une conception mixte de maillage partiel. Le maillage régional (spoke-hub-hub-spoke) regroupe les succursales par région, en utilisant n’importe quelle topologie au sein d’une région et en acheminant le trafic interrégional via des hubs régionaux. Les superpositions multi-VRF (multitenancy) maintiennent les organisations distinctes logiquement isolées sur une infrastructure partagée à l’aide de VRF distincts.

Toutes ces solutions reposent sur le même mécanisme – les communautés MP-BGP et les politiques d'importation/exportation – ce qui permet, lors d'un déploiement, de combiner différentes topologies par succursale ou par région sans avoir à modifier le câblage physique.

Networks s sur les superpositions & Versa

VersaLa structure SD-WAN de [nom de l'entreprise] repose sur une architecture en superposition : les succursales et les hubs se connectent à un nœud « Controller », qui héberge le plan de contrôle et de gestion, et les topologies sont construites via des workflows « Director » à l’aide de communautés MP-BGP, plutôt que par une configuration manuelle site par site. L’article consacré aux réseaux superposés SD-WAN traite de la paire de tunnels IPsec chiffrés et VXLAN en texte clair que l’ Versa t par défaut, ainsi que de la manière de choisir un transport chiffré ou en texte clair par interface WAN ou par politique SD-WAN. Le guide de conception SD-WAN consolidé et le guide de conception SD-WAN «Versa » traitent des topologies prises en charge – maillage complet, variantes en étoile, maillage régional et multi-VRF – et fournissent des conseils sur la surveillance des SLA et la scalabilité pour les déploiements à grande échelle. L’adressage IP en superposition est configuré une seule fois lors de l’installation initiale du Director et ne peut plus être modifié par la suite ; le choix de la méthode et d’un sous-réseau suffisamment grand pour le déploiement doit donc être effectué dès le premier jour. Les routes et la topologie étant déterminées par les workflows, la refonte d’un déploiement relève d’un changement de politique et non d’une opération de recâblage.

Questions fréquentes

Quelle est la différence entre un réseau de superposition et un réseau de base ?

L'« underlay » désigne le réseau physique ou le réseau de transport (Internet, MPLS, LTE) qui achemine les paquets. L'« overlay » correspond au réseau logique constitué de tunnels construits par-dessus ce réseau. Le trafic de l'« overlay » atteint sa destination dès lors qu'un circuit de l'« underlay » assure l'accessibilité.

Le trafic réseau de superposition est-il toujours chiffré ?

Pas nécessairement. Les réseaux SD-WAN de type « overlay » établissent généralement à la fois un tunnel IPsec chiffré et un tunnel VXLAN en clair. Par défaut, les données transitent par le tunnel chiffré, mais les administrateurs peuvent autoriser le transport en clair sur des circuits sécurisés tels que le MPLS, ou désactiver le chiffrement pour le trafic déjà chiffré, comme le HTTPS.

Quelles topologies un réseau SD-WAN en superposition peut-il utiliser ?

VersaLa couche SD-WAN de [nom de l'entreprise] prend en charge le maillage complet, plusieurs variantes du modèle « hub-and-spoke » (spoke-to-hub uniquement, spoke-to-spoke via un hub, spoke-to-spoke direct), le maillage régional (spoke-hub-hub-spoke) et la multi-tenance multi-VRF. Toutes ces fonctionnalités s’appuient sur des communautés MP-BGP et des politiques d’importation, configurées via les workflows Director plutôt que par des modifications manuelles du routage.

L'adressage IP par superposition peut-il être modifié après le déploiement ?

Non. La méthode d’adressage IP par superposition et le pool d’adresses sont configurés une seule fois lors de l’ Versa ation initiale de Director et ne peuvent plus être modifiés par la suite. Les administrateurs doivent choisir dès le départ la méthode appropriée et allouer un sous-réseau suffisamment grand pour répondre aux besoins prévus du déploiement.

Comment le trafic parvient-il au tunnel de superposition approprié ?

Les routes de superposition sont échangées entre les nœuds contrôleurs et les branches via MP-BGP ; ce sont les chaînes de communauté et les politiques d’importation/exportation qui déterminent l’itinéraire emprunté par les routes de topologie. Le saut suivant pour un préfixe distant correspond à la branche, au hub ou à l’interface de bouclage du contrôleur accessible via le tunnel de superposition.

En savoir plus sur Overlay Networks

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez aux réseaux superposés, voici quelques liens qui pourraient vous intéresser.