Qu'est-ce que le SD-WAN ?

Le réseau étendu défini par logiciel (SD-WAN) dissocie le contrôle du réseau du transport physique sous-jacent, en utilisant des règles centralisées et un routage adaptatif aux applications pour acheminer le trafic de manière dynamique sur des liaisons Internet, MPLS et LTE via une superposition virtuelle chiffrée. Il remplace ainsi les circuits WAN rigides et configurés manuellement par des chemins définis par logiciel, choisis en temps réel.

Points clés à retenir

• Le SD-WAN achemine le trafic entre les liaisons en fonction des performances en temps réel.
• Une politique centralisée remplace la configuration du routeur routeur par routeur.
• Le trafic transite par une couche superposée cryptée, indépendante du protocole de transport sous-jacent.
• Le routage adapté aux applications sélectionne le meilleur chemin pour chaque application, et non pour chaque liaison.
• L'accès direct à Internet permet aux agences de se connecter directement au réseau local plutôt que de passer par le réseau central.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · SD-WAN et Versa · FAQ

Pourquoi le SD-WAN est-il important ?

Les applications ont migré vers le cloud et le trafic s'est déplacé des centres de données vers Internet, mais la plupart des réseaux WAN reposaient encore sur des circuits MPLS coûteux, provisionnés de manière statique et configurés via l'interface CLI (ligne de commande) de chaque équipement. Le SD-WAN est important car il dissocie l'intelligence de routage du transport : un contrôleur central diffuse des règles à chaque site, et chaque site achemine le trafic de manière dynamique sur les liaisons dont il dispose, en fonction de la qualité du chemin en temps réel, et non d'une table de routage fixe.

L'avantage réside dans la flexibilité et les coûts. Au lieu de mettre en place un circuit MPLS coûteux par site, les équipes combinent des liaisons haut débit moins onéreuses avec une politique SD-WAN qui garantit les performances des applications grâce à une sélection des chemins basée sur des accords de niveau de service (SLA). Cette même abstraction permet un accès direct à Internet au niveau de la succursale et un routage adapté aux applications pour le trafic sensible à la latence – et c'est sur cette base qu'SASE s s'est depuis développée.

Qu'est-ce que le SD-WAN ?

Le SD-WAN met en place une superposition virtuelle chiffrée sur un ou plusieurs transports WAN physiques, de sorte que les applications disposent d’un réseau stable et régi par des règles, quelle que soit la liaison sous-jacente qui achemine le trafic à un moment donné. Deux éléments rendent cela possible : des tunnels de superposition – généralement IPsec, parfois un tunnel en clair pour les transports déjà considérés comme fiables – relient chaque site à tous les autres sites ou hubs qu’il doit atteindre ; et une couche d’orchestration centralisée définit la politique une seule fois et la diffuse partout, au lieu de configurer chaque routeur manuellement.

Le SD-WAN mesure également la latence, la gigue, le taux de perte et la disponibilité de chaque chemin, puis achemine le trafic en fonction de l'application : un appel vocal emprunte le chemin présentant la latence la plus faible, tandis qu'une sauvegarde en masse emprunte le chemin le moins coûteux, le réseau réacheminant automatiquement le trafic dès qu'un chemin ne respecte plus les exigences du SLA. C'est ce qui permet à un réseau SD-WAN d'utiliser indifféremment des liaisons Internet, MPLS et LTE.

Types de SD-WAN

Les déploiements SD-WAN se répartissent en quelques topologies de superposition, choisies site par site en fonction de la nécessité pour ces sites de communiquer entre eux. La topologie « hub-and-spoke » achemine le trafic de succursale à succursale via un hub central – la solution la plus simple à sécuriser et à inspecter, au prix d’une latence supplémentaire entre les succursales. La topologie « full mesh » établit des tunnels directs entre chaque succursale, minimisant ainsi la latence mais multipliant le nombre de tunnels à mesure que le réseau s’étend. Le maillage régional constitue un compromis : un maillage complet au sein d’une région, et une architecture « hub-and-spoke » entre les régions. Les déploiements multi-VRF (multitenant) superposent plusieurs domaines de routage isolés – un par locataire – sur les mêmes périphériques de bord et la même superposition, chacun disposant de sa propre topologie et de ses propres règles. La plupart des réseaux de production combinent ces modèles plutôt que d’en choisir un seul.

SD-WAN & Versa

Versa Secure SD-WAN met en œuvre le SD-WAN sous la forme d’une fonction logicielle convergente sur le système d’exploitation « Versa » (VOS), et non comme un appareil dédié à une seule fonction. Chaque périphérique VOS établit des tunnels superposés chiffrés – par défaut via IPsec, avec un tunnel en clair lorsque la couche sous-jacente est déjà considérée comme fiable – vers les nœuds de contrôleur et les autres succursales, formant ainsi des topologies de type « full-mesh », « hub-and-spoke », « regional-mesh » ou « multi-VRF ». L’acheminement du trafic s’effectue selon des politiques SD-WAN associées à des profils de transfert : chaque profil classe les circuits par ordre de priorité et de conformité au SLA, de sorte qu’un appel vocal et un transfert de données en masse peuvent emprunter des chemins différents sur les mêmes liaisons.

La tête de réseau – comprenant le directeur d’orchestration, les contrôleurs chargés de la transmission du plan de contrôle et les outils d’analyse de la télémétrie – applique et surveille cette politique de manière centralisée, tandis que les succursales réagissent localement à toute dégradation du trajet. Les succursales prennent également en charge l’accès direct à Internet pour l’utilisation locale de services SaaS, et les liaisons LTE peuvent fonctionner en mode de secours actif ou passif, offrant ainsi une solution de secours à coût maîtrisé. Consultez le Guide de conception SD-WAN consolidé pour découvrir l’architecture de référence complète.

Questions fréquentes

Quelle est la différence entre le SD-WAN et le WAN traditionnel ?

Dans un réseau WAN traditionnel, le trafic est acheminé via des liaisons de transport configurées de manière statique, souvent uniques (généralement MPLS), avec une configuration manuelle, appareil par appareil. Le SD-WAN regroupe plusieurs transports au sein d'une couche superposée gérée de manière centralisée qui achemine le trafic de manière dynamique en fonction de chaque application, en se basant sur les performances mesurées en temps réel de chaque liaison.

Quelle est la différence entre le SD-WAN et l'SASE?

Le SD-WAN correspond à la couche réseau : des superpositions chiffrées et un acheminement du trafic adapté aux applications sur les liaisons WAN. « SASE » ajoute des solutions de sécurité fournies dans le cloud (SWG, CASB, ZTNA, DLP) convergentes avec cette couche ; le SD-WAN constitue donc la moitié d’une architecture « SASE », et non un substitut à celle-ci.

Le SD-WAN remplace-t-il entièrement le MPLS ?

Pas nécessairement. Le SD-WAN peut fonctionner sur un réseau MPLS, parmi d’autres moyens de transport, ou le remplacer purement et simplement par l’Internet haut débit. De nombreuses entreprises conservent le MPLS pour le trafic sensible à la latence tout en ajoutant des circuits Internet et LTE sous le contrôle du SD-WAN, et abandonnent progressivement le MPLS à mesure que la confiance dans les accords de niveau de service (SLA) liés au haut débit s’accroît.

Comment le SD-WAN choisit-il l'itinéraire emprunté par le trafic ?

Le SD-WAN mesure la latence, la gigue, la perte de paquets et la disponibilité de chaque chemin à l'aide de sondes SLA, puis affecte le trafic à un chemin en fonction d'une politique (par application, utilisateur ou destination) définie dans un profil de routage. Un chemin qui ne respecte plus les exigences du SLA est automatiquement remplacé par celui de priorité suivante.

Le SD-WAN est-il sécurisé par défaut ?

Le trafic sur un réseau SD-WAN en superposition est généralement chiffré de bout en bout via IPsec, ce qui garantit la sécurité du transport lui-même. Cependant, le SD-WAN ne prend pas en charge à lui seul l'inspection des menaces, le filtrage Web ou le contrôle d'accès ; ces fonctionnalités nécessitent un pare-feu intégré ou une architecture d'SASE s plus complète, superposée au réseau SD-WAN.

En savoir plus sur le SD-WAN

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez au SD-WAN, voici quelques articles qui méritent d'être consultés ensuite.