SD-WAN

Qu’est-ce que le SD-WAN ?

Contrairement au SD-WAN, le modèle conventionnel centré sur le routeur distribue la fonction de contrôle entre tous les équipements du réseau, et achemine simplement le trafic en fonction des adresses TCP/IP et des listes de contrôle d’accès (ACL). Ce modèle traditionnel est rigide, complexe, inefficace et non adapté au cloud, ce qui se traduit par une mauvaise expérience utilisateur. 

Le SD-WAN fonctionne en évaluant en permanence les performances de toutes les liaisons réseau disponibles et en acheminant intelligemment le trafic en fonction des conditions en temps réel et des politiques métier. Par exemple, il peut accorder la priorité à un appel VoIP plutôt qu’à une mise à jour logicielle de faible priorité ou diriger des données sensibles via une liaison MPLS sécurisée tout en acheminant le trafic en masse sur le haut débit.

Les principaux mécanismes comprennent :

• Le routage selon les applications : identifie les applications sur le premier paquet et applique les règles QoS (qualité de service) pour garantir les performances et la fiabilité. 
• La sélection de chemin dynamique : choisit le chemin optimal pour chaque flux d’application en fonction des mesures de la liaison, telles que la latence, la gigue et la perte de paquets.
• La correction d’erreur directe : améliore la qualité de la liaison en corrigeant la perte de paquets et en lissant les problèmes de performances sur les connexions non fiables. 
• L’agrégation de tunnels : combine plusieurs liaisons WAN en une seule connexion logique pour améliorer le débit et la résilience. 

Le SD-WAN peut fonctionner à l’aide de tunnels chiffrés, généralement IPsec, ou adopter une architecture sans tunnel basée sur les sessions. Cela garantit la confidentialité et l’intégrité même sur les réseaux publics. Le SD-WAN sécurisé avancé prend également en charge la segmentation du trafic en fonction du rôle de l’utilisateur, de l’application ou de l’équipement pour empêcher les mouvements latéraux et maintenir les barrières de sécurité.

• Performances améliorées : Il achemine les applications via des chemins optimaux et élimine le backhauling vers le datacenter. 
• Sécurité renforcée : Il s’intègre étroitement avec le SSE pour former une architecture SASE, car de nombreuses solutions SD-WAN incluent le chiffrement, les pare-feux et des fonctionnalités de sécurité avancées. 
• Centrage sur le cloud : Il optimise et sécurise l’accès au cloud depuis les succursales. 
• Réduction des coûts : Il réduit la dépendance aux circuits MPLS coûteux en exploitant des liaisons internet moins chères. 
• Gestion simplifiée : Il facilite la configuration et la surveillance du réseau grâce à un contrôle centralisé.

• Qualité d’expérience (QoEx) constante. L’un des principaux avantages d’une solution SD-WAN avancée est la possibilité d’utiliser activement et simultanément plusieurs formes de transport WAN. Une solution basique peut diriger le trafic de chaque application vers un chemin unique et, si ce chemin échoue ou devient moins performant, rediriger dynamiquement le trafic vers une liaison plus performante. Cependant, avec beaucoup de ces solutions basiques, les basculements en cas de panne prennent des dizaines de secondes ou plus, d’où une interruption pénible de l’application concernée. Un SD-WAN orienté métier surveille et gère plus intelligemment tous les services de transport de sous-couche. Il est capable de surmonter les problèmes de perte de paquets, de latence et de gigue afin d’offrir des performances applicatives et une qualité d’expérience optimales aux utilisateurs, même lorsque les services de transport WAN sont perturbés. Contrairement à un réseau SD-WAN basique, un SD-WAN avancé peut gérer une panne totale de transport de manière transparente et assurer des basculements en moins d’une seconde sans interrompre les applications critiques de l’entreprise telles que les communications vocales et vidéo. Il s’adapte automatiquement et en temps réel à tout changement susceptible d’avoir une incidence sur les performances des applications, notamment la congestion du réseau, les pannes de courant et les interruptions de transport.
• Sécurité intégrée. Un SD-WAN avancé inclut un pare-feu nouvelle génération permettant de sécuriser efficacement les sites de succursale. Les principales fonctionnalités comprennent la détection et la prévention d’intrusion (IDS/IPS) ainsi que la segmentation de bout en bout. D’autres SD-WAN sécurisés avancés peuvent protéger les entreprises contre les attaques par déni de service (DDoS) et fournir un filtrage d’URL. L’intégration d’un pare-feu nouvelle génération permet aux entreprises de remplacer facilement les pare-feux de succursale existants, réduisant ainsi l’encombrement matériel. De plus, la gestion centralisée des règles de sécurité élimine la nécessité de déployer du personnel informatique spécialement formé à l’échelon local et évite les erreurs de configuration. Par ailleurs, alors que les SD-WAN de base offrent l’équivalent d’un service VPN, un SD-WAN sécurisé avancé propose une segmentation basée sur les rôles plus complète de bout en bout. En ajoutant l’identité des utilisateurs et des équipements ainsi qu’une politique basée sur les rôles, les SD-WAN sécurisés avancés sont capables d’assurer une segmentation fine et appliquent une sécurité zero trust. Basé sur le principe de l’accès moindre privilège, il garantit que les utilisateurs et les devices IoT ne communiquent qu’avec des destinations compatibles avec leur rôle dans l’entreprise, tout en réduisant le nombre d’accès non autorisés et en limitant la portée des incidents. 

• Réseau multicloud. Les SD-WAN avancés peuvent être déployés dans un cloud public comme AWS, Azure ou Google Cloud pour optimiser les connexions entre les succursales et le cloud en utilisant tous les avantages du SD-WAN. En cas de panne de courant, la ou les liaisons en état de fonctionnement continuent d’acheminer le trafic, de sorte que les utilisateurs ne remarquent aucune interruption des appels vocaux, des conférences audio ou vidéo, ou de toute autre application. Un premier kilomètre robuste entre la succursale et le cloud public offre des performances, une fiabilité et une qualité de réseau accrues. 
• Réseau piloté par l’IA. Les réseaux SD-WAN avancés intègrent des fonctionnalités d’IA pour améliorer la visibilité sur les utilisateurs et les appareils connectés. L’IA fournit également aux entreprises des informations sur le trafic et la sécurité du réseau, qui permettent de résoudre les incidents liés aux activités et diagnostiquer les problèmes de réseau de manière proactive. Le SD-WAN piloté par l’IA est conçu pour écouter, comprendre et traiter des requêtes en langage naturel, ce qui permet aux équipes informatiques d’obtenir plus facilement les informations dont elles ont besoin.

Le SASE combine le SD-WAN avec le Security Service Edge (SSE). Les fonctionnalités clés du SSE comprennent le ZTNA (Zero Trust Network Access), le SWG (Secure Web Gateway) et le CASB (Cloud Access Security Broker). 

L’objectif ultime du SASE est d’assurer la sécurité et la performance des entreprises axées sur le cloud et des environnements de travail hybrides, de façon à sécuriser l’accès aux applications et aux données sensibles depuis n’importe quel endroit tout en protégeant les utilisateurs contre les menaces web. L’expérience montre que, pour nombre d’entreprises ayant conçu et déployé leur architecture SASE, les fonctionnalités du SD-WAN de base ne suffisent pas. Un SD-WAN sécurisé doté de fonctionnalités de réseau et de sécurité avancées est nécessaire pour permettre au SASE de remplir toutes ses fonctions : 

• S’intégrer de manière transparente à une solution SSE afin de former une architecture SASE unifiée et cohérente ou une solution SASE monofournisseur. 
• Automatiser entièrement l’orchestration entre le SD-WAN et le SSE.
• Garantir un niveau d’accès approprié et une expérience cohérente sur différents sites grâce à une gestion centralisée des politiques de réseau et de sécurité.
• Identifier le trafic applicatif dès le premier paquet et l’orienter de manière granulaire vers une solution SSE en fonction de politiques de sécurité prédéfinies.
• Basculer automatiquement vers un point secondaire d’implémentation de la sécurité cloud afin d’éviter l’interruption d’une application. 
• Reconfigurer automatiquement les connexions sécurisées vers les points d’implémentation de la sécurité cloud si un nouvel emplacement plus proche de la succursale devient disponible.
• Surveiller les tunnels vers le SSE pour garantir leur bon fonctionnement, déclencher automatiquement le basculement pour assurer une haute disponibilité, et maintenir des performances applicatives constantes.