Sechs Tipps für sichere SD-WAN-Bereitstellung

Unternehmen, deren Standorte landes- oder weltweit verteilt sind, verbinden diese häufig per MPLS-Leitungen (Multiprotocol Label Switching). Doch vor allem durch den steigenden Einsatz von Cloud-Technologien ist diese Architektur mittlerweile veraltet. User, Daten und Anwendungen sind heutzutage weit verstreut, Angestellte arbeiten von überall aus und nutzen eine Vielzahl an Geräten. Vor dieser Entwicklung war die Implementierung von Sicherheitskontrollen relativ einfach dahingehend, dass ein definierter Perimeter um alle zu schützenden Vermögenswerte eines Unternehmens existierte. So konnten IT-Teams eine Vielzahl von Sicherheitstechnologien zentral einsetzen. Remote-Standorte wurden in diesen Sicherheitsbereich einbezogen, indem der gesamte Verkehr über MPLS zu einer grossen zentralen Firewall umgeleitet wurde, die für die Traffic-Regulierung und Durchsetzung der Sicherheitsrichtlinien sorgte.

Eine Reihe von Herausforderungen

Der Netzwerkrand löst sich auf, wenn Anwendungen und Benutzer darüber hinausgehen. Dies macht die Implementierung von Sicherheitskontrollen mit bestehenden Tools komplexer. Zudem sind Anwendungen, die früher im Rechenzentrum gehostet wurden, in gewisser Weise in die Cloud migriert (entweder durch SaaS oder Public Cloud). Diese Anwendungen können bei der Ausführung an Remote-Standorten an Performance einbüssen, hauptsächlich aufgrund der Latenzzeit, die von all den MPLS-Schaltungen verursacht wird, die für die Rückführung des Datenverkehrs zum Hauptstandort sorgen.

Man nehme zum Beispiel Office 365, das früher als Exchange-Server im Rechenzentrum stand. Oft erleben Unternehmen eine schlechte Nutzererfahrung oder schleppende Performance, weil sie den Datenverkehr per MPLS zum Unternehmenshauptsitz holen und dann ins Internet schicken. Um dieses Problem zu lösen, benötigen Remote-Standorte die direkte Verbindung zur Cloud. Genau das bietet SD-WAN. Jedoch ist es wichtig, in diesem Zuge auch neue Sicherheitskontrollen für alle Remote-Standorte einzuführen. Entsprechende Lösungen sind in der Regel kosteneffizient zu implementieren und einfach skalierbar, und da Anwendungen in die Cloud wechseln, sollte die Security-Lösung auch den Datenverkehr zu und von den Cloud-Anwendungen regulieren. Unternehmen können mit diesem Ansatz die Benutzerfreundlichkeit optimieren und gleichzeitig ihre Betriebs- und Investitionsausgaben senken.

Sechs Kernanforderungen für eine sichere SD-WAN-Bereitstellung

1. Zero Touch-Bereitstellung: Verfügt ein Unternehmen über 50, 100, 1000 oder mehr Remote-Standorten, ist es unrealistisch, jeden dieser Standorte für die SD-WAN-Bereitstellung einzeln besuchen zu wollen. Mittels Zero Touch-Bereitstellung sowie einem zentralisierten Management genügt ein Mitarbeiter vor Ort, der die Lösung per Knopfdruck in Betrieb nimmt.

2. WAN-Optimierung: Komprimierung und Deduplizierung sind zwei Möglichkeiten, um den Datenverkehr zu optimieren respektive die Bandbreite zu verbessern. Datenpakete lassen sich anhand von Hashwerten identifizieren. So kann bereits übertragener Content auf der Appliance zwischengespeichert beziehungsweise komprimiert werden, sodass lediglich noch der viel kleinere Hashwert übertragen werden muss. Die Deduplizierung reduziert die wiederholte oder parallele Übertragung gleicher Daten im WAN. Häufig angeforderte Informationen werden lokal zwischengespeichert oder identische Inhalte zusammengeführt. Letzten Endes bestimmt die eingesetzte Lösung, welche Methoden zur WAN-Optimierung genutzt werden.

3. Advanced Firewalling: Um an Remote-Standorten genauso gut abgesichert zu sein wie am Hauptstandort, erfordert es eine Firewall, die für verteilte Umgebungen konzipiert ist und zentralisierte Richtlinien und Verwaltung in grossem Umfang nutzt. Dazu gehören Anwendungs- und Benutzerkontrollen, IDS/IPS, Webfilterung und Routing-Funktionen.

4. Erweiterter Schutz vor Bedrohungen: Dies stellt sicher, dass Benutzer, Anwendungen und Daten vor allen Bedrohungen geschützt sind, die das Internet zu bieten hat. Viele Unternehmen haben dies mit einer zentralen Sandbox umgesetzt, aber für eine verteilte Architektur, bei der das Backhauling minimiert werden soll, ist eine Cloud-basierte Advanced Threat Protection die ideale Lösung.

5. Zentralisierte Verwaltung: Dies sollte die zentrale Verwaltung aller Firewall-Funktionen unabhängig von der Konfiguration von Sicherheit, Content, Traffic-Management, Netzwerk, Zugriffsrichtlinien oder Software-Updates umfassen. So können die Kosten für Sicherheit und Lifecycle-Management gesenkt werden. Und dies alles bei gleichzeitiger Bereitstellung von Funktionen zur Fehlerbehebung und Konnektivität.

6. Cloud-Integration: Als einer der Treiber für SD-WAN geht es bei der Migration von Workloads in die Cloud sowohl um die Sicherstellung einer hohen Anwendungsperformance als auch um den sicheren Zugriff auf die Workloads. Ein VPN kann diese Aufgabe übernehmen, doch wenn Unternehmen erst einmal in der Cloud sind, entstehen neue Herausforderungen: Da wären nicht nur die Workload-Anforderungen, sondern auch Anforderungen an Sicherheitskontrollen, Bereitstellungsmethoden und eine reibungslose Lizenzierung. Wichtig hierfür ist ein Firewall/SD-WAN-Gerät, das nicht nur eng mit Cloud-Plattformen integriert ist, sondern auch die Anwendungsfälle in der Cloud erfüllt.
Wenn Unternehmen ihren SD-WAN-Rollout ausloten, gibt es eine Menge zu beachten, doch durch ein im Vorfeld gut durchdachtes Konzept können sie die passende Sicherheit für ihr verteiltes Netzwerk schaffen und einen soliden Migrationspfad in die Cloud bereitstellen. Die Integration der oben genannten Funktionen in die SD-WAN-Bereitstellung können die Netzwerk-Architektur erheblich vereinfachen, die Sicherheit erhöhen, Uptime optimieren und Kosten reduzieren.

Von Hatem Naguib, Barracuda Networks