SD-WAN不僅僅是多協(xié)議標(biāo)簽交換(MPLS)的替代方案。零接觸配置、應(yīng)用程序感知路由、微分段也是SD-WAN產(chǎn)品和服務(wù)可以提供的一些功能。

[[319057]]

早期的SD-WAN產(chǎn)品為組織提供了一種停用MPLS鏈接，將分支機(jī)構(gòu)直接連接到云平臺(tái)，并優(yōu)化WAN流量的方法。但許多最初的SD-WAN產(chǎn)品缺乏集成防火墻、應(yīng)用程序感知路由、高級(jí)數(shù)據(jù)分析等功能。

隨著時(shí)間的推移，SD-WAN供應(yīng)商已經(jīng)加強(qiáng)了他們的產(chǎn)品以包含一組強(qiáng)大的附加功能。然而，許多組織并沒有充分利用最新SD-WAN產(chǎn)品和托管服務(wù)選項(xiàng)的全部功能。

那么，為什么IT管理人員沒有充分采用這些新功能?在某些情況下，供應(yīng)商在向IT領(lǐng)導(dǎo)者提供這些先進(jìn)功能的好處和易用性方面缺乏適當(dāng)?shù)呐嘤?xùn)。

在其他情況下，組織之間的孤島(例如網(wǎng)絡(luò)和安全團(tuán)隊(duì)之間的障礙)阻止了組織激活下一代防火墻或入侵防御系統(tǒng)(例如SD-WAN設(shè)備附帶的)。

在很多情況下，網(wǎng)絡(luò)專業(yè)人員多年來(lái)都遵循了一套標(biāo)準(zhǔn)的方法和程序，并且可以很好地完成工作。當(dāng)涉及一種新的工作方式(例如零接觸配置)時(shí)，可能會(huì)不愿冒險(xiǎn)，如果出現(xiàn)問(wèn)題，可能會(huì)適得其反。但是，組織應(yīng)該考慮以下列出的未充分利用的SD-WAN功能可以提供的好處。畢竟，組織還是要為SD-WAN設(shè)備或托管服務(wù)支付費(fèi)用，所以為什么不充分利用以下這些功能呢?

1.零接觸配置

部署分支機(jī)構(gòu)網(wǎng)絡(luò)設(shè)備的傳統(tǒng)方法是將物理設(shè)備帶到暫存區(qū)域，對(duì)其進(jìn)行配置和測(cè)試，然后將其運(yùn)送到分支機(jī)構(gòu)，由網(wǎng)絡(luò)專業(yè)人員進(jìn)行設(shè)置。對(duì)于在廣泛的地理區(qū)域中部署數(shù)十個(gè)或數(shù)百個(gè)SD-WAN設(shè)備的組織而言，這是一個(gè)人工密集且耗時(shí)的過(guò)程。

零接觸配置是大多數(shù)SD-WAN設(shè)備的標(biāo)準(zhǔn)配置，可自動(dòng)配置現(xiàn)成的設(shè)備。據(jù)Apcela公司網(wǎng)絡(luò)工程主管Kunal Thakkar介紹，該設(shè)備所需的全部是全球互聯(lián)網(wǎng)連接，根據(jù)預(yù)定義的模板以快速、高效、標(biāo)準(zhǔn)化的方式對(duì)其進(jìn)行全面配置。

2.加密密鑰輪換

對(duì)于與政府部門有業(yè)務(wù)往來(lái)的組織或承擔(dān)PCI合規(guī)性責(zé)任的組織，加密密鑰需要定期輪換(通常是90天)。這可能是一個(gè)繁瑣的人工過(guò)程，需要復(fù)雜的變更控制策略，并且可能需要計(jì)劃內(nèi)的停機(jī)時(shí)間。

SD-WAN平臺(tái)可以用自動(dòng)化系統(tǒng)代替?zhèn)鹘y(tǒng)的基于VPN的密鑰輪換，該系統(tǒng)可以編程為每分鐘進(jìn)行一次輪換，而不會(huì)中斷數(shù)據(jù)平臺(tái)流量。其結(jié)果是更好的安全性，無(wú)需停機(jī)，也無(wú)需人工干預(yù)。

3.多路VPN

在許多情況下，組織需要保持不同類型的流量彼此分離。例如，在組織合并或收購(gòu)的情況下，出于業(yè)務(wù)、合規(guī)性或安全性的原因，其每個(gè)業(yè)務(wù)部門仍將繼續(xù)獨(dú)立運(yùn)作。如果組織隨后決定升級(jí)到SD-WAN，則可能考慮購(gòu)買物理設(shè)備。

但是SD-WAN技術(shù)允許將多個(gè)虛擬路由和轉(zhuǎn)發(fā)(VRF)和VPN鏈接與單個(gè)覆蓋層復(fù)用。這對(duì)于以前的VPN技術(shù)是不可行的。對(duì)于具有多個(gè)業(yè)務(wù)部門的龐大復(fù)雜的組織而言，只需設(shè)置策略即可實(shí)現(xiàn)流量隔離。 Thakkar說(shuō)，SD-WAN技術(shù)能夠創(chuàng)建多達(dá)16個(gè)虛擬VPN，它們都在相同的物理WAN鏈路上運(yùn)行。

4.應(yīng)用程序感知路由

SD-WAN產(chǎn)品具有檢查第7層流量的能力，以便為特定應(yīng)用程序應(yīng)用精細(xì)的路由策略。實(shí)際上，某些設(shè)備可以識(shí)別3,000多個(gè)不同的應(yīng)用程序，并了解每個(gè)應(yīng)用程序的性能要求。通過(guò)持續(xù)實(shí)時(shí)監(jiān)視敏感應(yīng)用程序的延遲、抖動(dòng)和其他特征，并將應(yīng)用程序轉(zhuǎn)移到滿足性能閾值的最具成本效益的傳輸方法，此功能可幫助組織優(yōu)化成本。

Aryaka Networks公司首席技術(shù)官Ashwath Nagaraj稱，應(yīng)用程序感知路由沒有得到廣泛的部署。這可能是，第7層流量檢查確實(shí)會(huì)帶來(lái)一定程度的性能開銷，并且確實(shí)需要組織花費(fèi)時(shí)間和精力來(lái)為每個(gè)應(yīng)用程序定義策略。但是他認(rèn)為應(yīng)用程序感知路由可以提供顯著的性能和成本優(yōu)勢(shì)。

5. 編程API

思科公司Meraki產(chǎn)品管理高級(jí)總監(jiān)Raviv Levi說(shuō)，API的使用可以幫助組織在SD-WAN整個(gè)生命周期中協(xié)調(diào)和自動(dòng)化功能。Levi表示，雖然目前的功能尚未得到充分利用，但人們的興趣正在增長(zhǎng)，因?yàn)镮T主管開始了解使用API​​，大型組織能夠以前所未有的方式獲得對(duì)網(wǎng)絡(luò)的所有權(quán)和控制權(quán)。

API使組織可以自定義和自動(dòng)化SD-WAN設(shè)備的初始配置，可以隨時(shí)大規(guī)模更改配置，自動(dòng)化故障單流程并收集有關(guān)WAN性能的數(shù)據(jù)，以進(jìn)行實(shí)時(shí)流量?jī)?yōu)化和長(zhǎng)期監(jiān)控和基礎(chǔ)設(shè)施的管理。例如，組織可以使用API​​對(duì)設(shè)備進(jìn)行編程，以執(zhí)行比默認(rèn)設(shè)置所要求的更頻繁的輪詢。

通過(guò)API，組織可以設(shè)置其SD-WAN基礎(chǔ)設(shè)施，以自動(dòng)收集有助于管理用戶組、查看審核日志、收集設(shè)備清單、進(jìn)行實(shí)時(shí)監(jiān)控和排除網(wǎng)絡(luò)設(shè)備故障等功能的數(shù)據(jù)。

6.優(yōu)化的云計(jì)算連接

云計(jì)算突破或?qū)⒎种C(jī)構(gòu)流量直接連接到云平臺(tái)而不是遣返回?cái)?shù)據(jù)中心的能力，是SD-WAN的主要優(yōu)點(diǎn)之一。但在許多情況下，網(wǎng)絡(luò)管理員對(duì)最終用戶和云計(jì)算SaaS應(yīng)用程序之間的網(wǎng)絡(luò)性能特征的可見性有限或根本不了解。然而，供應(yīng)商現(xiàn)在提供了一個(gè)特性，在Cisco Viptela的例子中稱為Cloud OnRamp，它使用編程API來(lái)測(cè)量SaaS應(yīng)用程序的性能，或者來(lái)自AWS公司和微軟Azure的IaaS服務(wù)。

在IaaS場(chǎng)景中，云計(jì)算服務(wù)提供商域內(nèi)的SD-WAN路由器的虛擬實(shí)例會(huì)持續(xù)衡量應(yīng)用程序的性能，從而使網(wǎng)絡(luò)管理員以前所未有的方式查看應(yīng)用程序性能。在SaaS場(chǎng)景中，SD-WAN設(shè)備連接到最近的SaaS存在點(diǎn)，并實(shí)時(shí)做出選擇優(yōu)秀性能路徑的決策。思科公司產(chǎn)品管理、SD-WAN和企業(yè)路由產(chǎn)品高級(jí)總監(jiān)Rohan Grover表示，對(duì)于Office 365等流行的生產(chǎn)力應(yīng)用程序，最終用戶的性能提高了40%。

7.數(shù)據(jù)分析

SD-WAN系統(tǒng)的另一個(gè)未充分利用的功能是能夠使用數(shù)據(jù)分析來(lái)解決網(wǎng)絡(luò)性能問(wèn)題，并執(zhí)行遠(yuǎn)程網(wǎng)絡(luò)容量規(guī)劃。無(wú)論組織采用托管服務(wù)還是自己分析，都可以使用大量的流量數(shù)據(jù)來(lái)覆蓋端到端WAN連接。分析的使用消除了客戶、云計(jì)算服務(wù)提供商、網(wǎng)絡(luò)服務(wù)提供商之間發(fā)生的典型指責(zé)。

8.端到端的微分段

通過(guò)基于策略隔離工作負(fù)載，微分段已經(jīng)成為保護(hù)數(shù)據(jù)中心和云計(jì)算環(huán)境中運(yùn)行的應(yīng)用程序的一種越來(lái)越流行的方法。微分段使組織能夠更好地控制東西向的流量，如果出現(xiàn)漏洞，微分段將限制黑客的潛在橫向移動(dòng)。

SDN和NFV等軟件疊加層的興起為微分段鋪平了道路，因此，微分段成為SD-WAN疊層的功能是很自然的。Nuage Networks公司首席執(zhí)行官Sunil Khandekar認(rèn)為，微分段的好處在于，如果分支節(jié)點(diǎn)受到攻擊，中央策略服務(wù)器可以自動(dòng)采取措施將分支與網(wǎng)絡(luò)的其他部分隔離開來(lái)。

9.服務(wù)鏈

通過(guò)安全的多協(xié)議標(biāo)簽交換(MPLS)鏈路將分支機(jī)構(gòu)的業(yè)務(wù)路由回?cái)?shù)據(jù)中心時(shí)，分支機(jī)構(gòu)中不需要額外的網(wǎng)絡(luò)和安全功能。但是現(xiàn)在分支機(jī)構(gòu)直接連接到全球互聯(lián)網(wǎng)，組織可能會(huì)發(fā)現(xiàn)自己有多個(gè)分支機(jī)構(gòu)設(shè)備，如防火墻、NAT設(shè)備和入侵預(yù)防系統(tǒng)。正如Khandekar所說(shuō)，服務(wù)鏈?zhǔn)菇M織能夠減少分支機(jī)構(gòu)的混亂。組織可以創(chuàng)建連接的網(wǎng)絡(luò)服務(wù)鏈，并根據(jù)安全、延遲或QoS等領(lǐng)域的流量要求自動(dòng)處理不同的流量。

10.固定無(wú)線連接

專家表示，雖然不是專門提供SD-WAN功能，但組織建立分支機(jī)構(gòu)鏈路時(shí)應(yīng)考慮使用固定無(wú)線連接，尤其是在將部署速度放在首位的情況下。對(duì)于一些組織來(lái)說(shuō)，從現(xiàn)有的網(wǎng)絡(luò)服務(wù)提供商(ISP)訂購(gòu)WAN鏈接可能相對(duì)容易。但對(duì)于那些沒有傳統(tǒng)寬帶服務(wù)的農(nóng)村地區(qū)的組織，或者需要快速向新的零售店或其他彈出式商業(yè)場(chǎng)所提供SD-WAN的組織，固定無(wú)線電路可能是一個(gè)更好的方法。

Khandekar表示，早期的SD-WAN部署主要集中在基本連接和節(jié)省成本方面。但是，如今，SD-WAN被視為支持?jǐn)?shù)字化轉(zhuǎn)型的網(wǎng)絡(luò)自動(dòng)化平臺(tái)。部署這些未被充分利用的功能可以幫助IT組織使WAN與業(yè)務(wù)需求保持一致。