System SD-WAN pozwala połączyć sieci kilku oddziałów firmy w jedną, spójną i łatwiejszą w zarządzaniu strukturę.

Na czym polega ta usługa

Usługa obejmuje skonfigurowanie sieci biurowej pod integrację z systemem SD-WAN, łączącym oddziały firmy.

Dla kogo ma sens

Usługa jest przydatna dla firm z kilkoma oddziałami, które chcą uprościć zarządzanie połączoną siecią między nimi.

Ile to trwa

Zakres i czas realizacji ustalane są indywidualnie w zależności od liczby oddziałów.

Warunki

Diagnoza wstępna i wycena są bezpłatne, a usługa objęta jest gwarancją do 12 miesięcy.

Warianty konfiguracji, w zależności od struktury firmy

SD-WAN (technologia programowo definiowanej sieci rozległej, łącząca lokalizacje firmy w jedną logiczną całość) można wdrożyć na kilka sposobów, w zależności od tego, jak zbudowana jest infrastruktura poszczególnych oddziałów. Najprostszy wariant dotyczy firm, w których każdy oddział ma już własne łącze internetowe i pojedynczy router brzegowy — wtedy konfiguracja sprowadza się do wpięcia urządzenia SD-WAN między router a sieć lokalną i ustawienia reguł routingu między lokalizacjami. Bardziej złożony wariant dotyczy oddziałów z kilkoma łączami od różnych operatorów (np. łącze światłowodowe jako podstawowe i LTE jako zapasowe) — tu konfiguracja obejmuje dodatkowo reguły przełączania ruchu między łączami w zależności od ich obciążenia i jakości.

Osobny wariant to firmy korzystające już z rozwiązania VPN typu site-to-site (tunel łączący dwie sieci lokalne przez internet) — w takim przypadku część reguł da się przenieść do konfiguracji SD-WAN, ale trzeba sprawdzić, czy stary VPN nie koliduje z nowym systemem zarządzania ruchem. Zdarzają się też oddziały z bardzo prostą siecią domową klasy SOHO (router konsumencki bez funkcji zarządzania ruchem) — w takim wypadku najpierw trzeba wymienić lub doposażyć sprzęt sieciowy, dopiero potem można mówić o integracji z SD-WAN.

Błędy przy próbie samodzielnej konfiguracji

Część firm próbuje skonfigurować integrację z SD-WAN własnymi siłami, korzystając z instrukcji producenta systemu lub materiałów znalezionych w internecie. Najczęstszym błędem jest pomijanie etapu inwentaryzacji adresacji IP w poszczególnych oddziałach — jeśli dwie lokalizacje mają nakładające się zakresy adresów prywatnych, po połączeniu sieci pojawiają się konflikty, które trudno zdiagnozować bez dostępu do konfiguracji obu stron jednocześnie.

Kolejny częsty problem to błędna kolejność reguł routingu i firewalla (zapory sieciowej) — reguła ogólna wpisana przed regułą szczegółową potrafi zablokować ruch, który miał przechodzić bez przeszkód, albo odwrotnie: przepuścić ruch, który powinien być odfiltrowany. Zdarza się też, że administrator konfiguruje tunele między oddziałami, ale zapomina o aktualizacji tablic routingu na urządzeniach pośrednich, przez co część ruchu nadal krąży starą trasą. Samodzielna próba integracji bez wcześniejszego wyłączenia starych reguł VPN bywa szczególnie kłopotliwa — dwa mechanizmy próbujące obsłużyć ten sam ruch generują pętle routingu i sporadyczne zrywanie połączeń, trudne do powtórzenia na żądanie, co znacznie wydłuża diagnozowanie usterki.

Kiedy to nie jest integracja z SD-WAN

Nie każda potrzeba połączenia oddziałów wymaga wdrożenia pełnego systemu SD-WAN. Jeśli firma ma tylko dwie lokalizacje i potrzebuje jedynie stałego dostępu do wspólnego serwera plików, często wystarczy zwykły tunel VPN typu site-to-site bez warstwy zarządzania i monitorowania ruchu, jaką oferuje SD-WAN. Podobnie, gdy celem jest wyłącznie zdalny dostęp pojedynczych pracowników do zasobów firmy (a nie połączenie całych sieci oddziałów), właściwym rozwiązaniem jest VPN typu klient-serwer, a nie integracja SD-WAN.

Odrębnym tematem jest też sama wymiana lub konfiguracja pojedynczego routera biurowego bez integracji z inną lokalizacją — to zwykła usługa sieciowa, niezwiązana z SD-WAN. Warto to rozróżnić już na etapie zgłoszenia, ponieważ zakres prac, a tym samym czas realizacji, różni się znacząco między prostą konfiguracją jednego urządzenia a integracją wielu oddziałów w jeden system zarządzany centralnie.

Dodatkowe pytania klientów

Czy trzeba wymieniać istniejące routery we wszystkich oddziałach?

Niekoniecznie. Jeśli obecny sprzęt sieciowy obsługuje wymagane funkcje (routing, VLAN-y, czyli wirtualne sieci lokalne separujące ruch, oraz odpowiednią przepustowość), można go wykorzystać jako element większej struktury SD-WAN. Wymiana staje się konieczna głównie przy sprzęcie klasy domowej, który nie ma funkcji zarządzania ruchem między łączami.

Czy integracja wymaga przerwy w pracy oddziałów?

Zakres ewentualnej przerwy zależy od struktury sieci w danym oddziale i jest ustalany indywidualnie przy diagnozie wstępnej. W wielu przypadkach da się przeprowadzić konfigurację w taki sposób, by przełączenie na nowy system nastąpiło poza godzinami największego ruchu.

Co się dzieje, jeśli jeden z oddziałów straci łącze internetowe?

Zależy to od konfiguracji łączy zapasowych w danej lokalizacji. Jeśli oddział ma tylko jedno łącze, traci połączenie z pozostałą siecią firmową do czasu jego przywrócenia — SD-WAN sam w sobie nie tworzy dodatkowego łącza, a jedynie zarządza ruchem między już istniejącymi.

Czy da się połączyć oddziały korzystające z różnych operatorów internetu?

Tak, to jeden z typowych scenariuszy — system SD-WAN jest projektowany właśnie po to, by zarządzać ruchem niezależnie od tego, jaki operator dostarcza łącze w danej lokalizacji.

Czy po wdrożeniu trzeba samodzielnie pilnować konfiguracji sieci?

Po zakończeniu prac przekazywane są informacje o wprowadzonych ustawieniach. Ewentualne dalsze zmiany, np. dodanie kolejnego oddziału, można zlecić osobno — usługa objęta jest gwarancją do 12 miesięcy na wykonaną konfigurację.

Dodatkowy szczegół dotyczący warunków realizacji

Diagnoza wstępna, o której mowa wyżej, obejmuje sprawdzenie aktualnej topologii sieci w każdym z oddziałów objętych integracją — liczby i typu łączy internetowych, posiadanego sprzętu sieciowego oraz istniejących reguł VPN czy firewalla. Dopiero na tej podstawie ustalany jest zakres prac i przybliżony czas realizacji, ponieważ każdy oddział może wymagać innego poziomu ingerencji w konfigurację. Wycena przygotowana po diagnozie odnosi się do całości wdrożenia obejmującego wszystkie zgłoszone lokalizacje, nie do pojedynczego oddziału.

Co obejmuje konfiguracja od strony technicznej

W praktyce prace nad integracją sieci z systemem SD-WAN dzielą się na kilka etapów. Pierwszy to przygotowanie schematu adresacji IP wspólnego dla wszystkich oddziałów — tak, by zakresy adresów prywatnych w poszczególnych lokalizacjach się nie pokrywały, co jest warunkiem koniecznym dla poprawnego routingu ruchu między nimi. Drugi etap to konfiguracja urządzeń brzegowych w każdym oddziale, czyli routerów lub dedykowanych urządzeń SD-WAN, które przejmują zarządzanie ruchem wychodzącym i przychodzącym. Trzeci etap to ustawienie reguł polityki ruchu — decyzji, którym łączem ma być kierowany dany typ danych, np. ruch głosowy (VoIP) łączem o najniższym opóźnieniu, a kopie zapasowe łączem zapasowym o niższym priorytecie.

Kolejny element to segmentacja sieci za pomocą VLAN-ów, pozwalająca oddzielić ruch działu księgowości od ruchu gości korzystających z sieci Wi-Fi w danym oddziale, przy jednoczesnym zachowaniu spójnej struktury całej firmy. Na końcu następuje etap testów — sprawdzenie, czy ruch między oddziałami przechodzi zgodnie z założeniami, czy przełączanie między łączami działa poprawnie przy symulowanej awarii jednego z nich, oraz czy reguły firewalla nie blokują ruchu, który powinien być dozwolony. Dopiero po pozytywnych testach konfiguracja jest przekazywana do stałego użytku.

Znaczenie monitorowania po wdrożeniu

System SD-WAN, w odróżnieniu od zwykłego routera, na bieżąco zbiera dane o jakości poszczególnych łączy — opóźnieniu, utracie pakietów i wahaniach przepustowości — i na tej podstawie automatycznie przełącza ruch na łącze o lepszych parametrach. Ta funkcja ma znaczenie zwłaszcza dla firm, w których część oddziałów korzysta z łączy o zmiennej jakości, np. LTE jako uzupełnienia głównego łącza stacjonarnego. Prawidłowo skonfigurowane reguły monitorowania pozwalają wychwycić pogarszającą się jakość łącza, zanim doprowadzi ona do zauważalnych przerw w pracy oddziału, np. zrywania połączeń podczas wideokonferencji czy spowolnienia dostępu do wspólnych zasobów firmowych.

Współpraca z istniejącą infrastrukturą IT

Integracja z SD-WAN rzadko odbywa się w oderwaniu od reszty infrastruktury informatycznej firmy. W oddziałach korzystających z usług katalogowych, np. Active Directory, konfiguracja sieci musi uwzględniać ruch replikacji między kontrolerami domeny w różnych lokalizacjach, a reguły firewalla — nie blokować portów wymaganych do prawidłowej komunikacji tych usług. Podobnie w firmach korzystających z rozwiązań chmurowych, takich jak Microsoft 365 czy Google Workspace, warto od razu zaplanować w regułach polityki ruchu priorytet dla tego typu usług, tak by ruch do chmury nie konkurował o pasmo z transferem dużych plików między oddziałami. Jeśli w oddziałach pracują serwery lokalne, np. obsługujące systemy księgowe czy magazynowe, konfiguracja SD-WAN powinna też uwzględniać ich dostępność z poziomu innych lokalizacji, zgodnie z tym, jak wygląda docelowy schemat pracy poszczególnych działów.

Kilka słów na koniec o samej integracji

Skonfigurowanie sieci pod SD-WAN to praca, która wymaga jednoczesnego spojrzenia na wszystkie oddziały firmy, nie tylko na pojedynczą lokalizację. Błędy w adresacji IP, kolejności reguł routingu czy pozostawione stare tunele VPN ujawniają się zwykle dopiero po połączeniu sieci, dlatego etap diagnozy wstępnej i planowania konfiguracji ma tu równie duże znaczenie co samo wdrożenie.

22 378 48 09

Konfiguracja sieci pod integrację z systemem SD-WAN dla wielu oddziałów