Site icon bintorosoft.com

SD-WAN vs. klassische VPN: Underlay/Overlay Design im Vergleich

Red Snapper

SD-WAN vs. klassische VPN ist eine der zentralen Architekturfragen moderner Unternehmensnetze: Soll Standortvernetzung weiterhin über „klassische“ IPSec-Tunnel mit statischem Routing oder BGP/OSPF betrieben werden – oder liefert ein SD-WAN-Overlay mit zentraler Orchestrierung, App-Awareness und dynamischer Pfadsteuerung den besseren Gesamtwert? Die Diskussion wird oft verkürzt geführt („SD-WAN ist nur VPN mit Marketing“ oder „VPN ist alt“), dabei geht es technisch um etwas Fundamentales: das Zusammenspiel von Underlay (Transportnetz wie Internet, MPLS, LTE/5G) und Overlay (logische, verschlüsselte Verbindungen, Routing- und Policy-Logik darüber). Klassische VPNs können sehr stabil und sicher sein, wenn Standards, Failover-Tracking, MTU/MSS und Routing-Policies sauber umgesetzt werden. SD-WAN kann dagegen besonders dort punkten, wo viele Standorte, häufige Änderungen, mehrere Uplinks, Performance-SLAs und einheitliche Policies über Regionen hinweg gefordert sind. Dieser Artikel vergleicht Underlay/Overlay-Designs systematisch: Architekturbausteine, Failover-Mechanik, Security- und Governance-Aspekte, Observability sowie typische Fallstricke – damit Sie nicht nach Hype, sondern nach belastbaren Kriterien entscheiden.

Underlay und Overlay: Der wichtigste Denkrahmen

Bevor man SD-WAN oder klassische VPN bewertet, muss klar sein, was Underlay und Overlay bedeuten. Das Underlay ist das physische oder providergesteuerte Transportnetz: Internet, MPLS, Metro-Ethernet, Mobilfunk oder dedizierte Leitungen. Das Overlay ist die logische Verbindungsebene darüber: Verschlüsselung, Tunnel, virtuelle Topologien, Routing- und Policy-Entscheidungen.

Ein häufiger Fehler ist, Underlay-Probleme im Overlay „wegzukonfigurieren“. Ein gutes Design akzeptiert: Das Underlay ist nie perfekt. Das Overlay muss damit umgehen – aber nur innerhalb klarer Grenzen (z. B. Hysterese statt Flapping).

Klassische VPN-Architektur: Was „klassisch“ im Enterprise wirklich heißt

Klassische VPNs im Enterprise sind typischerweise IPSec-basierte Site-to-Site-Verbindungen (manchmal ergänzt durch GRE/DMVPN-ähnliche Konzepte oder TLS-basierte Varianten). Der Standardfall ist: Ein oder mehrere Tunnel zwischen Gateways, mit statischem Routing oder dynamischem Routing (oft BGP) über dem Tunnel. Die Sicherheitsarchitektur von IPsec ist in RFC 4301 (IPsec Security Architecture) beschrieben; IKEv2 als Control Plane in RFC 7296 (IKEv2).

SD-WAN-Architektur: Was sich technisch wirklich verändert

SD-WAN ist kein einzelnes Protokoll, sondern ein Architektur- und Produktansatz: Ein Overlay, das Standorte über mehrere Underlays verbindet, zentral orchestriert wird und typischerweise zusätzliche Logik für Applikationslenkung, Pfadqualität, Segmentierung und Policy Enforcement mitbringt. Technisch sind viele SD-WAN-Overlays ebenfalls verschlüsselte Tunnel (häufig IPSec-ähnlich oder proprietär), aber der Unterschied liegt in der Steuerung und Automatisierung des Overlays.

Topologievergleich: Hub-and-Spoke, Full Mesh und hybride Patterns

Topologie ist ein Kosten- und Komplexitätsfaktor. Klassische VPNs werden in großen Umgebungen fast nie als echtes Full Mesh betrieben, weil die Tunnelanzahl schnell explodiert. SD-WAN kann Full-Mesh-ähnliche Overlays operational einfacher machen, weil das System Tunnels und Policies zentral verwaltet. Trotzdem gilt: Jede Topologie hat Pfad-, Security- und Troubleshooting-Konsequenzen.

Failover und Resilience: Tracking, SLA-basierte Pfadwahl und Flapping

Failover ist der Bereich, in dem SD-WAN häufig sichtbar „besser“ wirkt, weil Pfadqualität kontinuierlich gemessen und Traffic dynamisch umgelenkt wird. Klassische VPNs können das ebenfalls, benötigen dafür aber saubere Bausteine: IP SLA/Tracking, BFD, BGP-Preferenzen, Hysterese und ein gutes Service-Health-Modell.

Klassische VPN: Failover über Routing und Tracking

SD-WAN: Failover über kontinuierliche Pfadmetriken

Applikationssteuerung: App-Aware Routing vs. „IP-Routen sind IP-Routen“

Ein zentraler SD-WAN-Mehrwert ist applikationsbasierte Steuerung: VoIP/Video bevorzugt Pfade mit niedrigem Jitter, große Transfers bevorzugen Bandbreite, kritische Anwendungen bevorzugen stabile Pfade. Klassische VPNs können ähnliche Ziele erreichen, aber meist mit mehr manueller Arbeit (QoS, PBR, separate Tunnels, statische Präferenzen).

Security: Verschlüsselung, Segmentierung und zentrale Controls

Viele Vergleiche reduzieren Security auf „beide verschlüsseln“. In der Praxis entscheiden jedoch Segmentierung, Policy-Konsistenz, Logging und Abhängigkeiten über das Sicherheitsniveau. Ein gut gebautes klassisches IPSec-VPN ist sehr sicher. SD-WAN bringt jedoch oft zusätzliche Sicherheits- und Governance-Mechanismen „out of the box“ (z. B. zentrale Policy-Verteilung, Mandantenfähigkeit, integrierte Zonen).

Für Zero-Trust-Prinzipien als Architekturleitplanke ist NIST SP 800-207 (Zero Trust Architecture) eine sinnvolle Referenz, insbesondere wenn Sie Segmentierung und kontinuierliche Verifikation als Designziele setzen.

MTU/MSS und Underlay-Fallen: Warum „Overlay kann alles“ nicht stimmt

Unabhängig vom Ansatz bleiben MTU, MSS und PMTUD ein häufiges Problemfeld, weil Encapsulation Overhead erzeugt und viele Underlays ICMP unglücklich behandeln. SD-WAN kann Diagnostik erleichtern (z. B. Telemetrie), aber es kann physikalische Grenzen nicht wegzaubern. Klassische VPNs benötigen hier saubere Standards: Tunnel-MTU, MSS-Clamping und gezielte ICMP-Freigaben.

Routing und Policy-Patterns: BGP/OSPF vs. SD-WAN-Policy Fabrik

Klassische VPNs setzen für Skalierung häufig auf dynamisches Routing, insbesondere BGP über IPSec. Das ist ein sehr starkes Pattern, solange Prefix-Filter und Governance sauber sind. BGP-Grundlagen sind in RFC 4271 (BGP-4) beschrieben. SD-WAN kapselt Routing häufig hinter einer Policy-Schicht: Der Controller entscheidet, welche Routen/Segments wo sichtbar sind und wie Pfade bevorzugt werden.

Operability: Provisioning, Change-Management und Drift

Der größte SD-WAN-Vorteil liegt oft im Betrieb: neue Standorte schneller anbinden, zentrale Templates, weniger manuelle Konfiguration. Klassische VPNs können das ebenfalls erreichen, aber meist nur mit konsequenter Automatisierung (Templates, IaC, Konfig-Management) und guter Governance.

Observability: Was Sie wirklich messen müssen

Viele Entscheidungen sollten datengetrieben sein: Paketverlust, Latenz, Jitter, Rekey-Fehler, Routing-Flaps, Session-Abbrüche. SD-WAN bringt häufig eine sehr gute End-to-End-Telemetrie mit, während klassische VPNs meist aus mehreren Quellen korreliert werden müssen (Gateway, Routing, Firewall, Flow-Daten). Beides kann hervorragend sein – wenn Sie es bewusst designen.

Entscheidungsmatrix: Wann SD-WAN typischerweise gewinnt

Entscheidungsmatrix: Wann klassische VPN-Designs die bessere Wahl sind

Häufige Fallstricke in beiden Welten

Praxis-Blueprint: Vergleichbare Zielarchitekturen modellieren

Für eine belastbare Entscheidung lohnt es sich, beide Ansätze als Blueprint mit denselben Anforderungen zu modellieren. So vermeiden Sie Äpfel-und-Birnen-Vergleiche.

Checkliste: SD-WAN vs. klassische VPN anhand Underlay/Overlay entscheiden

Cisco Netzwerkdesign, CCNA Support & Packet Tracer Projekte

Cisco Networking • CCNA • Packet Tracer • Network Configuration

Ich biete professionelle Unterstützung im Bereich Cisco Computer Networking, einschließlich CCNA-relevanter Konfigurationen, Netzwerkdesign und komplexer Packet-Tracer-Projekte. Die Lösungen werden praxisnah, strukturiert und nach aktuellen Netzwerkstandards umgesetzt.

Diese Dienstleistung eignet sich für Unternehmen, IT-Teams, Studierende sowie angehende CCNA-Kandidaten, die fundierte Netzwerkstrukturen planen oder bestehende Infrastrukturen optimieren möchten. Finden Sie mich auf Fiverr.

Leistungsumfang:

Lieferumfang:

Arbeitsweise:Strukturiert • Praxisorientiert • Zuverlässig • Technisch fundiert

CTA:
Benötigen Sie professionelle Unterstützung im Cisco Networking oder für ein CCNA-Projekt?
Kontaktieren Sie mich gerne für eine Projektanfrage oder ein unverbindliches Gespräch. Finden Sie mich auf Fiverr.

 

Exit mobile version