SD-WAN mı MPLS mi? Çok Şubeli Şirketlerde WAN Seçimi

Şube trafiği merkeze çekilip oradan Microsoft 365’e çıkıyorsa, kullanıcı “internet yavaş” der ve haklıdır. Sorun çoğu zaman hat hızı değil, WAN mimarisinin uygulamaların artık nerede çalıştığını hesaba katmamasıdır. MPLS L3VPN, internet üzerinden IPsec ve SD-WAN arasındaki seçim bir hat siparişi değil; uygulamaların yeri, şubelerin alabildiği altyapı ve ağı kimin işleteceğiyle verilen mimari bir karardır. Aşağıda üç modeli SLA, yol seçimi, hat çeşitliliği, yönetim ve maliyet kalemleri üzerinden karşılaştırıyor, geçişte sahada en sık karşılaşılan sorunları ve şube profiline göre bir karar tablosunu veriyoruz.

Klasik WAN modelleri ve sınırları

Kurumsal ağ altyapısında WAN için üç klasik model var. Birincisi operatörün MPLS omurgası üzerinden verdiği L3VPN hizmeti: şubeler operatörün PE yönlendiricilerine bağlanır, routing operatörle paylaşılır. İkincisi her lokasyona alınan internet hattı üzerinden kurulan site-to-site IPsec tünelleri. Üçüncüsü operatörün Metro Ethernet hizmetiyle lokasyonları Katman 2’de bağlamak; teslim noktasındaki VLAN, MTU ve bant profili ayrıntıları Metro Ethernet E-Line ve E-LAN yazısında anlatılıyor.

Üçünün ortak zaafı, uygulamadan habersiz olmalarıdır. Yönlendirici bir paketin ERP, ses veya gece yedeği olduğunu bilmez; hedef ağa bakar ve tek bir yol seçer. Uygulamalar merkezdeki veri merkezinde çalışırken bu yeterliydi. SaaS ve bulut ağırlığı arttığında şube trafiğini önce merkeze taşıyıp oradan internete çıkarmak (backhaul) iki kez gecikme ve merkez hattında gereksiz yük demektir. Merkez hattı dolar.

MPLS L3VPN: operatör SLA’sı ve kısıtlar

MPLS L3VPN (RFC 4364), her müşteriyi operatör omurgasında ayrı bir VRF içinde tutar. Müşteri tarafındaki CE yönlendirici, PE ile statik routing veya eBGP üzerinden rota paylaşır; şubeler arası trafik operatör ağında kalır. Güçlü yanları şunlar:

• Uçtan uca SLA: Trafik tek operatörün kontrol ettiği ağda kaldığı için gecikme, jitter, paket kaybı ve erişilebilirlik için sözleşmesel taahhüt verilebilir.
• Operatör QoS’u: DSCP ile işaretlenmiş trafik operatör omurgasında da öncelik sınıflarına eşlenebilir. Sınıf sayısı ve eşleme operatöre göre değişir; sözleşmeden önce yazılı alın.
• Öngörülebilir davranış: İnternetteki yönlendirme değişikliklerinden etkilenmez.

Kısıtlar da net. MPLS trafiği etiketlerle ayırır, şifrelemez; gizlilik gerekiyorsa üstüne ayrıca şifreleme koymanız gerekir. Yeni lokasyonun devreye alınması operatörün o adrese altyapı erişimine bağlıdır ve haftalar sürebilir. Bant genişliğinin birim maliyeti genellikle internet erişiminden yüksektir. Tek operatöre bağımlılık hem fiyat pazarlığını hem de arıza anındaki seçeneklerinizi daraltır. Bulut uygulamaları için ayrıca merkezi bir internet çıkışı tasarlamak gerekir.

Sahada MPLS ile ilgili en sık gördüğümüz yanılgı, “operatörün ağı, operatör halleder” rahatlığıdır. CE tarafındaki QoS işaretlemesi yanlışsa operatörün öncelik sınıfları hiçbir işe yaramaz. İşaretlemeyi siz yaparsınız.

SD-WAN: overlay, merkezi politika ve uygulama yönlendirme

SD-WAN fiziksel hatların üzerine şifreli bir overlay kurar ve bu overlay’i merkezi bir kontrol/yönetim düzleminden politika ile yönetir. Bileşenler şunlar:

• Edge cihazları: Her lokasyonda birden fazla underlay hattına (fiber internet, MPLS, 4G/5G) bağlanan ve aralarında IPsec tünelleri kuran cihazlar.
• Kontrol ve yönetim düzlemi: Topolojiyi, tünel anahtarlarını, routing ve yönlendirme politikalarını merkezden dağıtan bileşen; üreticiye göre bulutta veya şirket içinde çalışır.
• Yol ölçümü: Edge cihazları her tünelde aktif sondalarla gecikme, jitter ve paket kaybını sürekli ölçer.
• Uygulama tanıma: İlk paketlerden, DNS/SNI bilgisinden veya imza veritabanından trafiğin hangi uygulamaya ait olduğu belirlenir.

Bunlar birleşince “ses trafiği, tek yön gecikmesi 150 ms’yi (ITU-T G.114’ün etkileşimli ses için verdiği üst sınır) veya kaybı belirlenen eşiği aşan yoldan diğerine taşınsın” gibi politikalar yazılabilir. SaaS trafiği şubeden doğrudan internete (local breakout) çıkar, iç uygulamalar tünelle merkeze gider. Yeni şubede cihaz sıfır dokunuşla (ZTP) yönetim düzlemine bağlanır ve şablonunu alır.

Sınırlarını bilmeden SD-WAN almayın. SD-WAN hattın kendisini iyileştirmez: iki hat aynı binadan aynı kanalla geçiyorsa veya aynı operatör santraline bağlıysa ortak arıza riski aynen durur. İnternet üzerindeki yolda operatörler arası SLA yoktur; SD-WAN yalnızca elindeki yollar arasından en iyisini seçer. Yönetim düzlemi üreticiye özeldir; farklı üreticilerin cihazları genellikle birbiriyle overlay kuramaz. MEF 70 standardı operatörlerin sunduğu SD-WAN hizmetinin niteliklerini tanımlar, cihazlar arası birlikte çalışmayı sağlamaz. Çok üreticili overlay planlamayın.

Sahada en sık karşılaştığımız SD-WAN hatası ise SLA eşiklerinin ürünün varsayılan değerlerinde bırakılmasıdır. Varsayılan eşik sizin uygulamanızı tanımaz. Eşikleri, pilot şubede gerçek trafikle ölçtüğünüz değerlere göre ayarlayın.

Hibrit WAN: MPLS ve internet birlikte

Pratikte çoğu şirket ya MPLS ya SD-WAN diye ikili seçim yapmaz. Hibrit WAN’da şubede hem MPLS hem internet hattı bulunur ve SD-WAN edge cihazı ikisini de underlay olarak kullanır. Overlay tüneli MPLS üzerinde de kurulduğu için politika ve şifreleme her iki yolda aynıdır. Tipik dağılım:

• Ses, video konferansın merkezi bileşenleri ve gecikmeye duyarlı iç uygulamalar: birincil yol MPLS, yedek yol internet.
• SaaS ve genel web trafiği: doğrudan internet hattı; bozulursa tünelle merkez çıkışı.
• Yedekleme ve dosya senkronizasyonu: maliyeti düşük yol, mesai saatlerinde bant sınırlı.

Bu model, MPLS kapasitesini yükseltmek yerine artan trafiği internet hattına aktarmanıza imkan verir. Zamanla MPLS yalnızca kritik lokasyonlarda tutulur veya tamamen kaldırılır. Karar, ölçüm verisiyle verilir.

Karşılaştırma tablosu

Maliyeti yalnızca aylık hat ücretiyle karşılaştırmak yanıltır. Cihaz yenileme döngüsü, abonelik tabanlı lisans, ağı işletecek ekibin iş gücü ve arıza sürelerinin iş etkisi aynı hesaba girmeli. SD-WAN lisansları çoğunlukla bant genişliği kademesi ve özellik setine göre fiyatlanır; üç yıl sonra kademe yükseltmesi gerektiğinde maliyetin nasıl değişeceğini teklif aşamasında sorun.

Geçiş aşamaları ve riskler

MPLS’ten SD-WAN’a veya hibrit modele geçiş tek gecede yapılmaz. Aşağıdaki sıra kesinti riskini kontrol altında tutar:

1. Envanter ve trafik analizi: Her lokasyonun hat tipi, kapasitesi, sözleşme bitiş tarihi ve uygulama bazlı trafik dağılımı (NetFlow/IPFIX verisiyle) çıkarılır. Tahminle değil, ölçümle başlayın.
2. Underlay hazırlığı: İkinci hatlar mümkünse farklı altyapı ve farklı bina girişiyle alınır. Hat çeşitliliği ve failover davranışını çift internet hattı ve failover yazısı ayrıntılı işliyor.
3. Merkez ve veri merkezi edge’leri: Önce hub tarafı kurulur; MPLS ile SD-WAN overlay arasındaki rota alışverişi (genellikle BGP veya OSPF ile) burada tasarlanır.
4. Pilot şubeler: Farklı profillerden iki üç şube seçilir; uygulama politikaları ve SLA eşikleri burada doğrulanır.
5. Dalga halinde yaygınlaştırma: Her dalgadan sonra ölçümler karşılaştırılır; MPLS sözleşmeleri ancak yeni yapı stabil çalıştıktan sonra kapatılır.

Geçişte sahada tekrar tekrar karşımıza çıkan sorunlar belli. MPLS ile overlay arasında karşılıklı rota dağıtımı yapılırken oluşan routing döngüleri ve asimetrik yollar; stateful firewall gidiş ve dönüşü farklı yoldan gördüğünde oturumu düşürür. Overlay tünel başlığı yüzünden MTU taşar; küçük paketler geçer, büyük dosya transferi takılır. Uygulama tanıma kuralları şifreli trafikte beklenenden az isabetli çalışır. Bir de yukarıda söylediğimiz varsayılan SLA eşikleri. Asimetrik yol, ilk bakılacak yerdir. Hat kalitesinin nasıl ölçüleceği WAN SLA ölçümü yazısında anlatılıyor.

Şube profiline göre karar tablosu

Karar vermeden önce şu dört soruyu cevaplayın: Uygulamaların ne kadarı bulutta? Şubede ikinci bir altyapı sağlayıcısı var mı? Sözleşmesel SLA iş açısından zorunlu mu? Ağı kim, hangi araçla işletecek? Bu sorular netleşmeden ürün seçimine geçmek, ürünün mimariyi belirlemesi demektir. Şubenin kendi iç ağının nasıl standartlaştırılacağı ise şube ağı standart tasarımı yazısının konusu.

Mevcut hatların envanteri ve operatör seçenekleri için Metro Ethernet ve internet hat yönetimi, mimari karar ve geçiş planı için kurumsal network danışmanlığı sayfalarına bakabilirsiniz.

Sık sorulan sorular

SD-WAN, MPLS’in tamamen yerini alabilir mi?

Uygulamaların çoğu buluttaysa ve şubelere iki farklı altyapıdan internet hattı alınabiliyorsa çoğu durumda alabilir. Gecikme ve jitter’a çok duyarlı uygulamalar, sözleşmeye bağlı uçtan uca SLA ihtiyacı veya hat çeşitliliği sağlanamayan lokasyonlar varsa hibrit model daha güvenli bir ara adımdır.

MPLS hattı şifreli midir?

Hayır. MPLS L3VPN trafiği operatör omurgasında etiketlerle ayırır ama şifrelemez. Ayrıştırma mantıksaldır; veri gizliliği gerekiyorsa MPLS üzerinde de IPsec veya benzeri bir şifreleme katmanı kullanın.

SD-WAN için her şubede iki internet hattı şart mı?

Teknik olarak tek hatla da çalışır, ama o zaman uygulama bazlı yol seçimi için alternatif yol kalmaz ve kazanç büyük ölçüde merkezi yönetimle sınırlı kalır. Kritik şubelerde farklı altyapıdan ikinci hat veya hücresel yedek hat alın.

Hibrit WAN’da MPLS hattı yedekte mi bekletilmeli?

Genellikle hayır. İki yol da aktif tutulur; ses ve kritik iş uygulamaları tercihen MPLS’e, bulut ve genel internet trafiği internet hattına gider. Bir yol bozulduğunda politika trafiği diğerine taşır. Yedekte bekleyen hat hem atıl kapasite hem de test edilmemiş bir yoldur.