SD-WAN es una forma de usar varias líneas a la vez y decidir por cuál va cada aplicación, sin depender de una sola. Muchos cortafuegos ya lo traen. Aquí está qué es, en qué se distingue de MPLS y cuándo le compensa a una empresa con más de una sede o más de una línea.
Foto: Brett Sayles, en Pexels
SD-WAN (Software-Defined Wide Area Network, red de área extensa definida por software) es una capa que se pone sobre las líneas que ya tiene una empresa, para usarlas a la vez y decidir por cuál va cada aplicación. Sirve sobre todo a quien tiene varias sedes, varias líneas o mucho trabajo en la nube.
La referencia es el estándar MEF 70 de Mplify Alliance (antes MEF Forum), que se presenta como el primero que define un servicio SD-WAN. Su versión más reciente que aparece en su catálogo es la 70.2, de octubre de 2023. Según esa organización, hay tres piezas que importan:
Dicho con un ejemplo: las videollamadas pueden ir por la línea con menos retardo, y las copias de seguridad, por la más barata. Si cae una línea, el tráfico sigue por otra.
MPLS es la red privada que contrata una empresa a un operador para unir sus sedes. Esta comparación es la que hace Fortinet, que vende SD-WAN, así que tómala como la visión de un fabricante:
| MPLS | SD-WAN | |
|---|---|---|
| Qué es | Red sobre circuitos dedicados | Capa superpuesta sobre cualquier combinación de conexiones |
| Coste | Caro, por los circuitos dedicados | Aprovecha el acceso de banda ancha a Internet |
| Rendimiento | Constante y con garantías por contrato | Alta disponibilidad, con cambio automático de línea |
| Cifrado | Necesita soluciones añadidas | Lo incorpora, con túneles VPN cifrados |
| Cambios y averías | Dependen del operador | Gestión centralizada |
Fíjate en lo que este cuadro no borra: MPLS da garantías de rendimiento por contrato, y en una línea normal de Internet eso depende de lo que hayas firmado. Por eso no hay que elegir a la fuerza: MPLS puede seguir siendo una de las líneas de debajo.
Son dos trabajos distintos. El cortafuegos decide qué tráfico puede pasar, y SD-WAN decide por dónde va. Se juntan porque los dos están en el borde de la red de cada sede, y muchos fabricantes de NGFW ofrecen ambos en el mismo aparato.
Eso no significa que te venga gratis. Depende de la marca y de la licencia:
| Fabricante | Qué dice |
|---|---|
| Check Point | En la serie Spark 2500, incluido al administrar por web o con Spark Management; con Smart-1, licencia aparte. En las series 1500 Pro, 1600 y 1800 figura como opcional. |
| WatchGuard | Va en el soporte estándar, junto con el cortafuegos con estado y la VPN. |
| Sophos | El módulo Central Orchestration, incluido en el paquete Xstream Protection, lleva SD-WAN y VPN orquestadas. |
| Palo Alto Networks | La elección dinámica de camino entre varias líneas es la suscripción Advanced SD-WAN. |
Compruébalo en el presupuesto antes de comprar, porque las licencias cambian. Ten en cuenta también que los túneles cifrados consumen capacidad del aparato: mira la cifra de VPN de su ficha, no solo la de cortafuegos.
El propio organismo del estándar lo trata por separado. Su norma MEF 88, de 2021 y ya sustituida por la MEF 138, especifica lo necesario para añadir seguridad a un servicio SD-WAN: filtrado por IP, puerto y protocolo, filtrado de DNS, de dominios y de URL, detección de malware y descifrado del tráfico TLS.
Hay algo más: la salida directa a Internet es una de las ventajas de SD-WAN, pero implica que ese tráfico ya no pasa por el cortafuegos de la central. Si no hay protección en la propia sede, habrás abierto un hueco. Es uno de los motivos para tener cortafuegos y SD-WAN juntos. Fortinet presenta además SD-WAN como un paso hacia SASE, que lleva esa protección a la nube.
No necesariamente. MPLS puede ser una de las líneas sobre las que funciona: el estándar MEF cita las VPN MPLS y el acceso a Internet entre los servicios que SD-WAN puede usar por debajo. Se puede sustituir, o combinar las dos cosas.
No. SD-WAN decide por dónde va el tráfico, y el cortafuegos decide si puede pasar. Lo que pasa es que muchos cortafuegos traen las dos funciones en el mismo aparato. El propio estándar trata las funciones de seguridad como algo que se añade y se acuerda aparte.
Aporta poco, porque su utilidad está en elegir entre varias líneas. Si solo tienes una, no hay entre qué elegir. Empieza a tener sentido con una segunda línea, por ejemplo de fibra y 5G, o con varias sedes que conectar.
Foto: Damir K, en Pexels Guías Un firewall o cortafuegos es el dispositivo o programa que decide qué tráfico puede entrar y salir de una red o de un equipo. Aquí explicamos qué es, cómo funciona por dentro, dón…
