WireGuard, IPsec ve SD-WAN aynı düzeyde değildir. WireGuard ve IPsec, trafiği tüneller içinde korur. SD-WAN bir veya birden fazla temel bağlantı üzerinde yönetilen şubeler arası hizmeti tanımlar; şifreleme farklı tekniklere dayanabilir. Bu yüzden birden çok konumda seçim ürün adından önce uygulamalar, hatlar, sorumluluklar ve arıza durumlarıyla başlar.
Kurgusal işletmenin bir merkezi ve üç şubesi vardır. ERP ve telefon hizmetleri merkezi servisleri kullanır, Microsoft 365 internete mümkün olduğunca doğrudan çıkar ve bakım şirketi yalnızca sınırlı servis erişimine ihtiyaç duyar. Bizim OPNsense bakımı hakkındaki DAXS yazımız bir güvenlik duvarının güncelleme sürecini ele alır; burada konu şube topolojisi ve işletim kararıdır. İkinci internet hattı her konum için ayrı bir konudur ve yalnızca SD-WAN adıyla çözülmez.
Protokol seçiminden önce dört kontrol
Önce her konumdaki uygulamalar, hedef ağlar, ölçülen yoğun yük, gecikme gereksinimi, dışarıdan erişilebilirlik ve hat arızaları kaydedilir. Çakışan özel adres aralıkları, tünel protokolünden bağımsız olarak yönlendirmeyi ve erişim kurallarını zorlaştırır. Sonra şubelerin yalnızca merkezle mi, yoksa doğrudan birbirleriyle de mi iletişim kuracağı belirlenir; hub-and-spoke daha az tünel ilişkisi gerektirir ancak merkezi darboğaza dönüştürebilir. Son olarak işletim, anahtar bakımı, izleme ve test edilmiş geri dönüş yolunun sorumluları atanır.
| Yaklaşım | Şu durumda uygundur… | Kontroller ve sınırlar |
|---|---|---|
| WireGuard | Az sayıda, açıkça tanımlanmış eş ve ağda anahtar bakımı yönetilebilir olduğunda | Her eş için AllowedIPs, rotalar, güvenlik duvarı kuralları, NAT ve erişilebilirliği uygulamalı test edin; protokol kendiliğinden otomatik merkezi işletim sunmaz |
| IKEv2 ile IPsec | Mevcut cihazlar veya eşler standart IPsec tünelleri gerektirdiğinde | Üreticiler arası profilleri, sertifikaları, yeniden anahtarlamayı, NAT-T’yi ve devretmeyi somut cihaz çiftinde doğrulayın |
| SD-WAN hizmeti | Birden çok hat, çok sayıda konum veya uygulamaya özel yollar merkezi kontrol ve bakım gerektirdiğinde | Underlay, edge cihazları, politikalar, ölçüm noktaları, yönetim erişimi, SLA ve arıza yolunu hem sözleşme hem teknik açıdan değerlendirin |
Yapılandırmadan ve arızalardan bir kişi sorumluysa küçük bir ağ WireGuard veya IPsec ile çok iyi işletilebilir. SD-WAN teklifi bu işletim görevini birleştirip yolları yönetebilir; ancak kendi platform, lisans, destek ve bağımlılık maliyetlerini getirir. Daha yüksek erişilebilirlik, gerçekten bağımsız hatlara ve test edilen geçişe bağlıdır.
WireGuard: açık eşler, açık ağlar
WireGuard, açık anahtarları izin verilen IP aralıklarına eşler. Şubeler arası bağlantıda bu aralıklar yönlendirme tablosu ve güvenlik duvarı kurallarıyla uyuşmalıdır; çalışan bir el sıkışma ERP veya telefon hizmetine erişildiğini kanıtlamaz. NAT arkasındaki bir eş için keepalive gerekebilir. OPNsense belgeleri iki konum için somut eş, rota ve güvenlik duvarı kontrollerini ve olası MTU/MSS sorunlarını gösterir. Dört konumda yapılandırma ve anahtar bakımı büyür; özellikle doğrudan şubeler arası yollar isteniyorsa. WireGuard tek başına otomatik politika yönetimi, hizmet izleme veya SLA eklemez.
IPsec/IKEv2: standartlaşma kabul testi gerektirir
IPsec paketleri ağ katmanında korur; IKEv2 güvenlik ilişkilerini ve anahtarları müzakere eder. Bu, farklı güvenlik duvarları veya mevcut iş ortağı gereksinimleri için uygun olabilir. Ancak uyumluluk kendiliğinden oluşmaz: şifreleme takımları, sertifikalar, ağ seçicileri, yeniden anahtarlama ve NAT traversal iki tarafta da uyuşmalıdır. RFC 7296 örneğin NAT durumunda IPsec için UDP kapsüllemesini açıklar. Pilot bu nedenle tünelin kurulmasını, uzun süreli çalışmayı, anahtar değişimini ve hat kesintisinden sonra yeniden kurulmayı test eder. Başarılı ping burada da işlevsel kabul anlamına gelmez.
SD-WAN: overlay, underlay ve sözleşmeyi ayırın
MEF 70.2, SD-WAN’ı üzerinde anlaşılmış nitelikleri olan bir hizmet olarak tanımlar ve temel bağlantı hizmetlerinden açıkça ayırır. Örnekte “ERP A yolundan, ölçülen arızada B yolundan” veya “telefon hizmeti yalnızca uygun gecikmede” gibi kurallar gereksinim olabilir; bunların fiilen sunulması sağlayıcının ürününe, ölçüme ve sözleşmedeki hizmetlere bağlıdır. Bir şubenin yalnızca tek fiziksel internet erişimi varsa merkezi kontrol, onun arızasını yapılandırmayla yok edemez. İki hat aynı güzergâhı, güç kaynağını veya edge cihazını kullanıyorsa ikinci hat da pek yardımcı olmaz.
Bu nedenle teklif; edge donanımı, yönetimin konumu, hatlar, merkezi politika, güvenlik sınırları, günlükleme, cihaz yazılımı bakımı, destek saatleri, veri yolu ve çıkış senaryosu açısından ayrı ayrı değerlendirilir. “Yönetilen” ancak eskalasyon, ölçüm verileri ve arıza sorumluluğu tanımlıysa avantajdır.
Arıza testi, veri sayfasından daha fazlasını söyler
Merkez ve bir şube dört durumu birlikte test eder: ana yolun kaybı, edge cihazının arızası, geçersiz anahtar ya da sertifika ve aktif tünele rağmen çalışmayan uygulama. Algılama, geçiş, yeniden bağlantı, uygulama etkisi ve normal yolun geri gelmesi ölçülür. ERP ve telefon hizmeti için izin verilen kesinti farklı olabilir. Test tutanağı genel bir yüksek erişilebilirlik vaadi yerine gerçek süreleri belirtir.
Maliyet kararı; cihazları ve yedekleri, tünel ve politika kurulumunu, hat ücretlerini, ek gerçek yedekliliği, lisans veya hizmet bedellerini, izlemeyi ve kurum içi nöbet emeğini kapsar. Kendi WireGuard tünelinizde ayrı protokol lisansı olmayabilir, ancak işletim ve hat maliyetleri sürer. Mevcut cihazlardaki IPsec tüneli, bakım ve üretici onayı hesaba katılırsa ucuz görünebilir. SD-WAN hizmeti çok sayıda konumda işi azaltabilir, fakat aynı hizmet kapsamıyla karşılaştırılmalıdır. Ölçüm ve teklifler olmadan avro cinsinden sıralama uydurma olur.
DAXS, işletmeyle birlikte dört konumu, uygulamaları ve arıza durumlarını kabul testine hazır bir topolojiye dönüştürebilir ve uygun işletim seçeneklerini karşılaştırabilir. Bir DAXS görüşmesinin başlangıç noktası konumların ağ planı, hat sözleşmeleri ve geçmiş arıza kayıtlarıdır.
Kaynaklar: WireGuard: Quick Start; OPNsense: WireGuard Site-to-Site; IETF RFC 7296: IKEv2; Mplify/MEF 70.2: SD-WAN Service Attributes.