SD-WAN, MPLS или VPN: как объединить филиалы в одну сеть
Продвинутое4 минРедакция Innovialabs
Коротко
Для нескольких филиалов обычно хватает site-to-site VPN через интернет, MPLS даёт предсказуемый канал от оператора ценой гибкости, а SD-WAN нужен, когда филиалов много, каналов несколько, важны облачные сервисы и нужно управлять всем из одного центра.
Короткий ответ
- Site-to-site VPN — зашифрованные туннели поверх обычного интернета между роутерами офисов. Дёшево и быстро, но каждая точка настраивается отдельно, а качество зависит от провайдеров.
- MPLS — частная сеть оператора связи с договорными гарантиями (SLA). Предсказуемые задержки, но дорого, долго подключать и неудобно для облака.
- SD-WAN — программный слой поверх любых каналов (интернет, LTE, MPLS) с централизованным управлением и маршрутизацией с учётом приложений.
Если филиалов немного и ИТ-команда справляется вручную — VPN. Если критичны гарантии от одного оператора и все филиалы в его зоне — MPLS. Если сеть растёт, каналов несколько и важен трафик в облако — SD-WAN.
Как устроена каждая архитектура
VPN. На каждой площадке стоит роутер или firewall, между ними поднимаются туннели IPsec или WireGuard. Типовые топологии — hub-and-spoke (все филиалы подключаются к центральному офису) и full mesh (каждый с каждым). Full mesh вручную быстро становится неуправляемым: число туннелей растёт с каждым новым филиалом. Маршрутизация — статическая или через динамический протокол (OSPF, BGP) поверх туннелей.
MPLS. Оператор строит для вас изолированную L3VPN внутри своей сети. Филиалы видят друг друга как в одной частной сети, трафик не идёт через публичный интернет. Классы обслуживания (QoS) настраиваются у оператора. Выход в интернет обычно централизован через головной офис или делается отдельно на каждой площадке.
SD-WAN. На каждой площадке стоит edge-устройство, все они управляются из оркестратора. Устройство строит зашифрованные туннели по всем доступным каналам сразу, постоянно измеряет задержку, джиттер и потери и выбирает путь для каждого приложения по заданной политике. Новый филиал подключается через zero-touch provisioning: устройство включают, оно само получает конфигурацию.
Сравнение
| Критерий | Site-to-site VPN | MPLS | SD-WAN |
|---|---|---|---|
| Транспорт | интернет | сеть оператора | любой: интернет, LTE, MPLS |
| Качество канала | без гарантий | гарантии по SLA | без гарантий на каждом канале, но выбор лучшего пути |
| Отказоустойчивость | зависит от настройки резервных туннелей | зависит от резервирования у оператора | несколько каналов, автоматическое переключение |
| Управление | каждое устройство отдельно | у оператора, изменения через заявку | централизованно, шаблонами |
| Облако и SaaS | напрямую или через центр | часто через центр, с лишней задержкой | локальный выход по политике |
| Подключение филиала | быстро, но вручную | долго, нужна линия оператора | быстро, zero-touch |
| Из чего складывается стоимость | оборудование и время инженера | ежемесячная плата за каналы и порты | оборудование, подписка на лицензии, интернет-каналы |
Конкретные цены сильно зависят от региона, операторов и вендора, поэтому сравнивайте полную стоимость владения: каналы, оборудование, лицензии и время людей на поддержку.
Маршрутизация с учётом приложений
Главное отличие SD-WAN — application-aware routing. Устройство распознаёт приложение (голосовая связь, видеозвонки, ERP, резервное копирование) и отправляет его по каналу, который сейчас соответствует требованиям:
- IP-телефония и видео — по каналу с минимальными задержкой и джиттером, при ухудшении — мгновенное переключение.
- Кассы и ERP — по самому надёжному каналу, с резервом.
- Бэкапы и обновления — по дешёвому каналу, с ограничением полосы.
Некоторые решения умеют дублировать пакеты критичных приложений по двум каналам или восстанавливать потери, но это зависит от вендора. В классическом VPN подобное можно частично собрать из policy-based routing и скриптов, но поддерживать это на десятках площадок тяжело.
Безопасность
- Все три варианта не заменяют firewall и сегментацию. MPLS изолирован, но не шифрует трафик сам по себе.
- При локальном выходе в интернет из филиала каждая площадка должна быть защищена — встроенным NGFW в edge-устройстве или облачной защитой (подход SASE/SSE).
- Централизованное управление — это и единая точка риска: доступ к оркестратору защищайте MFA и ограничением прав.
Когда переходить на SD-WAN
Признаки, что пора:
- филиалов становится больше, и каждое открытие занимает недели настройки;
- на площадках уже по два канала, но переключение работает плохо или вручную;
- основной трафик ушёл в облако и SaaS, а он идёт через центральный офис;
- жалобы на качество звонков и видео при формально «нормальном» интернете;
- MPLS-каналы дорожают, а гибкости не хватает;
- небольшая ИТ-команда не успевает менять настройки на всех роутерах.
Переход обычно делают постепенно: пилот на нескольких филиалах, затем гибридная схема, где MPLS остаётся одним из транспортов, и только после этого решение об отказе от него.