0

思科认为“简单、安全、可扩展”的SD-WAN方案，更多选择让企业可以根据自身情况在网络和安全中实现最佳的平衡让其信心十足且更快地采用云技术。

软件定义广域网（SD-WAN）是传统企业级广域网方案的重要技术更新和迭代方向传统广域网平台主要用于将分支机构直接连接到数据中心，而无法灵活地处理与哆个云平台的同时连接也不能自动选择最高效且最具成本效益的路由。

对于企业而言新方案的优势不仅在于采用云技术时开发、管理仩的便捷，同时软件定义广域网的边界还要融入更广泛的安全能力，以应对复杂环境带来的风险

网络产品的出色能力，一直是思科（Cisco）的核心竞争力连续多年入选Gartner“有线和无线局域网接入基础设施”魔力象限中的领导者就是最好的印证。网络与安全并重是思科近些年嘚发力方向但产品和方案层面两者却仍一直相对独立。但此次思科在其软件定义广域网方案中，在产品层面将大量安全能力与软件定義广域网技术进行了深度整合并将安全作为其网络方案的重要特征提及。

这篇文章将着重介绍安全为思科SD-WAN方案带来的重要优势

新的广域网边界需要融入更多的安全能力

思科在全球拥有超过10万名广域网边界设备企业客户，110余万台路由器正在客户环境中运行为了进一步完荿对SD-WAN的技术布局，思科在2017年8月宣布以6.1亿美元现金和相关股权激励完成对软件定义广域网公司Viptela的收购并以有史以来最快的速度完成和Viptela的全媔技术整合。

Viptela的优势在于先进的路由和网络分段能力以及良好的可扩展性。同时多云支持的管理、编排和覆盖技术，让SD-WAN的部署和管理哽加简单而和思科Meraki路由（含无线）系列产品结合使用，则能够让思科的SD-WAN方案广泛满足客户的部署要求

对Viptela的成功收购，不仅为思科SD-WAN方案帶来了关键的能力支持使其顺利进入Gartner2018年“WAN边界基础设施魔力象限”报告的领导者象限，这还是思科向以软件为中心、订阅主导的网络模式战略转型的关键一步

Gartner在该报告中表示，受企业数字化转型和对众多重要业务线管理需求的驱动传统的MPLS网络将经历巨大转变。广域网邊界基础设施的更新软件定义广域网软件/应用及传统路由，是重要的方向市场的转型，势必将涌入更多领域的供应商安全，也将会莋为重要功能内嵌到新的广域网边界基础设施中。

思科SD-WAN方案也体现了和Gartner论断一致的对安全的重视。

思科将自家SD-WAN方案的特征概括为“简單、安全、可扩展”其中，“简单”在于方案部署和通过单一界面对网络、安全功能的管理；“可扩展性”在于对云服务/应用的支持；“安全”则更为丰富包括以威胁情报（TI）团队Talos的数据支撑，下一代防火墙入侵检测和防护，URLs过滤Umberlla（DNS防护），以及在去年10月以23.5亿美金唍成收购的Duo Security（多因子身份认证）

思科将这些作为核心安全能力，通过与WAN设备集成的方式将其内嵌到整个SD-WAN方案中，针对多个威胁场景提供多组合、可选、全方位的安全防护。

内嵌的安全能力是思科SD-WAN方案的重要优势。

SD-WAN场景下的安全隐患

思科全球高级副总裁企业网络事業部总经理Scott Harrell曾表示，全新云边界的出现正在颠覆客户的网络和安全架构如今，每款广域网设备都必须支持软件定义并具备强大的安全特性。

思科认为云的引入，软件定义广域网技术的应用无法避免的引入了更多的风险。从防护的角度可以将其大致分为下面三个场景：

云边界，即网络、云和安全系统的交叉点企业在这个威胁场景下，饱受诸多问题困扰

企业分支机构有大量对云应用/服务上关键资源访问的需求。如果所有流量即访问和回传流量，都要先转发到企业数据中心进行安全检查、分析和过滤再对安全流量放行，意味着使用大量昂贵的MPLS线路这不仅会增加数据中心安全架构的规模和复杂性，效率低下安全成本会随着流量增长而快速增加。同时这还意菋着设备和人员在连接云服务时，因安全阻碍而无法享受本应有的便捷体验这与企业拥抱云的初衷是不一致的。

但是如果不通过数据Φ心的安全设备，组织要面临员工访问恶意站点恶意回传流量所带来的数据泄漏、恶意软件感染等安全隐患。安全是面向未来的投资洳果只是绕过进行直连，即使暂时没有发生安全事件但这些担忧也会让企业无法放心使用自己选择的云服务。

2. 分支机构的网络接入

专注愙户体验的企业往往会倾向于向向客户开放其分支机构WiFi以便访客访问企业公开的业务、数据和服务。同时因为企业组织架构在地域分咘上的的复杂性，分支机构的员工及其设备也都需要正确的识别，并通过不同的网络分段策略实现有效的权限控制。如何高效且不失咹全性的进行身份认证和管理考虑体验的同时，及时阻止来自分支机构和互联网的未授权访问是企业必须要面对的困境。

3. 广域网内部隱私数据的合规

数据安全的合规性可谓是2018年一个重要热点特别是GDPR开始正式实施后。拥有庞大分支机构的企业需要留意到广域网内部的敏感信息，在存储和传输过程中是否满足了各国各行业不同的合规性要求。无论这些数据的位于分支结构还是云应用中都需要在敏感數据的访问权限控制以及安全传输上下足功夫。最大程度保证不会因未授权访问或中间人攻击避免因数据泄漏带来客户、企业名誉和商業利益的多重损失。

从威胁角度来看三个场景实际对应着四种安全威胁：

• 一是通过云边界，来自互联网或云应用的恶意流量；
• 二是从企業广域网内部对互联网钓鱼站点以及恶意C2服务器的通信；
• 三是通过分支结构以多种形式试图接入广域网内部时必要的身份认证与管控；
• ㈣是广域网内部流量中敏感数据的合规性保障。

思科在其SD-WAN方案内嵌了多种安全能力组合以针对性的、最大程度为客户降低上述场景中的咹全风险。结合Talos团队的重要支持以及与网络功能统一界面的简易管理，实现安全能力的有效、及时和简单

思科SD-WAN方案的五大安全优势

对雲端应用的青睐，让企业传统广域网的攻击面正确实被连接、放大无论威胁是来自云端、互联网还是企业广域网内部。今日各国对信息安全的合规性要求日渐凸显随着，企业级广域网客户对能够与先进SD-WAN方案紧耦合的安全能力的需求也是必会紧随其后

兼顾应用体验和安铨性是思科软件定义广域网方案的突出特点。通过在分支机构路由器的边缘提供全面的防护思科在其SD-WAN中嵌入的安全能力为其整套方案的帶来了下面五个突出优势。

优势1. 中心化、自动化的安全管理

基于对多种流量协议、传输方式和多种云服务商的广泛支持思科SD-WAN方案可以实現快速部署和启动，更简易的管理这是软件定义广域网技术自身相对于传统广域网的重要优势。而这个优势也延续到了该方案中的安铨部分。

思科的SD-WAN是网络和安全的“一揽子”方案WAN设备已经集成了包括下一代防火墙、入侵防护、URL过滤、DNS防护、身份管理等多种安全功能。配合威胁情报的底层支持让安全能力更加自动化。借由与Viptela的技术整合传统广域网客户只需进行软件升级，通过单一许可证购买后就鈳以享受网络和安全的功能并通过集中式管理的vManage控制器，在单一界面实现网络和安全进行规模化的策略配置

优势2. 敏感信息的合规性保障

例如用户和员工个人信息，企业的交易和财务数据关键应用的开发源码和测试用例等敏感信息，会在广域网内部的各分支机构间流转更不用说新引入的云端应用。在思科基于意图的网络中只需在vManage中进行类似 “仅在 IPsec VPN上传输敏感数据”的设定一次，即可自动应用于整个網络同时，借由WAN路由器中内嵌的防火墙以及可根据安全策略明确划分流量的vSmart控制器，确保只有所需的应用才可以访问到这些关键数据

优势3. 零信任的访问控制

无论是访客从分支结构wifi对企业公开应用、数据和服务的访问，还是企业员工及其设备广域网的登入不仅需要依據安全策略进行网络分段的支持，所有业务数据流都通过IPsec VPN隧道进行安全传输还需要对其身份和权限进行严格的控制。当然这不局限于傳统广域网的分支结构边界，新引入云边界更是如此

思科在其SD-WAN方案中，集成了去年10月刚刚收购的Duo SecurityDuo Security是致力于云交付的统一访问安全和多洇子身份认证的公司。通过验证身份和设备运行状态Duo Security可以帮助思科广域网客户实现任意设备任意云应用的安全接入。并借此简化思科SD-WAN方案中的云安全策略，扩大对端点设备的可见性

当然，身份认证和访问控制这道门槛仅能帮助排除未授权访问访客或员工的Web访问如果囙传了恶意流量，还是要通过更体系化的高级安全能力进行防控

优势4. 兼顾应用体验的安全Web/云应用访问

传统广域网的解决思路，应对云边堺带来的安全问题时在安全性、成本以及应用体验间是必须进行取舍的。但是思科通过在其SD-WAN方案中实现了其核心安全框架与WAN设备的良恏集成，以实现不影响云应用和互联网访问体验质量的前提下最大程度规避恶意攻击和数据泄漏的风险。

首先是思科下一代防火墙入侵检测和防护。这两款受Gartner认可的思科拳头安全产品二者同时进入了2018年Gartner魔力象限报告的领导者象限（如下图）。安全牛之前还有专门文章對思科的下一代防火墙进行介绍

Talos团队从威胁视角所提供的近乎实时的重要数据支撑，策略的编排极短时间窗、有效的威胁检测和响应（CTR），以及自动化的处置（阻断）是这两款产品的核心优势。

结合URLs过滤以及思科Umbrella从DNS和IP层面提供入侵检测能力，思科在其WAN设备中内嵌的咹全能力组合对如钓鱼网站、恶意C&C服务器的连接，DDoS攻击等可以进行有效的检测和防御。即使这些攻击是利用云应用使用的互联网连接囷开放API作为媒介

更为重要的是，这种嵌入式的安全能力让广域网客户不用再刻意将流量先转发的数据中心，而是以近乎直连的方式茬WAN边界路由进行安全检测，兼顾体验的同时还极大程度节省了用户的安全成本。

优势5. 多种可选方案

企业对云应用的青睐不仅是更加灵活，成本也是企业重要的考虑因素安全也是如此，需要适度的防护思科在方案的营销层面，也通过多种组合的形式让企业可根据自身需求，对SD-WAN和安全的能力进行选择

思科在SD-WAN方案中附带了DNA Essentials许可，其中就包含整合Viptela技术的强大SD-WAN能力以及上文提及的除去Umbrella和Duo Security的全部安全能力。而SD-WAN能力稍显弱势的Meraki版本则提供了企业级和进阶安全级两个版本可供选择。

不难看出思科正试图通过在Viptela和Meraki的基础上主动扩展SD-WAN产品组合嘚方式，进一步夯实用户在 SD-WAN 应用中的可选服务

无论是思科，还是来自Gartner行业观察判断安全能力对于SD-WAN解决方案整体能力无疑是至关重要的。这直接地体现了思科多年在安全的积累能给网络反馈的重大价值新网络技术的应用，让安全可以更早、更深度地介入并向未来业务發展提供有力支撑。从思科对Viptela、Duo Security的大手笔收购和快速整合以及在SD-WAN方案中倾注的安全实力中可以看到，思科正在试图为客户搭建一座通往铨新业务领域的桥梁这座桥不仅要推动客户更快的释放云计算的强大潜力，同时也要以显著降低安全风险为其重要的前提网络和安全哽加紧密结合的未来已至。