Il ruolo della WAN nel design enterprise
Nel modello gerarchico Cisco la WAN collega i siti remoti al data center e agli headquarter, ed è tipicamente il segmento più costoso e meno affidabile dell’infrastruttura. Il compito del progettista ENSLD non è “comprare più banda”, ma mappare i requisiti applicativi (SLA, latenza, disponibilità) sulla tecnologia di trasporto e sul modello di routing più adatti, bilanciando costo, ridondanza e scalabilità.
Opzioni di trasporto WAN
| Trasporto | SLA / QoS | Costo | Caratteristiche di design |
|---|---|---|---|
| MPLS L3VPN | SLA end-to-end forti, QoS onorata dal provider (DSCP → classi) | Alto | Any-to-any nativo, il provider partecipa al routing (PE-CE) |
| Metro Ethernet (E-LINE / E-LAN) | SLA elevati su area metropolitana | Medio-alto | L2 puro: l’enterprise mantiene il controllo del routing IP |
| Internet (broadband/DIA) | Best-effort, nessuna QoS garantita | Basso | Richiede overlay (IPsec, DMVPN, SD-WAN) per sicurezza e any-to-any |
MPLS L3VPN è la scelta quando servono connettività any-to-any e SLA contrattuali (voce, applicazioni real-time). Metro Ethernet eccelle su distanze metropolitane e quando si vuole tenere il routing “in casa” (il provider consegna L2, l’enterprise fa peering router-to-router). Internet costa poco ma è best-effort: si usa come trasporto sottostante per overlay cifrati o come circuito di backup/augment nei design SD-WAN.
Il modello di routing PE-CE su MPLS L3VPN
Su MPLS L3VPN il router del cliente (CE) fa peering con il router di edge del provider (PE); il core del provider (P) resta invisibile all’enterprise. La scelta del protocollo di PE-CE routing è un punto di design critico:
- BGP (eBGP) PE-CE: opzione preferita e più scalabile. Consente controllo granulare tramite attributi, evita le limitazioni di ridistribuzione e supporta nativamente siti multi-homed. Le route dell’enterprise sono trasportate nel core come VPNv4 con Route Distinguisher e Route Target.
- OSPF PE-CE: pratico se l’enterprise è già OSPF, ma introduce il concetto di super-backbone MP-BGP e il domain-ID / down-bit per prevenire loop; attenzione ai sham-link quando esiste un backdoor link tra siti.
- EIGRP o static: EIGRP conserva le metriche via extended communities; le static route sono adatte a siti stub semplici.
Punto d’esame ricorrente: con MPLS L3VPN il provider è parte attiva del piano di controllo. L’enterprise non vede il proprio IGP end-to-end attraverso il core: vede solo l’adiacenza PE-CE. Questo cambia la logica di summarization e di failover rispetto a un trasporto L2.
Criteri di scelta: SLA, costo, ridondanza
Il progettista pesa tre dimensioni:
- SLA / criticità applicativa → applicazioni real-time e mission-critical spingono verso MPLS L3VPN o metro Ethernet con QoS.
- Costo → dove la criticità è bassa o dove serve solo augment di banda, Internet + overlay riduce l’OPEX.
- Ridondanza → un sito importante non deve avere single point of failure: dual-homing verso due PE, o meglio verso due provider diversi (dual-carrier), elimina la dipendenza da un singolo SP. I design ibridi (MPLS primario + Internet secondario, tipici di SD-WAN) sono oggi lo standard per unire SLA e costo.
Scalabilità: hub-and-spoke vs full-mesh
La topologia logica dell’overlay determina scalabilità e prestazioni:
- Hub-and-spoke: semplice, poche adiacenze, facile da gestire e proteggere; ma tutto il traffico spoke-to-spoke transita dall’hub, introducendo latenza e concentrando carico. Ideale quando il traffico è prevalentemente verso il data center centrale.
- Full-mesh: percorsi ottimali diretti tra ogni coppia di siti, ma il numero di adiacenze cresce come n(n-1)/2, esplodendo in complessità di gestione, tabelle di routing e configurazione.
- Compromesso: MPLS L3VPN offre any-to-any nativo senza costruire n² tunnel (il mesh è nel core del provider). Negli overlay su Internet, DMVPN Phase 3 o SD-WAN forniscono spoke-to-spoke dinamico on-demand, unendo la semplicità dell’hub-and-spoke alla efficienza del full-mesh.
Trappole tipiche d’esame
- Scenario: servono connettività any-to-any e SLA garantiti per la voce → risposta: MPLS L3VPN, non Internet best-effort.
- Scenario: siti dual-homed su MPLS con esigenza di controllo fine del path e no loop → risposta: eBGP PE-CE, non ridistribuzione IGP.
- Scenario: OSPF PE-CE con backdoor link tra due siti che causa routing subottimale → risposta: configurare un sham-link (e verificare domain-ID).
- Scenario: molti siti che devono parlarsi direttamente su trasporto Internet senza n² tunnel statici → risposta: DMVPN Phase 3 (o SD-WAN), non full-mesh manuale.
- Scenario: l’enterprise vuole gestire il proprio routing IP end-to-end senza far partecipare il provider → risposta: metro Ethernet L2 (E-LAN/E-LINE), non MPLS L3VPN.