SD-WAN za više lokacija: kada se isplati, a kada vam je dovoljan VPN

SD-WAN je način povezivanja većeg broja poslovnih lokacija kod kojeg softver, umesto rutera na svakoj pojedinačnoj lokaciji, određuje kojim putem će se prenositi određeni saobraćaj. Mreža može istovremeno da koristi više veza, poput optike, mobilnog linka ili MPLS-a, i automatski preusmeri saobraćaj kada kvalitet trenutne putanje oslabi. Celom mrežom upravlja se putem jedne centralne konzole.

Zamislite firmu koja ima osam poslovnica. U dve od njih kvalitet zvuka opada gotovo svakog radnog dana oko jedanaest sati. Sistem za nadzor ne prijavljuje problem zato što internet link nije prekinut. Administrator se povezuje sa ruterom, potvrđuje da je veza aktivna i zatvara tiket. Sledećeg dana problem se ponavlja. Klasična VPN mreža ne može da reši ovu situaciju jer ne razlikuje link koji funkcioniše dobro od linka koji je aktivan, ali radi loše.

Tu razliku donosi SD-WAN rešenje za povezivanje lokacija. Umesto da svaki ruter samostalno donosi odluke, centralni softver neprekidno meri kvalitet svake putanje i usmerava saobraćaj preko veze koja u tom trenutku pruža najbolje uslove. U nastavku objašnjavamo šta SD-WAN konkretno dodaje postojećoj mreži, na kom broju lokacija počinje da se isplati i koja su njegova ograničenja.

Šta firma sa više lokacija danas ima umesto SD-WAN-a

MPLS u Srbiji koristi relativno mali broj velikih kompanija, uglavnom banke, osiguravajuća društva i organizacije sa strogim regulatornim zahtevima. Većina drugih firmi oslanja se na mrežu site-to-site VPN tunela koji rade preko standardnih internet linkova. Ovakav model je funkcionalan, povoljan i godinama je predstavljao jedinu realnu mogućnost. Međutim, kako broj lokacija raste, postaju vidljive tri njegove posledice.

Konfiguracija se nalazi na uređaju. Pravila za saobraćaj, pristup i rutiranje podešavaju se na ruteru u svakoj poslovnici. Svaka promena mrežne politike zahteva podešavanje svih uređaja, ručno ili pomoću skripte. Kada firma otvori devetu lokaciju, neko mora da sedne i ponovi čitav postupak.

Svaki link funkcioniše zasebno. Tunel registruje samo da li druga strana odgovara. Kašnjenje, jitter i gubitak paketa ne prate se u realnom vremenu, zbog čega saobraćaj ostaje na vezi lošeg kvaliteta sve dok ona potpuno ne prestane da radi.

Rezervni link ostaje neiskorišćen. Kompanije koje plaćaju dodatnu vezu najčešće je koriste isključivo kao rezervu koja se aktivira tek nakon potpunog prekida primarnog linka. Tako se mesecima plaća kapacitet preko kojeg se ne prenosi nikakav saobraćaj.

Tri stvari koje SD-WAN dodaje preko VPN-a

Dugačke marketinške liste prednosti ovde nisu naročito korisne. Postoje tri konkretne razlike koje možete proveriti na sopstvenoj mreži.

Saobraćaj se deli po aplikaciji, ne po odredištu

Klasično rutiranje uzima u obzir adresu odredišta i na osnovu nje bira putanju. SD-WAN prepoznaje kojoj aplikaciji saobraćaj pripada i za svaku od njih primenjuje odgovarajuće pravilo. Telefonija i ERP mogu da koriste optiku, sinhronizacija rezervnih kopija i ažuriranje operativnih sistema drugi link, dok gostinski Wi-Fi može da izlazi direktno na internet umesto da prolazi kroz centralu.

Na taj način veliki prenosi podataka u pozadini više ne narušavaju kvalitet razgovora, čak i kada dele istu fizičku vezu.

Vratimo se na primer sa početka teksta. Zvuk se prekida oko jedanaest sati zato što tada počinje dnevna sinhronizacija podataka sa centralom i zauzima raspoloživi odlazni kapacitet. U VPN mreži uzrok ostaje nevidljiv jer nijedan uređaj ne razlikuje pakete koji prenose razgovor od paketa koji prenose arhivu.

Kada se definišu odgovarajuće klase saobraćaja, sinhronizacija dobija niži prioritet ili se prebacuje na drugi link. Telefonski razgovori zadržavaju potreban kvalitet bez bilo kakvih izmena na samoj telefonskoj centrali u cloudu.

Mreža vidi degradaciju, ne samo pad

Ovo je najvažnija razlika, ali ju je često najteže objasniti netehničkom sagovorniku. Link može da otkaže na dva načina. Može potpuno da prestane da radi, što će svaki sistem za nadzor primetiti za nekoliko sekundi. Može, međutim, da ostane aktivan i istovremeno pruža kvalitet koji određena aplikacija ne može da podnese.

Kod prenosa glasa taj prag je poznat i može se izmeriti. Prema preporuci ITU-T G.114 koju prenosi Cisco, jednosmerno kašnjenje do 150 milisekundi prihvatljivo je za većinu korisnika. Kašnjenje između 150 i 400 milisekundi može biti upotrebljivo, ali uz primetan pad kvaliteta, dok se vrednosti iznad 400 milisekundi smatraju neupotrebljivim za planiranje mreže.

Link sa kašnjenjem od 300 milisekundi za VPN je i dalje aktivan i samim tim ispravan. Za SD-WAN takva putanja više ne zadovoljava zadate uslove, pa se glasovni saobraćaj sa nje automatski preusmerava.

Kada link radi, a razgovor se lomi

Politika je centralna, uređaj je izvršilac

Mrežna pravila definišu se jednom, na nivou cele infrastrukture, nakon čega ih uređaji automatski preuzimaju. Nova poslovnica dobija već pripremljen profil umesto ručne konfiguracije. Uvođenje nove lokacije tako više ne zavisi od toga ko je poslednji podešavao sličan uređaj i na koji način je to uradio.

Isto važi za kasnije promene. Ako treba promeniti prioritet određene aplikacije, novo pravilo može se istovremeno primeniti na svim lokacijama.

Kako SD-WAN odlučuje kojim linkom da pusti saobraćaj

Način odlučivanja jednostavniji je nego što na prvi pogled deluje. Uređaji na krajevima svake putanje međusobno razmenjuju kontrolne pakete. Na osnovu njih izračunavaju tri vrednosti: kašnjenje, jitter i procenat izgubljenih paketa. Rezultati se neprekidno osvežavaju za svaku vezu posebno.

Iznad ovog merenja definišu se SLA klase. Svaka klasa predstavlja skup dozvoljenih pragova za određenu vrstu saobraćaja. Tipična klasa za telefoniju može da podrazumeva kašnjenje do 150 milisekundi, jitter do 30 milisekundi i gubitak paketa do jednog procenta. Video-konferencije obično dobijaju nešto blaže pragove, poslovne aplikacije još fleksibilnije, dok se za prenos fajlova često ne određuje posebna klasa jer kvalitet putanje nije presudan.

Kada neka putanja prestane da ispunjava uslove određene klase, preusmerava se samo saobraćaj koji joj pripada. Ostali podaci nastavljaju da koriste postojeću vezu. Glasovni saobraćaj, na primer, prelazi na rezervni link, dok bekap ostaje na primarnoj vezi koja je za tu namenu i dalje dovoljno dobra.

Važno je razlikovati dve brzine reakcije. Sistem potpuni prekid veze uočava u roku od nekoliko sekundi. Postepeno pogoršanje kvaliteta registruje nešto sporije jer mora da razlikuje stvarni problem od kratkotrajnog skoka u merenim vrednostima. Tačno vreme reakcije zavisi od konkretnog proizvoda i njegovih podešavanja, pa ovo pitanje treba postaviti svakom ponuđaču pre potpisivanja ugovora.

Na kom broju lokacija se SD-WAN isplati

Broj poslovnica jedno je od najčešćih pitanja, ali sam po sebi nije dovoljan kriterijum. Deset magacina koji jednom dnevno pošalju izveštaj centrali možda uopšte nema potrebu za SD-WAN-om. Sa druge strane, četiri ekspoziture koje koriste telefoniju i ERP sistem u cloudu mogu imati jasnu korist od njega.

Realniju sliku daje kombinacija broja lokacija, vrste saobraćaja i kapaciteta internog IT tima.

Najvažniji je red tabele koji se odnosi na saobraćaj. Kada se na mreži koja povezuje poslovnice nađu cloud telefonija ili video-konferencije, ona više ne prenosi samo podatke kojima je važno da veza postoji. Tada se pojavljuju aplikacije čiji rad zavisi od stvarnog kvaliteta putanje.

Od tog trenutka razlika između toga da link radi i da radi dovoljno dobro postaje svakodnevni operativni problem.

Drugi jasan pokazatelj je trošak rada. Ako IT tim svakog meseca provede više dana na putu kako bi konfigurisao uređaje u poslovnicama, taj trošak već postoji. Ostaje samo pitanje da li ćete ga plaćati kroz licencu ili kroz gorivo, putovanja i izgubljene radne sate.

Na kom broju lokacija se SD-WAN isplati

Šta SD-WAN ne rešava

Ovo je deo koji se u ponudama često izostavlja.

Ne popravlja loš link. Ako su obe raspoložive veze loše, sistem može samo da izabere onu koja je u tom trenutku manje loša. SD-WAN raspoređuje saobraćaj u skladu sa postojećim kapacitetom, ali ne može da stvori dodatni kapacitet.

Ne zamenjuje bezbednosni sloj. Većina platformi uključuje osnovnu zaštitu, enkripciju tunela i određene mogućnosti filtriranja sadržaja. Ozbiljna segmentacija, detaljna inspekcija saobraćaja i zaštita krajnjih uređaja i dalje zahtevaju posebno rešenje.

Ne daje ugovornu garanciju kašnjenja. MPLS se obično prodaje sa definisanim parametrima kvaliteta na vezama između lokacija. SD-WAN koji radi preko javnog interneta može da izabere najbolju dostupnu putanju, ali ne može da garantuje njen kvalitet. Prema poređenju koje daje Fortinet, za veze na kojima je ugovorna garancija neophodna i dalje ima smisla hibridni pristup, pri kojem se MPLS zadržava samo za kritični saobraćaj.

Licenca je trajni trošak. Uređaj se može kupiti ili iznajmiti, ali se softverska licenca za svaku lokaciju plaća sve dok mreža radi. SD-WAN zato nije jednokratna investicija koja se nakon određenog vremena u potpunosti otplati.

Od čega zavisi cena

Ukupna cena sastoji se od četiri elementa: uređaja na svakoj lokaciji, licence po lokaciji, internet linkova i jednokratnog troška uvođenja. Njihov međusobni odnos zavisi od toga da li birate upravljanu uslugu ili ćete platformu održavati samostalno.

Ova dva modela stvaraju različite troškove tokom vremena. Kod upravljane usluge oprema, licence, nadzor i podrška objedinjeni su u jednu mesečnu naknadu po lokaciji. Početno ulaganje je manje, ali mesečni trošak ostaje prisutan tokom čitavog perioda korišćenja.

Kod samostalnog održavanja oprema se plaća unapred, održavanje najčešće na godišnjem nivou, dok nadzor i sve izmene ostaju obaveza internog IT tima. Za kompanije koje nemaju mrežnog inženjera posvećenog ovom poslu upravljani model je uglavnom povoljniji. Trošak rada koji nije odmah vidljiv u tabelama lako može da premaši razliku u ceni licenci.

Za predstavu o redu veličine korisno je pogledati nezavisne podatke sa razvijenih tržišta. Prema analizi kompanije Lightyear iz aprila 2026. godine, medijana mesečne cene MPLS linka kapaciteta 1 Gbps u Severnoj Americi iznosi 1.439 dolara, dok broadband veza istog kapaciteta košta 307 dolara. Kada se uračunaju SD-WAN uređaji i licence, ukupna ušteda pri tom kapacitetu iznosi približno 25 odsto.

Ovi podaci odnose se na strano tržište i navedene cene ne mogu se direktno preneti na Srbiju. Ipak, odnos je indikativan: ušteda ne nastaje zbog SD-WAN tehnologije same po sebi, već zato što ona omogućava zamenu jednog skupog linka sa dve povoljnije veze.

Zbog toga računicu treba praviti isključivo na osnovu sopstvenih podataka. Saberite trenutne mesečne troškove linkova na svim lokacijama, dodajte procenjeni broj sati koje IT tim troši na održavanje mreže, a zatim taj iznos uporedite sa ponudom za SD-WAN.

Od čega se sastoji trošak SD-WAN-a

Kako izgleda uvođenje

Istovremena migracija čitave mreže najbrži je način da se napravi ozbiljan problem. Bezbedniji redosled uvođenja obuhvata četiri koraka.

Prvo napravite pregled saobraćaja na svakoj lokaciji. Utvrdite koje se aplikacije koriste, koje su od njih osetljive na kašnjenje i koliko kapaciteta zauzimaju prenosi podataka u pozadini. Bez ovih informacija SLA klase definisaćete na osnovu pretpostavki.

Zatim sprovedite pilot-projekat na dve lokacije, uz zadržavanje postojećih tunela. Cilj pilota nije samo da potvrdi da tehnologija funkcioniše, već da pokaže kako se vaš konkretan saobraćaj ponaša kada se putanja promeni tokom radnog dana.

Treći korak je određivanje klasa za svaku aplikaciju. Pragove treba definisati na osnovu rezultata pilota, a ne oslanjanjem isključivo na podrazumevane vrednosti proizvođača.

Tek nakon toga treba gasiti stare tunele, jednu po jednu lokaciju. Poslednja treba da pređe ona poslovnica koja najviše zavisi od dostupnosti mreže.

Zaključak

SD-WAN nije nadogradnja koja je potrebna svakoj firmi sa više poslovnih lokacija. Ako kompanija ima do tri lokacije i jednostavan mrežni saobraćaj, kvalitetno održavan VPN i dalje može potpuno da zadovolji njene potrebe.

Računica počinje da se menja kada se preko mreže koriste telefonija, video-konferencije ili poslovne aplikacije u cloudu, a broj lokacija se približi ili pređe osam. U takvom okruženju ručno održavanje uređaja postaje teško održivo.

Ako vam situacija opisana na početku teksta zvuči poznato, sledeći korak nije traženje ponude, već merenje postojeće mreže. Inženjeri Orion Telekoma mogu da analiziraju vašu trenutnu topologiju, izmere kvalitet postojećih linkova i procene da li je SD-WAN opravdano rešenje ili nepotreban trošak za vašu kompaniju.

Često postavljana pitanja

Da li SD-WAN zamenjuje VPN?

Ne zamenjuje ga, već ga obuhvata. SD-WAN i dalje uspostavlja šifrovane tunele između lokacija, najčešće prema IPsec standardu. Povrh njih dodaje sloj koji bira putanju prema vrsti aplikacije i trenutnom kvalitetu veze.

Ako već koristite site-to-site VPN, prelaskom na SD-WAN ne gubite enkripciju. Dobijate dodatnu kontrolu nad putem kojim se saobraćaj prenosi.

Koliko lokacija je potrebno da bi se SD-WAN isplatio?

Ne postoji univerzalan broj. Za najviše tri lokacije sa jednostavnim saobraćajem SD-WAN se obično ne isplati. Kod firmi sa četiri do sedam poslovnica odluka zavisi od toga da li koriste telefoniju, video-konferencije ili poslovne aplikacije u cloudu.

Kada firma ima osam ili više lokacija, ručno održavanje uređaja u poslovnicama često postaje skuplje od licenci i centralizovanog upravljanja.

Može li SD-WAN da radi preko običnog internet linka?

Može, a to je i jedan od najčešćih scenarija. SD-WAN nije vezan za određenu tehnologiju pristupa, pa istovremeno može da koristi optiku, kablovski internet, mobilnu vezu i MPLS.

Mogućnost da se jedan skup namenski link zameni sa dve povoljnije veze predstavlja glavni izvor potencijalne uštede.

Šta se dešava kada jedan link padne?

Saobraćaj se automatski prebacuje na preostalu putanju, najčešće u roku od nekoliko sekundi i bez intervencije administratora.

Ako veza ne padne potpuno, već joj se samo pogorša kvalitet, sistem preusmerava saobraćaj čiji su definisani pragovi prekoračeni. Ostale aplikacije mogu nastaviti da koriste istu vezu.

Da li SD-WAN zamenjuje firewall?

Ne u potpunosti. SD-WAN platforme obično nude enkripciju, segmentaciju saobraćaja i osnovno filtriranje sadržaja, čime pokrivaju deo bezbednosnih potreba.

Detaljna inspekcija saobraćaja, zaštita krajnjih uređaja i napredna bezbednosna pravila i dalje zahtevaju namensko rešenje.