Sobald ein Lager, eine Filiale oder ein zweites Büro dieselbe Warenwirtschaft nutzt, braucht es eine Verbindung, die nicht über ein privates Notebook läuft. Für viele KMU ist ein Site-to-Site-VPN zwischen zwei Firewalls genau diese Verbindung: fest, benannt, mit Regeln, welche Netze hinüberdürfen. SD-WAN kommt ins Spiel, wenn mehrere Leitungen, ein planbarer Ersatzweg oder mehr als ein paar Standorte dazukommen. Die teurere Bezeichnung ist kein Qualitätsmerkmal.
Wenn die Filiale nur „irgendwie“ an die Zentrale hängt
Typisch startet die Filiale mit einem VPN-Client auf einem PC, über den „alle anderen mitarbeiten“. Fällt dieser PC aus oder nimmt ihn jemand mit, steht der Standort. Oder beide Seiten nutzen dasselbe private Adressnetz, und die Tunnel kommen zwar hoch, die Namen und Drucker aber nicht an. Dazu fehlt ein Bild, was bei einem Leitungsausfall passiert: Bleibt die Filiale arbeitsfähig mit einem lokalen Ausdruck und einer Warteschlange, oder ist ohne Zentrale nichts mehr möglich? Diese Frage gehört vor den Produktnamen.
Ein Site-to-Site-VPN auf vorhandenen Firewalls ist überschaubar, solange es zwei Standorte und je eine brauchbare Leitung sind. Die Regeln sagen, dass die Filiale den Anwendungsserver erreicht und nicht das ganze Büro-LAN der Zentrale. SD-WAN ist sinnvoll, wenn Sie zwei Anschlüsse je Standort haben, etwa Leitung plus Mobilfunk, und der Verkehr bei einem Ausfall umschalten soll, ohne dass jemand einen Client neu startet. Für ein einzelnes Büro mit Homeoffice bleibt der Client-VPN der passendere Baustein, nicht eine SD-WAN-Appliance je Küchentisch.
Den einfachsten Weg wählen, der den Ausfall mitdenkt
- Bedarf. Welche Anwendung muss am zweiten Standort laufen, und wie lange darf sie fehlen?
- Adressen. Netze so wählen, dass sie sich nicht mit der Zentrale oder mit Heimnetzen überschneiden.
- Tunnel. Site-to-Site auf den Firewalls, nur die nötigen Netze, mit Verschlüsselung nach heutigem Stand.
- Ersatz. Einen zweiten Weg benennen, wenn die Leitung fällt, auch wenn er nur reduziert trägt.
- Probe. Leitung ziehen und sehen, was die Filiale noch kann und wen sie anruft.
Die Verbindung ist nur so klar wie die Regeln dahinter. Ein Tunnel, der beide Standorte zu einem flachen Netz verschmilzt, hebt die Segmentierung auf. Wir führen die Filiale als eigene Zone: Anwendung ja, Verwaltung der Firewall und fremde Freigaben nein. Monitoring sieht, ob der Tunnel steht, und eine Person liest die Meldung während der Geschäftszeiten. Der Mobilfunk-Ersatz wird mit derselben Ehrlichkeit getestet, nicht nur im Datenblatt erwähnt.
Woran Projekte in der Praxis scheitern
- Den ganzen Verkehr beider Häuser ohne Regel ineinander laufen lassen.
- Dieselbe Adressbereich-Wahl wie im Homeoffice verwenden und sich über Routing-Konflikte wundern.
- SD-WAN kaufen, obwohl nur eine Leitung und zwei Standorte existieren.
- Den Ersatzweg nie aktiv testen, bis die Baggerarbeiten vor der Tür stehen.
Beispiel aus dem Betriebsalltag
Ein Händler mit Büro in 1160 Wien und einem Lager in Schwechat öffnete die Warenwirtschaft über einen VPN-Client am PC der Lagerleitung. Im Urlaub dieser Person stand das Lager. Wir haben ein Site-to-Site-VPN zwischen den Firewalls eingerichtet, nur das Netz der Anwendung freigegeben und einen Mobilfunk-Anschluss als reduzierten Ersatz hinterlegt. Die Adressen des Lagers unterscheiden sich vom Büro und von den üblichen Heimnetzen. Beim Test haben wir die Hauptleitung getrennt: Mail und ein Notfallzugang liefen über Mobilfunk, die großen Ausdrucke warteten auf die Rückkehr der Leitung. SD-WAN war für diese zwei Wege nicht nötig.
Kurze Entscheidungshilfe
- Steht der Tunnel ohne ein eingeschaltetes persönliches Notebook?
- Überlappen sich die Adressnetze von Zentrale, Filiale und Homeoffice nicht?
- Ist beschrieben, was bei einem Leitungsausfall noch geht?
- Sieht jemand, wenn der Tunnel abends unbemerkt aus ist und morgens fehlt?
Wenn die Verbindung zwischen Ihren Standorten bei Ihnen ansteht, klären wir den Umfang unverbindlich: Network und Firewall. Netzwerk segmentieren Alternativ direkt Kontakt aufnehmen oder die häufigen Fragen lesen.