Ressourcen > Sicherheit – Glossar > Was ist unter lokalen Internet-Breakouts zu verstehen?

Was ist unter lokalen Internet-Breakouts zu verstehen?

Was sind lokale Internet-Breakouts?

Als lokaler Internet-Breakout wird ein Zugangspunkt zum Internet in geografischer Nähe zum Standort des Users bezeichnet. Durch das Einrichten lokaler Breakouts kann Traffic von Zweigstellen und Remote-Standorten über einen lokalen Anbieter direkt ins Internet geroutet werden.

 

Warum sind lokale Internet-Breakouts erforderlich?

Bislang war es bei vielen Organisationen üblich, den gesamten Traffic über sogenannte „Hub and Spoke“- bzw. Speichenarchitekturen mit MPLS-Leitungen (Multiprotocol Label Switching) zu einem zentralen Rechenzentrum zu routen. Dort durchlief der Traffic hardwarebasierte Security-Stacks, wie VPNs, und wurde erst dann ins Internet weitergeleitet. Mit dem zunehmenden Umstieg auf SaaS und Cloud-Anwendungen wie Microsoft 365 und Salesforce, die für den direkten Zugriff über das Internet konzipiert sind, hat sich heutzutage jedoch auch die Zusammensetzung des Traffics geändert.

Der Großteil der verbrauchten WAN-Bandbreite entfällt mittlerweile auf Traffic ins Internet. Die Umleitung dieses Internet-bound Traffics über unternehmenseigene Rechenzentren (auch als Backhauling bekannt) ist daher nicht mehr zielführend. Sie verursacht nicht nur hohe Kosten, sondern kann auch Latenzen verstärken und somit die User Experience beeinträchtigen. Um diese Probleme in den Griff zu bekommen, richten mehr und mehr Organisationen lokale Breakouts und SD-WAN ein, um möglichst zügige und reibungslose Direktverbindungen von Zweigstellen ins Internet zu unterstützen.

 

Mit Unterstützung von Zscaler konnte Mondi die verfügbare Bandbreite an einigen Standorten um das 15-Fache erhöhen. Dadurch ersparte das Unternehmen sich ein MPLS-Upgrade – ein durchaus beachtenswertes Ergebnis, wenn man bedenkt, dass ein Großteil der täglich anfallenden Arbeit heute über das Internet abgewickelt wird.
Thomas Vavra, Manager Communication Networks, Mondi Group

Wie funktionieren lokale Internet-Breakouts?

Entwickelt wurden lokale Internet-Breakouts primär als Möglichkeit, den Internet-Traffic über kostengünstigere Verbindungen zu einem lokalen ISP zu routen. Organisationen können dadurch das Unternehmensnetzwerk entlasten, zügigere Anwendererfahrungen gewährleisten und weitgehend auf den Einsatz teurer MPLS-Leitungen verzichten. Letztere sind nun nur noch für Anwendungen erforderlich, die im unternehmenseigenen Rechenzentrum installiert sind.

Mithilfe eines SD-WAN (Software-Defined Wide Area Network) als Overlay kann anhand softwaredefinierter Richtlinien der beste Pfad ermittelt werden, um Traffic von der Zweigstelle ins Internet, zu Cloud-Anwendungen und zum Rechenzentrum zu routen. Indem Richtlinien in der Cloud über eine zentrale Schnittstelle für alle Zweigstellen festgelegt werden, können Unternehmen problemlos neue Anwendungen und Services bereitstellen und Richtlinien an unterschiedlichen Standorten verwalten.

 

Welche Herausforderungen gibt es im Zusammenhang mit lokalen Internet-Breakouts?

SD-WAN und lokale Internet-Breakouts bringen neue Herausforderungen bezüglich der Sicherheit mit sich. Jeder einzelne Breakout muss mit denselben Schutzmaßnahmen abgesichert werden, die früher am zentralen Sicherheits-Gateway bereitgestellt wurden. Dazu zählen insbesondere Firewall, Sandboxing, Advanced Threat Prevention, Data Loss Prevention und IPS.

Lokale Internet-Breakouts mit herkömmlichen Lösungen absichern zu wollen würde bedeuten, dass die betreffenden Organisationen:

  • ihren gesamten Security-Stack an jedem einzelnen Standort replizieren müssten. Die Anschaffung, Bereitstellung und Verwaltung hardwarebasierter Security-Stacks für sämtliche Zweigstellen ist allerdings keine realistische Lösung, da sie mit einem viel zu hohen Kosten- und Arbeitsaufwand verbunden wäre.
  • Firewalls der nächsten Generation (NGFWs) und andere veraltete Sicherheitsappliances verwenden müssten. Diese wurden nicht für Cloud-basierte Anwendungen konzipiert. Angesichts der fehlenden Skalierbarkeit sind sie von dem hohen Volumen permanenter Verbindungen in Cloud-Umgebungen schnell überfordert. 
  • SSL/TLS-Überprüfung einführen müssten. Damit eine SSL-Überprüfung überhaupt möglich wird, müssen herkömmliche Appliances durch Proxy-Funktionen aufgestockt werden. Die Überprüfung wird dann nicht auf der Chip-Ebene, sondern softwarebasiert ausgeführt, was die Performance der Anwendung und damit auch die User Experience empfindlich beeinträchtigt.

 

Vorteile von lokalen Internet-Breakouts

Bei der Umstellung von herkömmlichen Hub-and-Spoke-Architekturen auf lokale Internet-Breakouts und SD-WAN darf die Gewährleistung eines adäquaten Schutzniveaus durch Bereitstellung entsprechender Sicherheitslösungen auf keinen Fall vernachlässigt werden. Leider eignen sich herkömmliche NGFWs und hardwarebasierte Security-Stacks nicht zur Absicherung von Cloud-Anwendungen. Zwar sind inzwischen virtuelle Versionen dieser Appliances erhältlich, stellen jedoch keine überzeugende Alternative dar, da viele Beschränkungen und Nachteile ihrer physischen Vorgänger nicht wirklich überwunden werden. Insofern ist es nur folgerichtig, dass mit der Verlagerung der Anwendungen in die Cloud auch die Sicherheitslösungen zukünftig Cloud-basiert bereitgestellt werden.

Organisationen, die lokale Internet-Breakouts und SD-WAN mit Cloud-basierten Sicherheitslösungen schützen, profitieren von zahlreichen Vorteilen gegenüber hardwarebasierten Legacy-Lösungen:

  • Schnelle, sichere User Experience: Der Traffic sämtlicher Zweigstellen und Remote-Standorte wird direkt ins Internet geroutet und über einen Cloud-basierten Service abgesichert. Dadurch schöpfen Organisationen das Potenzial von Cloud-Anwendungen voll aus und gewährleisten standortunabhängig zügige und sichere Anwendererfahrungen für sämtliche User.
  • Geringere Kosten: Mit einer Cloud-basierten Sicherheitslösung sparen Organisationen MPLS-Kosten, schützen lokale Internet-Breakouts und gewährleisten die Überprüfung des gesamten Internet-bound Traffic. Die Anschaffung, Bereitstellung und Verwaltung kostspieliger hardwarebasierter Security-Stacks bzw. NGFWs für jede einzelne Zweigstelle erübrigt sich.
  • Entlastung der IT: Bei einer Cloud-basierten Bereitstellung von Sicherheitslösungen können anfallende IT-Aufgaben zentral bearbeitet werden. Wenn geschäftskritische Anwendungen priorisiert, neue Services aktiviert oder Richtlinien festgelegt und sofort durchgesetzt werden sollen, sind jeweils nur ein paar Klicks erforderlich.
  • Standortunabhängiger Schutz für alle User: Die Absicherung lokaler Internet-Breakouts mit einer Cloud-basierten Lösung gewährleistet standortunabhängig ein identisches Schutzniveau. Die unternehmensspezifischen Richtlinien werden für User im Café oder Homeoffice genauso zuverlässig durchgesetzt wie am Hauptsitz der Organisation oder in einer Zweigstelle.

Die Vorteile lokaler Internet-Breakouts liegen auf der Hand, aber um sie voll ausschöpfen zu können, benötigen Unternehmen einen Anbieter, dessen Sicherheitsservices uneingeschränkt für die Cloud entwickelt wurden – einen Anbieter mit langjähriger Erfahrung bei der Absicherung von Internetverbindungen für dezentral arbeitende User. Dieser Anbieter ist Zscaler.

 

Fallstudie Siemens

Video ansehen

Cloud-Transformation erfordert neue Denkweisen

E-Book lesen

Sichere WAN-Transformation als Voraussetzung für zukunftsfähige digitale Unternehmenskonzepte

Report lesen

Sichere lokale Internet-Breakouts und SD-WAN mit Zscaler

Zscaler schützt ausgehenden Internet-Traffic und bietet eine schnelle Anwendererfahrung – ohne Backhauling und Duplizierung Appliance-basierter Security-Stacks an jedem einzelnen Standort. Da Zscaler den gesamten Security-Stack als Cloud-Service bereitstellt, gibt es keine Abstriche bei der Sicherheit.

Mit Zscaler sind Richtlinien nicht an einen physischen Standort gebunden. Stattdessen folgen sie den Usern und bieten so an jedem Verbindungsort identischen Schutz. Der Internet-bound Traffic kann ganz einfach an Zscaler weitergeleitet und sofort überprüft werden – inklusive aller Ports und Protokolle einschließlich SSL. Zugangs- und Sicherheitsrichtlinien lassen sich über eine zentrale Konsole für alle Standorte festlegen und durchsetzen. Mit Zscaler können Cloud-Services elastisch skaliert werden, sodass sich neue Services wie Bandbreitenkontrolle mit nur wenigen Klicks bereitstellen lassen. Dabei wird weder die Leistung beeinträchtigt noch müssen kostspielige Appliances aufgerüstet werden.

 

SSL-Überprüfung mit SLA-gestützter Performance

SSL ist mittlerweile das Standardkommunikationsprotokoll, doch viele Bedrohungen wie Ransomware können sich im SSL-Traffic verbergen – und nutzen manchmal sogar andere Ports. Daher ist es unerlässlich, den gesamten Traffic zu überprüfen. Die SSL-Überprüfung stellt jedoch für Sicherheitsappliances weiterhin eine große Herausforderung dar. Der Traffic muss entschlüsselt, überprüft und letztlich erneut verschlüsselt werden, was mitunter zu erheblichen Leistungseinbußen bei Firewalls führen kann.

Die Zscaler Cloud Firewall, Teil der Zscaler Zero Trust Exchange™, überprüft den gesamten Traffic – alle Ports und Protokolle, einschließlich SSL – mit minimaler Latenz.

 

Wie viel Unterschied macht Cloud-Sicherheit wirklich?

Interessiert, aber noch unentschlossen? Organisationen, die den Umstieg von einer Legacy-Hub-and-Spoke-Architektur bislang nicht gewagt haben bzw. sich über die besten Möglichkeiten zur Absicherung lokaler Internet-Breakouts informieren möchten, können sich im Rahmen einer unverbindlichen Demo von den Vorteilen der Zscaler-Lösung überzeugen.

 

Weitere Ressourcen: