SD-WAN – jak zaprojektować i wdrożyć sieć dla firmy z oddziałami

Jeśli wiesz już czym jest SD-WAN i zdecydowałeś, że to właściwy kierunek dla Twojej firmy – zaczyna się prawdziwa praca. Zaprojektowanie sieci SD-WAN wymaga kilku decyzji, które trudno cofnąć po starcie wdrożenia. Ile hubów? Jak zaplanować adresy IP? Co sprawdzić u operatora? W jakiej kolejności wszystko uruchomić?

Ten przewodnik odpowiada na te pytania w kolejności, w jakiej naprawdę pojawiają się podczas projektu – od kartki papieru po działający oddział.

Decyzje projektowe – ile hubów i gdzie?

Zanim zamówisz sprzęt, musisz odpowiedzieć na jedno kluczowe pytanie: ile hubów potrzebuje Twoja sieć? Od tego zależy lista zakupów, koszty i poziom redundancji.

Jeden hub

2–5 oddziałów

Prosta konfiguracja i zarządzanie
Niższy koszt startowy
Awaria huba = brak połączeń między oddziałami (w modelu czystego hub-spoke)
Wystarczy dla większości MŚP

Dual-hub

5+ oddziałów lub HA

Każdy spoke ma tunele do obu hubów
Automatyczny failover przy awarii jednego huba
Wyższy koszt, ale pełna redundancja
Wymagany gdy centrala ma systemy business-critical

Multi-hub geograficzny

Oddziały w kilku krajach

Lokalny hub w każdym regionie
Minimalizuje latencję między kontynentami
Spokes łączą się z najbliższym hubem
Typowo dla dużych enterprise

W zaawansowanych projektach możliwe jest routing spoke-to-spoke (bezpośrednia komunikacja między oddziałami z pominięciem huba), ale wymaga dodatkowej konfiguracji i jest poza zakresem typowego wdrożenia MŚP.

Gdzie postawić hub?

Hub zawsze trafia do lokalizacji z najlepszym, symetrycznym łączem internetowym. Hub terminuje tunele IPsec od wszystkich oddziałów jednocześnie – upload w centrali musi udźwignąć sumę ruchu przychodzącego ze wszystkich spoke'ów.

Praktyczna reguła: zsumuj średnie zapotrzebowanie wszystkich oddziałów i pomnóż przez 1,5 jako zapas na szczyt i wzrost. Wynik to minimalna przepustowość uploadu łącza w centrali.

Topologia hub-spoke: centrala z dwoma łączami ISP (redundancja) połączona z oddziałami przez zaszyfrowane tunele IPsec. Każdy oddział ma niezależne łącze internetowe – tunel buduje się przez publiczny internet.

Planowanie adresacji IP – najczęstszy błąd we wdrożeniu SD-WAN

Uwaga – najczęstszy błąd

Nakładające się podsieci. SD-WAN łączy sieci różnych lokalizacji – jeśli dwa biura mają tę samą podsieć (np. oba używają 192.168.1.0/24 od domyślnych ustawień routera od operatora), routing jest niemożliwy. Firewall nie wie, do którego biura wysłać pakiet. Adresację musisz zaplanować i wdrożyć przed uruchomieniem SD-WAN – nie po.

Typowa sytuacja w polskich firmach: każde biuro dostało internet od innego operatora, który zostawił domyślny router z DHCP na 192.168.1.0/24. SD-WAN odkryje ten problem podczas pierwszej próby routingu między oddziałami.

Rozwiązanie: każda lokalizacja dostaje unikalny, niekolidujący prefix. Centrala może korzystać z szerszego zakresu /16 (na wiele wewnętrznych podsieci), oddziały z /24 lub /23. Poniżej przykładowy schemat dla firmy z centralą i trzema oddziałami:

Lokalizacja	Sieć	Zakres hostów	Uwagi
Centrala (Warszawa)	10.1.0.0/16	10.1.0.1 – 10.1.255.254	Wiele podsieci VLAN wewnątrz zakresu
Oddział 1 (Kraków)	10.10.0.0/24	10.10.0.1 – 10.10.0.254	Do 253 urządzeń
Oddział 2 (Wrocław)	10.11.0.0/24	10.11.0.1 – 10.11.0.254	Do 253 urządzeń
Oddział 3 (Gdańsk)	10.12.0.0/24	10.12.0.1 – 10.12.0.254	Do 253 urządzeń
Overlay (tunele VPN)	10.200.0.0/24	10.200.0.1 – 10.200.0.254	Adresy interfejsów VTI, nie routowane do użytkowników. W dużych projektach stosuje się adresy /32 per spoke z tej puli.

Segmentacja VLAN w oddziale

Wdrażając SD-WAN, warto od razu wprowadzić segmentację sieci w każdym oddziale. Dzięki temu incydent bezpieczeństwa (np. zainfekowane urządzenie) nie rozlewa się na całe biuro ani przez tunel do centrali.

VLAN 10 – użytkownicy: stacje robocze, laptopy (10.x.10.0/24)
VLAN 20 – serwery i drukarki: urządzenia współdzielone (10.x.20.0/24)
VLAN 30 – IoT / kamery: izolowane od reszty sieci (10.x.30.0/24)
VLAN 99 – zarządzanie: dostęp do sprzętu sieciowego tylko dla admina (10.x.99.0/28)

Sama segmentacja VLAN to baza, ale bezpieczeństwo zapewniają dopiero reguły inter-VLAN na Cisco Secure Firewall – definiujące które przepływy między VLAN-ami są dozwolone, a które blokowane (np. IoT nie może inicjować połączeń do serwerów ani do centrali). Bez polityk NGFW segmentacja daje separację techniczną, ale nie realną ochronę przed lateralnym ruchem atakującego.

Wymagania łączowe – co sprawdzić przed zamówieniem sprzętu

Jakość sieci SD-WAN jest dokładnie tak dobra jak najsłabsze łącze w topologii. Poniższe listy zawierają co zweryfikować u operatora i na miejscu zanim podpiszesz zamówienie na sprzęt.

Centrala (hub)

Czy operator oferuje łącze symetryczne (upload = download)? Hub wysyła ruch do wszystkich oddziałów – upload jest krytyczny.
Czy można zamówić dwa łącza od różnych operatorów? Dwa kable od tego samego ISP to nie redundancja – awaria węzła operatora zrywa oba.
Jaki jest SLA operatora dla każdego łącza? Czas naprawy awarii (np. 4h vs NBD) ma bezpośredni wpływ na dostępność sieci.
Czy router operatora pozwala na podłączenie własnego urządzenia w trybie bridge/DMZ? Niektórzy operatorzy blokują tę możliwość.
Czy adresy IP są statyczne? Cisco FTD obsługuje dynamiczne IP, ale w praktyce dochodzą dodatkowe zależności: NAT po stronie ISP, czas rekonwergencji po zmianie adresu oraz identyfikacja peerów IKE. Statyczny adres zdecydowanie upraszcza projekt – zweryfikuj dostępność u operatora przed zamówieniem.

Oddziały (spokes)

Jaka jest dostępna przepustowość i technologia (światłowód, kabel, xDSL, LTE)?
Czy w lokalizacji jest zasięg LTE/5G do karty jako backup? Który operator ma najlepszy sygnał w tym miejscu?
Ile jednoczesnych użytkowników będzie korzystać z VPN i aplikacji chmurowych?
Czy planowane są duże transfery plików między oddziałem a centralą (backup, ERP, CAD)?

Jak wyliczyć potrzebne pasmo

Standardowy użytkownik biurowy (poczta, Teams audio, przeglądarka): 2–5 Mbps. Teams video HD: 4–5 Mbps per użytkownik. Transfery plików do centrali: zależy od wolumenu. Reguła bezpieczeństwa: wyliczone zapotrzebowanie × 1,5 = minimalne pasmo do zamówienia.

MTU i fragmentacja – szczegół który boli

IPsec AES-256 z IKEv2 dodaje około 58–72 bajtów nagłówków do każdego pakietu. Dla standardowego Ethernet (MTU 1500) efektywne MTU w tunelu wynosi ~1428–1442 bajty. Bez skonfigurowanego TCP MSS clamping (zalecana wartość: 1350–1380 bajtów) duże pakiety TCP będą fragmentowane lub odrzucane. Objaw: "strona otwiera się, ale pliki nie przechodzą" albo "Teams działa, ale udostępnianie ekranu się wiesza". Skonfiguruj MSS clamping na interfejsach tunelowych przed uruchomieniem produkcji.

Sekwencja wdrożenia

Zasada numer jeden

Zawsze zaczynamy od huba. Spoke'i przy pierwszym uruchomieniu szukają huba przez internet (ZTP). Bez aktywnego, dostępnego huba urządzenie w oddziale nie ma skąd pobrać konfiguracji – ZTP zakończy się błędem.

1
Konfiguracja FMC – zanim cokolwiek trafi na produkcję
Zdefiniuj wszystkie urządzenia (hub i spokes) w FMC, zaplanuj polityki bezpieczeństwa, skonfiguruj adresację sieci lokalnych dla każdej lokalizacji. Uruchom kreator SD-WAN (FMC 7.6+), który automatycznie wygeneruje konfigurację DVTI na hubie, SVTI na spoke'ach i BGP overlay.

Wprowadź numery seryjne spoke'ów do FMC – nawet jeśli sprzęt jeszcze nie dotarł. FMC przygotowuje konfigurację i czeka.
2
Wdrożenie i weryfikacja huba
Zainstaluj CSF1230/1240/1250 w centrali, podłącz do obu łączy ISP. Zarejestruj w FMC przez standardowy klucz rejestracyjny (hub wymaga fizycznej instalacji przez inżyniera). Wdróż konfigurację z FMC.

Weryfikacja: tunele powinny być w stanie "Waiting for peer" – hub nasłuchuje na połączenia od oddziałów. Test DIA: ruch chmurowy powinien wychodzić bezpośrednio do internetu z centrali. Test failover ISP: odłącz jedno łącze, hub powinien kontynuować pracę na drugim.
3
ZTP checklist – przed wysyłką każdego spoke'a
Dla każdego urządzenia idącego do oddziału, w FMC muszą być zdefiniowane:
- Numer seryjny urządzenia przypisany do lokalizacji
- Sieci lokalne oddziału (podsieci VLAN do rozgłaszania przez BGP)
- Polityki bezpieczeństwa (który ruch przez tunel, który przez DIA – z aktywnym IPS/URL Filtering)
- Parametry BGP (numery AS, sieci do rozgłaszania)
- Kontakt w oddziale – osoba która podłączy sprzęt i potwierdzi działanie
Wymagania po stronie oddziału przed wysyłką sprzętu: działający internet (spoke rejestruje się przez usługi chmurowe Cisco – wymaga wychodzącego TCP 443), CPE operatora w trybie bridge/DMZ lub przepuszczone porty rejestracji FMC, działający DNS i NTP (wymagane dla certyfikatów i stabilności tuneli).
4
Pilot – pierwszy oddział
Zacznij od oddziału, gdzie masz zaufaną osobę na miejscu. ZTP nie wymaga inżyniera – ale osoba w oddziale musi: podłączyć właściwy port WAN (oznaczony "Outside/WAN") do routera ISP, podłączyć zasilanie i potwierdzić że internet w lokalizacji działa. W razie potrzeby może też zajść konieczność przestawienia CPE operatora w tryb bridge/DMZ lub zlecenia operatorowi otwarcia portu 443 – warto to sprawdzić z wyprzedzeniem.

Obserwuj FMC w czasie rzeczywistym – po kilku minutach tunel powinien przejść w stan UP, BGP nawiązać peering, a sieci oddziału pojawić się w tablicy routingu huba. Przeprowadź pełną weryfikację (patrz sekcja poniżej) zanim zaczniesz rollout na kolejne biura.
5
Rollout – kolejne oddziały
Po pomyślnym pilocie wdrażaj kolejne oddziały – równolegle lub po kolei, zależnie od tempa koordynacji. Każdy oddział przechodzi tę samą procedurę weryfikacji. Monitoruj przez pierwsze 24–48 godzin po uruchomieniu każdej lokalizacji.

DIA – pamiętaj o politykach bezpieczeństwa

Ruch DIA (Direct Internet Access) opuszcza oddział bezpośrednio do internetu, omijając centralę – co poprawia wydajność dla aplikacji chmurowych. Wymaga jednak własnej polityki inspekcji na interfejsie WAN każdego spoke'a: IPS, URL Filtering i App Control muszą być aktywne. Bez tych polityk DIA jest niekontrolowanym wejściem do internetu z sieci firmowej. Jeśli firma wymaga pełnej inspekcji ruchu chmurowego (np. zgodność, DLP), rozważ integrację z SSE/SWG (Secure Web Gateway).

Pomoc przy projekcie

Pomożemy zaplanować Twoją sieć SD-WAN

Opisz liczbę lokalizacji, użytkowników i aktualne łącza. Pomożemy doprecyzować wymagania, dobrać kierunek rozwiązania i ustalić zakres potrzebny do wyceny.

Zapytaj o projekt →

Weryfikacja po wdrożeniu każdego oddziału

Nie przechodź do kolejnego oddziału zanim ten nie przeszedł pełnej weryfikacji. Problemy wykryte wcześnie są łatwiejsze do naprawy niż te odkryte gdy sieć jest "prawie gotowa".

✓
Tunel VPN UP – FMC → Site-to-Site VPN → Summary: status tunelu "UP", czas od nawiązania, liczba przesłanych pakietów.
✓
BGP peering aktywny – sieci lokalne oddziału widoczne w tablicy routingu huba. Hub ma trasy do podsieci oddziału, oddział ma trasy do centrali.
✓
Ping dwukierunkowy – z centrali do hosta w oddziale i odwrotnie. Test zarówno przez hostname jak i bezpośrednio przez IP.
✓
DIA działa poprawnie – traceroute z oddziału do 8.8.8.8. Pierwszy skok powinien wychodzić bezpośrednio do internetu lokalnego, nie przez hub w centrali. Uwaga: traceroute do teams.microsoft.com bywa mylący ze względu na CDN i Anycast – lepszym testem jakości jest narzędzie Microsoft 365 Network Connectivity Test lub obserwacja metryk bezpośrednio w FMC.
✓
MTU test – ping z dużym pakietem (np. 1400 bajtów, bez fragmentacji) między oddziałem a centralą. Jeśli pakiet jest odrzucany – sprawdź MSS clamping na interfejsach tunelowych.
!
Test failover ISP – obowiązkowy – odłącz fizycznie kabel ISP1 w oddziale. Obserwuj FMC: tunel przez ISP1 powinien przejść w Down w ciągu kilkunastu sekund (IKE DPD). BGP wycofuje trasy, ruch przełącza się na ISP2. Ping z oddziału do centrali nie powinien być zerwany dłużej niż 30–60 sekund. Przywróć ISP1 i sprawdź czy wraca do rotacji automatycznie.

Monitoring na co dzień

Po wdrożeniu sieć SD-WAN zarządzana jest z jednej konsoli FMC. Dashboard SD-WAN Summary (dostępny od FMC 7.4) pokazuje status tuneli, metryki jakości łączy i alerty dla wszystkich lokalizacji jednocześnie.

Metryka	Wartość OK	Czerwona flaga	Co może oznaczać
RTT (Round Trip Time)	< 50 ms	> 150 ms	Przeciążone łącze ISP lub zły routing
Jitter	< 10 ms	> 30 ms	Problemy z Teams i telefonią VoIP
Packet loss	0%	> 1%	Niestabilne łącze ISP – kontakt z operatorem
Status tunelu	UP (ciągły)	Flapping (UP/DOWN)	Problem z DPD timeout lub MTU (sprawdź MSS)
MOS (Voice)*	> 4.0	< 3.5	Nieakceptowalna jakość połączeń głosowych

* MOS (Mean Opinion Score) to estymacja jakości głosu obliczana z parametrów sieciowych (RTT, jitter, packet loss). Stanowi dobry punkt orientacyjny – dokładna analiza wymaga monitorowania strumieni RTP lub dedykowanych narzędzi diagnostycznych dla VoIP.

FMC monitoruje te metryki przez sondy ICMP co 1 sekundę (tryb IP-based) lub HTTP co 10 sekund (tryb application-based). Na ich podstawie routing aplikacyjny w czasie rzeczywistym kieruje ruch przez najlepszą dostępną ścieżkę – bez udziału administratora.

Skonfiguruj alerty email lub syslog na zdarzenia "tunel DOWN" i "packet loss > próg". Pozwala to reagować na problemy zanim użytkownicy zaczną dzwonić na helpdesk.

Najczęściej zadawane pytania

Ile czasu zajmuje wdrożenie SD-WAN dla 3 oddziałów?

Przy sprawnie przeprowadzonym projekcie: projektowanie i przygotowanie FMC to 1–2 dni robocze, wdrożenie i weryfikacja huba to kolejny dzień, każdy oddział z ZTP to kilka godzin łącznie z weryfikacją. Realny czas dla 3 oddziałów: 1–2 tygodnie, z czego większość to prace przygotowawcze (planowanie adresacji, zamówienie sprzętu, koordynacja). Sam rozruch oddziału po podłączeniu sprzętu przez ZTP to kilkanaście minut.

Czy można wdrożyć SD-WAN bez zmiany adresacji IP w oddziałach?

Tylko wtedy gdy wszystkie oddziały mają już unikalne, niekolidujące podsieci. Jeśli którekolwiek dwa biura mają tę samą sieć – zmiana jest konieczna. W praktyce, przy starannym projekcie, można zaplanować nową adresację i wdrożyć ją równolegle z rozruchem SD-WAN w każdym oddziale, minimalizując przestój.

Co z istniejącymi połączeniami VPN site-to-site podczas migracji?

Można prowadzić oba rozwiązania równolegle przez okres przejściowy. Kolejność: uruchom SD-WAN na jednym oddziale pilotażowym, zweryfikuj działanie przez 1–2 tygodnie, następnie migruj kolejne oddziały i wyłączaj stare tunele VPN. W każdej chwili jest aktywne przynajmniej jedno połączenie do oddziału – migracja jest bezpieczna i odwracalna.

Czy przy ZTP ktoś musi być technicznie zorientowany w oddziale?

Nie. ZTP wymaga tylko podłączenia kabla internetowego do portu WAN urządzenia i podłączenia zasilania. Resztą zajmuje się automatyka. Wystarczy przekazać pracownikowi instrukcję: "podłącz ten kabel do routera od internetu, podłącz zasilanie, zadzwoń gdy diody zaświecą". Warto wcześniej zadzwonić żeby potwierdzić, że urządzenie ma łączność z internetem – to jedyny techniczny warunek.

Autor

Marcin Biały

Ekspert rozwiązań Cisco, współtwórca firewalle.pl

Odpowiada za rozwój oferty i praktyczną stronę doboru rozwiązań Cisco Secure Firewall. Łączy doświadczenie projektowe, handlowe i wdrożeniowe w środowiskach firmowych.