SD-WAN — wdrożenia i zarządzanie

Firmy z 5+ oddziałami tracą 30-50% budżetu sieciowego na MPLS

Utrzymanie MPLS w każdej lokalizacji kosztuje wielokrotnie więcej niż zwykłe łącze internetowe o tej samej przepustowości — i to ta różnica, a nie technologia, uruchamia migrację.

Dlaczego firmy ciągle płacą za MPLS?

• Obawa o SLA aplikacji krytycznych (VoIP, ERP, wideokonferencje)
• Złożoność zarządzania wieloma łączami
• Brak widoczności aplikacji (która jedzie którym łączem)
• Security — firewall na brzegu każdego oddziału

SD-WAN rozwiązuje wszystkie te obawy — inteligentnie kierując ruch, agregując łącza i wbudowując security.

Bezpieczeństwo SD-WAN

SD-WAN przenosi ruch między oddziałami przez łącza publiczne, dlatego bezpieczeństwo jest jego integralną częścią. Nowoczesne wdrożenia integrują funkcje SASE: firewall nowej generacji, inspekcję ruchu, szyfrowanie (VPN) i ochronę przed atakami DDoS.

Dzięki segmentacji i dostępowi zero trust (ZTNA) SD-WAN ogranicza lateral movement między lokalizacjami, a redundancja łączy zapewnia ciągłość działania po awarii lub ataku.

Co daje SD-WAN — 5 kluczowych funkcji

1. Application-aware routing

SD-WAN rozpoznaje ruch per aplikacja (VoIP, Teams, ERP, Salesforce, Facebook) i kieruje go optymalną ścieżką:

• VoIP → MPLS lub najlepszy Internet (low jitter)
• Aplikacje chmurowe SaaS → Direct Internet Access (bez backhauling do centrali)
• Backup, sync → tańsze łącze (LTE, secondary Internet)

2. Auto-failover w <1 sekundę

Jeśli główne łącze pada, ruch przechodzi na secondary bez przerwy dla użytkownika — przecierane sesje TCP zachowane, VoIP calls nie rozłączane.

3. WAN optimization

• Kompresja, deduplikacja, caching
• QoS per aplikacja (priorytet dla krytycznych)
• Forward Error Correction (FEC) — kompensuje straty pakietów

4. Security zintegrowany (Secure SD-WAN)

Firewall, IPS, URL filtering, SSL inspection, antymalware wbudowane w urządzenie brzegowe — nie potrzeba osobnego firewalla.

5. Zarządzanie centralne (zero-touch provisioning)

• Nowa lokalizacja → urządzenie wysłane do oddziału → plug & play
• Polityki z centralnego orchestratora → stosowane we wszystkich lokalizacjach
• Widoczność każdej aplikacji w każdej lokalizacji

Porównanie vendorów SD-WAN — 2026

Vendor	Typ	Plus	Minus	Cena (per CPE/rok)
Fortinet Secure SD-WAN	On-prem + cloud managed	Security-first, zintegrowany firewall NGFW, pricing	Wymaga ekspertyzy	5-15k zł
Cisco Meraki SD-WAN	Cloud-managed	Prostota, zero-touch, dobra dla rozproszonych	Drożej, vendor lock-in	10-25k zł
VMware VeloCloud	Cloud-managed	Enterprise features, duży installed base	Migracja kompleksowa	8-20k zł
Palo Alto Prisma SD-WAN	Cloud-managed	AI-driven policies	Najdroższy, premium	15-30k zł
Aruba EdgeConnect	On-prem	WAN optimization, duży partner ekosystem	Złożony orchestrator	8-18k zł

Rekomendacja nFlo: Fortinet Secure SD-WAN dla większości klientów (best value + security integration).

Typowa architektura SD-WAN

[Centrala]                    [Oddział A]              [Oddział B]
    │                              │                        │
[Fortinet FGT]                [FortiGate]              [FortiGate]
    │                              │                        │
    ├── MPLS (backup) ─────────────┼────────────────────────┤
    ├── Internet 1 ────────────────┼────────────────────────┤
    ├── Internet 2 ────────────────┼────────────────────────┤
    └── LTE (failover) ────────────┴────────────────────────┘
                                   │
                              [Cloud SaaS: O365, Salesforce]
                              (Direct Internet Access, nie tromboning)

Ile oszczędzisz? — kalkulator ROI

Przykład firmy z 15 oddziałami:

Przed (MPLS):

• 15 × MPLS 20 Mbps × 5 000 zł/mies = 75 000 zł/mies → 900 000 zł/rok

Po (SD-WAN):

• 15 × Internet 100 Mbps × 400 zł/mies = 6 000 zł/mies
• 15 × LTE backup × 200 zł/mies = 3 000 zł/mies
• 3 × MPLS 10 Mbps (tylko HQ+2 krytyczne) × 3 000 zł/mies = 9 000 zł/mies
• Razem OPEX: 18 000 zł/mies → 216 000 zł/rok
• CAPEX SD-WAN (one-time): 250 000 zł
• Licencje + orchestrator: 120 000 zł/rok

Oszczędność roczna: 900k - 216k - 120k = 564 000 zł/rok ROI: 5-6 miesięcy

Dla kogo SD-WAN?

Ta usługa jest dla Ciebie, jeśli:

• Firma ma 5+ lokalizacji z własną infrastrukturą sieciową
• Wydajesz >30 tys. zł/mies na MPLS
• Używasz aplikacji chmurowych (O365, Salesforce, AWS, Azure)
• Masz problem z dostępnością łączy (awarie, utrata połączeń)
• Chcesz centralnie zarządzać security i politykami sieciowymi
• Potrzebujesz wsparcia także poza godzinami pracy dla sieci krytycznej biznesowo - na warunkach i z SLA ustalonymi w umowie

Co dostajesz od nFlo

• Network assessment — inwentaryzacja lokalizacji, łączy, aplikacji
• SD-WAN design — topologia, vendors, polityki QoS i security
• POC w 2-3 lokalizacjach (4-6 tygodni)
• Rollout w pozostałych (zero-downtime migration)
• Konfiguracja security — firewall, IPS, URL filtering, VPN
• Integracja z SIEM — logi do centralnego monitoringu
• Szkolenia — dla zespołu IT + dokumentacja
• Managed service (opcjonalnie) — pełne zarządzanie SD-WAN przez NOC nFlo w zakresie i z SLA ustalonymi w umowie

Jak Secure SD-WAN na FortiGate łączy łączność oddziałów z inspekcją ruchu?

SD-WAN decyduje, którym łączem pójdzie ruch. Bezpieczeństwo decyduje, czy ten ruch w ogóle powinien przejść. Gdy oddział wychodzi do internetu lokalnie, oba zadania trzeba wykonać na miejscu — inaczej zostaje kierowanie całego ruchu przez centralę albo osobny firewall obok routera w każdej lokalizacji, z osobnymi regułami i osobną konsolą.

W podejściu Secure SD-WAN obie funkcje działają na jednym urządzeniu brzegowym i są opisane jedną polityką. Przykładem jest Fortinet: według producenta sieć i bezpieczeństwo korzystają z tego samego systemu FortiOS i jednego silnika polityk na urządzeniu FortiGate, które:

• rozpoznaje aplikacje i kieruje ruch między łączami (internet, LTE, MPLS) według aplikacji i użytkowników,
• mierzy opóźnienie, jitter i utratę pakietów na łączach i automatycznie przełącza ruch na sprawną ścieżkę,
• na tym samym urządzeniu wykonuje inspekcję: IPS, filtrowanie stron i DNS, inspekcję SSL,
• pozwala uruchomić nowy oddział bez konfiguracji na miejscu (zero-touch), a polityki wszystkich lokalizacji utrzymywać centralnie w FortiManager.

Co to zmienia w projekcie? Reguły kierowania ruchem i reguły bezpieczeństwa projektuje się razem, więc wyjątek dodany dla jednej aplikacji nie otwiera po cichu drogi innej. Zmiana polityki trafia do wszystkich oddziałów z jednego miejsca. Trzeba za to dobrać model do ruchu po włączeniu inspekcji, a nie do przepustowości samego routingu — Fortinet podaje ją w kartach katalogowych jako threat protection.

Więcej o urządzeniach piszemy na stronie FortiGate. Jeśli SD-WAN jest częścią wymiany firewalla w centrali lub oddziałach, prowadzimy go razem z usługą Wdrożenia firewalli; o współpracy nFlo z producentem przeczytasz na stronie Fortinet.

Sprawdź pokrewne usługi

• Kompleksowe wdrożenia infrastruktury sieciowej
• Audyty bezpieczeństwa
• SOC as a service