Begrebet WAN (Wide Area Network) bruges om et netværk, der spænder over flere geografiske placeringer. Tag et eksempel: et firma har to kontorer, et i København og et i London. Begge kontorer har et LAN. Når virksomheden forbinder de to LAN med WAN-teknologi, har den et WAN.

Den største forskel på et LAN og et WAN er, at virksomheden normalt ikke ejer WAN-infrastrukturen. Man lejer en WAN-tjeneste fra en tjenesteudbyder (ISP eller teleselskab), eller man bruger internettet og bygger sikre forbindelser oven på det.

Artiklen er opdateret til CCNA 200-301 v1.1 og den kommende v2.0, som man kan tage fra 3. februar 2027. Fokus er på de WAN-teknologier, der faktisk bruges i dag.

WAN-topologier

Før vi ser på teknologierne, skal du kende de tre klassiske måder at forbinde lokationer på.

Point-to-point

To lokationer er forbundet direkte med én forbindelse, fx en lejet linje eller et Ethernet-kredsløb mellem to kontorer. Simpelt og forudsigeligt, men det skalerer dårligt, hvis du har mange lokationer.

Hub-and-spoke

Et hovedkontor (hub) er forbundet til alle filialer (spokes). Filialerne taler med hinanden gennem hubben. Det er billigt og nemt at styre, men hubben er et single point of failure, og trafik mellem to filialer tager en omvej.

Full mesh og partial mesh

I et full mesh er alle lokationer forbundet med alle. Antallet af forbindelser er n(n−1)/2, så 10 lokationer kræver 45 forbindelser. Det giver maksimal redundans, men er dyrt. Et partial mesh er et kompromis, hvor kun de vigtigste lokationer har direkte forbindelser.

Derudover taler man om single-homed (én forbindelse til én udbyder), dual-homed (to forbindelser til samme udbyder), multihomed (forbindelser til flere udbydere) og dual-multihomed.

Private WAN-teknologier

MPLS

MPLS (Multiprotocol Label Switching) er en tjeneste fra en udbyder, hvor kundens lokationer forbindes gennem udbyderens netværk. Pakkerne får et label, og udbyderens routere videresender ud fra labelet i stedet for at slå IP-adressen op.

Begreber du skal kende:

  • CE (Customer Edge): kundens router.
  • PE (Provider Edge): udbyderens router, som CE’en forbinder til.
  • P (Provider): routerne inde i udbyderens kerne.
  • MPLS Layer 3 VPN: CE og PE udveksler routes (fx med OSPF eller BGP). Udbyderen deltager i routingen.
  • MPLS Layer 2 VPN (VPLS/VPWS): udbyderen leverer et Layer 2-kredsløb, og kundens routere ser hinanden som direkte naboer.

MPLS er uafhængig af adgangsteknologien. CE kan forbindes via Ethernet, fiber, DSL eller 4G/5G.

Metro Ethernet

Metro Ethernet (Carrier Ethernet) leverer WAN-tjenesten som et almindeligt Ethernet-interface. Routeren ser bare et Ethernet-link. De typiske tjenester er:

  • E-Line: point-to-point mellem to lokationer.
  • E-LAN: full mesh, hvor alle lokationer er i samme Layer 2-domæne.
  • E-Tree: hub-and-spoke (rooted point-to-multipoint).

Internet som WAN

I dag bruger mange virksomheder internettet som WAN, fordi det er billigt og findes overalt. Adgangen kan være:

  • DSL: bruger kobberledninger i telefonnettet. Kræver et DSL-modem, og hastigheden falder med afstanden til centralen.
  • Kabel (cable): bruger kabel-tv-nettet (coax) og et kabelmodem (DOCSIS).
  • Fiber: højeste hastighed og lav latency. Det er standard i store dele af Danmark i dag (FTTH/FTTB).
  • 4G/5G (mobilt bredbånd): hurtigt at sætte op og ofte brugt som backup-forbindelse eller på midlertidige lokationer.

Problemet med internettet er, at det er offentligt og ikke krypteret. Derfor bygger man VPN oven på det.

Internet-VPN

Site-to-site IPsec VPN

En site-to-site VPN forbinder to netværk permanent over internettet. To routere eller firewalls opretter en krypteret IPsec-tunnel, og brugerne mærker ikke selv noget til den. IPsec giver fortrolighed (kryptering), integritet, autentificering og beskyttelse mod replay.

IPsec kan køre i tunnel mode (hele den oprindelige IP-pakke krypteres og får en ny IP-header, typisk site-to-site) eller transport mode (kun data krypteres, den originale header beholdes).

Remote access VPN

En remote access VPN giver en enkelt bruger (fx en medarbejder hjemmefra) adgang til firmanetværket. Klienten kører software som Cisco Secure Client (tidligere AnyConnect), og forbindelsen bruger typisk TLS eller IPsec.

GRE

GRE (Generic Routing Encapsulation) er en tunnelprotokol, der pakker en pakke ind i en ny IP-pakke. GRE kan transportere multicast, så routingprotokoller som OSPF kan køre gennem tunnelen. Men GRE krypterer ikke. Derfor kombinerer man ofte GRE over IPsec. Se Opsætning af GRE tunnel for konfigurationen. Her er den korte version: 

R1(config)# interface Tunnel0
R1(config-if)# ip address 10.0.0.1 255.255.255.252
R1(config-if)# tunnel source GigabitEthernet0/0
R1(config-if)# tunnel destination 203.0.113.2
R1(config-if)# exit
R1# show interface Tunnel0

SD-WAN

SD-WAN (Software-Defined WAN) styrer mange WAN-forbindelser (MPLS, internet, 4G/5G) centralt fra en controller. I stedet for at konfigurere hver router manuelt definerer du politikker centralt, og SD-WAN vælger automatisk den bedste forbindelse ud fra fx latency, jitter og pakketab. Trafikken mellem lokationerne krypteres med IPsec.

Cisco Catalyst SD-WAN (tidligere Viptela) har fire dele: Manager (administration, tidligere vManage), Controller (control plane, tidligere vSmart), Validator (onboarding af enheder, tidligere vBond) og WAN Edge-routerne på lokationerne.

Historiske WAN-teknologier

Du vil måske møde Frame Relay, X.25 og ATM i ældre materiale. Det er pakke- og cellebaserede WAN-tjenester fra 1980’erne og 90’erne, som i dag er afløst af MPLS, Metro Ethernet og internet-VPN. De er ikke længere en del af CCNA-pensum, så du behøver ikke at kunne konfigurere dem. Det samme gælder ISDN og opkaldsforbindelser.

Opsummering

  • Et WAN forbinder lokationer over store afstande, normalt via lejede tjenester.
  • Topologier: point-to-point, hub-and-spoke, full mesh og partial mesh.
  • Private WAN: MPLS (CE/PE/P, L3 og L2 VPN) og Metro Ethernet (E-Line, E-LAN, E-Tree).
  • Internetadgang: DSL, kabel, fiber og 4G/5G.
  • Internet-VPN: site-to-site IPsec og remote access. GRE tunnellerer, men krypterer ikke.
  • SD-WAN styrer flere forbindelser centralt med politikker.
  • Frame Relay, X.25 og ATM er historie.

Typiske eksamensspørgsmål

1. Hvilken WAN-topologi giver højest redundans, men kræver flest forbindelser?
Svar: Full mesh.

2. Hvad hedder kundens router i et MPLS-netværk, og hvad hedder udbyderens router, den forbinder til?
Svar: CE (Customer Edge) og PE (Provider Edge).

3. Hvorfor kombinerer man ofte GRE med IPsec?
Svar: GRE kan transportere multicast og routingprotokoller, men krypterer ikke. IPsec tilføjer kryptering.

4. Hvilken Metro Ethernet-tjeneste svarer til en point-to-point-forbindelse?
Svar: E-Line.