Como Simplificar a Operação, o Gerenciamento e a Segurança de Redes Corporativas Distribuídas

A evolução das redes WAN até o surgimento do Secure SD-WAN

Durante muitos anos, a arquitetura WAN corporativa foi construída quase exclusivamente sobre circuitos dedicados, principalmente MPLS (Multiprotocol Label Switching). Esse modelo oferecia previsibilidade, baixa latência e qualidade de serviço (QoS), características importantes para aplicações críticas como ERPs, sistemas financeiros, voz sobre IP e comunicação entre data centers.

Entretanto, a transformação digital modificou completamente o perfil de tráfego das empresas.

Antes, praticamente toda comunicação era direcionada ao data center principal. Hoje, boa parte do tráfego é destinada diretamente à Internet, consumindo aplicações como:

• Microsoft 365
• Google Workspace
• Salesforce
• SAP Cloud
• Microsoft Azure
• Amazon Web Services (AWS)
• Google Cloud Platform (GCP)
• Zoom
• Microsoft Teams
• Webex
• plataformas de colaboração
• aplicações SaaS em geral

Isso fez surgir um problema importante.

Mesmo quando um usuário acessava um serviço hospedado na nuvem, muitas empresas continuavam obrigando esse tráfego a passar primeiro pelo data center central para então seguir até a Internet.

Esse modelo ficou conhecido como Backhauling.

Embora aumentasse o controle de segurança, ele introduzia diversos impactos negativos:

• aumento da latência;
• desperdício de banda MPLS;
• pior experiência do usuário;
• congestionamento do data center;
• aumento dos custos operacionais.

A necessidade de eliminar essas limitações impulsionou o desenvolvimento do SD-WAN.

O que é SD-WAN

Software-Defined Wide Area Network (SD-WAN) é uma arquitetura de rede baseada em software que abstrai os enlaces físicos de comunicação e passa a tomar decisões de roteamento considerando o comportamento das aplicações e as condições da infraestrutura em tempo real.

Em vez de depender exclusivamente das métricas tradicionais de roteamento (como custo ou número de saltos), o SD-WAN considera indicadores como:

• latência;
• jitter;
• perda de pacotes;
• disponibilidade;
• utilização do link;
• tipo de aplicação;
• prioridade do tráfego;
• requisitos de SLA.

Isso permite que cada fluxo utilize automaticamente o caminho mais adequado.

Por exemplo:

Essa inteligência reduz indisponibilidades percebidas pelos usuários e melhora significativamente a experiência das aplicações críticas.

SD-WAN não significa apenas múltiplos links de Internet

Um erro bastante comum é acreditar que SD-WAN consiste apenas em utilizar dois provedores de Internet.

Na prática, trata-se de uma arquitetura muito mais ampla.

Uma implantação moderna pode combinar simultaneamente:

• MPLS;
• Internet dedicada;
• banda larga;
• fibra óptica;
• LTE;
• 5G;
• satélite;
• enlaces privados;
• VPN IPsec;
• conexões cloud.

Todos esses meios passam a fazer parte de um único ambiente lógico.

O controlador SD-WAN monitora continuamente cada circuito e decide automaticamente qual utilizar para cada sessão.

Essa decisão ocorre centenas ou milhares de vezes por segundo.

Os principais desafios encontrados em redes corporativas distribuídas

À medida que empresas expandem suas operações para dezenas ou centenas de unidades, surgem desafios que vão muito além da conectividade.

Entre os mais frequentes estão:

Configuração inconsistente

Cada filial acaba sendo configurada manualmente.

Com o passar do tempo aparecem diferenças entre políticas, versões, objetos e regras de firewall.

Isso dificulta auditorias e aumenta significativamente o risco operacional.

Baixa visibilidade

Sem uma plataforma centralizada torna-se difícil responder perguntas como:

• Qual filial está consumindo mais banda?
• Quais aplicações apresentam maior latência?
• Qual circuito possui maior perda de pacotes?
• Quais links estão operando próximos da capacidade máxima?
• Qual filial apresenta maior incidência de incidentes?

A falta dessa visibilidade torna o troubleshooting lento e dependente de intervenção manual.

Crescimento operacional

Imagine uma empresa com:

• 20 filiais;
• 80 filiais;
• 300 filiais;
• 1.000 filiais.

Sem gerenciamento centralizado, qualquer alteração de política pode consumir dias ou até semanas.

Em organizações globais, pequenas mudanças podem envolver milhares de dispositivos.

Segurança descentralizada

Outro problema recorrente é manter soluções independentes para:

• firewall;
• VPN;
• IPS;
• antivírus;
• web filtering;
• controle de aplicações;
• inspeção SSL;
• logs;
• relatórios;
• monitoramento.

Quanto maior o número de produtos independentes, maior tende a ser:

• a complexidade;
• o custo operacional;
• a possibilidade de falhas humanas;
• o tempo de resposta a incidentes.

Foi justamente esse cenário que impulsionou a evolução para o conceito de Secure SD-WAN.

O conceito de Secure SD-WAN

O SD-WAN tradicional concentra-se principalmente na otimização dos caminhos de comunicação.

Já o Secure SD-WAN amplia esse conceito ao incorporar funções avançadas de segurança diretamente na infraestrutura responsável pela conectividade.

Em vez de tratar rede e segurança como componentes independentes, ambos passam a fazer parte da mesma arquitetura operacional.

Entre os recursos normalmente integrados estão:

• Firewall de Próxima Geração (NGFW);
• IPS (Intrusion Prevention System);
• Antivírus;
• Controle de Aplicações;
• Filtragem Web;
• Inspeção SSL/TLS;
• VPN IPsec;
• Segmentação;
• Controle de Identidade;
• Inteligência de Ameaças;
• Políticas centralizadas.

Essa convergência reduz a necessidade de múltiplos equipamentos e simplifica significativamente a operação diária.

O documento da Fortinet destaca essa abordagem ao apresentar o FortiGate como plataforma que reúne capacidades de SD-WAN, firewall e gerenciamento integrado, reduzindo a complexidade de ambientes distribuídos.

Como funciona a seleção inteligente de caminhos (Application Steering)

Um dos recursos mais importantes do SD-WAN moderno é o Application Steering.

Nesse modelo, cada aplicação possui requisitos próprios de qualidade.

Por exemplo:

O equipamento monitora continuamente todos os links disponíveis.

Quando identifica degradação, pode:

• migrar automaticamente a sessão para outro circuito;
• balancear novas conexões;
• priorizar aplicações críticas;
• preservar sessões existentes quando necessário;
• evitar interrupções perceptíveis ao usuário.

Esse processo ocorre automaticamente, sem intervenção do operador.

Underlay e Overlay: entendendo as duas camadas do SD-WAN

Para compreender corretamente uma arquitetura SD-WAN, é importante distinguir dois conceitos fundamentais.

Underlay

Representa toda a infraestrutura física utilizada para transportar os dados.

Exemplos:

• fibra óptica;
• MPLS;
• Internet;
• rádio;
• LTE;
• 5G;
• satélite.

Em outras palavras, o Underlay é o conjunto de meios físicos ou lógicos fornecidos pelos operadores de telecomunicações.

Overlay

O Overlay corresponde à camada lógica construída sobre esses enlaces.

É nela que são estabelecidos:

• túneis IPsec;
• políticas de roteamento;
• criptografia;
• seleção dinâmica de caminhos;
• balanceamento;
• priorização de aplicações;
• alta disponibilidade.

Essa separação permite que alterações no Underlay (como troca de operadora ou falha de um circuito) sejam tratadas de forma transparente pela camada lógica, reduzindo impactos para os usuários.

O papel do FortiGate em uma arquitetura Secure SD-WAN

Em muitas soluções de mercado, o SD-WAN é implementado por um equipamento dedicado, enquanto a segurança continua sendo realizada por outro dispositivo independente.

Essa abordagem aumenta a complexidade da infraestrutura, exige múltiplas políticas e dificulta o gerenciamento operacional.

Na arquitetura Secure SD-WAN da Fortinet, o FortiGate atua simultaneamente como:

• Firewall de Próxima Geração (NGFW)
• Controlador SD-WAN
• Concentrador VPN
• Gateway de Segurança
• Controlador de Políticas
• Equipamento de Segmentação
• Plataforma de inspeção de tráfego

Essa convergência reduz significativamente o número de equipamentos necessários em cada filial.

Na prática, uma única plataforma pode realizar:

• seleção dinâmica de links;
• VPN IPsec entre filiais;
• inspeção SSL/TLS;
• IPS;
• Antivírus;
• Controle de Aplicações;
• Web Filtering;
• DNS Security;
• inspeção de tráfego leste-oeste;
• políticas de acesso baseadas em identidade.

Essa integração reduz o tempo de troubleshooting e evita inconsistências entre plataformas distintas.

Como funciona o Performance SLA

Uma das funcionalidades mais importantes do Secure SD-WAN é o monitoramento contínuo da qualidade dos enlaces.

O FortiGate executa testes periódicos para medir indicadores como:

• Latência
• Jitter
• Perda de pacotes
• Disponibilidade
• Tempo de resposta

Esses testes podem utilizar diferentes protocolos, como:

• ICMP
• HTTP
• HTTPS
• TCP
• DNS

Cada aplicação pode possuir seus próprios limites aceitáveis.

Exemplo:

Quando qualquer métrica ultrapassa os limites definidos, o tráfego pode ser redirecionado automaticamente para outro circuito.

Essa decisão ocorre sem necessidade de intervenção manual.

Seleção dinâmica de aplicações

Uma característica importante do Secure SD-WAN é que diferentes aplicações podem utilizar enlaces distintos ao mesmo tempo.

Por exemplo:

Essa inteligência permite utilizar toda a capacidade disponível da infraestrutura sem comprometer aplicações críticas.

FortiManager: gerenciamento centralizado em larga escala

À medida que uma organização cresce, administrar dispositivos individualmente torna-se inviável.

Imagine uma empresa com:

• 80 filiais;
• 250 firewalls;
• milhares de políticas;
• centenas de VPNs;
• centenas de objetos.

Realizar alterações manualmente aumenta significativamente a probabilidade de erros.

O FortiManager foi desenvolvido justamente para resolver esse desafio.

Segundo o documento da Fortinet, ele permite centralizar o gerenciamento de toda a infraestrutura Secure SD-WAN em uma única plataforma, reduzindo erros de configuração e acelerando implantações.

Entre suas principais funcionalidades destacam-se:

• gerenciamento centralizado;
• políticas compartilhadas;
• templates reutilizáveis;
• versionamento;
• auditoria;
• automação;
• RBAC;
• implantação em massa;
• revisão de mudanças.

ADOMs: organizando grandes ambientes

Em ambientes corporativos extensos, normalmente existem diferentes equipes administrando diferentes regiões.

O FortiManager utiliza o conceito de ADOM (Administrative Domain).

Cada ADOM pode representar:

• uma empresa do grupo;
• uma região;
• um país;
• um cliente (MSSP);
• um ambiente (Produção, Homologação, Laboratório).

Isso permite isolar:

• políticas;
• objetos;
• administradores;
• dispositivos;
• templates.

Essa organização melhora tanto a governança quanto a segurança operacional.

Templates e padronização operacional

Um dos maiores problemas em ambientes distribuídos é a perda de padronização.

Após alguns anos de operação é comum encontrar:

• nomes diferentes para objetos iguais;
• políticas duplicadas;
• regras obsoletas;
• configurações locais não documentadas.

Os templates ajudam a evitar esse cenário.

É possível criar modelos contendo:

• interfaces;
• VPNs;
• políticas;
• SD-WAN Rules;
• Health Checks;
• objetos;
• usuários;
• certificados.

Novas filiais podem ser implantadas reutilizando esses modelos, reduzindo drasticamente o tempo de configuração.

Zero Touch Provisioning (ZTP)

Tradicionalmente, a implantação de um firewall remoto exigia:

1. envio do equipamento;
2. deslocamento de um técnico;
3. configuração local;
4. testes;
5. retorno do profissional.

Esse processo elevava custos e atrasava projetos.

Com o Zero Touch Provisioning, basta:

1. enviar o equipamento;
2. conectá-lo à Internet;
3. informar o serial no FortiManager;
4. permitir que o dispositivo baixe automaticamente sua configuração.

Segundo a Fortinet, essa funcionalidade reduz implantações que antes levavam dias para apenas alguns minutos em muitos cenários.

Essa abordagem é especialmente útil para:

• franquias;
• redes varejistas;
• bancos;
• hospitais;
• escolas;
• operações industriais;
• escritórios distribuídos.

Observabilidade com FortiAnalyzer

Monitorar dispositivos não significa apenas armazenar logs.

Uma arquitetura moderna precisa oferecer contexto operacional.

O FortiAnalyzer amplia essa capacidade ao consolidar informações provenientes de todos os dispositivos Fortinet.

Entre os dados analisados estão:

• eventos de segurança;
• acessos de usuários;
• aplicações utilizadas;
• utilização de banda;
• ameaças bloqueadas;
• indicadores de risco;
• comportamento da rede;
• incidentes.

Essa consolidação permite identificar padrões que dificilmente seriam percebidos apenas pela análise individual dos equipamentos.

Dashboards operacionais

Uma das vantagens da centralização é transformar grandes volumes de dados em informações úteis.

Os dashboards podem responder rapidamente perguntas como:

• Quais filiais apresentam maior utilização de banda?
• Qual aplicação consome mais Internet?
• Quais links apresentam maior perda?
• Onde ocorreram ataques recentemente?
• Quais políticas geram mais bloqueios?
• Qual unidade apresenta maior indisponibilidade?

Essas informações auxiliam tanto equipes de infraestrutura quanto gestores de TI.

Relatórios para compliance

Auditorias normalmente exigem evidências documentadas.

Produzir esses relatórios manualmente pode consumir semanas.

O FortiAnalyzer oferece modelos para diferentes finalidades, incluindo relatórios relacionados a padrões e frameworks amplamente utilizados. O documento da Fortinet cita suporte a modelos voltados para PCI DSS, CIS e NIST, além de mecanismos de auditoria e controle de acesso baseado em papéis (RBAC).

Além dos modelos prontos, é possível criar relatórios personalizados contendo:

• utilização de aplicações;
• disponibilidade dos links;
• eventos de segurança;
• mudanças de configuração;
• histórico de administradores;
• incidentes;
• estatísticas de ameaças.

Automação da operação

Quanto maior o ambiente, menor deve ser a dependência de processos manuais.

Por isso, plataformas modernas oferecem integração com ferramentas de automação.

Entre as possibilidades estão:

• APIs REST;
• JSON-RPC;
• Ansible;
• Terraform;
• Python;
• GitOps;
• CI/CD para infraestrutura.

Essas integrações permitem:

• criar dispositivos;
• atualizar políticas;
• provisionar VPNs;
• gerar objetos automaticamente;
• executar backups;
• validar configurações;
• aplicar mudanças em massa.

A automação reduz erros humanos e acelera operações recorrentes.

Inteligência Artificial aplicada às operações

Uma tendência crescente é o uso de Inteligência Artificial para apoiar equipes de infraestrutura.

O material da Fortinet destaca recursos de IA Generativa (GenAI) incorporados ao FortiManager e ao FortiAnalyzer para auxiliar na interpretação de eventos, automatização de tarefas complexas e apoio às ações de remediação.

Na prática, esse tipo de tecnologia pode contribuir para:

• resumir incidentes complexos;
• interpretar logs;
• sugerir correções;
• acelerar investigações;
• reduzir o tempo de resposta a incidentes;
• facilitar o trabalho de equipes menos experientes.

É importante destacar que essas recomendações devem ser sempre validadas por profissionais responsáveis pela operação, especialmente em ambientes críticos.

Integração com o ecossistema de TI

Embora uma plataforma integrada reduza a necessidade de ferramentas isoladas, ela normalmente precisa coexistir com outros sistemas corporativos.

Uma arquitetura Secure SD-WAN pode integrar-se com:

• plataformas SIEM;
• ITSM;
• CMDB;
• Active Directory;
• Microsoft Entra ID;
• soluções MFA;
• plataformas DevOps;
• sistemas de monitoramento;
• ferramentas de inventário.

Essa integração favorece processos automatizados, governança e resposta coordenada a incidentes.

Boas práticas para projetos Secure SD-WAN

Uma plataforma moderna de Secure SD-WAN entrega seu maior valor quando acompanhada por uma arquitetura bem planejada e processos operacionais consistentes. A tecnologia, por si só, não elimina problemas decorrentes de má governança ou configurações inadequadas.

As recomendações abaixo contribuem para ambientes mais resilientes, seguros e fáceis de administrar.

Padronize a configuração das filiais

Evite configurar equipamentos individualmente.

Sempre que possível:

• utilize templates;
• padronize nomenclaturas;
• reutilize objetos;
• documente alterações;
• mantenha versionamento das políticas.

Defina SLAs por aplicação

Nem todo tráfego possui a mesma prioridade.

Aplicações críticas devem possuir critérios específicos de:

• latência;
• jitter;
• perda de pacotes;
• disponibilidade.

Essa diferenciação melhora a experiência do usuário e evita desperdício de recursos.

Utilize múltiplos meios de comunicação

Uma arquitetura resiliente normalmente combina diferentes tecnologias.

Exemplo:

• MPLS
• Fibra
• Banda Larga
• LTE
• 5G

A diversidade reduz indisponibilidades causadas por falhas de um único provedor.

Centralize políticas

Evite políticas locais sempre que possível.

Quanto menor a quantidade de exceções, maior será:

• a segurança;
• a previsibilidade;
• a facilidade de auditoria;
• a escalabilidade.

Automatize tarefas repetitivas

Operações como:

• backup;
• provisionamento;
• criação de objetos;
• atualização de políticas;
• implantação de novas filiais

podem ser automatizadas, reduzindo erros humanos e acelerando entregas.

Monitore continuamente o ambiente

A observabilidade deve fazer parte da operação diária.

Monitore continuamente:

• utilização dos links;
• disponibilidade;
• aplicações;
• eventos de segurança;
• mudanças de configuração;
• indicadores de desempenho.

Erros comuns em projetos Secure SD-WAN

Diversos problemas observados em implantações não estão relacionados à tecnologia, mas à forma como ela é utilizada.

Entre os erros mais frequentes estão:

Configurar políticas diferentes em cada filial

Essa prática dificulta:

• suporte;
• auditorias;
• automação;
• expansão do ambiente.

Utilizar apenas um provedor de Internet

Mesmo utilizando SD-WAN, um único circuito continua representando um ponto único de falha.

Sempre que possível, utilize redundância física e lógica.

Ignorar métricas de desempenho

Criar políticas sem considerar:

• jitter;
• perda;
• latência;

faz com que aplicações críticas utilizem caminhos inadequados.

Não documentar alterações

Mudanças sem registro dificultam:

• troubleshooting;
• auditorias;
• rollback;
• identificação da origem de incidentes.

Não revisar políticas antigas

Ambientes que evoluem durante anos costumam acumular:

• objetos não utilizados;
• regras duplicadas;
• exceções desnecessárias;
• configurações obsoletas.

Revisões periódicas reduzem riscos e simplificam a administração.

Tratar SD-WAN apenas como balanceamento de links

Esse talvez seja o erro conceitual mais comum.

O verdadeiro valor do Secure SD-WAN está na integração entre:

• conectividade;
• segurança;
• automação;
• observabilidade;
• gerenciamento centralizado.

Plano de implementação recomendado

Uma implantação estruturada reduz riscos e facilita futuras expansões.

Fase 1 — Levantamento

• Inventário da infraestrutura atual.
• Identificação dos enlaces existentes.
• Levantamento das aplicações críticas.
• Definição dos requisitos de negócio.

Fase 2 — Projeto

• Arquitetura lógica.
• Definição dos circuitos.
• Critérios de SLA.
• Estratégia de redundância.
• Segmentação da rede.

Fase 3 — Implantação piloto

• Seleção de poucas filiais.
• Validação das políticas.
• Testes de failover.
• Testes de desempenho.
• Ajustes operacionais.

Fase 4 — Expansão

• Aplicação de templates.
• Zero Touch Provisioning.
• Automação.
• Monitoramento contínuo.

Fase 5 — Operação contínua

• Revisão periódica das políticas.
• Atualizações de firmware.
• Auditorias.
• Relatórios.
• Otimizações.

Conclusão técnica e um breve comparativo

A evolução das redes corporativas tornou inviável administrar conectividade, segurança e operação como disciplinas independentes. A adoção massiva de aplicações em nuvem, ambientes híbridos, trabalho remoto e filiais distribuídas exige arquiteturas capazes de responder rapidamente às mudanças do ambiente, mantendo desempenho, disponibilidade e proteção.

O Secure SD-WAN representa essa evolução ao integrar inteligência de roteamento, segurança de próxima geração, gerenciamento centralizado e automação em uma única arquitetura operacional. Mais do que substituir enlaces MPLS ou reduzir custos, seu principal benefício está na simplificação da operação e na padronização dos ambientes distribuídos.

O documento da Fortinet destaca exatamente essa convergência entre FortiGate, FortiManager e FortiAnalyzer, enfatizando recursos como gerenciamento centralizado, Zero Touch Provisioning, automação, analytics e integração com ferramentas corporativas.

Independentemente do fabricante escolhido, projetos de SD-WAN bem-sucedidos compartilham características comuns: arquitetura consistente, políticas centralizadas, observabilidade contínua, automação de tarefas repetitivas e revisão periódica das configurações. Esses elementos reduzem a complexidade operacional, aumentam a resiliência da infraestrutura e permitem que a equipe de TI concentre seus esforços em iniciativas estratégicas, em vez de atividades manuais e reativas.