SD-WAN — el overlay corporativo

El plano que escala IPSec a 1.000 sedes

Imagina la cadena de retail con 380 restaurantes en India que mencionaba el caso de uso real de Fortinet. Cada local necesita conectarse al datacenter, a AWS, a la nube de pagos y entre ellos. Con IPSec puro, cada router tendría que negociar IKE con cada uno de los demás — n² intercambios de clave. Inviable.

SD-WAN resuelve esto introduciendo dos planos separados pero entrelazados: control plane y data plane. En el control plane, unos controllers centralizados (vSmart en Cisco, FortiManager en Fortinet, Versa Director, VeloCloud Orchestrator) hablan con cada router edge — son n conexiones, no n². En el data plane, los routers se hablan entre ellos cifrando el tráfico, pero las claves se distribuyen a través del control plane, no negociándolas en el data plane.

Es un truco arquitectónico elegante: se elimina IKE. En Cisco Catalyst SD-WAN (antes Viptela), cada router edge genera localmente una clave AES-256 por TLOC (Transport Locator), la envía al controller usando OMP — el protocolo de routing del overlay — y el controller la distribuye a los demás. Una n-distribución en lugar de n²-negociación. A cambio, el control plane se convierte en el activo criptográfico más crítico de toda la red.

Es importante el matiz: en SD-WAN el control plane no transporta datos de aplicación, solo metadatos — rutas, políticas, claves de cifrado. Pero esas claves son las que cifran todo el data plane. Si comprometes el control plane, se cae todo.

12 años de overlay y consolidación brutal

SD-WAN es una categoría joven comparada con TLS o IPSec. Nació hacia 2012 con startups específicas (Viptela, Versa) y en 13 años se ha convertido en el reemplazo casi universal de MPLS — con una concentración de mercado en muy pocos vendors.

• 2012
  Viptela · Versa · primeras startups
  Nace la categoría. La idea: separar control y data plane, software-defined sobre Internet, alternativa a MPLS para empresas distribuidas.
• 2017
  Cisco compra Viptela · $610M
  Cisco entra en SD-WAN comprando al líder técnico. La integración con su stack ISR/Catalyst llevará años.
• 2017
  VMware compra VeloCloud · $449M
  Otro gigante entra al juego. Empieza la consolidación del mercado en torno a 5-6 vendors.
• 2020-2022
  SASE redefine la categoría
  Gartner acuña SASE — Secure Access Service Edge — uniendo SD-WAN con seguridad en la nube (CASB, ZTNA, SWG). Cato Networks, Zscaler, Palo Alto Prisma empujan la convergencia.
• 2023
  Cisco rebranding · Catalyst SD-WAN
  Cisco unifica su portfolio renombrando Viptela como Catalyst SD-WAN. vSmart pasa a ser SD-WAN Controller, vBond a SD-WAN Validator, vManage a SD-WAN Manager.
• Mar 2024
  Cisco IOS XE 17.11.1a · DH groups débiles fuera
  Cisco elimina soporte de DH groups 1, 2 y 5 en conexiones IPSec a terceros. Hardening pre-cuántico estándar.
• 2025
  Cisco SD-WAN release 20.15.1 · FIPS por defecto
  FIPS mode habilitado por defecto en los componentes de control. Paso intermedio hacia compliance de gobierno (que pronto exigirá PQC).
• Jul 2025
  Fortinet FortiOS 7.6 · primer vendor con PQC
  Fortinet introduce algoritmos PQC en FortiOS — ML-KEM en SSL-VPN y SD-WAN. Primer vendor mainstream con PQC en producción para redes empresariales.
• Jul 2025
  HPE compra Juniper · $13.4B
  Otra adquisición masiva. HPE Aruba EdgeConnect + Juniper Mist AI + SD-WAN consolida un nuevo gigante. Más concentración del mercado en muy pocos vendors.
• 2026 →
  Roadmap PQC · resto de vendors
  Cisco anuncia "Crawl Walk Run" PQC para Catalyst SD-WAN. Versa, VMware VeloCloud, Palo Alto Prisma, Aruba EdgeConnect siguen calendarios similares. Ventana realista de migración masiva: 2026-2028.

Lo que hoy se considera "bien hecho"

Una buena configuración SD-WAN en 2026 separa estrictamente control y data plane, usa AEAD en ambos, tiene rotación agresiva y certificados gestionados centralmente.

Hay un detalle único de SD-WAN que conviene destacar: el control plane se autentica de fábrica. Cisco preinstala certificados en cada router con su número de serie firmado por la CA de Cisco. Esto resuelve el problema de bootstrap (¿cómo confías la primera vez?) pero crea una dependencia profunda con el vendor — si la CA del vendor cae, todo el SD-WAN cae.

La concentración de riesgo del control plane

SD-WAN tiene una particularidad cuántica que no encontramos en estaciones anteriores: la cripto del data plane viaja por el control plane. Esto crea una concentración de riesgo única. Si Shor rompe el control plane, todo el data plane cae con él — incluso retroactivamente.

En SD-WAN no basta con cifrar bien el data plane: si el control plane se rompe cuánticamente, el data plane se rompe automáticamente con él.

Compáralo con IPSec puro. En IPSec site-to-site clásico, cada par de routers negocia su propia clave con IKE. Si Shor rompe ese IKE, el atacante descifra el tráfico de ese par. En SD-WAN, el control plane gestiona miles de claves — si lo comprometes, descifras tráfico de toda la red overlay. Es una concentración de riesgo que viene de la decisión arquitectónica de eliminar IKE para escalar.

Hay otro problema añadido: los certificados pre-instalados de fábrica. Cuando compras un router Cisco SD-WAN, el certificado que lleva grabado podría ser RSA-2048 firmado por la Cisco CA en 2020 con caducidad 2030. Es decir, todo el bootstrap de identidad de tu red overlay depende de criptografía clásica — y rotar esos certificados de fábrica es un proceso operacional muy doloroso.

Cada vendor por su lado, con calendarios distintos

A diferencia de TLS, SSH o IPSec — donde hay drafts IETF que estandarizan la migración — SD-WAN no tiene un draft unificador. Cada vendor migra su stack DTLS/TLS y su stack IPSec por separado, con su propio calendario y su propio nombre comercial.

Estado real por componente

La estrategia razonable hoy para empresas con SD-WAN existente: activar lo que se pueda (PPK donde el vendor lo soporte, hardening de DH groups, AES-256 obligatorio) y presionar al vendor para incluir ML-KEM en sus roadmaps. El cliente que lleva 200 routers Cisco no va a cambiar de vendor por PQC — va a esperar a que Cisco lo entregue.

Los 6 criterios de la auditoría

SD-WAN es la estación con mayor componente "vendor-locked" — buena parte de la madurez depende de qué vendor tienes y qué versión. El checklist refleja esto: hay criterios que tú puedes controlar (configuración, hardening) y otros que dependen del proveedor (PQC en stack subyacente, rotación de CA de fábrica).

Mapeo a badge: 0–30 Classical · 31–55 Hybrid-Ready · 56–75 Quantum-Safe · 76–90 Q-Day Proof. La realidad incómoda de SD-WAN es que tu badge depende mucho de tu vendor. Si tienes Cisco con plan a 2027 y un contrato a 5 años, no hay forma rápida de subir más rápido que ese plan. La mejor inversión hoy es presión comercial y hardening de lo que sí controlas.