SD-WAN vs MPLS: qual è la scelta migliore per collegare più sedi aziendali?

Un'azienda con più sedi vive di rete. La sede centrale, le filiali, i negozi, gli stabilimenti, i depositi e i magazzini devono comunicare in modo continuo: ERP, CRM, Microsoft 365, centralino VoIP, applicazioni Cloud, sistemi di pagamento, videosorveglianza e backup dipendono tutti da una connettività affidabile. Quando la rete che collega le sedi non è progettata bene, i problemi si vedono ogni giorno.

Applicazioni lente, chiamate VoIP disturbate, perdita di pacchetti, latenze elevate, interruzioni improvvise, filiali di fatto isolate, difficoltà nell'accesso al Cloud, costi che crescono e produttività che cala. È in questo scenario che si apre la domanda chiave per chi gestisce l'IT: per collegare più sedi conviene ancora una rete MPLS o è il momento di passare a una soluzione SD-WAN? Per anni l'MPLS è stato lo standard per collegare sedi geograficamente distribuite; la diffusione di Cloud, fibra FTTH, 5G e FWA ha però cambiato profondamente il networking aziendale.

Cos'è MPLS e come funziona

MPLS è l'acronimo di Multiprotocol Label Switching. In parole semplici, è una tecnologia che l'operatore utilizza per instradare il traffico tra le sedi di un'azienda applicando delle "etichette" ai pacchetti, così da farli seguire percorsi predefiniti e prioritari all'interno della propria rete. Puoi immaginare una rete MPLS aziendale come una strada privata costruita dall'operatore per collegare le diverse sedi: un percorso riservato, controllato e prevedibile.

Storicamente questo ha rappresentato un grande vantaggio per la connettività aziendale multi-sede. I punti di forza dell'MPLS sono infatti:

• affidabilità e prevedibilità delle prestazioni, perché il traffico viaggia su una rete gestita end-to-end;
• gestione della QoS (Quality of Service) e controllo del traffico, con priorità garantite per applicazioni critiche;
• SLA (Service Level Agreement) disponibili in base al servizio acquistato, con impegni contrattuali su banda e disponibilità;
• possibilità di realizzare reti private tra le sedi, con il traffico logicamente separato da quello di altri clienti.

Qui è importante fare una precisazione tecnica, perché è fonte di equivoci frequenti: l'isolamento logico del traffico non equivale alla cifratura. In una VPN MPLS il traffico di ogni cliente è separato da quello degli altri (isolamento logico), ma questo non significa che i dati siano automaticamente cifrati end-to-end. Affermare che "l'MPLS è più sicura perché cifrata" è quindi scorretto: se serve riservatezza crittografica, la cifratura va aggiunta a livello applicativo o di rete, indipendentemente dalla tecnologia di trasporto.

L'MPLS presenta però anche limiti che negli anni sono diventati sempre più evidenti:

• costi tipicamente elevati per i circuiti dedicati;
• forte dipendenza dall'operatore che gestisce la rete;
• tempi di provisioning lunghi per attivare nuove sedi;
• rigidità e scalabilità limitata quando l'azienda cresce o si riorganizza;
• accesso ai servizi Cloud spesso inefficiente.

Quest'ultimo punto merita una spiegazione. Nelle architetture MPLS tradizionali il traffico di una filiale diretto a Internet o al Cloud viene spesso instradato prima verso la sede centrale, dove esce, per poi eventualmente tornare indietro. Questo fenomeno si chiama backhauling (o tromboning, per la forma del percorso che ricorda uno strumento a coulisse): il traffico compie un giro lungo e inutile, aggiungendo latenza e consumando banda del circuito centrale. In un mondo in cui gran parte delle applicazioni vive nel Cloud, il backhauling può diventare un vero collo di bottiglia.

Cos'è SD-WAN e perché sta cambiando le reti aziendali

SD-WAN significa Software-Defined Wide Area Network, cioè rete geografica definita dal software. È un approccio che separa la logica di gestione e instradamento della WAN dall'hardware fisico, portandola a un livello software centralizzato e orchestrabile.

Se l'MPLS è una strada privata, la SD-WAN può essere paragonata a un sistema di navigazione intelligente: controlla continuamente tutte le strade disponibili (le diverse connessioni Internet della sede) e decide in tempo reale quale utilizzare per ciascun tipo di traffico, in base a regole definite dall'azienda. Non è quindi "una nuova connessione Internet", ma un livello intelligente di gestione e orchestrazione della WAN che si appoggia alle connettività disponibili.

Questa differenza di paradigma è il motivo per cui la rete SD-WAN si è diffusa rapidamente: permette di sfruttare connessioni Internet standard (più economiche e diffuse dei circuiti dedicati), gestirle centralmente e applicare politiche di instradamento evolute, cosa che con l'MPLS puro non è possibile.

Utilizzare FTTH, 5G e FWA con SD-WAN

Uno dei vantaggi concreti della SD-WAN è la capacità di combinare più tecnologie di accesso. Una singola filiale potrebbe disporre contemporaneamente di:

• una FTTH Business (fibra fino alla sede) come collegamento principale;
• una seconda FTTH o FTTC di un altro operatore, per diversificare;
• una connessione FWA (Fixed Wireless Access);
• un router 5G come backup mobile.

Una soluzione SD-WAN opportunamente progettata può utilizzare più di questi collegamenti insieme, applicando politiche di instradamento, failover e — a seconda della piattaforma — bilanciamento del traffico. È però fondamentale essere precisi, perché qui il marketing tende a semplificare troppo: non è vero che qualsiasi SD-WAN aggrega automaticamente la banda di tutte le linee. Le funzioni in gioco sono diverse e non vanno confuse:

• Failover: se una linea cade, il traffico passa su un'altra secondo le policy definite;
• Path selection: la piattaforma sceglie il percorso migliore per una data applicazione in base a parametri di qualità;
• Load balancing: il traffico viene distribuito su più linee, tipicamente per sessioni o flussi diversi;
• Bonding / aggregation: la vera somma della banda di più linee in un unico flusso è una funzione specifica, non sempre disponibile e con precisi requisiti tecnici.

In fase di progetto è quindi essenziale capire quali di queste funzioni offre concretamente la soluzione scelta e quali servono davvero all'azienda. Per pianificare gli accessi è utile partire da una verifica della copertura fibra e FWA nelle zone dove si trovano le sedi, oltre a definire con attenzione la banda minima garantita necessaria per ciascuna sede.

SD-WAN e application-aware routing

Il cuore "intelligente" della SD-WAN è l'application-aware routing: la capacità della piattaforma di riconoscere o classificare le diverse tipologie di traffico e applicare a ciascuna una policy differente. Non tutte le applicazioni hanno le stesse esigenze, e trattarle allo stesso modo è uno spreco.

Un esempio tipico di priorità applicative:

• Chiamata VoIP → priorità elevata, percorso più stabile e a bassa latenza;
• ERP / CRM → priorità business, percorso affidabile;
• Microsoft 365 e applicazioni Cloud → percorso ottimizzato verso Internet;
• streaming o navigazione non critica → priorità inferiore.

Per applicare queste politiche in modo efficace la piattaforma monitora costantemente i parametri di qualità di ogni percorso: QoS, latenza (il ritardo di trasmissione), jitter (la variazione del ritardo) e packet loss (la perdita di pacchetti), scegliendo dinamicamente il percorso più adatto. Questi parametri sono particolarmente importanti per il VoIP aziendale e per le Unified Communications: una chiamata voce tollera male jitter e perdita di pacchetti, e la capacità della SD-WAN di spostare in tempo reale il traffico voce sul link migliore può fare la differenza sulla qualità percepita. Se vuoi approfondire il funzionamento della voce su IP, è utile capire cos'è un gateway VoIP.

Perché SD-WAN è adatta alle aziende Cloud-first

Le aziende oggi lavorano nel Cloud: Microsoft 365, Teams, CRM Cloud, ERP in SaaS, centralini Cloud, storage online e applicazioni web aziendali sono la normalità. In questo contesto l'architettura di rete deve essere pensata attorno al Cloud, non attorno alla sede centrale; per un quadro d'insieme è utile una guida al Cloud per le aziende.

È qui che entra in gioco il concetto di local Internet breakout: invece di far transitare tutto il traffico Cloud di una filiale attraverso la sede centrale (con il backhauling tipico dell'MPLS), la SD-WAN può far uscire quel traffico direttamente su Internet dalla filiale stessa, verso l'applicazione Cloud di destinazione. Il risultato, quando l'architettura è progettata e protetta correttamente, è un percorso più breve, minore latenza e un carico inferiore sui collegamenti principali.

Va sottolineato "protetto correttamente": far uscire il traffico localmente significa anche portare la sicurezza in periferia, con firewall, ispezione del traffico e policy adeguate su ogni sede. Il breakout locale è un vantaggio solo se accompagnato da un modello di sicurezza coerente. Per i servizi di comunicazione basati sul Cloud, come i centralini telefonici in Cloud, una WAN progettata bene è un prerequisito per la qualità del servizio.

SD-WAN e Business Continuity: cosa succede se cade la fibra?

La Business Continuity è uno dei motivi principali per cui le aziende adottano la SD-WAN. Prendiamo un esempio concreto: un negozio con FTTH principale e backup 5G. Se la FTTH subisce un'interruzione, una configurazione SD-WAN corretta può instradare automaticamente il traffico sulla connettività ancora disponibile, secondo le policy definite, riducendo l'impatto del guasto.

Perché è così importante? Perché da quella connettività dipendono attività che non possono fermarsi:

• POS e sistemi di pagamento;
• telefonia VoIP e centralino;
• ERP, CRM e gestione ordini;
• sistemi logistici e di magazzino;
• accesso al Cloud e attività quotidiana dei dipendenti.

Attenzione però a un punto spesso trascurato: ridondanza reale non significa semplicemente installare due linee. Se le due connessioni condividono lo stesso cavo, la stessa centrale o lo stesso apparato, un singolo guasto può metterle fuori uso entrambe. La vera ridondanza si progetta valutando la diversificazione degli operatori, delle tecnologie di accesso e dei percorsi fisici. Per lo stesso motivo va detto con chiarezza che nessuna tecnologia "elimina i downtime": una progettazione corretta riduce in modo significativo il rischio e l'impatto di un'interruzione, ma non offre garanzie assolute.

SD-WAN vs MPLS: tabella comparativa

La tabella seguente riassume i principali criteri di confronto tra MPLS e SD-WAN per una rete aziendale multisede. Dove non è possibile generalizzare, l'indicazione corretta è "dipende dall'offerta" o "dipende dalla progettazione": nessuna delle due tecnologie è superiore in assoluto, contano le esigenze reali dell'azienda.

Come si vede, la SD-WAN eccelle in flessibilità, scalabilità e integrazione con il Cloud, mentre l'MPLS mantiene il vantaggio della prevedibilità end-to-end su circuito dedicato. La scelta dipende dal profilo di rischio, dalle applicazioni critiche e dal budget dell'azienda.

MPLS è superata? Non necessariamente

Sarebbe un errore concludere che l'MPLS aziendale sia una tecnologia morta. In diversi contesti continua ad avere applicazioni pienamente valide:

• infrastrutture legacy già consolidate e stabili;
• reti con requisiti prestazionali specifici e traffico prevedibile;
• applicazioni estremamente sensibili a latenza e jitter;
• ambienti regolamentati con vincoli particolari;
• aziende con investimenti MPLS significativi ancora da ammortizzare.

Non a caso, una delle architetture più diffuse oggi non è "o l'una o l'altra", ma il modello ibrido MPLS + SD-WAN: si mantiene l'MPLS per i flussi più critici e sensibili tra le sedi principali e si affianca la SD-WAN per gestire la connettività Internet, il traffico Cloud, il backup e le sedi secondarie. In questo modo si combinano prevedibilità dell'MPLS e flessibilità della SD-WAN.

Quale scegliere per una PMI o una grande impresa?

La tecnologia giusta dipende dallo scenario. Vediamo i casi più comuni:

Azienda con 2-5 sedi

Per una PMI con poche sedi, la SD-WAN su connettività FTTH/FWA con backup 5G è spesso la soluzione più equilibrata: costi contenuti, attivazione rapida, buona gestione di VoIP e Cloud e failover integrato. L'MPLS puro raramente si giustifica, salvo requisiti molto specifici.

Catena di negozi

Per una catena di punti vendita la priorità è la continuità di POS, pagamenti e gestionale: la SD-WAN con FTTH principale e backup wireless (FWA o 5G) su ogni negozio, gestita centralmente, permette di aprire nuove sedi rapidamente e mantenere policy uniformi.

Azienda con magazzini e logistica

Magazzini e siti logistici hanno spesso copertura fibra disomogenea: la capacità della SD-WAN di combinare FTTH, FWA e 5G e di garantire failover è particolarmente preziosa per WMS, terminali e sistemi di tracciamento, spesso basati su soluzioni IoT e M2M.

Grande impresa

Per le grandi imprese la risposta è spesso un'architettura ibrida: SD-WAN + MPLS + Internet Business + backup mobile, dimensionata secondo criticità delle sedi, SLA richiesti e applicazioni. Le sedi più critiche possono mantenere l'MPLS, mentre le altre passano a SD-WAN su connettività Internet.

Costi: SD-WAN costa meno di MPLS?

È la domanda più frequente, ma la risposta onesta è: dipende. Non ha senso indicare prezzi generici, perché il costo di una soluzione varia in base a molti fattori:

• numero di sedi da collegare;
• banda richiesta per ciascuna sede;
• livelli di servizio (SLA) desiderati;
• operatori e tecnologie di accesso disponibili;
• apparati e licenze SD-WAN;
• componente di sicurezza;
• gestione e monitoraggio;
• connettività di backup.

In generale la SD-WAN tende a ridurre i costi di trasporto perché sfrutta connettività Internet standard al posto dei circuiti dedicati, ma introduce costi di licenze, apparati e gestione. Per un confronto corretto conviene ragionare in termini di TCO (Total Cost of Ownership), cioè il costo totale nel tempo, e includere una voce spesso dimenticata: il costo economico di un fermo rete. Un'interruzione che blocca vendite, produzione o assistenza può valere molto più del risparmio sul canone mensile.

Sicurezza: SD-WAN è sicura?

La sicurezza della rete aziendale è un tema centrale, soprattutto quando si adotta il breakout locale verso Internet, e va inquadrata nella più ampia strategia di cybersecurity aziendale. Una piattaforma SD-WAN moderna offre diversi strumenti:

• cifratura dei tunnel tra le sedi, tipicamente tramite IPsec;
• segmentazione del traffico per separare reparti, applicazioni o utenti;
• policy centralizzate applicate in modo uniforme a tutte le sedi;
• integrazione con firewall e funzioni di sicurezza di rete;
• integrazione con la sicurezza Cloud e modelli Zero Trust.

Su questo tema è però necessaria una precisazione importante, perché i termini vengono spesso confusi: SD-WAN e SASE non sono sinonimi. La SD-WAN è la componente di rete che gestisce e instrada la WAN; il SASE (Secure Access Service Edge) è un modello architetturale più ampio che integra funzioni di rete e di sicurezza erogate dal Cloud, di cui la SD-WAN è uno degli elementi. Adottare una SD-WAN non significa quindi avere automaticamente un'architettura SASE: la sicurezza va progettata come parte integrante del disegno di rete, non aggiunta a posteriori.

Checklist per un'azienda multisede

Prima di scegliere tra SD-WAN e MPLS — o un mix dei due — conviene analizzare con metodo alcuni elementi chiave:

• numero e distribuzione geografica delle sedi;
• copertura FTTH effettiva in ciascuna sede;
• disponibilità di operatori alternativi per la diversificazione;
• copertura FWA e 5G come accesso primario o di backup;
• banda richiesta per sede e per applicazione;
• livelli di servizio (SLA) necessari;
• applicazioni critiche (ERP, CRM, gestionali, POS);
• esigenze di VoIP e Unified Communications;
• applicazioni Cloud e SaaS utilizzate;
• necessità di VPN e collegamenti site-to-site;
• esigenza di IP pubblici o statici;
• requisiti di cybersecurity e conformità;
• obiettivi di RTO/RPO dove pertinenti;
• strategia di Business Continuity e tempi massimi di fermo accettabili.

SD-WAN vs MPLS: il verdetto

Non esiste un vincitore assoluto tra SD-WAN e MPLS: esiste la soluzione più adatta a una specifica azienda. Per molte realtà moderne con filiali, negozi, punti vendita e magazzini, la SD-WAN offre maggiore flessibilità, tempi di attivazione più rapidi e la capacità di sfruttare più tecnologie di accesso (FTTH, FWA, 5G) rispetto a una tradizionale architettura basata esclusivamente su MPLS, soprattutto in scenari Cloud-first.

L'MPLS, dal canto suo, continua ad avere un ruolo in specifici contesti enterprise e, sempre più spesso, all'interno di architetture ibride che ne valorizzano la prevedibilità. La strada migliore, nella maggior parte dei casi, non è scegliere una tecnologia "per moda", ma partire da un'analisi seria delle esigenze di rete, delle applicazioni critiche e degli obiettivi di continuità operativa. Un buon punto di partenza pratico è verificare la copertura e quale operatore prende meglio nelle zone dove si trovano le sedi.