SD-WAN (Software-Defined Wide Area Network) e SASE (Secure Access Service Edge) integrano networking e sicurezza in un’architettura unificata, ottimizzando la connettività tra le sedi e applicando policy Zero Trust a utenti, dispositivi e risorse cloud.
I punti chiave:
- La SD-WAN ottimizza la connettività attraverso l’instradamento intelligente del traffico e la gestione centralizzata della policy.
- Il SASE integra networking e sicurezza in un’architettura cloud-native basata sui principi Zero Trust.
- Gartner prevede che nel 2028 il 70% degli acquisti SD-WAN farà parte di un’offerta SASE single-vendor.
- L’adozione può avvenire in modo graduale mantenendo la coesistenza con l’infrastruttura esistente durante la transizione.
Nelle realtà enterprise la rete non è più un insieme di collegamenti da mantenere operativi. È la piattaforma che porta ERP, CRM, servizi di Unified Communication and Collaboration (UCC) e soluzioni di intelligenza artificiale dal data center al cloud, fino alle sedi periferiche. Ogni sede è anche un punto di accesso da proteggere, mentre utenti, dispositivi e applicazioni sono sempre più distribuiti. Prestazioni e sicurezza non possono quindi restare ambiti separati, gestiti con strumenti e controlli distinti. SD-WAN e SASE convergono così in un’unica architettura che integra connettività, gestione del traffico e sicurezza, con policy definite e applicate centralmente. Per le organizzazioni enterprise significa disporre di una rete scalabile e flessibile, che si adatta all’evoluzione del business e garantisce velocità, continuità e protezione ad ambienti ICT sempre più orientati al cloud.
I limiti della rete aziendale tradizionale nell’era del cloud
La rete aziendale tradizionale collega le sedi al data center con circuiti MPLS (Multiprotocol Label Switching) dedicati e fa transitare dal centro stella anche il traffico verso Internet: un modello nato per applicazioni e risorse centralizzate interne, che può introdurre latenza e inefficienza nell’accesso ai servizi cloud.
Per anni la tecnologia MPLS è stata lo standard delle reti geografiche aziendali: i dati viaggiano su percorsi predefiniti nella rete dell’operatore, con priorità garantite per voce e video. Nel modello a stella (hub-and-spoke) le sedi fanno capo al data center, che ospita anche firewall e accesso a Internet. L’architettura assicura qualità prevedibile, ma vincola ogni sede a percorsi fissi e a un unico punto di uscita: per raggiungere un servizio SaaS (Software as a Service) il traffico passa prima dal centro, con colli di bottiglia ed espansioni più lente. Per questo la selezione dinamica del percorso, che sceglie in tempo reale la via migliore, segna un salto di qualità nell’intelligenza della rete.
SD-WAN e SASE: cosa sono e qual è la differenza
La SD-WAN è il livello di rete che gestisce le sedi via software e instrada il traffico per applicazione; il SASE aggiunge un livello di sicurezza erogato dal cloud che protegge utenti, sedi e applicazioni ovunque si trovino.
Le due sigle rispondono a domande diverse. La SD-WAN decide come il traffico arriva a destinazione nel modo migliore. Il SASE decide chi può accedere a cosa, da dove e a quali condizioni. La prima lavora su linee e percorsi, il secondo su identità, policy e ispezione dei contenuti. Una SD-WAN senza sicurezza integrata lascia aperti i varchi delle uscite locali. Un SASE senza una buona rete sottostante protegge il traffico, ma non ne garantisce le prestazioni. Per questo il mercato va verso piattaforme con gestione unica.
SD-WAN (Software-Defined Wide Area Network): architettura in cui la rete geografica è governata via software da un orchestratore centralizzato, che coordina dinamicamente più collegamenti e instrada il traffico in base ai requisiti delle applicazioni e alle condizioni della rete in tempo reale.
SASE (Secure Access Service Edge): architettura introdotta da Gartner nel 2019 che unisce in un unico servizio cloud funzioni di rete e sicurezza, come SD-WAN, Firewall as a Service, ZTNA, CASB e Secure Web Gateway, per proteggere sedi, utenti remoti e applicazioni da un'unica console.
Nato come convergenza tra servizi di rete e di sicurezza, il SASE è maturato in un'architettura completa, pensata per le imprese che hanno spostato in cloud applicazioni e dati.
Il SASE sostituisce la SD-WAN o la ingloba?
Il SASE non sostituisce la SD-WAN: la ingloba come componente di rete e le affianca i servizi di sicurezza cloud. La SD-WAN resta il motore che sceglie il percorso tra sedi, data center e cloud, mentre il SASE aggiunge un livello di policy unico per filiali, utenti mobili e applicazioni. Le piattaforme più evolute integrano anche l'intelligenza artificiale, che accelera il rilevamento delle minacce, ottimizza in modo dinamico i percorsi di rete e automatizza i controlli di conformità.
Secondo Gartner (Magic Quadrant for SASE Platforms, luglio 2025), entro il 2028 il 70% degli acquisti SD-WAN farà parte di un'offerta SASE single-vendor, contro il 25% del 2025. Il forecast Gartner sul SASE stima un mercato da 28,5 miliardi di dollari nel 2028, con una crescita annua del 26%. Chi rinnova oggi la rete evita una seconda migrazione scegliendo una SD-WAN pronta per il SASE.
L'architettura di una rete intelligente: underlay, overlay e livello di sicurezza
Una rete intelligente multisede si legge in tre livelli: l'underlay delle linee fisiche, l'overlay SD-WAN che decide i percorsi e il livello SASE che applica le policy di sicurezza a ogni sessione.
Alla base c'è l'underlay, cioè le connessioni fisiche di ogni sede: fibra dedicata, circuiti IPVPN (IP Virtual Private Network), accessi radio FWA (Fixed Wireless Access), reti 4G e 5G, satellite. Sopra lavora l'overlay SD-WAN: gli apparati creano tunnel cifrati IPsec tra le sedi e verso il cloud, misurano la qualità di ogni linea e spostano il traffico in tempo reale. In cima c'è il livello SASE, che ispeziona il traffico e verifica l'identità di chi accede. Un orchestratore unico governa i tre piani.
- Underlay: fibra, IPVPN, FWA, 4G/5G e satellite, anche di operatori diversi.
- Overlay SD-WAN: tunnel cifrati, misura di latenza e jitter, scelta dinamica del percorso.
- Livello SASE: firewall cloud, accesso zero trust, filtro web, controllo delle applicazioni SaaS.
Dove si collocano SD-WAN e SASE nello schema di rete?
La SD-WAN si colloca nel livello intermedio, tra le linee fisiche e le applicazioni, mentre il SASE si colloca nel livello superiore, tra gli utenti e le risorse a cui accedono. La SD-WAN garantisce che il traffico arrivi con la qualità richiesta; il SASE che arrivi solo il traffico autorizzato e privo di minacce.
Mappare la rete sui tre livelli aiuta a capire quali componenti rinnovare subito e quali possono restare in esercizio.
Convergenza rete e sicurezza: Firewall as a Service e Zero Trust Network Access
Lo zero trust è un modello di sicurezza che non concede fiducia implicita a nessun utente o dispositivo: il Firewall as a Service ne applica i controlli sul traffico, lo zero trust network access sull'accesso alle applicazioni.
Con applicazioni in cloud e sedi che accedono direttamente a Internet, la protezione non può più concentrarsi in un unico punto della rete. La convergenza tra rete e sicurezza distribuisce i controlli lungo tutto il percorso del traffico e li governa con policy uniche.
Zero trust: modello di sicurezza basato sul principio "mai fidarsi, verificare sempre", in cui ogni accesso viene autorizzato solo dopo aver verificato identità, dispositivo e contesto.
Il modello zero trust si fonda su tre principi:
- Verifica continua: identità e dispositivo sono verificati a ogni accesso.
- Privilegio minimo: ogni utente raggiunge solo le risorse necessarie al proprio ruolo.
- Microsegmentazione: le risorse sono isolate, così un'eventuale compromissione resta circoscritta.
Che cosa fa il Firewall as a Service?
Il Firewall as a Service è un firewall di nuova generazione erogato dal cloud anziché da un apparato in sede. Ispeziona il traffico in entrata e in uscita, applica le regole definite centralmente e blocca le minacce con prevenzione delle intrusioni, filtro web, anti-malware e controllo delle applicazioni. Le policy sono uniformi per sedi e utenti e la capacità si adegua ai volumi senza nuovo hardware. Il Firewall as a Service si integra con la SD-WAN e con un servizio di Managed Detection and Response per il monitoraggio continuo.
Che cosa fa lo ZTNA e perché supera la VPN tradizionale?
Lo ZTNA (Zero Trust Network Access) collega l'utente alla singola applicazione autorizzata, non all'intera rete. Prima di aprire la connessione verifica identità e dispositivo; le applicazioni restano invisibili a chi non ha i permessi. La VPN (Virtual Private Network) tradizionale, invece, apre all'utente autenticato l'accesso alla rete: con una credenziale rubata, un attaccante può spostarsi tra i sistemi. Per i soggetti NIS2 (Network and Information Security), lo ZTNA supporta le misure su accessi e autenticazione dell'articolo 21, come indicano l'Agenzia per la Cybersicurezza Nazionale e la Commissione europea.
L'ENISA Threat Landscape 2025 ha analizzato 4.875 incidenti: il phishing è il vettore di intrusione iniziale in circa il 60% dei casi.
SD-WAN vs MPLS vs SASE: criteri di scelta per la rete enterprise
MPLS offre qualità prevedibile ma rigida, la SD-WAN aggiunge agilità e uso intelligente di più linee, il SASE estende la protezione a utenti e cloud: la scelta dipende da applicazioni, numero di sedi e requisiti di sicurezza.
I tre modelli non sono alternative esclusive. Molte reti enterprise combinano un circuito MPLS per il traffico più sensibile, una SD-WAN che orchestra tutte le linee e servizi SASE per utenti remoti e uscite locali. Il confronto va letto alla luce di tre fattori decisivi: complessità operativa, esposizione alle minacce informatiche ed equilibrio tra costi e prestazioni.
| Criterio | MPLS tradizionale | SD-WAN | SASE |
|---|---|---|---|
| Obiettivo | Collegare le sedi con qualità garantita | Ottimizzare percorsi e applicazioni | Unire rete e sicurezza nel cloud |
| Accesso al cloud | Via sede centrale | Uscita locale con percorso ottimale | Uscita locale ispezionata dal cloud |
| Linee utilizzabili | Circuiti dell'operatore | Fibra, radio, 4G/5G, satellite, MPLS | Quelle della SD-WAN più gli utenti remoti |
| Sicurezza | Isolamento del circuito, firewall centrale | Tunnel cifrati, firewall in sede | Firewall cloud, ZTNA, CASB, filtro web |
| Nuove sedi | Settimane, con intervento tecnico | Zero-touch, configurazione automatica | Immediata per gli utenti remoti |
| Gestione | Apparato per apparato | Orchestratore centrale | Console unica rete e sicurezza |
| Modello di costo | Canone di banda, poco elastico | Mix di linee e canone per apparato | Abbonamento per utente o per sede |
La SD-WAN sostituisce completamente l'MPLS?
La SD-WAN non sostituisce necessariamente l'MPLS: spesso lo integra come una delle linee disponibili. Voce, video e gestionali possono restare sulla rete IPVPN, mentre il traffico verso Internet e cloud pubblici esce dall'accesso locale.
Dalla SD-WAN al SASE: un percorso di adozione graduale
Il passaggio a SD-WAN e SASE procede in modo graduale e tocca in genere questi ambiti: mappatura delle applicazioni, underlay ridondato, overlay SD-WAN con sicurezza integrata ed estensione del modello zero trust a utenti e cloud.
Procedere per gradi riduce rischi e investimento iniziale. La SD-WAN parte su un gruppo pilota di sedi, mentre il resto della rete resta invariato. Le funzioni SASE si attivano prima sulle uscite Internet e poi sugli accessi remoti.
- Assessment e mappatura applicativa: censimento di sedi, linee, applicazioni critiche e flussi verso data center e cloud.
- Underlay multi-tecnologia ridondato: almeno due accessi diversi per le sedi critiche, tra fibra, radio, mobile e satellite.
- Overlay SD-WAN con sicurezza integrata: apparati con firewall di nuova generazione, regole per applicazione e soglie di servizio.
- Estensione SASE e zero trust: protezione cloud delle uscite locali e accesso zero trust per gli utenti remoti.
Come si migra una rete multisede senza fermare le sedi?
Una rete multisede si migra senza fermi attivando la SD-WAN sede per sede, in parallelo alla rete esistente. Con il provisioning zero-touch l'apparato arriva in filiale, si collega a corrente e Internet e scarica la configurazione dall'orchestratore. Un caso reale gestito da Retelit nella logistica, con oltre 200 sedi e flussi critici H24, ha seguito questa logica. Ogni sede ha ricevuto connettività ridondata: fibra, ultimo miglio di altri operatori, ponti radio e backup LTE/5G, con la SD-WAN del cliente a orchestrare la rete. Approcci simili nei case study su una rete resiliente MPLS e SD-WAN nell'energia e su un'infrastruttura nazionale per il retail fashion.
Un pilota su poche sedi rappresentative permette di validare regole e soglie prima di estenderle a tutta la rete.
Servizi gestiti per SD-WAN, SASE e sicurezza cloud
Un servizio gestito di SD-WAN e sicurezza cloud riunisce funzioni di rete e protezione presso un unico fornitore o pochi partner: la gestione si semplifica e l'organizzazione accede a competenze integrate di progettazione, trasporto e sicurezza.
Il modello SASE nasce per consolidare in pochi servizi, forniti da un unico vendor o da un numero ristretto di partner, funzioni di rete e sicurezza che altrimenti richiederebbero molti fornitori diversi. Meno piattaforme da integrare significano operazioni più rapide e una gestione più semplice. In modalità gestita il valore cresce ancora, perché il servizio si combina con competenze complementari sul trasporto e sulla rete: l'organizzazione ottiene soluzioni dedicate, una progettazione esperta dell'infrastruttura e servizi integrati sotto un unico presidio.
Come si integrano SD-WAN e sicurezza in un servizio gestito?
In un servizio gestito il fornitore progetta, attiva e segue nel tempo sia la rete sia la protezione. Le funzioni di sicurezza, come firewall, prevenzione delle intrusioni, filtro web e anti-malware, risiedono negli stessi apparati SD-WAN installati nelle sedi, mentre un orchestratore centrale applica policy uniformi a tutta la rete. Il traffico verso Internet e il cloud passa dal Firewall as a Service e un SOC (Security Operations Center) monitora eventi e minacce in modo continuo. La gestione può essere affidata interamente agli specialisti del fornitore oppure condivisa con il team IT interno, che mantiene visibilità e controllo sulle configurazioni.
Anche l'infrastruttura alla base del servizio è un elemento strategico, perché per le aziende è fondamentale conoscere dove vengono trattati e conservati i propri dati: Gartner, nel Magic Quadrant for SASE Platforms 2026, indica questo aspetto tra i nuovi criteri di scelta delle piattaforme. Nel panorama italiano, Retelit eroga le proprie soluzioni SD-WAN e di sicurezza gestita su un'infrastruttura proprietaria che comprende una rete backbone di 47.000 km con capacità fino a 800 Gbps e un SOC dedicato.
Domande frequenti su SD-WAN e SASE per le organizzazioni enterprise
La SD-WAN gestisce la rete tra le sedi e sceglie il percorso migliore per ogni applicazione. Il SASE unisce rete e sicurezza in un servizio cloud che protegge anche utenti remoti e applicazioni SaaS. La SD-WAN è una componente del SASE.
Una SD-WAN con firewall di nuova generazione integrato protegge le sedi e cifra il traffico tra di esse. Il SASE serve quando molti utenti lavorano da remoto o servono policy uniformi sul SaaS.
Le due architetture supportano diverse misure dell'articolo 21 della NIS2: sicurezza delle reti, controllo degli accessi, monitoraggio. La conformità resta comunque un processo organizzativo più ampio.
La SD-WAN funziona con le connessioni di operatori diversi e non obbliga a migrare subito tutti gli accessi. L'underlay si razionalizza poi alla scadenza dei contratti.
Il SASE single-vendor è un'offerta in cui SD-WAN e sicurezza cloud arrivano dallo stesso fornitore e si gestiscono da una console unica. L'approccio dual-vendor affianca invece due specialisti, uno per la rete e uno per la sicurezza.
La SD-WAN gestita libera il team IT dall'esercizio quotidiano della rete. La gestione in autonomia è adatta a chi ha competenze di rete interne.
Con il contributo di Renzo Cavalli, Product Marketing & Go to Market, Retelit