SD-WAN overlay vs underlay: differenze, vantaggi e best practice

Quando si parla di SD-WAN, la distinzione tra overlay e underlay è fondamentale. È proprio dall’integrazione tra questi due livelli che nascono WAN moderne, più flessibili di MPLS puro, più robuste di semplici VPN site‑to‑site e soprattutto pronte per un’evoluzione verso modelli SASE. Capire bene come interagiscono overlay e underlay aiuta a evitare errori di progettazione che possono compromettere performance, resilienza e sicurezza.

Underlay: la rete “fisica” che fa da fondamenta

L’underlay è l’infrastruttura di trasporto “grezza” sulla quale si appoggia tutto il resto. In pratica include:

circuiti MPLS forniti dagli operatori;
linee Internet dedicate (DIA) e broadband (FTTH, FTTC, xDSL);
collegamenti 4G/5G, spesso usati come backup o per sedi remote;
ponti radio, link punto‑punto, dorsali in fibra tra siti;
componenti di routing e switching che instradano i pacchetti IP.

L’underlay si occupa quindi di portare i pacchetti da un punto all’altro. Parametri come latenza, jitter, perdita di pacchetti, disponibilità dei link e SLA dipendono in gran parte da come è progettato e da quali tecnologie utilizza. In molte realtà moderne, l’underlay è una Hybrid WAN che combina MPLS, Internet e connettività mobile. Se vuoi un confronto più ampio tra questi approcci, può aiutare leggere anche un approfondimento su MPLS vs SD-WAN.

Overlay SD-WAN: la rete virtuale intelligente sopra l’underlay

L’overlay SD-WAN è la rete logica, virtuale, che si costruisce sopra l’underlay usando tunnel sicuri tra le sedi. Gli edge device SD-WAN (o appliance virtuali nel cloud) creano overlay end‑to‑end con tecnologie come:

IPsec o GRE per cifrare e incapsulare il traffico;
protocolli proprietari SD-WAN che trasportano anche metadati per la telemetria;
meccanismi di segmentazione (VRF, overlay network) per separare traffico utente, server, IoT, guest.

L’overlay vede l’underlay come un insieme di “tubi” disponibili e decide, tramite policy, come usare ogni collegamento per ogni applicazione. Questo è il cuore del routing application‑aware tipico della SD-WAN.

Overlay vs underlay: cosa fa ciascuno (e cosa no)

Aspetto	Underlay	Overlay SD-WAN
Cos’è	Rete di trasporto fisica (MPLS, Internet, 4G/5G, fibra)	Rete logica di tunnel e segmenti che usa l’underlay
Responsabilità	Portare pacchetti IP con certe caratteristiche di qualità	Instradare flussi in base a app, policy, sicurezza
Gestione	Router, routing tradizionale, QoS di base	Controller SD-WAN, intent‑based policy, telemetria
Visibilità	Per link, per interfaccia, per indirizzi IP	Per applicazione, per utente, per business unit
Sicurezza	Dipende da provider e da configurazioni locali	Cifratura integrata, segmentazione, integrazione con SASE

Perché un buon underlay è ancora cruciale

L’SD-WAN non è magia: un overlay eccellente non può compensare un underlay scadente. Alcuni esempi:

se una linea ha latenza molto alta, l’overlay può evitare di usarla per il VoIP, ma non può ridurre fisicamente la latenza;
se mancano collegamenti ridondanti, il failover avrà meno opzioni e la resilienza ne risente;
se il carrier MPLS non garantisce SLA adeguati, l’esperienza complessiva resterà limitata.

Per questo, un buon progetto SD-WAN parte sempre da un underlay solido: mix di connettività, ridondanza, scelta ragionata tra MPLS e Internet, e attenzione anche al tema VPN vs SD-WAN. Su questo tema puoi approfondire con l’articolo dedicato SD-WAN vs VPN.

Cosa abilita l’overlay SD-WAN sopra un buon underlay

Una volta che l’underlay è definito, l’overlay SD-WAN è quello che dà valore reale alla WAN:

Application‑aware routing: decide il percorso in base al tipo di traffico (VoIP, ERP, SaaS, backup), agli SLA e alle metriche in tempo reale.
Aggregazione multi‑link: combina MPLS, Internet e 5G, spostando dinamicamente il traffico in base a latenza, perdita pacchetti e saturazione.
Segmentazione logica: crea overlay separati per uffici centrali, filiali, IoT, ospiti e ambienti sensibili, migliorando sicurezza e isolamento.
Sicurezza integrata: cifratura dei tunnel, firewall integrati, integrazione con servizi SASE e Zero Trust per accesso sicuro a Internet e cloud.
Gestione centralizzata: un controller definisce le policy una volta sola e le distribuisce automaticamente agli edge.

È proprio in questa componente overlay che si collega anche la discussione più ampia SD-WAN vs SASE. Se vuoi una panoramica completa di come la rete overlay si integra con la sicurezza cloud‑native, vale la pena vedere l’approfondimento SD-WAN vs SASE.

Overlay vs underlay: esempi di design concreti

Consideriamo uno scenario tipico:

Headquarter con doppia connessione: MPLS e Internet dedicata.
Filiali principali con Internet business + backup 4G/5G.
Micro sedi o negozi con solo accesso Internet broadband.

Qui:

l’underlay è l’insieme di tutti questi collegamenti (con relativi SLA e caratteristiche);
l’overlay SD-WAN costruisce una topologia logica (full‑mesh o hub‑and‑spoke) con tunnel cifrati tra sedi, data center ed eventualmente cloud pubblico.

L’overlay può decidere, ad esempio, che:

il traffico VoIP e di collaboration passi su MPLS o su DIA;
i backup massivi usino solo Internet a basso costo;
in caso di guasto Internet in una filiale, parte del traffico critico venga spostato automaticamente su 5G.

Come progetta overlay e underlay un partner come Epiclink

Per molte aziende, il problema non è capire “overlay vs underlay” in teoria, ma tradurre questa distinzione in un progetto concreto, con budget, SLA e roadmap chiari. Qui entra in gioco il ruolo di un service provider specializzato come Epiclink.

In pratica, Epiclink può:

analizzare la WAN esistente (MPLS, VPN, link Internet, 4G/5G) e classificare i flussi applicativi;
progettare un underlay ibrido che combini linee affidabili e ridondanti, scegliendo tecnologia e operatori più adatti per ogni sede;
definire l’overlay SD-WAN con policy application‑aware, segmentazione e integrazione con data center e cloud;
gestire in modo coordinato la transizione: migrazione da MPLS o VPN tradizionali alla nuova architettura, senza downtime;
offrire servizi gestiti di monitoraggio, allarmi, reportistica e supporto H24.

Questo approccio permette di affrontare anche confronti complessi (ad esempio SD-WAN vs VPN o SD-WAN vs MPLS) con numeri alla mano, valutando non solo la tecnologia ma l’impatto su costi, performance e sicurezza nel tempo.

Overlay, underlay e roadmap verso SASE

Una volta che overlay e underlay sono ben progettati, diventa naturale chiedersi come entra nel quadro il concetto di SASE. In breve:

l’underlay continua a fornire trasporto fisico;
l’overlay SD-WAN resta la “spina dorsale logica” della WAN;
il piano SASE aggiunge un layer di sicurezza e controllo accessi erogato dal cloud (ZTNA, SWG, CASB, DLP, FWaaS) che si integra proprio con l’overlay.

Per molte aziende, la roadmap è: partire da una SD-WAN overlay ben fatta su un underlay ibrido, per poi integrare progressivamente i controlli SASE dove ha più senso (smart working, SaaS, accesso Internet diretto dalle filiali). L’articolo SD-WAN vs SASE entra nel dettaglio di questi scenari.

Conclusioni: overlay e underlay come strati di un’unica strategia WAN

In conclusione, parlare di SD-WAN overlay vs underlay non significa scegliere l’uno o l’altro, ma assegnare a ciascuno il ruolo corretto:

l’underlay è la base fisica, che deve essere affidabile, ridondata e dimensionata in modo coerente con il carico;
l’overlay SD-WAN è lo strato intelligente che sfrutta al massimo l’underlay, garantendo routing per applicazione, sicurezza e gestione centralizzata.

Con un partner come Epiclink, questa distinzione si traduce in un progetto concreto: dalla valutazione della rete attuale, alla scelta tra MPLS, Internet e VPN, fino all’adozione di SD-WAN e – quando sarà il momento giusto – alla convergenza verso SASE. Così overlay e underlay diventano gli strati di una WAN davvero pronta per il cloud, il lavoro distribuito e le sfide dei prossimi anni.

epiclink