SD-WAN vs MPLS: Arquitecturas de Enrutamiento, Latencia y Sobrecarga IPsec

La evolución de las infraestructuras de red empresariales ha posicionado a SD-WAN como el reemplazo natural de MPLS. Sin embargo, en arquitecturas de nivel corporativo (L3), la transición no es simplemente un cambio de medio de transporte físico, sino un rediseño completo de la capa de superposición (overlay) y la criptografía subyacente. Este artículo desglosa el comportamiento de la latencia determinista de MPLS frente al impacto del cifrado IPsec inherente a SD-WAN.

El Paradigma del Transporte Corporativo: MPLS vs SD-WAN Overlay#

Multi-Protocol Label Switching (MPLS) opera entre las capas 2 y 3 del modelo OSI, utilizando conmutación de etiquetas (Label Switching) para crear Circuitos Virtuales (LSPs). Su principal ventaja técnica radica en la ingeniería de tráfico estricta (Traffic Engineering - TE) y garantías de Calidad de Servicio (QoS) respaldadas por SLAs del proveedor de telecomunicaciones.

Por otro lado, SD-WAN (Software-Defined Wide Area Network) construye una capa overlay agnóstica al transporte (Internet, 4G/5G, Broadband), estableciendo túneles encriptados dinámicos de forma ubicua. Aunque SD-WAN introduce resiliencia mediante algoritmos de Forward Error Correction (FEC) y Packet Duplication, la dependencia de redes públicas no deterministas altera de manera fundamental el perfil de latencia.

Análisis de Latencia y Jitter en Entornos de Misión Crítica#

En las redes MPLS, el jitter es predecible y mínimo, ideal para el tráfico en tiempo real (protocolos industriales SCADA, telefonía IP). SD-WAN, por el contrario, mitiga las fluctuaciones de Internet usando políticas de Dynamic Path Selection basadas en sondeos de estado de enlace en tiempo real (como BFD modificado).

Midiendo el Rendimiento con Herramientas Avanzadas

Para auditar objetivamente la diferencia de comportamiento entre un enlace MPLS conmutado y un túnel SD-WAN, los ingenieros deben emplear perfiles de medición que repliquen el comportamiento de la capa de aplicación:

# Medición avanzada de ancho de banda, jitter y pérdida de paquetes usando iperf3
# El flag -u fuerza el protocolo UDP (perfil VoIP), -b define la ráfaga y -t el tiempo.
iperf3 -c 10.200.1.5 -u -b 50M -t 60 -i 1

# Diagnóstico de ruta y latencia por salto ignorando ICMP rate-limiting de carriers
mtr --tcp --port 443 --report --report-cycles 100 10.200.1.5

El Costo Computacional y de Red del Cifrado IPsec#

La postura de seguridad "Zero Trust" en arquitecturas SD-WAN exige que todo el tráfico transite cifrado, empleando túneles IPsec (frecuentemente IKEv2/ESP con criptografía AES-256-GCM). Esto introduce dos penalizaciones técnicas ineludibles: latencia de procesamiento criptográfico y sobrecarga de cabeceras (Overhead).

El overhead de IPsec añade entre 50 y 80 bytes por paquete (dependiendo del modo túnel/transporte, padding requerido y algoritmo seleccionado). Si los paquetes IP de la aplicación ya se acercan a la MTU estándar de la WAN (1500 bytes), el encapsulado IPsec excederá el límite, provocando fragmentación. La fragmentación IP devasta el rendimiento de los procesadores de red (ASICs/NPUs) y degrada el Throughput drásticamente.

Mitigación de Fragmentación: MTU y TCP MSS Clamping

Para prevenir la fragmentación a nivel de red, los arquitectos deben implementar mitigaciones preventivas, como el TCP MSS Clamping, obligando a los endpoints a negociar un tamaño de segmento TCP más pequeño durante el Three-way Handshake.

# Playbook de Ansible para ajustar MTU y MSS en un Cisco SD-WAN Edge (vEdge/cEdge)
- name: Optimizar MTU/MSS en interfaces de túnel IPsec
  cisco.ios.ios_config:
    lines:
      - ip mtu 1400
      - ip tcp adjust-mss 1360
    parents: interface Tunnel100
  register: mss_optimization

En entornos de SD-WAN virtualizados basados en instancias Linux (VyOS, pfSense, TNSR), el ajuste se inyecta directamente a nivel del kernel mediante netfilter:

# Ajuste dinámico de TCP MSS usando iptables en gateways de enrutamiento Linux
iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN \
         -o ipsec0 -j TCPMSS --set-mss 1360

Nota Importante: La elección entre MPLS y SD-WAN no debe ser estrictamente binaria en entornos corporativos. La implementación de topologías Hybrid WAN permite enrutar tráfico UDP ultra-sensible a la latencia (videoconferencias empresariales, telemetría) a través de los LSPs de MPLS, mientras que el tráfico de gran volumen y alta latencia tolerable (sincronización de backups, SaaS) se descarga mediante túneles SD-WAN sobre Internet, usando políticas de Application-Aware Routing.

Conclusión#

Migrar de MPLS a SD-WAN trasciende la simple optimización de presupuestos de conectividad; exige un rediseño de la ingeniería de tráfico. El éxito de un despliegue B2B radica en comprender la no linealidad de Internet, mitigar el costo del cifrado IPsec en hardware y orquestar políticas de MTU/MSS precisas, garantizando que la agilidad del overlay virtualizado no comprometa el SLA de las aplicaciones críticas.