🥇تحليل أكثر شبكات SD-WAN ديمقراطية: الهندسة المعمارية والتكوين والإدارة والمزالق

انطلاقا من عدد الأسئلة التي بدأت تصل إلينا عبر SD-WAN، بدأت التكنولوجيا تتجذر بشكل كامل في روسيا. من الطبيعي أن البائعين ليسوا نائمين ويقدمون مفاهيمهم، وبعض الرواد الشجعان يقومون بالفعل بتنفيذها على شبكاتهم.

نحن نعمل مع جميع البائعين تقريبًا، وعلى مدى عدة سنوات في مختبرنا تمكنت من التعمق في بنية كل مطور رئيسي للحلول المعرفة بالبرمجيات. تقف SD-WAN من Fortinet متباعدة قليلاً هنا، والتي قامت ببساطة ببناء وظيفة موازنة حركة المرور بين قنوات الاتصال في برنامج جدار الحماية. الحل ديمقراطي إلى حد ما، لذلك عادة ما يتم أخذه بعين الاعتبار من قبل الشركات التي ليست مستعدة بعد للتغيرات العالمية، ولكنها ترغب في استخدام قنوات الاتصال الخاصة بها بشكل أكثر فعالية.

في هذه المقالة، أريد أن أخبرك بكيفية تكوين SD-WAN من Fortinet والعمل معها، ومن يناسب هذا الحل وما هي المخاطر التي قد تواجهها هنا.

يمكن تصنيف أبرز اللاعبين في سوق SD-WAN إلى نوعين:

1. الشركات الناشئة التي أنشأت حلول SD-WAN من الصفر. أنجح هذه الشركات تحصل على دفعة كبيرة للتطوير بعد أن اشترتها شركات كبيرة - هذه هي قصة Cisco/Viptela، VMWare/VeloCloud، Nuage/Nokia

2. كبار بائعي الشبكات الذين ابتكروا حلول SD-WAN، وقاموا بتطوير قابلية البرمجة والإدارة لأجهزة التوجيه التقليدية الخاصة بهم - هذه هي قصة Juniper وHuawei

تمكنت Fortinet من إيجاد طريقها. يحتوي برنامج جدار الحماية على وظيفة مدمجة تتيح إمكانية دمج واجهاته في قنوات افتراضية وموازنة الحمل بينها باستخدام خوارزميات معقدة مقارنةً بالتوجيه التقليدي. هذه الوظيفة كانت تسمى SD-WAN. هل يمكن تسمية ما يسمى Fortinet بـ SD-WAN؟ يفهم السوق تدريجيًا أن التعريف بالبرمجيات يعني فصل مستوى التحكم عن مستوى البيانات ووحدات التحكم المخصصة والمنسقين. Fortinet ليس لديه شيء من هذا القبيل. تعتبر الإدارة المركزية اختيارية ويتم تقديمها من خلال أداة Fortimanager التقليدية. لكن في رأيي، لا ينبغي عليك البحث عن الحقيقة المجردة وإضاعة الوقت في الجدال حول المصطلحات. في العالم الحقيقي، كل نهج له مزاياه وعيوبه. أفضل طريقة للخروج هي فهمها والقدرة على اختيار الحلول التي تتوافق مع المهام.

سأحاول أن أخبرك باستخدام لقطات الشاشة في متناول اليد كيف تبدو شبكة SD-WAN من Fortinet وما يمكن أن تفعله.

كيف يعمل كل شيء

لنفترض أن لديك فرعين متصلين بقناتين للبيانات. يتم دمج روابط البيانات هذه في مجموعة، على غرار كيفية دمج واجهات Ethernet العادية في قناة منفذ LACP. سوف يتذكر القدامى PPP Multilink - وهو أيضًا تشبيه مناسب. يمكن أن تكون القنوات منافذ فعلية، أو VLAN SVI، بالإضافة إلى أنفاق VPN أو GRE.

يتم استخدام VPN أو GRE عادةً عند الاتصال بالشبكات المحلية الفرعية عبر الإنترنت. والمنافذ الفعلية - إذا كانت هناك اتصالات L2 بين المواقع، أو عند الاتصال عبر MPLS/VPN مخصص، إذا كنا راضين عن الاتصال بدون تراكب وتشفير. هناك سيناريو آخر يتم فيه استخدام المنافذ الفعلية في مجموعة SD-WAN وهو موازنة الوصول المحلي للمستخدمين إلى الإنترنت.

يوجد في جناحنا أربعة جدران حماية ونفقان للشبكة الافتراضية الخاصة (VPN) يعملان من خلال "مشغلي اتصالات" اثنين. الرسم البياني يبدو مثل هذا:

يتم تكوين أنفاق VPN في وضع الواجهة بحيث تشبه الاتصالات من نقطة إلى نقطة بين الأجهزة التي لها عناوين IP على واجهات P2P، والتي يمكن اختبارها لضمان عمل الاتصال عبر نفق معين. من أجل تشفير حركة المرور والذهاب إلى الجانب الآخر، يكفي توجيهها إلى النفق. البديل هو تحديد حركة المرور للتشفير باستخدام قوائم الشبكات الفرعية، الأمر الذي يربك المسؤول بشكل كبير حيث يصبح التكوين أكثر تعقيدًا. في شبكة كبيرة، يمكنك استخدام تقنية ADVPN لإنشاء شبكة VPN؛ وهي نظير لـ DMVPN من Cisco أو DVPN من Huawei، مما يسمح بإعداد أسهل.

تكوين VPN من موقع إلى موقع لجهازين مع توجيه BGP على كلا الجانبين


«ЦОД» (DC)

«Филиал» (BRN)
config system interface

 edit "WAN1"

  set vdom "Internet"

  set ip 1.1.1.1 255.255.255.252

  set allowaccess ping

  set role wan

  set interface "DC-BRD"

  set vlanid 111

 next 

 edit "WAN2"

  set vdom "Internet"

  set ip 3.3.3.1 255.255.255.252

  set allowaccess ping

  set role lan

  set interface "DC-BRD"

  set vlanid 112

 next

 edit "BRN-Ph1-1"

  set vdom "Internet"

  set ip 192.168.254.1 255.255.255.255

  set allowaccess ping

  set type tunnel

  set remote-ip 192.168.254.2 255.255.255.255

  set interface "WAN1"

 next

 edit "BRN-Ph1-2"

  set vdom "Internet"

  set ip 192.168.254.3 255.255.255.255

  set allowaccess ping

  set type tunnel

  set remote-ip 192.168.254.4 255.255.255.255

  set interface "WAN2"

 next

end
config vpn ipsec phase1-interface

 edit "BRN-Ph1-1"

  set interface "WAN1"

  set local-gw 1.1.1.1

  set peertype any

  set net-device disable

  set proposal aes128-sha1

  set dhgrp 2

  set remote-gw 2.2.2.1

  set psksecret ***

 next

 edit "BRN-Ph1-2"

  set interface "WAN2"

  set local-gw 3.3.3.1

  set peertype any

  set net-device disable

  set proposal aes128-sha1

  set dhgrp 2

  set remote-gw 4.4.4.1

  set psksecret ***

 next

end
config vpn ipsec phase2-interface

 edit "BRN-Ph2-1"

  set phase1name "BRN-Ph1-1"

  set proposal aes256-sha256

  set dhgrp 2

 next

 edit "BRN-Ph2-2"

  set phase1name "BRN-Ph1-2"

  set proposal aes256-sha256

  set dhgrp 2

 next

end
config router static

 edit 1

  set gateway 1.1.1.2

  set device "WAN1"

 next

 edit 3

  set gateway 3.3.3.2

  set device "WAN2"

 next

end
config router bgp

 set as 65002

 set router-id 10.1.7.1

 set ebgp-multipath enable

 config neighbor

  edit "192.168.254.2"

   set remote-as 65003

  next

  edit "192.168.254.4"

   set remote-as 65003

  next

 end
 config network

  edit 1

   set prefix 10.1.0.0 255.255.0.0

  next

end 
config system interface

 edit "WAN1"

  set vdom "Internet"

  set ip 2.2.2.1 255.255.255.252

  set allowaccess ping

  set role wan

  set interface "BRN-BRD"

  set vlanid 111

 next

 edit "WAN2"

  set vdom "Internet"

  set ip 4.4.4.1 255.255.255.252

  set allowaccess ping

  set role wan

  set interface "BRN-BRD"

  set vlanid 114

 next

 edit "DC-Ph1-1"

  set vdom "Internet"

  set ip 192.168.254.2 255.255.255.255

  set allowaccess ping

  set type tunnel

  set remote-ip 192.168.254.1 255.255.255.255

  set interface "WAN1"

 next

 edit "DC-Ph1-2"

  set vdom "Internet"

  set ip 192.168.254.4 255.255.255.255

  set allowaccess ping

  set type tunnel

  set remote-ip 192.168.254.3 255.255.255.255

  set interface "WAN2"

 next

end
config vpn ipsec phase1-interface

  edit "DC-Ph1-1"

   set interface "WAN1"

   set local-gw 2.2.2.1

   set peertype any

   set net-device disable

   set proposal aes128-sha1

   set dhgrp 2

   set remote-gw 1.1.1.1

   set psksecret ***

  next

  edit "DC-Ph1-2"

   set interface "WAN2"

   set local-gw 4.4.4.1

   set peertype any

   set net-device disable

   set proposal aes128-sha1

   set dhgrp 2

   set remote-gw 3.3.3.1

   set psksecret ***

  next

end
config vpn ipsec phase2-interface

  edit "DC-Ph2-1"

   set phase1name "DC-Ph1-1"

   set proposal aes128-sha1

   set dhgrp 2

  next

  edit "DC2-Ph2-2"

   set phase1name "DC-Ph1-2"

   set proposal aes128-sha1

   set dhgrp 2

  next

end
config router static

 edit 1

  set gateway 2.2.2.2

  et device "WAN1"

 next

 edit 3

  set gateway 4.4.4.2

  set device "WAN2"

 next

end
config router bgp

  set as 65003

  set router-id 10.200.7.1

  set ebgp-multipath enable

  config neighbor

   edit "192.168.254.1"

    set remote-as 65002

   next

  edit "192.168.254.3"

   set remote-as 65002

   next

  end
  config network

   edit 1

    set prefix 10.200.0.0 255.255.0.0

   next

end

أنا أقدم التكوين في شكل نص، لأنه، في رأيي، يعد تكوين VPN بهذه الطريقة أكثر ملاءمة. جميع الإعدادات تقريبًا هي نفسها على كلا الجانبين، ويمكن إجراؤها في شكل نص كنسخ ولصق. إذا فعلت الشيء نفسه في واجهة الويب، فمن السهل أن ترتكب خطأً - انسَ علامة الاختيار في مكان ما، وأدخل القيمة الخاطئة.

بعد أن أضفنا الواجهات إلى الحزمة

يمكن لجميع المسارات وسياسات الأمان الرجوع إليها، وليس إلى الواجهات المضمنة فيها. كحد أدنى، تحتاج إلى السماح بحركة المرور من الشبكات الداخلية إلى SD-WAN. عند إنشاء قواعد لها، يمكنك تطبيق إجراءات الحماية مثل IPS ومكافحة الفيروسات والكشف عن HTTPS.

تم تكوين قواعد SD-WAN للحزمة. هذه هي القواعد التي تحدد خوارزمية الموازنة لحركة مرور محددة. وهي تشبه سياسات التوجيه في التوجيه المستند إلى السياسة، فقط نتيجة لوقوع حركة المرور ضمن السياسة، فهي ليست الخطوة التالية أو الواجهة الصادرة المعتادة التي تم تثبيتها، ولكن الواجهات المضافة إلى حزمة SD-WAN بالإضافة إلى خوارزمية موازنة حركة المرور بين هذه الواجهات.

يمكن فصل حركة المرور عن التدفق العام عن طريق معلومات L3-L4، والتطبيقات المعروفة، وخدمات الإنترنت (URL وIP)، بالإضافة إلى المستخدمين المعروفين لمحطات العمل وأجهزة الكمبيوتر المحمولة. بعد ذلك، يمكن تعيين إحدى خوارزميات الموازنة التالية لحركة المرور المخصصة:

في قائمة تفضيلات الواجهة، يتم تحديد تلك الواجهات من تلك التي تمت إضافتها بالفعل إلى الحزمة التي ستخدم هذا النوع من حركة المرور. من خلال إضافة ليس كل الواجهات، يمكنك تحديد القنوات التي تستخدمها بالضبط، على سبيل المثال، البريد الإلكتروني، إذا كنت لا تريد تحميل القنوات باهظة الثمن باتفاقية مستوى الخدمة العالية معها. في FortiOS 6.4.1، أصبح من الممكن تجميع الواجهات المضافة إلى حزمة SD-WAN في مناطق، مما يؤدي، على سبيل المثال، إلى إنشاء منطقة واحدة للاتصال بالمواقع البعيدة وأخرى للوصول إلى الإنترنت المحلي باستخدام NAT. نعم، نعم، يمكن أيضًا موازنة حركة المرور التي تذهب إلى الإنترنت العادي.

حول موازنة الخوارزميات

فيما يتعلق بكيفية قيام Fortigate (جدار الحماية من Fortinet) بتقسيم حركة المرور بين القنوات، هناك خياران مثيران للاهتمام غير شائعين جدًا في السوق:

أقل تكلفة (SLA) - من بين جميع الواجهات التي تلبي اتفاقية مستوى الخدمة في الوقت الحالي، يتم اختيار الواجهة ذات الوزن (التكلفة) الأقل، والتي يتم تعيينها يدويًا بواسطة المسؤول؛ هذا الوضع مناسب لحركة المرور "المجمّعة" مثل النسخ الاحتياطية ونقل الملفات.

أفضل جودة (SLA) - يمكن لهذه الخوارزمية، بالإضافة إلى التأخير المعتاد والارتعاش وفقدان حزم Fortigate، أيضًا استخدام حمل القناة الحالي لتقييم جودة القنوات؛ هذا الوضع مناسب لحركة المرور الحساسة مثل VoIP ومؤتمرات الفيديو.

تتطلب هذه الخوارزميات إعداد مقياس أداء قناة الاتصال - SLA للأداء. يراقب هذا المقياس بشكل دوري (فاصل زمني للفحص) معلومات حول الامتثال لاتفاقية مستوى الخدمة: فقدان الحزمة والتأخير (زمن الوصول) والارتعاش (الارتعاش) في قناة الاتصال، ويمكنه "رفض" تلك القنوات التي لا تستوفي حاليًا حدود الجودة - فهي تخسر عدد كبير جدًا من الحزم أو تواجه وقتًا طويلاً جدًا. بالإضافة إلى ذلك، يراقب المقياس حالة القناة، ويمكنه إزالتها مؤقتًا من الحزمة في حالة تكرار فقدان الاستجابات (الفشل قبل أن تكون غير نشطة). عند الاستعادة، بعد عدة استجابات متتالية (استعادة الارتباط بعد)، سيعيد جهاز القياس القناة تلقائيًا إلى الحزمة، وسيبدأ نقل البيانات من خلالها مرة أخرى.

هذا ما يبدو عليه إعداد "العداد":

في واجهة الويب، يتوفر طلب ICMP-Echo وHTTP-GET وطلب DNS كبروتوكولات اختبار. هناك المزيد من الخيارات في سطر الأوامر: تتوفر خيارات TCP-echo وUDP-echo، بالإضافة إلى بروتوكول متخصص لقياس الجودة - TWAMP.

يمكن أيضًا رؤية نتائج القياس في واجهة الويب:

وعلى سطر الأوامر:

استكشاف الأخطاء وإصلاحها

إذا قمت بإنشاء قاعدة، ولكن كل شيء لا يعمل كما هو متوقع، فيجب عليك إلقاء نظرة على قيمة عدد الزيارات في قائمة قواعد SD-WAN. سيوضح ما إذا كانت حركة المرور تندرج ضمن هذه القاعدة على الإطلاق:

في صفحة إعدادات جهاز القياس نفسه، يمكنك رؤية التغيير في معلمات القناة بمرور الوقت. يشير الخط المنقط إلى قيمة عتبة المعلمة

في واجهة الويب، يمكنك معرفة كيفية توزيع حركة المرور حسب كمية البيانات المرسلة/المستقبلة وعدد الجلسات:

بالإضافة إلى كل هذا، هناك فرصة ممتازة لتتبع مرور الحزم بأقصى قدر من التفاصيل. عند العمل في شبكة حقيقية، يقوم تكوين الجهاز بتجميع العديد من سياسات التوجيه وجدار الحماية وتوزيع حركة المرور عبر منافذ SD-WAN. يتفاعل كل هذا مع بعضها البعض بطريقة معقدة، وعلى الرغم من أن البائع يوفر مخططات تفصيلية لخوارزميات معالجة الحزم، فمن المهم جدًا ألا تكون قادرًا على بناء واختبار النظريات، ولكن معرفة أين تذهب حركة المرور فعليًا.

على سبيل المثال، مجموعة الأوامر التالية

diagnose debug flow filter saddr 10.200.64.15 diagnose debug flow filter daddr 10.1.7.2 diagnose debug flow show function-name diagnose debug enable diagnose debug trace 2

يسمح لك بتتبع حزمتين بعنوان المصدر 10.200.64.15 وعنوان الوجهة 10.1.7.2.
نقوم باختبار اتصال 10.7.1.2 من 10.200.64.15 مرتين وننظر إلى الإخراج على وحدة التحكم.

الحزمة الأولى:

الحزمة الثانية:

هذه هي الحزمة الأولى التي يتلقاها جدار الحماية:
id=20085 trace_id=475 func=print_pkt_detail line=5605 msg="vd-Internet:0 received a packet(proto=1, 10.200.64.15:42->10.1.7.2:2048) from DMZ-Office. type=8, code=0, id=42, seq=0." VDOM – Internet, Proto=1 (ICMP), DMZ-Office – название L3-интерфейса. Type=8 – Echo.

تم إنشاء جلسة جديدة له:
msg="allocate a new session-0006a627"

وتم العثور على تطابق في إعدادات سياسة التوجيه
msg="Match policy routing id=2136539137: to 10.1.7.2 via ifindex-110"

اتضح أنه يجب إرسال الحزمة إلى أحد أنفاق VPN:
"find a route: flag=04000000 gw-192.168.254.1 via DC-Ph1-1"

تم اكتشاف قاعدة السماح التالية في سياسات جدار الحماية:
msg="Allowed by Policy-3:"

يتم تشفير الحزمة وإرسالها إلى نفق VPN:
func=ipsecdev_hard_start_xmit line=789 msg="enter IPsec interface-DC-Ph1-1" func=_ipsecdev_hard_start_xmit line=666 msg="IPsec tunnel-DC-Ph1-1" func=esp_output4 line=905 msg="IPsec encrypt/auth"

يتم إرسال الحزمة المشفرة إلى عنوان البوابة لواجهة WAN هذه:
msg="send to 2.2.2.2 via intf-WAN1"

بالنسبة للحزمة الثانية، يحدث كل شيء بشكل مشابه، ولكن يتم إرسالها إلى نفق VPN آخر وتغادر عبر منفذ جدار حماية مختلف:
func=ipsecdev_hard_start_xmit line=789 msg="enter IPsec interface-DC-Ph1-2" func=_ipsecdev_hard_start_xmit line=666 msg="IPsec tunnel-DC-Ph1-2" func=esp_output4 line=905 msg="IPsec encrypt/auth" func=ipsec_output_finish line=622 msg="send to 4.4.4.2 via intf-WAN2"

إيجابيات الحل

وظائف موثوقة وواجهة سهلة الاستخدام. تم الحفاظ على مجموعة الميزات التي كانت متوفرة في FortiOS قبل ظهور SD-WAN بالكامل. وهذا يعني أننا لا نملك برامج مطورة حديثًا، بل لدينا نظام ناضج من أحد موردي جدار الحماية المعتمدين. مع مجموعة تقليدية من وظائف الشبكة، وواجهة ويب مريحة وسهلة التعلم. كم عدد بائعي SD-WAN الذين يتمتعون، على سبيل المثال، بوظيفة Remote-Access VPN على الأجهزة النهائية؟

مستوى الأمان 80 يعد FortiGate أحد أفضل حلول جدار الحماية. هناك الكثير من المواد على الإنترنت حول إعداد وإدارة جدران الحماية، ويوجد في سوق العمل العديد من المتخصصين في مجال الأمن الذين أتقنوا بالفعل حلول البائع.

سعر صفر لوظيفة SD-WAN. إن بناء شبكة SD-WAN على FortiGate يكلف نفس تكلفة بناء شبكة WAN عادية عليها، نظرًا لعدم الحاجة إلى تراخيص إضافية لتنفيذ وظيفة SD-WAN.

انخفاض سعر حاجز الدخول. يتمتع Fortigate بتدرج جيد للأجهزة لمستويات الأداء المختلفة. تعد النماذج الأصغر حجمًا والأكثر تكلفة مناسبة تمامًا لتوسيع مكتب أو نقطة بيع من قبل 3-5 موظفين على سبيل المثال. العديد من البائعين ببساطة ليس لديهم مثل هذه النماذج منخفضة الأداء وبأسعار معقولة.

أداء عالي. إن تقليل وظائف SD-WAN إلى موازنة حركة المرور سمح للشركة بإصدار SD-WAN ASIC متخصص، بفضل تشغيل SD-WAN لا يقلل من أداء جدار الحماية ككل.

القدرة على تنفيذ مكتب كامل على أجهزة فورتينت. هذان زوجان من جدران الحماية والمفاتيح ونقاط وصول Wi-Fi. من السهل والمريح إدارة مثل هذا المكتب - حيث يتم تسجيل المفاتيح ونقاط الوصول على جدران الحماية وإدارتها منها. على سبيل المثال، هذا ما قد يبدو عليه منفذ المحول من واجهة جدار الحماية التي تتحكم في هذا المحول:

عدم وجود وحدات تحكم كنقطة فشل واحدة. يركز البائع نفسه على هذا، ولكن لا يمكن تسمية هذا إلا بفائدة جزئية، لأنه بالنسبة لأولئك البائعين الذين لديهم وحدات تحكم، فإن ضمان تحمل الأخطاء غير مكلف، وغالبًا ما يكون ذلك على حساب كمية صغيرة من موارد الحوسبة في بيئة افتراضية.

ما الذي تبحث عنه

لا يوجد فصل بين مستوى التحكم ومستوى البيانات. وهذا يعني أنه يجب تكوين الشبكة إما يدويًا أو باستخدام أدوات الإدارة التقليدية المتوفرة بالفعل - FortiManager. بالنسبة للبائعين الذين قاموا بتنفيذ مثل هذا الفصل، يتم تجميع الشبكة نفسها. قد يحتاج المسؤول فقط إلى ضبط طبولوجيته، أو حظر شيء ما في مكان ما، لا أكثر. ومع ذلك، فإن الورقة الرابحة لـ FortiManager هي أنه لا يمكنه إدارة جدران الحماية فحسب، بل أيضًا المحولات ونقاط الوصول إلى Wi-Fi، أي الشبكة بأكملها تقريبًا.

زيادة مشروطة في القدرة على التحكم. نظرًا لاستخدام الأدوات التقليدية لأتمتة تكوين الشبكة، فإن إمكانية إدارة الشبكة مع إدخال SD-WAN تزداد قليلاً. من ناحية أخرى، تصبح الوظائف الجديدة متاحة بشكل أسرع، حيث يقوم البائع أولاً بإصدارها فقط لنظام تشغيل جدار الحماية (مما يجعل من الممكن استخدامها على الفور)، وبعد ذلك فقط يكمل نظام الإدارة بالواجهات اللازمة.

قد تكون بعض الوظائف متاحة من سطر الأوامر، ولكنها غير متوفرة من واجهة الويب. في بعض الأحيان، لا يكون الدخول إلى سطر الأوامر لتكوين شيء ما مخيفًا جدًا، ولكن من المخيف ألا ترى في واجهة الويب أن شخصًا ما قد قام بالفعل بتكوين شيء ما من سطر الأوامر. ولكن هذا ينطبق عادةً على أحدث الميزات، ويتم تحسين إمكانيات واجهة الويب تدريجيًا مع تحديثات FortiOS.

لتناسب

بالنسبة لأولئك الذين ليس لديهم العديد من الفروع. إن تنفيذ حل SD-WAN بمكونات مركزية معقدة على شبكة مكونة من 8 إلى 10 فروع قد لا يكلف الكثير - سيتعين عليك إنفاق الأموال على تراخيص أجهزة SD-WAN وموارد نظام المحاكاة الافتراضية لاستضافة المكونات المركزية. عادة ما يكون لدى الشركة الصغيرة موارد حاسوبية مجانية محدودة. في حالة Fortinet، يكفي شراء جدران الحماية ببساطة.

بالنسبة لأولئك الذين لديهم الكثير من الفروع الصغيرة. بالنسبة للعديد من البائعين، يكون الحد الأدنى لسعر الحل لكل فرع مرتفعًا جدًا وقد لا يكون مثيرًا للاهتمام من وجهة نظر أعمال العميل النهائي. تقدم Fortinet أجهزة صغيرة بأسعار مغرية للغاية.

بالنسبة لأولئك الذين ليسوا على استعداد للمضي قدمًا بعد. قد يكون تنفيذ SD-WAN مع وحدات التحكم، وتوجيه الملكية، واتباع نهج جديد لتخطيط الشبكة وإدارتها، خطوة كبيرة جدًا بالنسبة لبعض العملاء. نعم، سيساعد هذا التنفيذ في النهاية على تحسين استخدام قنوات الاتصال وعمل المسؤولين، ولكن عليك أولاً أن تتعلم الكثير من الأشياء الجديدة. بالنسبة لأولئك الذين ليسوا مستعدين بعد لإجراء نقلة نوعية، ولكنهم يريدون الضغط أكثر على قنوات الاتصال الخاصة بهم، فإن الحل الذي تقدمه Fortinet هو الحل المناسب تمامًا.

المصدر: www.habr.com

تحليل أكثر أنظمة SD-WAN ديمقراطية: الهندسة المعمارية والتكوين والإدارة والمزالق