Soudě podle počtu dotazů, které k nám začaly přicházet ohledně SD-WAN, se technologie konečně začala usazovat v Rusku. Dodavatelé, pochopitelně, nezahálejí a nabízejí své koncepty, a někteří odvážní průkopníci je již zavádějí ve svých sítích.
Spolupracujeme téměř se všemi dodavateli a za několik let jsem měl možnost podívat se do architektury každého významného vývojáře softwarově definovaných řešení. Trochu výjimečné je SD-WAN od Fortinet, které prostě integrovalo funkci vyvažování provozu mezi komunikačními kanály do softwaru firewally. Toto řešení je spíše demokratické, proto se obvykle zvažuje v firnách, které zatím nejsou připraveny na globální změny, ale chtějí efektivněji využívat své komunikační kanály.
V tomto článku chci říci, jak nastavit a pracovat se SD-WAN od Fortinet, komu se toto řešení hodí a na jaké nástrahy se zde dá narazit.
Nejvýraznější hráče na trhu SD-WAN můžeme rozdělit do dvou typů:
1. Startupy, které vytvořily SD-WAN řešení od základu. Nejúspěšnější z nich získávají obrovský impuls k rozvoji po koupi velkými firmami – to je příběh Cisco/Viptela, VMware/VeloCloud, Nuage/Nokia.
2. Velcí síťoví dodavatelé, kteří vytvořili SD-WAN řešení rozvojem programovatelnosti a spravovatelnosti svých tradičních směrovačů – to je příběh Juniper, Huawei.
Fortinet se podařilo najít svoji cestu. Do softwaru firewallů byla integrována funkce umožňující spojování jejich rozhraní do virtuálních kanálů a vyvažování zátěže mezi nimi pomocí složitějších algoritmů ve srovnání s běžným směrováním. Tato funkce se nazývá SD-WAN. Lze to, co udělal Fortinet, nazvat SD-WAN? Na trhu se postupně ustaluje pochopení, že Software-Defined znamená oddělení Control Plane od Data Plane, vyhrazené kontrolery a orchestrátory. U Fortinet takové věci nejsou. Centralizované řízení je volitelné a nabízí se pomocí tradičního nástroje Fortimanager. Ale podle mého názoru bychom neměli hledat abstraktní pravdu a ztrácet čas spory o termíny. V reálném světě má každý přístup své výhody a nevýhody. Nejlepší cesta je se v nich vyznat a umět vybírat řešení, která odpovídají úkolům.
Pokud mám dva skandinávské úřady, které jsou propojeny dvěma datovými kanály, pokusím se vám prostřednictvím screenshotů ukázat, jak vypadá a co umí SD-WAN od Fortinet.
Jak to všechno funguje
Představme si, že máte dvě pobočky propojené dvěma datovými kanály. Tyto kanály se sdružují do skupiny, podobně jako obyčejné ethernetové rozhraní se spojuje v LACP-Port-Channel. Dlouhodobí uživatelé si vzpomenou na PPP Multilink – to je také vhodná analogie. Tyto kanály mohou být fyzické porty, VLAN SVI, nebo také VPN či GRE tunely.
VPN nebo GRE se obvykle používají při propojení místních sítí poboček přes internet. Fyzické porty jsou využívány, pokud existují L2 spojení mezi lokalitami, nebo pokud je spojení přes dedikované MPLS/VPN přijatelné, pokud jsme spokojeni s komunikací bez overlay a šifrování. Dalším scénářem, kde jsou v SD-WAN skupině použity fyzické porty, je vyvážení lokálního přístupu uživatelů na internet.
Na našem stánku máme čtyři firewally a dva VPN tunely, které fungují přes dva „telekomunikační operátory“. Schéma vypadá takto:
VPN tunely jsou nastaveny v rozhraní, aby připomínaly spojení typu Point-to-Point mezi zařízeními s IP adresami na P2P rozhraních, které lze pingnout a ověřit, že komunikace přes konkrétní tunel funguje. Aby se provoz zašifroval a odešel na druhou stranu, stačí ho směrovat do tunelu. Alternativa – výběr provozu pro šifrování pomocí seznamů podsítí, silně komplikuje administraci, jak se konfigurace zkomplikuje. V rozsáhlé síti lze pro výstavbu VPN použít technologii ADVPN, což je analogické DMVPN od Cisco nebo DVPN od Huawei, což usnadňuje nastavení.
Konfigurace Site-to-Site VPN pro dvě zařízení s BGP směrováním z obou stran
"DC" (Data Center)
"BRN" (Pobočka)
config system interface
edit "WAN1"
set vdom "Internet"
set ip 1.1.1.1 255.255.255.252
set allowaccess ping
set role wan
set interface "DC-BRD"
set vlanid 111
next
edit "WAN2"
set vdom "Internet"
set ip 3.3.3.1 255.255.255.252
set allowaccess ping
set role lan
set interface "DC-BRD"
set vlanid 112
next
edit "BRN-Ph1-1"
set vdom "Internet"
set ip 192.168.254.1 255.255.255.255
set allowaccess ping
set type tunnel
set remote-ip 192.168.254.2 255.255.255.255
set interface "WAN1"
next
edit "BRN-Ph1-2"
set vdom "Internet"
set ip 192.168.254.3 255.255.255.255
set allowaccess ping
set type tunnel
set remote-ip 192.168.254.4 255.255.255.255
set interface "WAN2"
next
end
config vpn ipsec phase1-interface
edit "BRN-Ph1-1"
set interface "WAN1"
set local-gw 1.1.1.1
set peertype any
set net-device disable
set proposal aes128-sha1
set dhgrp 2
set remote-gw 2.2.2.1
set psksecret ***
next
edit "BRN-Ph1-2"
set interface "WAN2"
set local-gw 3.3.3.1
set peertype any
set net-device disable
set proposal aes128-sha1
set dhgrp 2
set remote-gw 4.4.4.1
set psksecret ***
next
end
config vpn ipsec phase2-interface
edit "BRN-Ph2-1"
set phase1name "BRN-Ph1-1"
nastavit návrh aes256-sha256
set dhgrp 2
next
uprav "BRN-Ph2-2"
nastavit phase1name "BRN-Ph1-2"
nastavit návrh aes256-sha256
set dhgrp 2
next
end
konfigurace routeru static
uprav 1
nastavit bránu 1.1.1.2
nastavit zařízení "WAN1"
next
uprav 3
nastavit bránu 3.3.3.2
nastavit zařízení "WAN2"
next
end
konfigurace routeru bgp
nastavit as 65002
nastavit router-id 10.1.7.1
nastavit ebgp-multipath zapnout
konfigurace souseda
uprav "192.168.254.2"
nastavit remote-as 65003
další
uprav "192.168.254.4"
nastavit remote-as 65003
další
konec
konfigurace sítě
uprav 1
nastavit prefix 10.1.0.0 255.255.0.0
další
end
config system interface
edit "WAN1"
set vdom "Internet"
nastavit ip 2.2.2.1 255.255.255.252
set allowaccess ping
set role wan
nastavit rozhraní "BRN-BRD"
set vlanid 111
next
edit "WAN2"
set vdom "Internet"
nastavit ip 4.4.4.1 255.255.255.252
set allowaccess ping
set role wan
nastavit rozhraní "BRN-BRD"
nastavit vlanid 114
next
uprav "DC-Ph1-1"
set vdom "Internet"
nastavit ip 192.168.254.2 255.255.255.255
set allowaccess ping
set type tunnel
nastavit remote-ip 192.168.254.1 255.255.255.255
set interface "WAN1"
next
uprav "DC-Ph1-2"
set vdom "Internet"
nastavit ip 192.168.254.4 255.255.255.255
set allowaccess ping
set type tunnel
nastavit remote-ip 192.168.254.3 255.255.255.255
set interface "WAN2"
next
end
config vpn ipsec phase1-interface
uprav "DC-Ph1-1"
nastavit zařízení "WAN1"
nastavit místní-gw 2.2.2.1
nastavit peertype jakýkoli
nastavit net-device zakázat
nastavit návrh aes128-sha1
nastavit dhgrp 2
nastavit remote-gw 1.1.1.1
nastavit psksecret ***
další
uprav "DC-Ph1-2"
nastavit zařízení "WAN2"
nastavit místní-gw 4.4.4.1
nastavit peertype jakýkoli
nastavit net-device zakázat
nastavit návrh aes128-sha1
nastavit dhgrp 2
nastavit remote-gw 3.3.3.1
nastavit psksecret ***
další
end
config vpn ipsec phase2-interface
uprav "DC-Ph2-1"
nastavit phase1name "DC-Ph1-1"
nastavit návrh aes128-sha1
nastavit dhgrp 2
další
uprav "DC2-Ph2-2"
nastavit phase1name "DC-Ph1-2"
nastavit návrh aes128-sha1
nastavit dhgrp 2
další
end
konfigurace routeru static
uprav 1
nastavit bránu 2.2.2.2
et zařízení "WAN1"
next
uprav 3
nastavit bránu 4.4.4.2
nastavit zařízení "WAN2"
next
end
konfigurace routeru bgp
nastavit as 65003
nastavit router-id 10.200.7.1
nastavit ebgp-multipath zapnout
konfigurace souseda
uprav "192.168.254.1"
nastavit remote-as 65002
další
uprav "192.168.254.3"
nastavit remote-as 65002
další
konec
konfigurace sítě
uprav 1
nastavit prefix 10.200.0.0 255.255.0.0
další
end
Představím konfiguraci v textovém formátu, protože podle mého názoru je tak konfigurace VPN pohodlnější. Všechny nastavení na obou stranách jsou téměř stejné, v textovém formátu je lze udělat kopírovat-a-vložit. Pokud to uděláte stejně v webovém rozhraní, snadno se můžete dopustit chyby — zapomenout na nějakou možnost, zadat nesprávnou hodnotu.
Jakmile přidáme rozhraní do balíčku
všechny trasy a bezpečnostní politiky se na něj mohou odvolávat, a ne na rozhraní, které do něj patří. Minimálně je třeba povolit provoz z interních sítí do SD-WAN. Při vytváření pravidel pro ně lze použít ochranná opatření, jako je IPS, antivirový software a rozšířené HTTPS.
Pro balíček se nastavují SD-WAN pravidla. Tato pravidla určují algoritmus vyvažování pro konkrétní provoz. Jsou podobná politikám směrování v Policy-Based Routing, pouze jako výsledek zařazení provozu do politiky se nenastavuje next-hop nebo běžné výstupní rozhraní, ale rozhraní přidaná do balíčku SD-WAN spolu s algoritmem vyvažování provozu mezi těmito rozhraními.
Provoz lze oddělit z celkového proudu na základě informací L3-L4, na rozpoznaných aplikacích, internetových službách (URL a IP), stejně jako na rozpoznaných uživatelích pracovních stanic a notebooků. Poté lze pro oddělený provoz přiřadit jeden z následujících algoritmů vyvažování:
V seznamu Preference rozhraní se vybírají ta rozhraní z již přidaných do balíčku, která budou obsluhovat tento typ provozu. Přidáním ne všech rozhraní můžete omezit, po jakých konkrétních kanálech vám například probíhá elektronická pošta, pokud nechcete zatěžovat drahé kanály s vysokým SLA. Ve FortiOS 6.4.1 se objevila možnost seskupovat rozhraní přidaná do SD-WAN balíčku do zón, čímž můžete například vytvořit jednu zónu pro spojení s vzdálenými lokalitami a druhou pro místní přístup k internetu s využitím NAT. Ano, provoz, který jde na obyčejný internet, také lze vyvažovat.
O algoritmech vyvažování
Pokud jde o to, jak Fortigate (firewall od Fortinet) umí rozdělovat provoz mezi kanály, existují dvě zajímavé možnosti, které nejsou na trhu příliš rozšířené:
Nejnižší cena (SLA) – ze všech rozhraní, která v danou chvíli splňují SLA, se vybírá to, které má nižší váhu (cost), zadanou administrátorem ručně; tento režim je vhodný pro 'objemový' provoz, jako je zálohování a přenos souborů.
Nejlepší kvalita (SLA) – tento algoritmus, kromě obvyklých latencí, jitteru a ztráty paketů, Fortigate pro hodnocení kvality kanálů může využívat také aktuální zatížení kanálu; tento režim je vhodný pro 'citlivý' provoz, jako je IP telefonie (VoIP) a videokonferenční spojení.
Pro tyto algoritmy je vyžadováno nastavení měřiče výkonnosti kanálu – Performance SLA. Tento měřič pravidelně (check interval) kontroluje informace o dodržování SLA: ztrátách (packet loss), latenci (latency) a jitteru (jitter) v kanálu, a může "zamítnout" ty kanály, které v současnosti nesplňují prahové hodnoty kvality – ztrácejí příliš mnoho paketů nebo vykazují příliš vysokou latenci. Kromě toho měřič sleduje stav kanálu a může jej dočasně odstranit z balíku v případě opakovaných ztrát odpovědí (failures before inactive). Po obnovení, po několika po sobě jdoucích přijatých odpovědích (restore link after), se měřič automaticky vrátí kanál zpět do balíku a přes něj se opět začnou přenášet data.
Takto vypadá nastavení "měřiče":
Ve webovém rozhraní jsou jako protokoly pro testování dostupné ICMP-Echo-request, HTTP-GET a DNS request. V příkazovém řádku je dostupných o něco více možností: jsou k dispozici možnosti TCP-echo a UDP-echo, stejně jako specializovaný protokol pro měření kvality – TWAMP.
Výsledky měření lze vidět i ve webovém rozhraní:
A v příkazovém řádku:
Troubleshooting
Pokud jste vytvořili pravidlo, ale funguje to jinak, než jste očekávali, je dobré se podívat na hodnotu Hit Count v seznamu SD-WAN Rules. Ta ukáže, zda vůbec proudí provoz do daného pravidla:
Na stránce nastavení samotného měřiče lze vidět změnu parametrů kanálu v čase. Přerušovaně je vyznačeno prahové hodnoty parametru.
Ve webovém rozhraní lze sledovat, jak se distribuuje provoz podle objemu přenášených/přijatých dat a počtu relací:
Kromě toho existuje skvělá příležitost sledovat průchod paketů s maximálními detaily. Při práci v reálné síti se v konfiguraci zařízení hromadí množství politik směrování, firewallu a distribuce provozu přes SD-WAN porty. To vše složitě vzájemně interaguje a i když dodavatel uvádí podrobné blokové diagramy algoritmů zpracování paketů, je velmi důležité mít možnost nepředpokládat a neověřovat teorie, ale vidět, kam se provoz skutečně dostává.
Například následující sada příkazů
diagnostikovat ladicí tok filtr saddr 10.200.64.15
diagnostikovat ladicí tok filtr daddr 10.1.7.2
diagnostikovat ladicí tok zobrazit název-funkce
diagnostikovat ladicí zapnout
diagnostikovat ladicí stopa 2
Umožní sledovat dva pakety s adresou zdroje 10.200.64.15 a adresou příjemce 10.1.7.2.
Pingujieme 10.7.1.2 z 10.200.64.15 dvakrát a sledujeme výstup na konzoli.
První paket:
Druhý paket:
Tady je první paket, který byl přijat firewallem:
id=20085 trace_id=475 func=print_pkt_detail line=5605 msg="vd-Internet:0 přijato paket(proto=1, 10.200.64.15:42->10.1.7.2:2048) z DMZ-Office. typ=8, kód=0, id=42, sekvence=0."
VDOM – Internet, Proto=1 (ICMP), DMZ-Office – název L3 rozhraní. Typ=8 – Echo.
Pro něj byla vytvořena nová relace:
msg="allocate a new session-0006a627"
A zjistilo se, že nastavení pravidel směrování se shoduje
msg="Match policy routing id=2136539137: to 10.1.7.2 via ifindex-110"
Zjišťuje se, že paket je třeba poslat do jednoho z VPN tunelů:
"find a route: flag=04000000 gw-192.168.254.1 via DC-Ph1-1"
V pravidlech firewallu se nachází povolující pravidlo:
msg="Allowed by Policy-3:"
Paket je šifrován a odesílán do VPN tunelu:
funkce=ipsecdev_hard_start_xmit řádek=789 zpráva="vstupte do IPsec rozhraní-DC-Ph1-1"
funkce=_ipsecdev_hard_start_xmit řádek=666 zpráva="IPsec tunel-DC-Ph1-1"
funkce=esp_output4 řádek=905 zpráva="IPsec šifrování/autentizace"
Šifrovaný paket je odesílán na adresu brány pro toto WAN rozhraní:
msg="send to 2.2.2.2 via intf-WAN1"
Druhý paket prochází stejným procesem, ale je poslán do jiného VPN tunelu a prochází jiným portem firewallem:
funkce=ipsecdev_hard_start_xmit řádek=789 msg="vstup do rozhraní IPsec-DC-Ph1-2"
funkce=_ipsecdev_hard_start_xmit řádek=666 msg="tunnel IPsec-DC-Ph1-2"
funkce=esp_output4 řádek=905 zpráva="IPsec šifrování/autentizace"
funkce=ipsec_output_finish řádek=622 msg="odeslat na 4.4.4.2 přes intf-WAN2"
Výhody řešení
Spolehlivá funkčnost a uživatelsky přívětivé rozhraní. Soubor funkcí, který byl k dispozici ve FortiOS před příchodem SD-WAN, zůstal zcela zachován. To znamená, že máme zralý systém od osvědčeného dodavatele firewallů, ne znovu vyvinutý software. S tradičním souborem síťových funkcí a pohodlným, snadno ovladatelným webovým rozhraním. Mnohé dodavatele SD-WAN mají na koncových zařízeních, řekněme, funkci Remote-Access VPN?
Bezpečnost 80. úrovně. FortiGate patří mezi nejlepší řešení pro firewall. Na internetu je mnoho materiálů o konfiguraci a správě firewallů a na trhu je dost specialistů na bezpečnost, kteří již ovládli řešení tohoto dodavatele.
Nulová cena za funkčnost SD-WAN. Vytvoření SD-WAN sítě na FortiGate stojí stejně jako vytvoření tradiční WAN sítě, protože nejsou potřeba žádné další licence pro realizaci funkce SD-WAN.
Nízký cenový práh vstupu. Fortigate má dobrou gradaci zařízení pro různé úrovně výkonu. Nejlevnější a nejmenší modely jsou zcela vhodné pro rozjezd kanceláře nebo prodejního místa, řekněme, pro 3-5 zaměstnanců. Mnoho dodavatelů takové nízkovýkonnostní a dostupné modely jednoduše nemá.
Vysoký výkon. Snížení funkčnosti SD-WAN na vyvažování provozu umožnilo společnosti vydat specializovaný SD-WAN ASIC, díky kterému práce SD-WAN neovlivňuje výkon firewallu jako celku.
Možnost realizovat celý úřad na zařízení Fortinet. Toto je pár firewallů, přepínačů a Wi-Fi přístupových bodů. Takovou kancelář je snadné a pohodlné spravovat - přepínače a přístupové body jsou registrovány na firewallech a spravují se z nich. Takto může vypadat port přepínače na rozhraní firewallu, kterým je tento přepínač řízen:
Nedostatek ovladačů jako jednotného bodu selhání. Na to upozorňuje sám dodavatel, ale toto lze nazvat výhodou pouze částečně, protože u těch dodavatelů, kteří ovladače mají, zajištění jejich odolnosti vůči selhání přichází na nízké náklady, většinou v ceně malého množství výpočetních zdrojů ve virtuálním prostředí.
Na co si dát pozor
Nedostatek oddělení Control Plane a Data Plane. To znamená, že síť je třeba nastavovat buď ručně, nebo pomocí již existujících tradičních nástrojů správy - FortiManager. U dodavatelů, kteří mají toto oddělení realizováno, se síť skládá sama. Správci může být potřeba pouze upravit její topologii, něco někde zakázat, nic víc. Nicméně, výhodou FortiManageru je to, že umí spravovat nejen firewally, ale také přepínače a Wi-Fi přístupové body, což pokrývá prakticky celou síť.
Podmíněný růst spravovatelnosti. Vzhledem k tomu, že pro automatizaci nastavení sítě se používají tradiční nástroje, zvyšuje se spravovatelnost sítě s implementací SD-WAN jen minimálně. Na druhé straně, nová funkčnost se stává dostupnou rychleji, protože dodavatel ji nejprve uvádí pouze pro operační systém firewallů (což okamžitě poskytuje možnost ji používat), a teprve poté doplňuje potřebné rozhraní pro řízení.
Část funkčnosti může být dostupná z příkazového řádku, ale není dostupná z webového rozhraní. Není to tak strašné občas vstoupit do příkazového řádku, aby bylo něco nastaveno, jako je strašné nevidět na webovém rozhraní, že něco bylo již nastaveno příkazovým řádkem. To se obvykle týká nejnovějších funkcí a postupně, se aktualizacemi FortiOS, se možnosti webového rozhraní dostávají na úroveň.
Komu se to hodí
Těm, kteří nemají příliš mnoho poboček. Nasazení řešení SD-WAN se složitými centrálními komponenty v sítích s 8–10 pobočkami si možná nezaslouží investice – budete muset vynaložit peníze na licence pro SD-WAN zařízení a na zdroje virtualizačního systému pro umístění centrálních komponent. Malé firmy obvykle nemají dostatek volných výpočetních zdrojů. V případě společnosti Fortinet stačí jednoduše zakoupit firewall.
Pro ty, kteří mají velmi mnoho malých poboček. U mnoha dodavatelů je minimální cena řešení za pobočku poměrně vysoká a může se ukázat jako nezajímavá z pohledu koncového zákazníka. Fortinet nabízí malá zařízení za velmi atraktivní cenu.
Pro ty, kteří nejsou zatím připraveni udělat příliš velký krok. Nasazení SD-WAN s kontroléry, proprietárními směrovacími protokoly, novým přístupem k plánování a správě sítě může být pro některé zákazníky příliš vážným krokem. Ano, takové nasazení nakonec pomůže optimalizovat využití komunikačních kanálů a práci administrátorů, ale nejprve se budete muset naučit mnoho nového. Pro ty, kdo nejsou připraveni na změnu paradigmatu, ale chtějí vytěžit co nejvíce ze svých komunikačních kanálů, je ideálním řešením nabídka společnosti Fortinet.
Zdroj: habr.com
