<\/p>\n\u201eDatacenter\u201c (DC)
config system interface
config vpn ipsec phase1-interface
config vpn ipsec phase2-interface
config router static
config router bgp
\u2003config network
config system interface
config vpn ipsec phase1-interface
config vpn ipsec phase2-interface
config router static
config router bgp
\u2003 config network
<\/code><\/p>\n
Jeg pr\u00e6senterer konfigurationen i tekstformat, fordi jeg mener, at det er lettere at konfigurere VPN p\u00e5 den m\u00e5de. N\u00e6sten alle indstillinger er ens p\u00e5 begge sider, og i tekstformat kan de nemt kopieres og inds\u00e6ttes. Hvis man g\u00f8r det samme i webgr\u00e6nsefladen, er det nemt at lave en fejl - glemme at s\u00e6tte et flueben eller indtaste en forkert v\u00e6rdi. <\/p>\n
N\u00e5r vi har tilf\u00f8jet gr\u00e6nsefladerne til bundtet<\/p>\n
Trafik kan udskilles fra den generelle str\u00f8m baseret p\u00e5 L3-L4-information, genkendte applikationer, internettjenester (URL og IP), samt genkendte brugere af arbejdsstationer og b\u00e6rbare computere. Derefter kan en af f\u00f8lgende balanceringsalgoritmer tildeles den udskilte trafik:<\/p>\n
Om balanceringsalgoritmer \nN\u00e5r det kommer til, hvordan Fortigate (firewall fra Fortinet) kan opdele trafik mellem kanaler, er der to interessante muligheder, som ikke er meget udbredte p\u00e5 markedet:<\/p>\n
Laveste omkostning (SLA)<\/b> \u2013 blandt alle gr\u00e6nseflader, der opfylder SLA i \u00f8jeblikket, v\u00e6lges den med den laveste v\u00e6gt (cost), som er angivet af administratoren manuelt; denne tilstand er velegnet til \"volumetrisk\" trafik, s\u00e5som backup og filoverf\u00f8rsler. <\/p>\n
Bedste Kvalitet (SLA)<\/b> \u2013 denne algoritme kan, udover de s\u00e6dvanlige forsinkelser, jitter og pakke tab, ogs\u00e5 bruge den nuv\u00e6rende belastning af kanalen til at vurdere kvaliteten; denne tilstand er velegnet til \"f\u00f8lsom\" trafik, s\u00e5som IP-telefoni (VoIP) og videokonferencer.<\/p>\n
For disse algoritmer kr\u00e6ves der ops\u00e6tning af ydeevnem\u00e5leren \u2013 Performance SLA. Denne m\u00e5ler kontrollerer periodisk (check interval) information om overholdelsen af SLA: tab (packet loss), forsinkelse (latency) og jitter i kommunikationskanalen, \u2013 og kan \"forkaste\" de kanaler, som i \u00f8jeblikket ikke opfylder t\u00e6rskelv\u00e6rdierne for kvalitet \u2013 taber for mange pakker eller har for lange forsinkelser. Derudover overv\u00e5ger m\u00e5leren kanalens status og kan midlertidigt fjerne den fra bundtet i tilf\u00e6lde af gentagne tab af svar (failures before inactive). Ved genopretning, efter flere p\u00e5 hinanden f\u00f8lgende svar (restore link after) vil m\u00e5leren automatisk genf\u00f8re kanalen i bundtet, og data kan igen begynde at blive overf\u00f8rt.<\/p>\n
S\u00e5dan ser ops\u00e6tningen af \"m\u00e5leren\" ud: <\/p>\n
Fejlfinding<\/h3>\n \nHvis der er oprettet en regel, men det ikke fungerer som forventet, er det v\u00e6rd at se p\u00e5 v\u00e6rdien Hit Count i listen over SD-WAN-regler. Det viser, om trafikken overhovedet rammer denne regel:<\/p>\n
For eksempel kan det f\u00f8lgende s\u00e6t kommandoer<\/p>\n
diagnose debug flow filter saddr 10.200.64.15Muligg\u00f8re sporing af to pakker med afsenders adresse 10.200.64.15 og modtagerens adresse 10.1.7.2.
F\u00f8rste pakke:<\/p>\n
id=20085 trace_id=475 func=print_pkt_detail line=5605 msg=\"vd-Internet:0 modtog et paket(proto=1, 10.200.64.15:42->10.1.7.2:2048) fra DMZ-Office. type=8, kode=0, id=42, sekvens=0.\"DMZ-Office \u2013 navnet p\u00e5 L3-interface. <\/b>Type=8 \u2013 Echo.<\/code><\/p>\n For den blev der oprettet en ny session:msg=\"alloker en ny session-0006a627\"<\/code><\/p>\nOg der blev opdaget et match i routingpolitikkernemsg=\"Match policy routing id=2136539137: til 10.1.7.2 via ifindex-110\"<\/code><\/p>\nDet viser sig, at pakken skal sendes til en af VPN-tunnelerne:\"find a route: flag=04000000 gw-192.168.254.1 via DC-Ph1-1\"<\/code><\/p>\nI firewallpolitikkerne findes der en tilladende regel:msg=\"Tilladt af Policy-3:\"<\/code><\/p>\nPakken krypteres og sendes i VPN-tunnelen:func=ipsecdev_hard_start_xmit line=789 msg=\"indtr\u00e6d IPsec interface-DC-Ph1-1\"Den krypterede pakke sendes til gateway-adressen for denne WAN-gr\u00e6nseflade:msg=\"send til 2.2.2.2 via intf-WAN1\"<\/code><\/p>\nFor den anden pakke foreg\u00e5r alt p\u00e5 samme m\u00e5de, men den sendes til en anden VPN-tunnel og forlader gennem en anden firewall-port:func=ipsecdev_hard_start_xmit line=789 msg=\"enter IPsec interface-DC-Ph1-2\"Fordele ved l\u00f8sningen \nP\u00e5lidelig funktionalitet og brugervenligt interface. <\/b>Funktionss\u00e6ttet, der eksisterede i FortiOS f\u00f8r SD-WANs ankomst, er bevaret fuldt ud. Det vil sige, at vi ikke har en nyudviklet software, men et modent system fra en velpr\u00f8vet firewall-leverand\u00f8r. Med et traditionelt s\u00e6t netv\u00e6rksfunktioner og et nemt og intuitivt webinterface. Hvor mange SD-WAN-leverand\u00f8rer har for eksempel Remote-Access VPN-funktionalitet p\u00e5 slutpunkterne?<\/p>\n
Sikkerhed p\u00e5 niveau 80. <\/b>FortiGate er blandt de bedste l\u00f8sninger inden for firewalls. Der findes mange materialer online til ops\u00e6tning og administration af firewalls, og p\u00e5 arbejdsmarkedet er der adskillige sikkerhedsspecialister, der allerede har mestret leverand\u00f8rens l\u00f8sninger.<\/p>\n
Ingen omkostninger for SD-WAN-funktionalitet. <\/b>At bygge et SD-WAN-netv\u00e6rk p\u00e5 FortiGate koster det samme som at bygge et almindeligt WAN-netv\u00e6rk, da der ikke er behov for yderligere licenser for at implementere SD-WAN-funktionalitet. <\/p>\n
Lav adgangsbarriere i pris. <\/b>Fortigate har en god gradation af enheder til forskellige pr\u00e6stationer. De mindste og billigste modeller kan sagtens bruges til at ops\u00e6tte et kontor eller en salgsstation for eksempel til 3-5 medarbejdere. Mange leverand\u00f8rer har slet ikke s\u00e5danne lavt ydende og prisvenlige modeller. <\/p>\n
H\u00f8j ydeevne. <\/b>At reducere SD-WAN-funktionaliteten til trafikbalancering har gjort det muligt for virksomheden at udgive en specialiseret SD-WAN ASIC, som sikrer, at SD-WAN's funktionalitet ikke forringer performance af firewall'en generelt. <\/p>\n
Mulighed for at implementere hele kontoret med Fortinet-udstyr. <\/b>Dette inkluderer et par firewalls, switches og Wi-Fi adgangspunkter. Et s\u00e5dant kontor er nemt og bekvemt at administrere \u2013 switches og adgangspunkter registreres p\u00e5 firewalls og administreres derfra. Her er et eksempel p\u00e5, hvordan en switch-port kan se ud fra firewallen, der administrerer denne switch:<\/p>\n
Frav\u00e6r af controllere som et enkelt fejlfunktionspunkt. <\/b>Dette er et fokuspunkt for leverand\u00f8ren selv, men det kan kun delvist betragtes som en fordel, da de leverand\u00f8rer, der har controllere, ofte kan sikre deres fejlsikkerhed til en lav pris, oftest til omkostningerne ved et lille antal beregningsressourcer i en virtualiseringsmilj\u00f8.<\/p>\nHvad man skal v\u00e6re opm\u00e6rksom p\u00e5
\nFrav\u00e6r af adskillelse mellem Control Plane og Data Plane<\/b>. Det betyder, at netv\u00e6rket skal konfigureres enten manuelt eller ved hj\u00e6lp af de allerede eksisterende traditionelle styringsmidler \u2014 FortiManager. Hos leverand\u00f8rer, der har implementeret en s\u00e5dan adskillelse, opstiller netv\u00e6rket sig selv. Administratoren kan kun v\u00e6re n\u00f8dt til at justere dens topologi, forbyde noget et sted, ikke mere. Men forteen ved FortiManager er, at den kan administrere ikke kun firewalls, men ogs\u00e5 switches og Wi-Fi adgangspunkter, det vil sige n\u00e6sten hele netv\u00e6rket. <\/p>\n
Betinget v\u00e6kst i styrbarhed. <\/b>Da traditional v\u00e6rkt\u00f8jer anvendes til automatisering af netv\u00e6rksops\u00e6tningen, er netv\u00e6rksadministrationen med implementeringen af SD-WAN kun marginalt forbedret. P\u00e5 den anden side bliver den nye funktionalitet tilg\u00e6ngelig hurtigere, da leverand\u00f8ren f\u00f8rst frigiver den til operativsystemet for firewalls (hvilket straks giver mulighed for at bruge dem) og derefter tilf\u00f8jer de n\u00f8dvendige gr\u00e6nseflader til administrationssystemet.<\/p>\n
En del funktionalitet kan v\u00e6re tilg\u00e6ngelig fra kommandolinjen, men ikke fra webgr\u00e6nsefladen. <\/b>Det er ikke s\u00e5 skr\u00e6mmende at g\u00e5 ind i kommandolinjen for at konfigurere noget, som det er skr\u00e6mmende ikke at kunne se i webgr\u00e6nsefladen, at noget allerede er blevet konfigureret fra kommandolinjen. Men dette vedr\u00f8rer normalt kun de nyeste funktioner, og efterh\u00e5nden som FortiOS opdateres, bliver webgr\u00e6nsefladens muligheder forbedret.<\/p>\nHvem det passer til<\/h3>\n
\nTil dem, der ikke har mange filialer.<\/b> Implementeringen af SD-WAN-l\u00f8sninger med komplekse centrale komponenter i netv\u00e6rk med 8-10 filialer kan v\u00e6re umagen v\u00e6rd \u2013 det vil kr\u00e6ve penge til licenser til SD-WAN-enheder og ressourcer til virtualiseringssystemet til placeringen af de centrale komponenter. Sm\u00e5 virksomheder har normalt ikke mange ledige beregningsressourcer. I tilf\u00e6lde af Fortinet er det tilstr\u00e6kkeligt blot at k\u00f8be firewalls. <\/p>\n
Til dem, der har mange sm\u00e5 filialer. <\/b>For mange leverand\u00f8rer er prisen p\u00e5 l\u00f8sningen per filial relativt h\u00f8j, hvilket kan v\u00e6re uinteressant fra slutkundens forretningsperspektiv. Fortinet tilbyder sm\u00e5 enheder til en meget konkurrencedygtig pris. <\/p>\n
Til dem, der ikke er klar til at tage et stort skridt endnu. <\/b>Implementeringen af SD-WAN med controllere, propriet\u00e6r routing, og en ny tilgang til planl\u00e6gning og netv\u00e6rksstyring kan v\u00e6re et for stort skridt for nogle kunder. Ja, en s\u00e5dan implementering vil i sidste ende hj\u00e6lpe med at optimere brugen af kommunikationskanaler og arbejdet for administratorer, men f\u00f8rst skal man l\u00e6re meget nyt. For dem, der ikke er klar til skiftet, men \u00f8nsker at maksimere udbyttet af deres kommunikationskanaler, er Fortinets l\u00f8sning lige det, der passer.habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"\u0421\u0443\u0434\u044f \u043f\u043e \u0447\u0438\u0441\u043b\u0443 \u0432\u043e\u043f\u0440\u043e\u0441\u043e\u0432, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043d\u0430\u043c \u0441\u0442\u0430\u043b\u0438 \u043f\u0440\u0438\u043b\u0435\u0442\u0430\u0442\u044c \u043f\u043e SD-WAN, \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u044f \u043d\u0430\u0447\u0430\u043b\u0430 \u043e\u0441\u043d\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u043e \u043f\u0440\u0438\u0436\u0438\u0432\u0430\u0442\u044c\u0441\u044f \u0432 \u0420\u043e\u0441\u0441\u0438\u0438. \u0412\u0435\u043d\u0434\u043e\u0440\u044b, \u0435\u0441\u0442\u0435\u0441\u0442\u0432\u0435\u043d\u043d\u043e, \u043d\u0435 \u0434\u0440\u0435\u043c\u043b\u044e\u0442 \u0438 \u043f\u0440\u0435\u0434\u043b\u0430\u0433\u0430\u044e\u0442 \u0441\u0432\u043e\u0438 \u043a\u043e\u043d\u0446\u0435\u043f\u0446\u0438\u0438, \u0430 \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0441\u043c\u0435\u043b\u044c\u0447\u0430\u043a\u0438 \u043f\u0435\u0440\u0432\u043e\u043f\u0440\u043e\u0445\u043e\u0434\u0446\u044b \u0443\u0436\u0435 \u0432\u043d\u0435\u0434\u0440\u044f\u044e\u0442 \u0438\u0445 \u0443 \u0441\u0435\u0431\u044f \u043d\u0430 \u0441\u0435\u0442\u0438. \u041c\u044b \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u043c \u043f\u043e\u0447\u0442\u0438 \u0441\u043e \u0432\u0441\u0435\u043c\u0438 \u0432\u0435\u043d\u0434\u043e\u0440\u0430\u043c\u0438, \u0438 \u0437\u0430 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u043b\u0435\u0442 \u0432 \u043d\u0430\u0448\u0435\u0439 \u043b\u0430\u0431\u043e\u0440\u0430\u0442\u043e\u0440\u0438\u0438 \u044f \u0443\u0441\u043f\u0435\u043b \u043f\u043e\u043a\u043e\u043f\u0430\u0442\u044c\u0441\u044f \u0432 \u0430\u0440\u0445\u0438\u0442\u0435\u043a\u0442\u0443\u0440\u0435 \u043a\u0430\u0436\u0434\u043e\u0433\u043e \u043a\u0440\u0443\u043f\u043d\u043e\u0433\u043e […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":95433,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-95432","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t