🥇Analyse des demokratischsten SD-WAN: Architektur, Einrichtung, Verwaltung und Stolpersteine

Anhand der Anzahl der Fragen, die uns bezüglich SD-WAN erreicht haben, lässt sich erkennen, dass sich die Technologie in Russland zunehmend etabliert. Die Anbieter schlafen natürlich nicht und präsentieren ihre Konzepte, während einige mutige Vorreiter sie bereits in ihren Netzwerken implementieren.

Wir arbeiten mit nahezu allen Anbietern zusammen, und in den letzten Jahren habe ich in unserem Labor die Architektur jedes größeren Anbieters von softwaredefinierten Lösungen näher untersucht. Besonders hervorzuheben ist hier SD-WAN von Fortinet, das die Funktionalität zur Lastenverteilung zwischen Kommunikationskanälen einfach in die Software der Firewalls integriert hat. Diese Lösung ist eher demokratisch, weshalb sie oft von Unternehmen in Betracht gezogen wird, die noch nicht bereit für umfassende Veränderungen sind, aber ihre Kommunikationskanäle effizienter nutzen möchten.

In diesem Artikel möchte ich erläutern, wie man SD-WAN von Fortinet einrichtet und damit arbeitet, für wen diese Lösung geeignet ist und auf welche Schwierigkeiten man hier stoßen kann.

Die auffälligsten Akteure auf dem SD-WAN-Markt können in zwei Typen unterteilt werden:

1. Start-ups, die SD-WAN-Lösungen von Grund auf entwickelt haben. Die erfolgreichsten unter ihnen erhalten einen enormen Entwicklungsschub, wenn sie von großen Unternehmen übernommen werden – das ist die Geschichte von Cisco/Viptela, VMWare/VeloCloud, Nuage/Nokia.

2. Große Netzwerkanbieter, die SD-WAN-Lösungen entwickelt haben, indem sie die Programmierbarkeit und Verwaltung ihrer traditionellen Router weiterentwickelt haben – das ist die Geschichte von Juniper, Huawei.

Fortinet ist es gelungen, seinen eigenen Weg zu finden. Die Funktionalität wurde in die Software der Firewalls integriert, sodass deren Schnittstellen in virtuelle Kanäle zusammengeführt werden können, und die Last mittels komplexer Algorithmen, im Vergleich zur herkömmlichen Routenbildung, ausgewogen werden kann. Diese Funktionalität wurde als SD-WAN bezeichnet. Kann man das, was Fortinet gemacht hat, als SD-WAN bezeichnen? Immer mehr setzt sich im Markt die Erkenntnis durch, dass Software-Defined bedeutet, die Steuerebene von der Datenebene zu trennen, dedizierte Controller und Orchestratoren bereitzustellen. Von alledem hat Fortinet jedoch nichts. Die zentrale Verwaltung ist optional und wird mit Hilfe des traditionellen Werkzeugs Fortimanager angeboten. Meiner Meinung nach sollte man jedoch nicht nach einer abstrakten Wahrheit suchen oder Zeit mit Diskussionen über Begriffe verschwenden. In der realen Welt hat jeder Ansatz seine Vor- und Nachteile. Der beste Weg ist, sich damit auseinanderzusetzen und Lösungen auszuwählen, die den Anforderungen entsprechen.

Ich werde versuchen, mit Screenshots in der Hand zu erklären, wie SD-WAN von Fortinet aussieht und was es kann.

Wie alles funktioniert

Angenommen, Sie haben zwei Niederlassungen, die durch zwei Datenübertragungskanäle verbunden sind. Diese Datenkanäle werden zu einer Gruppe zusammengefasst, ähnlich wie herkömmliche Ethernet-Schnittstellen zu einem LACP-Port-Kanal zusammengefasst werden. Alte Hasen erinnern sich vielleicht an PPP Multilink – eine ebenfalls passende Analogie. Die Kanäle können physische Ports, VLAN-SVI sowie VPN oder GRE-Tunnel sein.

VPN oder GRE werden in der Regel verwendet, um Filialnetzwerke über das Internet zu verbinden. Physische Ports kommen zum Einsatz, wenn L2-Verbindungen zwischen Standorten bestehen oder wenn die Verbindung über dedizierte MPLS/VPN erfolgt, wenn uns die Verbindung ohne Overlay und Verschlüsselung zusagt. Ein weiteres Szenario, in dem in der SD-WAN-Gruppe physische Ports verwendet werden, ist die Lastverteilung des lokalen Benutzerzugangs zum Internet.

An unserem Stand gibt es vier Firewalls und zwei VPN-Tunnel, die über zwei „Telekommunikationsanbieter“ arbeiten. Das Schema sieht folgendermaßen aus:

Die VPN-Tunnel sind im Schnittstellenmodus konfiguriert, sodass sie wie Punkt-zu-Punkt-Verbindungen zwischen Geräten mit IP-Adressen auf P2P-Schnittstellen aussehen, die pingbar sind, um sicherzustellen, dass die Verbindung über den spezifischen Tunnel funktioniert. Um den Datenverkehr zu verschlüsseln und auf die andere Seite zu senden, reicht es aus, ihn in den Tunnel zu routen. Eine Alternative ist die Auswahl von Datenverkehr zur Verschlüsselung mithilfe von Subnetzlisten, was den Administrator mit zunehmender Komplexität der Konfiguration stark verwirrt. In einem großen Netzwerk kann die Technologie ADVPN zur Erstellung von VPNs verwendet werden; dies ist das Äquivalent zu DMVPN von Cisco oder DVPN von Huawei, das die Einrichtung erleichtert.

Konfiguration Site-to-Site VPN für zwei Geräte mit BGP-Routing auf beiden Seiten

„Rechenzentrum“ (DC)
„Filiale“ (BRN)

config system interface
edit "WAN1"
set vdom "Internet"
set ip 1.1.1.1 255.255.255.252
set allowaccess ping
set role wan
set interface "DC-BRD"
set vlanid 111
next
edit "WAN2"
set vdom "Internet"
set ip 3.3.3.1 255.255.255.252
set allowaccess ping
set role lan
set interface "DC-BRD"
set vlanid 112
next
edit "BRN-Ph1-1"
set vdom "Internet"
set ip 192.168.254.1 255.255.255.255
set allowaccess ping
set type tunnel
set remote-ip 192.168.254.2 255.255.255.255
set interface "WAN1"
next
edit "BRN-Ph1-2"
set vdom "Internet"
set ip 192.168.254.3 255.255.255.255
set allowaccess ping
set type tunnel
set remote-ip 192.168.254.4 255.255.255.255
set interface "WAN2"
next
end

config vpn ipsec phase1-interface
edit "BRN-Ph1-1"
set interface "WAN1"
set local-gw 1.1.1.1
set peertype any
set net-device disable
set proposal aes128-sha1
set dhgrp 2
set remote-gw 2.2.2.1
set psksecret ***
next
edit "BRN-Ph1-2"
set interface "WAN2"
set local-gw 3.3.3.1
set peertype any
set net-device disable
set proposal aes128-sha1
set dhgrp 2
set remote-gw 4.4.4.1
set psksecret ***
next
end

config vpn ipsec phase2-interface
edit "BRN-Ph2-1"
set phase1name "BRN-Ph1-1"
set proposal aes256-sha256
set dhgrp 2
next
edit "BRN-Ph2-2"
set phase1name "BRN-Ph1-2"
set proposal aes256-sha256
set dhgrp 2
next
end

config router static
edit 1
set gateway 1.1.1.2
set device "WAN1"
next
edit 3
set gateway 3.3.3.2
set device "WAN2"
next
end

config router bgp
set as 65002
set router-id 10.1.7.1
set ebgp-multipath enable
config neighbor
edit "192.168.254.2"
set remote-as 65003
next
edit "192.168.254.4"
set remote-as 65003
next
end

config network
edit 1
set prefix 10.1.0.0 255.255.0.0
next
end

config system interface
edit "WAN1"
set vdom "Internet"
set ip 2.2.2.1 255.255.255.252
set allowaccess ping
set role wan
set interface "BRN-BRD"
set vlanid 111
next
edit "WAN2"
set vdom "Internet"
set ip 4.4.4.1 255.255.255.252
set allowaccess ping
set role wan
set interface "BRN-BRD"
set vlanid 114
next
edit "DC-Ph1-1"
set vdom "Internet"
set ip 192.168.254.2 255.255.255.255
set allowaccess ping
set type tunnel
set remote-ip 192.168.254.1 255.255.255.255
set interface "WAN1"
next
edit "DC-Ph1-2"
set vdom "Internet"
set ip 192.168.254.4 255.255.255.255
set allowaccess ping
set type tunnel
set remote-ip 192.168.254.3 255.255.255.255
set interface "WAN2"
next
end

config vpn ipsec phase1-interface
edit "DC-Ph1-1"
set interface "WAN1"
set local-gw 2.2.2.1
set peertype any
set net-device disable
set proposal aes128-sha1
set dhgrp 2
set remote-gw 1.1.1.1
set psksecret ***
next
edit "DC-Ph1-2"
set interface "WAN2"
set local-gw 4.4.4.1
set peertype any
set net-device disable
set proposal aes128-sha1
set dhgrp 2
set remote-gw 3.3.3.1
set psksecret ***
next
end

config vpn ipsec phase2-interface
edit "DC-Ph2-1"
set phase1name "DC-Ph1-1"
set proposal aes128-sha1
set dhgrp 2
next
edit "DC2-Ph2-2"
set phase1name "DC-Ph1-2"
set proposal aes128-sha1
set dhgrp 2
next
end

config router static
edit 1
set gateway 2.2.2.2
et device "WAN1"
next
edit 3
set gateway 4.4.4.2
set device "WAN2"
next
end

config router bgp
set as 65003
set router-id 10.200.7.1
set ebgp-multipath enable
config neighbor
edit "192.168.254.1"
set remote-as 65002
next
edit "192.168.254.3"
set remote-as 65002
next
end

config network
edit 1
set prefix 10.200.0.0 255.255.0.0
next
end

Ich stelle die Konfiguration im Textformat zur Verfügung, weil ich denke, dass es so bequemer ist, VPN einzurichten. Fast alle Einstellungen von beiden Seiten sind gleich, im Textformat lassen sie sich einfach kopieren und einfügen. Wenn man dasselbe im Web-Interface macht, kann man leicht Fehler machen – eine Auswahl vergessen oder einen falschen Wert eingeben.

Nachdem wir die Schnittstellen zum Bundle hinzugefügt haben,

können alle Routen und Sicherheitsrichtlinien auf ihn verweisen, und nicht auf die enthaltenen Schnittstellen. Mindestens muss der Datenverkehr aus internen Netzwerken in das SD-WAN zugelassen werden. Bei der Erstellung von Regeln für sie können Schutzmaßnahmen wie IPS, Antivirenprogramme und HTTPS-Dekodierung angewendet werden.

Für das Bundle werden SD-WAN-Regeln konfiguriert. Dies sind Regeln, die den Lastenausgleichsalgorithmus für spezifischen Datenverkehr definieren. Sie ähneln den Routing-Politiken im Policy-Based Routing, jedoch wird als Ergebnis des Eintritts von Datenverkehr in die Politik nicht next-hop oder ein gewöhnliches Ausgangsinterface festgelegt, sondern die Schnittstellen, die zum SD-WAN-Bundle hinzugefügt wurden, plus der Algorithmus für den Lastenausgleich zwischen diesen Schnittstellen.

Datenverkehr kann aus dem allgemeinen Fluss nach L3-L4-Informationen, erkannten Anwendungen, Internetdiensten (URLs und IPs) sowie erkannten Benutzern von Arbeitsplatz- und Laptop-Computern herausgefiltert werden. Danach kann für den gefilterten Datenverkehr einer der folgenden Lastenausgleichsalgorithmen zugewiesen werden:

Im Interface-Präferenz-Panel werden die Schnittstellen ausgewählt, die bereits im Bundle hinzugefügt wurden und diesen Verkehrstyp bedienen. Wenn Sie nicht alle Schnittstellen hinzufügen, können Sie beispielsweise einschränken, über welche Kanäle Ihre E-Mails laufen, falls Sie diese nicht über teure Kanäle mit hohem SLA leiten möchten. In FortiOS 6.4.1 wurde die Möglichkeit eingeführt, Schnittstellen, die im SD-WAN-Bundle hinzugefügt wurden, in Zonen zu gruppieren, sodass zum Beispiel eine Zone für die Verbindung zu entfernten Standorten und eine andere für den lokalen Internetzugang unter Verwendung von NAT erstellt werden kann. Ja, auch der Verkehr, der ins öffentliche Internet fließt, kann ausgeglichen werden.

Über die Lastverteilungsalgorithmen

In Bezug darauf, wie Fortigate (die Firewall von Fortinet) den Verkehr zwischen Kanälen aufteilen kann, gibt es zwei interessante Optionen, die auf dem Markt nicht sehr verbreitet sind:

Niedrigste Kosten (SLA) – von all den Schnittstellen, die derzeit den SLA erfüllen, wird diejenige ausgewählt, die das niedrigste Gewicht (cost) hat, das vom Administrator manuell festgelegt wurde; dieser Modus eignet sich für "volumetrischen" Verkehr, wie beispielsweise Backup und Dateitransfer.

Beste Qualität (SLA) – dieser Algorithmus kann neben den üblichen Latenzen, Jitter und Paketverlust auch die aktuelle Auslastung des Kanals zur Einschätzung der Kanalqualität verwenden; dieser Modus eignet sich für "sensiblen" Verkehr, wie IP-Telefonie (VoIP) und Videokonferenzen.

Für diese Algorithmen ist die Konfiguration des Leistungs-SLA-Messgeräts erforderlich. Dieses Messgerät überwacht regelmäßig (Prüfintervall) die Informationen über die Einhaltung des SLA: Paketverluste, Latenz und Jitter im Kommunikationskanal, und kann "Schlechte" Kanäle aussondern, die momentan nicht die Schwellenwerte für die Qualität einhalten – zu viele Pakete verlieren oder zu hohe Latenzzeiten aufweisen. Darüber hinaus überwacht das Messgerät den Status des Kanals und kann ihn vorübergehend aus dem Bundle entfernen, wenn es wiederholt zu Paketverlusten kommt. Nach der Wiederherstellung, nachdem mehrere aufeinanderfolgende Antworten eingegangen sind, wird der Kanal automatisch wieder ins Bundle eingefügt und Daten werden erneut über ihn übertragen.

So sieht die Einstellung des "Messgeräts" aus:

Im Webinterface stehen die Protokolle ICMP-Echo-Request, HTTP-GET und DNS-Request für Tests zur Verfügung. In der Befehlszeile gibt es noch mehr Optionen: TCP-Echo und UDP-Echo sind verfügbar, ebenso wie das spezialisierte Messprotokoll TWAMP.

Die Messergebnisse sind auch im Webinterface sichtbar:

Und in der Befehlszeile:

Fehlersuche

Wenn Sie eine Regel erstellt haben und alles nicht wie erwartet funktioniert, sollten Sie den Wert Hit Count in der Liste der SD-WAN-Regeln überprüfen. Dies zeigt, ob der Datenverkehr überhaupt in diese Regel gelangt:

Auf der Einstellungsseite des Messgeräts können Sie die zeitliche Veränderung der Kanalparameter sehen. Der Schwellenwert des Parameters ist gestrichelt dargestellt.

Im Webinterface können Sie sehen, wie sich der Datenverkehr nach Volumen der übertragenen/empfangenen Daten und der Anzahl der Sitzungen verteilt:

Darüber hinaus gibt es die hervorragende Möglichkeit, den Paketeverkehr mit maximaler Detailgenauigkeit zu verfolgen. Bei der Arbeit in einem echten Netzwerk sammelt die Gerätekonfiguration viele Richtlinien für das Routing, die Firewall und die Verteilung des Datenverkehrs über die SD-WAN-Ports. All dies interagiert auf komplexe Weise und obwohl der Anbieter detaillierte Flussdiagramme der Paketverarbeitungsalgorithmen bereitstellt, ist es sehr wichtig, die Möglichkeit zu haben, nicht Theorien zu erstellen und zu überprüfen, sondern zu sehen, wohin der Datenverkehr tatsächlich geht.

Zum Beispiel ermöglicht der folgende Befehl

diagnose debug flow filter saddr 10.200.64.15 diagnose debug flow filter daddr 10.1.7.2 diagnose debug flow show function-name diagnose debug aktivieren diagnose debug trace 2

das Verfolgen von zwei Paketen mit der Quelladresse 10.200.64.15 und der Zieladresse 10.1.7.2.
Wir pingen 10.7.1.2 von 10.200.64.15 zweimal an und schauen uns die Ausgabe in der Konsole an.

Erstes Paket:

Zweites Paket:

Hier ist das erste Paket, das von der Firewall empfangen wurde:
id=20085 trace_id=475 func=print_pkt_detail line=5605 msg="vd-Internet:0 erhielt ein Paket(proto=1, 10.200.64.15:42->10.1.7.2:2048) von DMZ-Office. Typ=8, Code=0, ID=42, Seq=0." VDOM – Internet, Proto=1 (ICMP), DMZ-Office – Bezeichnung der L3-Schnittstelle. Typ=8 – Echo.

Für dieses Paket wurde eine neue Sitzung erstellt:
msg="allocate a new session-0006a627"

Es wurde eine Übereinstimmung in den Einstellungen der Routingrichtlinien gefunden.
msg="Match policy routing id=2136539137: to 10.1.7.2 via ifindex-110"

Es stellt sich heraus, dass das Paket in einen der VPN-Tunnel gesendet werden muss:
"find a route: flag=04000000 gw-192.168.254.1 via DC-Ph1-1"

In den Firewall-Richtlinien wird eine erlaubende Regel gefunden:
msg="Allowed by Policy-3:"

Das Paket wird verschlüsselt und in den VPN-Tunnel gesendet:
func=ipsecdev_hard_start_xmit line=789 msg="Betreten Sie die IPsec-Schnittstelle-DC-Ph1-1" func=_ipsecdev_hard_start_xmit line=666 msg="IPsec-Tunnel-DC-Ph1-1" func=esp_output4 line=905 msg="IPsec-Verschlüsselung/Authentifizierung"

Das verschlüsselte Paket wird an die Gateway-Adresse für dieses WAN-Interface gesendet:
msg="send to 2.2.2.2 via intf-WAN1"

Für das zweite Paket geschieht alles ähnlich, aber es wird in einen anderen VPN-Tunnel gesendet und geht über einen anderen Firewall-Port:
func=ipsecdev_hard_start_xmit zeile=789 nachricht="Betrete IPsec-Schnittstelle-DC-Ph1-2" func=_ipsecdev_hard_start_xmit zeile=666 nachricht="IPsec-Tunnel-DC-Ph1-2" func=esp_output4 line=905 msg="IPsec-Verschlüsselung/Authentifizierung" func=ipsec_output_finish zeile=622 nachricht="senden an 4.4.4.2 über intf-WAN2"

Vorteile der Lösung

Zuverlässige Funktionalität und benutzerfreundliches Interface. Die Funktionen, die in FortiOS vor der Einführung von SD-WAN verfügbar waren, bleiben vollständig erhalten. Das heißt, wir haben keine neu entwickelte Software, sondern ein ausgereiftes System von einem bewährten Anbieter von Firewalls. Mit einer traditionellen Reihe von Netzwerkfunktionen und einer benutzerfreundlichen, einfach zu erlernenden Web-Oberfläche. Haben viele SD-WAN-Anbieter beispielsweise Remote-Access-VPN-Funktionalität auf den Endgeräten?

Sicherheit auf Stufe 80. FortiGate gehört zu den Top-Lösungen im Bereich der Firewall-Technologie. Im Internet gibt es zahlreiche Materialien zur Konfiguration und Verwaltung von Firewalls, und auf dem Arbeitsmarkt gibt es viele Sicherheitsexperten, die bereits mit den Lösungen des Anbieters vertraut sind.

Null Kosten für SD-WAN-Funktionen. Der Aufbau eines SD-WAN-Netzes auf FortiGate kostet genauso viel wie der Aufbau eines normalen WAN-Netzes, da keine zusätzlichen Lizenzen für die Umsetzung der SD-WAN-Funktionalität erforderlich sind.

Niedrige Einstiegskosten. Fortigate bietet eine gute Auswahl an Geräten für unterschiedliche Leistungsanforderungen. Die einfachsten und preiswertesten Modelle eignen sich gut für den Aufbau eines Büros oder Verkaufsstandorts mit beispielsweise 3-5 Mitarbeitern. Viele Anbieter haben solche leistungsschwachen und erschwinglichen Modelle einfach nicht.

Hohe Leistung. Die Reduzierung der SD-WAN-Funktionalität auf Lastenausgleich ermöglichte es dem Unternehmen, einen spezialisierten SD-WAN-ASIC herauszubringen, wodurch die Leistung der SD-WAN-Funktionalität die Gesamteffizienz der Firewall nicht beeinträchtigt.

Die Möglichkeit, ein Büro vollständig mit Fortinet-Hardware zu realisieren. Dies umfasst mehrere Firewalls, Switches und Wi-Fi-Access-Points. Ein solches Büro lässt sich einfach und bequem verwalten – die Switches und Access-Points werden an den Firewalls registriert und von dort aus verwaltet. So könnte beispielsweise der Port eines Switches von der Benutzeroberfläche der Firewall aussehen, die diesen Switch verwaltet:

Fehlende Controller als einzelner Ausfallpunkt. Darauf weist der Anbieter selbst hin, aber das kann nur teilweise als Vorteil angesehen werden, denn bei den Anbietern, die über Controller verfügen, ist die Gewährleistung ihrer Ausfallsicherheit meist kostengünstig, häufig im Preis einer kleinen Menge an Rechenressourcen in einer Virtualisierungsumgebung.

Worauf man achten sollte

Fehlende Trennung von Control Plane und Data Plane. Das bedeutet, dass das Netzwerk entweder manuell oder mit bereits vorhandenen traditionellen Verwaltungsmitteln – FortiManager – konfiguriert werden muss. Bei Anbietern, bei denen diese Trennung realisiert ist, konfiguriert sich das Netzwerk selbst. Der Administrator muss möglicherweise nur die Topologie anpassen, etwas irgendwo verbieten, nicht mehr. Ein Vorteil von FortiManager ist, dass er nicht nur Firewalls, sondern auch Switches und WLAN-Zugangspunkte verwalten kann, also praktisch das gesamte Netzwerk.

Bedingtes Wachstum der Verwaltbarkeit. Da zur Automatisierung der Netzwerkkonfiguration traditionelle Mittel verwendet werden, steigt die Verwaltbarkeit des Netzwerks mit der Einführung von SD-WAN nur geringfügig. Andererseits steht die neue Funktionalität schneller zur Verfügung, da der Anbieter sie zunächst nur für das Betriebssystem der Firewalls veröffentlicht (was sofort die Nutzung ermöglicht), und erst später ergänzt er die erforderlichen Schnittstellen des Verwaltungssystems.

Ein Teil der Funktionalität kann über die Kommandozeile verfügbar sein, ist aber im Web-Interface nicht verfügbar. Es ist nicht so schlimm, gelegentlich in die Kommandozeile zu gehen, um etwas zu konfigurieren, wie das Gefühl, im Web-Interface nicht zu sehen, dass etwas schon über die Kommandozeile konfiguriert wurde. Das betrifft aber normalerweise die neuesten Funktionen, und schrittweise, mit den Updates von FortiOS, wird die Möglichkeit des Web-Interfaces nachgezogen.

Für wen es geeignet ist

Für diejenigen, die nicht viele Filialen haben. Die Implementierung einer SD-WAN-Lösung mit komplexen zentralen Komponenten in einem Netzwerk mit 8-10 Filialen kann sich nicht lohnen – man müsste Geld für Lizenzen für SD-WAN-Geräte und Ressourcen des Virtualisierungssystems für die Bereitstellung der zentralen Komponenten ausgeben. Freie Rechenressourcen hat ein kleines Unternehmen in der Regel kaum. Bei Fortinet reicht es aus, einfach Firewalls zu kaufen.

Für diejenigen, die sehr viele kleine Filialen haben. Bei vielen Anbietern ist der Mindestpreis pro Filiale relativ hoch und könnte für den Endkunden geschäftlich uninteressant sein. Fortinet bietet kleine Geräte zu einem sehr attraktiven Preis an.

Für diejenigen, die noch nicht bereit sind, zu weit zu gehen. Die Einführung von SD-WAN mit Controllern, proprietärem Routing, einem neuen Ansatz für Netzwerkplanung und -verwaltung kann für einige Kunden ein zu großer Schritt sein. Ja, diese Implementierung wird letztendlich helfen, die Nutzung von Kommunikationskanälen und die Arbeit der Administratoren zu optimieren, aber zuerst muss viel Neues gelernt werden. Für diejenigen, die bereit sind, die Paradigmen zu wechseln, aber mehr aus ihren Kommunikationskanälen herausholen möchten, ist die Lösung von Fortinet genau das Richtige.

Quelle: habr.com