<\/p>\n\u201eRechenzentrum\u201c (DC)
config system interface
config vpn ipsec phase1-interface
config vpn ipsec phase2-interface
config router static
config router bgp
\u2003config network
config system interface
config vpn ipsec phase1-interface
config vpn ipsec phase2-interface
config router static
config router bgp
\u2003 config network
<\/code><\/p>\n
Ich bringe die Konfiguration in Textform, weil es meiner Meinung nach einfacher ist, das VPN so einzurichten. Die meisten Einstellungen auf beiden Seiten sind identisch und k\u00f6nnen in Textform ganz leicht kopiert werden. Wenn man das Gleiche im Web-Interface macht, k\u00f6nnen leicht Fehler passieren \u2013 man vergisst vielleicht, irgendwo ein H\u00e4kchen zu setzen oder gibt einen falschen Wert ein. <\/p>\n
Nachdem wir die Schnittstellen zum Bundle hinzugef\u00fcgt haben,<\/p>\n
Der Datenverkehr kann aus dem gesamten Fluss gem\u00e4\u00df L3-L4-Informationen, erkanntem Anwendungen und Internetdiensten (URLs und IPs) sowie durch identifizierte Benutzer von Arbeitsstationen und Laptops hervorgehoben werden. Daraufhin kann f\u00fcr den hervorgehobenen Datenverkehr einer der folgenden Lastenausgleichsalgorithmen zugewiesen werden:<\/p>\n
\u00dcber die Lastenausgleichsalgorithmen \nIm Hinblick darauf, wie Fortigate (die Firewall von Fortinet) den Datenverkehr zwischen den Kan\u00e4len verteilt, gibt es zwei interessante Optionen, die auf dem Markt nicht sehr verbreitet sind:<\/p>\n
Niedrigste Kosten (SLA)<\/b> \u2013 Von allen derzeit verf\u00fcgbaren Schnittstellen, die die SLA erf\u00fcllen, wird diejenige mit dem niedrigsten Gewicht (Kosten), die vom Administrator manuell festgelegt wurde, ausgew\u00e4hlt; dieser Modus eignet sich f\u00fcr \"volumetrischen\" Datenverkehr, wie z. B. f\u00fcr Backups und Datei\u00fcbertragungen. <\/p>\n
Beste Qualit\u00e4t (SLA)<\/b> \u2013 Dieser Algorithmus kann neben den \u00fcblichen Verz\u00f6gerungen, Jitter und Paketverlusten auch die aktuelle Auslastung des Kanals zur Bewertung der Kanalqualit\u00e4t verwenden; dieser Modus ist f\u00fcr \"sensiblen\" Datenverkehr geeignet, wie z. B. f\u00fcr IP-Telefonie (VoIP) und Videokonferenzen.<\/p>\n
F\u00fcr diese Algorithmen ist die Konfiguration eines Leistungs\u00fcberwachungsme\u00dfger\u00e4tes \u2013 Performance SLA \u2013 erforderlich. Dieses Ger\u00e4t \u00fcberwacht regelm\u00e4\u00dfig (\u00dcberwachungsintervall) die Einhaltung der SLA: Paketverlust (packet loss), Latenz (latency) und Jitter im Kommunikationskanal und kann Kan\u00e4le, die derzeit nicht die Qualit\u00e4tsstandards erf\u00fcllen \u2013 zu viele Pakete verlieren oder zu hohe Latenzzeiten aufweisen \u2013 'ausmustern'. Dar\u00fcber hinaus \u00fcberwacht das Ger\u00e4t den Status des Kanals und kann ihn vor\u00fcbergehend aus dem Bundle entfernen, wenn wiederholt Antworten verloren gehen (failures before inactive). Nach der Wiederherstellung, nach mehreren aufeinanderfolgenden Antworten (restore link after), wird der Kanal automatisch wieder in das Bundle eingef\u00fcgt, und Daten k\u00f6nnen erneut \u00fcber ihn \u00fcbertragen werden.<\/p>\n
So sieht die Konfiguration des 'Messger\u00e4tes' aus: <\/p>\n
Fehlerbehebung<\/h3>\n \nWenn Sie eine Regel erstellt haben und alles nicht wie erwartet funktioniert, sollten Sie den Wert \"Hit Count\" in der Liste der SD-WAN-Regeln \u00fcberpr\u00fcfen. Er zeigt an, ob der Verkehr diese Regel \u00fcberhaupt erreicht:<\/p>\n
Zum Beispiel wird der folgende Befehlssatz<\/p>\n
Diagnose Debug Flussfilter Quelladresse 10.200.64.15erm\u00f6glichen, zwei Pakete mit der Quelladresse 10.200.64.15 und der Zieladresse 10.1.7.2 zu verfolgen.
Erstes Paket:<\/p>\n
id=20085 trace_id=475 func=print_pkt_detail line=5605 msg="vd-Internet:0 received a packet(proto=1, 10.200.64.15:42->10.1.7.2:2048) from DMZ-Office. type=8, code=0, id=42, seq=0."DMZ-Office \u2013 Bezeichnung des L3-Interfaces. <\/b>Typ=8 \u2013 Echo.<\/code><\/p>\n Es wurde eine neue Sitzung erstellt:msg="allocate a new session-0006a627"<\/code><\/p>\nEs wurde eine \u00dcbereinstimmung in den Richtlinien f\u00fcr das Routing festgestellt.msg="Match policy routing id=2136539137: to 10.1.7.2 via ifindex-110"<\/code><\/p>\nEs stellt sich heraus, dass das Paket in einen der VPN-Tunnel gesendet werden muss:"find a route: flag=04000000 gw-192.168.254.1 via DC-Ph1-1"<\/code><\/p>\nIn den Firewall-Richtlinien wird eine Erlaubnisregel gefunden:msg="Allowed by Policy-3:"<\/code><\/p>\nDas Paket wird verschl\u00fcsselt und in den VPN-Tunnel gesendet:func=ipsecdev_hard_start_xmit line=789 msg="enter IPsec interface-DC-Ph1-1"Das verschl\u00fcsselte Paket wird an die Gateway-Adresse des WAN-Interfaces gesendet:msg="send to 2.2.2.2 via intf-WAN1"<\/code><\/p>\nF\u00fcr das zweite Paket geschieht alles \u00e4hnlich, aber es wird in einen anderen VPN-Tunnel gesendet und verl\u00e4sst den Firewall \u00fcber einen anderen Port:func=ipsecdev_hard_start_xmit line=789 msg="enter IPsec interface-DC-Ph1-2"Vorteile der L\u00f6sung \nZuverl\u00e4ssige Funktionalit\u00e4t und benutzerfreundliches Interface. <\/b>Die Funktionalit\u00e4ten, die in FortiOS vor der Einf\u00fchrung von SD-WAN verf\u00fcgbar waren, wurden weiterhin vollst\u00e4ndig beibehalten. Das hei\u00dft, wir verf\u00fcgen nicht \u00fcber eine neu entwickelte Software, sondern \u00fcber ein ausgereiftes System von einem bew\u00e4hrten Anbieter von Firewalls. Mit einem traditionellen Set an Netzwerkfunktionen und einer benutzerfreundlichen, leicht verst\u00e4ndlichen Weboberfl\u00e4che. Wenige Anbieter von SD-WAN verf\u00fcgen an den Endger\u00e4ten beispielsweise \u00fcber die Funktionalit\u00e4t eines Remote-Access VPN.<\/p>\n
Sicherheit der Stufe 80. <\/b>FortiGate z\u00e4hlt zu den Top-L\u00f6sungen im Bereich Firewall. Im Internet gibt es zahlreiche Materialien zur Einrichtung und Verwaltung von Firewalls, und auf dem Arbeitsmarkt gibt es viele Sicherheitsspezialisten, die bereits mit den L\u00f6sungen des Anbieters vertraut sind.<\/p>\n
Null Kosten f\u00fcr SD-WAN-Funktionalit\u00e4t. <\/b>Der Aufbau eines SD-WAN-Netzwerks auf FortiGate kostet ebenso viel wie der Aufbau eines herk\u00f6mmlichen WAN-Netzwerks, da keine zus\u00e4tzlichen Lizenzen zur Aktivierung der SD-WAN-Funktionalit\u00e4t erforderlich sind. <\/p>\n
Geringe Einstiegskosten. <\/b>Fortigate bietet eine gute Auswahl an Ger\u00e4ten f\u00fcr unterschiedliche Leistungsanforderungen. Die einfachsten und kosteng\u00fcnstigsten Modelle sind durchaus geeignet, um ein B\u00fcro oder einen Verkaufsstand f\u00fcr 3 bis 5 Mitarbeiter einzurichten. Viele Anbieter haben solche leistungsarmen und erschwinglichen Modelle schlichtweg nicht im Programm. <\/p>\n
Hohe Performance. <\/b>Die Reduzierung der SD-WAN-Funktionalit\u00e4t auf die Verkehrsbalancierung erm\u00f6glichte es dem Unternehmen, einen spezialisierten SD-WAN ASIC zu entwickeln, dank dem die SD-WAN-Betriebsf\u00e4higkeit die Leistung der Firewall insgesamt nicht beeintr\u00e4chtigt. <\/p>\n
Die M\u00f6glichkeit, ein B\u00fcro vollst\u00e4ndig mit Fortinet-Ausr\u00fcstung zu realisieren. <\/b>Dazu geh\u00f6ren einige Firewalls, Switches und Wi-Fi-Access Points. Mit einem solchen B\u00fcro l\u00e4sst sich die Verwaltung einfach und unkompliziert gestalten \u2013 die Switches und Access Points werden an den Firewalls registriert und von dort aus verwaltet. So k\u00f6nnte beispielsweise der Port eines Switches aus der Benutzeroberfl\u00e4che der Firewall aussehen, die diesen Switch steuert:<\/p>\n
Das Fehlen von Controllern als einzige Ausfallstelle. <\/b>Dies betont der Anbieter selbst, aber man kann dies nur teilweise als Vorteil betrachten, denn bei Anbietern, die Controller haben, ist die Gew\u00e4hrleistung der Ausfallsicherheit kosteng\u00fcnstig, meist nur mit den Kosten f\u00fcr eine geringe Anzahl an Rechenressourcen in der Virtualisierungsumgebung verbunden.<\/p>\nWorauf man achten sollte
\nFehlendes Trennen von Control Plane und Data Plane<\/b>. Das bedeutet, dass das Netzwerk entweder manuell konfiguriert werden muss oder unter Verwendung bereits vorhandener traditioneller Verwaltungstools wie FortiManager. Bei Anbietern, bei denen ein solches Trennen implementiert ist, wird das Netzwerk automatisch erstellt. Der Administrator muss m\u00f6glicherweise nur die Topologie anpassen oder einige Dinge sperren, nicht mehr. Der Vorteil von FortiManager besteht darin, dass er nicht nur Firewalls, sondern auch Switches und Wi-Fi-Zugangspunkte verwalten kann, also praktisch das gesamte Netzwerk. <\/p>\n
Bedingtes Wachstum der Verwaltbarkeit. <\/b>Da f\u00fcr die Automatisierung der Netzwerkkonfiguration traditionelle Mittel verwendet werden, verbessert sich die Steuerbarkeit des Netzwerks bei der Einf\u00fchrung von SD-WAN nur geringf\u00fcgig. Andererseits wird neue Funktionalit\u00e4t schneller verf\u00fcgbar, da der Anbieter diese zun\u00e4chst nur f\u00fcr das Betriebssystem der Firewall ver\u00f6ffentlicht (was sofortige Nutzung erm\u00f6glicht), bevor die erforderlichen Schnittstellen zum Management-System hinzugef\u00fcgt werden.<\/p>\n
Ein Teil der Funktionalit\u00e4t kann m\u00f6glicherweise \u00fcber die Befehlszeile zug\u00e4nglich sein, jedoch nicht \u00fcber die Web-Oberfl\u00e4che. <\/b>Es ist nicht so schlimm, gelegentlich die Befehlszeile zu benutzen, um etwas zu konfigurieren, wie es schlimm ist, in der Web-Oberfl\u00e4che nicht zu sehen, dass etwas bereits durch die Befehlszeile konfiguriert wurde. Dies betrifft jedoch normalerweise die neuesten Funktionen, und mit den Updates von FortiOS wird die Funktionalit\u00e4t der Web-Oberfl\u00e4che allm\u00e4hlich erweitert.<\/p>\nF\u00fcr wen es geeignet ist<\/h3>\n
\nF\u00fcr diejenigen, die nicht viele Niederlassungen haben.<\/b> Die Implementierung einer SD-WAN-L\u00f6sung mit komplexen zentralen Komponenten in einem Netzwerk von 8-10 Niederlassungen k\u00f6nnte sich als unn\u00f6tig erweisen \u2013 man muss in Lizenzen f\u00fcr SD-WAN-Ger\u00e4te und die Virtualisierungssystemressourcen f\u00fcr die Bereitstellung zentraler Komponenten investieren. Kleine Unternehmen verf\u00fcgen in der Regel nur \u00fcber begrenzte Rechenressourcen. Bei Fortinet reicht es aus, einfach Firewalls zu kaufen. <\/p>\n
F\u00fcr diejenigen, die viele kleine Niederlassungen haben. <\/b>Bei vielen Anbietern ist der Mindestpreis f\u00fcr eine L\u00f6sung pro Niederlassung relativ hoch und k\u00f6nnte f\u00fcr den Endkunden aus gesch\u00e4ftlicher Sicht unattraktiv sein. Fortinet bietet kleine Ger\u00e4te zu einem sehr attraktiven Preis an. <\/p>\n
F\u00fcr diejenigen, die noch nicht bereit sind, zu weit zu gehen. <\/b>Die Einf\u00fchrung von SD-WAN mit Controllern, propriet\u00e4rer Routing-Technologie sowie einem neuen Ansatz f\u00fcr Netzwerkplanung und -verwaltung kann f\u00fcr manche Kunden ein sehr gro\u00dfer Schritt sein. Ja, solch eine Implementierung wird letztendlich dabei helfen, die Nutzung der Kommunikationskan\u00e4le und die Arbeit der Administratoren zu optimieren, jedoch muss daf\u00fcr zun\u00e4chst viel Neues erlernt werden. F\u00fcr diejenigen, die noch nicht bereit sind, ihre Denkweise zu \u00e4ndern, aber dennoch mehr aus ihren Kommunikationskan\u00e4len herausholen wollen, ist die L\u00f6sung von Fortinet genau das Richtige.habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"\u0421\u0443\u0434\u044f \u043f\u043e \u0447\u0438\u0441\u043b\u0443 \u0432\u043e\u043f\u0440\u043e\u0441\u043e\u0432, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043d\u0430\u043c \u0441\u0442\u0430\u043b\u0438 \u043f\u0440\u0438\u043b\u0435\u0442\u0430\u0442\u044c \u043f\u043e SD-WAN, \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u044f \u043d\u0430\u0447\u0430\u043b\u0430 \u043e\u0441\u043d\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u043e \u043f\u0440\u0438\u0436\u0438\u0432\u0430\u0442\u044c\u0441\u044f \u0432 \u0420\u043e\u0441\u0441\u0438\u0438. \u0412\u0435\u043d\u0434\u043e\u0440\u044b, \u0435\u0441\u0442\u0435\u0441\u0442\u0432\u0435\u043d\u043d\u043e, \u043d\u0435 \u0434\u0440\u0435\u043c\u043b\u044e\u0442 \u0438 \u043f\u0440\u0435\u0434\u043b\u0430\u0433\u0430\u044e\u0442 \u0441\u0432\u043e\u0438 \u043a\u043e\u043d\u0446\u0435\u043f\u0446\u0438\u0438, \u0430 \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0441\u043c\u0435\u043b\u044c\u0447\u0430\u043a\u0438 \u043f\u0435\u0440\u0432\u043e\u043f\u0440\u043e\u0445\u043e\u0434\u0446\u044b \u0443\u0436\u0435 \u0432\u043d\u0435\u0434\u0440\u044f\u044e\u0442 \u0438\u0445 \u0443 \u0441\u0435\u0431\u044f \u043d\u0430 \u0441\u0435\u0442\u0438. \u041c\u044b \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u043c \u043f\u043e\u0447\u0442\u0438 \u0441\u043e \u0432\u0441\u0435\u043c\u0438 \u0432\u0435\u043d\u0434\u043e\u0440\u0430\u043c\u0438, \u0438 \u0437\u0430 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u043b\u0435\u0442 \u0432 \u043d\u0430\u0448\u0435\u0439 \u043b\u0430\u0431\u043e\u0440\u0430\u0442\u043e\u0440\u0438\u0438 \u044f \u0443\u0441\u043f\u0435\u043b \u043f\u043e\u043a\u043e\u043f\u0430\u0442\u044c\u0441\u044f \u0432 \u0430\u0440\u0445\u0438\u0442\u0435\u043a\u0442\u0443\u0440\u0435 \u043a\u0430\u0436\u0434\u043e\u0433\u043e \u043a\u0440\u0443\u043f\u043d\u043e\u0433\u043e […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":95433,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-95432","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t