<\/p>\n\u201eRechenzentrum\u201c (DC)
config system interface
config vpn ipsec phase1-interface
config vpn ipsec phase2-interface
config router static
config router bgp
\u2003config network
config system interface
config vpn ipsec phase1-interface
config vpn ipsec phase2-interface
config router static
config router bgp
\u2003 config network
<\/code><\/p>\n
Ich stelle die Konfiguration im Textformat zur Verf\u00fcgung, weil ich denke, dass es so bequemer ist, VPN einzurichten. Fast alle Einstellungen von beiden Seiten sind gleich, im Textformat lassen sie sich einfach kopieren und einf\u00fcgen. Wenn man dasselbe im Web-Interface macht, kann man leicht Fehler machen \u2013 eine Auswahl vergessen oder einen falschen Wert eingeben. <\/p>\n
Nachdem wir die Schnittstellen zum Bundle hinzugef\u00fcgt haben,<\/p>\n
Datenverkehr kann aus dem allgemeinen Fluss nach L3-L4-Informationen, erkannten Anwendungen, Internetdiensten (URLs und IPs) sowie erkannten Benutzern von Arbeitsplatz- und Laptop-Computern herausgefiltert werden. Danach kann f\u00fcr den gefilterten Datenverkehr einer der folgenden Lastenausgleichsalgorithmen zugewiesen werden:<\/p>\n
\u00dcber die Lastverteilungsalgorithmen \nIn Bezug darauf, wie Fortigate (die Firewall von Fortinet) den Verkehr zwischen Kan\u00e4len aufteilen kann, gibt es zwei interessante Optionen, die auf dem Markt nicht sehr verbreitet sind:<\/p>\n
Niedrigste Kosten (SLA)<\/b> \u2013 von all den Schnittstellen, die derzeit den SLA erf\u00fcllen, wird diejenige ausgew\u00e4hlt, die das niedrigste Gewicht (cost) hat, das vom Administrator manuell festgelegt wurde; dieser Modus eignet sich f\u00fcr \"volumetrischen\" Verkehr, wie beispielsweise Backup und Dateitransfer. <\/p>\n
Beste Qualit\u00e4t (SLA)<\/b> \u2013 dieser Algorithmus kann neben den \u00fcblichen Latenzen, Jitter und Paketverlust auch die aktuelle Auslastung des Kanals zur Einsch\u00e4tzung der Kanalqualit\u00e4t verwenden; dieser Modus eignet sich f\u00fcr \"sensiblen\" Verkehr, wie IP-Telefonie (VoIP) und Videokonferenzen.<\/p>\n
F\u00fcr diese Algorithmen ist die Konfiguration des Leistungs-SLA-Messger\u00e4ts erforderlich. Dieses Messger\u00e4t \u00fcberwacht regelm\u00e4\u00dfig (Pr\u00fcfintervall) die Informationen \u00fcber die Einhaltung des SLA: Paketverluste, Latenz und Jitter im Kommunikationskanal, und kann \"Schlechte\" Kan\u00e4le aussondern, die momentan nicht die Schwellenwerte f\u00fcr die Qualit\u00e4t einhalten \u2013 zu viele Pakete verlieren oder zu hohe Latenzzeiten aufweisen. Dar\u00fcber hinaus \u00fcberwacht das Messger\u00e4t den Status des Kanals und kann ihn vor\u00fcbergehend aus dem Bundle entfernen, wenn es wiederholt zu Paketverlusten kommt. Nach der Wiederherstellung, nachdem mehrere aufeinanderfolgende Antworten eingegangen sind, wird der Kanal automatisch wieder ins Bundle eingef\u00fcgt und Daten werden erneut \u00fcber ihn \u00fcbertragen.<\/p>\n
So sieht die Einstellung des \"Messger\u00e4ts\" aus: <\/p>\n
Fehlersuche<\/h3>\n \nWenn Sie eine Regel erstellt haben und alles nicht wie erwartet funktioniert, sollten Sie den Wert Hit Count in der Liste der SD-WAN-Regeln \u00fcberpr\u00fcfen. Dies zeigt, ob der Datenverkehr \u00fcberhaupt in diese Regel gelangt:<\/p>\n
Zum Beispiel erm\u00f6glicht der folgende Befehl<\/p>\n
diagnose debug flow filter saddr 10.200.64.15das Verfolgen von zwei Paketen mit der Quelladresse 10.200.64.15 und der Zieladresse 10.1.7.2.
Erstes Paket:<\/p>\n
id=20085 trace_id=475 func=print_pkt_detail line=5605 msg=\"vd-Internet:0 erhielt ein Paket(proto=1, 10.200.64.15:42->10.1.7.2:2048) von DMZ-Office. type=8, code=0, id=42, seq=0.\"DMZ-Office \u2013 Bezeichnung der L3-Schnittstelle. <\/b>Typ=8 \u2013 Echo.<\/code><\/p>\n F\u00fcr dieses Paket wurde eine neue Sitzung erstellt:msg=\"eine neue Sitzung zuweisen-0006a627\"<\/code><\/p>\nEs wurde eine \u00dcbereinstimmung in den Einstellungen der Routingrichtlinien gefunden.msg=\"Match-Policy-Routing id=2136539137: zu 10.1.7.2 \u00fcber ifindex-110\"<\/code><\/p>\nEs stellt sich heraus, dass das Paket in einen der VPN-Tunnel gesendet werden muss:\"Route suchen: flag=04000000 gw-192.168.254.1 \u00fcber DC-Ph1-1\"<\/code><\/p>\nIn den Firewall-Richtlinien wird eine erlaubende Regel gefunden:msg=\"Von Policy-3 erlaubt:\"<\/code><\/p>\nDas Paket wird verschl\u00fcsselt und in den VPN-Tunnel gesendet:func=ipsecdev_hard_start_xmit line=789 msg=\"IPsec-Schnittstelle-DC-Ph1-1 betreten\"Das verschl\u00fcsselte Paket wird an die Gateway-Adresse f\u00fcr dieses WAN-Interface gesendet:msg=\"an 2.2.2.2 \u00fcber intf-WAN1 senden\"<\/code><\/p>\nF\u00fcr das zweite Paket geschieht alles \u00e4hnlich, aber es wird in einen anderen VPN-Tunnel gesendet und geht \u00fcber einen anderen Firewall-Port:func=ipsecdev_hard_start_xmit line=789 msg=\"Betreten Sie die IPsec-Schnittstelle-DC-Ph1-2\"Vorteile der L\u00f6sung \nZuverl\u00e4ssige Funktionalit\u00e4t und benutzerfreundliches Interface. <\/b>Die Funktionen, die in FortiOS vor der Einf\u00fchrung von SD-WAN verf\u00fcgbar waren, bleiben vollst\u00e4ndig erhalten. Das hei\u00dft, wir haben keine neu entwickelte Software, sondern ein ausgereiftes System von einem bew\u00e4hrten Anbieter von Firewalls. Mit einer traditionellen Reihe von Netzwerkfunktionen und einer benutzerfreundlichen, einfach zu erlernenden Web-Oberfl\u00e4che. Haben viele SD-WAN-Anbieter beispielsweise Remote-Access-VPN-Funktionalit\u00e4t auf den Endger\u00e4ten?<\/p>\n
Sicherheit auf Stufe 80. <\/b>FortiGate geh\u00f6rt zu den Top-L\u00f6sungen im Bereich der Firewall-Technologie. Im Internet gibt es zahlreiche Materialien zur Konfiguration und Verwaltung von Firewalls, und auf dem Arbeitsmarkt gibt es viele Sicherheitsexperten, die bereits mit den L\u00f6sungen des Anbieters vertraut sind.<\/p>\n
Null Kosten f\u00fcr SD-WAN-Funktionen. <\/b>Der Aufbau eines SD-WAN-Netzes auf FortiGate kostet genauso viel wie der Aufbau eines normalen WAN-Netzes, da keine zus\u00e4tzlichen Lizenzen f\u00fcr die Umsetzung der SD-WAN-Funktionalit\u00e4t erforderlich sind. <\/p>\n
Niedrige Einstiegskosten. <\/b>Fortigate bietet eine gute Auswahl an Ger\u00e4ten f\u00fcr unterschiedliche Leistungsanforderungen. Die einfachsten und preiswertesten Modelle eignen sich gut f\u00fcr den Aufbau eines B\u00fcros oder Verkaufsstandorts mit beispielsweise 3-5 Mitarbeitern. Viele Anbieter haben solche leistungsschwachen und erschwinglichen Modelle einfach nicht. <\/p>\n
Hohe Leistung. <\/b>Die Reduzierung der SD-WAN-Funktionalit\u00e4t auf Lastenausgleich erm\u00f6glichte es dem Unternehmen, einen spezialisierten SD-WAN-ASIC herauszubringen, wodurch die Leistung der SD-WAN-Funktionalit\u00e4t die Gesamteffizienz der Firewall nicht beeintr\u00e4chtigt. <\/p>\n
Die M\u00f6glichkeit, ein B\u00fcro vollst\u00e4ndig mit Fortinet-Hardware zu realisieren. <\/b>Dies umfasst mehrere Firewalls, Switches und Wi-Fi-Access-Points. Ein solches B\u00fcro l\u00e4sst sich einfach und bequem verwalten \u2013 die Switches und Access-Points werden an den Firewalls registriert und von dort aus verwaltet. So k\u00f6nnte beispielsweise der Port eines Switches von der Benutzeroberfl\u00e4che der Firewall aussehen, die diesen Switch verwaltet:<\/p>\n
Fehlende Controller als einzelner Ausfallpunkt. <\/b>Darauf weist der Anbieter selbst hin, aber das kann nur teilweise als Vorteil angesehen werden, denn bei den Anbietern, die \u00fcber Controller verf\u00fcgen, ist die Gew\u00e4hrleistung ihrer Ausfallsicherheit meist kosteng\u00fcnstig, h\u00e4ufig im Preis einer kleinen Menge an Rechenressourcen in einer Virtualisierungsumgebung.<\/p>\nWorauf man achten sollte
\nFehlende Trennung von Control Plane und Data Plane<\/b>. Das bedeutet, dass das Netzwerk entweder manuell oder mit bereits vorhandenen traditionellen Verwaltungsmitteln \u2013 FortiManager \u2013 konfiguriert werden muss. Bei Anbietern, bei denen diese Trennung realisiert ist, konfiguriert sich das Netzwerk selbst. Der Administrator muss m\u00f6glicherweise nur die Topologie anpassen, etwas irgendwo verbieten, nicht mehr. Ein Vorteil von FortiManager ist, dass er nicht nur Firewalls, sondern auch Switches und WLAN-Zugangspunkte verwalten kann, also praktisch das gesamte Netzwerk. <\/p>\n
Bedingtes Wachstum der Verwaltbarkeit. <\/b>Da zur Automatisierung der Netzwerkkonfiguration traditionelle Mittel verwendet werden, steigt die Verwaltbarkeit des Netzwerks mit der Einf\u00fchrung von SD-WAN nur geringf\u00fcgig. Andererseits steht die neue Funktionalit\u00e4t schneller zur Verf\u00fcgung, da der Anbieter sie zun\u00e4chst nur f\u00fcr das Betriebssystem der Firewalls ver\u00f6ffentlicht (was sofort die Nutzung erm\u00f6glicht), und erst sp\u00e4ter erg\u00e4nzt er die erforderlichen Schnittstellen des Verwaltungssystems.<\/p>\n
Ein Teil der Funktionalit\u00e4t kann \u00fcber die Kommandozeile verf\u00fcgbar sein, ist aber im Web-Interface nicht verf\u00fcgbar. <\/b>Es ist nicht so schlimm, gelegentlich in die Kommandozeile zu gehen, um etwas zu konfigurieren, wie das Gef\u00fchl, im Web-Interface nicht zu sehen, dass etwas schon \u00fcber die Kommandozeile konfiguriert wurde. Das betrifft aber normalerweise die neuesten Funktionen, und schrittweise, mit den Updates von FortiOS, wird die M\u00f6glichkeit des Web-Interfaces nachgezogen.<\/p>\nF\u00fcr wen es geeignet ist<\/h3>\n
\nF\u00fcr diejenigen, die nicht viele Filialen haben.<\/b> Die Implementierung einer SD-WAN-L\u00f6sung mit komplexen zentralen Komponenten in einem Netzwerk mit 8-10 Filialen kann sich nicht lohnen \u2013 man m\u00fcsste Geld f\u00fcr Lizenzen f\u00fcr SD-WAN-Ger\u00e4te und Ressourcen des Virtualisierungssystems f\u00fcr die Bereitstellung der zentralen Komponenten ausgeben. Freie Rechenressourcen hat ein kleines Unternehmen in der Regel kaum. Bei Fortinet reicht es aus, einfach Firewalls zu kaufen. <\/p>\n
F\u00fcr diejenigen, die sehr viele kleine Filialen haben. <\/b>Bei vielen Anbietern ist der Mindestpreis pro Filiale relativ hoch und k\u00f6nnte f\u00fcr den Endkunden gesch\u00e4ftlich uninteressant sein. Fortinet bietet kleine Ger\u00e4te zu einem sehr attraktiven Preis an. <\/p>\n
F\u00fcr diejenigen, die noch nicht bereit sind, zu weit zu gehen. <\/b>Die Einf\u00fchrung von SD-WAN mit Controllern, propriet\u00e4rem Routing, einem neuen Ansatz f\u00fcr Netzwerkplanung und -verwaltung kann f\u00fcr einige Kunden ein zu gro\u00dfer Schritt sein. Ja, diese Implementierung wird letztendlich helfen, die Nutzung von Kommunikationskan\u00e4len und die Arbeit der Administratoren zu optimieren, aber zuerst muss viel Neues gelernt werden. F\u00fcr diejenigen, die bereit sind, die Paradigmen zu wechseln, aber mehr aus ihren Kommunikationskan\u00e4len herausholen m\u00f6chten, ist die L\u00f6sung von Fortinet genau das Richtige.habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"\u0421\u0443\u0434\u044f \u043f\u043e \u0447\u0438\u0441\u043b\u0443 \u0432\u043e\u043f\u0440\u043e\u0441\u043e\u0432, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043d\u0430\u043c \u0441\u0442\u0430\u043b\u0438 \u043f\u0440\u0438\u043b\u0435\u0442\u0430\u0442\u044c \u043f\u043e SD-WAN, \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u044f \u043d\u0430\u0447\u0430\u043b\u0430 \u043e\u0441\u043d\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u043e \u043f\u0440\u0438\u0436\u0438\u0432\u0430\u0442\u044c\u0441\u044f \u0432 \u0420\u043e\u0441\u0441\u0438\u0438. \u0412\u0435\u043d\u0434\u043e\u0440\u044b, \u0435\u0441\u0442\u0435\u0441\u0442\u0432\u0435\u043d\u043d\u043e, \u043d\u0435 \u0434\u0440\u0435\u043c\u043b\u044e\u0442 \u0438 \u043f\u0440\u0435\u0434\u043b\u0430\u0433\u0430\u044e\u0442 \u0441\u0432\u043e\u0438 \u043a\u043e\u043d\u0446\u0435\u043f\u0446\u0438\u0438, \u0430 \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0441\u043c\u0435\u043b\u044c\u0447\u0430\u043a\u0438 \u043f\u0435\u0440\u0432\u043e\u043f\u0440\u043e\u0445\u043e\u0434\u0446\u044b \u0443\u0436\u0435 \u0432\u043d\u0435\u0434\u0440\u044f\u044e\u0442 \u0438\u0445 \u0443 \u0441\u0435\u0431\u044f \u043d\u0430 \u0441\u0435\u0442\u0438. \u041c\u044b \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u043c \u043f\u043e\u0447\u0442\u0438 \u0441\u043e \u0432\u0441\u0435\u043c\u0438 \u0432\u0435\u043d\u0434\u043e\u0440\u0430\u043c\u0438, \u0438 \u0437\u0430 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u043b\u0435\u0442 \u0432 \u043d\u0430\u0448\u0435\u0439 \u043b\u0430\u0431\u043e\u0440\u0430\u0442\u043e\u0440\u0438\u0438 \u044f \u0443\u0441\u043f\u0435\u043b \u043f\u043e\u043a\u043e\u043f\u0430\u0442\u044c\u0441\u044f \u0432 \u0430\u0440\u0445\u0438\u0442\u0435\u043a\u0442\u0443\u0440\u0435 \u043a\u0430\u0436\u0434\u043e\u0433\u043e \u043a\u0440\u0443\u043f\u043d\u043e\u0433\u043e […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":95433,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-95432","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t