<\/p>\n\u00abCentro de Datos\u00bb (DC)
config system interface
config vpn ipsec phase1-interface
config vpn ipsec phase2-interface
config router static
config router bgp
\u2003config network
config system interface
config vpn ipsec phase1-interface
config vpn ipsec phase2-interface
config router static
config router bgp
\u2003 config network
<\/code><\/p>\n
Presento la configuraci\u00f3n en formato de texto porque, en mi opini\u00f3n, es m\u00e1s conveniente configurar VPN de esta manera. Casi todos los par\u00e1metros en ambos lados son iguales, y en formato de texto se pueden copiar y pegar. Si se hace lo mismo en la interfaz web, es f\u00e1cil cometer errores, como olvidar marcar una opci\u00f3n o ingresar un valor incorrecto. <\/p>\n
Despu\u00e9s de agregar las interfaces al grupo<\/p>\n
El tr\u00e1fico se puede segmentar del flujo general por informaci\u00f3n L3-L4, por aplicaciones y servicios de Internet reconocidos (URL e IP), as\u00ed como por usuarios identificados de estaciones de trabajo y laptops. Despu\u00e9s de esto, se puede asignar uno de los siguientes algoritmos de balanceo al tr\u00e1fico segmentado:<\/p>\n
Sobre los algoritmos de balanceo \nEn cuanto a c\u00f3mo Fortigate (firewall de Fortinet) puede dividir el tr\u00e1fico entre los canales, hay dos opciones interesantes, no muy comunes en el mercado:<\/p>\n
Costo M\u00e1s Bajo (SLA)<\/b> \u2013 de todas las interfaces que cumplen con el SLA en ese momento, se selecciona aquella con el peso (cost) m\u00e1s bajo, establecido manualmente por el administrador; este modo es adecuado para tr\u00e1fico \u00aba granel\u00bb, como copias de seguridad y transferencia de archivos. <\/p>\n
Mejor Calidad (SLA)<\/b> \u2013 este algoritmo, adem\u00e1s de las latencias, el jitter y la p\u00e9rdida de paquetes habituales, Fortigate puede utilizar la carga actual del canal para evaluar la calidad; este modo es adecuado para tr\u00e1fico \u00absensible\u00bb, como la telefon\u00eda IP (VoIP) y videoconferencias.<\/p>\n
Para estos algoritmos se requiere la configuraci\u00f3n de un medidor de rendimiento de la conexi\u00f3n, el Performance SLA. Este medidor controla peri\u00f3dicamente (check interval) la informaci\u00f3n sobre el cumplimiento del SLA: p\u00e9rdidas (packet loss), latencia (latency) y jitter (jitter) en la conexi\u00f3n, y puede \"rechazar\" aquellos canales que en ese momento no satisfacen los valores umbral de calidad, es decir, pierden demasiados paquetes o tienen una latencia demasiado alta. Adem\u00e1s, el medidor supervisa el estado del canal y puede eliminarlo temporalmente del grupo en caso de p\u00e9rdidas recurrentes de respuestas (failures before inactive). Al restablecerse, despu\u00e9s de recibir varias respuestas sucesivas (restore link after), el medidor autom\u00e1ticamente devolver\u00e1 el canal al grupo, permitiendo que los datos se transmitan nuevamente a trav\u00e9s de \u00e9l.<\/p>\n
As\u00ed es como se configura el \"medidor\": <\/p>\n
Soluci\u00f3n de problemas<\/h3>\n \nSi se ha creado una regla y no funciona como se esperaba, es recomendable revisar el valor de Hit Count en la lista de Reglas de SD-WAN. Esto mostrar\u00e1 si el tr\u00e1fico est\u00e1 alcanzando realmente esta regla:<\/p>\n
Por ejemplo, el siguiente conjunto de comandos<\/p>\n
diagnosticar flujo de depuraci\u00f3n filtrar saddr 10.200.64.15Permite rastrear dos paquetes con la direcci\u00f3n de origen 10.200.64.15 y la direcci\u00f3n de destino 10.1.7.2.
Primer paquete:<\/p>\n
id=20085 trace_id=475 func=print_pkt_detail line=5605 msg=\"vd-Internet:0 recibi\u00f3 un paquete(proto=1, 10.200.64.15:42->10.1.7.2:2048) de DMZ-Office. tipo=8, c\u00f3digo=0, id=42, secuencia=0.\"DMZ-Office \u2013 nombre de la interfaz L3. <\/b>Type=8 \u2013 Echo.<\/code><\/p>\n Se ha creado una nueva sesi\u00f3n para \u00e9l:msg=\"asignar una nueva sesi\u00f3n-0006a627\"<\/code><\/p>\nY se encontr\u00f3 una coincidencia en la configuraci\u00f3n de las pol\u00edticas de enrutamiento.msg=\"Coincidir la pol\u00edtica de enrutamiento id=2136539137: a 10.1.7.2 a trav\u00e9s de ifindex-110\"<\/code><\/p>\nSe determina que el paquete debe ser enviado a uno de los t\u00faneles VPN:\"encontrar una ruta: flag=04000000 gw-192.168.254.1 a trav\u00e9s de DC-Ph1-1\"<\/code><\/p>\nEn las pol\u00edticas del firewall se encuentra una regla permitida:msg=\"Permitido por Pol\u00edtica-3:\"<\/code><\/p>\nEl paquete se cifra y se env\u00eda al t\u00fanel VPN:func=ipsecdev_hard_start_xmit line=789 msg=\"ingresar a la interfaz IPsec-DC-Ph1-1\"El paquete cifrado se env\u00eda a la direcci\u00f3n del gateway para esta interfaz WAN:msg=\"enviar a 2.2.2.2 a trav\u00e9s de intf-WAN1\"<\/code><\/p>\nPara el segundo paquete, todo ocurre de manera similar, pero se env\u00eda a otro t\u00fanel VPN y sale a trav\u00e9s de otro puerto del firewall:func=ipsecdev_hard_start_xmit line=789 msg=\"ingresa la interfaz IPsec-DC-Ph1-2\"Ventajas de la soluci\u00f3n \nFuncionalidad confiable y una interfaz conveniente. <\/b>El conjunto de funciones que exist\u00eda en FortiOS antes de la llegada de SD-WAN se ha mantenido completamente. Es decir, no tenemos software desarrollado desde cero, sino un sistema maduro de un proveedor de firewalls comprobado. Con un conjunto tradicional de funciones de red y una interfaz web f\u00e1cil y sencilla de aprender. \u00bfCu\u00e1ntos proveedores de SD-WAN tienen funcionalidad de Remote-Access VPN en dispositivos finales, por ejemplo?<\/p>\n
Seguridad de nivel 80. <\/b>FortiGate est\u00e1 en la parte superior de las soluciones de firewall. Hay muchos materiales en Internet sobre la configuraci\u00f3n y administraci\u00f3n de firewalls, y en el mercado laboral hay muchos especialistas en seguridad que ya han dominado las soluciones del proveedor.<\/p>\n
Cero costo por funcionalidad de SD-WAN. <\/b>Construir una red SD-WAN en FortiGate cuesta lo mismo que construir una red WAN ordinaria en \u00e9l, ya que no se necesitan licencias adicionales para implementar la funcionalidad de SD-WAN. <\/p>\n
Bajo umbral de entrada en precio. <\/b>Fortigate tiene una buena gradaci\u00f3n de dispositivos para diferentes capacidades. Los modelos m\u00e1s peque\u00f1os y econ\u00f3micos son adecuados para levantar una oficina o punto de venta, digamos, para 3-5 empleados. Muchos proveedores simplemente no tienen modelos tan de bajo rendimiento y accesibles. <\/p>\n
Alto rendimiento. <\/b>La reducci\u00f3n de la funcionalidad de SD-WAN a la balanceo de tr\u00e1fico permiti\u00f3 a la empresa lanzar un ASIC SD-WAN especializado, gracias al cual el funcionamiento de SD-WAN no disminuye el rendimiento del firewall en general. <\/p>\n
Posibilidad de implementar toda la oficina en el equipo de Fortinet. <\/b>Esto es un par de cortafuegos, switches y puntos de acceso Wi-Fi. Este tipo de oficina es f\u00e1cil y c\u00f3modo de gestionar: los switches y puntos de acceso se registran en los cortafuegos y se administran desde ellos. Por ejemplo, este podr\u00eda ser el aspecto de un puerto de switch desde la interfaz del cortafuegos que gestiona este switch:<\/p>\n
Ausencia de controladores como un \u00fanico punto de fallo. <\/b>El propio proveedor destaca esto, pero solo se puede considerar una ventaja en parte, ya que para aquellos proveedores que tienen controladores, garantizar su alta disponibilidad no es costoso, y a menudo solo implica el costo de una peque\u00f1a cantidad de recursos computacionales en un entorno de virtualizaci\u00f3n.<\/p>\nQu\u00e9 tener en cuenta
\nFalta de separaci\u00f3n entre Control Plane y Data Plane<\/b>. Esto significa que la red debe configurarse ya sea manualmente o utilizando herramientas de gesti\u00f3n tradicionales ya existentes, como FortiManager. En el caso de los proveedores que implementan esta separaci\u00f3n, la red se configura autom\u00e1ticamente. El administrador puede necesitar solo ajustar su topolog\u00eda, prohibir alguna cosa, nada m\u00e1s. Sin embargo, la ventaja de FortiManager es que puede gestionar no solo cortafuegos, sino tambi\u00e9n switches y puntos de acceso Wi-Fi, es decir, pr\u00e1cticamente toda la red. <\/p>\n
Crecimiento condicional de la gestionabilidad. <\/b>Debido a que se utilizan herramientas tradicionales para automatizar la configuraci\u00f3n de la red, la gestionabilidad de la red aumenta de manera insignificante con la implementaci\u00f3n de SD-WAN. Por otro lado, la nueva funcionalidad se vuelve disponible m\u00e1s r\u00e1pidamente, ya que el proveedor primero la lanza solo para el sistema operativo de los cortafuegos (lo que inmediatamente permite su uso), y luego completa el sistema de gesti\u00f3n con las interfaces necesarias.<\/p>\n
Parte de la funcionalidad puede estar disponible desde la l\u00ednea de comandos, pero no desde la interfaz web. <\/b>No es tan grave entrar a la l\u00ednea de comandos a veces para realizar alguna configuraci\u00f3n, como no ver en la interfaz web que algo ya ha sido configurado por alguien desde la l\u00ednea de comandos. Pero esto generalmente se refiere a las funciones m\u00e1s nuevas, y gradualmente, con las actualizaciones de FortiOS, se incorporan capacidades a la interfaz web.<\/p>\nA qui\u00e9n le puede convenir<\/h3>\n
\nA aquellos que no tienen muchas sucursales.<\/b> La implementaci\u00f3n de una soluci\u00f3n SD-WAN con componentes centrales complejos en redes de 8 a 10 sucursales puede no valer la pena: habr\u00e1 que gastar dinero en licencias para dispositivos SD-WAN y recursos del sistema de virtualizaci\u00f3n para alojar los componentes centrales. Las peque\u00f1as empresas suelen tener recursos computacionales escasos. En el caso de Fortinet, basta con comprar cortafuegos. <\/p>\n
Para aquellos que tienen muchas sucursales peque\u00f1as. <\/b>Para muchos proveedores, el precio m\u00ednimo de la soluci\u00f3n por sucursal es bastante alto y puede no resultar atractivo desde el punto de vista del negocio del cliente final. Fortinet ofrece dispositivos peque\u00f1os a un precio muy atractivo. <\/p>\n
Para quienes no est\u00e1n listos para dar un paso tan grande a\u00fan. <\/b>La implementaci\u00f3n de SD-WAN con controladores, enrutamiento propietario, un nuevo enfoque para la planificaci\u00f3n y gesti\u00f3n de la red puede ser un paso demasiado serio para algunos clientes. S\u00ed, tal implementaci\u00f3n eventualmente ayudar\u00e1 a optimizar el uso de los canales de comunicaci\u00f3n y el trabajo de los administradores, pero primero habr\u00e1 que aprender muchas cosas nuevas. Para aquellos que a\u00fan no est\u00e1n listos para un cambio de paradigma, pero quieren obtener m\u00e1s de sus canales de comunicaci\u00f3n, la soluci\u00f3n de Fortinet es la adecuada.habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"\u0421\u0443\u0434\u044f \u043f\u043e \u0447\u0438\u0441\u043b\u0443 \u0432\u043e\u043f\u0440\u043e\u0441\u043e\u0432, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043d\u0430\u043c \u0441\u0442\u0430\u043b\u0438 \u043f\u0440\u0438\u043b\u0435\u0442\u0430\u0442\u044c \u043f\u043e SD-WAN, \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u044f \u043d\u0430\u0447\u0430\u043b\u0430 \u043e\u0441\u043d\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u043e \u043f\u0440\u0438\u0436\u0438\u0432\u0430\u0442\u044c\u0441\u044f \u0432 \u0420\u043e\u0441\u0441\u0438\u0438. \u0412\u0435\u043d\u0434\u043e\u0440\u044b, \u0435\u0441\u0442\u0435\u0441\u0442\u0432\u0435\u043d\u043d\u043e, \u043d\u0435 \u0434\u0440\u0435\u043c\u043b\u044e\u0442 \u0438 \u043f\u0440\u0435\u0434\u043b\u0430\u0433\u0430\u044e\u0442 \u0441\u0432\u043e\u0438 \u043a\u043e\u043d\u0446\u0435\u043f\u0446\u0438\u0438, \u0430 \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0441\u043c\u0435\u043b\u044c\u0447\u0430\u043a\u0438 \u043f\u0435\u0440\u0432\u043e\u043f\u0440\u043e\u0445\u043e\u0434\u0446\u044b \u0443\u0436\u0435 \u0432\u043d\u0435\u0434\u0440\u044f\u044e\u0442 \u0438\u0445 \u0443 \u0441\u0435\u0431\u044f \u043d\u0430 \u0441\u0435\u0442\u0438. \u041c\u044b \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u043c \u043f\u043e\u0447\u0442\u0438 \u0441\u043e \u0432\u0441\u0435\u043c\u0438 \u0432\u0435\u043d\u0434\u043e\u0440\u0430\u043c\u0438, \u0438 \u0437\u0430 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u043b\u0435\u0442 \u0432 \u043d\u0430\u0448\u0435\u0439 \u043b\u0430\u0431\u043e\u0440\u0430\u0442\u043e\u0440\u0438\u0438 \u044f \u0443\u0441\u043f\u0435\u043b \u043f\u043e\u043a\u043e\u043f\u0430\u0442\u044c\u0441\u044f \u0432 \u0430\u0440\u0445\u0438\u0442\u0435\u043a\u0442\u0443\u0440\u0435 \u043a\u0430\u0436\u0434\u043e\u0433\u043e \u043a\u0440\u0443\u043f\u043d\u043e\u0433\u043e […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":95433,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-95432","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t