Demokraatliku SD-WAN'i analüüs: arhitektuur, seadistamine, haldamine ja allveelaevad

Kuna palju küsimusi, mis on SD-WANi kohta saabunud, on tehnoloogia hakanud Venemaal tõeliselt kasutusele võtma. Tarnijad ei maga ega paku oma kontseptsioone, ning mõned julgemaid esimesi kasutajaid on juba neid oma võrgu sisse seadnud.

Me teeme koostööd peaaegu kõikide tarnijatega ja paari aasta jooksul olen meie laboris saanud põhjalikult uurida iga suure programmid määravate lahenduste arendaja arhitektuuri. Erakordseks jääb siin SD-WAN Fortinetilt, mis integreeris liikluse tasakaalustamise funktsiooni oma tulemüüride tarkvarasse. Lahendus on pigem demokraatlik, seetõttu vaatavad seda tavaliselt firmad, kes pole veel globaalseks muutuseks valmis, aga soovivad oma sidekanaleid tõhusamalt kasutada.

Selles artiklis tahan rääkida, kuidas seadistada ja kasutada SD-WANi Fortinetilt, kellele see lahendus sobib ja milliste probleemidega võib kokku puutuda.

Suurimate märgatavate SD-WANi turu mängijate saab jaotada kahe tüübi vahel:

1. Idufirmad, kes lõid SD-WANi lahendused nullist. Edukaimad neist saavad suurte ettevõtete ostmise tõttu tohutu arenguimpulsi – see on lugude nagu Cisco/Viptela, VMWare/VeloCloud, Nuage/Nokia lugu.

2. Suured võrgu tarnijad, kes on loonud SD-WANi lahendused, edendades oma traditsiooniliste marsruutide programmeeritavust ja haldamist – see on Juniperi, Huawei lugu.

Fortinet suutis leida oma tee. Tulemüüride tarkvarasse on integreeritud funktsioon, mis võimaldab liita nende liidesed virtuaalseteks kanaliteks ja kaasata nende vahel koormuse tasakaalustamist keerukate algoritmidega, võrreldes harjumuspärase marsruutimisega. Seda funktsiooni nimetatakse SD-WANiks. Kas Fortineti tehtut saab nimetada SD-WANiks? Turul kujuneb järk-järgult arusaam, et Software-Defined tähendab kontrollplaani eraldamist andmeplaanist, eraldatud kontrollerite ja orkestreerijate olemasolu. Fortinetil ei ole sellist midagi. Keskne haldamine on võimalus ja pakutakse traditsioonilise vahendi Fortimanageri kaudu. Aga minu arvates ei tohiks otsida abstraktset tõde ja raisata aega terminites vaidluste pidamiseks. Tõeses maailmas on igal lähenemisel oma tugevused ja nõrkused. Parim lahendus on neist aru saada ja osata valida lahendusi, mis vastavad ülesannetele.

Proovin jagada, kuidas näeb välja ja mida oskab Fortineti SD-WAN, koos ekraanipiltidega.

Kuidas kõik on korraldatud

Oletame, et teil on kaks filiaali, mis on ühendatud kahe andmeedastuskanaliga. Need andmeedastuskanalid ühendatakse rühmaks, sarnaselt sellele, kuidas tavalised Etherneti liidesed ühendatakse LACP-Port-Channel'i kaudu. Kogenud kasutajad meenutavad PPP Multilinki – see on samuti sobiv analoog. Kanaliteks võivad olla füüsilised portid, VLAN SVI ning samuti VPN või GRE-tunnelid.

VPN või GRE kasutatakse tavaliselt kohalikest võrkudest filiaalide ühendamiseks üle interneti. Füüsilisi porte kasutatakse siis, kui teenused on L2-ühenduste kaudu omavahel seotud või kui ühendus on eraldiseisva MPLS/VPN kaudu, kui me ei soovi ülekatte ja krüpteerimist. Veel üks stsenaarium, kus SD-WAN-grupis kasutatakse füüsilisi porte, on kasutajate kohaliku Interneti-ühenduse tasakaalustamine.

Meie stendis on neli tulemüüri ja kaks VPN-tunnelit, mis töötavad kahe "teenusepakkuja" kaudu. Skeem näeb välja selline:

VPN-tunnelid on seadistatud liidese režiimis, nii et need sarnanevad punkt-punkt ühendustega seadmete vahel, millel on IP-aadressid P2P-liideseid, mida saab pingida ja veenduda, et ühendus konkreetse tunneli kaudu töötab. Selleks, et liiklus krüpteeritaks ja suunduks teisele poole, piisab selle marsruutimisest tunnelisse. Alternatiiviks on liikluse filtreerimine krüpteerimiseks alamvõrgu loendite abil, mis segab administraatorit, kui konfiguratsioon muutub keerukamaks. Suures võrgus VPN-i loomiseks saab kasutada ADVPN-tehnoloogiat, mis on sarnane Cisco DMVPN-le või Huawei DVPN-ile, lihtsustades seadistamist.

Site-to-Site VPN konfigureerimine kahes seadmes, kus mõlemal pool on BGP marsruutimine

"Andmekeskus" (DC)
"Filiaal" (BRN)

konfigureeri süsteemi liides
 muuda "WAN1"
  seata vdom "Internet"
  seata ip 1.1.1.1 255.255.255.252
  seata lubatud juurdepääs ping
  seata roll wan
  seata liides "DC-BRD"
  seata vlanid 111
 järgmine
 muuda "WAN2"
  seata vdom "Internet"
  seata ip 3.3.3.1 255.255.255.252
  seata lubatud juurdepääs ping
  seata roll lan
  seata liides "DC-BRD"
  seata vlanid 112
 järgmine
 muuda "BRN-Ph1-1"
  seata vdom "Internet"
  seata ip 192.168.254.1 255.255.255.255
  seata lubatud juurdepääs ping
  seata tüüp tunnel
  seata remote-ip 192.168.254.2 255.255.255.255
  seata liides "WAN1"
 järgmine
 muuda "BRN-Ph1-2"
  seata vdom "Internet"
  seata ip 192.168.254.3 255.255.255.255
  seata lubatud juurdepääs ping
  seata tüüp tunnel
  seata remote-ip 192.168.254.4 255.255.255.255
  seata liides "WAN2"
 järgmine
lõpeta

konfigureeri vpn ipsec phase1-liides
 muuda "BRN-Ph1-1"
  seata liides "WAN1"
  seata kohalik-gw 1.1.1.1
  seata peervälja puit
  seata net-seade keelatud
  seata ettepanek aes128-sha1
  seata dhgrp 2
  seata remote-gw 2.2.2.1
  seata psksecret ***
 järgmine
 muuda "BRN-Ph1-2"
  seata liides "WAN2"
  seata kohalik-gw 3.3.3.1
  seata peervälja puit
  seata net-seade keelatud
  seata ettepanek aes128-sha1
  seata dhgrp 2
  seata remote-gw 4.4.4.1
  seata psksecret ***
 järgmine
lõpeta

konfigureeri vpn ipsec phase2-liides
 muuda "BRN-Ph2-1"
  set phase1name "BRN-Ph1-1"
  set proposal aes256-sha256
  seata dhgrp 2
 järgmine
 edit "BRN-Ph2-2"
  set phase1name "BRN-Ph1-2"
  set proposal aes256-sha256
  seata dhgrp 2
 järgmine
lõpeta

config router static
 edit 1
  set gateway 1.1.1.2
  set device "WAN1"
 järgmine
 edit 3
  set gateway 3.3.3.2
  set device "WAN2"
 järgmine
lõpeta

config router bgp
 set as 65002
 set router-id 10.1.7.1
 set ebgp-multipath enable
 config neighbor
  edit "192.168.254.2"
   set remote-as 65003
  next
  edit "192.168.254.4"
   set remote-as 65003
  next
 end

 config network
  edit 1
   set prefix 10.1.0.0 255.255.0.0
  next
lõpeta

konfigureeri süsteemi liides
 muuda "WAN1"
  seata vdom "Internet"
  set ip 2.2.2.1 255.255.255.252
  seata lubatud juurdepääs ping
  seata roll wan
  set interface "BRN-BRD"
  seata vlanid 111
 järgmine
 muuda "WAN2"
  seata vdom "Internet"
  set ip 4.4.4.1 255.255.255.252
  seata lubatud juurdepääs ping
  seata roll wan
  set interface "BRN-BRD"
  set vlanid 114
 järgmine
 edit "DC-Ph1-1"
  seata vdom "Internet"
  set ip 192.168.254.2 255.255.255.255
  seata lubatud juurdepääs ping
  seata tüüp tunnel
  set remote-ip 192.168.254.1 255.255.255.255
  seata liides "WAN1"
 järgmine
 edit "DC-Ph1-2"
  seata vdom "Internet"
  set ip 192.168.254.4 255.255.255.255
  seata lubatud juurdepääs ping
  seata tüüp tunnel
  set remote-ip 192.168.254.3 255.255.255.255
  seata liides "WAN2"
 järgmine
lõpeta

konfigureeri vpn ipsec phase1-liides
  edit "DC-Ph1-1"
   set interface "WAN1"
   set local-gw 2.2.2.1
   set peertype any
   set net-device disable
   set proposal aes128-sha1
   set dhgrp 2
   set remote-gw 1.1.1.1
   set psksecret ***
  next
  edit "DC-Ph1-2"
   set interface "WAN2"
   set local-gw 4.4.4.1
   set peertype any
   set net-device disable
   set proposal aes128-sha1
   set dhgrp 2
   set remote-gw 3.3.3.1
   set psksecret ***
  next
lõpeta

konfigureeri vpn ipsec phase2-liides
  edit "DC-Ph2-1"
   set phase1name "DC-Ph1-1"
   set proposal aes128-sha1
   set dhgrp 2
  next
  edit "DC2-Ph2-2"
   set phase1name "DC-Ph1-2"
   set proposal aes128-sha1
   set dhgrp 2
  next
lõpeta

config router static
 edit 1
  set gateway 2.2.2.2
  et device "WAN1"
 järgmine
 edit 3
  set gateway 4.4.4.2
  set device "WAN2"
 järgmine
lõpeta

config router bgp
  set as 65003
  set router-id 10.200.7.1
  set ebgp-multipath enable
  config neighbor
   edit "192.168.254.1"
    set remote-as 65002
   next
  edit "192.168.254.3"
   set remote-as 65002
   next
  end

  config network
   edit 1
    set prefix 10.200.0.0 255.255.0.0
   next
lõpeta

Ma toon konfigureerimise tekstiversioonis, sest minu arvates on nii VPN-i seadistamine mugavam. Peaaegu kõik seaded mõlemal pool on ühesugused, tekstiversioonis saab neid lihtsalt kopeerida ja kleepida. Kui teha sama veebiliidese kaudu, on lihtne viga teha — unustada kuskil märk, sisestada vale väärtus.

Peale seda, kui oleme liidesed bundi juurde lisanud

võivad kõik marsruudid ja turvapoliitikad viidata sellele, mitte sealsetele liidetele. Vähemalt tuleb lubada liiklus sisevõrkudest SD-WAN-ile. Nende jaoks reeglite koostamisel saab rakendada turvameetmeid, nagu IPS, viirusetõrje ja HTTPS-i avamine.

Bundi jaoks seadistatakse SD-WAN reeglid. Need reeglid määravad tasakaalustamise algoritmi konkreetse liikluse jaoks. Need on sarnased marsruutimise poliitikatele, Policy-Based Routing'is, ainult et tulemuseks, kui liiklus kuulub poliitika alla, ei ole next-hop või tavaline väljaminev liides, vaid SD-WAN bundli lisatud liidesed, pluss liikluse tasakaalustamise algoritm nende vahel.

Traffic can be distinguished from the general flow based on L3-L4 information, recognized applications, internet services (URLs and IPs), as well as by identified users of workstations and laptops. After that, one of the following load balancing algorithms can be assigned to the distinguished traffic:

In the Interface Preference list, select the interfaces from those already added to the bundle that will serve this type of traffic. By not adding all interfaces, you can restrict which channels, for example, your email travels through if you don't want it to burden expensive channels with high SLA. In FortiOS 6.4.1, it became possible to group interfaces added to the SD-WAN bundle into zones, creating, for example, one zone for connecting to remote sites and another for local internet access using NAT. Yes, the traffic going to the regular internet can also be balanced.

About load balancing algorithms

Regarding how Fortigate (the firewall from Fortinet) splits traffic between channels, there are two interesting options that are not very common on the market:

Lowest Cost (SLA) – among all interfaces satisfying SLA at the moment, the one with the lowest cost, defined by the administrator manually, is selected; this mode is suitable for 'bulk' traffic, such as backups and file transfers.

Best Quality (SLA) – this algorithm, in addition to the usual delay, jitter, and packet loss, can also use the current channel load for quality assessment; this mode is suitable for 'sensitive' traffic, such as VoIP and video conferencing.

Need for Performance SLA configuration arises for these algorithms. This measurement tool periodically checks SLA compliance information: packet loss, latency, and jitter, and can 'reject' those channels that currently do not meet the quality threshold — losing too many packets or having excessive latency. Additionally, the tool monitors the channel's status and may temporarily remove it from the bundle in case of repeated response losses. Upon recovery, after several consecutive responses, the tool automatically returns the channel to the bundle, allowing data transmission to resume.

This is what the ‘measurer’ setup looks like:

In the web interface, ICMP-Echo-request, HTTP-GET, and DNS request are available as testing protocols. The command line offers slightly more options: TCP-echo and UDP-echo are available, along with a specialized quality measurement protocol — TWAMP.

Measurement results can be viewed in the web interface:

And in the command line:

Troubleshooting

If a rule was created but everything doesn't work as expected, it's worth checking the Hit Count value in the SD-WAN Rules list. It will show whether the traffic is hitting this rule at all:

On the configuration page of the measurer itself, you can see the change in channel parameters over time. The threshold value of the parameter is indicated by a dashed line.

In the web interface, you can view how traffic is distributed by the volume of transmitted/received data and the number of sessions:

In addition to all this, there is an excellent opportunity to track packet passage with maximum detail. In a real network setting, the device configuration accumulates numerous routing policies, firewall rules, and traffic distribution across SD-WAN ports. All of this interacts in complex ways, and while the vendor provides detailed flowcharts of packet processing algorithms, it is crucial to have the ability to observe where exactly the traffic is actually going instead of just building and verifying theories.

For example, the following set of commands

diagnoosige silumifiltri algallika 10.200.64.15
diagnoosige silumifiltri sihtpunkt 10.1.7.2
diagnoosige silumi näita funktsiooni-nime
diagnoosige silum lubamine
diagnoosige silum jälgimine 2

Will allow tracking two packets from source address 10.200.64.15 to destination address 10.1.7.2.
Pingime adresse 10.7.1.2 RII 10.200.64.15 kaks korda ja vaatame tulemusi konsoolis.

Esimene pakett:

Teine pakett:

Siin on esimene pakett, mille võttis vastu tulemüür:
id=20085 trace_id=475 func=print_pkt_detail line=5605 msg="vd-Internet:0 sai paketti (proto=1, 10.200.64.15:42->10.1.7.2:2048) DMZ-Office'ist. tüüp=8, kood=0, id=42, järjekord=0."
VDOM – Internet, Proto=1 (ICMP), DMZ-Office – L3-liidese nimi. Type=8 – Echo.

Selle jaoks loodi uus seanss:
msg="allocate a new session-0006a627"

Ja avastati, et marsruutimise poliitikate seadetes on kattuvus
msg="Match policy routing id=2136539137: to 10.1.7.2 via ifindex-110"

Selgub, et pakett tuleb saata ühe VPN-tunneli kaudu:
"find a route: flag=04000000 gw-192.168.254.1 via DC-Ph1-1"

Tulemüüripoliitikates leitakse lubav reegel:
msg="Allowed by Policy-3:"

Pakett krüpteeritakse ja saadetakse VPN-tunneli kaudu:
funktsioon=ipsecdev_hard_start_xmit rida=789 sõnum="sisenen IPsec liidesesse-DC-Ph1-1"
funktsioon=_ipsecdev_hard_start_xmit rida=666 sõnum="IPsec tunnel-DC-Ph1-1"
funktsioon=esp_output4 rida=905 sõnum="IPsec krüpteerimine/autentimine"

Krüpteeritud pakett saadetakse selle WAN-liidese jaoks mõeldud värava aadressile:
msg="send to 2.2.2.2 via intf-WAN1"

Teise paketi puhul toimub kõik sarnaselt, kuid see saadetakse teise VPN-tunneli kaudu ja väljub teise porti tulemüürist:
func=ipsecdev_hard_start_xmit line=789 msg="sisene IPsec liides-DC-Ph1-2"
func=_ipsecdev_hard_start_xmit line=666 msg="IPsec tunnel-DC-Ph1-2"
funktsioon=esp_output4 rida=905 sõnum="IPsec krüpteerimine/autentimine"
func=ipsec_output_finish line=622 msg="saada 4.4.4.2 kaudu intf-WAN2"

Lahenduse eelised

Usaldusväärne funktsionaalsus ja mugav liides. FortiOS-i funktsioonide loetelu on täielikult säilinud alates SD-WAN-i ilmumisest. See tähendab, et meil on mitte uuesti arendatud tarkvara, vaid küps süsteem usaldusväärselt tulemüürivendorilt. Traditsiooniliste võrgufunktsioonide komplektiga, mugava ja lihtsalt omandatava veebiliidese. Kas paljusid SD-WAN-i tootjaid on oma lõppseadmetes näiteks Remote-Access VPN funktsioon?

Turvalisus tasemel 80. FortiGate kuulub parimate tulemüürilahenduste hulka. Internetis on palju materjale tulemüüride seadistamise ja haldamise kohta ning tööturul on palju julgeolekuspetsialiste, kes on juba omandanud selle tootja lahendused.

SD-WAN funktsiooni puhul nullkulu. SD-WAN-võrgu rajamine FortiGate'i peale maksab sama palju kui tavalise WAN-võrgu rajamine, kuna SD-WAN-funktsiooni rakendamiseks ei ole vaja täiendavaid litsentse.

Madala hinna barjäär. Fortigate'il on erinevate tootlikkuse jaoks head seadmete klassifikatsioonid. Kõige madalamad ja odavamaid mudeleid saab kasutada, et rajada kontor või müügikoht näiteks 3–5 töötajale. Paljudel tootjatel selliseid madala tootlikkuse ja taskukohaseid mudeleid lihtsalt ei ole.

Kõrge tootlikkus. SD-WAN funktsiooni vähendamine liikluse tasakaalustamiseks on võimaldanud ettevõttel vabastada spetsialiseeritud SD-WAN ASIC, mille tõttu ei vähenda SD-WAN töötamise tulemust tulemüüri üldiselt.

Võime rakendada kontorit täielikult Fortineti seadmetel. See on paar tulemüüre, lülitid, Wi-Fi ligipääsupunktid. Sellist kontorit on lihtne ja mugav hallata – lülitid ja ligipääsupunktid registreeritakse tulemüürides ning hallatakse sealt. Näiteks võib selline välja näha lüliti port tulemüüri kasutajaliidese kaudu, millega see lüliti on hallatav:

Kontrollerite puudumine, kui ainus rike koht. Sellele rõhutab tähelepanu müüja ise, kuid seda saab nimetada plussiks vaid osaliselt, kuna nendel müüjatel, kellel kontrollerid on, on nende talitlushäire kindlustamine suhteliselt odav, enamasti väikese arvu arvutusressursside maksumuse ulatuses virtualiseerimise keskkonnas.

Millele tähelepanu pöörata

Kontrollplaani ja andmeplaani puudumine. See tähendab, et võrku tuleb seadistada kas käsitsi või juba olemasolevate traditsiooniliste haldustööriistadega – FortiManager. Neil müüjatel, kellel see eristus on loodud, koguneb võrk iseenesest. Administraatoril võib olla vajalik vaid korrigeerida selle topoloogiat, midagi kuskil keelata, mitte rohkem. Kuid FortiManageri eeliseks on see, et see suudab hallata mitte ainult tulemüüre, vaid ka lüliteid ja Wi-Fi ligipääsupunkte, seega praktiliselt kogu võrku.

Hüpoteetiline kasv haldamise osas. Kuna võrgu seadistamise automatiseerimiseks kasutatakse traditsioonilisi vahendeid, haldamise tase võrgu juurutamisega SD-WAN-is suureneb vaid veidi. Teisest küljest, uus funktsionaalsus muutub kergemini kättesaadavaks, kuna müüja vabastab selle esmalt ainult tulemüüride opsüsteemile (mis annab kohe võimaluse selle kasutamiseks) ja alles seejärel täiendab juhtimissüsteemi vajalike liideste abil.

Osad funktsioonid võivad olla saadaval käsurealt, kuid pole kättesaadavad veebiliidesest. Pole nii hirmutav vahel käsureale minna midagi seadistama, kui see on hirmutav mitte näha veebiliideses, et midagi on juba seadistatud käsurealt. Kuid see puudutab tavaliselt kõige uusi funktsioone ja järk-järgult, koos FortiOS'i uuendustega, saadakse veebiliidese võimalused järk-järgult kätte.

Kellele sobib

Neile, kellel ei ole palju filiaale. SD-WAN lahenduse rakendamine keerukate kesksete komponentidega 8-10 harukontoris ei pruugi tasuda – tuleb kulutada raha SD-WAN seadmete litsentside ja virtualiseerimissüsteemi ressursside peale kesksete komponentide paigutamiseks. Väikestel ettevõtetel on tavaliselt vabu arvutusressursse vähe. Fortineti puhul piisab lihtsalt tulemüüride ostmisest.

Neile, kellel on väga palju väikeseid harukontoreid. Paljude müüjate minimaalne hind lahenduse kohta harukontori kohta on piisavalt kõrge ja ei pruugi olla lõppkasutaja ettevõtte jaoks atraktiivne. Fortinet pakub väikeseid seadmeid väga soodsa hinnaga.

Neile, kes ei ole veel valmis liiga kaugele astuma. SD-WAN rakendamine kontrolleritega, patenteeritud marsruutimisega, uue lähenemisega võrgu kavandamisele ja haldamisele võib osutuda mõne kliendi jaoks liiga tõsiseks sammuks. Jah, selline rakendamine aitab lõpuks optimeerida sidekanalite kasutust ja administraatorite tööd, kuid esmalt tuleb õppida palju uut. Neile, kes ei ole veel paradigma muutuseks valmis, kuid soovivad oma sidekanalitest rohkem välja pigistada, sobib Fortineti lahendus suurepäraselt.

Allikas: habr.com