🥇Demokraatlikuma SD-WANi analüüs: arhitektuur, seadistamine, haldamine ja peidetud probleemid

Küsimuste arvu põhjal, mis on meile SD-WANi kohta tulnud, on tehnoloogia hakanud Venemaale tugevalt juurduma. Tarnijad ei maga ja pakuvad oma kontseptsioone, mõned julged pioneerid on juba neid oma võrkudesse integreerinud.

Oleme koostööd teinud peaaegu kõigi tarnijatega ning mitme aasta jooksul olen meie laboris suutnud süveneda iga suure arendaja programmipõhiste lahenduste arhitektuuri. SD-WAN, mille on välja töötanud Fortinet, paistab natuke erilisena, kuna see on lihtsalt integreeritud kommunikatsioonikanalite koormuse tasakaalustamise funktsioon tulemüüride tarkvarasse. Lahendus on pigem demokraatlik, seetõttu pööravad sellele tähelepanu ettevõtted, kes pole veel globaalsete muudatustega valmis, kuid soovivad oma kommunikatsioonikanaleid efektiivsemalt kasutada.

Selles artiklis tahan rääkida, kuidas seadistada ja töötada SD-WANiga Fortinetilt, kellele see lahendus sobib ja millistele takistustele võib seal sattuda.

Suurimaid SD-WAN turu mängijaid võib jagada kaheks tüübiks:

1. Ettevõtted, kes on loonud SD-WAN lahendusi nullist. Kõige edukamad neist saavad tohutu arenguimpulsi, kui neid ostavad suured ettevõtted – see on lugu Cisco/Viptela, VMWare/VeloCloud, Nuage/Nokia.

2. Suured võrgu tarnijad, kes on loonud SD-WAN lahendusi, arendades oma traditsiooniliste ruuterite programmeeritavust ja haldust – see on kurikuulus Juniper, Huawei.

Fortinet leidis oma tee. Tulemüüridesse on integreeritud funktsioon, mis võimaldab nende liideseid ühendada virtuaalseteks kanaliteks ja tasakaalustada koormust keerukate algoritmide abil, võrreldes tavalise marsruutimisega. Seda funktsionaalsust nimetatakse SD-WAN-iks. Kas seda, mida Fortinet on teinud, saab nimetada SD-WAN-iks? Turul hakkab järk-järgult kujunema arusaam, et Software-Defined tähendab Control Plane'i ja Data Plane'i eraldamist, eraldatud kontrollerid, orkestrandid. Fortinetil ei ole midagi sellist. Keskne haldus on valikuline ja seda pakutakse traditsioonilise vahendiga Fortimanager. Kuid minu arvates ei tasu otsida abstraktset tõde ja kulutada aega terminite vaidllemiseks. Reaalses maailmas on igal lähenemisel oma eelised ja puudused. Parim lahendus on nende mõistmine ja oskus valida vajadustele vastavad lahendused.

Püüan koos ekraanipiltidega rääkida, milline välja näeb ja mida suudab SD-WAN Fortinetilt.

Kuidas kõik töötab

Oletame, et teil on kaks filiaali, mis on ühendatud kahe andmeedastuskanali kaudu. Need edastuskanalid koondatakse rühmadesse, nagu tavapärased Etherneti liidesed LACP-Port-Channelis. Teised meenutavad PPP Multilinki - sobiv analoog. Kanaleid võivad olla füüsilised portid, VLAN SVI samuti VPN või GRE-tunnelid.

VPN või GRE kasutatakse tavaliselt filiaalide kohalike võrkude ühendamiseks üle interneti. Füüsilisi porte kasutatakse L2-ühenduste puhul, või ühendamisel eraldatud MPLS/VPN-i kaudu, kui me oleme rahul ühendusega ilma Overlay ja krüpteerimiseta. Veel üks stsenaarium, kus SD-WAN grupis kasutatakse füüsilisi porte, on kohalike kasutajate interneti väljundi tasakaalustamine.

Meie stendis on neli tulemüüri ja kaks VPN-tunnelit, mis töötavad läbi kahe «sideteenuse pakkuja». Skeem näeb välja selline:

VPN-tunnelid on seadistatud liideserežiimis nii, et need näeksid välja nagu Point-to-Point ühenduse seadmed, millel on IP-aadressid P2P-liidestel, mida saab pingsida ja veenduda, et ühendus konkreetse tunneliga töötab. Selleks, et liiklus krüpteeritaks ja teisele poole suunduks, piisab sellest, kui see suunata tunnelisse. Alternatiiv on liikluse valik krüptimiseks alamtsoonide loendite abil, mis segab administraatori töö keerukuse suurenedes. Suures võrgus saab VPN-i ehitamisel kasutada ADVPN-tehnoloogiat, mis on Cisco DMVPN või Huawei DVPN analoog, millel on lihtsustatud seadistus.

Site-to-Site VPN konfigureerimine kahe seadme jaoks, kus mõlemal pool marsruutimine BGP.

«Andmekeskus» (DC)
«Haru» (BRN)

config system interface
muuda "WAN1"
seata vdom "Internet"
määrake ip 1.1.1.1 255.255.255.252
määrake lubatud juurdepääs ping
määrake roll wan
seata liides "DC-BRD"
määrake vlanid 111
järgmine
muuda "WAN2"
seata vdom "Internet"
määrake ip 3.3.3.1 255.255.255.252
määrake lubatud juurdepääs ping
määrake roll lan
seata liides "DC-BRD"
määrake vlanid 112
järgmine
muuda "BRN-Ph1-1"
seata vdom "Internet"
määrake ip 192.168.254.1 255.255.255.255
määrake lubatud juurdepääs ping
määrake tüüp tunnel
määrake kaug-ip 192.168.254.2 255.255.255.255
seata liides "WAN1"
järgmine
muuda "BRN-Ph1-2"
seata vdom "Internet"
määrake ip 192.168.254.3 255.255.255.255
määrake lubatud juurdepääs ping
määrake tüüp tunnel
määrake kaug-ip 192.168.254.4 255.255.255.255
seata liides "WAN2"
järgmine
lõpp

config vpn ipsec phase1-interface
muuda "BRN-Ph1-1"
seata liides "WAN1"
määrake kohalik-gw 1.1.1.1
määrake osaluse tüüp any
määrake net-seade keelatud
määrake ettepanek aes128-sha1
määrake dhgrp 2
määrake kaug-gw 2.2.2.1
määrake psksecret ***
järgmine
muuda "BRN-Ph1-2"
seata liides "WAN2"
määrake kohalik-gw 3.3.3.1
määrake osaluse tüüp any
määrake net-seade keelatud
määrake ettepanek aes128-sha1
määrake dhgrp 2
määrake kaug-gw 4.4.4.1
määrake psksecret ***
järgmine
lõpp

config vpn ipsec phase2-interface
muuda "BRN-Ph2-1"
seata phase1name "BRN-Ph1-1"
määrake ettepanek aes256-sha256
määrake dhgrp 2
järgmine
muuda "BRN-Ph2-2"
seata phase1name "BRN-Ph1-2"
määrake ettepanek aes256-sha256
määrake dhgrp 2
järgmine
lõpp

config router static
muuda 1
määrake värav 1.1.1.2
seata seade "WAN1"
järgmine
muuda 3
määrake värav 3.3.3.2
määrake seade "WAN2"
järgmine
lõpp

konfigureerige ruuter bgp
määrake as 65002
määrake ruuteri-id 10.1.7.1
määrake ebgp-multipath lubatud
konfigureerige naaber
redigeerige "192.168.254.2"
määrake kaug-as 65003
järgmine
redigeerige "192.168.254.4"
määrake kaug-as 65003
järgmine
lõpp

konfigureerige võrk
redigeerige 1
määrake eelnete 10.1.0.0 255.255.0.0
järgmine
lõpp

config system interface
muuda "WAN1"
seata vdom "Internet"
määrake ip 2.2.2.1 255.255.255.252
määrake lubatud juurdepääs ping
määrake roll wan
määrake liides "BRN-BRD"
määrake vlanid 111
järgmine
muuda "WAN2"
seata vdom "Internet"
määrake ip 4.4.4.1 255.255.255.252
määrake lubatud juurdepääs ping
määrake roll wan
määrake liides "BRN-BRD"
määrake vlanid 114
järgmine
redigeerige "DC-Ph1-1"
seata vdom "Internet"
määrake ip 192.168.254.2 255.255.255.255
määrake lubatud juurdepääs ping
määrake tüüp tunnel
määrake kaug-ip 192.168.254.1 255.255.255.255
seata liides "WAN1"
järgmine
redigeerige "DC-Ph1-2"
seata vdom "Internet"
määrake ip 192.168.254.4 255.255.255.255
määrake lubatud juurdepääs ping
määrake tüüp tunnel
määrake kaug-ip 192.168.254.3 255.255.255.255
seata liides "WAN2"
järgmine
lõpp

config vpn ipsec phase1-interface
redigeerige "DC-Ph1-1"
määrake liides "WAN1"
määrake kohalik-gw 2.2.2.1
määrake peeritüüp igaüks
määrake net-seade keelatud
määrake ettepanek aes128-sha1
määrake dhgrp 2
määrake kaug-gw 1.1.1.1
määrake psksecret ***
järgmine
redigeerige "DC-Ph1-2"
määrake liides "WAN2"
määrake kohalik-gw 4.4.4.1
määrake peeritüüp igaüks
määrake net-seade keelatud
määrake ettepanek aes128-sha1
määrake dhgrp 2
määrake kaug-gw 3.3.3.1
määrake psksecret ***
järgmine
lõpp

config vpn ipsec phase2-interface
redigeerige "DC-Ph2-1"
määrake phase1name "DC-Ph1-1"
määrake ettepanek aes128-sha1
määrake dhgrp 2
järgmine
redigeerige "DC2-Ph2-2"
määrake phase1name "DC-Ph1-2"
määrake ettepanek aes128-sha1
määrake dhgrp 2
järgmine
lõpp

config router static
muuda 1
määrake värav 2.2.2.2
määrake seade "WAN1"
järgmine
muuda 3
määrake värav 4.4.4.2
määrake seade "WAN2"
järgmine
lõpp

konfigureerige ruuter bgp
määrake as 65003
määrake ruuteri-id 10.200.7.1
määrake ebgp-multipath lubatud
konfigureerige naaber
redigeerige "192.168.254.1"
määrake kaug-as 65002
järgmine
redigeerige "192.168.254.3"
määrake kaug-as 65002
järgmine
lõpp

konfigureerige võrk
redigeerige 1
määrake eelnete 10.200.0.0 255.255.0.0
järgmine
lõpp

Esitan konfiguratsiooni tekstivormingus, sest minu arvates on VPN-i seadistamine nii mugavam. Peaaegu kõik seaded mõlemalt poolt on identsed, tekstivormingus saab neid teha kopeerida-kleepida. Kui teha sama veebiliideses, on lihtne eksida — kusagil tärk kasutada vale väärtust.

Kui oleme liideseid bundi juurde lisanud

Kõik marsruudid ja turvapoliitikad võivad viidata sellele, mitte selles sisalduvatele liidesele. Vähemalt tuleb lubada liiklust sisevõrkudest SD-WAN-i. Nende jaoks reeglite loomisel võib rakendada kaitsemeetmeid, nagu IPS, viirusetõrje ja HTTPS-i avamine.

Bundi seadistamiseks seadistatakse SD-WAN reeglid. Need on reeglid, mis määravad teatud liikluse tasakaalu algoritmi. Need on sarnased suunamisreeglitele poliitikapõhises suunamises, vaid tulemuseks on mitte next-hop või tavaline väljundliides, vaid SD-WAN bundi lisatud liidesed pluss liikluse tasakaalustamise algoritm nende liideste vahel.

Liiklust saab eristada üldisest voost L3-L4 teabe, tuvastatud rakenduste, interneti teenuste (URL ja IP) ja kaasavõetud tööjaamade ja sülearvutite tuvastatud kasutajate alusel. Pärast seda saab eraldatud liiklusele määrata ühe järgmistest tasakaalu algoritmidest:

Liidese eelistuse nimekirjas valitakse need liidesed, mis on juba bundi lisatud, mis teenindavad seda tüüpi liiklust. Mitte kõik liidesed lisades saab piiritleda, milliste täpselt kanalitega liikleb näiteks e-post, kui soovite vältida selle ülekoormust kalliste kanalitega, millel on kõrge SLA. FortiOS 6.4.1-s on lisatud võimalus grupeerida SD-WAN bundi lisatud liideseid tsoonidesse, luues näiteks ühe tsooni eemaldatud asukohaga suhtlemiseks ja teise kohaliku interneti ligipääsu jaoks NAT-i kasutades. Jah, liiklust, mis liigub internetti, saab samuti tasakaalustada.

Tasakaalu algoritmidest

Kuidas Fortigate (Fortineti tulemüür) suudab liiklust kanalite vahel jaotada, on kaks huvitavat võimalust, mis ei ole turul väga levinud:

Madalam hind (SLA) – kõikidest liidestest, mis rahuldavad SLA-d, valitakse see, millel on madalam kaal (cost), mille administraator on käsitsi määranud; see režiim sobib „mahukale” liiklusele, nagu varukoopiad ja failide edastamine.

Parim kvaliteet (SLA) – see algoritm, lisaks tavalistele viivitustele, jitteritele ja pakettide kaotusele, võib Fortigate kasutada ka kanali praegust koormust kvaliteedi hindamiseks; see režiim sobib „tundlikule” liiklusele, nagu IP-telefon (VoIP) ja videokonverents.

Nende algoritmide jaoks on vajalik sideteenuse efektiivsuse mõõtja seadistamine – Performance SLA. See mõõtja kontrollib järjepidevalt (check interval) SLA järgimise teavet: kadude (packet loss), viivituste (latency) ja jitterite (jitter) kohta sideteenuses, — ja võib „tagasi lükata” need kanalid, mis ei rahuldu hetkel kvaliteedi läveväärtustega – kaotavad liiga palju pakette või annavad liiga suure viivituse. Peale selle jälgib mõõtja kanali staatust ja võib ajutiselt eemaldada selle bundi, kui tekib korduv vastuste kadumine (failures before inactive). Taastumise korral, pärast mitut järjestikust vastust (restore link after) naaseb mõõtja automaatselt kanali bundi, ja andmed hakkavad taas liikuma läbi selle.

Nii näeb välja „mõõtja” seade:

Veebiliideses on testide jaoks saadaval protokollid ICMP-Echo-request, HTTP-GET ja DNS request. Kommandojoones on natuke rohkem valikuid: saadaval on TCP-echo ja UDP-echo, samuti spetsiaalne kvaliteedi mõõtmise protokoll — TWAMP.

Mõõtmistulemusi saab vaadata ka veebiliideses:

Ja käsureas:

Tõrkeotsing

Kui olete seadistanud reegli, kuid see ei tööta oodatud viisil, tasub vaadata Hit Count väärtust SD-WAN reeglite loendis. See näitab, kas liiklus jõuab üldse sellesse reeglisse:

Mõõturi seadistamise lehelt on võimalik jälgida kanaliparametrite muutusi aja jooksul. Punktjoonena on märgitud parameetri läviväärtus

Veebiliideses saab vaadata, kuidas liiklus jaotub edastatud/saadetud andmete mahu ja seansside arvu põhjal:

Lisaks on suurepärane võimalus jälgida pakettide edasiviimist maksimaalse detailide tasemega. Tegutsemas reaalsetes võrkudes koguneb seadme konfiguratsiooni palju marsruudimise, tulemüüride ja SD-WAN sadamate vahelise liikluse jaotamise poliitikaid. Kõik need mõjutavad üksteist keerulisel viisil ning kuigi tarnija esitab detailseid vooskeeme pakettide töötlemise algoritmidest, on väga oluline omada võimalust mitte teooriaid üles ehitada ja kontrollida, vaid näha, kuhu tegelikult liiklus suundub.

Näiteks järgmine käskude kogum

diagnoosige tõrke voog filtrit saddr 10.200.64.15 diagnoosige tõrke voog filtrit daddr 10.1.7.2 diagnoosige tõrke voog näita funktsiooni-nime diagnoosige tõrge lubamine diagnoosige tõrke jälgimine 2

võimaldab jälgida kahte paketti, mille lähteaadress on 10.200.64.15 ja sihtaadress on 10.1.7.2.
Pinge saame 10.7.1.2-lt aadressilt 10.200.64.15 kaks korda ja vaatame konsolile väljundit.

Esimene pakk:

Teine pakk:

Siin on esimesed paketid, mille tulemüür on saanud:
id=20085 trace_id=475 func=print_pkt_detail line=5605 msg="vd-Internet:0 sai paketi(proto=1, 10.200.64.15:42->10.1.7.2:2048) DMZ-Office'ist. tüüp=8, kood=0, id=42, seq=0." VDOM – Internet, Proto=1 (ICMP), DMZ-Office – L3-liidese nimi. Tüüp=8 – Echo.

Kuna loodi uus seanss:
msg="allocate a new session-0006a627"

Ja leiti marsruudimise poliitika seadistuste vastavus
msg="Match policy routing id=2136539137: to 10.1.7.2 via ifindex-110"

Selgub, et pakk peab olema saadetud ühte VPN-tunnelisse:
"find a route: flag=04000000 gw-192.168.254.1 via DC-Ph1-1"

Tulemüüri poliitikates leiti lubav reegel:
msg="Allowed by Policy-3:"

Pakk on krüpteeritud ja saadetud VPN-tunnelisse:
func=ipsecdev_hard_start_xmit line=789 msg="sisen IPsec liides-DC-Ph1-1" func=_ipsecdev_hard_start_xmit line=666 msg="IPsec tunnel-DC-Ph1-1" func=esp_output4 line=905 msg="IPsec krüpto/autentimine"

Krüpteeritud pakk saadetakse selle WAN-liidese jaoks määratud aadressile:
msg="send to 2.2.2.2 via intf-WAN1"

Teise paketi puhul toimub kõik sarnaselt, kuid see saadetakse teise VPN-tunnelisse ja läheb läbi teise tulemüüri pordi:
func=ipsecdev_hard_start_xmit line=789 msg="sisen IPsec liides-DC-Ph1-2" func=_ipsecdev_hard_start_xmit line=666 msg="IPsec tunnel-DC-Ph1-2" func=esp_output4 line=905 msg="IPsec krüpto/autentimine" func=ipsec_output_finish line=622 msg="saada 4.4.4.2 kaudu intf-WAN2"

Lahenduse eelised

Usaldusväärne funktsionaalsus ja mugav liides. Funktsioonide kogum, mis oli olemas FortiOS-is enne SD-WAN-i ilmumist, on täielikult säilinud. See tähendab, et meil on mitte uuesti välja töötatud tarkvara, vaid küps süsteem usaldusväärselt tarnijalt tulemüüre. Koos traditsiooniliste võrgufunktsioonide komplektiga, mugava ja kergesti õpitava veebiliidesega. Kas paljudel SD-WAN tarnijatel on lõppseadmetes, ütleme, Remote-Access VPN funktsionaalsus?

80. taseme turvalisus. FortiGate on tulemüüride lahenduste tipus. Internetis on palju materjale tulemüüride seadistamise ja haldamise kohta, ning tööturul on piisavalt turvaeksperte, kes on juba usaldusväärsete lahendustega tuttavad.

SD-WAN funktsionaalsuse nullhind. SD-WAN-võrgu loomine FortiGate'il maksab sama palju kui tavalise WAN-võrgu loomine, kuna SD-WAN funktsionaalsuse rakendamiseks ei ole vaja täiendavaid litsentse.

Madala hindade sisenemisbarjääri. Fortigate'il on hea seadmete jaotamine erineva jõudluse järgi. Kõige odavamad ja väiksemad mudelid sobivad ka väikese kontori või müügikoha seadistamiseks, näiteks 3-5 töötajale. Paljusid tarneid tavaliselt selliseid madala jõudlusega ja taskukohaseid mudelid puuduvad.

Kõrge jõudlus. SD-WAN funktsionaalsuse viimine liikluse tasakaalustamise tasemele võimaldas ettevõttel välja anda spetsialiseeritud SD-WAN ASIC, mis tagab, et SD-WAN töö ei vähenda tulemüüri üldist jõudlust.

Võimalus tõhusalt kasutada Fortineti seadmeid terve ettevõtte jaoks. Need on paar tulemüüri, lülitid, Wi-Fi ligipääsupunktid. Sellise ettevõtte haldamine on lihtne ja mugav – lülitid ja ligipääsupunktid registreeritakse tulemüürites ja neid hallatakse seal. Näiteks võib selline port välja näha tulemüüri liidesest, millega seda lülitit hallatakse:

Kontrollerite puudumine, kui ainus rikke punkt. Sellega rõhutab tarnija, kuid seda võib nimetada plussiks vaid osaliselt, kuna neil tarnijatel, kellel kontrollerid on, on nende talitluse tagamine odav, enamikul juhtudel väikese arvutite koguse hinnas virtuaalses keskkonnas.

Millele pöörata tähelepanu

Kontrollplaani ja andmeplaani eraldamise puudumine. See tähendab, et võrku tuleb seadistada kas käsitsi või juba olemasolevate traditsiooniliste haldusvahendite — FortiManager — abil. Nendel müüjatel, kellel on selline jaotus toimiv, koguneb võrgu ise. Administraator peab vaid kohandama selle topoloogiat, midagi kusagil keelama, mitte rohkem. Kuid FortiManageri eelis on selles, et see suudab hallata mitte ainult tulemüüre, vaid ka lüliteid ja Wi-Fi juurdepääsupunkte, st praktiliselt kogu võrku.

Tinglik juhtimise kasvu. Kuna võrgu seadistamise automatiseerimiseks kasutatakse traditsioonilisi vahendeid, tõuseb võrgu haldusvõimekus SD-WANi sissetoomisega vaid pisut. Teisalt, uus funktsionaalsus muutub kiiresti kergesti kättesaadavaks, kuna müüja vabastab selle esmalt tulemüüride operatsioonisüsteemile (mis annab kohe võimaluse seda kasutada), ning alles hiljem täiendatakse haldussüsteemi vajalike liideselementidega.

Mõned funktsioonid võivad olla juurdepääsetavad käsurea kaudu, kuid mitte veebiliidese kaudu. Pole nii hirmutav mõnikord käsureasse siseneda midagi seadistama, kui hirmutav on mitte näha veebiliideses, et midagi on juba seadistatud käsurea kaudu. Kuid see puudutab tavaliselt kõige uuemaid funktsioone ja järk-järgult, koos FortiOSi uuendustega, täiustatakse veebiliidest.

Kellele see sobib

Neile, kellel ei ole liiga palju filiaale. SD-WAN lahenduse juurutamine keeruliste kesksüsteemidega 8-10 filiaaliga võib osutuda kulutamiseks — tuleb kulutada raha SD-WAN seadmete litsentside ja virtuaalhalduse süsteemi ressursside jaoks kesksete komponentide paigutamiseks. Väikestel ettevõtetel on tavaliselt vabade arvutusressursside osakaal madal. Fortinetiga on piisav lihtsalt osta tulemüüre.

Neile, kellel on väga palju väikeseid filiaale. Paljude müüjate puhul on lahenduse minimaalne hind filiaali kohta üsna kõrge ja see võib tellijale äri mõttes ebasoodne olla. Fortinet pakub väikseid seadmeid väga atraktiivse hinnaga.

Neile, kes ei ole veel valmis liiga kaugele minema. SD-WANi juurutamine kontrolleritega, patenteeritud marsruutimise, uue lähenemisega võrgu planeerimisele ja haldamisele võib olla mõne tellija jaoks liiga ulatuslik samm. Jah, selline juurutamine aitab lõpuks optimeerida ühenduste kasutamist ja administraatorite tööd, kuid esmalt tuleb õppida palju uut. Neile, kes pole veel valmis paradigma muutmiseks, kuid soovivad oma ühendustest maksimumi võtta, sobib Fortineti lahendus just.

Allikas: habr.com