<\/p>\n\u00ab DC \u00bb (Datacenter)
config system interface
config vpn ipsec phase1-interface
config vpn ipsec phase2-interface
config router static
config router bgp
\u2003config network
config system interface
config vpn ipsec phase1-interface
config vpn ipsec phase2-interface
config router static
config router bgp
\u2003 config network
<\/code><\/p>\n
Je fournis la configuration sous forme de texte, car, \u00e0 mon avis, il est plus pratique de configurer le VPN de cette fa\u00e7on. Presque tous les param\u00e8tres des deux c\u00f4t\u00e9s sont identiques, et en texte, ils peuvent \u00eatre faits par copier-coller. Si l'on fait la m\u00eame chose dans l'interface web, il est facile de faire une erreur : oublier de cocher une case ou d'entrer une mauvaise valeur. <\/p>\n
Apr\u00e8s avoir ajout\u00e9 les interfaces dans le bundle<\/p>\n
Le trafic peut \u00eatre distingu\u00e9 du flux g\u00e9n\u00e9ral par des informations L3-L4, par des applications ou des services internet reconnus (URL et IP), ainsi que par des utilisateurs reconnus sur des postes de travail et des ordinateurs portables. Apr\u00e8s cela, un des algorithmes de balancement suivants peut \u00eatre assign\u00e9 au trafic distingu\u00e9 :<\/p>\n
Sur les algorithmes d'\u00e9quilibrage \nEn ce qui concerne la fa\u00e7on dont Fortigate (le pare-feu de Fortinet) r\u00e9partit le trafic entre les canaux, deux options int\u00e9ressantes, peu communes sur le march\u00e9, existent :<\/p>\n
Co\u00fbt Minimal (SLA)<\/b> \u2013 parmi toutes les interfaces respectant le SLA \u00e0 un moment donn\u00e9, celle avec le poids (cost) le plus bas, d\u00e9fini manuellement par l'administrateur, est choisie ; ce mode est adapt\u00e9 pour le trafic \u00ab volumineux \u00bb, comme les sauvegardes et le transfert de fichiers. <\/p>\n
Meilleure Qualit\u00e9 (SLA)<\/b> \u2013 cet algorithme, en plus des latences, du jitter et de la perte de paquets habituels, utilise \u00e9galement la charge actuelle du canal pour \u00e9valuer la qualit\u00e9. Ce mode convient au trafic \u00ab sensible \u00bb, comme la t\u00e9l\u00e9phonie IP (VoIP) et les visioconf\u00e9rences.<\/p>\n
Pour ces algorithmes, la configuration d'un mesureur de performance de canal \u2013 Performance SLA \u2013 est n\u00e9cessaire. Ce mesureur contr\u00f4le p\u00e9riodiquement (intervalle de v\u00e9rification) les informations sur le respect du SLA : pertes de paquets, latence et jitter dans le canal de communication, et peut \u00ab rejeter \u00bb les canaux qui ne respectent pas les seuils de qualit\u00e9 actuels \u2013 perdant trop de paquets ou ayant une latence trop \u00e9lev\u00e9e. De plus, le mesureur surveille l'\u00e9tat du canal et peut temporairement l'\u00e9liminer du bundle en cas de perte r\u00e9p\u00e9t\u00e9e de r\u00e9ponses. Lors de la restauration, apr\u00e8s avoir re\u00e7u plusieurs r\u00e9ponses cons\u00e9cutives, le mesureur renvoie automatiquement le canal dans le bundle, et les donn\u00e9es peuvent \u00e0 nouveau y \u00eatre transf\u00e9r\u00e9es.<\/p>\n
Voici \u00e0 quoi ressemble la configuration du \u00ab mesureur \u00bb : <\/p>\n
D\u00e9pannage<\/h3>\n \nSi vous avez cr\u00e9\u00e9 une r\u00e8gle, mais que le fonctionnement n'est pas conforme \u00e0 vos attentes, il est utile de v\u00e9rifier la valeur Hit Count dans la liste des R\u00e8gles SD-WAN. Cela montrera si le trafic correspond effectivement \u00e0 cette r\u00e8gle :<\/p>\n
Par exemple, le jeu de commandes suivant<\/p>\n
diagnostiquer le filtre de flux de d\u00e9bogage saddr 10.200.64.15permettra de suivre deux paquets avec l'adresse source 10.200.64.15 et l'adresse de destination 10.1.7.2.
Premier paquet :<\/p>\n
id=20085 trace_id=475 func=print_pkt_detail line=5605 msg=\"vd-Internet:0 a re\u00e7u un paquet(proto=1, 10.200.64.15:42->10.1.7.2:2048) de DMZ-Office. type=8, code=0, id=42, seq=0.\"DMZ-Office \u2013 nom de l'interface L3. <\/b>Type=8 \u2013 Echo.<\/code><\/p>\n Une nouvelle session a \u00e9t\u00e9 cr\u00e9\u00e9e pour celui-ci :msg=\"allouer une nouvelle session-0006a627\"<\/code><\/p>\nEt il y a eu une correspondance dans les param\u00e8tres des politiques de routage.msg=\"Politique de correspondance de routage id=2136539137 : vers 10.1.7.2 via ifindex-110\"<\/code><\/p>\nIl s'av\u00e8re que le paquet doit \u00eatre envoy\u00e9 dans l'un des tunnels VPN :\"trouver une route : drapeau=04000000 gw-192.168.254.1 via DC-Ph1-1\"<\/code><\/p>\nDans les politiques de filtrage, il est trouv\u00e9 une r\u00e8gle d'autorisation :msg=\"Autoris\u00e9 par la Politique-3:\"<\/code><\/p>\nLe paquet est chiffr\u00e9 et envoy\u00e9 dans le tunnel VPN :func=ipsecdev_hard_start_xmit ligne=789 msg=\"entrer l'interface IPsec-DC-Ph1-1\"Le paquet chiffr\u00e9 est envoy\u00e9 \u00e0 l'adresse de la passerelle pour cette interface WAN :msg=\"envoyer \u00e0 2.2.2.2 via intf-WAN1\"<\/code><\/p>\nPour le deuxi\u00e8me paquet, tout se passe de mani\u00e8re similaire, mais il est envoy\u00e9 dans un autre tunnel VPN et passe par un autre port du pare-feu :func=ipsecdev_hard_start_xmit ligne=789 msg=\"entrer l'interface IPsec-DC-Ph1-2\"Les avantages de la solution \nFonctionnalit\u00e9 fiable et interface conviviale. <\/b>L'ensemble des fonctionnalit\u00e9s pr\u00e9sentes dans FortiOS avant l'apparition du SD-WAN a \u00e9t\u00e9 enti\u00e8rement conserv\u00e9. Cela signifie que nous avons non pas un logiciel redevelopp\u00e9, mais un syst\u00e8me mature provenant d'un fournisseur de pare-feu reconnu. Avec un ensemble traditionnel de fonctions r\u00e9seau et une interface web conviviale et facile \u00e0 prendre en main. Combien de fournisseurs SD-WAN poss\u00e8dent, par exemple, la fonctionnalit\u00e9 Remote-Access VPN sur leurs appareils de bord ?<\/p>\n
S\u00e9curit\u00e9 de niveau 80. <\/b>FortiGate figure parmi les meilleures solutions en mati\u00e8re de pare-feu. Il existe de nombreux documents en ligne sur la configuration et l'administration des pare-feu, et le march\u00e9 de l'emploi regorge de sp\u00e9cialistes en s\u00e9curit\u00e9 ayant d\u00e9j\u00e0 ma\u00eetris\u00e9 les solutions du fournisseur.<\/p>\n
Prix nul pour la fonctionnalit\u00e9 SD-WAN. <\/b>Construire un r\u00e9seau SD-WAN sur FortiGate co\u00fbte autant que de construire un r\u00e9seau WAN traditionnel, car aucune licence suppl\u00e9mentaire n'est n\u00e9cessaire pour mettre en \u0153uvre la fonctionnalit\u00e9 SD-WAN. <\/p>\n
Faible seuil d'entr\u00e9e en termes de prix. <\/b>FortiGate propose une bonne gradation d'appareils adapt\u00e9s \u00e0 diff\u00e9rentes performances. Les mod\u00e8les les plus basiques et abordables conviennent parfaitement pour \u00e9tablir un bureau ou un point de vente pour environ 3 \u00e0 5 employ\u00e9s. De nombreux fournisseurs n'offrent tout simplement pas de mod\u00e8les peu performants et \u00e0 prix abordable. <\/p>\n
Haute performance. <\/b>La r\u00e9duction de la fonctionnalit\u00e9 SD-WAN \u00e0 l'\u00e9quilibrage du trafic a permis \u00e0 l'entreprise de d\u00e9velopper un ASIC SD-WAN sp\u00e9cialis\u00e9, qui fait en sorte que le fonctionnement du SD-WAN n'affecte pas les performances globales du pare-feu. <\/p>\n
Capacit\u00e9 de r\u00e9aliser un bureau enti\u00e8rement sur du mat\u00e9riel Fortinet. <\/b>Il s'agit d'une paire de pare-feu, de commutateurs, de points d'acc\u00e8s Wi-Fi. Il est facile et pratique de g\u00e9rer un tel bureau - les commutateurs et les points d'acc\u00e8s sont enregistr\u00e9s sur les pare-feu et g\u00e9r\u00e9s depuis ceux-ci. Voici \u00e0 quoi pourrait ressembler le port d'un commutateur depuis l'interface du pare-feu qui le g\u00e8re :<\/p>\n
Absence de contr\u00f4leurs, comme point de d\u00e9faillance unique. <\/b>C'est un point sur lequel le fournisseur lui-m\u00eame insiste, mais cela ne peut \u00eatre consid\u00e9r\u00e9 comme un avantage que partiellement, car pour les fournisseurs qui disposent de contr\u00f4leurs, assurer leur r\u00e9silience ne co\u00fbte pas cher, le plus souvent sous la forme d'une petite quantit\u00e9 de ressources de calcul dans un environnement virtualis\u00e9.<\/p>\n\u00c0 quoi faire attention
\nAbsence de s\u00e9paration du Control Plane et du Data Plane<\/b>Cela signifie que le r\u00e9seau doit \u00eatre configur\u00e9 soit manuellement, soit en utilisant les outils de gestion traditionnels d\u00e9j\u00e0 disponibles - FortiManager. Pour les fournisseurs qui ont mis en \u0153uvre une telle s\u00e9paration, le r\u00e9seau s'auto-configure. L'administrateur peut juste avoir besoin de corriger sa topologie, d'interdire certaines choses, rien de plus. Cependant, l'atout de FortiManager est qu'il peut g\u00e9rer non seulement les pare-feu, mais aussi les commutateurs et les points d'acc\u00e8s Wi-Fi, c'est-\u00e0-dire presque l'ensemble du r\u00e9seau. <\/p>\n
Croissance conditionnelle de la manageabilit\u00e9. <\/b>En raison de l'utilisation d'outils traditionnels pour automatiser la configuration du r\u00e9seau, la manageabilit\u00e9 du r\u00e9seau augmente de mani\u00e8re peu significative avec l'impl\u00e9mentation de la SD-WAN. D'autre part, de nouvelles fonctionnalit\u00e9s deviennent disponibles plus rapidement, car le fournisseur les publie d'abord uniquement pour le syst\u00e8me d'exploitation des pare-feu (ce qui permet de les utiliser imm\u00e9diatement), puis compl\u00e8te le syst\u00e8me de gestion avec les interfaces n\u00e9cessaires.<\/p>\n
Certaines fonctionnalit\u00e9s peuvent \u00eatre accessibles via la ligne de commande, mais pas via l'interface web. <\/b>Il n'est pas si terrible d'entrer parfois dans la ligne de commande pour configurer quelque chose, mais il est beaucoup plus inqui\u00e9tant de ne pas voir dans l'interface web que quelque chose a d\u00e9j\u00e0 \u00e9t\u00e9 configur\u00e9 par quelqu'un d'autre via la ligne de commande. Cependant, cela concerne g\u00e9n\u00e9ralement les fonctionnalit\u00e9s les plus nouvelles et progressivement, avec les mises \u00e0 jour de FortiOS, les capacit\u00e9s de l'interface web s'am\u00e9liorent.<\/p>\nQui est concern\u00e9<\/h3>\n
\nCeux qui n'ont pas beaucoup de succursales.<\/b> La mise en \u0153uvre de la solution SD-WAN avec des composants centraux complexes dans un r\u00e9seau de 8 \u00e0 10 succursales peut ne pas en valoir la peine - il faudra d\u00e9penser de l'argent pour les licences des dispositifs SD-WAN et pour les ressources du syst\u00e8me de virtualisation pour d\u00e9ployer les composants centraux. Les ressources informatiques disponibles d'une petite entreprise sont g\u00e9n\u00e9ralement tr\u00e8s limit\u00e9es. Dans le cas de Fortinet, il suffit d'acheter des pare-feu. <\/p>\n
Ceux qui ont beaucoup de petites succursales. <\/b>Chez de nombreux fournisseurs, le prix minimal de la solution par succursale est suffisamment \u00e9lev\u00e9 et peut ne pas \u00eatre int\u00e9ressant du point de vue commercial pour le client final. Fortinet propose des dispositifs compacts \u00e0 un prix tr\u00e8s attractif. <\/p>\n
Ceux qui ne sont pas encore pr\u00eats \u00e0 faire un grand pas en avant. <\/b>La mise en \u0153uvre de SD-WAN avec des contr\u00f4leurs, un routage propri\u00e9taire, une nouvelle approche de la planification et de la gestion du r\u00e9seau peut repr\u00e9senter une \u00e9tape trop s\u00e9rieuse pour certains clients. Oui, cette mise en \u0153uvre permettra finalement d'optimiser l'utilisation des canaux de communication et le travail des administrateurs, mais d'abord, il faudra apprendre beaucoup de nouvelles choses. Pour ceux qui ne sont pas encore pr\u00eats \u00e0 un changement de paradigme, mais qui souhaitent tirer le meilleur parti de leurs canaux de communication, la solution de Fortinet sera id\u00e9ale.habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"\u0421\u0443\u0434\u044f \u043f\u043e \u0447\u0438\u0441\u043b\u0443 \u0432\u043e\u043f\u0440\u043e\u0441\u043e\u0432, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043d\u0430\u043c \u0441\u0442\u0430\u043b\u0438 \u043f\u0440\u0438\u043b\u0435\u0442\u0430\u0442\u044c \u043f\u043e SD-WAN, \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u044f \u043d\u0430\u0447\u0430\u043b\u0430 \u043e\u0441\u043d\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u043e \u043f\u0440\u0438\u0436\u0438\u0432\u0430\u0442\u044c\u0441\u044f \u0432 \u0420\u043e\u0441\u0441\u0438\u0438. \u0412\u0435\u043d\u0434\u043e\u0440\u044b, \u0435\u0441\u0442\u0435\u0441\u0442\u0432\u0435\u043d\u043d\u043e, \u043d\u0435 \u0434\u0440\u0435\u043c\u043b\u044e\u0442 \u0438 \u043f\u0440\u0435\u0434\u043b\u0430\u0433\u0430\u044e\u0442 \u0441\u0432\u043e\u0438 \u043a\u043e\u043d\u0446\u0435\u043f\u0446\u0438\u0438, \u0430 \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0441\u043c\u0435\u043b\u044c\u0447\u0430\u043a\u0438 \u043f\u0435\u0440\u0432\u043e\u043f\u0440\u043e\u0445\u043e\u0434\u0446\u044b \u0443\u0436\u0435 \u0432\u043d\u0435\u0434\u0440\u044f\u044e\u0442 \u0438\u0445 \u0443 \u0441\u0435\u0431\u044f \u043d\u0430 \u0441\u0435\u0442\u0438. \u041c\u044b \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u043c \u043f\u043e\u0447\u0442\u0438 \u0441\u043e \u0432\u0441\u0435\u043c\u0438 \u0432\u0435\u043d\u0434\u043e\u0440\u0430\u043c\u0438, \u0438 \u0437\u0430 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u043b\u0435\u0442 \u0432 \u043d\u0430\u0448\u0435\u0439 \u043b\u0430\u0431\u043e\u0440\u0430\u0442\u043e\u0440\u0438\u0438 \u044f \u0443\u0441\u043f\u0435\u043b \u043f\u043e\u043a\u043e\u043f\u0430\u0442\u044c\u0441\u044f \u0432 \u0430\u0440\u0445\u0438\u0442\u0435\u043a\u0442\u0443\u0440\u0435 \u043a\u0430\u0436\u0434\u043e\u0433\u043e \u043a\u0440\u0443\u043f\u043d\u043e\u0433\u043e […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":95433,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-95432","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t