SD-WAN के सबसे लोकतांत्रिक का विश्लेषण: वास्तुकला, कॉन्फ़िगरेशन, प्रशासन और नुकसान

SD-WAN के माध्यम से हमारे पास आने वाले प्रश्नों की संख्या को देखते हुए, प्रौद्योगिकी ने रूस में पूरी तरह से जड़ें जमानी शुरू कर दी हैं। विक्रेता, स्वाभाविक रूप से, सोए नहीं हैं और अपनी अवधारणाओं की पेशकश करते हैं, और कुछ बहादुर अग्रदूत पहले से ही उन्हें अपने नेटवर्क पर लागू कर रहे हैं।

हम लगभग सभी विक्रेताओं के साथ काम करते हैं, और हमारी प्रयोगशाला में कई वर्षों में मैं सॉफ्टवेयर-परिभाषित समाधानों के हर प्रमुख डेवलपर की वास्तुकला में गहराई से उतरने में कामयाब रहा। फोर्टिनेट का SD-WAN यहां थोड़ा अलग खड़ा है, जिसने फ़ायरवॉल सॉफ़्टवेयर में संचार चैनलों के बीच ट्रैफ़िक को संतुलित करने की कार्यक्षमता का निर्माण किया है। समाधान अपेक्षाकृत लोकतांत्रिक है, इसलिए आमतौर पर उन कंपनियों द्वारा इस पर विचार किया जाता है जो अभी तक वैश्विक परिवर्तनों के लिए तैयार नहीं हैं, लेकिन अपने संचार चैनलों का अधिक प्रभावी ढंग से उपयोग करना चाहते हैं।

इस लेख में मैं आपको बताना चाहता हूं कि फोर्टिनेट से एसडी-डब्ल्यूएएन को कैसे कॉन्फ़िगर करें और उसके साथ कैसे काम करें, यह समाधान किसके लिए उपयुक्त है और यहां आपको किन नुकसानों का सामना करना पड़ सकता है।

SD-WAN बाज़ार में सबसे प्रमुख खिलाड़ियों को दो प्रकारों में से एक में वर्गीकृत किया जा सकता है:

1. स्टार्टअप जिन्होंने शुरू से ही SD-WAN समाधान बनाए हैं। इनमें से सबसे सफल को बड़ी कंपनियों द्वारा खरीदे जाने के बाद विकास के लिए भारी प्रोत्साहन मिलता है - यह सिस्को/विप्टेला, वीएमवेयर/वेलोक्लाउड, नुएज/नोकिया की कहानी है

2. बड़े नेटवर्क विक्रेता जिन्होंने SD-WAN समाधान बनाए हैं, अपने पारंपरिक राउटर की प्रोग्रामयोग्यता और प्रबंधनीयता विकसित की है - यह जुनिपर, हुआवेई की कहानी है

फोर्टिनेट अपना रास्ता ढूंढने में कामयाब रहा। फ़ायरवॉल सॉफ़्टवेयर में अंतर्निहित कार्यक्षमता थी जिसने पारंपरिक रूटिंग की तुलना में जटिल एल्गोरिदम का उपयोग करके उनके इंटरफेस को वर्चुअल चैनलों में संयोजित करना और उनके बीच लोड को संतुलित करना संभव बना दिया। इस कार्यक्षमता को SD-WAN कहा गया। क्या फोर्टिनेट को SD-WAN कहा जा सकता है? बाज़ार धीरे-धीरे समझ रहा है कि सॉफ़्टवेयर-डिफ़ाइंड का अर्थ है कंट्रोल प्लेन को डेटा प्लेन, समर्पित नियंत्रकों और ऑर्केस्ट्रेटर से अलग करना। फोर्टिनेट के पास ऐसा कुछ नहीं है। केंद्रीकृत प्रबंधन वैकल्पिक है और पारंपरिक फोर्टिमैनेजर टूल के माध्यम से पेश किया जाता है। लेकिन मेरी राय में, आपको अमूर्त सत्य की तलाश नहीं करनी चाहिए और शर्तों के बारे में बहस करके समय बर्बाद नहीं करना चाहिए। वास्तविक दुनिया में, प्रत्येक दृष्टिकोण के अपने फायदे और नुकसान हैं। सबसे अच्छा तरीका उन्हें समझना और कार्यों के अनुरूप समाधान चुनने में सक्षम होना है।

मैं आपको स्क्रीनशॉट के साथ यह बताने की कोशिश करूंगा कि फोर्टिनेट का SD-WAN कैसा दिखता है और यह क्या कर सकता है।

सब कुछ कैसे काम करता है

मान लीजिए कि आपकी दो शाखाएँ दो डेटा चैनलों से जुड़ी हैं। इन डेटा लिंक को एक समूह में संयोजित किया जाता है, ठीक उसी तरह जैसे नियमित ईथरनेट इंटरफेस को LACP-पोर्ट-चैनल में संयोजित किया जाता है। पुराने समय के लोगों को पीपीपी मल्टीलिंक याद होगा - यह भी एक उपयुक्त सादृश्य है। चैनल भौतिक पोर्ट, वीएलएएन एसवीआई, साथ ही वीपीएन या जीआरई सुरंगें भी हो सकते हैं।

वीपीएन या जीआरई का उपयोग आम तौर पर इंटरनेट पर शाखा स्थानीय नेटवर्क को कनेक्ट करते समय किया जाता है। और भौतिक पोर्ट - यदि साइटों के बीच L2 कनेक्शन हैं, या एक समर्पित एमपीएलएस/वीपीएन पर कनेक्ट करते समय, यदि हम ओवरले और एन्क्रिप्शन के बिना कनेक्शन से संतुष्ट हैं। एक अन्य परिदृश्य जिसमें SD-WAN समूह में भौतिक पोर्ट का उपयोग किया जाता है, इंटरनेट तक उपयोगकर्ताओं की स्थानीय पहुंच को संतुलित करना है।

हमारे स्टैंड पर चार फ़ायरवॉल और दो वीपीएन सुरंगें हैं जो दो "संचार ऑपरेटरों" के माध्यम से संचालित होती हैं। आरेख इस प्रकार दिखता है:

वीपीएन सुरंगों को इंटरफ़ेस मोड में कॉन्फ़िगर किया गया है ताकि वे पी 2 पी इंटरफेस पर आईपी पते वाले उपकरणों के बीच पॉइंट-टू-पॉइंट कनेक्शन के समान हों, जिसे यह सुनिश्चित करने के लिए पिंग किया जा सकता है कि किसी विशेष सुरंग के माध्यम से संचार काम कर रहा है। ट्रैफ़िक को एन्क्रिप्ट करने और विपरीत दिशा में जाने के लिए, इसे सुरंग में रूट करना पर्याप्त है। विकल्प सबनेट की सूचियों का उपयोग करके एन्क्रिप्शन के लिए ट्रैफ़िक का चयन करना है, जो व्यवस्थापक को बहुत भ्रमित करता है क्योंकि कॉन्फ़िगरेशन अधिक जटिल हो जाता है। एक बड़े नेटवर्क में, आप वीपीएन बनाने के लिए एडीवीपीएन तकनीक का उपयोग कर सकते हैं; यह सिस्को से डीएमवीपीएन या हुआवेई से डीवीपीएन का एक एनालॉग है, जो आसान सेटअप की अनुमति देता है।

दोनों तरफ बीजीपी रूटिंग के साथ दो उपकरणों के लिए साइट-टू-साइट वीपीएन कॉन्फ़िगरेशन

«ЦОД» (DC)
«Филиал» (BRN)

config system interface
 edit "WAN1"
  set vdom "Internet"
  set ip 1.1.1.1 255.255.255.252
  set allowaccess ping
  set role wan
  set interface "DC-BRD"
  set vlanid 111
 next
 edit "WAN2"
  set vdom "Internet"
  set ip 3.3.3.1 255.255.255.252
  set allowaccess ping
  set role lan
  set interface "DC-BRD"
  set vlanid 112
 next
 edit "BRN-Ph1-1"
  set vdom "Internet"
  set ip 192.168.254.1 255.255.255.255
  set allowaccess ping
  set type tunnel
  set remote-ip 192.168.254.2 255.255.255.255
  set interface "WAN1"
 next
 edit "BRN-Ph1-2"
  set vdom "Internet"
  set ip 192.168.254.3 255.255.255.255
  set allowaccess ping
  set type tunnel
  set remote-ip 192.168.254.4 255.255.255.255
  set interface "WAN2"
 next
end

config vpn ipsec phase1-interface
 edit "BRN-Ph1-1"
  set interface "WAN1"
  set local-gw 1.1.1.1
  set peertype any
  set net-device disable
  set proposal aes128-sha1
  set dhgrp 2
  set remote-gw 2.2.2.1
  set psksecret ***
 next
 edit "BRN-Ph1-2"
  set interface "WAN2"
  set local-gw 3.3.3.1
  set peertype any
  set net-device disable
  set proposal aes128-sha1
  set dhgrp 2
  set remote-gw 4.4.4.1
  set psksecret ***
 next
end

config vpn ipsec phase2-interface
 edit "BRN-Ph2-1"
  set phase1name "BRN-Ph1-1"
  set proposal aes256-sha256
  set dhgrp 2
 next
 edit "BRN-Ph2-2"
  set phase1name "BRN-Ph1-2"
  set proposal aes256-sha256
  set dhgrp 2
 next
end

config router static
 edit 1
  set gateway 1.1.1.2
  set device "WAN1"
 next
 edit 3
  set gateway 3.3.3.2
  set device "WAN2"
 next
end

config router bgp
 set as 65002
 set router-id 10.1.7.1
 set ebgp-multipath enable
 config neighbor
  edit "192.168.254.2"
   set remote-as 65003
  next
  edit "192.168.254.4"
   set remote-as 65003
  next
 end

 config network
  edit 1
   set prefix 10.1.0.0 255.255.0.0
  next
end

config system interface
 edit "WAN1"
  set vdom "Internet"
  set ip 2.2.2.1 255.255.255.252
  set allowaccess ping
  set role wan
  set interface "BRN-BRD"
  set vlanid 111
 next
 edit "WAN2"
  set vdom "Internet"
  set ip 4.4.4.1 255.255.255.252
  set allowaccess ping
  set role wan
  set interface "BRN-BRD"
  set vlanid 114
 next
 edit "DC-Ph1-1"
  set vdom "Internet"
  set ip 192.168.254.2 255.255.255.255
  set allowaccess ping
  set type tunnel
  set remote-ip 192.168.254.1 255.255.255.255
  set interface "WAN1"
 next
 edit "DC-Ph1-2"
  set vdom "Internet"
  set ip 192.168.254.4 255.255.255.255
  set allowaccess ping
  set type tunnel
  set remote-ip 192.168.254.3 255.255.255.255
  set interface "WAN2"
 next
end

config vpn ipsec phase1-interface
  edit "DC-Ph1-1"
   set interface "WAN1"
   set local-gw 2.2.2.1
   set peertype any
   set net-device disable
   set proposal aes128-sha1
   set dhgrp 2
   set remote-gw 1.1.1.1
   set psksecret ***
  next
  edit "DC-Ph1-2"
   set interface "WAN2"
   set local-gw 4.4.4.1
   set peertype any
   set net-device disable
   set proposal aes128-sha1
   set dhgrp 2
   set remote-gw 3.3.3.1
   set psksecret ***
  next
end

config vpn ipsec phase2-interface
  edit "DC-Ph2-1"
   set phase1name "DC-Ph1-1"
   set proposal aes128-sha1
   set dhgrp 2
  next
  edit "DC2-Ph2-2"
   set phase1name "DC-Ph1-2"
   set proposal aes128-sha1
   set dhgrp 2
  next
end

config router static
 edit 1
  set gateway 2.2.2.2
  et device "WAN1"
 next
 edit 3
  set gateway 4.4.4.2
  set device "WAN2"
 next
end

config router bgp
  set as 65003
  set router-id 10.200.7.1
  set ebgp-multipath enable
  config neighbor
   edit "192.168.254.1"
    set remote-as 65002
   next
  edit "192.168.254.3"
   set remote-as 65002
   next
  end

  config network
   edit 1
    set prefix 10.200.0.0 255.255.0.0
   next
end

मैं कॉन्फिगरेशन को टेक्स्ट फॉर्म में प्रदान कर रहा हूं, क्योंकि, मेरी राय में, वीपीएन को इस तरह से कॉन्फिगर करना अधिक सुविधाजनक है। लगभग सभी सेटिंग्स दोनों तरफ समान हैं; टेक्स्ट फॉर्म में इन्हें कॉपी-पेस्ट के रूप में बनाया जा सकता है। यदि आप वेब इंटरफ़ेस में वही काम करते हैं, तो गलती करना आसान है - कहीं चेकमार्क भूल जाएं, गलत मान दर्ज करें।

बंडल में इंटरफ़ेस जोड़ने के बाद

सभी मार्ग और सुरक्षा नीतियाँ इसे संदर्भित कर सकती हैं, न कि इसमें शामिल इंटरफ़ेस को। कम से कम, आपको आंतरिक नेटवर्क से SD-WAN पर ट्रैफ़िक की अनुमति देनी होगी। जब आप उनके लिए नियम बनाते हैं, तो आप आईपीएस, एंटीवायरस और HTTPS प्रकटीकरण जैसे सुरक्षात्मक उपाय लागू कर सकते हैं।

SD-WAN नियम बंडल के लिए कॉन्फ़िगर किए गए हैं। ये ऐसे नियम हैं जो विशिष्ट ट्रैफ़िक के लिए संतुलन एल्गोरिदम को परिभाषित करते हैं। वे पॉलिसी-आधारित रूटिंग में रूटिंग नीतियों के समान हैं, केवल पॉलिसी के अंतर्गत आने वाले ट्रैफ़िक के परिणामस्वरूप, यह नेक्स्ट-हॉप या सामान्य आउटगोइंग इंटरफ़ेस स्थापित नहीं होता है, बल्कि SD-WAN बंडल प्लस में जोड़े गए इंटरफ़ेस होते हैं इन इंटरफेस के बीच एक ट्रैफ़िक संतुलन एल्गोरिदम।

ट्रैफ़िक को सामान्य प्रवाह से L3-L4 जानकारी, मान्यता प्राप्त एप्लिकेशन, इंटरनेट सेवाओं (यूआरएल और आईपी) के साथ-साथ वर्कस्टेशन और लैपटॉप के मान्यता प्राप्त उपयोगकर्ताओं द्वारा अलग किया जा सकता है। इसके बाद, निम्नलिखित संतुलन एल्गोरिदम में से एक को आवंटित ट्रैफ़िक को सौंपा जा सकता है:

इंटरफ़ेस वरीयता सूची में, बंडल में पहले से जोड़े गए इंटरफ़ेस में से वे इंटरफ़ेस चुने गए हैं जो इस प्रकार के ट्रैफ़िक की सेवा देंगे। यदि आप उच्च SLA वाले महंगे चैनलों पर बोझ नहीं डालना चाहते हैं, तो सभी इंटरफ़ेस न जोड़कर, आप वास्तव में उन चैनलों को सीमित कर सकते हैं जिनका आप उपयोग करते हैं, उदाहरण के लिए, ईमेल। FortiOS 6.4.1 में, SD-WAN बंडल में जोड़े गए इंटरफ़ेस को ज़ोन में समूहित करना संभव हो गया, उदाहरण के लिए, दूरस्थ साइटों के साथ संचार के लिए एक ज़ोन और NAT का उपयोग करके स्थानीय इंटरनेट एक्सेस के लिए दूसरा ज़ोन बनाना संभव हो गया। हाँ, हाँ, नियमित इंटरनेट पर जाने वाले ट्रैफ़िक को भी संतुलित किया जा सकता है।

संतुलन एल्गोरिदम के बारे में

फ़ोर्टिगेट (फ़ोर्टिनेट का एक फ़ायरवॉल) चैनलों के बीच ट्रैफ़िक को कैसे विभाजित कर सकता है, इसके बारे में दो दिलचस्प विकल्प हैं जो बाज़ार में बहुत आम नहीं हैं:

न्यूनतम लागत (एसएलए) - इस समय एसएलए को संतुष्ट करने वाले सभी इंटरफेस में से, व्यवस्थापक द्वारा मैन्युअल रूप से निर्धारित कम वजन (लागत) वाले इंटरफ़ेस का चयन किया जाता है; यह मोड बैकअप और फ़ाइल स्थानांतरण जैसे "बल्क" ट्रैफ़िक के लिए उपयुक्त है।

सर्वोत्तम गुणवत्ता (एसएलए) - यह एल्गोरिदम, फोर्टिगेट पैकेटों की सामान्य देरी, घबराहट और हानि के अलावा, चैनलों की गुणवत्ता का आकलन करने के लिए वर्तमान चैनल लोड का भी उपयोग कर सकता है; यह मोड वीओआईपी और वीडियो कॉन्फ्रेंसिंग जैसे संवेदनशील ट्रैफ़िक के लिए उपयुक्त है।

इन एल्गोरिदम के लिए एक संचार चैनल प्रदर्शन मीटर - प्रदर्शन एसएलए स्थापित करने की आवश्यकता होती है। यह मीटर समय-समय पर (चेक अंतराल) एसएलए के अनुपालन के बारे में जानकारी की निगरानी करता है: संचार चैनल में पैकेट हानि, विलंबता और घबराहट, और उन चैनलों को "अस्वीकार" कर सकता है जो वर्तमान में गुणवत्ता सीमा को पूरा नहीं करते हैं - वे बहुत सारे पैकेट खो रहे हैं या बहुत अधिक अनुभव कर रहे हैं बहुत अधिक विलंबता. इसके अलावा, मीटर चैनल की स्थिति पर नज़र रखता है, और प्रतिक्रियाओं के बार-बार नुकसान (निष्क्रिय होने से पहले विफलता) के मामले में इसे अस्थायी रूप से बंडल से हटा सकता है। जब बहाल किया जाता है, तो लगातार कई प्रतिक्रियाएं आने के बाद (लिंक को पुनर्स्थापित करें), मीटर स्वचालित रूप से चैनल को बंडल में वापस कर देगा, और डेटा फिर से इसके माध्यम से प्रसारित होना शुरू हो जाएगा।

"मीटर" सेटिंग इस प्रकार दिखती है:

वेब इंटरफ़ेस में, ICMP-इको-अनुरोध, HTTP-GET और DNS अनुरोध परीक्षण प्रोटोकॉल के रूप में उपलब्ध हैं। कमांड लाइन पर कुछ और विकल्प हैं: टीसीपी-इको और यूडीपी-इको विकल्प उपलब्ध हैं, साथ ही एक विशेष गुणवत्ता माप प्रोटोकॉल - TWAMP भी उपलब्ध है।

माप परिणाम वेब इंटरफ़ेस में भी देखे जा सकते हैं:

और कमांड लाइन पर:

समस्या निवारण

यदि आपने कोई नियम बनाया है, लेकिन सब कुछ अपेक्षा के अनुरूप काम नहीं करता है, तो आपको SD-WAN नियम सूची में हिट काउंट मान को देखना चाहिए। यह दिखाएगा कि क्या ट्रैफ़िक इस नियम के अंतर्गत आता है:

मीटर के सेटिंग पेज पर ही आप समय के साथ चैनल पैरामीटर्स में बदलाव देख सकते हैं। बिंदीदार रेखा पैरामीटर के थ्रेशोल्ड मान को इंगित करती है

वेब इंटरफ़ेस में आप देख सकते हैं कि संचारित/प्राप्त डेटा की मात्रा और सत्रों की संख्या के आधार पर ट्रैफ़िक कैसे वितरित किया जाता है:

इन सबके अलावा, पैकेटों के मार्ग को अधिकतम विवरण के साथ ट्रैक करने का एक उत्कृष्ट अवसर है। वास्तविक नेटवर्क में काम करते समय, डिवाइस कॉन्फ़िगरेशन SD-WAN पोर्ट पर कई रूटिंग नीतियों, फ़ायरवॉलिंग और ट्रैफ़िक वितरण को जमा करता है। यह सब जटिल तरीके से एक-दूसरे के साथ इंटरैक्ट करते हैं, और हालांकि विक्रेता पैकेट प्रोसेसिंग एल्गोरिदम के विस्तृत ब्लॉक आरेख प्रदान करता है, सिद्धांतों का निर्माण और परीक्षण करने में सक्षम होना बहुत महत्वपूर्ण है, लेकिन यह देखने के लिए कि ट्रैफ़िक वास्तव में कहां जाता है।

उदाहरण के लिए, आदेशों का निम्नलिखित सेट

diagnose debug flow filter saddr 10.200.64.15
diagnose debug flow filter daddr 10.1.7.2
diagnose debug flow show function-name
diagnose debug enable
diagnose debug trace 2

आपको 10.200.64.15 के स्रोत पते और 10.1.7.2 के गंतव्य पते के साथ दो पैकेट ट्रैक करने की अनुमति देता है।
हम 10.7.1.2 को 10.200.64.15 से दो बार पिंग करते हैं और कंसोल पर आउटपुट देखते हैं।

पहला पैकेज:

दूसरा पैकेज:

यहाँ फ़ायरवॉल द्वारा प्राप्त पहला पैकेट है:
id=20085 trace_id=475 func=print_pkt_detail line=5605 msg="vd-Internet:0 received a packet(proto=1, 10.200.64.15:42->10.1.7.2:2048) from DMZ-Office. type=8, code=0, id=42, seq=0."
VDOM – Internet, Proto=1 (ICMP), DMZ-Office – название L3-интерфейса. Type=8 – Echo.

उसके लिए एक नया सत्र बनाया गया है:
msg="allocate a new session-0006a627"

और रूटिंग नीति सेटिंग्स में एक मिलान पाया गया
msg="Match policy routing id=2136539137: to 10.1.7.2 via ifindex-110"

यह पता चला है कि पैकेट को वीपीएन सुरंगों में से एक में भेजने की जरूरत है:
"find a route: flag=04000000 gw-192.168.254.1 via DC-Ph1-1"

फ़ायरवॉल नीतियों में निम्नलिखित अनुमति नियम का पता लगाया गया है:
msg="Allowed by Policy-3:"

पैकेट को एन्क्रिप्ट किया गया है और वीपीएन सुरंग में भेजा गया है:
func=ipsecdev_hard_start_xmit line=789 msg="enter IPsec interface-DC-Ph1-1"
func=_ipsecdev_hard_start_xmit line=666 msg="IPsec tunnel-DC-Ph1-1"
func=esp_output4 line=905 msg="IPsec encrypt/auth"

एन्क्रिप्टेड पैकेट इस WAN इंटरफ़ेस के गेटवे पते पर भेजा जाता है:
msg="send to 2.2.2.2 via intf-WAN1"

दूसरे पैकेट के लिए, सब कुछ समान रूप से होता है, लेकिन इसे किसी अन्य वीपीएन सुरंग में भेजा जाता है और एक अलग फ़ायरवॉल पोर्ट के माध्यम से छोड़ दिया जाता है:
func=ipsecdev_hard_start_xmit line=789 msg="enter IPsec interface-DC-Ph1-2"
func=_ipsecdev_hard_start_xmit line=666 msg="IPsec tunnel-DC-Ph1-2"
func=esp_output4 line=905 msg="IPsec encrypt/auth"
func=ipsec_output_finish line=622 msg="send to 4.4.4.2 via intf-WAN2"

समाधान के पेशेवर

विश्वसनीय कार्यक्षमता और उपयोगकर्ता के अनुकूल इंटरफ़ेस। SD-WAN के आगमन से पहले FortiOS में जो फीचर सेट उपलब्ध था, उसे पूरी तरह से संरक्षित किया गया है। अर्थात्, हमारे पास कोई नया विकसित सॉफ़्टवेयर नहीं है, बल्कि एक सिद्ध फ़ायरवॉल विक्रेता का परिपक्व सिस्टम है। नेटवर्क फ़ंक्शंस के पारंपरिक सेट के साथ, एक सुविधाजनक और सीखने में आसान वेब इंटरफ़ेस। कितने SD-WAN विक्रेताओं के पास अंतिम उपकरणों पर रिमोट-एक्सेस वीपीएन कार्यक्षमता है?

सुरक्षा स्तर 80. FortiGate शीर्ष फ़ायरवॉल समाधानों में से एक है। फ़ायरवॉल की स्थापना और प्रशासन पर इंटरनेट पर बहुत सारी सामग्री है, और श्रम बाज़ार में कई सुरक्षा विशेषज्ञ हैं जो पहले से ही विक्रेता के समाधानों में महारत हासिल कर चुके हैं।

SD-WAN कार्यक्षमता के लिए शून्य मूल्य। FortiGate पर SD-WAN नेटवर्क बनाने की लागत उस पर नियमित WAN नेटवर्क बनाने के समान ही होती है, क्योंकि SD-WAN कार्यक्षमता को लागू करने के लिए किसी अतिरिक्त लाइसेंस की आवश्यकता नहीं होती है।

कम प्रवेश बाधा कीमत. फोर्टिगेट के पास विभिन्न प्रदर्शन स्तरों के लिए उपकरणों का अच्छा वर्गीकरण है। सबसे युवा और सबसे सस्ते मॉडल 3-5 कर्मचारियों द्वारा किसी कार्यालय या बिक्री केंद्र का विस्तार करने के लिए काफी उपयुक्त हैं। कई विक्रेताओं के पास ऐसे कम प्रदर्शन वाले और किफायती मॉडल ही नहीं होते हैं।

उच्च प्रदर्शन। ट्रैफ़िक संतुलन के लिए SD-WAN कार्यक्षमता को कम करने से कंपनी को एक विशेष SD-WAN ASIC जारी करने की अनुमति मिली, जिसकी बदौलत SD-WAN ऑपरेशन समग्र रूप से फ़ायरवॉल के प्रदर्शन को कम नहीं करता है।

फोर्टिनेट उपकरण पर पूरे कार्यालय को लागू करने की क्षमता। ये फ़ायरवॉल, स्विच, वाई-फ़ाई एक्सेस पॉइंट की एक जोड़ी हैं। ऐसे कार्यालय को प्रबंधित करना आसान और सुविधाजनक है - स्विच और एक्सेस पॉइंट फ़ायरवॉल पर पंजीकृत होते हैं और उनसे प्रबंधित होते हैं। उदाहरण के लिए, इस स्विच को नियंत्रित करने वाले फ़ायरवॉल इंटरफ़ेस से एक स्विच पोर्ट इस तरह दिख सकता है:

विफलता का एक बिंदु नियंत्रकों की कमी है। विक्रेता स्वयं इस पर ध्यान केंद्रित करता है, लेकिन इसे आंशिक रूप से ही लाभ कहा जा सकता है, क्योंकि उन विक्रेताओं के लिए जिनके पास नियंत्रक हैं, उनकी गलती सहनशीलता सुनिश्चित करना सस्ता है, अक्सर वर्चुअलाइजेशन वातावरण में कंप्यूटिंग संसाधनों की थोड़ी मात्रा की कीमत पर।

क्या देखना है

कंट्रोल प्लेन और डेटा प्लेन के बीच कोई अलगाव नहीं. इसका मतलब यह है कि नेटवर्क को या तो मैन्युअल रूप से या पहले से उपलब्ध पारंपरिक प्रबंधन टूल - फोर्टीमैनेजर का उपयोग करके कॉन्फ़िगर किया जाना चाहिए। जिन विक्रेताओं ने इस तरह का पृथक्करण लागू किया है, उनके लिए नेटवर्क स्वयं ही असेंबल किया जाता है। व्यवस्थापक को केवल अपनी टोपोलॉजी को समायोजित करने की आवश्यकता हो सकती है, कहीं कुछ प्रतिबंधित करने की, इससे अधिक कुछ नहीं। हालाँकि, FortiManager का तुरुप का पत्ता यह है कि यह न केवल फ़ायरवॉल, बल्कि स्विच और वाई-फ़ाई एक्सेस पॉइंट, यानी लगभग पूरे नेटवर्क को भी प्रबंधित कर सकता है।

नियंत्रणीयता में सशर्त वृद्धि. इस तथ्य के कारण कि नेटवर्क कॉन्फ़िगरेशन को स्वचालित करने के लिए पारंपरिक उपकरणों का उपयोग किया जाता है, SD-WAN की शुरूआत के साथ नेटवर्क प्रबंधन क्षमता थोड़ी बढ़ जाती है। दूसरी ओर, नई कार्यक्षमता तेजी से उपलब्ध हो जाती है, क्योंकि विक्रेता पहले इसे केवल फ़ायरवॉल ऑपरेटिंग सिस्टम के लिए जारी करता है (जो तुरंत इसका उपयोग करना संभव बनाता है), और उसके बाद ही प्रबंधन प्रणाली को आवश्यक इंटरफेस के साथ पूरक करता है।

कुछ कार्यक्षमता कमांड लाइन से उपलब्ध हो सकती है, लेकिन वेब इंटरफ़ेस से उपलब्ध नहीं है। कभी-कभी किसी चीज़ को कॉन्फ़िगर करने के लिए कमांड लाइन में जाना इतना डरावना नहीं होता है, लेकिन वेब इंटरफ़ेस में यह न देखना डरावना होता है कि किसी ने पहले ही कमांड लाइन से कुछ कॉन्फ़िगर कर लिया है। लेकिन यह आमतौर पर नवीनतम सुविधाओं पर लागू होता है और धीरे-धीरे, FortiOS अपडेट के साथ, वेब इंटरफ़ेस की क्षमताओं में सुधार होता है।

सूट करने के लिए

उनके लिए जिनकी ज्यादा शाखाएं नहीं हैं. 8-10 शाखाओं के नेटवर्क पर जटिल केंद्रीय घटकों के साथ SD-WAN समाधान लागू करने से लागत कम नहीं हो सकती है - आपको केंद्रीय घटकों को होस्ट करने के लिए SD-WAN उपकरणों और वर्चुअलाइजेशन सिस्टम संसाधनों के लाइसेंस पर पैसा खर्च करना होगा। एक छोटी कंपनी के पास आमतौर पर सीमित मुफ्त कंप्यूटिंग संसाधन होते हैं। फोर्टिनेट के मामले में, केवल फ़ायरवॉल खरीदना ही पर्याप्त है।

उन लोगों के लिए जिनकी बहुत सारी छोटी शाखाएँ हैं। कई विक्रेताओं के लिए, प्रति शाखा न्यूनतम समाधान मूल्य काफी अधिक है और अंतिम ग्राहक के व्यवसाय के दृष्टिकोण से दिलचस्प नहीं हो सकता है। फोर्टिनेट बहुत ही आकर्षक कीमतों पर छोटे उपकरण प्रदान करता है।

उन लोगों के लिए जो अभी तक बहुत आगे बढ़ने के लिए तैयार नहीं हैं। नियंत्रकों, मालिकाना रूटिंग और नेटवर्क योजना और प्रबंधन के लिए एक नए दृष्टिकोण के साथ SD-WAN को लागू करना कुछ ग्राहकों के लिए बहुत बड़ा कदम हो सकता है। हां, इस तरह के कार्यान्वयन से अंततः संचार चैनलों के उपयोग और प्रशासकों के काम को अनुकूलित करने में मदद मिलेगी, लेकिन पहले आपको बहुत सी नई चीजें सीखनी होंगी। उन लोगों के लिए जो अभी तक एक आदर्श बदलाव के लिए तैयार नहीं हैं, लेकिन अपने संचार चैनलों से अधिक लाभ उठाना चाहते हैं, फोर्टिनेट का समाधान बिल्कुल सही है।

स्रोत: www.habr.com