{"id":95432,"date":"2020-09-29T07:42:38","date_gmt":"2020-09-29T05:42:38","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/razbor-samogo-demokratichnogo-iz-sd-wan-arhitektura-nastrojka-administrirovanie-i-podvodnye-kamni"},"modified":"2020-09-29T07:42:38","modified_gmt":"2020-09-29T05:42:38","slug":"razbor-samogo-demokratichnogo-iz-sd-wan-arhitektura-nastrojka-administrirovanie-i-podvodnye-kamni","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hr\/blog\/administrirovanie\/razbor-samogo-demokratichnogo-iz-sd-wan-arhitektura-nastrojka-administrirovanie-i-podvodnye-kamni","title":{"rendered":"Analiza najdemokrati\u010dnijeg od SD-WAN: arhitektura, konfiguracija, administracija i zamke","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

S obzirom na broj pitanja koja smo po\u010deli primati o SD-WAN-u, tehnologija se o\u010digledno po\u010dela solidno uvoditi u Rusiji. Dobavlja\u010di, naravno, ne miruju i nude svoje koncepcije, dok neki hrabri pioniri ve\u0107 ih implementiraju u svojim mre\u017eama. <\/p>\n

Radimo gotovo sa svim dobavlja\u010dima, i tokom nekoliko godina u na\u0161oj laboratoriji imao sam priliku istra\u017eivati arhitekturu svakog ve\u0107eg razvija\u010da softverski definiranih rje\u0161enja. SD-WAN od Fortinet-a posebno se isti\u010de jer je jednostavno integrirao funkcionalnost balansiranja prometa izme\u0111u komunikacijskih kanala u softver vatrozida. Rje\u0161enje je prili\u010dno demokrati\u010dno, stoga ga obi\u010dno razmatraju u kompanijama koje nisu spremne na globalne promjene, ali \u017eele u\u010dinkovitije koristiti svoje komunikacijske kanale. <\/p>\n

U ovom \u010dlanku \u017eelim objasniti kako konfigurirati i raditi sa SD-WAN-om od Fortinet-a, kome \u0107e ovo rje\u0161enje odgovarati i na koje prepreke mo\u017eemo nai\u0107i. <\/a><\/noindex><\/p>\n

Najistaknutije igra\u010de na tr\u017ei\u0161tu SD-WAN-a mo\u017eemo podijeliti u jednu od dvije skupine: <\/p>\n

1. Startupi koji su stvorili SD-WAN rje\u0161enja od temelja. Najuspje\u0161niji od njih dobivaju ogroman poticaj za rast kad ih kupe velike kompanije \u2013 to je pri\u010da Cisco\/Viptela, VMWare\/VeloCloud, Nuage\/Nokia.<\/p>\n

2. Veliki mre\u017eni dobavlja\u010di koji su razvili SD-WAN rje\u0161enja, unapre\u0111uju\u0107i programabilnost i upravljivost svojih tradicionalnih usmjeriva\u010da \u2013 to je pri\u010da Juniper, Huawei.<\/p>\n

Fortinet je uspio prona\u0107i svoj put. U softver vatrozida integrirana je funkcionalnost koja omogu\u0107ava povezivanje njihovih su\u010delja u virtualne kanale i balansiranje optere\u0107enja izme\u0111u njih pomo\u0107u slo\u017eenih algoritama, u usporedbi s uobi\u010dajenim usmjeravanjem. Ova funkcionalnost nazvana je SD-WAN. Mo\u017ee li se ono \u0161to je napravio Fortinet nazvati SD-WAN? Na tr\u017ei\u0161tu se postepeno razvija razumijevanje da sveobuhvatno definirano zna\u010di odvajanje kontrolne ravni od podatkovne ravni, izdvojeni kontroleri, orkestratori. Fortinet to nema. Centralizirano upravljanje je opcionalno i nudi se putem tradicionalnog alata Fortimanager. No, po mom mi\u0161ljenju, ne treba tra\u017eiti apstraktnu istinu i gubiti vrijeme na rasprave o terminima. U stvarnom svijetu svaki pristup ima svoje prednosti i nedostatke. Najbolje je razumjeti ih i znati odabrati rje\u0161enja koja odgovaraju potrebama. <\/p>\n

Poku\u0161at \u0107u s prikazom snimaka ekrana objasniti kako izgleda i \u0161to mo\u017ee SD-WAN od Fortineta.<\/p>\n

Kako je sve organizirano <\/h3>\n

\nPretpostavimo da imate dva poduze\u0107a spojena dvama kanalima prijenosa podataka. Ti kanali prijenosa podataka udru\u017euju se u grupu, sli\u010dno kao \u0161to se obi\u010dni Ethernet interfejsi udru\u017euju u LACP-Port-Channel. Iskusniji \u0107e se sjetiti PPP Multilink \u2013 to je tako\u0111er prikladna analogija. Kanali mogu biti fizi\u010dki portovi, VLAN SVI kao i VPN<\/a> ili GRE-tuneli. <\/p>\n

VPN ili GRE obi\u010dno se koriste za povezivanje lokalnih mre\u017ea poduze\u0107a preko interneta. Fizi\u010dki portovi se koriste kada su dostupne L2 veze izme\u0111u lokacija, ili kada se povezuju preko namjenskog MPLS\/VPN, ako nam odgovara veza bez Overlay i enkripcije. Jo\u0161 jedan scenarij u kojem se fizi\u010dki portovi koriste u SD-WAN grupi je balansiranje lokalnog izlaza korisnika na internet.<\/p>\n

Na na\u0161em \u0161tandu imamo \u010detiri vatrozida i dva VPN tunela, koji rade preko dvaju \"telekomunikacijskih operatora\". Dijagram izgleda ovako:<\/p>\n

\"Analiza
\n
\nVPN tuneli su postavljeni u interfejsnom re\u017eimu, tako da izgledaju kao Point-to-Point veze izme\u0111u ure\u0111aja s IP adresama na P2P interfejsima, koje se mogu pingati i uvjeriti se da veza kroz odre\u0111eni tunel radi. Da bi se promet enkriptiralo i oti\u0161lo na suprotnu stranu, dovoljno je usmjeriti ga kroz tunel. Alternativa je selekcija prometa za enkripciju pomo\u0107u lista podmre\u017ea, \u0161to dodatno komplicira konfiguraciju. U velikoj mre\u017ei za izgradnju VPN-a mo\u017ee se koristiti tehnologija ADVPN, \u0161to je analogno DMVPN od Cisco-a ili DVPN od Huawei-a, koja olak\u0161ava postavljanje.<\/p>\n

Konfiguracija Site-to-Site VPN za dva ure\u0111aja s BGP usmjeravanjem s obje strane<\/b>
\n <\/p>\n

\"DC\" (Data Center)
\n\"BRN\" (Podru\u017enica)<\/p>\n

config system interface
\n\u2003uredi "WAN1"
\n\u2003\u2003postavi vdom "Internet"
\n\u2003\u2003set ip 1.1.1.1 255.255.255.252
\n\u2003\u2003set allowaccess ping
\n\u2003\u2003set role wan
\n\u2003\u2003postavi su\u010delje "DC-BRD"
\n\u2003\u2003set vlanid 111
\n\u2003next
\n\u2003uredi "WAN2"
\n\u2003\u2003postavi vdom "Internet"
\n\u2003\u2003set ip 3.3.3.1 255.255.255.252
\n\u2003\u2003set allowaccess ping
\n\u2003\u2003set role lan
\n\u2003\u2003postavi su\u010delje "DC-BRD"
\n\u2003\u2003set vlanid 112
\n\u2003next
\n\u2003uredi "BRN-Ph1-1"
\n\u2003\u2003postavi vdom "Internet"
\n\u2003\u2003set ip 192.168.254.1 255.255.255.255
\n\u2003\u2003set allowaccess ping
\n\u2003\u2003set type tunnel
\n\u2003\u2003set remote-ip 192.168.254.2 255.255.255.255
\n\u2003\u2003postavi su\u010delje "WAN1"
\n\u2003next
\n\u2003uredi "BRN-Ph1-2"
\n\u2003\u2003postavi vdom "Internet"
\n\u2003\u2003set ip 192.168.254.3 255.255.255.255
\n\u2003\u2003set allowaccess ping
\n\u2003\u2003set type tunnel
\n\u2003\u2003set remote-ip 192.168.254.4 255.255.255.255
\n\u2003\u2003postavi su\u010delje "WAN2"
\n\u2003next
\nkraj<\/p>\n

config vpn ipsec phase1-interface
\n\u2003uredi "BRN-Ph1-1"
\n\u2003\u2003postavi su\u010delje "WAN1"
\n\u2003\u2003set local-gw 1.1.1.1
\n\u2003\u2003set peertype any
\n\u2003\u2003set net-device disable
\n\u2003\u2003set proposal aes128-sha1
\n\u2003\u2003set dhgrp 2
\n\u2003\u2003set remote-gw 2.2.2.1
\n\u2003\u2003set psksecret ***
\n\u2003next
\n\u2003uredi "BRN-Ph1-2"
\n\u2003\u2003postavi su\u010delje "WAN2"
\n\u2003\u2003set local-gw 3.3.3.1
\n\u2003\u2003set peertype any
\n\u2003\u2003set net-device disable
\n\u2003\u2003set proposal aes128-sha1
\n\u2003\u2003set dhgrp 2
\n\u2003\u2003set remote-gw 4.4.4.1
\n\u2003\u2003set psksecret ***
\n\u2003next
\nkraj<\/p>\n

config vpn ipsec phase2-interface
\n\u2003uredi "BRN-Ph2-1"
\n\u2003\u2003postavi phase1name "BRN-Ph1-1"
\n\u2003\u2003postavi prijedlog aes256-sha256
\n\u2003\u2003set dhgrp 2
\n\u2003next
\n\u2003uredi "BRN-Ph2-2"
\n\u2003\u2003postavi phase1name "BRN-Ph1-2"
\n\u2003\u2003postavi prijedlog aes256-sha256
\n\u2003\u2003set dhgrp 2
\n\u2003next
\nkraj<\/p>\n

konfiguriraj usmjeriva\u010d stati\u010dki
\n\u2003uredi 1
\n\u2003\u2003postavi gateway 1.1.1.2
\n\u2003\u2003postavi ure\u0111aj "WAN1"
\n\u2003next
\n\u2003uredi 3
\n\u2003\u2003postavi gateway 3.3.3.2
\n\u2003\u2003postavi ure\u0111aj "WAN2"
\n\u2003next
\nkraj<\/p>\n

konfiguriraj usmjeriva\u010d bgp
\n\u2003postavi as 65002
\n\u2003postavi router-id 10.1.7.1
\n\u2003postavi ebgp-multipath omogu\u0107en
\n\u2003konfiguriraj susjeda
\n\u2003\u2003uredi "192.168.254.2"
\n\u2003\u2003\u2003postavi remote-as 65003
\n\u2003\u2003sljede\u0107e
\n\u2003\u2003uredi "192.168.254.4"
\n\u2003\u2003\u2003postavi remote-as 65003
\n\u2003\u2003sljede\u0107e
\n\u2003kraj<\/p>\n

\u2003konfiguriraj mre\u017eu
\n\u2003\u2003uredi 1
\n\u2003\u2003\u2003postavi prefix 10.1.0.0 255.255.0.0
\n\u2003\u2003sljede\u0107e
\nkraj <\/p>\n

config system interface
\n\u2003uredi "WAN1"
\n\u2003\u2003postavi vdom "Internet"
\n\u2003\u2003postavi ip 2.2.2.1 255.255.255.252
\n\u2003\u2003set allowaccess ping
\n\u2003\u2003set role wan
\n\u2003\u2003postavi su\u010delje "BRN-BRD"
\n\u2003\u2003set vlanid 111
\n\u2003next
\n\u2003uredi "WAN2"
\n\u2003\u2003postavi vdom "Internet"
\n\u2003\u2003postavi ip 4.4.4.1 255.255.255.252
\n\u2003\u2003set allowaccess ping
\n\u2003\u2003set role wan
\n\u2003\u2003postavi su\u010delje "BRN-BRD"
\n\u2003\u2003postavi vlanid 114
\n\u2003next
\n\u2003uredi "DC-Ph1-1"
\n\u2003\u2003postavi vdom "Internet"
\n\u2003\u2003postavi ip 192.168.254.2 255.255.255.255
\n\u2003\u2003set allowaccess ping
\n\u2003\u2003set type tunnel
\n\u2003\u2003postavi remote-ip 192.168.254.1 255.255.255.255
\n\u2003\u2003postavi su\u010delje "WAN1"
\n\u2003next
\n\u2003uredi "DC-Ph1-2"
\n\u2003\u2003postavi vdom "Internet"
\n\u2003\u2003postavi ip 192.168.254.4 255.255.255.255
\n\u2003\u2003set allowaccess ping
\n\u2003\u2003set type tunnel
\n\u2003\u2003postavi remote-ip 192.168.254.3 255.255.255.255
\n\u2003\u2003postavi su\u010delje "WAN2"
\n\u2003next
\nkraj<\/p>\n

config vpn ipsec phase1-interface
\n\u2003 uredi "DC-Ph1-1"
\n\u2003\u2003 postavi su\u010delje "WAN1"
\n\u2003\u2003 postavi local-gw 2.2.2.1
\n\u2003\u2003 postavi peertype bilo koji
\n\u2003\u2003 postavi net-device isklju\u010deno
\n\u2003\u2003 postavi prijedlog aes128-sha1
\n\u2003\u2003 postavi dhgrp 2
\n\u2003\u2003 postavi remote-gw 1.1.1.1
\n\u2003\u2003 postavi psksecret ***
\n\u2003 sljede\u0107e
\n\u2003 uredi "DC-Ph1-2"
\n\u2003\u2003 postavi su\u010delje "WAN2"
\n\u2003\u2003 postavi local-gw 4.4.4.1
\n\u2003\u2003 postavi peertype bilo koji
\n\u2003\u2003 postavi net-device isklju\u010deno
\n\u2003\u2003 postavi prijedlog aes128-sha1
\n\u2003\u2003 postavi dhgrp 2
\n\u2003\u2003 postavi remote-gw 3.3.3.1
\n\u2003\u2003 postavi psksecret ***
\n\u2003 sljede\u0107e
\nkraj<\/p>\n

config vpn ipsec phase2-interface
\n\u2003 uredi "DC-Ph2-1"
\n\u2003\u2003 postavi phase1name "DC-Ph1-1"
\n\u2003\u2003 postavi prijedlog aes128-sha1
\n\u2003\u2003 postavi dhgrp 2
\n\u2003 sljede\u0107e
\n\u2003 uredi "DC2-Ph2-2"
\n\u2003\u2003 postavi phase1name "DC-Ph1-2"
\n\u2003\u2003 postavi prijedlog aes128-sha1
\n\u2003\u2003 postavi dhgrp 2
\n\u2003 sljede\u0107e
\nkraj<\/p>\n

konfiguriraj usmjeriva\u010d stati\u010dki
\n\u2003uredi 1
\n\u2003\u2003postavi gateway 2.2.2.2
\n\u2003\u2003postavi ure\u0111aj "WAN1"
\n\u2003next
\n\u2003uredi 3
\n\u2003\u2003postavi gateway 4.4.4.2
\n\u2003\u2003postavi ure\u0111aj "WAN2"
\n\u2003next
\nkraj<\/p>\n

konfiguriraj usmjeriva\u010d bgp
\n\u2003 postavi as 65003
\n\u2003 postavi router-id 10.200.7.1
\n\u2003 postavi ebgp-multipath omogu\u0107en
\n\u2003 konfiguriraj susjeda
\n\u2003\u2003 uredi "192.168.254.1"
\n\u2003\u2003\u2003 postavi remote-as 65002
\n\u2003\u2003 sljede\u0107e
\n\u2003\u2003uredi "192.168.254.3"
\n\u2003\u2003\u2003postavi remote-as 65002
\n\u2003\u2003 sljede\u0107e
\n\u2003 kraj<\/p>\n

\u2003 konfiguriraj mre\u017eu
\n\u2003\u2003 uredi 1
\n\u2003\u2003\u2003 postavi prefix 10.200.0.0 255.255.0.0
\n\u2003 \u2003sljede\u0107e
\n kraj <\/p>\n

<\/code><\/p>\n

Dajem konfiguraciju u tekstualnom obliku, jer smatram da je tako lak\u0161e konfigurirati VPN. Gotovo sve postavke s dvije strane su iste, u tekstualnom obliku mogu se lako kopirati. Ako isto u\u010dinite u web su\u010delju, lako mo\u017eete pogrije\u0161iti \u2014 zaboraviti neku oznaku ili unijeti pogre\u0161nu vrijednost. <\/p>\n

Nakon \u0161to smo dodali su\u010delja u bundle<\/p>\n

\"Analiza
\n
\nsve rute i politike sigurnosti mogu se pozivati na njega, a ne na su\u010delja koja ga \u010dine. Kao minimum, potrebno je dopustiti promet iz unutarnjih mre\u017ea prema SD-WAN-u. Pri stvaranju pravila za njih, mogu\u0107e je primijeniti sigurnosne mjere, kao \u0161to su IPS, antivirus i otkrivanje HTTPS.<\/p>\n

\"Analiza
\n
\nZa bundle se konfiguriraju SD-WAN pravila. To su pravila koja definiraju algoritam balansiranja za specifi\u010dni promet. Sli\u010dna su politikama usmjeravanja u Policy-Based Routing-u, samo \u0161to se kao rezultat primjene politike uspostavlja ne next-hop ili obi\u010dan izlazni su\u010delje, nego su\u010delja dodana u SD-WAN bundle plus algoritam balansiranja prometa izme\u0111u tih su\u010delja. <\/p>\n

Promet se mo\u017ee odvojiti iz zajedni\u010dkog toka pomo\u0107u L3-L4 informacija, prepoznatih aplikacija, internetskih usluga (URL i IP), kao i prepoznatih korisnika radnih stanica i prijenosnih ra\u010dunala. Nakon toga, za odvojeni promet mo\u017ee se odabrati jedan od sljede\u0107ih algoritama balansiranja:<\/p>\n

\"Analiza
\n
\nU popisu Preferencija su\u010delja odabiru se ona su\u010delja koja su ve\u0107 dodana u paket i koja \u0107e obavljati ovu vrstu prometa. Dodavanjem ne svih su\u010delja mogu\u0107e je ograni\u010diti kroz koje to\u010dno kanale \u0107e, recimo, prolaziti e-po\u0161ta, ako ne \u017eelite optere\u0107ivati skupe kanale s visokim SLA. U FortiOS 6.4.1 uvedena je mogu\u0107nost grupiranja su\u010delja dodanih u SD-WAN paket u zone, stvaraju\u0107i, primjerice, jednu zonu za vezu s udaljenim mjestima, a drugu \u2013 za lokalni pristup internetu kori\u0161tenjem NAT-a. Da, da, promet koji ide u obi\u010dni internet tako\u0111er se mo\u017ee balansirati.<\/p>\n

O algoritmima balansiranja
\n<\/h3>\n

\n\u0160to se ti\u010de toga kako Fortigate (vatrozid od Fortineta) mo\u017ee razdijeliti promet izme\u0111u kanala, postoje dvije zanimljive opcije koje nisu jako rasprostranjene na tr\u017ei\u0161tu:<\/p>\n

Najni\u017ei tro\u0161ak (SLA)<\/b> \u2013 od svih su\u010delja koja u ovom trenutku ispunjavaju SLA, bira se ono s ni\u017eom te\u017einom (cost), koju je administrator ru\u010dno odredio; ovaj re\u017eim je prikladan za 'voluminozni' promet, kao \u0161to su sigurnosne kopije i prijenos datoteka. <\/p>\n

Najbolja kvaliteta (SLA)<\/b> \u2013 ovaj algoritam, osim uobi\u010dajenih ka\u0161njenja, jittera i gubitka paketa, Fortigate za procjenu kvalitete kanala mo\u017ee koristiti i trenutnu optere\u0107enost kanala; ovaj re\u017eim je prikladan za 'osjetljiv' promet, kao \u0161to su IP telefonija (VoIP) i videokonferencijski pozivi.<\/p>\n

Za ove algoritme potrebno je postaviti mjera\u010d performansi veze \u2013 Performance SLA. Ovaj mjera\u010d povremeno (check interval) kontrolira informacije o po\u0161tivanju SLA-a: gubicima (packet loss), ka\u0161njenju (latency) i jitteru (jitter) u vezi, i mo\u017ee 'odbijati' one veze koje trenutno ne ispunjavaju pragove kvalitete \u2013 gube previ\u0161e paketa ili imaju preveliko ka\u0161njenje. Osim toga, mjera\u010d prati status veze i mo\u017ee privremeno ukloniti iz paketa u slu\u010daju ponovljenih gubitaka odgovora (failures before inactive). Pri oporavku, nakon nekoliko uzastopno primljenih odgovora (restore link after), mjera\u010d automatski vra\u0107a vezu u paket, a podaci se ponovno po\u010dinju prenositi kroz nju.<\/p>\n

Ovako izgleda postavka 'mjera\u010da': <\/p>\n

\"Analiza
\n
\nU web su\u010delju kao protokoli za testove dostupni su ICMP-Echo-request, HTTP-GET i DNS request. U komandnoj liniji opcija je malo vi\u0161e: dostupne su TCP-echo i UDP-echo opcije, kao i specijalizirani protokol za mjerenje kvalitete \u2013 TWAMP.<\/p>\n

\"Analiza
\n
\nRezultate mjerenja mo\u017eete vidjeti i u web su\u010delju: <\/p>\n

\"Analiza
\n
\nI u komandnoj liniji: <\/p>\n

\"Analiza
\n<\/p>\n

Rje\u0161avanje problema<\/h3>\n

\nAko ste stvorili pravilo, a sve ne radi kao \u0161to ste o\u010dekivali, trebate pogledati vrijednost Hit Count na popisu SD-WAN pravila. Ona \u0107e pokazati dolazi li promet u to pravilo:<\/p>\n

\"Analiza
\n
\nNa stranici postavki samog mjera\u010da mo\u017eete vidjeti promjenu parametara veze kroz vrijeme. Prekidnom linijom ozna\u010deno je prag vrijednosti parametra.<\/p>\n

\"Analiza
\n
\nU web su\u010delju mo\u017eete pratiti kako se promet raspore\u0111uje prema koli\u010dini prenesenih\/primanih podataka i broju sesija:<\/p>\n

\"Analiza
\n
\nOsim svega toga, postoji odli\u010dna mogu\u0107nost pra\u0107enja prolaska paketa s maksimalnom detaljno\u0161\u0107u. Kada radite u stvarnoj mre\u017ei, u konfiguraciji ure\u0111aja nakuplja se mno\u0161tvo politika usmjeravanja, za\u0161tite mre\u017ee i raspodjele prometa putem SD-WAN portova. Sve to slo\u017eeno me\u0111usobno djeluje, a iako dobavlja\u010d pru\u017ea detaljne blok sheme algoritama obrade paketa, vrlo je va\u017eno imati mogu\u0107nost ne izmi\u0161ljati i testirati teorije, ve\u0107 vidjeti kamo stvarno odlazi promet.<\/p>\n

Na primjer, sljede\u0107i skup komandi<\/p>\n

dijagnosticirati protok debug filter saddr 10.200.64.15
\ndijagnosticirati protok debug filter daddr 10.1.7.2
\ndijagnosticirati protok debug prika\u017ei naziv-funkcije
\ndijagnosticirati debug omogu\u0107iti
\ndijagnosticirati debug trag 2<\/code><\/p>\n

Omogu\u0107it \u0107e pra\u0107enje dva paketa s adresom izvora 10.200.64.15 i adresom primatelja 10.1.7.2.
\nPingamo 10.7.1.2 s 10.200.64.15 dva puta i gledamo izlaz na konzoli.<\/p>\n

Prvi paket:<\/p>\n

\"Analiza
\n
\nDrugi paket:<\/p>\n

\"Analiza
\n
\nEvo prvi paket dobiven od vatrozida:
\nid=20085 trace_id=475 func=print_pkt_detail line=5605 msg=\"vd-Internet:0 primio paket(proto=1, 10.200.64.15:42->10.1.7.2:2048) iz DMZ-Office. tip=8, kod=0, id=42, seq=0.\"
\nVDOM \u2013 Internet, Proto=1 (ICMP), DMZ-Office \u2013 naziv L3 su\u010delja. <\/b>Tip=8 \u2013 Echo.<\/code><\/p>\n

Za njega je stvorena nova sesija:
\nmsg=\"alokacija nove sesije-0006a627\"<\/code><\/p>\n

I otkriveno je podudaranje u postavkama pravila usmjeravanja
\nmsg=\"Uparivanje politike usmjeravanja id=2136539137: na 10.1.7.2 preko ifindex-110\"<\/code><\/p>\n

Utvr\u0111uje se da paket treba poslati u jedan od VPN tunela:
\n\"prona\u0111i put: oznaka=04000000 gw-192.168.254.1 preko DC-Ph1-1\"<\/code><\/p>\n

U pravilima vatrozida otkriveno je dopu\u0161taju\u0107e pravilo:
\nmsg=\"Dopu\u0161teno politikom-3:\"<\/code><\/p>\n

Paket se \u0161ifrira i \u0161alje u VPN tunel:
\nfunc=ipsecdev_hard_start_xmit line=789 msg=\"unesite IPsec su\u010delje-DC-Ph1-1\"
\nfunc=_ipsecdev_hard_start_xmit line=666 msg=\"IPsec tunel-DC-Ph1-1\"
\nfunc=esp_output4 line=905 msg=\"IPsec enkripcija\/autentifikacija\"<\/code><\/p>\n

\u0160ifrirani paket se \u0161alje na adresu prolaza za ovaj WAN su\u010delje:
\nmsg=\"po\u0161alji na 2.2.2.2 preko intf-WAN1\"<\/code><\/p>\n

Za drugi paket sve se doga\u0111a sli\u010dno, ali se \u0161alje u drugi VPN tunel i izlazi preko drugog porta vatrozida:
\nfunc=ipsecdev_hard_start_xmit line=789 msg=\"ulazak u IPsec su\u010delje-DC-Ph1-2\"
\nfunc=_ipsecdev_hard_start_xmit line=666 msg=\"IPsec tunel-DC-Ph1-2\"
\nfunc=esp_output4 line=905 msg=\"IPsec enkripcija\/autentifikacija\"
\nfunc=ipsec_output_finish line=622 msg=\"po\u0161aljite na 4.4.4.2 putem intf-WAN2\"<\/code><\/p>\n

Prednosti rje\u0161enja
\n<\/h3>\n

\nPouzdana funkcionalnost i jednostavno su\u010delje. <\/b>Set funkcija postojao u FortiOS prije pojave SD-WAN-a je u potpunosti sa\u010duvan. Dakle, imamo neiznova razvijen softver, nego zrelu sustav od provjerenog dobavlja\u010da vatrozida. S tradicionalnim setom mre\u017enih funkcija, pogodnim i jednostavnim za u\u010denje web su\u010deljem. Ima li mnogo dobavlja\u010da SD-WAN-a koji imaju na krajnjim ure\u0111ajima, recimo, funkcionalnost Remote-Access VPN?<\/p>\n

Sigurnost razine 80. <\/b>FortiGate je me\u0111u najboljim rje\u0161enjima za vatrozid. Na internetu postoji mno\u0161tvo materijala o postavkama i administraciji vatrozida, a na tr\u017ei\u0161tu rada ima dosta stru\u010dnjaka za sigurnost koji su ve\u0107 savladali rje\u0161enja ovog dobavlja\u010da.<\/p>\n

Nulta cijena za funkcionalnost SD-WAN. <\/b>Izgradnja SD-WAN mre\u017ee na FortiGate-u ko\u0161ta isto koliko i izgradnja obi\u010dne WAN mre\u017ee, jer nisu potrebne nikakve dodatne licence za realizaciju SD-WAN funkcionalnosti. <\/p>\n

Niska cijena ulaska. <\/b>Fortigate ima dobru gradaciju ure\u0111aja za razli\u010dite performanse. Najmladiji i najjeftiniji modeli sasvim su dovoljno prikladni za podizanje ureda ili prodajnog mjesta, recimo, za 3-5 zaposlenika. Mnogi dobavlja\u010di nemaju takve maloperformantne i dostupne modele. <\/p>\n

Visoka performansa. <\/b>Smanjenje SD-WAN funkcionalnosti na balansiranje prometa omogu\u0107ilo je kompaniji izdavanje specijaliziranog SD-WAN ASIC-a, zahvaljuju\u0107i kojem rad SD-WAN ne smanjuje performanse vatrozida u cjelini. <\/p>\n

Mogu\u0107nost realizacije cijelog ureda na opremi Fortinet. <\/b>Ovo su dva vatrozida, preklopnici i Wi-Fi pristupne to\u010dke. Takvim uredom je lako i jednostavno upravljati \u2013 preklopnici i pristupne to\u010dke registriraju se na vatrozidima i upravljaju se s njih. Tako mo\u017ee izgledati priklju\u010dak preklopnika putem su\u010delja vatrozida kojim se taj preklopnik upravlja:<\/p>\n

\"Analiza
\n
\nNema kontrolera kao jedne to\u010dke neuspjeha. <\/b>Na ovo ukazuje sam proizvo\u0111a\u010d, ali to se mo\u017ee nazvati predno\u0161\u0107u samo djelomi\u010dno, jer kod onih proizvo\u0111a\u010da koji imaju kontrolere, osiguranje njihove otpornosti na neuspjeh nije skupo, a naj\u010de\u0161\u0107e ko\u0161ta mali broj ra\u010dunalnih resursa u virtualizacijskom okru\u017eenju.<\/p>\n

Na \u0161to obratiti pa\u017enju
\n<\/h3>\n

\nNema podjele Control Plane i Data Plane<\/b>. To zna\u010di da se mre\u017ea mora konfiguirati ru\u010dno ili kori\u0161tenjem ve\u0107 postoje\u0107ih tradicionalnih sredstava upravljanja \u2014 FortiManager. Kod proizvo\u0111a\u010da koji imaju tu podjelu, mre\u017ea se sastavlja sama. Administratoru mo\u017ee biti potrebno samo ispraviti njenu topologiju, ne\u0161to negdje zabraniti, ne vi\u0161e od toga. Me\u0111utim, prednost FortiManagera je u tome \u0161to mo\u017ee upravljati ne samo vatrozidima, ve\u0107 i preklopnicima i Wi-Fi pristupnim to\u010dkama, \u0161to zna\u010di prakti\u010dki cijelom mre\u017eom. <\/p>\n

Uvjetni rast upravljivosti. <\/b>Zbog toga \u0161to se za automatizaciju konfiguracije mre\u017ee koriste tradicionalna sredstva, upravljivost mre\u017ee s implementacijom SD-WAN-a pove\u0107ava se minimalno. S druge strane, nove funkcionalnosti postaju dostupne br\u017ee, jer proizvo\u0111a\u010d najprije objavljuje samo za operativni sustav vatrozida (\u0161to odmah omogu\u0107uje njihovu upotrebu), a zatim nadopunjuje potrebnim su\u010deljima sustav upravljanja.<\/p>\n

Dio funkcionalnosti mo\u017ee biti dostupan iz naredbenog retka, ali nedostaje iz web su\u010delja. <\/b>Nije tako stra\u0161no povremeno u\u0107i u naredbeni redak za pode\u0161avanje ne\u010dega, koliko je stra\u0161no ne vidjeti u web su\u010delju da je ne\u0161to ve\u0107 netko postavio iz naredbenog retka. No, to se obi\u010dno odnosi na najnovije zna\u010dajke, a postupno, s a\u017euriranjima FortiOS-a, mogu\u0107nosti web su\u010delja se pobolj\u0161avaju.<\/p>\n

Kome odgovara<\/h3>\n

\nOnima koji nemaju mnogo podru\u017enica.<\/b> Implementacija rje\u0161enja SD-WAN s kompleksnim centralnim komponentama u mre\u017ei s 8-10 podru\u017enica mo\u017eda ne\u0107e biti isplativa \u2013 bit \u0107e potrebno potro\u0161iti novac na licence za SD-WAN ure\u0111aje i resurse sustava virtualizacije za smje\u0161taj sredi\u0161njih komponenti. Male tvrtke obi\u010dno imaju premalo slobodnih ra\u010dunalnih resursa. U slu\u010daju Fortinet-a, dovoljno je jednostavno kupiti vatrozidove. <\/p>\n

Onima koji imaju puno malih podru\u017enica. <\/b>Kod mnogih dobavlja\u010da minimalna cijena rje\u0161enja po podru\u017enici je prili\u010dno visoka i mo\u017ee se pokazati neprivla\u010dnom za krajnjeg korisnika. Fortinet nudi mala rje\u0161enja po vrlo atraktivnoj cijeni. <\/p>\n

Onima koji trenutno nisu spremni napraviti veliki korak. <\/b>Implementacija SD-WAN s kontrolerima, proprietarnom usmjeravanjem i novim pristupom planiranju i upravljanju mre\u017eom mo\u017ee se pokazati kao preveliki korak za neke klijente. Da, takva implementacija na kraju \u0107e pomo\u0107i optimizirati kori\u0161tenje komunikacijskih kanala i rad administratora, ali prvo \u0107e trebati nau\u010diti mnogo novih stvari. Onima koji jo\u0161 nisu spremni za promjenu paradigme, ali \u017eele izvu\u0107i maksimum iz svojih komunikacijskih kanala, rje\u0161enje Fortinet-a \u0107e savr\u0161eno odgovarati.
\n
Izvor: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0421\u0443\u0434\u044f \u043f\u043e \u0447\u0438\u0441\u043b\u0443 \u0432\u043e\u043f\u0440\u043e\u0441\u043e\u0432, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043d\u0430\u043c \u0441\u0442\u0430\u043b\u0438 \u043f\u0440\u0438\u043b\u0435\u0442\u0430\u0442\u044c \u043f\u043e SD-WAN, \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u044f \u043d\u0430\u0447\u0430\u043b\u0430 \u043e\u0441\u043d\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u043e \u043f\u0440\u0438\u0436\u0438\u0432\u0430\u0442\u044c\u0441\u044f \u0432 \u0420\u043e\u0441\u0441\u0438\u0438. \u0412\u0435\u043d\u0434\u043e\u0440\u044b, \u0435\u0441\u0442\u0435\u0441\u0442\u0432\u0435\u043d\u043d\u043e, \u043d\u0435 \u0434\u0440\u0435\u043c\u043b\u044e\u0442 \u0438 \u043f\u0440\u0435\u0434\u043b\u0430\u0433\u0430\u044e\u0442 \u0441\u0432\u043e\u0438 \u043a\u043e\u043d\u0446\u0435\u043f\u0446\u0438\u0438, \u0430 \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0441\u043c\u0435\u043b\u044c\u0447\u0430\u043a\u0438 \u043f\u0435\u0440\u0432\u043e\u043f\u0440\u043e\u0445\u043e\u0434\u0446\u044b \u0443\u0436\u0435 \u0432\u043d\u0435\u0434\u0440\u044f\u044e\u0442 \u0438\u0445 \u0443 \u0441\u0435\u0431\u044f \u043d\u0430 \u0441\u0435\u0442\u0438. \u041c\u044b \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u043c \u043f\u043e\u0447\u0442\u0438 \u0441\u043e \u0432\u0441\u0435\u043c\u0438 \u0432\u0435\u043d\u0434\u043e\u0440\u0430\u043c\u0438, \u0438 \u0437\u0430 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u043b\u0435\u0442 \u0432 \u043d\u0430\u0448\u0435\u0439 \u043b\u0430\u0431\u043e\u0440\u0430\u0442\u043e\u0440\u0438\u0438 \u044f \u0443\u0441\u043f\u0435\u043b \u043f\u043e\u043a\u043e\u043f\u0430\u0442\u044c\u0441\u044f \u0432 \u0430\u0440\u0445\u0438\u0442\u0435\u043a\u0442\u0443\u0440\u0435 \u043a\u0430\u0436\u0434\u043e\u0433\u043e \u043a\u0440\u0443\u043f\u043d\u043e\u0433\u043e […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":95433,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-95432","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Analiza najdemokrati\u010dnijeg SD-WAN rje\u0161enja: arhitektura, konfiguracija, administracija i skriveni problemi | ProHoster","description":"Sude\u0107i prema broju pitanja koja smo po\u010deli primati o SD-WAN-u, tehnologija je po\u010dela ozbiljno ja\u010dati u Hrvatskoj.","canonical_url":"https:\/\/prohoster.info\/hr\/blog\/administrirovanie\/razbor-samogo-demokratichnogo-iz-sd-wan-arhitektura-nastrojka-administrirovanie-i-podvodnye-kamni","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"hr_HR","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0420\u0430\u0437\u0431\u043e\u0440 \u0441\u0430\u043c\u043e\u0433\u043e \u0434\u0435\u043c\u043e\u043a\u0440\u0430\u0442\u0438\u0447\u043d\u043e\u0433\u043e \u0438\u0437 SD-WAN: \u0430\u0440\u0445\u0438\u0442\u0435\u043a\u0442\u0443\u0440\u0430, \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0430, \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0438 \u043f\u043e\u0434\u0432\u043e\u0434\u043d\u044b\u0435 \u043a\u0430\u043c\u043d\u0438 | ProHoster","og:description":"\u0421\u0443\u0434\u044f \u043f\u043e \u0447\u0438\u0441\u043b\u0443 \u0432\u043e\u043f\u0440\u043e\u0441\u043e\u0432, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043d\u0430\u043c \u0441\u0442\u0430\u043b\u0438 \u043f\u0440\u0438\u043b\u0435\u0442\u0430\u0442\u044c \u043f\u043e SD-WAN, \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u044f \u043d\u0430\u0447\u0430\u043b\u0430 \u043e\u0441\u043d\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u043e \u043f\u0440\u0438\u0436\u0438\u0432\u0430\u0442\u044c\u0441\u044f \u0432 \u0420\u043e\u0441\u0441\u0438\u0438.","og:url":"https:\/\/prohoster.info\/hr\/blog\/administrirovanie\/razbor-samogo-demokratichnogo-iz-sd-wan-arhitektura-nastrojka-administrirovanie-i-podvodnye-kamni","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-09-29T05:42:38+00:00","article:modified_time":"2020-09-29T05:42:38+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"95432","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 11:05:30","updated":"2026-02-04 14:42:07","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/hr\/wp-json\/wp\/v2\/posts\/95432","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/hr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/hr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/hr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/hr\/wp-json\/wp\/v2\/comments?post=95432"}],"version-history":[{"count":1,"href":"https:\/\/prohoster.info\/hr\/wp-json\/wp\/v2\/posts\/95432\/revisions"}],"predecessor-version":[{"id":156763,"href":"https:\/\/prohoster.info\/hr\/wp-json\/wp\/v2\/posts\/95432\/revisions\/156763"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/hr\/wp-json\/wp\/v2\/media\/95433"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/hr\/wp-json\/wp\/v2\/media?parent=95432"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/hr\/wp-json\/wp\/v2\/categories?post=95432"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/hr\/wp-json\/wp\/v2\/tags?post=95432"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}