Dilihat dari banyaknya pertanyaan yang mulai berdatangan kepada kami melalui SD-WAN, teknologi tersebut sudah mulai mengakar secara menyeluruh di Rusia. Vendor, tentu saja, tidak tertidur dan menawarkan konsep mereka, dan beberapa pionir pemberani telah menerapkannya di jaringan mereka.
Kami bekerja dengan hampir semua vendor, dan selama beberapa tahun di laboratorium kami, saya berhasil mempelajari arsitektur setiap pengembang besar solusi yang ditentukan perangkat lunak. SD-WAN dari Fortinet sedikit berbeda di sini, yang hanya membangun fungsionalitas menyeimbangkan lalu lintas antar saluran komunikasi ke dalam perangkat lunak firewall. Solusinya cukup demokratis, sehingga biasanya dipertimbangkan oleh perusahaan yang belum siap menghadapi perubahan global, namun ingin menggunakan saluran komunikasinya secara lebih efektif.
Pada artikel ini saya ingin memberi tahu Anda cara mengkonfigurasi dan bekerja dengan SD-WAN dari Fortinet, untuk siapa solusi ini cocok dan kendala apa yang mungkin Anda temui di sini.
Pemain paling menonjol di pasar SD-WAN dapat diklasifikasikan menjadi dua jenis:
1. Startup yang telah menciptakan solusi SD-WAN dari awal. Yang paling sukses menerima dorongan besar untuk pengembangan setelah dibeli oleh perusahaan besar - ini adalah kisah Cisco/Viptela, VMWare/VeloCloud, Nuage/Nokia
2. Vendor jaringan besar yang telah menciptakan solusi SD-WAN, mengembangkan kemampuan program dan pengelolaan router tradisional mereka - ini adalah kisah Juniper, Huawei
Fortinet berhasil menemukan jalannya. Perangkat lunak firewall memiliki fungsionalitas bawaan yang memungkinkan untuk menggabungkan antarmuka mereka ke dalam saluran virtual dan menyeimbangkan beban di antara mereka menggunakan algoritma yang kompleks dibandingkan dengan perutean konvensional. Fungsionalitas ini disebut SD-WAN. Bisakah Fortinet disebut SD-WAN? Pasar secara bertahap memahami bahwa Ditentukan Perangkat Lunak berarti pemisahan Bidang Kontrol dari Bidang Data, pengontrol khusus, dan orkestrator. Fortinet tidak memiliki hal seperti itu. Manajemen terpusat bersifat opsional dan ditawarkan melalui alat Fortimanager tradisional. Namun menurut saya, Anda tidak boleh mencari kebenaran abstrak dan membuang waktu berdebat tentang istilah. Di dunia nyata, setiap pendekatan memiliki kelebihan dan kekurangannya masing-masing. Jalan keluar terbaik adalah memahaminya dan mampu memilih solusi yang sesuai dengan tugas yang ada.
Saya akan mencoba memberi tahu Anda dengan tangkapan layar di tangan seperti apa SD-WAN dari Fortinet dan apa fungsinya.
Bagaimana semuanya bekerja
Anggaplah Anda memiliki dua cabang yang dihubungkan oleh dua saluran data. Tautan data ini digabungkan menjadi satu grup, mirip dengan bagaimana antarmuka Ethernet biasa digabungkan menjadi LACP-Port-Channel. Orang-orang lama akan mengingat PPP Multilink - juga analogi yang cocok. Saluran dapat berupa port fisik, VLAN SVI, serta terowongan VPN atau GRE.
VPN atau GRE biasanya digunakan saat menghubungkan jaringan lokal cabang melalui Internet. Dan port fisik - jika ada koneksi L2 antar situs, atau saat menghubungkan melalui MPLS/VPN khusus, jika kami puas dengan koneksi tanpa Overlay dan enkripsi. Skenario lain di mana port fisik digunakan dalam grup SD-WAN adalah menyeimbangkan akses lokal pengguna ke Internet.
Di stand kami terdapat empat firewall dan dua terowongan VPN yang beroperasi melalui dua “operator komunikasi”. Diagramnya terlihat seperti ini:
Terowongan VPN dikonfigurasikan dalam mode antarmuka sehingga serupa dengan koneksi point-to-point antar perangkat dengan alamat IP pada antarmuka P2P, yang dapat di-ping untuk memastikan bahwa komunikasi melalui terowongan tertentu berfungsi. Agar lalu lintas dienkripsi dan menuju ke sisi yang berlawanan, cukup dengan mengarahkannya ke dalam terowongan. Alternatifnya adalah memilih lalu lintas untuk enkripsi menggunakan daftar subnet, yang sangat membingungkan administrator karena konfigurasi menjadi lebih kompleks. Dalam jaringan besar, Anda dapat menggunakan teknologi ADVPN untuk membuat VPN; ini analog dengan DMVPN dari Cisco atau DVPN dari Huawei, yang memungkinkan pengaturan lebih mudah.
Konfigurasi VPN Situs-ke-Situs untuk dua perangkat dengan perutean BGP di kedua sisi
«ЦОД» (DC)
«Филиал» (BRN)
config system interface
edit "WAN1"
set vdom "Internet"
set ip 1.1.1.1 255.255.255.252
set allowaccess ping
set role wan
set interface "DC-BRD"
set vlanid 111
next
edit "WAN2"
set vdom "Internet"
set ip 3.3.3.1 255.255.255.252
set allowaccess ping
set role lan
set interface "DC-BRD"
set vlanid 112
next
edit "BRN-Ph1-1"
set vdom "Internet"
set ip 192.168.254.1 255.255.255.255
set allowaccess ping
set type tunnel
set remote-ip 192.168.254.2 255.255.255.255
set interface "WAN1"
next
edit "BRN-Ph1-2"
set vdom "Internet"
set ip 192.168.254.3 255.255.255.255
set allowaccess ping
set type tunnel
set remote-ip 192.168.254.4 255.255.255.255
set interface "WAN2"
next
end
config vpn ipsec phase1-interface
edit "BRN-Ph1-1"
set interface "WAN1"
set local-gw 1.1.1.1
set peertype any
set net-device disable
set proposal aes128-sha1
set dhgrp 2
set remote-gw 2.2.2.1
set psksecret ***
next
edit "BRN-Ph1-2"
set interface "WAN2"
set local-gw 3.3.3.1
set peertype any
set net-device disable
set proposal aes128-sha1
set dhgrp 2
set remote-gw 4.4.4.1
set psksecret ***
next
end
config vpn ipsec phase2-interface
edit "BRN-Ph2-1"
set phase1name "BRN-Ph1-1"
set proposal aes256-sha256
set dhgrp 2
next
edit "BRN-Ph2-2"
set phase1name "BRN-Ph1-2"
set proposal aes256-sha256
set dhgrp 2
next
end
config router static
edit 1
set gateway 1.1.1.2
set device "WAN1"
next
edit 3
set gateway 3.3.3.2
set device "WAN2"
next
end
config router bgp
set as 65002
set router-id 10.1.7.1
set ebgp-multipath enable
config neighbor
edit "192.168.254.2"
set remote-as 65003
next
edit "192.168.254.4"
set remote-as 65003
next
end
config network
edit 1
set prefix 10.1.0.0 255.255.0.0
next
end
config system interface
edit "WAN1"
set vdom "Internet"
set ip 2.2.2.1 255.255.255.252
set allowaccess ping
set role wan
set interface "BRN-BRD"
set vlanid 111
next
edit "WAN2"
set vdom "Internet"
set ip 4.4.4.1 255.255.255.252
set allowaccess ping
set role wan
set interface "BRN-BRD"
set vlanid 114
next
edit "DC-Ph1-1"
set vdom "Internet"
set ip 192.168.254.2 255.255.255.255
set allowaccess ping
set type tunnel
set remote-ip 192.168.254.1 255.255.255.255
set interface "WAN1"
next
edit "DC-Ph1-2"
set vdom "Internet"
set ip 192.168.254.4 255.255.255.255
set allowaccess ping
set type tunnel
set remote-ip 192.168.254.3 255.255.255.255
set interface "WAN2"
next
end
config vpn ipsec phase1-interface
edit "DC-Ph1-1"
set interface "WAN1"
set local-gw 2.2.2.1
set peertype any
set net-device disable
set proposal aes128-sha1
set dhgrp 2
set remote-gw 1.1.1.1
set psksecret ***
next
edit "DC-Ph1-2"
set interface "WAN2"
set local-gw 4.4.4.1
set peertype any
set net-device disable
set proposal aes128-sha1
set dhgrp 2
set remote-gw 3.3.3.1
set psksecret ***
next
end
config vpn ipsec phase2-interface
edit "DC-Ph2-1"
set phase1name "DC-Ph1-1"
set proposal aes128-sha1
set dhgrp 2
next
edit "DC2-Ph2-2"
set phase1name "DC-Ph1-2"
set proposal aes128-sha1
set dhgrp 2
next
end
config router static
edit 1
set gateway 2.2.2.2
et device "WAN1"
next
edit 3
set gateway 4.4.4.2
set device "WAN2"
next
end
config router bgp
set as 65003
set router-id 10.200.7.1
set ebgp-multipath enable
config neighbor
edit "192.168.254.1"
set remote-as 65002
next
edit "192.168.254.3"
set remote-as 65002
next
end
config network
edit 1
set prefix 10.200.0.0 255.255.0.0
next
end
Saya memberikan konfigurasinya dalam bentuk teks, karena menurut saya, lebih mudah mengkonfigurasi VPN dengan cara ini. Hampir semua pengaturannya sama di kedua sisi, dalam bentuk teks bisa dibuat copy-paste. Jika Anda melakukan hal yang sama di antarmuka web, mudah untuk membuat kesalahan - lupa tanda centang di suatu tempat, masukkan nilai yang salah.
Setelah kami menambahkan antarmuka ke bundel
semua rute dan kebijakan keamanan dapat merujuk padanya, dan bukan pada antarmuka yang disertakan di dalamnya. Minimal, Anda harus mengizinkan lalu lintas dari jaringan internal ke SD-WAN. Saat Anda membuat aturan untuknya, Anda dapat menerapkan tindakan perlindungan seperti pengungkapan IPS, antivirus, dan HTTPS.
Aturan SD-WAN dikonfigurasi untuk bundel. Ini adalah aturan yang menentukan algoritma penyeimbangan untuk lalu lintas tertentu. Mirip dengan kebijakan perutean dalam Perutean Berbasis Kebijakan, hanya karena lalu lintas termasuk dalam kebijakan tersebut, bukan hop berikutnya atau antarmuka keluar biasa yang diinstal, tetapi antarmuka yang ditambahkan ke bundel SD-WAN plus algoritma penyeimbangan lalu lintas antara antarmuka ini.
Lalu lintas dapat dipisahkan dari aliran umum melalui informasi L3-L4, melalui aplikasi yang dikenali, layanan Internet (URL dan IP), serta oleh pengguna stasiun kerja dan laptop yang dikenali. Setelah ini, salah satu algoritma penyeimbangan berikut dapat ditetapkan ke lalu lintas yang dialokasikan:
Dalam daftar Preferensi Antarmuka, antarmuka yang telah ditambahkan ke bundel yang akan melayani jenis lalu lintas ini dipilih. Dengan menambahkan tidak semua antarmuka, Anda dapat membatasi saluran mana yang Anda gunakan, misalnya email, jika Anda tidak ingin membebani saluran mahal dengan SLA tinggi. Di FortiOS 6.4.1, antarmuka yang ditambahkan ke bundel SD-WAN dapat dikelompokkan ke dalam zona, misalnya membuat satu zona untuk komunikasi dengan situs jarak jauh, dan zona lainnya untuk akses Internet lokal menggunakan NAT. Ya iya trafik yang masuk ke internet biasa juga bisa seimbang.
Tentang menyeimbangkan algoritma
Mengenai bagaimana Fortigate (firewall dari Fortinet) dapat membagi lalu lintas antar saluran, ada dua opsi menarik yang tidak terlalu umum di pasaran:
Biaya Terendah (SLA) – dari semua antarmuka yang memenuhi SLA saat ini, antarmuka dengan bobot (biaya) lebih rendah, yang diatur secara manual oleh administrator, dipilih; mode ini cocok untuk lalu lintas “massal” seperti pencadangan dan transfer file.
Kualitas Terbaik (SLA) – algoritma ini, selain penundaan biasa, jitter dan hilangnya paket Fortigate, juga dapat menggunakan beban saluran saat ini untuk menilai kualitas saluran; Mode ini cocok untuk lalu lintas sensitif seperti VoIP dan konferensi video.
Algoritme ini memerlukan pengaturan pengukur kinerja saluran komunikasi - SLA Kinerja. Pengukur ini secara berkala (periksa interval) memantau informasi tentang kepatuhan terhadap SLA: kehilangan paket, latensi, dan jitter di saluran komunikasi, dan dapat “menolak” saluran-saluran yang saat ini tidak memenuhi ambang batas kualitas – mereka kehilangan terlalu banyak paket atau mengalami terlalu banyak paket. banyak latensi. Selain itu, meteran memonitor status saluran, dan untuk sementara dapat menghapusnya dari bundel jika terjadi kehilangan respons berulang kali (kegagalan sebelum tidak aktif). Saat dipulihkan, setelah beberapa respons berturut-turut (pemulihan tautan setelahnya), meteran akan secara otomatis mengembalikan saluran ke bundel, dan data akan mulai dikirim melalui saluran itu lagi.
Seperti inilah tampilan pengaturan “meter”:
Di antarmuka web, ICMP-Echo-request, HTTP-GET dan permintaan DNS tersedia sebagai protokol pengujian. Ada lebih banyak opsi di baris perintah: tersedia opsi TCP-echo dan UDP-echo, serta protokol pengukuran kualitas khusus - TWAMP.
Hasil pengukuran juga dapat dilihat pada antarmuka web:
Dan di baris perintah:
Penyelesaian masalah
Jika Anda membuat aturan, tetapi semuanya tidak berjalan sesuai harapan, Anda harus melihat nilai Hit Count di daftar Aturan SD-WAN. Ini akan menunjukkan apakah lalu lintas termasuk dalam aturan ini:
Pada halaman pengaturan meteran itu sendiri, Anda dapat melihat perubahan parameter saluran seiring waktu. Garis putus-putus menunjukkan nilai ambang batas parameter
Di antarmuka web Anda dapat melihat bagaimana lalu lintas didistribusikan berdasarkan jumlah data yang dikirim/diterima dan jumlah sesi:
Selain semua ini, ada peluang bagus untuk melacak perjalanan paket dengan detail maksimal. Saat bekerja di jaringan nyata, konfigurasi perangkat mengumpulkan banyak kebijakan perutean, firewall, dan distribusi lalu lintas di seluruh port SD-WAN. Semua ini berinteraksi satu sama lain dengan cara yang kompleks, dan meskipun vendor menyediakan diagram blok rinci dari algoritma pemrosesan paket, sangat penting untuk tidak membangun dan menguji teori, tetapi untuk melihat ke mana lalu lintas sebenarnya pergi.
Misalnya, kumpulan perintah berikut
diagnose debug flow filter saddr 10.200.64.15
diagnose debug flow filter daddr 10.1.7.2
diagnose debug flow show function-name
diagnose debug enable
diagnose debug trace 2
Memungkinkan Anda melacak dua paket dengan alamat sumber 10.200.64.15 dan alamat tujuan 10.1.7.2.
Kami melakukan ping 10.7.1.2 dari 10.200.64.15 dua kali dan melihat output di konsol.
Paket pertama:
Paket kedua:
Berikut adalah paket pertama yang diterima oleh firewall:
id=20085 trace_id=475 func=print_pkt_detail line=5605 msg="vd-Internet:0 received a packet(proto=1, 10.200.64.15:42->10.1.7.2:2048) from DMZ-Office. type=8, code=0, id=42, seq=0."
VDOM – Internet, Proto=1 (ICMP), DMZ-Office – название L3-интерфейса. Type=8 – Echo.
Sesi baru telah dibuat untuknya:
msg="allocate a new session-0006a627"
Dan ditemukan kecocokan dalam pengaturan kebijakan perutean
msg="Match policy routing id=2136539137: to 10.1.7.2 via ifindex-110"
Ternyata paket tersebut perlu dikirim ke salah satu terowongan VPN:
"find a route: flag=04000000 gw-192.168.254.1 via DC-Ph1-1"
Aturan mengizinkan berikut terdeteksi dalam kebijakan firewall:
msg="Allowed by Policy-3:"
Paket dienkripsi dan dikirim ke terowongan VPN:
func=ipsecdev_hard_start_xmit line=789 msg="enter IPsec interface-DC-Ph1-1"
func=_ipsecdev_hard_start_xmit line=666 msg="IPsec tunnel-DC-Ph1-1"
func=esp_output4 line=905 msg="IPsec encrypt/auth"
Paket terenkripsi dikirim ke alamat gateway untuk antarmuka WAN ini:
msg="send to 2.2.2.2 via intf-WAN1"
Untuk paket kedua, semuanya terjadi dengan cara yang sama, tetapi paket tersebut dikirim ke terowongan VPN lain dan keluar melalui port firewall yang berbeda:
func=ipsecdev_hard_start_xmit line=789 msg="enter IPsec interface-DC-Ph1-2"
func=_ipsecdev_hard_start_xmit line=666 msg="IPsec tunnel-DC-Ph1-2"
func=esp_output4 line=905 msg="IPsec encrypt/auth"
func=ipsec_output_finish line=622 msg="send to 4.4.4.2 via intf-WAN2"
Kelebihan dari solusinya
Fungsionalitas yang andal dan antarmuka yang ramah pengguna. Rangkaian fitur yang tersedia di FortiOS sebelum munculnya SD-WAN telah dipertahankan sepenuhnya. Artinya, kami tidak memiliki perangkat lunak yang baru dikembangkan, tetapi sistem yang matang dari vendor firewall yang sudah terbukti. Dengan serangkaian fungsi jaringan tradisional, antarmuka web yang nyaman dan mudah dipelajari. Berapa banyak vendor SD-WAN yang memiliki, misalnya, fungsionalitas VPN Akses Jarak Jauh di perangkat akhir?
Tingkat keamanan 80. FortiGate adalah salah satu solusi firewall teratas. Ada banyak materi di Internet tentang pengaturan dan pengelolaan firewall, dan di pasar tenaga kerja terdapat banyak spesialis keamanan yang telah menguasai solusi vendor.
Harga nol untuk fungsionalitas SD-WAN. Membangun jaringan SD-WAN di FortiGate biayanya sama dengan membangun jaringan WAN biasa di dalamnya, karena tidak diperlukan lisensi tambahan untuk mengimplementasikan fungsionalitas SD-WAN.
Harga penghalang masuk yang rendah. Fortigate memiliki gradasi perangkat yang baik untuk tingkat kinerja yang berbeda. Model termuda dan paling murah cukup cocok untuk memperluas kantor atau tempat penjualan dengan, katakanlah, 3-5 karyawan. Banyak vendor tidak memiliki model berperforma rendah dan terjangkau.
Performa tinggi. Mengurangi fungsionalitas SD-WAN untuk menyeimbangkan lalu lintas memungkinkan perusahaan merilis SD-WAN ASIC khusus, sehingga pengoperasian SD-WAN tidak mengurangi kinerja firewall secara keseluruhan.
Kemampuan untuk mengimplementasikan seluruh kantor pada peralatan Fortinet. Ini adalah sepasang firewall, sakelar, titik akses Wi-Fi. Kantor seperti itu mudah dan nyaman untuk dikelola - sakelar dan titik akses terdaftar di firewall dan dikelola darinya. Misalnya, seperti inilah tampilan port switch dari antarmuka firewall yang mengontrol switch ini:
Kurangnya pengontrol sebagai satu-satunya titik kegagalan. Vendor sendiri berfokus pada hal ini, tetapi ini hanya dapat disebut sebagai keuntungan sebagian, karena bagi vendor yang memiliki pengontrol, memastikan toleransi kesalahan mereka tidaklah mahal, paling sering dengan mengorbankan sejumlah kecil sumber daya komputasi dalam lingkungan virtualisasi.
Apa yang harus dicari
Tidak ada pemisahan antara Control Plane dan Data Plane. Ini berarti bahwa jaringan harus dikonfigurasi secara manual atau menggunakan alat manajemen tradisional yang sudah tersedia - FortiManager. Bagi vendor yang sudah menerapkan pemisahan seperti itu, jaringannya dirakit sendiri. Administrator mungkin hanya perlu menyesuaikan topologinya, melarang sesuatu di suatu tempat, tidak lebih. Namun, keunggulan FortiManager adalah ia tidak hanya dapat mengelola firewall, tetapi juga switch dan titik akses Wi-Fi, yaitu hampir seluruh jaringan.
Peningkatan bersyarat dalam pengendalian. Karena alat tradisional digunakan untuk mengotomatisasi konfigurasi jaringan, pengelolaan jaringan dengan diperkenalkannya SD-WAN sedikit meningkat. Di sisi lain, fungsionalitas baru tersedia lebih cepat, karena vendor pertama kali merilisnya hanya untuk sistem operasi firewall (yang segera memungkinkan untuk menggunakannya), dan baru kemudian melengkapi sistem manajemen dengan antarmuka yang diperlukan.
Beberapa fungsi mungkin tersedia dari baris perintah, namun tidak tersedia dari antarmuka web. Terkadang tidak terlalu menakutkan untuk masuk ke baris perintah untuk mengonfigurasi sesuatu, tetapi menakutkan untuk tidak melihat di antarmuka web bahwa seseorang telah mengonfigurasi sesuatu dari baris perintah. Namun hal ini biasanya berlaku untuk fitur-fitur terbaru dan secara bertahap, dengan pembaruan FortiOS, kemampuan antarmuka web ditingkatkan.
Sesuai
Bagi yang belum mempunyai banyak cabang. Mengimplementasikan solusi SD-WAN dengan komponen pusat yang kompleks pada jaringan 8-10 cabang mungkin tidak memerlukan biaya besar - Anda harus mengeluarkan uang untuk lisensi perangkat SD-WAN dan sumber daya sistem virtualisasi untuk menampung komponen pusat. Sebuah perusahaan kecil biasanya memiliki sumber daya komputasi gratis yang terbatas. Dalam kasus Fortinet, cukup membeli firewall saja.
Bagi yang mempunyai banyak cabang kecil. Bagi banyak vendor, harga solusi minimum per cabang cukup tinggi dan mungkin tidak menarik dari sudut pandang bisnis pelanggan akhir. Fortinet menawarkan perangkat kecil dengan harga yang sangat menarik.
Bagi mereka yang belum siap melangkah terlalu jauh. Menerapkan SD-WAN dengan pengontrol, perutean berpemilik, dan pendekatan baru terhadap perencanaan dan manajemen jaringan mungkin merupakan langkah yang terlalu besar bagi sebagian pelanggan. Ya, implementasi seperti itu pada akhirnya akan membantu mengoptimalkan penggunaan saluran komunikasi dan pekerjaan administrator, tetapi pertama-tama Anda harus mempelajari banyak hal baru. Bagi mereka yang belum siap dengan perubahan paradigma, namun ingin memaksimalkan saluran komunikasinya, solusi dari Fortinet adalah solusi yang tepat.
Sumber: www.habr.com