<\/p>\n\u00abDC\u00bb (Data Center)
config system interface
config vpn ipsec phase1-interface
config vpn ipsec phase2-interface
config router static
config router bgp
\u2003config network
config system interface
config vpn ipsec phase1-interface
config vpn ipsec phase2-interface
config router static
config router bgp
\u2003 config network
<\/code><\/p>\n
Condivido la configurazione in formato testuale perch\u00e9, secondo me, \u00e8 pi\u00f9 comodo configurare il VPN in questo modo. Quasi tutte le impostazioni sono identiche da entrambe le parti e in formato testuale \u00e8 possibile copiare e incollare. Se si fa lo stesso nell'interfaccia web, \u00e8 facile commettere errori \u2014 dimenticare di spuntare un'opzione o inserire un valore errato. <\/p>\n
Dopo aver aggiunto le interfacce nel bundle<\/p>\n
Il traffico pu\u00f2 essere distinto dal flusso generale in base alle informazioni L3-L4, dalle applicazioni riconosciute, dai servizi Internet (URL e IP), nonch\u00e9 dagli utenti riconosciuti delle stazioni di lavoro e dei laptop. Dopo di ci\u00f2, per il traffico distinto \u00e8 possibile assegnare uno dei seguenti algoritmi di bilanciamento:<\/p>\n
Sugli algoritmi di bilanciamento \nPer quanto riguarda le modalit\u00e0 con cui Fortigate (il firewall di Fortinet) \u00e8 in grado di suddividere il traffico tra i canali, ci sono due opzioni interessanti, non molto diffuse sul mercato:<\/p>\n
Lowest Cost (SLA)<\/b> \u2013 tra tutte le interfacce che soddisfano l'SLA in quel momento, viene scelta quella con il peso (cost) pi\u00f9 basso, impostato manualmente dall'amministratore; questa modalit\u00e0 \u00e8 adatta per il traffico 'a volume' come il backup e il trasferimento di file. <\/p>\n
Best Quality (SLA)<\/b> \u2013 questo algoritmo, oltre ai consueti parametri di latenza, jitter e perdita di pacchetti, pu\u00f2 utilizzare Fortigate anche il carico attuale del canale per valutare la qualit\u00e0; questa modalit\u00e0 \u00e8 adatta per il traffico 'sensibile', come la telefonia IP (VoIP) e la videoconferenza.<\/p>\n
Per questi algoritmi \u00e8 necessaria la configurazione di un misuratore delle prestazioni del canale \u2013 Performance SLA. Questo misuratore controlla periodicamente (check interval) le informazioni relative al rispetto dell'SLA: perdite (packet loss), latenza (latency) e jitter (jitter) nel canale, e pu\u00f2 'scartare' quei canali che attualmente non soddisfano i valori soglia di qualit\u00e0 \u2013 perdendo troppi pacchetti o mostrando una latenza eccessiva. Inoltre, il misuratore tiene traccia dello stato del canale e pu\u00f2 temporaneamente rimuoverlo dal bundle in caso di perdite di risposte ripetute (failures before inactive). Al ripristino, dopo aver ricevuto alcune risposte di seguito (restore link after), il misuratore riporter\u00e0 automaticamente il canale nel bundle, e i dati ricominceranno a essere trasmessi attraverso di esso.<\/p>\n
Ecco come appare la configurazione del 'misuratore': <\/p>\n
Troubleshooting<\/h3>\n \nSe hai creato una regola e non funziona come previsto, vale la pena controllare il valore Hit Count nell'elenco delle Regole SD-WAN. Questo mostrer\u00e0 se il traffico sta effettivamente colpendo questa regola:<\/p>\n
Ad esempio, il seguente insieme di comandi<\/p>\n
diagnostica debug flusso filtro saddr 10.200.64.15Permetter\u00e0 di tracciare due pacchetti con l'indirizzo sorgente 10.200.64.15 e l'indirizzo destinatario 10.1.7.2.
Primo pacchetto:<\/p>\n
id=20085 trace_id=475 func=print_pkt_detail line=5605 msg=\"vd-Internet:0 ricevuto un pacchetto(proto=1, 10.200.64.15:42->10.1.7.2:2048) da DMZ-Office. tipo=8, codice=0, id=42, seq=0.\"DMZ-Office \u2013 nome dell'interfaccia L3. <\/b>Tipo=8 \u2013 Echo.<\/code><\/p>\n Per lui \u00e8 stata creata una nuova sessione:msg=\"allocare una nuova sessione-0006a627\"<\/code><\/p>\nE si \u00e8 scoperto un abbinamento nelle impostazioni delle politiche di routingmsg=\"Abbinare l'id di instradamento della politica=2136539137: a 10.1.7.2 tramite ifindex-110\"<\/code><\/p>\nSi scopre che il pacchetto deve essere inviato in uno dei tunnel VPN:\"trovare un percorso: flag=04000000 gw-192.168.254.1 tramite DC-Ph1-1\"<\/code><\/p>\nNelle politiche del firewall viene trovata una regola di autorizzazione:msg=\"Consentito dalla Politica-3:\"<\/code><\/p>\nIl pacchetto viene crittografato e inviato nel tunnel VPN:func=ipsecdev_hard_start_xmit line=789 msg=\"entra nell'interfaccia IPsec-DC-Ph1-1\"Il pacchetto crittografato viene inviato all'indirizzo del gateway per questa interfaccia WAN:msg=\"inviare a 2.2.2.2 tramite intf-WAN1\"<\/code><\/p>\nPer il secondo pacchetto, tutto avviene in modo simile, ma viene inviato in un altro tunnel VPN e esce attraverso un'altra porta del firewall:func=ipsecdev_hard_start_xmit line=789 msg=\"entra nell'interfaccia IPsec-DC-Ph1-2\"Vantaggi della soluzione \nFunzionalit\u00e0 affidabile e interfaccia intuitiva. <\/b>Il set di funzionalit\u00e0 disponibili in FortiOS prima dell'introduzione di SD-WAN \u00e8 rimasto completamente inalterato. Ci\u00f2 significa che non stiamo parlando di un software completamente nuovo, ma di un sistema maturo fornito da un venditore di firewall affermato. Con un insieme tradizionale di funzionalit\u00e0 di rete e un'interfaccia web facile e semplice da utilizzare. Quanti fornitori di SD-WAN hanno funzionalit\u00e0 di Remote-Access VPN sui loro dispositivi finali?<\/p>\n
Sicurezza di livello 80. <\/b>FortiGate \u00e8 tra le migliori soluzioni di firewall. Ci sono molte risorse su Internet riguardanti la configurazione e la gestione dei firewall, e nel mercato del lavoro ci sono molti specialisti di sicurezza gi\u00e0 formati sulle soluzioni di questo fornitore.<\/p>\n
Nessun costo per le funzionalit\u00e0 SD-WAN. <\/b>Costruire una rete SD-WAN con FortiGate costa tanto quanto costruirne una convenzionale WAN, poich\u00e9 non sono necessarie ulteriori licenze per implementare le funzionalit\u00e0 SD-WAN. <\/p>\n
Basso costo d'ingresso. <\/b>FortiGate ha una buona gamma di dispositivi per diverse prestazioni. I modelli pi\u00f9 piccoli ed economici possono andare benissimo per allestire un ufficio o un punto vendita, ad esempio, per 3-5 persone. Molti fornitori non hanno modelli a bassa potenza e accessibili. <\/p>\n
Alta prestazione. <\/b>Ridurre le funzionalit\u00e0 SD-WAN al bilanciamento del traffico ha permesso all'azienda di rilasciare un ASIC SD-WAN specializzato, attraverso il quale il funzionamento di SD-WAN non riduce le prestazioni complessive del firewall. <\/p>\n
Possibilit\u00e0 di realizzare interamente un ufficio con l'attrezzatura Fortinet. <\/b>Questo include alcuni firewall, switch, e punti di accesso Wi-Fi. Un tale ufficio \u00e8 facile e conveniente da gestire: gli switch e i punti di accesso si registrano nei firewall e vengono gestiti da l\u00ec. Ecco come potrebbe apparire una porta di uno switch dall'interfaccia del firewall che gestisce questo switch:<\/p>\n
Assenza di controller come punto unico di guasto. <\/b>Il fornitore stesso sottolinea questo aspetto, ma pu\u00f2 essere considerato un vantaggio solo in parte, poich\u00e9 per quei fornitori che hanno dei controller, garantirne l'affidabilit\u00e0 non costa molto, di solito il prezzo \u00e8 limitato a poche risorse di calcolo in un ambiente virtuale.<\/p>\nCosa considerare
\nMancanza di separazione tra Control Plane e Data Plane<\/b>. Questo significa che la rete deve essere configurata manualmente o utilizzando strumenti di gestione tradizionali gi\u00e0 esistenti \u2014 FortiManager. Nei casi in cui i fornitori hanno implementato tale divisione, la rete si compone da sola. Il compito dell'amministratore pu\u00f2 essere solo quello di correggere la topologia, vietando qualcosa, e nulla pi\u00f9. Tuttavia, il punto di forza di FortiManager \u00e8 che sa gestire non solo i firewall, ma anche gli switch e i punti di accesso Wi-Fi, quindi praticamente tutta la rete. <\/p>\n
Crescita condizionata della gestibilit\u00e0. <\/b>Poich\u00e9 per automatizzare la configurazione della rete vengono utilizzati strumenti tradizionali, la gestibilit\u00e0 della rete con l'implementazione di SD-WAN aumenta solo leggermente. D'altra parte, le nuove funzionalit\u00e0 diventano disponibili pi\u00f9 rapidamente, poich\u00e9 il fornitore prima le rilascia solo per il sistema operativo dei firewall (offrendo subito la possibilit\u00e0 di utilizzarle), e solo successivamente completa il sistema di gestione con le interfacce necessarie.<\/p>\n
Parte delle funzionalit\u00e0 pu\u00f2 essere accessibile dalla linea di comando, ma non dalla interfaccia web. <\/b>Non \u00e8 cos\u00ec inquietante entrare ogni tanto nella linea di comando per configurare qualcosa, quanto \u00e8 preoccupante non vedere nell'interfaccia web che qualcosa \u00e8 gi\u00e0 stato configurato da qualcuno nella linea di comando. Tuttavia, questo di solito riguarda le funzionalit\u00e0 pi\u00f9 recenti e, gradualmente, con gli aggiornamenti di FortiOS, le capacit\u00e0 dell'interfaccia web vengono migliorate.<\/p>\nA chi si adatta<\/h3>\n
\nA chi ha non molti filiali.<\/b> Implementare una soluzione SD-WAN con componenti centrali complessi su una rete di 8-10 filiali potrebbe non valere la pena: bisogner\u00e0 spendere soldi per le licenze per i dispositivi SD-WAN e le risorse del sistema di virtualizzazione per ospitare i componenti centrali. Le risorse computazionali libere in una piccola azienda tendono a essere limitate. Nel caso di Fortinet, \u00e8 sufficiente acquistare semplicemente i firewall. <\/p>\n
A chi ha un gran numero di piccole filiali. <\/b>Per molti fornitori, il prezzo minimo della soluzione per filiale \u00e8 piuttosto alto e potrebbe risultare poco interessante dal punto di vista commerciale per il cliente finale. Fortinet offre dispositivi piccoli a un prezzo molto allettante. <\/p>\n
A chi non \u00e8 pronto a fare un grande salto. <\/b>Implementare SD-WAN con controller, routing proprietario, un nuovo approccio alla pianificazione e gestione della rete potrebbe rappresentare un passo troppo significativo per alcuni clienti. S\u00ec, tale implementazione alla fine contribuisce a ottimizzare l'uso dei canali di comunicazione e il lavoro degli amministratori, ma in primo luogo bisogna apprendere molte cose nuove. A chi non \u00e8 ancora pronto per un cambiamento di paradigma, ma vuole ottenere il massimo dai propri canali di comunicazione, si adatta perfettamente la soluzione di Fortinet.habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"\u0421\u0443\u0434\u044f \u043f\u043e \u0447\u0438\u0441\u043b\u0443 \u0432\u043e\u043f\u0440\u043e\u0441\u043e\u0432, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043d\u0430\u043c \u0441\u0442\u0430\u043b\u0438 \u043f\u0440\u0438\u043b\u0435\u0442\u0430\u0442\u044c \u043f\u043e SD-WAN, \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u044f \u043d\u0430\u0447\u0430\u043b\u0430 \u043e\u0441\u043d\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u043e \u043f\u0440\u0438\u0436\u0438\u0432\u0430\u0442\u044c\u0441\u044f \u0432 \u0420\u043e\u0441\u0441\u0438\u0438. \u0412\u0435\u043d\u0434\u043e\u0440\u044b, \u0435\u0441\u0442\u0435\u0441\u0442\u0432\u0435\u043d\u043d\u043e, \u043d\u0435 \u0434\u0440\u0435\u043c\u043b\u044e\u0442 \u0438 \u043f\u0440\u0435\u0434\u043b\u0430\u0433\u0430\u044e\u0442 \u0441\u0432\u043e\u0438 \u043a\u043e\u043d\u0446\u0435\u043f\u0446\u0438\u0438, \u0430 \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0441\u043c\u0435\u043b\u044c\u0447\u0430\u043a\u0438 \u043f\u0435\u0440\u0432\u043e\u043f\u0440\u043e\u0445\u043e\u0434\u0446\u044b \u0443\u0436\u0435 \u0432\u043d\u0435\u0434\u0440\u044f\u044e\u0442 \u0438\u0445 \u0443 \u0441\u0435\u0431\u044f \u043d\u0430 \u0441\u0435\u0442\u0438. \u041c\u044b \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u043c \u043f\u043e\u0447\u0442\u0438 \u0441\u043e \u0432\u0441\u0435\u043c\u0438 \u0432\u0435\u043d\u0434\u043e\u0440\u0430\u043c\u0438, \u0438 \u0437\u0430 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u043b\u0435\u0442 \u0432 \u043d\u0430\u0448\u0435\u0439 \u043b\u0430\u0431\u043e\u0440\u0430\u0442\u043e\u0440\u0438\u0438 \u044f \u0443\u0441\u043f\u0435\u043b \u043f\u043e\u043a\u043e\u043f\u0430\u0442\u044c\u0441\u044f \u0432 \u0430\u0440\u0445\u0438\u0442\u0435\u043a\u0442\u0443\u0440\u0435 \u043a\u0430\u0436\u0434\u043e\u0433\u043e \u043a\u0440\u0443\u043f\u043d\u043e\u0433\u043e […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":95433,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-95432","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t