<\/p>\n\u00abCentro Dati\u00bb (DC)
config system interface
config vpn ipsec phase1-interface
config vpn ipsec phase2-interface
config router static
config router bgp
\u2003config network
config system interface
config vpn ipsec phase1-interface
config vpn ipsec phase2-interface
config router static
config router bgp
\u2003 config network
<\/code><\/p>\n
Fornisco la configurazione in formato testuale, perch\u00e9, a mio avviso, \u00e8 pi\u00f9 comodo impostare il VPN in questo modo. Quasi tutte le impostazioni da entrambe le parti sono identiche e in formato testuale si possono fare con copia e incolla. Se si fa lo stesso nell'interfaccia web, \u00e8 facile sbagliarsi: dimenticare un flag da qualche parte, inserire un valore errato. <\/p>\n
Dopo aver aggiunto le interfacce nel bundle<\/p>\n
Il traffico pu\u00f2 essere selezionato dal flusso generale in base alle informazioni L3-L4, alle applicazioni riconosciute, ai servizi internet (URL e IP), cos\u00ec come agli utenti riconosciuti di workstation e laptop. Dopo di che, per il traffico selezionato, \u00e8 possibile assegnare uno dei seguenti algoritmi di bilanciamento:<\/p>\n
Sugli algoritmi di bilanciamento \nPer quanto riguarda il modo in cui Fortigate (il firewall di Fortinet) riesce a suddividere il traffico tra i canali, ci sono due opzioni interessanti, non molto diffuse nel mercato:<\/p>\n
Lowest Cost (SLA)<\/b> Tra tutte le interfacce attualmente conformi agli SLA, viene scelta quella con il costo (weight) pi\u00f9 basso, impostato manualmente dall'amministratore; questa modalit\u00e0 \u00e8 adatta per il traffico \"volumetrico\", come il backup e il trasferimento di file. <\/p>\n
Migliore Qualit\u00e0 (SLA)<\/b> Questo algoritmo, oltre alle comuni latenze, jitter e perdite di pacchetti, pu\u00f2 utilizzare anche il carico attuale del canale per valutare la qualit\u00e0; questa modalit\u00e0 \u00e8 adatta per il traffico \"sensibile\", come la telefonia VoIP e le videoconferenze.<\/p>\n
Per questi algoritmi \u00e8 necessaria la configurazione di un misuratore delle prestazioni della connessione \u2014 Performance SLA. Questo misuratore controlla periodicamente (check interval) le informazioni sul rispetto degli SLA: perdite (packet loss), latenza (latency) e jitter nel canale, e pu\u00f2 \"escludere\" quelli che non soddisfano i valori soglia di qualit\u00e0 \u2014 perdendo troppi pacchetti o presentando latenze eccessive. Inoltre, il misuratore tiene traccia dello stato del canale e pu\u00f2 rimuoverlo temporaneamente dal bundle in caso di ripetute perdite di risposte (failures before inactive). Quando viene ripristinato, dopo che sono state ricevute alcune risposte consecutive (restore link after), il misuratore reinserir\u00e0 automaticamente il canale nel bundle e i dati inizieranno nuovamente a essere trasmessi.<\/p>\n
Ecco come appare la configurazione del \"misuratore\": <\/p>\n
Risolvere i problemi<\/h3>\n \nSe hai creato una regola, ma il funzionamento non \u00e8 come previsto, controlla il valore Hit Count nella lista delle Regole SD-WAN. Questo ti mostrer\u00e0 se il traffico rientra effettivamente in quella regola:<\/p>\n
Ad esempio, il seguente insieme di comandi<\/p>\n
diagnosi debug flusso filtro saddr 10.200.64.15Permetter\u00e0 di tracciare due pacchetti con indirizzo sorgente 10.200.64.15 e indirizzo destinatario 10.1.7.2.
Primo pacchetto:<\/p>\n
id=20085 trace_id=475 func=print_pkt_detail line=5605 msg=\"vd-Internet:0 ha ricevuto un pacchetto(proto=1, 10.200.64.15:42->10.1.7.2:2048) da DMZ-Office. tipo=8, codice=0, id=42, seq=0.\"DMZ-Office \u2013 nome dell'interfaccia L3. <\/b>Type=8 \u2013 Echo.<\/code><\/p>\n Per lui \u00e8 stata creata una nuova sessione:msg=\"allocare una nuova sessione-0006a627\"<\/code><\/p>\nE si \u00e8 scoperta una corrispondenza nelle impostazioni delle politiche di routingmsg=\"Corrispondenza dell'ID di routing della politica=2136539137: a 10.1.7.2 tramite ifindex-110\"<\/code><\/p>\nSi scopre che il pacchetto deve essere inviato in uno dei tunnel VPN:\"trova un percorso: flag=04000000 gw-192.168.254.1 tramite DC-Ph1-1\"<\/code><\/p>\nNelle politiche di firewall si trova una regola di autorizzazione:msg=\"Consentito dalla Politica-3:\"<\/code><\/p>\nIl pacchetto viene cifrato e inviato nel tunnel VPN:func=ipsecdev_hard_start_xmit line=789 msg=\"entra nell'interfaccia IPsec-DC-Ph1-1\"Il pacchetto cifrato viene inviato all'indirizzo del gateway per questa interfaccia WAN:msg=\"invia a 2.2.2.2 tramite intf-WAN1\"<\/code><\/p>\nPer il secondo pacchetto tutto avviene in modo analogo, ma viene inviato in un altro tunnel VPN e passa attraverso un'altra porta del firewall:func=ipsecdev_hard_start_xmit line=789 msg=\"entra nell'interfaccia IPsec-DC-Ph1-2\"Vantaggi della soluzione \nFunzionalit\u00e0 affidabili e interfaccia conveniente. <\/b>Il set di funzioni presente in FortiOS prima dell'introduzione di SD-WAN \u00e8 stato completamente mantenuto. Quindi abbiamo a disposizione non un software sviluppato da zero, ma un sistema maturo di un fornitore di firewall affidabile. Con un set tradizionale di funzionalit\u00e0 di rete e un'interfaccia web facile e intuitiva. Quanti fornitori di SD-WAN offrono, diciamo, la funzionalit\u00e0 di Remote-Access VPN sui dispositivi finali?<\/p>\n
Sicurezza di livello 80. <\/b>FortiGate \u00e8 tra le migliori soluzioni per firewall. Su internet ci sono molti materiali sulla configurazione e amministrazione dei firewall, e sul mercato del lavoro ci sono diversi specialisti di sicurezza che hanno gi\u00e0 preso confidenza con le soluzioni del fornitore.<\/p>\n
Prezzo nullo per le funzionalit\u00e0 SD-WAN. <\/b>Costruire una rete SD-WAN su FortiGate costa tanto quanto costruirne una normale WAN, poich\u00e9 non sono necessarie licenze aggiuntive per implementare le funzionalit\u00e0 SD-WAN. <\/p>\n
Basso costo d'ingresso. <\/b>Fortigate ha una buona gamma di dispositivi per diverse prestazioni. I modelli pi\u00f9 piccoli e economici sono perfetti per allestire un ufficio o un punto vendita, ad esempio, per 3-5 dipendenti. Molti fornitori non hanno modelli cos\u00ec poco performanti e accessibili. <\/p>\n
Elevate prestazioni. <\/b>Ridurre le funzionalit\u00e0 SD-WAN a bilanciamento del traffico ha permesso all'azienda di rilasciare un ASIC SD-WAN specializzato, grazie al quale il funzionamento della SD-WAN non riduce le prestazioni del firewall in generale. <\/p>\n
Possibilit\u00e0 di gestire completamente l'ufficio con l'hardware Fortinet. <\/b>Questo include un paio di firewall, switch e punti di accesso Wi-Fi. \u00c8 facile e conveniente gestire un tale ufficio: gli switch e i punti di accesso si registrano sui firewall e sono gestiti da essi. Ecco come pu\u00f2 apparire, ad esempio, la porta di uno switch dall'interfaccia del firewall che gestisce questo switch:<\/p>\n
Assenza di controller come unico punto di guasto. <\/b>Su questo enfatizza lo stesso fornitore, ma si pu\u00f2 considerare un vantaggio solo in parte, poich\u00e9 per quei fornitori che hanno i controller, garantire la loro alta disponibilit\u00e0 non costa molto, di solito il prezzo \u00e8 quello di una piccola quantit\u00e0 di risorse computazionali in un ambiente di virtualizzazione.<\/p>\nCosa tenere d'occhio
\nAssenza di separazione tra Control Plane e Data Plane<\/b>. Questo significa che la rete deve essere configurata manualmente o utilizzando strumenti di gestione tradizionali gi\u00e0 esistenti \u2014 FortiManager. Per i fornitori che hanno questo tipo di separazione, la rete si compone da sola. L'amministratore potrebbe dover solo correggere la sua topologia, vietare qualcosa dove necessario, nient'altro. Tuttavia, il punto di forza di FortiManager \u00e8 che pu\u00f2 gestire non solo i firewall, ma anche gli switch e i punti di accesso Wi-Fi, ovvero praticamente l'intera rete. <\/p>\n
Crescita condizionata della gestibilit\u00e0. <\/b>Poich\u00e9 l'automazione della configurazione di rete utilizza strumenti tradizionali, la gestibilit\u00e0 della rete con l'introduzione di SD-WAN aumenta solo leggermente. D'altra parte, la nuova funzionalit\u00e0 diventa disponibile pi\u00f9 rapidamente, poich\u00e9 il fornitore inizialmente la rilascia solo per il sistema operativo dei firewall (cosa che consente immediatamente di utilizzarla), e solo successivamente integra gli interfaccia necessarie nel sistema di gestione.<\/p>\n
Parte della funzionalit\u00e0 potrebbe essere accessibile tramite la riga di comando, ma non disponibile attraverso l'interfaccia web. <\/b>Non \u00e8 cos\u00ec spaventoso accedere ogni tanto alla riga di comando per configurare qualcosa, quanto \u00e8 spaventoso non vedere nell'interfaccia web che qualcosa \u00e8 gi\u00e0 stato configurato da qualcun altro tramite la riga di comando. Ma questo di solito riguarda le funzionalit\u00e0 pi\u00f9 recenti e gradualmente, con gli aggiornamenti di FortiOS, le capacit\u00e0 dell'interfaccia web vengono migliorate.<\/p>\nA chi \u00e8 adatto<\/h3>\n
\nA chi non ha molte filiali.<\/b> Implementare una soluzione SD-WAN con componenti centrali complessi in una rete di 8-10 filiali potrebbe non valere la spesa \u2013 sar\u00e0 necessario investire denaro nelle licenze per i dispositivi SD-WAN e nelle risorse del sistema di virtualizzazione per l'installazione dei componenti centrali. Le risorse computazionali disponibili in una piccola azienda sono generalmente scarse. Nel caso di Fortinet, \u00e8 semplicemente necessario acquistare i firewall. <\/p>\n
A chi ha molte piccole filiali. <\/b>Per molti fornitori, il prezzo minimo per soluzione per filiale \u00e8 piuttosto alto e potrebbe risultare poco interessante dal punto di vista commerciale per il cliente finale. Fortinet offre dispositivi piccoli a un prezzo molto attraente. <\/p>\n
A chi non \u00e8 pronto a fare un grande passo. <\/b>Implementare SD-WAN con controller, routing proprietario, un nuovo approccio alla pianificazione e al lavoro di gestione della rete potrebbe rappresentare un passo troppo significativo per alcuni clienti. S\u00ec, tale implementazione alla fine aiuter\u00e0 ad ottimizzare l'uso delle bande e il lavoro degli amministratori, ma inizialmente sar\u00e0 necessario imparare molte cose nuove. Chi non \u00e8 yet pronto a cambiare paradigma, ma desidera sfruttare al meglio le proprie bande, potrebbe trovare interessante la soluzione di Fortinet.habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"\u0421\u0443\u0434\u044f \u043f\u043e \u0447\u0438\u0441\u043b\u0443 \u0432\u043e\u043f\u0440\u043e\u0441\u043e\u0432, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043d\u0430\u043c \u0441\u0442\u0430\u043b\u0438 \u043f\u0440\u0438\u043b\u0435\u0442\u0430\u0442\u044c \u043f\u043e SD-WAN, \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u044f \u043d\u0430\u0447\u0430\u043b\u0430 \u043e\u0441\u043d\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u043e \u043f\u0440\u0438\u0436\u0438\u0432\u0430\u0442\u044c\u0441\u044f \u0432 \u0420\u043e\u0441\u0441\u0438\u0438. \u0412\u0435\u043d\u0434\u043e\u0440\u044b, \u0435\u0441\u0442\u0435\u0441\u0442\u0432\u0435\u043d\u043d\u043e, \u043d\u0435 \u0434\u0440\u0435\u043c\u043b\u044e\u0442 \u0438 \u043f\u0440\u0435\u0434\u043b\u0430\u0433\u0430\u044e\u0442 \u0441\u0432\u043e\u0438 \u043a\u043e\u043d\u0446\u0435\u043f\u0446\u0438\u0438, \u0430 \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0441\u043c\u0435\u043b\u044c\u0447\u0430\u043a\u0438 \u043f\u0435\u0440\u0432\u043e\u043f\u0440\u043e\u0445\u043e\u0434\u0446\u044b \u0443\u0436\u0435 \u0432\u043d\u0435\u0434\u0440\u044f\u044e\u0442 \u0438\u0445 \u0443 \u0441\u0435\u0431\u044f \u043d\u0430 \u0441\u0435\u0442\u0438. \u041c\u044b \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u043c \u043f\u043e\u0447\u0442\u0438 \u0441\u043e \u0432\u0441\u0435\u043c\u0438 \u0432\u0435\u043d\u0434\u043e\u0440\u0430\u043c\u0438, \u0438 \u0437\u0430 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u043b\u0435\u0442 \u0432 \u043d\u0430\u0448\u0435\u0439 \u043b\u0430\u0431\u043e\u0440\u0430\u0442\u043e\u0440\u0438\u0438 \u044f \u0443\u0441\u043f\u0435\u043b \u043f\u043e\u043a\u043e\u043f\u0430\u0442\u044c\u0441\u044f \u0432 \u0430\u0440\u0445\u0438\u0442\u0435\u043a\u0442\u0443\u0440\u0435 \u043a\u0430\u0436\u0434\u043e\u0433\u043e \u043a\u0440\u0443\u043f\u043d\u043e\u0433\u043e […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":95433,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-95432","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t