🥇 SD-WAN-ის ყველაზე დემოკრატიულის ანალიზი: არქიტექტურა, კონფიგურაცია, ადმინისტრირება და ხარვეზები

ვიმსჯელებთ კითხვების რაოდენობის მიხედვით, რომლებიც ჩვენთან SD-WAN-ის საშუალებით მოვიდა, ტექნოლოგიამ საფუძვლიანად დაიწყო ფესვები რუსეთში. გამყიდველებს, ბუნებრივია, არ სძინავთ და გვთავაზობენ თავიანთ კონცეფციებს და ზოგიერთი მამაცი პიონერი უკვე ახორციელებს მათ ქსელებში.

ჩვენ ვმუშაობთ თითქმის ყველა მომწოდებელთან და რამდენიმე წლის განმავლობაში ჩვენს ლაბორატორიაში მოვახერხე პროგრამული უზრუნველყოფით განსაზღვრული გადაწყვეტილებების ყველა ძირითადი დეველოპერის არქიტექტურაში ჩაღრმავება. SD-WAN Fortinet-დან აქ ოდნავ განსხვავებულად დგას, რომელმაც უბრალოდ ააშენა საკომუნიკაციო არხებს შორის ტრაფიკის დაბალანსების ფუნქცია firewall-ის პროგრამაში. გამოსავალი საკმაოდ დემოკრატიულია, ამიტომ მას ჩვეულებრივ განიხილავენ კომპანიები, რომლებიც ჯერ არ არიან მზად გლობალური ცვლილებებისთვის, მაგრამ სურთ თავიანთი საკომუნიკაციო არხების უფრო ეფექტურად გამოყენება.

ამ სტატიაში მინდა გითხრათ, თუ როგორ უნდა დააკონფიგურიროთ და იმუშაოთ SD-WAN-თან Fortinet-ისგან, ვისთვის არის შესაფერისი ეს გამოსავალი და რა პრობლემები შეიძლება შეგხვდეთ აქ.

SD-WAN ბაზარზე ყველაზე გამორჩეული მოთამაშეები შეიძლება დაიყოს ორ ტიპად:

1. სტარტაპები, რომლებმაც შექმნეს SD-WAN გადაწყვეტილებები ნულიდან. მათგან ყველაზე წარმატებულები იღებენ უზარმაზარ იმპულსს განვითარებისთვის მსხვილი კომპანიების მიერ შეძენის შემდეგ - ეს არის Cisco/Viptela, VMWare/VeloCloud, Nuage/Nokia-ს ისტორია.

2. მსხვილი ქსელის მომწოდებლები, რომლებმაც შექმნეს SD-WAN გადაწყვეტილებები, ავითარებენ თავიანთი ტრადიციული მარშრუტიზატორების პროგრამირებადობას და მართვადობას - ეს არის Juniper-ის, Huawei-ს ისტორია.

Fortinet-მა მოახერხა გზის პოვნა. Firewall-ის პროგრამას ჰქონდა ჩაშენებული ფუნქციონირება, რამაც შესაძლებელი გახადა მათი ინტერფეისების გაერთიანება ვირტუალურ არხებში და დაბალანსებულიყო დატვირთვა მათ შორის რთული ალგორითმების გამოყენებით, ჩვეულებრივ მარშრუტიზაციასთან შედარებით. ამ ფუნქციას ეწოდა SD-WAN. შეიძლება თუ არა Fortinet-ს ეწოდოს SD-WAN? ბაზარი თანდათან აცნობიერებს, რომ პროგრამულად განსაზღვრული ნიშნავს საკონტროლო სიბრტყის გამოყოფას მონაცემთა სიბრტყისგან, გამოყოფილი კონტროლერებისგან და ორკესტრებისგან. ფორტინეტს მსგავსი არაფერი აქვს. ცენტრალიზებული მართვა არჩევითია და შემოთავაზებულია ტრადიციული Fortimanager ინსტრუმენტის მეშვეობით. მაგრამ, ჩემი აზრით, არ უნდა ეძებო აბსტრაქტული სიმართლე და არ დაკარგო დრო ტერმინებზე კამათში. რეალურ სამყაროში, თითოეულ მიდგომას აქვს თავისი დადებითი და უარყოფითი მხარეები. საუკეთესო გამოსავალია მათი გაგება და ამოცანების შესაბამისი გადაწყვეტილებების არჩევის უნარი.

ვეცდები, სკრინშოტებით მოგიყვეთ, როგორ გამოიყურება SD-WAN Fortinet-დან და რისი გაკეთება შეუძლია მას.

როგორ მუშაობს ყველაფერი

დავუშვათ, რომ თქვენ გაქვთ ორი ფილიალი, რომლებიც დაკავშირებულია ორი მონაცემთა არხით. ეს მონაცემთა ბმულები გაერთიანებულია ჯგუფში, ისევე, როგორც ჩვეულებრივი Ethernet ინტერფეისები გაერთიანებულია LACP-Port-Channel-ში. ძველთაიმერებს დაიმახსოვრებენ PPP Multilink - ასევე შესაფერისი ანალოგია. არხები შეიძლება იყოს ფიზიკური პორტები, VLAN SVI, ასევე VPN ან GRE გვირაბები.

VPN ან GRE ჩვეულებრივ გამოიყენება ფილიალების ლოკალური ქსელების ინტერნეტით დაკავშირებისას. და ფიზიკური პორტები - თუ არის საიტებს შორის L2 კავშირები, ან გამოყოფილი MPLS/VPN-ით დაკავშირებისას, თუ ჩვენ კმაყოფილი ვართ კავშირით Overlay და დაშიფვრის გარეშე. კიდევ ერთი სცენარი, რომელშიც ფიზიკური პორტები გამოიყენება SD-WAN ჯგუფში, არის მომხმარებლების ლოკალური წვდომის დაბალანსება ინტერნეტში.

ჩვენს სტენდზე არის ოთხი Firewall და ორი VPN გვირაბი, რომლებიც მუშაობს ორი "საკომუნიკაციო ოპერატორის" მეშვეობით. დიაგრამა ასე გამოიყურება:

VPN გვირაბები კონფიგურირებულია ინტერფეისის რეჟიმში ისე, რომ მსგავსია წერტილ-წერტილოვანი კავშირები მოწყობილობებს შორის IP მისამართებით P2P ინტერფეისებზე, რომელთა დაყენება შესაძლებელია კონკრეტული გვირაბით კომუნიკაციის მუშაობის უზრუნველსაყოფად. იმისთვის, რომ მოძრაობა დაშიფრული იყოს და მოპირდაპირე მხარეს წავიდეს, საკმარისია მისი მარშრუტი გვირაბში. ალტერნატივა არის დაშიფვრისთვის ტრაფიკის შერჩევა ქვექსელების სიების გამოყენებით, რაც დიდად აბნევს ადმინისტრატორს, რადგან კონფიგურაცია უფრო რთული ხდება. დიდ ქსელში შეგიძლიათ გამოიყენოთ ADVPN ტექნოლოგია VPN-ის ასაშენებლად; ეს არის DMVPN-ის ანალოგი Cisco-დან ან DVPN Huawei-დან, რაც საშუალებას იძლევა უფრო მარტივი დაყენება.

Site-to-Site VPN კონფიგურაცია ორი მოწყობილობისთვის BGP მარშრუტით ორივე მხარეს


«ЦОД» (DC)

«Филиал» (BRN)
config system interface

 edit "WAN1"

  set vdom "Internet"

  set ip 1.1.1.1 255.255.255.252

  set allowaccess ping

  set role wan

  set interface "DC-BRD"

  set vlanid 111

 next 

 edit "WAN2"

  set vdom "Internet"

  set ip 3.3.3.1 255.255.255.252

  set allowaccess ping

  set role lan

  set interface "DC-BRD"

  set vlanid 112

 next

 edit "BRN-Ph1-1"

  set vdom "Internet"

  set ip 192.168.254.1 255.255.255.255

  set allowaccess ping

  set type tunnel

  set remote-ip 192.168.254.2 255.255.255.255

  set interface "WAN1"

 next

 edit "BRN-Ph1-2"

  set vdom "Internet"

  set ip 192.168.254.3 255.255.255.255

  set allowaccess ping

  set type tunnel

  set remote-ip 192.168.254.4 255.255.255.255

  set interface "WAN2"

 next

end
config vpn ipsec phase1-interface

 edit "BRN-Ph1-1"

  set interface "WAN1"

  set local-gw 1.1.1.1

  set peertype any

  set net-device disable

  set proposal aes128-sha1

  set dhgrp 2

  set remote-gw 2.2.2.1

  set psksecret ***

 next

 edit "BRN-Ph1-2"

  set interface "WAN2"

  set local-gw 3.3.3.1

  set peertype any

  set net-device disable

  set proposal aes128-sha1

  set dhgrp 2

  set remote-gw 4.4.4.1

  set psksecret ***

 next

end
config vpn ipsec phase2-interface

 edit "BRN-Ph2-1"

  set phase1name "BRN-Ph1-1"

  set proposal aes256-sha256

  set dhgrp 2

 next

 edit "BRN-Ph2-2"

  set phase1name "BRN-Ph1-2"

  set proposal aes256-sha256

  set dhgrp 2

 next

end
config router static

 edit 1

  set gateway 1.1.1.2

  set device "WAN1"

 next

 edit 3

  set gateway 3.3.3.2

  set device "WAN2"

 next

end
config router bgp

 set as 65002

 set router-id 10.1.7.1

 set ebgp-multipath enable

 config neighbor

  edit "192.168.254.2"

   set remote-as 65003

  next

  edit "192.168.254.4"

   set remote-as 65003

  next

 end
 config network

  edit 1

   set prefix 10.1.0.0 255.255.0.0

  next

end 
config system interface

 edit "WAN1"

  set vdom "Internet"

  set ip 2.2.2.1 255.255.255.252

  set allowaccess ping

  set role wan

  set interface "BRN-BRD"

  set vlanid 111

 next

 edit "WAN2"

  set vdom "Internet"

  set ip 4.4.4.1 255.255.255.252

  set allowaccess ping

  set role wan

  set interface "BRN-BRD"

  set vlanid 114

 next

 edit "DC-Ph1-1"

  set vdom "Internet"

  set ip 192.168.254.2 255.255.255.255

  set allowaccess ping

  set type tunnel

  set remote-ip 192.168.254.1 255.255.255.255

  set interface "WAN1"

 next

 edit "DC-Ph1-2"

  set vdom "Internet"

  set ip 192.168.254.4 255.255.255.255

  set allowaccess ping

  set type tunnel

  set remote-ip 192.168.254.3 255.255.255.255

  set interface "WAN2"

 next

end
config vpn ipsec phase1-interface

  edit "DC-Ph1-1"

   set interface "WAN1"

   set local-gw 2.2.2.1

   set peertype any

   set net-device disable

   set proposal aes128-sha1

   set dhgrp 2

   set remote-gw 1.1.1.1

   set psksecret ***

  next

  edit "DC-Ph1-2"

   set interface "WAN2"

   set local-gw 4.4.4.1

   set peertype any

   set net-device disable

   set proposal aes128-sha1

   set dhgrp 2

   set remote-gw 3.3.3.1

   set psksecret ***

  next

end
config vpn ipsec phase2-interface

  edit "DC-Ph2-1"

   set phase1name "DC-Ph1-1"

   set proposal aes128-sha1

   set dhgrp 2

  next

  edit "DC2-Ph2-2"

   set phase1name "DC-Ph1-2"

   set proposal aes128-sha1

   set dhgrp 2

  next

end
config router static

 edit 1

  set gateway 2.2.2.2

  et device "WAN1"

 next

 edit 3

  set gateway 4.4.4.2

  set device "WAN2"

 next

end
config router bgp

  set as 65003

  set router-id 10.200.7.1

  set ebgp-multipath enable

  config neighbor

   edit "192.168.254.1"

    set remote-as 65002

   next

  edit "192.168.254.3"

   set remote-as 65002

   next

  end
  config network

   edit 1

    set prefix 10.200.0.0 255.255.0.0

   next

end

მე გთავაზობთ კონფიგურაციას ტექსტური ფორმით, რადგან, ჩემი აზრით, უფრო მოსახერხებელია VPN-ის კონფიგურაცია ამ გზით. თითქმის ყველა პარამეტრი ერთნაირია ორივე მხრიდან; ტექსტის სახით ისინი შეიძლება გაკეთდეს კოპირ-პასტის სახით. თუ იგივეს აკეთებთ ვებ ინტერფეისში, შეცდომის დაშვება მარტივია - დაივიწყეთ სადღაც გამშვები ნიშანი, შეიყვანეთ არასწორი მნიშვნელობა.

მას შემდეგ, რაც ჩვენ დავამატეთ ინტერფეისები პაკეტში

ყველა მარშრუტი და უსაფრთხოების პოლიტიკა შეიძლება ეხებოდეს მას და არა მასში შემავალ ინტერფეისებს. მინიმუმ, თქვენ უნდა დაუშვათ ტრაფიკი შიდა ქსელებიდან SD-WAN-ზე. როდესაც შექმნით მათ წესებს, შეგიძლიათ გამოიყენოთ დამცავი ზომები, როგორიცაა IPS, ანტივირუსული და HTTPS გამჟღავნება.

SD-WAN წესები კონფიგურირებულია ნაკრებისთვის. ეს არის წესები, რომლებიც განსაზღვრავს დაბალანსების ალგორითმს კონკრეტული ტრაფიკისთვის. ისინი მსგავსია პოლიტიკაზე დაფუძნებული მარშრუტიზაციის პოლიტიკის მარშრუტიზაციის პოლიტიკის, მხოლოდ ტრაფიკის პოლიტიკის ქვეშ მოხვედრის შედეგად, დაინსტალირებული არ არის შემდეგი ჰოპ ან ჩვეულებრივი გამავალი ინტერფეისი, არამედ SD-WAN პაკეტში დამატებული ინტერფეისები. ტრაფიკის დაბალანსების ალგორითმი ამ ინტერფეისებს შორის.

ტრაფიკი შეიძლება გამოიყოს ზოგადი ნაკადისგან L3-L4 ინფორმაციით, აღიარებული აპლიკაციებით, ინტერნეტ სერვისებით (URL და IP), ასევე სამუშაო სადგურების და ლეპტოპების აღიარებული მომხმარებლების მიერ. ამის შემდეგ, ერთ-ერთი შემდეგი დაბალანსების ალგორითმი შეიძლება მიენიჭოს გამოყოფილ ტრაფიკს:

ინტერფეისის პრიორიტეტების სიაში არჩეულია ის ინტერფეისები, რომლებიც უკვე დამატებულია პაკეტში, რომელიც მოემსახურება ამ ტიპის ტრაფიკს. არა ყველა ინტერფეისის დამატებით, შეგიძლიათ ზუსტად შეზღუდოთ რომელ არხებს იყენებთ, მაგალითად, ელფოსტას, თუ არ გსურთ ძვირადღირებული არხების დატვირთვა მაღალი SLA-ით. FortiOS 6.4.1-ში შესაძლებელი გახდა SD-WAN პაკეტში დამატებული ინტერფეისების დაჯგუფება ზონებად, შექმნა, მაგალითად, ერთი ზონა დისტანციურ საიტებთან კომუნიკაციისთვის და მეორე ადგილობრივი ინტერნეტის წვდომისთვის NAT-ის გამოყენებით. დიახ, დიახ, ტრაფიკი, რომელიც მიდის ჩვეულებრივ ინტერნეტში, ასევე შეიძლება დაბალანსებული იყოს.

დაბალანსების ალგორითმების შესახებ

რაც შეეხება იმას, თუ როგორ შეუძლია Fortigate-მა (Fortinet-ის ფეიერვოლი) გაყოს ტრაფიკი არხებს შორის, არსებობს ორი საინტერესო ვარიანტი, რომლებიც არც თუ ისე გავრცელებულია ბაზარზე:

ყველაზე დაბალი ღირებულება (SLA) – ყველა იმ ინტერფეისიდან, რომელიც აკმაყოფილებს SLA-ს მომენტში, არჩეულია ადმინისტრატორის მიერ ხელით დაყენებული უფრო დაბალი წონა (ღირებულება); ეს რეჟიმი შესაფერისია „ნაყარი“ ტრაფიკისთვის, როგორიცაა სარეზერვო ასლები და ფაილების გადაცემა.

საუკეთესო ხარისხი (SLA) – ამ ალგორითმს, გარდა ჩვეულებრივი დაყოვნებისა, ჟიტერისა და Fortigate პაკეტების დაკარგვისა, ასევე შეუძლია გამოიყენოს მიმდინარე არხის დატვირთვა არხების ხარისხის შესაფასებლად; ეს რეჟიმი შესაფერისია მგრძნობიარე ტრაფიკისთვის, როგორიცაა VoIP და ვიდეო კონფერენციები.

ეს ალგორითმები მოითხოვს საკომუნიკაციო არხის შესრულების მრიცხველის დაყენებას - Performance SLA. ეს მრიცხველი პერიოდულად (შემოწმების ინტერვალით) აკონტროლებს ინფორმაციას SLA-სთან შესაბამისობის შესახებ: პაკეტის დაკარგვა, დაყოვნება (დაყოვნება) და ჟიტერი (jitter) საკომუნიკაციო არხში და შეუძლია „უარყოს“ ის არხები, რომლებიც ამჟამად არ აკმაყოფილებენ ხარისხის ზღვრებს - ისინი კარგავენ. ძალიან ბევრი პაკეტი ან ძალიან დიდი შეყოვნება. გარდა ამისა, მრიცხველი აკონტროლებს არხის სტატუსს და შეუძლია დროებით ამოიღოს იგი შეკვრიდან პასუხების განმეორებითი დაკარგვის შემთხვევაში (ჩავარდნები არააქტიურამდე). აღდგენისას, რამდენიმე ზედიზედ პასუხის შემდეგ (აღადგინეთ ბმული შემდეგ), მრიცხველი ავტომატურად დააბრუნებს არხს პაკეტში და მონაცემები კვლავ დაიწყებს მის მეშვეობით გადაცემას.

ასე გამოიყურება "მრიცხველის" პარამეტრი:

ვებ ინტერფეისში ICMP-Echo-მოთხოვნა, HTTP-GET და DNS მოთხოვნა ხელმისაწვდომია ტესტის პროტოკოლების სახით. ბრძანების სტრიქონზე ცოტა მეტი ვარიანტია: ხელმისაწვდომია TCP-echo და UDP-echo პარამეტრები, ასევე ხარისხის გაზომვის სპეციალიზებული პროტოკოლი - TWAMP.

გაზომვის შედეგები ასევე შეგიძლიათ იხილოთ ვებ ინტერფეისში:

და ბრძანების ხაზზე:

Დიაგნოსტიკა

თუ თქვენ შექმენით წესი, მაგრამ ყველაფერი ისე არ მუშაობს, როგორც მოსალოდნელი იყო, უნდა ნახოთ Hit Count მნიშვნელობა SD-WAN წესების სიაში. ის აჩვენებს, ხვდება თუ არა ტრაფიკი ამ წესში საერთოდ:

თავად მრიცხველის პარამეტრების გვერდზე შეგიძლიათ იხილოთ არხის პარამეტრების ცვლილება დროთა განმავლობაში. წერტილოვანი ხაზი მიუთითებს პარამეტრის ზღვრულ მნიშვნელობას

ვებ ინტერფეისში შეგიძლიათ ნახოთ, თუ როგორ ნაწილდება ტრაფიკი გადაცემული/მიღებული მონაცემების და სესიების რაოდენობის მიხედვით:

ამ ყველაფრის გარდა, არის შესანიშნავი შესაძლებლობა მაქსიმალური დეტალებით თვალყური ადევნოთ პაკეტების გავლას. რეალურ ქსელში მუშაობისას, მოწყობილობის კონფიგურაცია აგროვებს მარშრუტიზაციის ბევრ პოლიტიკას, ცეცხლსასროლი იარაღის დაცვას და ტრაფიკის განაწილებას SD-WAN პორტებში. ეს ყველაფერი ერთმანეთთან კომპლექსურად ურთიერთქმედებს და მიუხედავად იმისა, რომ გამყიდველი აწვდის პაკეტების დამუშავების ალგორითმების დეტალურ ბლოკ-სქემებს, ძალზე მნიშვნელოვანია, რომ შეგვეძლოს არა თეორიების შექმნა და ტესტირება, არამედ იმის დანახვა, თუ სად მიდის რეალურად ტრაფიკი.

მაგალითად, ბრძანებების შემდეგი ნაკრები

diagnose debug flow filter saddr 10.200.64.15 diagnose debug flow filter daddr 10.1.7.2 diagnose debug flow show function-name diagnose debug enable diagnose debug trace 2

საშუალებას გაძლევთ თვალყური ადევნოთ ორ პაკეტს საწყისი მისამართით 10.200.64.15 და დანიშნულების მისამართით 10.1.7.2.
ჩვენ ორჯერ ვუკრავთ პინგს 10.7.1.2 10.200.64.15-დან და ვუყურებთ გამოსავალს კონსოლზე.

პირველი პაკეტი:

მეორე პაკეტი:

აქ არის პირველი პაკეტი, რომელიც მიიღო firewall-მა:
id=20085 trace_id=475 func=print_pkt_detail line=5605 msg="vd-Internet:0 received a packet(proto=1, 10.200.64.15:42->10.1.7.2:2048) from DMZ-Office. type=8, code=0, id=42, seq=0." VDOM – Internet, Proto=1 (ICMP), DMZ-Office – название L3-интерфейса. Type=8 – Echo.

მისთვის შეიქმნა ახალი სესია:
msg="allocate a new session-0006a627"

და დამთხვევა ნაპოვნი იქნა მარშრუტიზაციის პოლიტიკის პარამეტრებში
msg="Match policy routing id=2136539137: to 10.1.7.2 via ifindex-110"

გამოდის, რომ პაკეტი უნდა გაიგზავნოს VPN ერთ-ერთ გვირაბში:
"find a route: flag=04000000 gw-192.168.254.1 via DC-Ph1-1"

Firewall-ის პოლიტიკაში აღმოჩენილია შემდეგი დაშვების წესი:
msg="Allowed by Policy-3:"

პაკეტი დაშიფრულია და იგზავნება VPN გვირაბში:
func=ipsecdev_hard_start_xmit line=789 msg="enter IPsec interface-DC-Ph1-1" func=_ipsecdev_hard_start_xmit line=666 msg="IPsec tunnel-DC-Ph1-1" func=esp_output4 line=905 msg="IPsec encrypt/auth"

დაშიფრული პაკეტი იგზავნება კარიბჭის მისამართზე ამ WAN ინტერფეისისთვის:
msg="send to 2.2.2.2 via intf-WAN1"

მეორე პაკეტისთვის ყველაფერი ანალოგიურად ხდება, მაგრამ ის იგზავნება სხვა VPN გვირაბში და გადის სხვა firewall პორტიდან:
func=ipsecdev_hard_start_xmit line=789 msg="enter IPsec interface-DC-Ph1-2" func=_ipsecdev_hard_start_xmit line=666 msg="IPsec tunnel-DC-Ph1-2" func=esp_output4 line=905 msg="IPsec encrypt/auth" func=ipsec_output_finish line=622 msg="send to 4.4.4.2 via intf-WAN2"

გადაწყვეტის დადებითი მხარეები

საიმედო ფუნქციონირება და მოსახერხებელი ინტერფეისი. ფუნქციების ნაკრები, რომელიც ხელმისაწვდომი იყო FortiOS-ში SD-WAN-ის გამოჩენამდე, სრულად არის შენახული. ანუ, ჩვენ არ გვაქვს ახლად შემუშავებული პროგრამული უზრუნველყოფა, არამედ გვაქვს მომწიფებული სისტემა დადასტურებული firewall-ის გამყიდველისგან. ქსელის ფუნქციების ტრადიციული ნაკრებით, მოსახერხებელი და ადვილად შესასწავლი ვებ ინტერფეისით. რამდენ SD-WAN მომწოდებელს აქვს, ვთქვათ, დისტანციური წვდომის VPN ფუნქცია ბოლო მოწყობილობებზე?

უსაფრთხოების დონე 80. FortiGate არის ერთ-ერთი საუკეთესო Firewall გადაწყვეტა. ინტერნეტში უამრავი მასალაა ფაირვოლების დაყენებისა და ადმინისტრირების შესახებ, ხოლო შრომის ბაზარზე არის მრავალი უსაფრთხოების სპეციალისტი, რომლებმაც უკვე აითვისეს გამყიდველის გადაწყვეტილებები.

ნულოვანი ფასი SD-WAN ფუნქციონირებისთვის. FortiGate-ზე SD-WAN ქსელის აშენება იგივე ღირს, რაც მასზე ჩვეულებრივი WAN ქსელის აშენება, რადგან SD-WAN ფუნქციონირების განსახორციელებლად დამატებითი ლიცენზიები არ არის საჭირო.

შესვლის ბარიერის დაბალი ფასი. Fortigate-ს აქვს მოწყობილობების კარგი გრადაცია სხვადასხვა შესრულების დონისთვის. ყველაზე ახალგაზრდა და იაფი მოდელები საკმაოდ შესაფერისია ოფისის ან გაყიდვის პუნქტის გაფართოებისთვის, ვთქვათ, 3-5 თანამშრომლის მიერ. ბევრ გამყიდველს უბრალოდ არ აქვს ასეთი დაბალი ხარისხის და ხელმისაწვდომი მოდელები.

Მაღალი დონის შესრულება. SD-WAN ფუნქციონირების შემცირებამ ტრაფიკის დაბალანსებამდე კომპანიას საშუალება მისცა გამოუშვა სპეციალიზებული SD-WAN ASIC, რომლის წყალობითაც SD-WAN ოპერაცია არ ამცირებს მთლიანი ბუხრის მუშაობას.

მთელი ოფისის განხორციელების შესაძლებლობა Fortinet აღჭურვილობაზე. ეს არის წყვილი firewalls, კონცენტრატორები, Wi-Fi წვდომის წერტილები. ასეთი ოფისის მართვა მარტივი და მოსახერხებელია - კონცენტრატორები და წვდომის წერტილები რეგისტრირებულია firewalls-ზე და იმართება მათგან. მაგალითად, ასე შეიძლება გამოიყურებოდეს გადამრთველი პორტი firewall-ის ინტერფეისიდან, რომელიც აკონტროლებს ამ შეცვლას:

კონტროლერების ნაკლებობა, როგორც მარცხის ერთი წერტილი. თავად გამყიდველი ყურადღებას ამახვილებს ამაზე, მაგრამ ამას მხოლოდ ნაწილობრივ შეიძლება ეწოდოს სარგებელი, რადგან იმ მოვაჭრეებისთვის, რომლებსაც ჰყავთ კონტროლერები, მათი შეცდომების ტოლერანტობის უზრუნველყოფა იაფია, ყველაზე ხშირად ვირტუალიზაციის გარემოში გამოთვლითი რესურსების მცირე რაოდენობის ფასად.

რა უნდა ვეძებოთ

არ არის გამიჯვნა საკონტროლო სიბრტყესა და მონაცემთა სიბრტყეს შორის. ეს ნიშნავს, რომ ქსელი უნდა იყოს კონფიგურირებული ხელით ან უკვე ხელმისაწვდომი ტრადიციული მართვის ინსტრუმენტების გამოყენებით - FortiManager. მოვაჭრეებისთვის, რომლებმაც განახორციელეს ასეთი გამოყოფა, ქსელი თავად იკრიბება. ადმინისტრატორს შეიძლება მხოლოდ ტოპოლოგიის კორექტირება დასჭირდეს, სადმე რაღაც აკრძალოს, მეტი არაფერი. თუმცა, FortiManager-ის კოზირი არის ის, რომ მას შეუძლია მართოს არა მხოლოდ ბუხარი, არამედ კონცენტრატორები და Wi-Fi წვდომის წერტილები, ანუ თითქმის მთელი ქსელი.

კონტროლირებადობის პირობითი ზრდა. იმის გამო, რომ ტრადიციული ხელსაწყოები გამოიყენება ქსელის კონფიგურაციის ავტომატიზაციისთვის, ქსელის მართვადი SD-WAN-ის დანერგვით ოდნავ იზრდება. მეორეს მხრივ, ახალი ფუნქციონირება უფრო სწრაფად ხდება ხელმისაწვდომი, რადგან გამყიდველი ჯერ ავრცელებს მას მხოლოდ firewall ოპერაციული სისტემისთვის (რაც დაუყოვნებლივ იძლევა მის გამოყენებას) და მხოლოდ ამის შემდეგ ავსებს მართვის სისტემას საჭირო ინტერფეისებით.

ზოგიერთი ფუნქცია შეიძლება იყოს ხელმისაწვდომი ბრძანების ხაზიდან, მაგრამ არ არის ხელმისაწვდომი ვებ ინტერფეისიდან. ზოგჯერ არც ისე საშინელია ბრძანების სტრიქონში შესვლა რაღაცის კონფიგურაციისთვის, მაგრამ საშინელებაა, რომ არ დაინახო ვებ ინტერფეისში, რომ ვიღაცამ უკვე დააკონფიგურირა რაღაც ბრძანების ხაზიდან. მაგრამ ეს ჩვეულებრივ ეხება უახლეს ფუნქციებს და თანდათან, FortiOS განახლებებით, ვებ ინტერფეისის შესაძლებლობები უმჯობესდება.

შეესაბამება

მათთვის, ვისაც ბევრი ფილიალი არ აქვს. SD-WAN გადაწყვეტის დანერგვა რთული ცენტრალური კომპონენტებით ქსელში 8-10 ფილიალში შეიძლება არ დაჯდეს სანთელი - თქვენ მოგიწევთ ფულის დახარჯვა SD-WAN მოწყობილობების ლიცენზიებზე და ვირტუალიზაციის სისტემის რესურსებზე ცენტრალური კომპონენტების განსათავსებლად. როგორც წესი, მცირე კომპანიას აქვს შეზღუდული უფასო გამოთვლითი რესურსები. Fortinet-ის შემთხვევაში საკმარისია უბრალოდ იყიდოთ firewalls.

მათთვის, ვისაც ბევრი პატარა ფილიალი აქვს. ბევრი გამყიდველისთვის, გადაწყვეტის მინიმალური ფასი ფილიალზე საკმაოდ მაღალია და შეიძლება არ იყოს საინტერესო საბოლოო მომხმარებლის ბიზნესის თვალსაზრისით. Fortinet გთავაზობთ პატარა მოწყობილობებს ძალიან მიმზიდველ ფასებში.

მათთვის, ვინც ჯერ კიდევ არ არის მზად ძალიან შორს გადადგას. SD-WAN-ის დანერგვა კონტროლერებთან, საკუთრების მარშრუტიზაცია და ქსელის დაგეგმვისა და მართვის ახალი მიდგომა შეიძლება ძალიან დიდი ნაბიჯი იყოს ზოგიერთი მომხმარებლისთვის. დიახ, ასეთი განხორციელება საბოლოოდ ხელს შეუწყობს საკომუნიკაციო არხების გამოყენების ოპტიმიზაციას და ადმინისტრატორების მუშაობას, მაგრამ ჯერ ბევრი ახალი რამის სწავლა მოგიწევთ. მათთვის, ვინც ჯერ კიდევ არ არის მზად პარადიგმის ცვლისთვის, მაგრამ სურს უფრო მეტი გამოიყენოს საკომუნიკაციო არხებიდან, Fortinet-ის გამოსავალი სწორია.

წყარო: www.habr.com

SD-WAN-ის ყველაზე დემოკრატიულის ანალიზი: არქიტექტურა, კონფიგურაცია, ადმინისტრირება და ხარვეზები