<\/p>\n\u201eDatacenter\u201c (DC)
config system interface
config vpn ipsec phase1-interface
config vpn ipsec phase2-interface
config router statisch
config router bgp
\u2003config netwerk
config system interface
config vpn ipsec phase1-interface
config vpn ipsec phase2-interface
config router statisch
config router bgp
\u2003 config netwerk
<\/code><\/p>\n
Ik geef de configuratie in tekstdocumentvorm, omdat ik denk dat het zo gemakkelijker is om VPN in te stellen. Bijna alle instellingen aan beide zijden zijn hetzelfde, in tekstvorm kunnen ze eenvoudig met kopi\u00ebren en plakken worden gedaan. Als je hetzelfde in de webinterface doet, is het gemakkelijk om een fout te maken \u2014 bijvoorbeeld het vergeten van een vinkje of het invoeren van een verkeerd waarde. <\/p>\n
Nadat we de interfaces aan de bundel hebben toegevoegd<\/p>\n
Verkeer kan worden gescheiden uit de algemene stroom op basis van L3-L4-informatie, op herkende toepassingen, internetdiensten (URL en IP), en ook op herkende gebruikers van werkstations en laptops. Daarna kan aan het gescheiden verkeer een van de volgende balanceringsalgoritmen worden toegewezen:<\/p>\n
Over balanceringsalgoritmen \nWat betreft hoe Fortigate (firewall van Fortinet) verkeer kan verdelen over kanalen zijn er twee interessante opties, die niet veel op de markt worden gebruikt:<\/p>\n
Laagste Kosten (SLA)<\/b> \u2013 uit alle interfaces die op dit moment voldoen aan de SLA, wordt degene gekozen met de laagste kosten (weight), handmatig ingesteld door de beheerder; deze modus is geschikt voor \u201evolumetrisch\u201d verkeer, zoals back-ups en bestandsoverdracht. <\/p>\n
Beste Kwaliteit (SLA)<\/b> \u2013 dit algoritme kan, naast de gebruikelijke latentie, jitter en pakketverlies, ook de huidige belasting van de verbinding gebruiken voor de beoordeling van de kwaliteit van de kanalen; deze modus is geschikt voor \u201egevoelig\u201d verkeer, zoals IP-telefonie (VoIP) en videoconferenties.<\/p>\n
Voor deze algoritmen is configuratie van de prestatie-monitor vereist \u2013 Performance SLA. Deze monitor controleert periodiek (check interval) informatie over de naleving van de SLA: pakketverlies (packet loss), vertraging (latency) en jitter (jitter) in de verbinding, en kan 'afkeuren' die verbindingen die op dat moment niet voldoen aan de kwaliteitsdrempels \u2013 te veel pakketten verliezen of te hoge vertraging vertonen. Daarnaast houdt de monitor de status van de verbinding in de gaten en kan deze tijdelijk uit de bundel verwijderen in geval van herhaaldelijk verlies van antwoorden (failures before inactive). Bij herstel, na enkele opeenvolgende ontvangen antwoorden (restore link after), zal de monitor de verbinding automatisch terugbrengen in de bundel, en kunnen gegevens weer via deze verbinding worden verzonden.<\/p>\n
Zo ziet de configuratie van de 'monitor' eruit: <\/p>\n
Probleemoplossing<\/h3>\n \nAls er een regel is aangemaakt, maar het werkt niet zoals verwacht, kijk dan naar de waarde Hit Count in de lijst met SD-WAN-regels. Dit geeft aan of het verkeer \u00fcberhaupt in deze regel valt:<\/p>\n
Bijvoorbeeld, de volgende set opdrachten<\/p>\n
diagnose debug flow filter saddr 10.200.64.15Stelt je in staat om twee pakketten met het bronadres 10.200.64.15 en het doeladres 10.1.7.2 te volgen.
Eerste pakket:<\/p>\n
id=20085 trace_id=475 func=print_pkt_detail line=5605 msg=\"vd-Internet:0 ontving een pakket(proto=1, 10.200.64.15:42->10.1.7.2:2048) van DMZ-Office. type=8, code=0, id=42, seq=0.\"DMZ-Office \u2013 naam van de L3-interface. <\/b>Type=8 \u2013 Echo.<\/code><\/p>\n Er is een nieuwe sessie aangemaakt:msg=\"een nieuwe sessie toewijzen-0006a627\"<\/code><\/p>\nEn er werd een overeenstemming in de routeringsbeleidinstellingen ontdektmsg=\"Match beleid routering id=2136539137: naar 10.1.7.2 via ifindex-110\"<\/code><\/p>\nHet blijkt dat het pakket naar een van de VPN-tunnels moet worden gestuurd:\"vind een route: vlag=04000000 gw-192.168.254.1 via DC-Ph1-1\"<\/code><\/p>\nIn het firewallbeleid wordt een toestemmingsregel gevonden:msg=\"Toegestaan door Beleid-3:\"<\/code><\/p>\nHet pakket wordt versleuteld en naar de VPN-tunnel gestuurd:func=ipsecdev_hard_start_xmit line=789 msg=\"voer IPsec-interface-DC-Ph1-1 in\"Het versleutelde pakket wordt gestuurd naar het adres van de gateway voor deze WAN-interface:msg=\"verzenden naar 2.2.2.2 via intf-WAN1\"<\/code><\/p>\nVoor het tweede pakket gebeurt alles op dezelfde manier, maar het wordt naar een andere VPN-tunnel gestuurd en gaat via een andere poort van de firewall:func=ipsecdev_hard_start_xmit line=789 msg=\"voer IPsec-interface-DC-Ph1-2 in\"Voordelen van de oplossing \nBetrouwbare functionaliteit en een gebruiksvriendelijke interface. <\/b>De functionaliteit die in FortiOS beschikbaar was v\u00f3\u00f3r de introductie van SD-WAN, is volledig behouden. Dit betekent dat we niet te maken hebben met herontwikkelde software, maar met een volwassen systeem van een betrouwbare firewallleverancier. Met een traditionele set netwerkmogelijkheden, handige en eenvoudige webinterface. Hebben veel SD-WAN-leveranciers bijvoorbeeld functionaliteit voor Remote-Access VPN op eindapparaten?<\/p>\n
Veiligheid van niveau 80. <\/b>FortiGate behoort tot de topoplossingen voor firewalls. Er zijn veel materialen op internet over het instellen en beheren van firewalls, en op de arbeidsmarkt zijn er voldoende beveiligingsexperts die al bekend zijn met de oplossingen van de leverancier.<\/p>\n
Nul prijs voor SD-WAN functionaliteit. <\/b>Het opzetten van een SD-WAN-netwerk op FortiGate kost net zoveel als het opzetten van een gewone WAN-netwerk, aangezien er geen extra licenties nodig zijn voor de implementatie van SD-WAN-functionaliteit. <\/p>\n
Lage instapprijs. <\/b>FortiGate heeft een goede gradatie van apparaten voor verschillende prestaties. De kleinste en goedkoopste modellen zijn prima geschikt om bijvoorbeeld een kantoor of verkooppunt voor 3-5 medewerkers op te zetten. Veel aanbieders hebben dergelijke laag-presterende en betaalbare modellen gewoon niet. <\/p>\n
Hoge prestaties. <\/b>Het terugbrengen van SD-WAN-functionaliteit tot verkeersbalancering heeft het bedrijf in staat gesteld om een gespecialiseerde SD-WAN ASIC uit te brengen, waardoor het functioneren van SD-WAN de prestaties van de firewall als geheel niet vermindert. <\/p>\n
De mogelijkheid om een compleet kantoor te implementeren met Fortinet-apparatuur. <\/b>Dit zijn een paar firewalls, switches en Wi-Fi-toegangspunten. Zo'n kantoor is gemakkelijk en handig te beheren \u2013 switches en toegangspunten worden geregistreerd op de firewalls en worden vanuit daar beheerd. Dit is bijvoorbeeld hoe de poort van de switch eruit kan zien vanaf de interface van de firewall die deze switch beheert:<\/p>\n
Geen controllers, als enkele schakelpunten van falen. <\/b>Dit benadrukt de leverancier zelf, maar dit kan slechts gedeeltelijk als een pluspunt worden beschouwd, omdat bij leveranciers die controllers hebben, de waarborging van hun fouttolerantie niet duur is, meestal tegen de prijs van een klein aantal rekenbronnen in een virtualisatieomgeving.<\/p>\nLet op het volgende
\nAfwezigheid van scheiding tussen Control Plane en Data Plane<\/b>. Dit betekent dat het netwerk ofwel handmatig moet worden geconfigureerd, of met behulp van al bestaande traditionele beheertools \u2013 FortiManager. Bij leveranciers waar deze scheiding is gerealiseerd, bouwt het netwerk zichzelf. De beheerder hoeft alleen de topologie iets aan te passen, iets ergens te blokkeren, niet meer dan dat. Echter, de sterke kant van FortiManager is dat het niet alleen firewalls kan beheren, maar ook switches en Wi-Fi-toegangspunten, dat wil zeggen praktisch het hele netwerk. <\/p>\n
Voorwaardelijke groei van beheersbaarheid. <\/b>Omdat voor de automatisering van de netwerkinrichting traditionele hulpmiddelen worden gebruikt, neemt de beheersbaarheid van het netwerk met de implementatie van SD-WAN slechts minimaal toe. Aan de andere kant is nieuwe functionaliteit sneller beschikbaar, aangezien de leverancier deze eerst alleen voor het besturingssysteem van de firewalls vrijgeeft (wat direct de mogelijkheid biedt om deze te gebruiken), en pas daarna aanvult met de benodigde interfaces voor het beheersysteem.<\/p>\n
Een deel van de functionaliteit kan toegankelijk zijn vanuit de opdrachtregel, maar niet vanuit de webinterface. <\/b>Het is niet zo erg om af en toe de opdrachtregel in te gaan om iets in te stellen, als het erg is om niet te zien in de webinterface dat iets al door iemand anders is ingesteld in de opdrachtregel. Maar dit geldt meestal voor de nieuwste functies en geleidelijk, met updates van FortiOS, worden de mogelijkheden van de webinterface bijgewerkt.<\/p>\nVoor wie is dit geschikt<\/h3>\n
\nVoor degenen die niet veel filialen hebben.<\/b> De implementatie van een SD-WAN-oplossing met complexe centrale componenten op netwerken met 8-10 vestigingen kan niet de moeite waard zijn - je moet geld uitgeven aan licenties voor SD-WAN-apparaten en middelen voor de virtualisatiesysteem om centrale componenten te huisvesten. Kleine bedrijven hebben doorgaans niet veel rekenkracht beschikbaar. In het geval van Fortinet is het voldoende om gewoon firewalls te kopen. <\/p>\n
Voor degenen met veel kleine vestigingen. <\/b>Bij veel leveranciers is de minimale prijs voor een oplossing per vestiging behoorlijk hoog en kan dit oninteressant zijn vanuit het oogpunt van de eindklant. Fortinet biedt kleine apparaten aan tegen een zeer aantrekkelijke prijs. <\/p>\n
Voor degenen die nog niet klaar zijn om een te grote stap te zetten. <\/b>De implementatie van SD-WAN met controllers, propri\u00ebtaire routering, een nieuwe benadering van netwerkplanning en -beheer kan een te serieuze stap lijken voor sommige klanten. Ja, zo'n implementatie zal uiteindelijk helpen om het gebruik van communicatiekanalen en het werk van beheerders te optimaliseren, maar je moet eerst veel nieuwe dingen leren. Voor degenen die nog niet bereid zijn om van paradigma te veranderen, maar wel meer uit hun communicatielijnen willen halen, is de oplossing van Fortinet juist geschikt.habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"\u0421\u0443\u0434\u044f \u043f\u043e \u0447\u0438\u0441\u043b\u0443 \u0432\u043e\u043f\u0440\u043e\u0441\u043e\u0432, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043d\u0430\u043c \u0441\u0442\u0430\u043b\u0438 \u043f\u0440\u0438\u043b\u0435\u0442\u0430\u0442\u044c \u043f\u043e SD-WAN, \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u044f \u043d\u0430\u0447\u0430\u043b\u0430 \u043e\u0441\u043d\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u043e \u043f\u0440\u0438\u0436\u0438\u0432\u0430\u0442\u044c\u0441\u044f \u0432 \u0420\u043e\u0441\u0441\u0438\u0438. \u0412\u0435\u043d\u0434\u043e\u0440\u044b, \u0435\u0441\u0442\u0435\u0441\u0442\u0432\u0435\u043d\u043d\u043e, \u043d\u0435 \u0434\u0440\u0435\u043c\u043b\u044e\u0442 \u0438 \u043f\u0440\u0435\u0434\u043b\u0430\u0433\u0430\u044e\u0442 \u0441\u0432\u043e\u0438 \u043a\u043e\u043d\u0446\u0435\u043f\u0446\u0438\u0438, \u0430 \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0441\u043c\u0435\u043b\u044c\u0447\u0430\u043a\u0438 \u043f\u0435\u0440\u0432\u043e\u043f\u0440\u043e\u0445\u043e\u0434\u0446\u044b \u0443\u0436\u0435 \u0432\u043d\u0435\u0434\u0440\u044f\u044e\u0442 \u0438\u0445 \u0443 \u0441\u0435\u0431\u044f \u043d\u0430 \u0441\u0435\u0442\u0438. \u041c\u044b \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u043c \u043f\u043e\u0447\u0442\u0438 \u0441\u043e \u0432\u0441\u0435\u043c\u0438 \u0432\u0435\u043d\u0434\u043e\u0440\u0430\u043c\u0438, \u0438 \u0437\u0430 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u043b\u0435\u0442 \u0432 \u043d\u0430\u0448\u0435\u0439 \u043b\u0430\u0431\u043e\u0440\u0430\u0442\u043e\u0440\u0438\u0438 \u044f \u0443\u0441\u043f\u0435\u043b \u043f\u043e\u043a\u043e\u043f\u0430\u0442\u044c\u0441\u044f \u0432 \u0430\u0440\u0445\u0438\u0442\u0435\u043a\u0442\u0443\u0440\u0435 \u043a\u0430\u0436\u0434\u043e\u0433\u043e \u043a\u0440\u0443\u043f\u043d\u043e\u0433\u043e […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":95433,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-95432","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t