{"id":95432,"date":"2020-09-29T07:42:38","date_gmt":"2020-09-29T05:42:38","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/razbor-samogo-demokratichnogo-iz-sd-wan-arhitektura-nastrojka-administrirovanie-i-podvodnye-kamni"},"modified":"2020-09-29T07:42:38","modified_gmt":"2020-09-29T05:42:38","slug":"razbor-samogo-demokratichnogo-iz-sd-wan-arhitektura-nastrojka-administrirovanie-i-podvodnye-kamni","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sl\/blog\/administrirovanie\/razbor-samogo-demokratichnogo-iz-sd-wan-arhitektura-nastrojka-administrirovanie-i-podvodnye-kamni","title":{"rendered":"Raz\u010dlemba najbolj dostopnega od SD-WAN: arhitektura, nastavitev, upravljanje in skrite pasti","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Glede na \u0161tevilo vpra\u0161anj, ki smo jih za\u010deli prejemati glede SD-WAN, se je tehnologija za\u010dela dobro uvajati v Rusiji. Dobavitelji, seveda, ne mirujejo in ponujajo svoje koncepte, nekateri drzni pionirji pa jih \u017ee uvajajo v svojih omre\u017ejih. <\/p>\n

Delamo skoraj z vsemi dobavitelji, in v zadnjih nekaj letih sem v na\u0161i laboratoriju uspel raziskati arhitekturo vsakega ve\u010djega razvijalca programskih re\u0161itev. Malce posebna je situacija pri SD-WAN od Fortinet, ki je preprosto integriral funkcionalnost uravnote\u017eenja prometa med komunikacijskimi kanali v programsko opremo po\u017earnih zidov. Re\u0161itev je bolj dostopna, zato se obi\u010dajno zanjo zanimajo podjetja, ki \u0161e niso pripravljena na globalne spremembe, vendar \u017eelijo u\u010dinkoviteje izkoristiti svoje komunikacijske kanale. <\/p>\n

V tem \u010dlanku \u017eelim opisati, kako nastaviti in delati s SD-WAN od Fortinet, komu je ta re\u0161itev namenjena in s katerimi morebitnimi te\u017eavami se lahko sre\u010date. <\/a><\/noindex><\/p>\n

Med najbolj opaznimi igralci na trgu SD-WAN lahko uvrstimo v eno od dveh kategorij: <\/p>\n

1. Startup podjetja, ki so ustvarila SD-WAN re\u0161itve od ni\u010d. Najuspe\u0161nej\u0161i med njimi pridobijo ogromen zagon za rast, ko jih kupijo ve\u010dja podjetja - to je zgodba Cisco\/Viptela, VMWare\/VeloCloud, Nuage\/Nokia.<\/p>\n

2. Veliki omre\u017eni ponudniki, ki so ustvarili SD-WAN re\u0161itve, razvijajo\u010d programabilnost in upravljivost svojih tradicionalnih usmerjevalnikov - to je zgodba Juniper, Huawei.<\/p>\n

Fortinetu je uspelo najti svojo pot. V programsko opremo po\u017earnih zidov so integrirali funkcionalnost, ki omogo\u010da zdru\u017eevanje njihovih vmesnikov v virtualne kanale in uravnote\u017eenje obremenitev med njimi s pomo\u010djo zapletenih algoritmov v primerjavi s tradicionalnim usmerjanjem. To funkcionalnost so poimenovali SD-WAN. Ali lahko to, kar je naredil Fortinet, imenujemo SD-WAN? Na trgu se po\u010dasi oblikuje razumevanje, da Software-Defined pomeni lo\u010ditev Control Plane od Data Plane, dodeljene kontrolerje in orkestratorje. Fortinet to nima. Centralizirano upravljanje je opcijsko in se ponuja s pomo\u010djo tradicionalnega sredstva Fortimanager. A po mojem mnenju ni vredno iskati abstraktne resnice in izgubljati \u010das z razpravami o izrazih. V resni\u010dnem svetu ima vsak pristop svoje prednosti in slabosti. Najbolj\u0161a re\u0161itev je razumeti oboje in znati izbrati re\u0161itve, ki ustrezajo nalogam. <\/p>\n

Poskusil bom s fotografijami v rokah opisati, kako izgleda in kaj zna SD-WAN od Fortinet.<\/p>\n

Kako vse deluje <\/h3>\n

\nRecimo, da imate dve podru\u017enici, povezani med seboj z dvema kanalama za prenos podatkov. Ti kanali za prenos podatkov se zdru\u017eujejo v skupino, podobno kot se obi\u010dajni Ethernet vmesniki zdru\u017eujejo v LACP-Port-Channel. Starej\u0161i se spomnijo PPP Multilink \u2013 to je prav tako primerna analogija. Kanali so lahko fizi\u010dni priklju\u010dki, VLAN SVI ter VPN<\/a> ali GRE-tuneli. <\/p>\n

VPN ali GRE se obi\u010dajno pou\u017e\u00edvajo pri povezovanju lokalnih omre\u017eij podru\u017enic preko interneta. Fizi\u010dni priklju\u010dki pa se uporabljajo, kadar so L2-povezave med lokacijami, ali pri povezovanju preko zasebne MPLS\/VPN, \u010de nas povezuje komunikacija brez Overlay in \u0161ifriranja. \u0160e en scenarij, kjer se v SD-WAN skupini uporabljajo fizi\u010dni priklju\u010dki, je uravnote\u017eenje lokalnega izhoda uporabnikov v internet.<\/p>\n

Na na\u0161em testnem mestu je \u0161tirimi po\u017earnimi zidovi in dvema VPN-tuneloma, ki delujeta preko dveh 'operaterjev povezave'. Shema izgleda tako:<\/p>\n

\"Raz\u010dlemba
\n
\nVPN-tuneli so nastavljeni v vmesni\u0161kem na\u010dinu, tako da so videti kot to\u010dke do to\u010dke povezave med napravami z IP-naslovi na P2P vmesnikih, ki jih je mogo\u010de pingati in preveriti ali komunikacija preko konkretnega tunela deluje. Da se promet \u0161ifrira in odide na nasprotno stran, je dovolj, da ga usmerimo v tunel. Alternativa je izbira prometa za \u0161ifriranje s pomo\u010djo seznamov podomre\u017eij, kar mo\u010dno zmeda skrbnika, ko zapletenost konfiguracije nara\u0161\u010da. V veliki omre\u017eni strukturi se za postavitev VPN lahko uporablja tehnologija ADVPN, kar je analog DMVPN od Cisco ali DVPN od Huawei, ki poenostavi nastavitev.<\/p>\n

Konfiguracija Site-to-Site VPN za dve napravi z BGP usmerjanjem na obeh straneh<\/b>
\n <\/p>\n

\u201eDC\u201c (centar podatkov)
\n\u201eBRN\u201c (podru\u017enica)<\/p>\n

config system interface
\n\u2003edit "WAN1"
\n\u2003\u2003set vdom "Internet"
\n\u2003\u2003set ip 1.1.1.1 255.255.255.252
\n\u2003\u2003set allowaccess ping
\n\u2003\u2003set role wan
\n\u2003\u2003set interface "DC-BRD"
\n\u2003\u2003set vlanid 111
\n\u2003next
\n\u2003edit "WAN2"
\n\u2003\u2003set vdom "Internet"
\n\u2003\u2003set ip 3.3.3.1 255.255.255.252
\n\u2003\u2003set allowaccess ping
\n\u2003\u2003set role lan
\n\u2003\u2003set interface "DC-BRD"
\n\u2003\u2003set vlanid 112
\n\u2003next
\n\u2003edit "BRN-Ph1-1"
\n\u2003\u2003set vdom "Internet"
\n\u2003\u2003set ip 192.168.254.1 255.255.255.255
\n\u2003\u2003set allowaccess ping
\n\u2003\u2003set type tunnel
\n\u2003\u2003set remote-ip 192.168.254.2 255.255.255.255
\n\u2003\u2003set interface "WAN1"
\n\u2003next
\n\u2003edit "BRN-Ph1-2"
\n\u2003\u2003set vdom "Internet"
\n\u2003\u2003set ip 192.168.254.3 255.255.255.255
\n\u2003\u2003set allowaccess ping
\n\u2003\u2003set type tunnel
\n\u2003\u2003set remote-ip 192.168.254.4 255.255.255.255
\n\u2003\u2003set interface "WAN2"
\n\u2003next
\nend<\/p>\n

config vpn ipsec phase1-interface
\n\u2003edit "BRN-Ph1-1"
\n\u2003\u2003set interface "WAN1"
\n\u2003\u2003set local-gw 1.1.1.1
\n\u2003\u2003set peertype any
\n\u2003\u2003set net-device disable
\n\u2003\u2003set proposal aes128-sha1
\n\u2003\u2003set dhgrp 2
\n\u2003\u2003set remote-gw 2.2.2.1
\n\u2003\u2003set psksecret ***
\n\u2003next
\n\u2003edit "BRN-Ph1-2"
\n\u2003\u2003set interface "WAN2"
\n\u2003\u2003set local-gw 3.3.3.1
\n\u2003\u2003set peertype any
\n\u2003\u2003set net-device disable
\n\u2003\u2003set proposal aes128-sha1
\n\u2003\u2003set dhgrp 2
\n\u2003\u2003set remote-gw 4.4.4.1
\n\u2003\u2003set psksecret ***
\n\u2003next
\nend<\/p>\n

config vpn ipsec phase2-interface
\n\u2003edit "BRN-Ph2-1"
\n\u2003\u2003set phase1name "BRN-Ph1-1"
\n\u2003\u2003set proposal aes256-sha256
\n\u2003\u2003set dhgrp 2
\n\u2003next
\n\u2003edit "BRN-Ph2-2"
\n\u2003\u2003set phase1name "BRN-Ph1-2"
\n\u2003\u2003set proposal aes256-sha256
\n\u2003\u2003set dhgrp 2
\n\u2003next
\nend<\/p>\n

config router static
\n\u2003edit 1
\n\u2003\u2003set gateway 1.1.1.2
\n\u2003\u2003set device "WAN1"
\n\u2003next
\n\u2003edit 3
\n\u2003\u2003set gateway 3.3.3.2
\n\u2003\u2003set device "WAN2"
\n\u2003next
\nend<\/p>\n

config router bgp
\n\u2003set as 65002
\n\u2003set router-id 10.1.7.1
\n\u2003set ebgp-multipath enable
\n\u2003config neighbor
\n\u2003\u2003edit "192.168.254.2"
\n\u2003\u2003\u2003set remote-as 65003
\n\u2003\u2003next
\n\u2003\u2003edit "192.168.254.4"
\n\u2003\u2003\u2003set remote-as 65003
\n\u2003\u2003next
\n\u2003end<\/p>\n

\u2003config network
\n\u2003\u2003edit 1
\n\u2003\u2003\u2003set prefix 10.1.0.0 255.255.0.0
\n\u2003\u2003next
\nend <\/p>\n

config system interface
\n\u2003edit "WAN1"
\n\u2003\u2003set vdom "Internet"
\n\u2003\u2003set ip 2.2.2.1 255.255.255.252
\n\u2003\u2003set allowaccess ping
\n\u2003\u2003set role wan
\n\u2003\u2003set interface "BRN-BRD"
\n\u2003\u2003set vlanid 111
\n\u2003next
\n\u2003edit "WAN2"
\n\u2003\u2003set vdom "Internet"
\n\u2003\u2003set ip 4.4.4.1 255.255.255.252
\n\u2003\u2003set allowaccess ping
\n\u2003\u2003set role wan
\n\u2003\u2003set interface "BRN-BRD"
\n\u2003\u2003set vlanid 114
\n\u2003next
\n\u2003edit "DC-Ph1-1"
\n\u2003\u2003set vdom "Internet"
\n\u2003\u2003set ip 192.168.254.2 255.255.255.255
\n\u2003\u2003set allowaccess ping
\n\u2003\u2003set type tunnel
\n\u2003\u2003set remote-ip 192.168.254.1 255.255.255.255
\n\u2003\u2003set interface "WAN1"
\n\u2003next
\n\u2003edit "DC-Ph1-2"
\n\u2003\u2003set vdom "Internet"
\n\u2003\u2003set ip 192.168.254.4 255.255.255.255
\n\u2003\u2003set allowaccess ping
\n\u2003\u2003set type tunnel
\n\u2003\u2003set remote-ip 192.168.254.3 255.255.255.255
\n\u2003\u2003set interface "WAN2"
\n\u2003next
\nend<\/p>\n

config vpn ipsec phase1-interface
\n\u2003 edit "DC-Ph1-1"
\n\u2003\u2003 set interface "WAN1"
\n\u2003\u2003 set local-gw 2.2.2.1
\n\u2003\u2003 set peertype any
\n\u2003\u2003 set net-device disable
\n\u2003\u2003 set proposal aes128-sha1
\n\u2003\u2003 set dhgrp 2
\n\u2003\u2003 set remote-gw 1.1.1.1
\n\u2003\u2003 set psksecret ***
\n\u2003 next
\n\u2003 edit "DC-Ph1-2"
\n\u2003\u2003 set interface "WAN2"
\n\u2003\u2003 set local-gw 4.4.4.1
\n\u2003\u2003 set peertype any
\n\u2003\u2003 set net-device disable
\n\u2003\u2003 set proposal aes128-sha1
\n\u2003\u2003 set dhgrp 2
\n\u2003\u2003 set remote-gw 3.3.3.1
\n\u2003\u2003 set psksecret ***
\n\u2003 next
\nend<\/p>\n

config vpn ipsec phase2-interface
\n\u2003 edit "DC-Ph2-1"
\n\u2003\u2003 set phase1name "DC-Ph1-1"
\n\u2003\u2003 set proposal aes128-sha1
\n\u2003\u2003 set dhgrp 2
\n\u2003 next
\n\u2003 edit "DC2-Ph2-2"
\n\u2003\u2003 set phase1name "DC-Ph1-2"
\n\u2003\u2003 set proposal aes128-sha1
\n\u2003\u2003 set dhgrp 2
\n\u2003 next
\nend<\/p>\n

config router static
\n\u2003edit 1
\n\u2003\u2003set gateway 2.2.2.2
\n\u2003\u2003et device "WAN1"
\n\u2003next
\n\u2003edit 3
\n\u2003\u2003set gateway 4.4.4.2
\n\u2003\u2003set device "WAN2"
\n\u2003next
\nend<\/p>\n

config router bgp
\n\u2003 set as 65003
\n\u2003 set router-id 10.200.7.1
\n\u2003 set ebgp-multipath enable
\n\u2003 config neighbor
\n\u2003\u2003 edit "192.168.254.1"
\n\u2003\u2003\u2003 set remote-as 65002
\n\u2003\u2003 next
\n\u2003\u2003edit "192.168.254.3"
\n\u2003\u2003\u2003set remote-as 65002
\n\u2003\u2003 next
\n\u2003 end<\/p>\n

\u2003 config network
\n\u2003\u2003 edit 1
\n\u2003\u2003\u2003 set prefix 10.200.0.0 255.255.0.0
\n\u2003 \u2003next
\n end <\/p>\n

<\/code><\/p>\n

Predstavljam konfiguracijo v besedilni obliki, ker menim, da je tako nastavitev VPN bolj priro\u010dna. Skoraj vse nastavitve na obeh straneh so enake, v besedilni obliki jih je mogo\u010de preprosto kopirati in prilepiti. \u010ce bi to po\u010deli v spletni vmesnik, bi lahko zlahka naredili napako - pozabili ozna\u010diti katero kljukico ali vnesli napa\u010dno vrednost. <\/p>\n

Ko dodamo vmesnike v pasovno \u0161irino<\/p>\n

\"Raz\u010dlemba
\n
\nvse poti in varnostne politike se lahko sklicujejo nanjo, namesto na vmesnike, ki so vanjo vklju\u010deni. Vsaj treba je omogo\u010diti promet iz notranjih omre\u017eij v SD-WAN. Pri ustvarjanju pravil zanje lahko uporabimo za\u0161\u010ditne mehanizme, kot so IPS, protivirusni program in razkritje HTTPS.<\/p>\n

\"Raz\u010dlemba
\n
\nZa pasovno \u0161irino se nastavijo pravila SD-WAN. To so pravila, ki dolo\u010dajo algoritem uravnote\u017eenja za dolo\u010den promet. So podobna politikam usmerjanja v temeljnem usmerjanju, vendar namesto next-hop ali obi\u010dajnega izhodnega vmesnika dolo\u010da vmesnike, dodane v SD-WAN pasovno \u0161irino ter algoritem uravnote\u017eenja prometa med temi vmesniki. <\/p>\n

Promet je mogo\u010de lo\u010diti iz skupnega toka glede na informacije L3-L4, prepoznane aplikacije, spletne storitve (URL in IP), kot tudi na podlagi prepoznanih uporabnikov delovnih postaj in prenosnih ra\u010dunalnikov. Po tem je mogo\u010de dodeliti enega od naslednjih algoritmov uravnote\u017eenja za lo\u010den promet:<\/p>\n

\"Raz\u010dlemba
\n
\nNa seznamu Preferenc Interfesa izbiramo tiste vmesnike, ki so \u017ee dodani v paket in bodo upravljali s tovrstnim prometom. Z dodajanjem vseh vmesnikov lahko omejite, po katerih kanalih gre na primer elektronska po\u0161ta, \u010de ne \u017eelite obremenjevati dragih kanalov z visokim SLA. V FortiOS 6.4.1 je bila uvedena mo\u017enost zdru\u017eevanja vmesnikov, dodanih v SD-WAN paket, v cone, kar vam omogo\u010da, na primer, ustvariti eno cono za povezovanje z oddaljenimi lokacijami in drugo za lokalni dostop do interneta z uporabo NAT. Da, promet, ki gre v navaden internet, se prav tako lahko uravnava.<\/p>\n

O algoritmih uravnavanja
\n<\/h3>\n

\nGlede na to, kako Fortigate ( po\u017earni zid podjetja Fortinet) razporeja promet med kanali, obstajajo dve zanimivi mo\u017enosti, ki nista zelo pogosti na trgu:<\/p>\n

Najni\u017eji stro\u0161ek (SLA)<\/b> \u2013 iz vseh vmesnikov, ki trenutno ustrezajo SLA, se izbere tisti z najni\u017ejo te\u017eo (cost), ki jo je administrator ro\u010dno dolo\u010dil; ta na\u010din je primeren za \"obse\u017enej\u0161i\" promet, kot so varnostne kopije in prenos datotek. <\/p>\n

Najbolj\u0161a kakovost (SLA)<\/b> \u2013 ta algoritem, poleg obi\u010dajnih zamud, jitterja in izgube paketov, lahko za oceno kakovosti kanalov uporablja tudi trenutno obremenitev kanala; ta na\u010din je primeren za \"ob\u010dutljiv\" promet, kot je IP telefonija (VoIP) in videokonference.<\/p>\n

Za te algoritme je potrebna nastavitev merilnika uspe\u0161nosti komunikacijskega kanala \u2013 Performance SLA. Ta merilnik periodi\u010dno (check interval) spremlja informacije o spo\u0161tovanju SLA: izgube paketov (packet loss), zamudi (latency) in jitterju (jitter) v komunikacijskem kanalu, ter lahko \"izlo\u010di\" tiste kanale, ki trenutno ne ustrezajo mejnih vrednostim kakovosti \u2013 izgubljajo preve\u010d paketov ali imajo preveliko zamudo. Poleg tega merilnik spremlja status kanala in ga lahko za\u010dasno odstrani iz paketa v primeru ponavljajo\u010de se izgube odgovorov (failures before inactive). Ob ponovni vzpostavitvi, po ve\u010d zaporednih prej dam odgovorih (restore link after), merilnik samodejno vrne kanal v paket in preko njega se za\u010dnejo ponovno prena\u0161ati podatki.<\/p>\n

Tako izgleda nastavitev \"merilnika\": <\/p>\n

\"Raz\u010dlemba
\n
\nV spletnem vmesniku so na voljo protokoli ICMP-Echo-request, HTTP-GET in DNS request za teste. V ukazni vrstici je nekoliko ve\u010d mo\u017enosti: na voljo so TCP-echo in UDP-echo ter specializirani protokol za merjenje kakovosti \u2014 TWAMP.<\/p>\n

\"Raz\u010dlemba
\n
\nRezultate meritev lahko vidite tudi v spletnem vmesniku: <\/p>\n

\"Raz\u010dlemba
\n
\nIn v ukazni vrstici: <\/p>\n

\"Raz\u010dlemba
\n<\/p>\n

Odpravljanje te\u017eav<\/h3>\n

\n\u010ce ste ustvarili pravilo, vendar vse ne deluje kot pri\u010dakovano, preverite vrednost Hit Count na seznamu SD-WAN pravil. Ta bo pokazal, ali se promet sploh ujema s tem pravilom:<\/p>\n

\"Raz\u010dlemba
\n
\nNa strani nastavitve merilnika si lahko ogledate spremembe parametrov kanala skozi \u010das. Prelomna vrednost parametra je ozna\u010dena z narisano \u010drto.<\/p>\n

\"Raz\u010dlemba
\n
\nV spletnem vmesniku lahko spremljate, kako se promet porazdeli glede na koli\u010dino prenesenih\/prejetih podatkov in \u0161tevilo sej:<\/p>\n

\"Raz\u010dlemba
\n
\nPoleg tega imate odli\u010dno prilo\u017enost za sledenje paketu z najve\u010djo podrobnostjo. Pri delu v resni\u010dnem omre\u017eju se v konfiguraciji naprave nabere veliko politik usmerjanja, po\u017earnega zidu in porazdelitve prometa po SD-WAN pristani\u0161\u010dih. Vse to se med seboj zapleteno povezuje, in \u010deprav proizvajalec prina\u0161a podrobne blok-diagrame algoritmov obdelave paketov, je zelo pomembno imeti mo\u017enost, da se ne ukvarjamo z gradnjo in preverjanjem teorij, temve\u010d da pogledamo, kam dejansko gre promet.<\/p>\n

Na primer, naslednji niz ukazov<\/p>\n

diagnosticirati filtriranje razreza saddr 10.200.64.15
\ndiagnosticirati filtriranje razreza daddr 10.1.7.2
\ndiagnosticirati prikaz funkcije s nazivom
\ndiagnosticirati omogu\u0107avanje debugiranja
\ndiagnosticirati pra\u0107enje 2<\/code><\/p>\n

Bodo omogo\u010dili sledenje dvema paketoma s prvotnim naslovom 10.200.64.15 in naslovom prejemnika 10.1.7.2.
\nPingamo 10.7.1.2 z 10.200.64.15 dvakrat in spremljamo izhod na konzoli.<\/p>\n

Prvi paket:<\/p>\n

\"Raz\u010dlemba
\n
\nDrugi paket:<\/p>\n

\"Raz\u010dlemba
\n
\nTukaj je prvi paket, ki ga je prejel po\u017earni zid:
\nid=20085 trace_id=475 func=print_pkt_detail line=5605 msg="vd-Internet:0 received a packet(proto=1, 10.200.64.15:42->10.1.7.2:2048) from DMZ-Office. type=8, code=0, id=42, seq=0."
\nVDOM \u2013 Internet, Proto=1 (ICMP), DMZ-Office \u2013 ime L3 vmesnika. <\/b>Tip=8 \u2013 Echo.<\/code><\/p>\n

Za njega je bila ustvarjena nova seja:
\nmsg="allocate a new session-0006a627"<\/code><\/p>\n

In odkrilo se je, da obstaja ujemanje v nastavitvah politik usmerjanja.
\nmsg="Match policy routing id=2136539137: to 10.1.7.2 via ifindex-110"<\/code><\/p>\n

Ugotovi se, da je paket treba poslati v enega od VPN tunelov:
\n"find a route: flag=04000000 gw-192.168.254.1 via DC-Ph1-1"<\/code><\/p>\n

V politikah po\u017earnega zidu je odkrito dovoljevalno pravilo:
\nmsg="Allowed by Policy-3:"<\/code><\/p>\n

Paket se \u0161ifrira in po\u0161lje v VPN tunel:
\nfunc=ipsecdev_hard_start_xmit line=789 msg="enter IPsec interface-DC-Ph1-1"
\nfunc=_ipsecdev_hard_start_xmit line=666 msg="IPsec tunnel-DC-Ph1-1"
\nfunc=esp_output4 line=905 msg="IPsec encrypt\/auth"<\/code><\/p>\n

\u0160ifrirani paket se po\u0161lje na naslov prehoda za to WAN vmesnik:
\nmsg="send to 2.2.2.2 via intf-WAN1"<\/code><\/p>\n

Za drugi paket se vse odvija podobno, vendar se po\u0161lje v drug VPN tunel in gre skozi drugo steno po\u017earnega zidu:
\nfunc=ipsecdev_hard_start_xmit line=789 msg="enter IPsec interface-DC-Ph1-2"
\nfunc=_ipsecdev_hard_start_xmit line=666 msg="IPsec tunnel-DC-Ph1-2"
\nfunc=esp_output4 line=905 msg="IPsec encrypt\/auth"
\nfunc=ipsec_output_finish line=622 msg="send to 4.4.4.2 via intf-WAN2"<\/code><\/p>\n

Prednosti re\u0161itve
\n<\/h3>\n

\nZanesljiva funkcionalnost in prijazen vmesnik. <\/b>Funkcije, koje su postojale u FortiOS-u pre SD-WAN-a, su potpuno o\u010duvane. To zna\u010di da imamo zreo sistem od proverenog dobavlja\u010da vatrozida, a ne ponovno razvijen softver. Tradicionalni skup mre\u017enih funkcija, sa jednostavnim i lakim za kori\u0161\u0107enje web-interfejsom. Ima li mnogo dobavlja\u010da SD-WAN-a koji nude funkcionalnost Remote-Access VPN na svojim krajnjim ure\u0111ajima?<\/p>\n

Sigurnost 80. nivoa. <\/b>FortiGate je me\u0111u najboljim re\u0161enjima za vatrozide. Na internetu postoji mno\u0161tvo materijala o pode\u0161avanju i administraciji vatrozida, a na tr\u017ei\u0161tu rada ima dovoljno stru\u010dnjaka za bezbednost koji su ve\u0107 ovladali re\u0161enjima ovog dobavlja\u010da.<\/p>\n

Nula cena za SD-WAN funkcionalnost. <\/b>Izgradnja SD-WAN mre\u017ee na FortiGate-u ko\u0161ta isto koliko i izgradnja obi\u010dne WAN mre\u017ee, jer nisu potrebne dodatne licence za implementaciju SD-WAN funkcionalnosti. <\/p>\n

Nizak ulazni prag po ceni. <\/b>Fortigate ima dobru gradaciju ure\u0111aja za razli\u010dite performanse. Najmanji i najjeftiniji modeli su sasvim dovoljni za pokretanje kancelarije ili prodajnog mesta, recimo, za 3-5 zaposlenih. Mnogi dobavlja\u010di nemaju takve male i pristupa\u010dne modele. <\/p>\n

Visoke performanse. <\/b>Smanjenje SD-WAN funkcionalnosti na balansiranje saobra\u0107aja omogu\u0107ilo je kompaniji da uspe\u0161no razvije specijalizovani SD-WAN ASIC, zahvaljuju\u0107i kojem rad SD-WAN-a ne smanjuje performanse vatrozida u celini. <\/p>\n

Mogu\u0107nost izgradnje \u010ditave kancelarije na Fortinet opremi. <\/b>To su dva vatrozida, prekida\u010di, Wi-Fi ta\u010dke pristupa. Ovakvom kancelarijom se lako i udobno upravlja \u2013 prekida\u010di i ta\u010dke pristupa se registruju na vatrozidu i upravljaju se s njih. Ovako bi, na primer, mogao izgledati port prekida\u010da na interfejsu vatrozida kojim se taj prekida\u010d upravlja:<\/p>\n

\"Raz\u010dlemba
\n
\nNema kontrolera kao jedne ta\u010dke gre\u0161ke. <\/b>Na to se fokusira sam dobavlja\u010d, ali to se mo\u017ee nazvati predno\u0161\u0107u samo delimi\u010dno, jer za one dobavlja\u010de koji imaju kontrolere, obezbe\u0111enje njihove otpornosti na gre\u0161ke ko\u0161ta malo, naj\u010de\u0161\u0107e u ceni malog broja ra\u010dunarstva u virtuelnom okru\u017eenju.<\/p>\n

Na \u0161ta obratiti pa\u017enju
\n<\/h3>\n

\nNema odvajanja Control Plane-a i Data Plane-a<\/b>To zna\u010di, da je mre\u017eo treba nastavitev bodisi ro\u010dno bodisi z uporabo \u017ee obstoje\u010dih tradicionalnih orodij za upravljanje \u2014 FortiManager. Pri dobaviteljih, kjer je ta razdelitev uresni\u010dena, se mre\u017ea samodejno sestavi. Administratorju je morda potrebno le prilagoditi njeno topologijo, kaj nekje prepovedati, ni\u010d ve\u010d od tega. Vendar pa je prednost FortiManagerja v tem, da zna upravljati ne le po\u017earne zidove, temve\u010d tudi stikala in dostopne to\u010dke Wi-Fi, kar pomeni prakti\u010dno celotno omre\u017eje. <\/p>\n

Pogojna rast upravljivosti. <\/b>Zaradi tega, ker se za avtomatizacijo nastavitev omre\u017eja uporabljajo tradicionalna orodja, se upravljivost omre\u017eja z uvedbo SD-WAN pove\u010duje le malo. Po drugi strani pa postane nova funkcionalnost dostopna hitreje, saj dobavitelj najprej izdaja le za operacijski sistem po\u017earnih zidov (kar takoj omogo\u010da njihovo uporabo), nato pa nato dopolnjuje potrebno s sistemi upravljanja.<\/p>\n

Del funkcionalnosti je lahko dostopen iz ukazne vrstice, vendar ni dostopen iz spletnega vmesnika. <\/b>Ni tako stra\u0161ljivo ob\u010dasno vstopiti v ukazno vrstico za nekaj nastavitev, kot pa ne videti v spletnem vmesniku, da je nekaj \u017ee nastavljeno iz ukazne vrstice. Toda to obi\u010dajno zadeva najnovej\u0161e funkcije in postopoma, z nadgradnjami FortiOS, se zmo\u017enosti spletnega vmesnika pripeljejo na ustrezno raven.<\/p>\n

Komu je to primerno<\/h3>\n

\nTistim, ki nimajo preve\u010d podru\u017enic.<\/b> Uvedba re\u0161itve SD-WAN s kompleksnimi centralnimi komponentami v omre\u017eju s 8-10 podru\u017enicami morda ni smiselna \u2013 treba bo porabiti denar za licence za SD-WAN naprave in vire virtualizacijskega sistema za namestitev centralnih komponent. Proste ra\u010dunalni\u0161ke zmogljivosti majhne podjetja so obi\u010dajno na meji. V primeru Fortinet je dovolj, da preprosto kupite po\u017earne zidove. <\/p>\n

Tistim, ki imajo zelo veliko majhnih podru\u017enic. <\/b>Pri mnogih dobaviteljih je minimalna cena re\u0161itve na podru\u017enico precej visoka in se lahko izka\u017ee za poslovno neprakti\u010dno za kon\u010dnega naro\u010dnika. Fortinet ponuja majhne naprave po zelo privla\u010dni ceni. <\/p>\n

Tistim, ki zaenkrat niso pripravljeni narediti prevelikega koraka. <\/b>Implementacija SD-WAN-a s kontrolerima, proprietarnim usmjeravanjem, novim pristupom planiranju i upravljanju mre\u017eom mo\u017ee se pokazati kao prevelik korak za neke klijente. Da, takva implementacija na kraju \u0107e pomo\u0107i u optimizaciji kori\u0161tenja komunikacijskih kanala i rada administratora, ali najprije \u0107e biti potrebno nau\u010diti mnogo novih stvari. Onima koji jo\u0161 nisu spremni na promjenu paradigme, ali \u017eele izvu\u0107i maksimum iz svojih komunikacijskih kanala, rje\u0161enje Fortineta bit \u0107e idealno.
\n
Izvor: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0421\u0443\u0434\u044f \u043f\u043e \u0447\u0438\u0441\u043b\u0443 \u0432\u043e\u043f\u0440\u043e\u0441\u043e\u0432, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043d\u0430\u043c \u0441\u0442\u0430\u043b\u0438 \u043f\u0440\u0438\u043b\u0435\u0442\u0430\u0442\u044c \u043f\u043e SD-WAN, \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u044f \u043d\u0430\u0447\u0430\u043b\u0430 \u043e\u0441\u043d\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u043e \u043f\u0440\u0438\u0436\u0438\u0432\u0430\u0442\u044c\u0441\u044f \u0432 \u0420\u043e\u0441\u0441\u0438\u0438. \u0412\u0435\u043d\u0434\u043e\u0440\u044b, \u0435\u0441\u0442\u0435\u0441\u0442\u0432\u0435\u043d\u043d\u043e, \u043d\u0435 \u0434\u0440\u0435\u043c\u043b\u044e\u0442 \u0438 \u043f\u0440\u0435\u0434\u043b\u0430\u0433\u0430\u044e\u0442 \u0441\u0432\u043e\u0438 \u043a\u043e\u043d\u0446\u0435\u043f\u0446\u0438\u0438, \u0430 \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0441\u043c\u0435\u043b\u044c\u0447\u0430\u043a\u0438 \u043f\u0435\u0440\u0432\u043e\u043f\u0440\u043e\u0445\u043e\u0434\u0446\u044b \u0443\u0436\u0435 \u0432\u043d\u0435\u0434\u0440\u044f\u044e\u0442 \u0438\u0445 \u0443 \u0441\u0435\u0431\u044f \u043d\u0430 \u0441\u0435\u0442\u0438. \u041c\u044b \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u043c \u043f\u043e\u0447\u0442\u0438 \u0441\u043e \u0432\u0441\u0435\u043c\u0438 \u0432\u0435\u043d\u0434\u043e\u0440\u0430\u043c\u0438, \u0438 \u0437\u0430 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u043b\u0435\u0442 \u0432 \u043d\u0430\u0448\u0435\u0439 \u043b\u0430\u0431\u043e\u0440\u0430\u0442\u043e\u0440\u0438\u0438 \u044f \u0443\u0441\u043f\u0435\u043b \u043f\u043e\u043a\u043e\u043f\u0430\u0442\u044c\u0441\u044f \u0432 \u0430\u0440\u0445\u0438\u0442\u0435\u043a\u0442\u0443\u0440\u0435 \u043a\u0430\u0436\u0434\u043e\u0433\u043e \u043a\u0440\u0443\u043f\u043d\u043e\u0433\u043e […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":95433,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-95432","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Analiza najdemokratskijeg od SD-WAN: arhitektura, konfiguracija, administracija i podvodne zamke | ProHoster","description":"Sude\u0107i po broju pitanja koja su nam po\u010dela stizati vezano uz SD-WAN, ova tehnologija je po\u010dela postojano dobivati popularnost u Rusiji.","canonical_url":"https:\/\/prohoster.info\/sl\/blog\/administrirovanie\/razbor-samogo-demokratichnogo-iz-sd-wan-arhitektura-nastrojka-administrirovanie-i-podvodnye-kamni","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"sl_SI","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0420\u0430\u0437\u0431\u043e\u0440 \u0441\u0430\u043c\u043e\u0433\u043e \u0434\u0435\u043c\u043e\u043a\u0440\u0430\u0442\u0438\u0447\u043d\u043e\u0433\u043e \u0438\u0437 SD-WAN: \u0430\u0440\u0445\u0438\u0442\u0435\u043a\u0442\u0443\u0440\u0430, \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0430, \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0438 \u043f\u043e\u0434\u0432\u043e\u0434\u043d\u044b\u0435 \u043a\u0430\u043c\u043d\u0438 | ProHoster","og:description":"\u0421\u0443\u0434\u044f \u043f\u043e \u0447\u0438\u0441\u043b\u0443 \u0432\u043e\u043f\u0440\u043e\u0441\u043e\u0432, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043d\u0430\u043c \u0441\u0442\u0430\u043b\u0438 \u043f\u0440\u0438\u043b\u0435\u0442\u0430\u0442\u044c \u043f\u043e SD-WAN, \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u044f \u043d\u0430\u0447\u0430\u043b\u0430 \u043e\u0441\u043d\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u043e \u043f\u0440\u0438\u0436\u0438\u0432\u0430\u0442\u044c\u0441\u044f \u0432 \u0420\u043e\u0441\u0441\u0438\u0438.","og:url":"https:\/\/prohoster.info\/sl\/blog\/administrirovanie\/razbor-samogo-demokratichnogo-iz-sd-wan-arhitektura-nastrojka-administrirovanie-i-podvodnye-kamni","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-09-29T05:42:38+00:00","article:modified_time":"2020-09-29T05:42:38+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"95432","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 11:05:30","updated":"2026-02-04 14:42:07","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/posts\/95432","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/comments?post=95432"}],"version-history":[{"count":1,"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/posts\/95432\/revisions"}],"predecessor-version":[{"id":156763,"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/posts\/95432\/revisions\/156763"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/media\/95433"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/media?parent=95432"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/categories?post=95432"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/tags?post=95432"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}