🥇Analisis SD-WAN anu paling demokratis: arsitéktur, konfigurasi, administrasi sareng pitfalls

Ditilik ku jumlah patarosan anu mimiti dugi ka kami via SD-WAN, téknologi parantos mimiti akar di Rusia. Ngical paralatan, sacara alami, henteu bobo sareng nawiskeun konsépna, sareng sababaraha panaratas anu gagah parantos ngalaksanakeunana dina jaringanna.

Kami damel sareng ampir sadayana padagang, sareng salami sababaraha taun di laboratorium kami, kuring tiasa ngaleuleuskeun arsitektur unggal pamekar utama solusi anu didefinisikeun ku parangkat lunak. SD-WAN ti Fortinet nangtung sakedik di dieu, anu ngan saukur ngawangun fungsionalitas nyaimbangkeun lalu lintas antara saluran komunikasi kana parangkat lunak firewall. Solusina rada demokratis, ku kituna biasana dianggap ku perusahaan anu henteu acan siap pikeun parobihan global, tapi hoyong nganggo saluran komunikasina langkung efektif.

Dina artikel ieu abdi hoyong ngabejaan ka maneh kumaha ngonpigurasikeun sarta gawé bareng SD-WAN ti Fortinet, saha solusi ieu cocog pikeun jeung naon pitfalls anjeun bisa sapatemon dieu.

Pamaén anu pang menonjol dina pasar SD-WAN tiasa digolongkeun kana salah sahiji tina dua jinis:

1. Startups nu geus dijieun solusi SD-WAN ti scratch. Anu paling suksés tina ieu nampi dorongan anu ageung pikeun pangwangunan saatos dibeli ku perusahaan ageung - ieu mangrupikeun carita Cisco / Viptela, VMWare / VeloCloud, Nuage / Nokia.

2. padagang jaringan badag anu geus dijieun solusi SD-WAN, ngamekarkeun programmability na manageability routers tradisional maranéhanana - ieu carita Juniper, Huawei.

Fortinet junun mendakan jalanna. Parangkat lunak firewall ngagaduhan pungsionalitas anu diwangun anu ngamungkinkeun pikeun ngagabungkeun antarmukana kana saluran virtual sareng nyaimbangkeun beban antara aranjeunna nganggo algoritma kompleks dibandingkeun sareng rute konvensional. Fungsi ieu disebut SD-WAN. Naha Fortinet tiasa disebat SD-WAN? Pasar laun-laun ngartos yén Software-Defined hartosna pamisahan Control Plane tina Data Plane, pengontrol khusus, sareng orkestra. Fortinet boga nanaon kawas éta. Manajemén terpusat nyaéta pilihan sareng ditawarkeun ngaliwatan alat Fortimanager tradisional. Tapi dina pamanggih kuring, anjeun teu kudu néangan bebeneran abstrak jeung runtah waktu arguing ngeunaan istilah. Dina dunya nyata, unggal pendekatan boga kaunggulan jeung kalemahan. Cara anu pangsaéna nyaéta ngartos aranjeunna sareng tiasa milih solusi anu cocog sareng tugas.

Kuring bakal nyobian ngabejaan Anjeun sareng Potret layar dina leungeun naon SD-WAN ti Fortinet Sigana na naon eta tiasa ngalakukeun.

Kumaha eta sadayana jalan

Hayu urang nganggap anjeun gaduh dua cabang disambungkeun ku dua saluran data. Tumbu data ieu digabungkeun kana grup, sarupa kumaha interfaces Ethernet biasa digabungkeun kana LACP-Port-Channel. Jaman baheula bakal émut PPP Multilink - ogé analogi anu cocog. Saluran tiasa janten palabuhan fisik, VLAN SVI, ogé torowongan VPN atanapi GRE.

VPN atanapi GRE biasana dianggo nalika nyambungkeun jaringan lokal cabang dina Internét. Jeung palabuhan fisik - lamun aya sambungan L2 antara situs, atawa nalika nyambungkeun ngaliwatan MPLS dedicated / VPN, lamun urang wareg jeung sambungan tanpa Overlay na enkripsi. Skenario anu sanés dimana palabuhan fisik dianggo dina grup SD-WAN nyaéta kasaimbangan aksés lokal pangguna ka Internét.

Di stand kami aya opat firewall sareng dua torowongan VPN anu beroperasi ngaliwatan dua "operator komunikasi". diagram kasampak kawas kieu:

torowongan VPN ngonpigurasi dina modeu panganteur ambéh maranéhanana sarupa jeung titik-ka-titik sambungan antara alat jeung alamat IP dina interfaces P2P, nu bisa pinged pikeun mastikeun yén komunikasi ngaliwatan torowongan tinangtu jalan. Supados lalu lintas énkripsi sareng angkat ka sisi sabalikna, cukup pikeun ngalihkeun kana torowongan. Alternatifna nyaéta milih lalu lintas pikeun énkripsi nganggo daptar subnet, anu matak ngabingungkeun administrator nalika konfigurasina janten langkung kompleks. Dina jaringan anu ageung, anjeun tiasa nganggo téknologi ADVPN pikeun ngawangun VPN; ieu mangrupikeun analog DMVPN ti Cisco atanapi DVPN ti Huawei, anu ngamungkinkeun parangkat gampang.

Situs-to-Situs VPN config pikeun dua alat jeung BGP routing dina dua sisi


«ЦОД» (DC)

«Филиал» (BRN)
config system interface

 edit "WAN1"

  set vdom "Internet"

  set ip 1.1.1.1 255.255.255.252

  set allowaccess ping

  set role wan

  set interface "DC-BRD"

  set vlanid 111

 next 

 edit "WAN2"

  set vdom "Internet"

  set ip 3.3.3.1 255.255.255.252

  set allowaccess ping

  set role lan

  set interface "DC-BRD"

  set vlanid 112

 next

 edit "BRN-Ph1-1"

  set vdom "Internet"

  set ip 192.168.254.1 255.255.255.255

  set allowaccess ping

  set type tunnel

  set remote-ip 192.168.254.2 255.255.255.255

  set interface "WAN1"

 next

 edit "BRN-Ph1-2"

  set vdom "Internet"

  set ip 192.168.254.3 255.255.255.255

  set allowaccess ping

  set type tunnel

  set remote-ip 192.168.254.4 255.255.255.255

  set interface "WAN2"

 next

end
config vpn ipsec phase1-interface

 edit "BRN-Ph1-1"

  set interface "WAN1"

  set local-gw 1.1.1.1

  set peertype any

  set net-device disable

  set proposal aes128-sha1

  set dhgrp 2

  set remote-gw 2.2.2.1

  set psksecret ***

 next

 edit "BRN-Ph1-2"

  set interface "WAN2"

  set local-gw 3.3.3.1

  set peertype any

  set net-device disable

  set proposal aes128-sha1

  set dhgrp 2

  set remote-gw 4.4.4.1

  set psksecret ***

 next

end
config vpn ipsec phase2-interface

 edit "BRN-Ph2-1"

  set phase1name "BRN-Ph1-1"

  set proposal aes256-sha256

  set dhgrp 2

 next

 edit "BRN-Ph2-2"

  set phase1name "BRN-Ph1-2"

  set proposal aes256-sha256

  set dhgrp 2

 next

end
config router static

 edit 1

  set gateway 1.1.1.2

  set device "WAN1"

 next

 edit 3

  set gateway 3.3.3.2

  set device "WAN2"

 next

end
config router bgp

 set as 65002

 set router-id 10.1.7.1

 set ebgp-multipath enable

 config neighbor

  edit "192.168.254.2"

   set remote-as 65003

  next

  edit "192.168.254.4"

   set remote-as 65003

  next

 end
 config network

  edit 1

   set prefix 10.1.0.0 255.255.0.0

  next

end 
config system interface

 edit "WAN1"

  set vdom "Internet"

  set ip 2.2.2.1 255.255.255.252

  set allowaccess ping

  set role wan

  set interface "BRN-BRD"

  set vlanid 111

 next

 edit "WAN2"

  set vdom "Internet"

  set ip 4.4.4.1 255.255.255.252

  set allowaccess ping

  set role wan

  set interface "BRN-BRD"

  set vlanid 114

 next

 edit "DC-Ph1-1"

  set vdom "Internet"

  set ip 192.168.254.2 255.255.255.255

  set allowaccess ping

  set type tunnel

  set remote-ip 192.168.254.1 255.255.255.255

  set interface "WAN1"

 next

 edit "DC-Ph1-2"

  set vdom "Internet"

  set ip 192.168.254.4 255.255.255.255

  set allowaccess ping

  set type tunnel

  set remote-ip 192.168.254.3 255.255.255.255

  set interface "WAN2"

 next

end
config vpn ipsec phase1-interface

  edit "DC-Ph1-1"

   set interface "WAN1"

   set local-gw 2.2.2.1

   set peertype any

   set net-device disable

   set proposal aes128-sha1

   set dhgrp 2

   set remote-gw 1.1.1.1

   set psksecret ***

  next

  edit "DC-Ph1-2"

   set interface "WAN2"

   set local-gw 4.4.4.1

   set peertype any

   set net-device disable

   set proposal aes128-sha1

   set dhgrp 2

   set remote-gw 3.3.3.1

   set psksecret ***

  next

end
config vpn ipsec phase2-interface

  edit "DC-Ph2-1"

   set phase1name "DC-Ph1-1"

   set proposal aes128-sha1

   set dhgrp 2

  next

  edit "DC2-Ph2-2"

   set phase1name "DC-Ph1-2"

   set proposal aes128-sha1

   set dhgrp 2

  next

end
config router static

 edit 1

  set gateway 2.2.2.2

  et device "WAN1"

 next

 edit 3

  set gateway 4.4.4.2

  set device "WAN2"

 next

end
config router bgp

  set as 65003

  set router-id 10.200.7.1

  set ebgp-multipath enable

  config neighbor

   edit "192.168.254.1"

    set remote-as 65002

   next

  edit "192.168.254.3"

   set remote-as 65002

   next

  end
  config network

   edit 1

    set prefix 10.200.0.0 255.255.0.0

   next

end

Kuring nyadiakeun config dina formulir téks, sabab, dina pamanggih kuring, éta leuwih merenah pikeun ngonpigurasikeun VPN ku cara ieu. Ampir sadaya setélan sami dina dua sisi; dina bentuk téks tiasa didamel salaku salinan-témpél. Upami anjeun ngalakukeun hal anu sami dina antarmuka wéb, éta gampang ngalakukeun kasalahan - hilap tanda centang dimana waé, lebetkeun nilai anu salah.

Sanggeus kami ditambahkeun interfaces kana kebat

kabéh ruteu jeung kawijakan kaamanan bisa ningali ka dinya, sarta teu ka interfaces kaasup di dinya. Sahenteuna, anjeun kedah ngijinkeun lalu lintas tina jaringan internal ka SD-WAN. Nalika anjeun nyiptakeun aturan pikeun aranjeunna, anjeun tiasa nerapkeun ukuran pelindung sapertos IPS, antipirus sareng panyingkepan HTTPS.

Aturan SD-WAN dikonpigurasi pikeun bungkusan. Ieu aturan anu nangtukeun algoritma balancing pikeun lalulintas husus. Éta sami sareng kawijakan routing dina Routing Berbasis Kabijakan, ngan salaku hasil tina lalu lintas anu digolongkeun kana kawijakan éta, sanés hop salajengna atanapi antarmuka kaluar anu biasa dipasang, tapi antar muka ditambah kana bungkusan SD-WAN tambah. a algoritma balancing lalulintas antara interfaces ieu.

Lalu lintas tiasa dipisahkeun tina aliran umum ku inpormasi L3-L4, ku aplikasi anu diakui, jasa Internét (URL sareng IP), kitu ogé ku pangguna workstation sareng laptop anu diakui. Saatos ieu, salah sahiji algoritma pangimbangan di handap ieu tiasa ditugaskeun ka lalu lintas anu dialokasikeun:

Dina daptar Preference Interface, éta interfaces ti nu geus ditambahkeun kana kebat nu bakal ngawula ka jenis ieu lalulintas dipilih. Ku nambahkeun teu sakabeh interfaces, anjeun bisa ngawatesan persis saluran nu Anjeun pake, sebutkeun, email, lamun teu hayang beungbeurat saluran mahal jeung SLA tinggi jeung eta. Dina FortiOS 6.4.1, éta mungkin pikeun grup interfaces ditambahkeun kana kebat SD-WAN kana zona, nyieun, contona, hiji zona pikeun komunikasi sareng situs jauh, sarta séjén pikeun aksés Internet lokal maké NAT. Leres, enya, lalu lintas anu nuju ka Internét biasa ogé tiasa saimbang.

Ngeunaan algoritma balancing

Ngeunaan kumaha Fortigate (firewall ti Fortinet) tiasa ngabagi lalu lintas antara saluran, aya dua pilihan anu pikaresepeun anu henteu umum di pasar:

Biaya Panghandapna (SLA) - tina sadaya antarmuka anu nyugemakeun SLA ayeuna, dipilih hiji anu beuratna langkung handap (biaya), diatur sacara manual ku administrator; modeu ieu cocog pikeun lalulintas "bulk" kayaning cadangan tur mindahkeun file.

Kualitas Pangsaéna (SLA) - algoritma ieu, sajaba reureuh biasa, jitter sarta leungitna pakét Fortigate, ogé bisa ngagunakeun beban channel ayeuna ka assess kualitas saluran; Modeu ieu cocog pikeun lalu lintas sénsitip sapertos VoIP sareng konperénsi pidéo.

Algoritma ieu merlukeun nyetel méter kinerja saluran komunikasi - Performance SLA. Méter ieu sacara périodik (cek interval) ngawas inpormasi ngeunaan patuh SLA: leungitna pakét, latency sareng jitter dina saluran komunikasi, sareng tiasa "nolak" saluran anu ayeuna henteu nyumponan ambang kualitas - aranjeunna kaleungitan seueur pakét atanapi ngalaman teuing. loba latency. Salaku tambahan, méteran ngawaskeun status saluran, sareng samentawis tiasa ngahapus tina bungkusan upami réspon kaleungitan terus-terusan (gagal sateuacan teu aktip). Nalika dibalikeun, saatos sababaraha réspon padeukeut (balikkeun tautan saatos), méter bakal otomatis ngabalikeun saluran kana bungkusan, sareng data bakal mimiti dikirimkeun deui.

Ieu kumaha setelan "meter" katingalina:

Dina panganteur wéb, ICMP-Echo-request, HTTP-GET sareng pamundut DNS sayogi salaku protokol tés. Aya sababaraha pilihan langkung seueur dina garis paréntah: pilihan TCP-echo sareng UDP-echo sayogi, ogé protokol pangukuran kualitas khusus - TWAMP.

Hasil pangukuran ogé tiasa ditingali dina antarmuka wéb:

Sareng dina garis paréntah:

Pamérésan masalah

Lamun dijieun aturan, tapi sagalana teu dianggo saperti nu diharapkeun, anjeun kudu kasampak dina nilai Hit Count dina daptar Aturan SD-WAN. Éta bakal nunjukkeun naha lalulintas digolongkeun kana aturan ieu:

Dina kaca setelan méteran sorangan, anjeun tiasa ningali parobahan dina parameter channel kana waktu. Garis dotted nunjukkeun nilai bangbarung tina parameter

Dina panganteur wéb anjeun tiasa ningali kumaha lalu lintas disebarkeun ku jumlah data anu dikirimkeun/ditampi sareng jumlah sesi:

Salian sadayana ieu, aya kasempetan anu saé pikeun ngalacak petikan pakét kalayan detil maksimal. Nalika damel di jaringan nyata, konfigurasi alat ngumpulkeun seueur kawijakan routing, firewall, sareng distribusi lalu lintas di palabuhan SD-WAN. Sadaya ieu interaksi saling dina cara kompléks, sarta sanajan ngajual nyadiakeun diagram blok detil rupa algoritma processing pakét, éta pohara penting pikeun bisa teu ngawangun sarta nguji téori, tapi ningali dimana lalulintas sabenerna mana.

Contona, set handap paréntah

diagnose debug flow filter saddr 10.200.64.15 diagnose debug flow filter daddr 10.1.7.2 diagnose debug flow show function-name diagnose debug enable diagnose debug trace 2

Ngidinan anjeun ngalacak dua pakét sareng alamat sumber 10.200.64.15 sareng alamat tujuan 10.1.7.2.
Urang ping 10.7.1.2 ti 10.200.64.15 dua kali tur tingal kaluaran dina konsol nu.

Paket kahiji:

Paket kadua:

Ieu pakét munggaran anu ditampi ku firewall:
id=20085 trace_id=475 func=print_pkt_detail line=5605 msg="vd-Internet:0 received a packet(proto=1, 10.200.64.15:42->10.1.7.2:2048) from DMZ-Office. type=8, code=0, id=42, seq=0." VDOM – Internet, Proto=1 (ICMP), DMZ-Office – название L3-интерфейса. Type=8 – Echo.

Sesi anyar parantos didamel pikeun anjeunna:
msg="allocate a new session-0006a627"

Jeung cocok kapanggih dina setélan kawijakan routing
msg="Match policy routing id=2136539137: to 10.1.7.2 via ifindex-110"

Tétéla yén pakét kedah dikirim ka salah sahiji torowongan VPN:
"find a route: flag=04000000 gw-192.168.254.1 via DC-Ph1-1"

Aturan anu ngamungkinkeun di handap ieu dideteksi dina kawijakan firewall:
msg="Allowed by Policy-3:"

Pakét énkripsi sareng dikirim ka torowongan VPN:
func=ipsecdev_hard_start_xmit line=789 msg="enter IPsec interface-DC-Ph1-1" func=_ipsecdev_hard_start_xmit line=666 msg="IPsec tunnel-DC-Ph1-1" func=esp_output4 line=905 msg="IPsec encrypt/auth"

Paket énkripsi dikirim ka alamat gateway pikeun panganteur WAN ieu:
msg="send to 2.2.2.2 via intf-WAN1"

Pikeun pakét kadua, sadayana kajantenan sami, tapi dikirim ka torowongan VPN anu sanés sareng ngalangkungan port firewall anu béda:
func=ipsecdev_hard_start_xmit line=789 msg="enter IPsec interface-DC-Ph1-2" func=_ipsecdev_hard_start_xmit line=666 msg="IPsec tunnel-DC-Ph1-2" func=esp_output4 line=905 msg="IPsec encrypt/auth" func=ipsec_output_finish line=622 msg="send to 4.4.4.2 via intf-WAN2"

Pro tina solusi

fungsionalitas dipercaya jeung panganteur ramah-pamaké. Set fitur anu sayogi di FortiOS sateuacan munculna SD-WAN parantos dilestarikan. Hartina, urang teu boga software anyar dimekarkeun, tapi sistem dewasa ti ngajual firewall kabuktian. Kalayan sakumpulan fungsi jaringan tradisional, antarmuka wéb anu gampang sareng gampang diajar. Sabaraha padagang SD-WAN gaduh, sebutkeun, fungsionalitas Remote-Access VPN dina alat tungtung?

Tingkat kaamanan 80. FortiGate mangrupakeun salah sahiji solusi firewall luhur. Aya seueur bahan dina Internét ngeunaan nyetél sareng ngatur firewall, sareng di pasar tenaga kerja aya seueur spesialis kaamanan anu parantos ngawasa solusi anu ngajual.

Harga nol pikeun fungsionalitas SD-WAN. Ngawangun jaringan SD-WAN dina FortiGate hargana sami sareng ngawangun jaringan WAN biasa, sabab henteu aya lisénsi tambahan anu diperyogikeun pikeun ngalaksanakeun fungsionalitas SD-WAN.

harga panghalang Éntri low. Fortigate gaduh gradasi alat anu saé pikeun tingkat kinerja anu béda. Modél bungsu sareng paling murah cocog pikeun ngalegaan kantor atanapi tempat penjualan ku, sebutkeun, 3-5 karyawan. Seueur anu ngical paralatan teu gaduh model berprestasi rendah sareng hargana.

kinerja luhur. Ngurangan pungsionalitas SD-WAN pikeun balancing lalulintas ngamungkinkeun perusahaan pikeun ngaleupaskeun SD-WAN ASIC khusus, hatur nuhun kana operasi SD-WAN henteu ngirangan kinerja firewall sacara gembleng.

Kamampuhan pikeun nerapkeun sadayana kantor dina alat Fortinet. Ieu sapasang firewall, saklar, titik aksés Wi-Fi. Kantor sapertos kitu gampang sareng gampang diurus - saklar sareng titik aksés kadaptar dina firewall sareng diurus ti aranjeunna. Contona, ieu téh naon port switch bisa kasampak kawas ti panganteur firewall nu ngatur switch ieu:

Kurangna controller salaku titik tunggal gagal. Nu ngajual sorangan museurkeun kana ieu, tapi ieu ngan bisa disebut benefit sabagian, sabab pikeun maranéhanana ngical paralatan anu boga Controllers, mastikeun kasabaran lepat maranéhanana nyaéta murah, paling sering dina harga jumlah leutik sumberdaya komputasi dina lingkungan virtualization.

Naon anu kedah dipilarian

Henteu aya pamisahan antara Control Plane sareng Data Plane. Ieu ngandung harti yén jaringan kudu ngonpigurasi boh sacara manual atawa ngagunakeun parabot manajemén tradisional geus sadia - FortiManager. Pikeun padagang anu parantos ngalaksanakeun pamisahan sapertos kitu, jaringan éta dirakit sorangan. Administrator ngan ukur kedah nyaluyukeun topologina, ngalarang hal dimana waé, henteu langkung. Tapi, kartu trump FortiManager nyaéta yén éta henteu ngan ukur tiasa ngatur firewall, tapi ogé saklar sareng titik aksés Wi-Fi, nyaéta ampir sadayana jaringan.

Kanaékan kondisional dina kadali. Alatan kanyataan yén alat tradisional dipaké pikeun ngajadikeun otomatis konfigurasi jaringan, manageability jaringan jeung bubuka SD-WAN naek saeutik. Di sisi anu sanés, fungsionalitas énggal janten langkung gancang, sabab anu ngajual mimitina ngan ukur pikeun sistem operasi firewall (anu langsung ngamungkinkeun ngagunakeunana), sareng ngan ukur nambihan sistem manajemén kalayan antarmuka anu diperyogikeun.

Sababaraha pungsionalitas tiasa sayogi tina garis paréntah, tapi henteu sayogi tina antarmuka wéb. Kadang-kadang teu jadi pikasieuneun lebet kana garis paréntah pikeun ngonpigurasikeun hiji hal, tapi pikasieuneun teu ningali dina panganteur web nu batur geus ngonpigurasi hal ti garis paréntah. Tapi ieu biasana lumaku pikeun fitur pang anyarna sareng laun-laun, kalayan apdet FortiOS, kamampuan antarbeungeut wéb ningkat.

Saha anu bakal cocog

Pikeun anu henteu seueur cabangna. Ngalaksanakeun solusi SD-WAN sareng komponén sentral anu kompleks dina jaringan 8-10 cabang tiasa waé henteu ngarugikeun lilin - anjeun kedah ngaluarkeun artos kanggo lisénsi alat SD-WAN sareng sumber sistem virtualisasi pikeun host komponén sentral. Perusahaan leutik biasana gaduh sumber daya komputasi gratis terbatas. Dina kasus Fortinet, cukup ngan ukur mésér firewall.

Pikeun maranéhanana anu loba cabang leutik. Pikeun loba ngical paralatan, harga solusi minimum per cabang cukup luhur jeung bisa jadi teu metot ti sudut pandang bisnis tungtung customer urang. Fortinet nawiskeun alat-alat alit kalayan harga anu pikaresepeun.

Pikeun anu henteu acan siap ngaléngkah jauh teuing. Nerapkeun SD-WAN sareng controller, routing proprietary, sareng pendekatan anyar pikeun perencanaan sareng manajemén jaringan tiasa janten léngkah anu ageung pikeun sababaraha palanggan. Leres, palaksanaan sapertos kitu pamustunganana bakal ngabantosan ngaoptimalkeun panggunaan saluran komunikasi sareng padamelan pangurus, tapi mimitina anjeun kedah diajar seueur hal anyar. Pikeun jalma anu henteu acan siap pikeun shift paradigma, tapi hoyong squeeze langkung kaluar tina saluran komunikasi maranéhanana, leyuran ti Fortinet ngan katuhu.

sumber: www.habr.com

Analisis SD-WAN anu paling demokratis: arsitéktur, konfigurasi, administrasi sareng pitfalls