<\/p>\n\"DC\" (Data Center)
config system interface
config vpn ipsec phase1-interface
config vpn ipsec phase2-interface
config router static
config router bgp
\u2003config network
config system interface
config vpn ipsec phase1-interface
config vpn ipsec phase2-interface
config router static
config router bgp
\u2003 config network
<\/code><\/p>\n
Jag ger konfigurationen i textformat, eftersom jag tycker att det \u00e4r l\u00e4ttare att konfigurera VPN p\u00e5 det s\u00e4ttet. N\u00e4stan alla inst\u00e4llningar \u00e4r desamma fr\u00e5n b\u00e5da sidor, vilket g\u00f6r att de kan kopieras och klistras in i textformat. Om man g\u00f6r samma sak i webbgr\u00e4nssnittet \u00e4r det l\u00e4tt att g\u00f6ra fel - gl\u00f6mma att kryssa i n\u00e5got, ange fel v\u00e4rde. <\/p>\n
N\u00e4r vi har lagt till gr\u00e4nssnitten i bundlingen<\/p>\n
Traffic can be distinguished from the overall flow based on L3-L4 information, recognized applications, internet services (URL and IP), as well as identified users of workstations and laptops. After this, one of the following load balancing algorithms can be assigned to the highlighted traffic:<\/p>\n
On Load Balancing Algorithms \nRegarding how Fortigate (the firewall from Fortinet) can split traffic between channels, there are two interesting options that are not very common in the market:<\/p>\n
Lowest Cost (SLA)<\/b> \u2013 among all the interfaces that meet the SLA at the moment, the one with the lowest cost, specified by the administrator, is chosen; this mode is suitable for \"volume\" traffic, such as backups and file transfers. <\/p>\n
Best Quality (SLA)<\/b> \u2013 this algorithm, in addition to the usual delay, jitter, and packet loss, can also use the current channel load for evaluating channel quality; this mode is suitable for \"sensitive\" traffic, such as VoIP and video conferencing.<\/p>\n
F\u00f6r dessa algoritmer kr\u00e4vs konfiguration av prestationsm\u00e4taren f\u00f6r kommunikationskanalen \u2013 Performance SLA. Denna m\u00e4tare kontrollerar periodiskt (check interval) information om efterlevnaden av SLA: f\u00f6rluster (packet loss), latens (latency) och jitter (jitter) i kommunikationskanalen, och kan \"avvisa\" de kanaler som f\u00f6r n\u00e4rvarande inte uppfyller kvalitetsgr\u00e4nsv\u00e4rdena \u2013 tappar f\u00f6r m\u00e5nga paket eller har f\u00f6r h\u00f6g latens. Dessutom \u00f6vervakar m\u00e4taren statusen p\u00e5 kanalen och kan tillf\u00e4lligt ta bort den fr\u00e5n bundlen vid upprepade svarsf\u00f6rluster (failures before inactive). Vid \u00e5terst\u00e4llning, efter flera p\u00e5 varandra f\u00f6ljande mottagna svar (restore link after), kommer m\u00e4taren automatiskt att \u00e5terf\u00f6ra kanalen till bundlen, och data kommer \u00e5terigen att \u00f6verf\u00f6ras genom den.<\/p>\n
S\u00e5 h\u00e4r ser konfigurationen av \"m\u00e4taren\" ut: <\/p>\n
Fels\u00f6kning<\/h3>\n \nOm ett regel har skapats men det fungerar inte som f\u00f6rv\u00e4ntat, kan det vara v\u00e4rt att titta p\u00e5 v\u00e4rdet Hit Count i listan \u00f6ver SD-WAN-regler. Det visar om trafiken \u00f6verhuvudtaget tr\u00e4ffar denna regel:<\/p>\n
Till exempel kommer f\u00f6ljande upps\u00e4ttning kommandon<\/p>\n
diagnose debug flow filter saddr 10.200.64.15Att sp\u00e5ra tv\u00e5 paket med k\u00e4lladressen 10.200.64.15 och destinationsadressen 10.1.7.2.
F\u00f6rsta paketet:<\/p>\n
id=20085 trace_id=475 func=print_pkt_detail line=5605 msg=\"vd-Internet:0 mottagit ett paket(proto=1, 10.200.64.15:42->10.1.7.2:2048) fr\u00e5n DMZ-Office. typ=8, kod=0, id=42, seq=0.\"DMZ-Office \u2013 namnet p\u00e5 L3-gr\u00e4nssnittet. <\/b>Typ=8 \u2013 Echo.<\/code><\/p>\n En ny session har skapats f\u00f6r det:msg=\"allokera en ny session-0006a627\"<\/code><\/p>\nOch en \u00f6verensst\u00e4mmelse i routingpolicyerna uppt\u00e4cktesmsg=\"Match policy routing id=2136539137: till 10.1.7.2 via ifindex-110\"<\/code><\/p>\nDet visar sig att paketet beh\u00f6ver skickas genom en av VPN-tunnlarna:\"hitta en rutt: flagga=04000000 gw-192.168.254.1 via DC-Ph1-1\"<\/code><\/p>\nI brandv\u00e4ggens policyer finns en godk\u00e4nnande regel:msg=\"Till\u00e5ten av Policy-3:\"<\/code><\/p>\nPaketet krypteras och skickas i VPN-tunneln:func=ipsecdev_hard_start_xmit line=789 msg=\"Ange IPsec-gr\u00e4nssnitt-DC-Ph1-1\"Det krypterade paketet skickas till gateway-adressen f\u00f6r denna WAN-gr\u00e4nssnitt:msg=\"skicka till 2.2.2.2 via intf-WAN1\"<\/code><\/p>\nF\u00f6r det andra paketet sker allting p\u00e5 liknande s\u00e4tt, men det skickas genom en annan VPN-tunnel och g\u00e5r ut genom en annan brandv\u00e4ggsport:func=ipsecdev_hard_start_xmit line=789 msg=\"g\u00e5 in p\u00e5 IPsec-gr\u00e4nssnitt-DC-Ph1-2\"F\u00f6rdelar med l\u00f6sningen \nP\u00e5litlig funktionalitet och anv\u00e4ndarv\u00e4nligt gr\u00e4nssnitt. <\/b>Funktionerna som fanns i FortiOS innan SD-WAN kom, har bevarats fullt ut. Det inneb\u00e4r att vi har inte en nyutvecklad programvara, utan ett moget system fr\u00e5n en p\u00e5litlig brandv\u00e4ggstillverkare. Med en traditionell upps\u00e4ttning n\u00e4tverksfunktioner och ett enkelt och l\u00e4ttanv\u00e4nt webbgr\u00e4nssnitt. Hur m\u00e5nga SD-WAN-tillverkare har till exempel funktionalitet f\u00f6r Remote-Access VPN p\u00e5 sina slutpunktsenheter?<\/p>\n
S\u00e4kerhet p\u00e5 niv\u00e5 80. <\/b>FortiGate \u00e4r en av de b\u00e4sta l\u00f6sningarna f\u00f6r brandv\u00e4ggsskydd. Det finns m\u00e5nga resurser p\u00e5 n\u00e4tet f\u00f6r konfiguration och administration av brandv\u00e4ggar, och p\u00e5 arbetsmarknaden finns det m\u00e5nga s\u00e4kerhetsspecialister som redan har beh\u00e4rskat tillverkarens l\u00f6sningar.<\/p>\n
Ingen kostnad f\u00f6r SD-WAN-funktionalitet. <\/b>Att bygga ett SD-WAN-n\u00e4tverk p\u00e5 FortiGate kostar lika mycket som att bygga ett vanligt WAN-n\u00e4tverk p\u00e5 det, eftersom inga ytterligare licenser kr\u00e4vs f\u00f6r att realisera SD-WAN-funktionaliteten. <\/p>\n
L\u00e5gt intr\u00e4despris. <\/b>FortiGate har en bra gradation av enheter f\u00f6r olika prestandaniv\u00e5er. De l\u00e4gsta och billigaste modellerna passar bra f\u00f6r att s\u00e4tta upp ett kontor eller en f\u00f6rs\u00e4ljningspunkt, s\u00e4g, f\u00f6r 3-5 anst\u00e4llda. M\u00e5nga tillverkare har helt enkelt inga s\u00e5dana l\u00e5gpresterande och prisv\u00e4rda modeller. <\/p>\n
High performance. <\/b>Att reducera SD-WAN-funktionaliteten till trafikbalansering har gjort att f\u00f6retaget kunde sl\u00e4ppa en specialiserad SD-WAN ASIC, vilket g\u00f6r att SD-WAN:s arbete inte s\u00e4nker brandv\u00e4ggens \u00f6vergripande prestanda. <\/p>\n
M\u00f6jlighet att helt implementera kontoret med Fortinet-utrustning. <\/b>Det h\u00e4r \u00e4r en upps\u00e4ttning brandv\u00e4ggar, switchar och Wi-Fi-\u00e5tkomstpunkter. En s\u00e5dan kontorsl\u00f6sning \u00e4r enkel och bekv\u00e4m att hantera \u2013 switcharna och \u00e5tkomstpunkterna registreras p\u00e5 brandv\u00e4ggarna och styrs fr\u00e5n dem. S\u00e5 h\u00e4r kan, till exempel, en switchport se ut fr\u00e5n gr\u00e4nssnittet p\u00e5 brandv\u00e4ggen som styr den h\u00e4r switchen:<\/p>\n
Avsaknad av kontroller som en enda felpunkt. <\/b>Detta uppm\u00e4rksammar sj\u00e4lva leverant\u00f6ren, men detta kan endast delvis kallas en f\u00f6rdel, eftersom hos de leverant\u00f6rer som har kontroller, \u00e4r kostnaden f\u00f6r att s\u00e4kerst\u00e4lla deras redundans l\u00e5g, oftast i form av ett litet antal ber\u00e4kningsresurser i en virtualiseringsmilj\u00f6.<\/p>\nVad man b\u00f6r uppm\u00e4rksamma
\nAvsaknad av uppdelning mellan Control Plane och Data Plane<\/b>. Det betyder att n\u00e4tverket antingen m\u00e5ste konfigureras manuellt eller med hj\u00e4lp av redan befintliga traditionella hanteringsverktyg \u2013 FortiManager. Hos leverant\u00f6rer med s\u00e5dan uppdelning konstrueras n\u00e4tverket automatiskt. Administrat\u00f6ren kan beh\u00f6va justera dess topologi, f\u00f6rbjuda n\u00e5got h\u00e4r eller d\u00e4r, inte mer \u00e4n s\u00e5. Men f\u00f6rdelen med FortiManager \u00e4r att den kan hantera inte bara brandv\u00e4ggar utan ocks\u00e5 switchar och Wi-Fi-\u00e5tkomstpunkter, vilket praktiskt taget omfattar hela n\u00e4tverket. <\/p>\n
F\u00f6rutsatt \u00f6kat hanterbarhet. <\/b>Eftersom traditionella verktyg anv\u00e4nds f\u00f6r att automatisera n\u00e4tverkskonfigurationen, \u00f6kar n\u00e4tverkets hanterbarhet marginellt med inf\u00f6randet av SD-WAN. \u00c5 andra sidan blir den nya funktionaliteten tillg\u00e4nglig snabbare, eftersom leverant\u00f6ren f\u00f6rst sl\u00e4pper den enbart f\u00f6r operativsystemet p\u00e5 brandv\u00e4ggarna (vilket omedelbart ger m\u00f6jlighet att anv\u00e4nda den), och f\u00f6rst d\u00e4refter kompletterar hanteringssystemet med n\u00f6dv\u00e4ndiga gr\u00e4nssnitt.<\/p>\n
En del funktionalitet kan vara tillg\u00e4nglig fr\u00e5n kommandoraden, men inte fr\u00e5n webbgr\u00e4nssnittet. <\/b>Det \u00e4r inte s\u00e5 skr\u00e4mmande att ibland g\u00e5 in i kommandoraden f\u00f6r att konfigurera n\u00e5got, som att se i webbgr\u00e4nssnittet att n\u00e5got redan har konfigurerats av n\u00e5gon fr\u00e5n kommandoraden. Men detta g\u00e4ller vanligtvis de allra senaste funktionerna och gradvis, med uppdateringarna av FortiOS, kommer webbgr\u00e4nssnittets m\u00f6jligheter att f\u00f6rb\u00e4ttras.<\/p>\nVem det passar f\u00f6r<\/h3>\n
\nF\u00f6r dem med inte s\u00e5 m\u00e5nga kontor.<\/b> Implementering av SD-WAN-l\u00f6sningar med komplexa centrala komponenter i n\u00e4tverk med 8\u201310 filialer kanske inte \u00e4r v\u00e4rt besv\u00e4ret \u2013 det kr\u00e4vs investeringar i licenser f\u00f6r SD-WAN-enheter och resurser f\u00f6r virtualisering av de centrala komponenterna. Vanligtvis har sm\u00e5 f\u00f6retag knappa ber\u00e4kningsresurser. I fallet med Fortinet r\u00e4cker det att bara k\u00f6pa brandv\u00e4ggar. <\/p>\n
Till dem som har m\u00e5nga sm\u00e5 filialer. <\/b>Hos m\u00e5nga leverant\u00f6rer \u00e4r det minimala priset f\u00f6r l\u00f6sningar per filial relativt h\u00f6gt och kan vara oattraktivt ur slutanv\u00e4ndarens perspektiv. Fortinet erbjuder sm\u00e5 enheter till ett mycket attraktivt pris. <\/p>\n
Till dem som inte \u00e4r redo att ta ett f\u00f6r stort steg \u00e4nnu. <\/b>Implementering av SD-WAN med controllers, propriet\u00e4r routing, en ny strategi f\u00f6r n\u00e4tverksplanering och -hantering kan vara ett f\u00f6r stort steg f\u00f6r vissa kunder. Ja, en s\u00e5dan implementation kommer slutligen att hj\u00e4lpa till att optimera anv\u00e4ndningen av kommunikationskanaler och arbetet f\u00f6r administrat\u00f6rer, men f\u00f6rst m\u00e5ste man l\u00e4ra sig mycket nytt. F\u00f6r dem som \u00e4nnu inte \u00e4r redo f\u00f6r ett paradigmskifte, men som vill f\u00e5 ut mer av sina kommunikationskanaler, passar Fortinets l\u00f6sning perfekt.habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"\u0421\u0443\u0434\u044f \u043f\u043e \u0447\u0438\u0441\u043b\u0443 \u0432\u043e\u043f\u0440\u043e\u0441\u043e\u0432, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043d\u0430\u043c \u0441\u0442\u0430\u043b\u0438 \u043f\u0440\u0438\u043b\u0435\u0442\u0430\u0442\u044c \u043f\u043e SD-WAN, \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u044f \u043d\u0430\u0447\u0430\u043b\u0430 \u043e\u0441\u043d\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u043e \u043f\u0440\u0438\u0436\u0438\u0432\u0430\u0442\u044c\u0441\u044f \u0432 \u0420\u043e\u0441\u0441\u0438\u0438. \u0412\u0435\u043d\u0434\u043e\u0440\u044b, \u0435\u0441\u0442\u0435\u0441\u0442\u0432\u0435\u043d\u043d\u043e, \u043d\u0435 \u0434\u0440\u0435\u043c\u043b\u044e\u0442 \u0438 \u043f\u0440\u0435\u0434\u043b\u0430\u0433\u0430\u044e\u0442 \u0441\u0432\u043e\u0438 \u043a\u043e\u043d\u0446\u0435\u043f\u0446\u0438\u0438, \u0430 \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0441\u043c\u0435\u043b\u044c\u0447\u0430\u043a\u0438 \u043f\u0435\u0440\u0432\u043e\u043f\u0440\u043e\u0445\u043e\u0434\u0446\u044b \u0443\u0436\u0435 \u0432\u043d\u0435\u0434\u0440\u044f\u044e\u0442 \u0438\u0445 \u0443 \u0441\u0435\u0431\u044f \u043d\u0430 \u0441\u0435\u0442\u0438. \u041c\u044b \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u043c \u043f\u043e\u0447\u0442\u0438 \u0441\u043e \u0432\u0441\u0435\u043c\u0438 \u0432\u0435\u043d\u0434\u043e\u0440\u0430\u043c\u0438, \u0438 \u0437\u0430 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u043b\u0435\u0442 \u0432 \u043d\u0430\u0448\u0435\u0439 \u043b\u0430\u0431\u043e\u0440\u0430\u0442\u043e\u0440\u0438\u0438 \u044f \u0443\u0441\u043f\u0435\u043b \u043f\u043e\u043a\u043e\u043f\u0430\u0442\u044c\u0441\u044f \u0432 \u0430\u0440\u0445\u0438\u0442\u0435\u043a\u0442\u0443\u0440\u0435 \u043a\u0430\u0436\u0434\u043e\u0433\u043e \u043a\u0440\u0443\u043f\u043d\u043e\u0433\u043e […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":95433,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-95432","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t