教程篇(6.4) 05. 集成 ❀ SD-WAN ❀ Fortinet 网络安全架构师 NSE7

 在本节课中,你将学习有关FortiManager基础知识、SD-WAN管理器、VPN管理器、零接触配置和SD-WAN协调器。

 完成此部分后,你应该能够实现此幻灯片上显示的目标。

  通过展示理解FortiManager关键特性的能力,你将能够在你的网络中有效地使用这些特性。

  什么时候应该在网络中使用FortiManager ?

  在大型企业和托管安全服务提供商(MSSP)中,网络的规模带来了小型网络不具备的挑战:大规模供应;调度配置更改的推出;以及维护、跟踪和审计许多更改。

  通过FortiManager进行集中管理,可以帮助你更轻松地管理多种部署类型和多种设备,降低操作成本。

  FortiManager可以做什么?

  ● 在你的网络中提供防火墙策略

  ● 作为配置修订控制和安全审计的中心存储库

  ● 部署和管理复杂的网状和星型IPsec VPN

  ● 作为你所管理设备的私有FortiGuard分发服务器(FDS)

  ● 使用JSON API脚本和自动化设备配置、策略更改等

 FortiManager可以帮助你更好地组织和管理你的网络。FortiManager的主要功能包括:

  ● 集中管理:无需单独登录数百个FortiGate设备,你可以使用FortiManager从单个控制台管理所有设备。

  ● ADOM: FortiManager可以将设备分组到地理或功能ADOM中,如果你有一个大型的网络安全管理员团队,这非常理想。

  ● 配置修订控制:FortiManager保存所有配置更改的历史记录。你可以安排FortiManager部署新的配置或将托管设备恢复到以前的配置。

  ● 本地FortiGuard服务发放:为了减少网络延迟和减少互联网带宽的使用,你所管理的设备可以使用FortiManager作为私有FDN服务器。

  ● 固件管理:FortiManager可以为被管理的设备安排固件升级。

  ● 脚本:FortiManager支持基于CLI和TCL的脚本,用于配置部署。

  ● 管理窗格(VPN、FortiAP、FortiSwitch和Fabric View):FortiManager管理窗格简化了VPN、FortiAP、FortiSwitch和Fabric View (Security Fabric)的部署和管理。

  ● 日志和报告:被管理的设备可以在FortiManager上存储日志。从这些日志数据中,你可以生成基于SQL的报告,因为FortiManager具有许多和FortiAnalyzer相同的日志和报告特性。

  ● FortiMeter:允许你根据需要打开或关闭FortiOS-VM和FortiWebOŚ VM,只支付你使用的流量。这些虚拟机有时也称为现收现付虚拟机。你必须拥有FortiMeter许可证,并且FortiMeter许可证必须使用FortiCare与FortiManager链接。

  完成此部分后,你应该能够实现此幻灯片上显示的目标。

  通过展示理解FortiManager软件体系结构的能力,你将能够在你的网络中规划和设置FortiManager。

 为了组织和有效地管理大型网络,FortiManager具有多个管理层。

  全局ADOM层有两个关键部分:全局对象数据库和页眉和页脚策略包。页眉和页脚策略包包含了每个ADOM的策略。策略包通常在运营商环境中使用,在这种环境中,运营商允许客户流量通过其网络,但不允许客户访问其网络基础设施。

  ADOM层是策略包被创建、管理和安装在被管理设备或设备组上的地方。可以在这里创建多个策略包。ADOM层为每个ADOM包含一个公共对象数据库。公共对象数据库包含地址、服务和安全配置文件等信息。

  设备管理层记录FortiManager设备集中管理的设备信息,包括设备名称、设备类型、型号、IP地址、当前安装的固件、修订历史和实时状态等。

 理解FortiManager管理模型的各个层非常重要。

  在全局ADOM层中,创建页眉和页脚策略规则。这些策略规则可以分配给多个ADOM。如果多个ADOM策略包需要相同的策略和对象,你可以在这个层中创建它们,这样你就不必在每个ADOM中维护副本。

  在ADOM层中,每个ADOM中的对象和策略包共享一个公共对象数据库。你可以一次在多个被管理设备上创建、导入和安装策略包。

  在设备管理器层,你可以为每个设备配置和安装设备设置。如果检测到配置更改(在本地或在FortiManager上),则FortiManager将当前配置与更改的配置进行比较,并在FortiManager上创建新的配置修订。无论配置更改是大是小,FortiManager都会记录并保存新的配置。这可以帮助管理员审核配置更改,并在需要时恢复到以前的修订。

  什么是ADOM?

  ADOM允许admin帐号创建设备分组,供管理员监控和管理。例如,管理员可以根据自己的地理位置或业务部门来管理设备。ADOM默认不启用,必须由管理员启用。

  ADOM的目的是根据管理标准对设备进行分组,从而对设备的管理进行划分,并控制(限制)管理访问。管理员权限是基于允许访问设备上的一个或多个ADOM的管理员配置文件分配的。如果使用虚拟域(VDOM), ADOM可以进一步限制仅从特定设备的VDOM访问数据。不同型号的ADOM可用数量不同。

  设备管理器窗格提供了设备和安装向导,以帮助你完成各种管理和维护任务。使用这些向导可以减少执行许多常见任务所需的时间。在设备管理器窗格中有四个主要向导:

  ● 添加设备:用于将设备加入集中管理并导入配置。

  ● 安装向导:用于安装从设备管理器窗格或策略&对象窗格到被管理设备的配置更改。它允许你预览更改,如果管理员不同意更改,可以取消并修改它们。

  ● 导入策略:用于将接口映射、策略数据库和与被管设备关联的对象导入到略&对象窗格下的策略包中。默认情况下,它与添加设备向导一起运行,并且可以在被管理设备列表中的任何时间运行。

  ● 重新安装策略:用于执行策略包的快速安装。它提供预览将安装在被管理设备上的更改的能力。

  在设备管理器中右键单击被管理设备,可以打开导入策略重新安装策略向导。

 完成此部分后,你应该能够实现此幻灯片上显示的目标。

  通过展示理解SD-WAN及其特性集的能力,你将能够安装和配置在网络中使用这些特性所需的设置。

  配置SD-WAN时,必须至少指定两个成员接口。在初始设置FortiGate时,应该尽早配置SDWAN,因为如果某个接口已经被防火墙策略或静态路由引用,则不能将其作为成员接口使用。如果需要使用某个接口作为SD-WAN成员,且该接口正在被防火墙策略或静态路由引用,必须先删除关联的防火墙策略和静态路由,才能将该接口分配为SD-WAN成员。SD-WAN除支持VLAN接口、aggregate接口和IPsec接口外,还支持物理接口。

  FortiManager将所有成员接口组合成一个虚拟接口:SD-WAN接口。使用SDWAN可以简化配置,管理员只需配置一组路由和防火墙策略,并应用到所有成员接口上。每个VDOM只能有一个SD-WAN接口。

  使用FortiManager创建SD-WAN的第一步是在ADOM中启用SD-WAN中央管理。

  配置用于SD-WAN模板的健康检查服务器和性能SLA。

  健康检查服务器可以判断路径上的路由器何时停止或降级。FortiGate通过周期性地通过每个成员链路向充当信标的服务器发送探测信号,可以检查参与性能SLA的每个SD-WAN成员接口的状态(或健康)。你可以指定多个服务器作为信标。这是为了防止服务器出错,而不是链接出错。

  配置SD-WAN时,必须至少指定两个成员接口及其关联网关。

  SD-WAN模板允许你将SD-WAN组件添加到单个模板中。可以添加接口成员、性能SLA和SD-WAN规则。

  你可以创建新的SD-WAN规则,也可以使用默认的隐式规则。隐式规则的目的是在所有可用的SD-WAN成员链路之间均衡流量。SD-WAN规则允许你指定希望通过哪个接口路由的流量。你可以根据性能SLA中配置的链路延时、抖动或丢包率,配置SD-WAN规则来选择出口接口。规则的评估方式与防火墙策略相同:从上到下,使用第一个匹配。

  配置SD-WAN模板后,需要分配设备用于配置SD-WAN。

  使用SD-WAN时,不需要为单个成员接口配置多个防火墙策略。使用SD-WAN接口创建的防火墙策略允许流量通过任意成员接口转发。

  安装SD-WAN策略前,必须配置正确的动态接口和映射端口。

  完成所有配置后,可以通过FortiManager SD-WAN Monitor或被管理的FortiGate设备查看SD-WAN的状态。

  完成此部分后,你应该能够实现此幻灯片上显示的目标。

  通过展示使用FortiManager VPN管理器配置IPsec VPN的能力,你将能够安装和配置在你的网络中使用这些特性所需的设置。

  在VPN管理器界面中,你可以配置IPsec VPN,并可在多个设备上安装。设置作为对象存储在对象数据库中。通过安装策略包将IPsec VPN设置推送到一个或多个设备。使用VPN管理器配置VPN的步骤如下:

  1. 创建VPN团体。

  2. 为团体添加网关(成员)。

  3. 安装VPN团体和网关配置。

  4. 添加防火墙策略。

  5. 安装防火墙策略。

  根据要安装的VPN拓扑,有三种类型的团体:

  ● 全网格

  ● 星状

  ● 拨号

 VPN团体包含所有网关都通用的IPsec阶段1和阶段2设置。

  下一步是向团体添加网关。网关有两种类型:

  ● 管理网关

  ● 外部网关

  管理网关由当前ADOM中的FortiManager管理。不同ADOM或其他供应商设备中的设备可以被视为外部网关。VPN配置必须由该ADOM的管理员手动处理。

  在VPN网关中,你可以根据选择的VPN拓扑配置节点类型(集线器、辐条等)。例如,集线器和辐条选项仅在星形和拨号拓扑中可用。

  对于每个网关,你还可以配置受保护的子网、接口和一些高级设置。

  完成此部分后,你应该能够实现此幻灯片上显示的目标。

  通过演示零接触配置的能力,你将能够理解和配置在你的网络中使用该特性所需的设置。

  零接触配置允许你自动配置FortiGate和FortiAP设备。管理员可以使用Fortinet FortiDeploy特性同时配置所有设备,并通过一次单击来管理所有这些设备,而不是使用CLI一次配置一个设备。

  该特性只能在FortiGate重启后使用,或者在新的FortiGate设备上使用。

  要使用该特性,FortiGate必须具有上网能力,且需要DHCP服务器为FortiGate接口分配IP地址。

  FortiDeploy允许管理员将FortiGate和FortiAP设备批量添加到他们的FortiGate云或FortiAP云帐户中。在此基础上,FortiDeploy的多租户特性允许管理员选择配置模板和操作系统版本(FortiOS),以便与新添加的设备一起部署。

  当你在你的Fortinet设备订单中包含FortiDeploy时,你将收到一个绑定到该订单中所有支持设备的批量部署FortiCloud密钥。当你访问FortiGate云或FortiAP云管理控制台时,你可以为单个设备输入密钥,也可以为与你的订单一起发送的所有设备输入批量密钥。

  当设备在各自的远程位置插入时,FortiGate会自动通过DHCP获取IP地址。当网络连接建立后,FortiGate自动向FortiGuard发送心跳,并建立管理隧道。FortiGate然后接收这些设备的预先配置的管理信息。当这个过程完成后,设备可以从选择的Fortinet管理接口进行监控和管理。

 你可以使用FortiDeploy和FortiManager的零接触配置使用SD-WAN配置来配置FortiGate。

  ● 添加FortiGate云密钥到FortiGate云。

  ● 使用中央管理配置设置配置模板,将FortiGate重定向到FortiManager。

  ● 将FortiGate连接到DHCP服务器并打开FortiGate。

  ● FortiGate从DHCP服务器接收IP地址,并与FortiGate云建立管理隧道。

  ● FortiGate通过从FortiGate云获取中央管理配置来完成零接触配置。

  ● FortiGate在FortiManager根ADOM中显示为未经授权的设备。

  ● 授权FortiGate和分配SD-WAN模板。

  ● 在FortiGate上安装SD-WAN配置。

  FortiGate配置的是SD-WAN配置,不需要手动配置。

  当FortiGate不能访问internet时,该特性非常有用。首先,打开FortiGate的盒子并注意序列号。使用序列号将FortiGate注册到FortiManger。注册完成后,可以将新的FortiGate添加到ADOM中,然后根据需要对设备进行配置。

  在FortiManager上注册并配置FortiGate设备后,需要将FortiGate连接到配置了选项240或241、具有FortiManager IP或FQDN的DHCP服务器上。现在,启动FortiGate。在FortiGate启动后,DHCP服务器将为它分配一个IP地址,还将提供FortiManager信息。FortiGate将使用该信息配置中央管理,使用从DHCP服务器接收到的FortiManager IP或FQDN。

  现在,FortiGate设备已经由FortiManager连接和管理,你可以在FortiGate上安装特定的配置。

  为了防止欺骗,如果以后有不同的FortiManager IP来自DHCP服务器,FortiGate不会改变中央管理配置。

  完成此部分后,你应该能够实现此幻灯片上显示的目标。

  通过展示SD-WAN协调器的能力,你将能够理解和配置在网络中使用此特性所需的设置。

  SD-WAN协调器允许客户显著简化集中式部署,并通过直观的工作流实现自动化,从而节省时间并提供以业务为中心的策略。

  FortiGate设备必须同时添加到FortiManager和SD-WAN协调器中。

  SD-WAN协调器使用以下方法与FortiManager一起在FortiGate上安装配置:

  1. SD-WAN协调器自动生成配置的CLI脚本。

  2. SD-WAN协调器将CLI脚本安装到FortiManager上的Device Manager数据库中。

  3. FortiManager接收CLI脚本,并将配置安装到FortiGate。

  SD-WAN协调器为生成的隧道接口创建动态接口。动态接口使用每个设备的接口映射,在创建策略时可以在FortiManager上使用它们。 

  开始使用SD-WAN协调器的第一步是在FortiManager上启用它。SD-WAN协调器是FortiManager上管理扩展的一部分,只有具有超级用户配置文件的管理员才能启用管理扩展。

  在本课中,你将简要学习其他步骤。

  当将FortiGate设备添加到其相应的区域时,FortiGate设备必须能够连接FortiManager。

  SD-WAN协调器自动在所有集线器之间建立覆盖。每个集线器还建立到同一区域内每个边缘设备的隧道。

  你可以定义一次资源,然后通过使用共享资源树菜单在多个配置文件中选择它们。你可以创建以下共享资源:

  ● 内网地址

  ● 网络资源,如DHCP服务器

  ● SLA质量级别和服务器

  ● SD-WAN协调器使用的服务器。如NTP服务器、FortiGuard服务器、邮件服务器

  ● 健康的阈值

  建议创建一个内网IP池,供SD-WAN协调器为所选设备创建SD-WAN网络时使用。使用此IP池,SD-WAN协调器将为局域网段中的设备分配IP地址。SD-WAN协调器将基于此分配自动创建地址对象和地址组。可在内网地址中查看。

  创建配置文件将创建一个模板,该模板定义SD-WAN网络中设备的一般系统、网络和业务策略。

  业务规则定义了SD-WAN网络中各个子网之间的路由策略,或者定义了来自SD-WAN子网的流量如何访问internet。SD-WAN协调器在配置文件中包含预定义的业务规则。你还可以创建自定义业务规则。

 建议先将FortiGate设备添加到FortiManager,然后再添加到SD-WAN协调器。但是,在某些情况下,可以先将FortiGate设备添加到SD-WAN协调器。你可以首先使用它的序列号将离线FortiGate设备添加到SD-WAN协调器,这称为添加型号设备。当你将型号设备添加到SD-WAN协调器时,型号设备也将添加到FortiManager中。

  添加设备后,可以通过编辑分配的配置文件或覆盖每个设备的设置来更改设置。

  First Online Action有三个选项可供选择:

  ● NONE:将设备加入SD-WAN协调器后,手动启动配置安装。

  ● RETRIEVE_CONFIG:当设备第一次联机时,从设备中导入一些配置设置。引入主机名、WAN端口、LAN/DMZ端口、静态路由等配置。

  ● SYNC_CONFIG:选择在设备第一次联机时安装与配置文件关联的SD-WAN协调器配置。

  在所有设备上完成SD-WAN组网配置后,通过FortiManager为SD-WAN组网中的FortiGate定义和安装防火墙策略。

  SD-WAN协调器还在FortiManager上创建两个策略块:一个用于集线器设备(SDWAN Overlay PB HUB)和边缘设备(SDWAN Overlay PB edge)。安装防火墙策略前,建议将策略块插入到策略包中,并将策略块移到顶部。策略块包括允许VPN隧道的健康检查流量和协商流量所必需的防火墙策略。在FortiManager上单击policy & Objects>Policy Packages可以查看策略阻止。

 这张幻灯片显示了你在本课中涉及的目标。

  通过掌握本课的目标,你学习了如何使用FortiManager的关键特性和体系结构,安装和配置SD-WAN,以及使用VPN管理器部署IPSec。

  • 1
    点赞
  • 4
    收藏
    觉得还不错? 一键收藏
  • 0
    评论

“相关推荐”对你有帮助么?

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值