部署SD-WAN的主要动机之一是有效使用WAN，当你使用多个WAN链路时。有效的广域网使用是通过各种负载均衡算法实现的，例如带宽使用、会话或应用程序感知路由。SD-WAN的另一个重要特征是链路质量测量。通过使用ping或HTTP回复, FortiGate可以确定每个链路的延迟、抖动或包丢失百分比，并根据这些测量值动态选择链路。这确保了关键业务应用程序的高可用性(HA)。
你还可以在以后方便地添加另一个成员接口，以添加更多的带宽或QoS选项。
FortiGate将所有成员接口组成一个虚拟接口，用于创建路由：SD-WAN接口。使用SD-WAN可以简化配置，因为管理员只需配置一组路由，就可以应用到所有的成员接口上。每个VDOM只能有一个SD-WAN接口。
当启用SD-WAN功能时，会自动生成一条隐式规则。如果其他任何规则的条件都不满足，则使用隐式规则。该隐式规则的目的是平衡所有可用的SD-WAN成员链路之间的流量。在本课的后面，你将学习SD-WAN规则。
缺省情况下，load-balance-mode设置为source-ip-based。但可以将负载均衡模式修改为以下任意一种：
● source-ip-based：一个源IP的所有流量都发送到同一个接口。
● weight-based：权重越大的接口优先级越高，流量越大。
● usage-based：所有流量都发送到列表的第一个接口。当该接口的带宽超过溢出限制时，新的流量将被发送到下一个接口。
● source-dest-ip-based：源IP和目的IP负载均衡。从源IP到目的IP的所有流量都发送到同一个接口。
● measured-volume-based：基于卷的负载平衡。流量根据流量(以字节为单位)进行负载均衡。更多的流量会被发送到容量比越大的接口。
你可以使用FortiGate上创建的默认SD-WAN区域，也可以创建一个新的SD-WAN区域。将SD-WAN接口分配到SD-WAN区域后，可以选择更改该区域。
对于防火墙策略，必须使用SD-WAN区域作为源接口或目的接口。防火墙策略中不能使用单个成员或SD-WAN虚拟接口。通过SD-WAN接口创建的防火墙策略允许流量通过任意成员接口转发。
在实现SD-WAN时，仍然需要配置缺省路由。缺省情况下，SD-WAN接口的路由配置不需要配置网关地址，因为FortiGate会根据成员接口的网关信息将数据包转发到相应的网关。
通过展示SD-WAN性能SLA的能力，你应该能够配置SDWAN性能SLA，并确定FortiGate如何测量链路质量。
FortiGate可以根据你选择的检测方式，检测参与性能SLA的每个SD-WAN成员接口的状态(或健康状况)。
● Active：通过向配置好的服务器发送探测报文来测量链路健康。
● Passive：使用在启用了passive-wan-health-measurement的防火墙策略上捕获的会话信息来测量链路健康状况。
● Prefe Passive：使用通过SD-WAN成员的流量来测量链路健康状况。当成员接口上没有流量经过时，会向配置好的服务器发送探测报文，检测链路的健康度。
你可以指定最多两个服务器作为你的信标。这可以防止出现故障的是服务器，而不是链接。
在GUI中，可以指定成员，也可以选择所有SD-WAN成员作为参与者。在CLI中，现在可以添加成员0，这相当于将所有成员添加为特定性能SLA的参与者。
在内核中增加一个FIB路由表项，通过每个参与接口到达性能SLA页面中定义的服务器。这些内核路由被标记为proto=17。这些核心路由将独立于通常的路由源。
GUl提供了三个协议选项来执行状态检查：ping、HTTP和DNS，但在CLI中有六个选项。这些选项包括：ping、HTTP和DNS，就像在GUI上一样，还包括TCP echo、UDP echo和双向主动测量协议(TWAMP)。
尽管SLA目标是在性能SLA页面上指定的，但实际上并没有使用它们。该页面上配置的值仅在被规则引用时使用。你可以为每个性能SLA创建多个SLA目标，尽管你希望这样做的场景并不多。
一种情况是，如果你位于一个分支机构，并且使用几个运行在同一服务器总部上的不同应用程序。你可以创建一个性能SLA来在该服务器上执行健康检查，但是对于不同的应用程序有不同的SLA目标。你可以对一些应用程序制定宽松的规则，但对其他应用程序则要严格一些。但是，如果应用程序运行在不同的服务器上，则需要为每个应用程序创建不同的性能SLA，以便针对特定的应用程序服务器进行健康检查。而且对于该应用程序，每个性能SLA只需要一个SLA目标。
“未激活前失效”和“设置后恢复链路”会阻止系统在链路之间不断地来回传输流量，这种情况称为振荡。
这些值用于规则中的SLA标准，这些规则用于根据每个成员的链路质量路由流量。
其中，“Packet loss”、“Latency”和“Jitter”是基于性能SLA所在服务器的响应(短时间内的平均值)。系统从第一个服务器启动。如果该服务器变得不可用，那么它将切换到第二个服务器。它一直与第二台服务器保持在一起，直到它变得不可用，这时它回到第一个服务器。如果两个服务器都不可用，则认为性能SLA失效。
需要注意的是，绿色向上的箭头仅表示服务器正在响应健康检查，而与数据包丢失、延迟和抖动值无关。这并不是任何一个SLA得到满足的迹象。
配置延时、抖动、丢包质量的告警和告警阈值。这些在GUI上也不可用。
通过在SD-WAN规则中展示能力，你应该能够基于链路质量配置动态链路选择，以确保业务关键型应用程序的高可用性。
● 源IP地址
● 目的IP地址
● 目的端口号
● ISDB地址对象作为目标
● 防火墙应用程序作为目标
● 用户或用户组
● 服务类型(ToS)
SD-WAN规则在匹配流量时提供了很大的灵活性。例如，你可以将特定的经过身份验证的用户的Netflix流量路由到一个ISP，而将剩余的internet流量路由到另一个ISP。
FortiGuard维护这些数据库，FortiGate定期获得更新的副本。在使用应用控制数据库时，应该启用SSL检查以获得最准确的应用程序标识。
选择“手工”时，可以指定流量从哪个接口发出。如果匹配，则根据接口优先级从第一个可用的接口流出。此策略不依赖于性能SLA或SLA目标。
最后一个选项是自定议配置文件，它允许你根据其标准值的组合来选择链接。链接质量由这个方程决定。
值越大，该标准在选择中的权重就越大。将权重值设为0，从方程中排除该标准。
注意，即使一个性能SLA有多个SLA目标，你也只能从该特定性能SLA中选择一个SLA目标。
例如，SD-WAN有四个成员：接口1~接口4。参考上图的表格。
首先，FortiGate考虑了SLA，并从出接口选择中排除了接口4。基于SLA, FortiGate将考虑三个接口。
然后，FortiGate考虑了消除任何接口的Cost。可以在“SD-WAN接口成员”下的“Network > SD-WAN”中配置cost。FortiGate选择cost较低的接口。在这上图的例子中，port1和port2的cost值为5，port3的cost值为10。在这种情况下，FortiGate将不再考虑接口3，而将port1和port2作为出接口。
最后，FortiGate检查所有接口的优先级，选择出接口。在上图的例子中，port2的优先级高于port1。在这种情况下，FortiGate选择port2作为匹配规则的流量的出接口。
上图的示例显示port1、2和3满足SLA要求，而port4不满足。此时，命中规则的流量在port1、port2和port3之间负载均衡。
使用这种方法，FortiGate不考虑成本或优先级。
当启用SD-WAN功能时，会自动生成一条隐式规则。如果不满足任何其他规则的条件，则使用隐式规则。该隐式规则的目的是平衡所有可用的SD-WAN成员链路之间的流量。
双击隐式规则显示负载均衡选项。
与ISDB路由类似，SD-WAN规则也具有策略路由的功能。它们优先于路由表中的任何其他路由。对于策略路由，FortiGate首先检查常规策略路由，然后再检查SD-WAN策略路由。
Volume视图可以更好地表示所有成员接口之间发送和接收的流量；而带宽视图显示了每个接口通过会话所使用的带宽。会话视图显示了每个接口通过的会话数。
当SD-WAN成员接口的路由被删除或添加到路由表时，FortiGate也会产生系统事件日志。使用事件日志检查日志。
通过掌握本课讨论的目标，你了解了如何配置、维护和诊断FortiGate SD-WAN解决方案。
3951
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
