Fortinet SD-Wan 可以用一條點對點專線及一條光世代建立嗎

sd-wan fortigate

japues 2022-05-26 11:10:10 ‧ 2802 瀏覽

分享至

公司兩個辦公室之間原本是只用site to site vpn建立
因分公司人數變多了，考慮網路的穩定性
想規劃辦一條點對點專線作為主線路，另辦一條光世代做為備援線路
兩端都是fortigate防火牆可以用SD-WAN建立嗎??
還是SD-WAN只能兩條上網型線路才可以作??

登入發表討論

直播研討會

{{ item.channelVendor }} {{ item.webinarstarted }} |

直播中

5 個回答

mathewkl

iT邦高手 1 級 ‧ 2022-05-26 11:50:01

先確定VPN和光世代單線各自可以通
然後在SDWAN介面把你要的介面加進去

SDWAN可以+VPN建立IPSec，不過你已經有現有的
其他新增只是簡單選已設定好的介面和填Gatway，應該是可以的
SDWAN是一個虛擬的介面，所以防火牆有部分政策的出去介面可能需要做修正

網路上找到的lab圖

回應
分享
檢舉

登入發表回應

mytiny

iT邦超人 1 級 ‧ 2022-05-26 12:12:34

先回答重點內容：
Fortigate的SD-WAN可以併入多種介面
(只要是能產生interface的應該都可以)

但是OS版本會有些許差異
還有IP-SecVPN需要給interface IP
併入SD-WAN做health check比較穩定

至於用光世代只做備援比較浪費
SD-WAN的SD-Branch可以直接Load Balance
(或是要併頻寬也可以，兩邊要注意OS版本)
事實上會建議廢掉專線直接改用兩條不同ISP
經費會大大節省(這是MIS最喜歡的績效)
速度會大大提升(這是USER最希望的效能)
設備投資不到2年就可以回本(老闆會喜歡)
建議找有經驗的SI做吧(大間SI不一定熟)，
知識Know how細節決定一切

回應 7
分享
檢舉

看更多先前的回應...收起先前的回應...

mytiny iT邦超人 1 級 ‧ 2022-05-26 16:24:02 檢舉

有些設定細節還是要注意，
優先等級不是先後順序而已
想要將頻寬利用得很好，也是需要經驗

japues iT邦高手 2 級 ‧ 2022-05-27 11:06:22 檢舉

Fortigate的SD-WAN可以併入多種介面
所以點對點專線也能加入嗎??

至於用光世代只做備援比較浪費
SD-WAN的SD-Branch可以直接Load Balance
這個不考慮，因為兩者可靠性不同，優先走專線為主

你建議的我能理解，只是公司考量的是可靠性及可用性，專線服務等級比較高724, 一般線路預過下午叫修隔天才來。
我原先作法是專線接兩邊的core，考量到備援才加入一般線路，相用forti的sd-wan作作看，如果能結合就會比較好，

mytiny iT邦超人 1 級 ‧ 2022-05-27 11:22:51 檢舉

1.點對點專線確實可以加入SD-WAN
2.專線的考量正確，不過頻寬較小，費用也較貴，不如建議反過來做，IPsec為主，專線為輔，這在SD-WAN裡都可以設計 (當然，也有業主以多條一般線路SD-WAN取代專線的實例)
3.上述評估建議是因為Fortigate在任何機種IPsec-VPN都有"晶片"加速，目前SD-WAN在F系列的小型機種亦有"晶片"加速，如果是在本島內的IPsec-VPN，還算穩定且可自動偵測回復。ISP業者情況不便回答，謝謝