FortiGate Varsayılan Yönlendirme Tasarımı (BGP ve IPsec PBR): Kararlı İnternet ve VPN Trafiği için En İyi Uygulamalar

Birden fazla İnternet Servis Sağlayıcısı (ISP) ve IPsec tüneli arasında FortiGate varsayılan yönlendirmelerini dengelemek, kurumsal ağ yöneticileri için yaygın bir zorluktur. Yanlış yapılandırmalar trafik kesintilerine, VPN arızalarına ve asimetrik yönlendirmeye yol açabilir. Bu kılavuz, birincil internet yollarından ödün vermeden güvenilir trafik yönlendirmesi sağlamak için pratik sorun giderme ipuçlarını gelişmiş BGP ve PBR stratejileriyle birleştirir.

İçindekiler

• Bölüm 1: Equal-AD Davranışını ve Rota Seçimini Anlamak
• Bölüm 2: IPsec için Politika Tabanlı Yönlendirme En İyi Uygulamaları
• Bölüm 3: BGP Entegrasyonu ve Yük Devretme Stratejileri
• Bölüm 4: Sık Karşılaşılan Arıza Senaryoları ve Sorun Giderme
• Bölüm 5: Doğrulama ve Operasyonel Kontrol Listesi

Bölüm 1: Equal-AD Davranışını ve Rota Seçimini Anlamak

Eşit AD rotaları otomatik olarak yük dengelemesi sağlamaz; FortiGate, arayüz indeksine veya statik rota sırasına göre rotaları tercih edebilir.

Rota seçim hiyerarşisi: Önek uzunluğu → İdari Mesafe → Rota Önceliği → PBR.

Yönlendirme tablosunu görüntülemek için örnek CLI komutu:

get router info routing-table all

İpucu: Asimetrik trafiği veya istenmeyen arıza durumlarını önlemek için BGP tarafından öğrenilen rotaların, statik varsayılan değerlerin ve PBR'nin birlikte çalıştığından emin olun.

Bölüm 2: IPsec için Politika Tabanlı Yönlendirme En İyi Uygulamaları

VPN uç noktaları için /32 statik yönlendirme kuralları, PBR'nin birincil internet trafiğini ele geçirmesini önler.

İkincil varsayılan yönlendirme yolları için daha yüksek AD değeri, yedek yolların ana WAN ile çakışmamasını sağlar.

PBR kuralları seçici olmalıdır: genel geçer kurallar yerine kaynak/hedef IP veya port tabanlı politikalar uygulanmalıdır.

Bu tasarım kalıplarını uygulayarak, birincil internet bağlantı yollarını korurken VPN trafiğini güvenli bir şekilde yönlendirebilirsiniz.

Bölüm 3: BGP Entegrasyonu ve Yük Devretme Stratejileri

Dinamik yük devretme: Birincil yolları tercih etmek ve otomatik olarak yedek IPsec tünellerine geçiş yapmak için BGP ağırlıklarını ve yönlendirme haritası politikalarını kullanın.

Öncelik yönetimi: Varsayılan rotaları duyururken, rota haritası tercihlerini uygulamak için recursive-inherit-priority özelliğini devre dışı bırakın.

Gelişmiş senaryolar: Çift yedekli VPN tünelleri, şubeler arası BGP yük devretme ve şubelerden kaynaklanan varsayılan yönlendirme yolları.

BGP üzerinden varsayılan yönlendirme rotalarını oluşturmak için örnek CLI komutu:

set capability-default-originate enable

Bölüm 4: Sık Karşılaşılan Arıza Senaryoları ve Sorun Giderme

• PBR için aktif rotaların bulunmaması nedeniyle VPN trafiğinde düşüşler yaşanıyor.
• BGP yönlendirme haritası öncelik yapılandırma hataları
• Yanlış arayüz veya AD ayarlarıyla statik /32 yönlendirmeleri

Sorun giderme ipucu: Yönlendirme anormalliklerini izlemek ve çözmek için akış hata ayıklama ve BGP CLI komutlarını kullanın.

Bölüm 5: Doğrulama ve Operasyonel Kontrol Listesi

1. Rota tablosunun tutarlılığını doğrulayın.
2. PBR ve rota önceliklerini onaylayın.
3. Çift ISP veya yedekli tüneller için arıza durumunda devreye girme yollarını test edin.
4. Rota haritası ayarlamalarından sonra BGP komşularını yenileyin.
5. VPN tünelinin kararlılığını ve günlük kaydını izleyin.

Bu kontrol listesini takip etmek, arıza sürelerini en aza indirir ve çift yönlü yönlendirmenin beklendiği gibi çalışmasını sağlar.

Sonuç

Etkin FortiGate varsayılan yönlendirme tasarımı, pratik PBR stratejilerini, gelişmiş BGP yönetimini ve dikkatli yönlendirme doğrulamasını bir araya getirir. İşletmeler, yönlendirme çakışmalarını önleyebilir, istikrarlı internet bağlantısını sürdürebilir ve VPN trafiğini güvenli bir şekilde yönlendirebilir.

Güvenilir FortiGate tedariki, hızlı küresel teslimat ve %100 ücretsiz CCIE uzman desteğiRouter-switch, kapsamlı bir çözüm sunar. Gerçek zamanlı envanter, esnek ödeme seçenekleri ve DDP kargo ile ağınız gecikmeler veya tedarik zinciri sorunları olmadan kesintisiz çalışabilir.

SSS

PBR'nin birincil internet yönlendirmemi geçersiz kılmamasını nasıl sağlayabilirim?

Kritik varış noktaları için /32 statik rotaları kullanın ve ikincil rotalara daha yüksek AD değeri atayın. PBR'yi seçici olarak uygulayın.

VPN yedeklemesi için BGP'yi nasıl entegre ederim?

BGP komşuları için rota haritası önceliklerini ve ağırlıklarını yapılandırın, özyinelemeli miras alma önceliğini devre dışı bırakın ve yük devretme yollarını test edin.

Üretim ortamında yönlendirme değişikliklerini uygulamadan önce neleri doğrulamalıyım?

Yönlendirme tablosu doğrulaması, PBR testi, BGP yenileme, tünel izleme ve günlük kaydı gibi kontrol listesini takip edin.