Hiểu về QoS trong Bảo mật mạng: Hướng dẫn Fortinet Enterprise

Trong môi trường mạng có nhu cầu cao hiện nay, thoại, video thời gian thực và các ứng dụng kinh doanh quan trọng cạnh tranh về băng thông hữu hạn. Các tổ chức cần có khả năng quản lý giao thông một cách thông minh, đảm bảo rằng dữ liệu quan trọng luôn được ưu tiên. Khả năng này được gọi là Chất lượng dịch vụ (QoS).

Các nền tảng Fortinet như FortiGate và FortiSwitch, được tích hợp trong Vải bảo mật Fortinet, cung cấp các cơ chế QoS tiên tiến để kiểm soát lưu lượng, đảm bảo hiệu suất cho các ứng dụng nhạy cảm với độ trễ và cải thiện hiệu quả mạng.

Mục lục

• Phần 1: QoS là gì và tại sao nó lại quan trọng
• Phần 2: Các thông số hiệu suất chính được quản lý bởi QoS
• Phần 3: Kỹ thuật và kiến ​​trúc QoS của Fortinet
• Phần 4: Các phương pháp hay nhất để triển khai QoS của Fortinet
• Phần 5: Mọi người cũng hỏi

Phần 1: QoS là gì và tại sao nó lại quan trọng

Chất lượng dịch vụ (QoS) đề cập đến các cơ chế kiểm soát lưu lượng mạng để đảm bảo các ứng dụng quan trọng hoạt động đáng tin cậy ngay cả khi mạng bị tắc nghẽn. Nó cung cấp mức độ ưu tiên cho các ứng dụng, người dùng hoặc luồng dữ liệu khác nhau và đảm bảo băng thông, độ trễ thấp và giảm thiểu mất gói tin.

QoS rất cần thiết cho:

• Thoại qua IP (VoIP) và hội nghị truyền hình
• Truyền phát phương tiện và ứng dụng đám mây
• Các ứng dụng quan trọng của doanh nghiệp đòi hỏi hiệu suất được đảm bảo

Trước khi triển khai QoS, các tổ chức phải xác định các loại lưu lượng quan trọng, tốn nhiều băng thông hoặc nhạy cảm với độ trễ để thiết kế các chính sách QoS hiệu quả.

Phần 2: Các thông số hiệu suất chính được quản lý bởi QoS

QoS đảm bảo hiệu suất tối ưu bằng cách quản lý:

• Độ trễ (Độ trễ): Thời gian để một gói tin di chuyển từ nguồn đến đích; giảm thông qua việc ưu tiên lưu lượng.
• Bồn chồn: Sự thay đổi về thời gian đến của gói tin ảnh hưởng đến chất lượng giọng nói/video.
• Mất gói dữ liệu: Dữ liệu bị mất do tắc nghẽn hoặc kém hiệu quả; QoS quyết định loại bỏ gói tin nào nếu cần thiết.
• băng thông: Đảm bảo các luồng quan trọng nhận được dung lượng được đảm bảo mà không làm ảnh hưởng đến lưu lượng khác.

Phần 3: Kỹ thuật và kiến ​​trúc QoS của Fortinet

FortiGate và FortiSwitch sử dụng kết hợp định hình giao thông, kiểm soát và xếp hàng để thực thi QoS.

• Cảnh sát giao thông: Loại bỏ các gói tin vượt quá giới hạn đã xác định.
• Điều hướng giao thông: Đảm bảo băng thông tối thiểu, giới hạn mức sử dụng tối đa, ổn định lưu lượng truy cập.
• Xếp hàng: Chỉ định các gói tin vào hàng đợi ưu tiên; lưu lượng có mức độ ưu tiên cao hơn sẽ được truyền trước.

Phân loại và đánh dấu

• Lớp 3 (DSCP/ToS): Đánh dấu các gói tin ở lớp IP theo mức độ ưu tiên; DSCP sử dụng trường 6 bit với 64 giá trị.
• Lớp 2 (CoS/802.1p): Đánh dấu các gói tin trong khung Ethernet; phạm vi ưu tiên từ 0–7.

Triển khai QoS FortiGate

• Sử dụng chính sách bảo mật và ưu tiên dựa trên ToS để phân phối lưu lượng trên sáu hàng đợi trên mỗi giao diện.
• Hàng đợi mặc định là 0 nếu không có thứ tự ưu tiên nào được thiết lập.
• Đảm bảo băng thông giúp lưu lượng quan trọng được ưu tiên; lưu lượng vượt mức có thể giảm xuống hàng đợi 0 nếu vượt quá giới hạn.

Triển khai QoS của FortiSwitch

• Hỗ trợ Ánh xạ 802.1p, ánh xạ DSCP, chính sách thoát và thuật toán lập lịch hàng đợi (SP, WRR, WRED/RED).
• Hàng đợi 7 được dành riêng cho lưu lượng điều khiển như STP và LLDP.
• SP (Ưu tiên nghiêm ngặt) đảm bảo lưu lượng nhạy cảm với độ trễ (VoIP/video) luôn thắng thế; WRR đảm bảo tính công bằng.

Phần 4: Các phương pháp hay nhất để triển khai QoS của Fortinet

1. Xác định và phân loại lưu lượng giao thông: Ưu tiên các ứng dụng nhạy cảm với độ trễ (VoIP), băng thông cao và quan trọng đối với doanh thu.
2. Tránh ưu tiên kép: Sử dụng chính sách bảo mật hoặc dựa trên ToS; tránh kết hợp cả hai.
3. Quản lý đảm bảo băng thông một cách cẩn thận: Chỉ phân bổ băng thông được đảm bảo cho các dịch vụ chính.
4. Đặt giới hạn chính xác: Ngăn chặn tình trạng mất gói tin quá mức do chính sách hạn chế quá mức.
5. Sử dụng UDP để kiểm tra: Cung cấp phép đo chính xác hơn TCP khi tắc nghẽn.
6. Tránh đăng ký quá mức: Đảm bảo tổng băng thông được đảm bảo < băng thông ra khả dụng.
7. Cài đặt tin cậy FortiSwitch: Không bật Dot1p và DSCP trust trên cùng một giao diện/cổng cùng lúc.

Chính sách QoS mạnh mẽ hoạt động giống như một nhân viên cổng hàng không, đảm bảo các "hành khách" quan trọng (gói VoIP/video) được ưu tiên đi trên làn đường trong khi các chuyến bay chuyển tiếp số lượng lớn phải chờ ở hàng ghế phổ thông.

Phần 5: Mọi người cũng hỏi

Làm thế nào để thực hiện QoS trên FortiGate?

Cấu hình QoS trên FortiGate bao gồm:
1. Xác định mức độ ưu tiên: Sử dụng mức độ ưu tiên dựa trên ToS hoặc mức độ ưu tiên của chính sách bảo mật để phân loại lưu lượng.
2. Chỉ định hàng đợi: Lưu lượng được phân bổ cho sáu hàng đợi khả thi trên mỗi giao diện. Hàng đợi mặc định là 0 nếu không có mức độ ưu tiên nào được thiết lập.
3. Quản lý băng thông: Sử dụng Traffic Policing để loại bỏ các gói tin dư thừa và Traffic Shaping để đảm bảo tốc độ tối thiểu mà không vượt quá tốc độ tối đa.
Thực hành tốt nhất: Cấu hình mức độ ưu tiên dựa trên ToS hoặc chính sách bảo mật, nhưng không phải cả hai, để đơn giản hóa việc khắc phục sự cố.

QoS là lớp 2 hay 3?

QoS hoạt động ở cả Lớp 2 và Lớp 3:
- Lớp 2 (Liên kết dữ liệu): Sử dụng Lớp dịch vụ (CoS) thông qua 802.1p để đánh dấu khung Ethernet.
- Lớp 3 (Mạng): Sử dụng DSCP (Điểm mã dịch vụ khác biệt) trong tiêu đề IP.

Bật hay tắt QoS thì tốt hơn?

Phụ thuộc vào yêu cầu của mạng:
- Đề xuất BẬT: Đối với lưu lượng băng thông cao hoặc nhạy cảm với độ trễ (VoIP, hội nghị truyền hình, phát trực tuyến), QoS đảm bảo hiệu suất và độ tin cậy.
- Sử dụng cẩn thận: QoS cấu hình không đúng có thể làm tăng độ phức tạp và phát sinh chi phí; hãy luôn xác định lưu lượng quan trọng trước.

Mức độ ưu tiên 0-7 trong QoS là gì?

Phạm vi 0-7 biểu thị mức độ ưu tiên CoS 802.1p:
- 0: Mức độ ưu tiên thấp nhất (Cố gắng tốt nhất)
- 7: Mức ưu tiên cao nhất
- Trên FortiSwitch, hàng đợi 7 thường được dành riêng cho lưu lượng điều khiển như STP và LLDP.