SDWAN迁移到安装程序。 - Knowledge Base - Palo Alto Networks

SDWAN迁移到安装程序。

25661

Created On 05/06/21 02:07 AM - Last Modified 06/14/22 03:07 AM

Objective

本文将介绍如何将 2 个防火墙迁移到 SDWAN 体系结构。

基本体系结构：

两个防火墙都是与Internet的双重连接：一个链路用作主链路，第二个链路用作辅助链路（如果主链路中断，则备份链路）。
面向公众的接口（E1/1 和 E1/2）位于 L3-不信任区域中。内部接口（E1/6）位于 L3 信任区域中。

目标体系结构：

SDWAN部署后，该WAN部分将由覆盖数据平面处理。

sdwan dataplane

下面，您可以看到以下 SDWAN 各项引入的实际设置：

创建了多个 IPSec 隧道，用于链接到 HQ sdwan.902 接口中的站点A - - 。
互联网接入接口连接到 sdwan.901 接口。

目标体系结构

Environment

PAN-OS 9.1 或以上
Panorama
SDWAN 插件

Procedure

平面化

隧道数量

对于中使用的分支上的Hub接口和 b 接口上的接口，在SDWAN分支和分支之间hub将有 a*b 隧道。
对于hub和分支拓扑，对于 n 个分支，hub插件最多将具有 n SDWAN *a*b IPsec 隧道。
实际数量取决于每个接口类型的接口数量（DIA / VPN）：接口之间DIA有一个完整的隧道网格，只有1个隧道用于VPN（私有）接口。
隧道数需要位于支持的隧道数内firewall。

VPN 地址池

VPN需要为群集定义地址池，VPN以便将地址分配给IP隧道。最多可以定义 20 个池。
根据隧道数（如上定义），所需的地址总数可以计算为隧道总数的两倍（1 个隧道需要 2 IP 个地址）。

BGP 环回池

如果 BGP 选择作为路由协议以通过静态路由来通告子网，则需要为 BGP 使用定义地址池。
地址将自动分配给 loopback.901 接口（本身也由 SDWAN 插件创建）。

BGP AS 数量

如果BGP选择作为路由协议，BGP AS则需要定义号码池。
BGP AS如果数字格式需要为 4 个字节长，则需要在虚拟路由器配置中选中该选项。

Firewall 推送的配置

接口和虚拟路由器配置需要完全由 Panorama管理。

实现

创建新模板

转到 Panorama>模板
单击 "添加"
为模板命名 - 在本例中为"sdwan-branch"。
注意：现在不要创建"sdwan-hub"模板。
点击查看 OK

创建新的设备组

转到 Panorama>设备组
单击" 添加"。
设置设备组的名称。
将父设备组设置为"共享"
单击 OK。

创建安全区域

需要创建安全区域"区域公共"，"区域到hub分支"，"区域到分支"，"区域内部"才能 SDWAN 使插件正常工作。
请注意，区域名称区分
大小写您需要在模板中创建现有区域（在本例中为"L3-信任"和"L3-不信任"）以保留安全策略。

转到 "网络>区"。
确保选择之前创建的模板（sdwan-branch）
单击" 添加"。
设置区域名称。
将区域类型设置为 第 3 层
单击 OK。

创建虚拟路由器

转到 网络>虚拟路由器
确保选择之前创建的模板（sdwan-branch）
单击" 添加"。
将虚拟路由器的名称设置为设备上的实际虚拟路由器名称。
在这种情况下，虚拟名称被命名为"默认"。
单击 OK。

创建接口

需要在此模板中创建连接到虚拟路由器的接口。
由于模板的目的是被所有分支重用，因此我们还将使用模板变量。
因此，将创建接口 E1/1（L3-不信任）、E1/2（L3-不信任）和 E1/6（L3-信任）。

转到 网络>界面>以太网
确保选择之前创建的模板（sdwan-branch）
单击 "添加接口"。

在新窗口中：

设置插槽
设置接口名称。
设置接口类型。

配置选项卡

将虚拟路由器设置为之前创建的虚拟路由器。
设置虚拟系统。
注意：虚拟系统仅在上 Panorama可见，当模式设置为"多 VSYS"时。
将安全区域设置为实际安全区域（L3-不信任）。

IPv4 选项卡

选中选项 启用 SD-WAN。
单击" 添加"。
单击字段 IP 。
单击" 新建变量"。

在新窗口中：

设置变量名称。
将该值设置为 "无"。
单击 OK。
单击 下一个跃点网关 字段。
单击" 新建变量"。

在新窗口中：

设置变量名称。
将该值设置为 "无"。
单击 OK。

SDWAN 选项卡

单击 SD-WAN 接口配置文件。
单击" 新建SD-WAN 接口配置文件"。

在新窗口中：

设置接口配置文件的名称。
tag设置与此配置文件关联的。
设置链接参数。
单击 OK 两次。

对接口 E1/2 和 E1/6 执行相同的步骤。

创建 SDWAN 界面

转到 "网络>界面>SD-WAN
确保选择之前创建的模板（sdwan-branch）。
单击" 添加"。

在新窗口中：

设置接口名称
注意：链接 tag 不用于AnyPathSD-WAN DIA 功能，不在本文档的范围之内。

配置选项卡

将虚拟路由器设置为之前创建的虚拟路由器。
设置虚拟系统。
注意：虚拟系统仅在上 Panorama可见，当模式设置为"多 VSYS"时。
将安全区域设置为实际安全区域（L3-不信任）。

"高级"选项卡

对于要在此 SD-WAN 接口中附加的每个接口：

单击" 添加"。
选择需要在此接口中捆绑的接口。
注意：所有接口需要是相同的类型（DIA 或 VPN）。
在这种情况下，接口 E1/1 和 E1/2 将添加到此接口中。
单击 OK。

创建默认路由

转到 "网络>虚拟路由器
"确保选择之前创建的模板（sdwan-branch）。
单击之前创建的虚拟路由器（默认）。

在新窗口中：

转到 静态路由。
单击" 添加"。

在新窗口中：

设置静态路由的名称。
将目标设置为 0.0.0.0/0
将接口设置为 sdwan。
将"下一跃点"设置为 "无"。
注意：请勿更改默认指标。
单击 OK 两次。

创建流量分布配置文件

转到 对象>流量分布配置文件。
确保选择之前创建的设备组（SDWAN）。
单击" 添加"。
设置流量分布的名称。
设置分发方法
- 最佳可用：它将考虑满足路径质量要求并具有链接的所有链接 tag。
- 拖把优先级：将首先考虑具有第一个链接的链接tag。如果没有匹配项，将考虑具有下一个链接的链接 tag ，依此类推。
- 加权会话分布：会话根据链路 tag上设置的权重共享负载。
单击" 添加"。
选择要考虑的链接 tag 。
单击 OK。