شرح SD-WAN في الفورتي جيت لخطّي إنترنت مع Performance SLA “دروس شرح فورتي جيت 13”

نكمل سلسلة شرح كورس فورتي جيت فايروول بالعربي، شرح عملي خطوة بخطوة على FortiOS 7.4 و 7.6.

فيما سبق تم شرح

1. مقدمة عن فورتي جيت FortiGate
2. طريقة تنزيل وضبط اعدادات ال VM FortiGate
3. ضبط اعدادات كرت الشبكة على جهاز الكلاينت (Client)
4. طريقة عمل reset لعدد الأيام (14) للـ VM FortiGate
5. مشكلة انتهاء الـ License للفورتي جيت
6. باك اب لإعدادات الـ FortiGate واستعادتها
7. شرح مكونات وواجهات الفورتي جيت
8. طريقة تغيير باسورد الأدمن في FortiGate
9. طريقة توصيل الانترنت لجهاز الفورتي جيت
10. ترقية الـ Firmware لجهاز الفورتي جيت
11. إنشاء يوزر جديد و Administration profiles
12. ما هو الفورتي جارد FortiGuard

في الدرس التاسع ربطنا الفورتي جيت بالإنترنت عبر خط واحد، لكن أغلب الشركات اليوم تعتمد على خطين أو أكثر من مزودي خدمة مختلفين. السؤال هنا: كيف نستخدم الخطين معًا، ونحوّل الترافيك تلقائيًا إلى الخط السليم إذا تعطل الآخر أو أصبح بطيئًا؟ الإجابة في الفورتي جيت هي SD-WAN. في هذا الدرس سنبني إعداد SD-WAN كاملًا لخطّي إنترنت على port1 وport2، من إضافة الأعضاء إلى الـ Performance SLA والـ SD-WAN Rules ثم المراقبة واستكشاف الأخطاء.

ما هو SD-WAN في الفورتي جيت؟

SD-WAN (Software-Defined WAN) هو أسلوب لإدارة عدة وصلات WAN كمجموعة واحدة، بحيث يقرر الجهاز أي وصلة يستخدمها لكل نوع ترافيك بناءً على جودة الوصلة الفعلية (Latency وJitter وPacket Loss) وعلى قواعد تحددها أنت، بدلًا من مجرد Default Route ثابت.

تاريخيًا كانت الفكرة في الإصدارات القديمة تُعرف بـ WAN Link Load Balancing، أي توزيع الترافيك على أكثر من خط فقط. ثم ظهرت واجهة افتراضية واحدة اسمها virtual-wan-link تُدار بالأمر config system virtual-wan-link. ومنذ FortiOS 6.4 تغيّر الأمر إلى config system sdwan وأصبح بالإمكان تقسيم الأعضاء إلى SD-WAN Zones، وهذا هو الأسلوب المعتمد في كل إصدارات 7.x. ما زالت الـ Zone الافتراضية تحمل اسم virtual-wan-link.

المكونات الأساسية

• SD-WAN Member: واجهة فعلية (أو نفق IPsec) تنضم إلى SD-WAN، ولكل عضو Gateway وCost وPriority.
• SD-WAN Zone: مجموعة أعضاء تُستخدم كواجهة واحدة في الـ Static Routes والـ Firewall Policies.
• Performance SLA: فحص صحة (Health Check) يرسل Probes إلى سيرفر معين عبر كل عضو ليقيس الجودة ويكتشف انقطاع الخط.
• SD-WAN Rules: قواعد توجيه تحدد لأي ترافيك تُستخدم أي وصلة وبأي استراتيجية. في آخر القائمة توجد قاعدة ضمنية (Implicit Rule) توزع ما لم يطابق أي قاعدة.

سيناريو المثال

الواجهة	الدور	العنوان	الـ Gateway
port1	ISP1 (الخط الأساسي الأرخص)	203.0.113.2/30	203.0.113.1
port2	ISP2 (الخط الاحتياطي)	198.51.100.2/30	198.51.100.1
port3	LAN	192.168.10.1/24	–

قبل البدء: تجهيز الواجهات

لا يقبل الفورتي جيت إضافة واجهة كعضو في SD-WAN إذا كانت مستخدمة (Referenced) في Static Route أو Firewall Policy أو غيرهما. لذلك إذا كنت قد أنشأت Default Route على port1 أو Policy من port3 إلى port1 كما في درس الاتصال بالإنترنت، احذفهما أولًا (أو غيّر الواجهة فيهما). يمكنك معرفة الإشارات من عمود Ref. في صفحة Network > Interfaces.

خطوات الإعداد من الواجهة الرسومية

1. إضافة الأعضاء إلى الـ Zone

1. اذهب إلى Network > SD-WAN ثم تبويب SD-WAN Zones.
2. اضغط Create New > SD-WAN Member.
3. في Interface اختر port1، واترك SD-WAN Zone على virtual-wan-link.
4. اكتب Gateway = 203.0.113.1 (إذا كانت الواجهة DHCP يُترك 0.0.0.0).
5. اترك Cost = 0 لأنه الخط الأرخص، واضبط Status على Enable ثم OK.
6. كرر الخطوات لـ port2 مع Gateway = 198.51.100.1 وCost = 10 مثلًا.

2. إنشاء Default Route إلى الـ Zone

1. اذهب إلى Network > Static Routes واضغط Create New.
2. اترك Destination على 0.0.0.0/0.0.0.0.
3. في Interface اختر الـ Zone virtual-wan-link (وليس port1 أو port2). لاحظ أن خانة الـ Gateway تختفي لأن كل عضو يستخدم الـ Gateway المعرّف له.
4. اضغط OK.

3. إنشاء Firewall Policy إلى الـ Zone

1. من Policy & Objects > Firewall Policy اضغط Create New.
2. Incoming Interface = port3، وOutgoing Interface = virtual-wan-link.
3. Source = LAN_Net، Destination = all، Service = ALL، Action = ACCEPT.
4. فعّل NAT مع Use Outgoing Interface Address، وفعّل Log Allowed Traffic ثم OK.

4. إنشاء Performance SLA

1. من تبويب Performance SLAs اضغط Create New.
2. Name = Internet_HC، Protocol = Ping، Server = 8.8.8.8 و1.1.1.1.
3. في Participants اختر Specify وأضف port1 وport2.
4. فعّل SLA Target واضبط مثلًا Latency threshold = 150ms وJitter threshold = 30ms وPacket Loss threshold = 2%.
5. في Link Status اضبط Check interval وFailures before inactive وRestore link after (القيم الافتراضية 500ms و5 و5).
6. تأكد من تفعيل Update static route حتى يُسحب الـ Route الخاص بالعضو من جدول التوجيه عند فشل الفحص.

5. إنشاء SD-WAN Rule

من تبويب SD-WAN Rules اضغط Create New، حدد Source وDestination (عنوان أو Internet Service أو Application)، ثم اختر استراتيجية اختيار الواجهة:

الاستراتيجية (GUI)	القيمة في CLI	السلوك
Manual	manual	تحدد الواجهات بالترتيب يدويًا دون الاعتماد على SLA.
Best Quality	priority	يختار الوصلة الأفضل وفق معيار جودة واحد (Latency أو Jitter أو Packet Loss…).
Lowest Cost (SLA)	sla	يختار الوصلة التي تحقق الـ SLA وأقل Cost، وعند التساوي يتبع ترتيب الواجهات.
Maximize Bandwidth (SLA)	load-balance (قبل 7.4.1)	توزيع الترافيك على كل الوصلات المحققة للـ SLA. في 7.4.1 وما بعده أُلغي كاستراتيجية مستقلة وأصبح خيار Load Balancing داخل Lowest Cost (SLA) أو Manual (set load-balance enable).

في مثالنا نختار Lowest Cost (SLA) مع الـ SLA Internet_HC، وبذلك يخرج كل الترافيك من port1 ما دام يحقق الـ SLA، ويتحول إلى port2 تلقائيًا إذا تجاوز port1 حدود الجودة أو انقطع.

الإعداد المكافئ من CLI

config system sdwan
    set status enable
    config members
        edit 1
            set interface "port1"
            set zone "virtual-wan-link"
            set gateway 203.0.113.1
            set cost 0
        next
        edit 2
            set interface "port2"
            set zone "virtual-wan-link"
            set gateway 198.51.100.1
            set cost 10
        next
    end
    config health-check
        edit "Internet_HC"
            set server "8.8.8.8" "1.1.1.1"
            set protocol ping
            set members 1 2
            set update-static-route enable
            config sla
                edit 1
                    set latency-threshold 150
                    set jitter-threshold 30
                    set packetloss-threshold 2
                next
            end
        next
    end
    config service
        edit 1
            set name "Internet-LowestCost"
            set mode sla
            set dst "all"
            set src "LAN_Net"
            config sla
                edit "Internet_HC"
                    set id 1
                next
            end
            set priority-members 1 2
        next
    end
end

config router static
    edit 1
        set sdwan-zone "virtual-wan-link"
    next
end

config firewall policy
    edit 1
        set name "LAN-to-Internet"
        set srcintf "port3"
        set dstintf "virtual-wan-link"
        set srcaddr "LAN_Net"
        set dstaddr "all"
        set action accept
        set schedule "always"
        set service "ALL"
        set logtraffic all
        set nat enable
    next
end

ملاحظة: الكائن LAN_Net هو Address Object للشبكة 192.168.10.0/24 ويجب إنشاؤه قبل استخدامه (سنشرح الـ Address Objects في الدرس القادم). وإذا أردت توزيع الترافيك بدل الـ Failover، أضف set load-balance enable داخل القاعدة على إصدارات 7.4.1 وما بعدها.

المراقبة والتحقق

من الواجهة الرسومية تعرض صفحة Network > SD-WAN حالة كل عضو واستهلاك الـ Bandwidth وعدد الـ Sessions، ويعرض تبويب Performance SLAs رسومًا بيانية لقيم Latency وJitter وPacket Loss لكل خط وهل يحقق الـ SLA أم لا. ومن CLI:

diagnose sys sdwan member

diagnose sys sdwan health-check

diagnose sys sdwan service4
diagnose sys sdwan service

get router info routing-table all

في ناتج diagnose sys sdwan health-check يجب أن ترى لكل عضو state(alive) مع قيم packet-loss وlatency وjitter. والحقل sla_map=0x1 يعني أن العضو يحقق الـ SLA رقم 1، بينما 0x0 يعني أنه لا يحققه. أما في جدول التوجيه فيجب أن يظهر S* 0.0.0.0/0 مرتين: عبر port1 وعبر port2. لاختبار الـ Failover افصل كابل port1 أو أوقف الـ Gateway، وراقب تحول حالة العضو إلى dead واختفاء الـ Route الخاص به.

أخطاء شائعة

• عدم القدرة على إضافة الواجهة كعضو: السبب غالبًا وجود Route أو Policy يشير إلى الواجهة. احذف الإشارات أولًا.
• نسيان الـ Gateway: عضو بـ Gateway = 0.0.0.0 على واجهة Static لن يُنشأ له Route، فلا يخرج منه أي ترافيك.
• Policy على port1 بدل الـ Zone: بعد ضم الواجهة للـ SD-WAN يجب أن تكون الـ Outgoing Interface في الـ Policy هي الـ Zone.
• اختيار Health-Check Server غير مستقر: إذا كان السيرفر نفسه يحجب ICMP أو يحدّه، سيُعتبر الخط معطلًا وهو سليم. استخدم سيرفرين وفكر في HTTP أو DNS كبروتوكول فحص.
• تعطيل Update static route: عندها يبقى الـ Route في الجدول حتى بعد فشل الخط، فيتعطل الـ Failover للترافيك الذي لا يطابق أي قاعدة.
• اختلاف الـ Distance: الـ Default Route عبر الـ SD-WAN Zone يأخذ Distance افتراضيًا 1، بينما الـ Route الذي تتعلمه واجهة DHCP يأخذ 5 والـ Static Route العادي على واجهة يأخذ 10؛ إذا بقيت Routes قديمة بمسافات مختلفة لنفس الوجهة فقد يُستخدم أحد الخطين فقط، فتأكد أن العضوين يظهران في جدول التوجيه بنفس الـ Distance.

الخلاصة

SD-WAN في الفورتي جيت يحوّل خطوط الإنترنت المتعددة إلى منظومة ذكية: نضم الواجهات كأعضاء في Zone، ونوجه الـ Default Route والـ Firewall Policy إلى الـ Zone، ثم نقيس جودة كل خط بـ Performance SLA، ونستخدم SD-WAN Rules لتحديد الخط المناسب لكل ترافيك بين Lowest Cost وBest Quality وManual مع خيار Load Balancing. ولا تنس التحقق دائمًا بالأوامر diagnose sys sdwan member وdiagnose sys sdwan health-check. في الدرس القادم نتعمق في الـ Firewall Policies التي تتحكم في كل ما يمر عبر الجهاز.