在本课中，你将了解FortiGate上可用的SD-WAN功能。
在这节课中，你将学习上图显示的主题。
完成本部分后，你应该能够实现上图显示的目标。
通过了解SD-WAN解决方案及其用例，你应该能够识别可以部署SD-WAN以有效、安全地在WAN链路上分配流量的最常见场景。
根据Gartner的说法，软件定义的广域网（SD-WAN）在多个广域网连接中提供动态的、基于策略的应用程序路径选择，并支持其他服务的服务链，如广域网优化和防火墙。Fortinet的SD-WAN实现被称为安全SD-WAN，因为它还通过利用FortiOS上可用的内置安全功能来提供安全性。
安全的SD-WAN依赖于众所周知的FortiOS功能，如IPsec、链路监控、高级路由、互联网服务数据库（ISDB）、流量整形、UTM检查和负载平衡。然后，管理员可以结合这些功能并设置规则，这些规则定义FortiGate如何根据多个因素（例如为流量确定的协议、服务或应用程序，以及链接的质量）跨广域网引导流量。请注意，SD-WAN控制输出流量，而不是输入流量。这意味着返回流量可能会使用与SD-WAN选择的出口链路不同的链路。
SD-WAN的一个好处是有效使用WAN。也就是说，你可以使用公共（例如，宽带或LTE）和私有（例如，MPLS）链接来安全地将流量引导到不同的目的地：互联网、公共云、私有云和企业网络。这种使用不同类型的链路将站点连接到私有和公共网络的方法被称为混合广域网。使用混合广域网可以降低成本，主要是因为管理员通常通过低成本的快速互联网链路引导流量，而不是通过高成本的慢速私有链路。结果是，私有链接，如MPLS链接，通常仅用于引导关键流量，或用作高可用性的故障转移链路。
SD-WAN的另一个好处是提高了应用程序性能，因为你可以通过满足应用程序要求的最佳链路引导流量。在拥堵期间，你可以利用流量整形来优先考虑敏感和关键的应用程序，而不是那些不太重要的应用程序。
直接互联网访问（DIA），也称为本地突破，可以说是SDWAN最常见的用例。一个网站有多个互联网链路（也称为底层链路），管理员希望FortiGate引导跨链路的互联网流量。链路使用不同类型的物理接口连接到FortiGate：物理端口、VLAN、链路聚合（LAG）、USB调制解调器或通过FortiExtender。
通常，管理员选择通过性能最好的链路发送敏感流量，同时使用最佳努力方法在一个或多个链路上分配非关键流量。昂贵的互联网链路通常用作备份链路，或仅用于引导关键流量。
由于互联网流量直接在本地站点上离开组织边界，管理员通常对互联网流量执行严格的安全策略。对于路由，典型的配置使用静态默认路由。然而，在某些情况下，BGP在ISP和FortiGate之间使用，特别是当网站必须发布公共IP前缀时。
管理员还可以手动定义每个链路的上游和下游速度，以防止在流量分配期间饱和。或者，他们可以将FortiGate配置为使用SD-WAN带宽监控服务对FortiGuard运行速度测试，然后根据测试结果自动调整链路的上游和下游速度。
你可以使用SD-WAN来引导公司站点到站点的流量。通常，公司遵循星型拓扑结构，并使用VPN隧道（通常是动态IPsec隧道）在站点之间传输流量。隧道（也称为叠加链路）是通过互联网或MPLS链接（也称为底层链路）建立的。隧道还可以将互联网流量从分支传输到中央，然后流出到互联网。
SD-WAN可以监控隧道的链路质量，并为敏感和关键流量选择性能最好的链路。
对于路由，静态路由是可能的，但动态路由协议，如BGP，通常用于通过隧道交换路由信息。在添加新站点时，动态路由更容易扩展。
与DIA类似，中央FortiGate可以对分支运行速度测试，以确定隧道的上游速度。然后，中央FortiGate可以将速度测试结果应用为隧道上的上游速度，用于流量整形目的。
在上图显示的示例中，每个站点都配置了两个叠加层，一个使用互联网底层，另一个使用MPLS底层。SD-WAN引导分支到中央流量。
远程互联网访问（RIA），也称为远程分组，是SD-WAN的另一个用例。来自分支的互联网流量使用叠加链路通过广域网回程。当流量到达中央时，它会流入互联网。
使用RIA的最常见原因是将安全检查和互联网接入集中在中央上。例如，你可以有一个中央高端FortiGate设备来检查离开组织并符合公司政策的所有互联网流量，而不是让每个低端分支FortiGate设备来检查流量，从而降低成本和管理开销。
使用RIA的另一个原因是DIA备份。例如，如果互联网链路上的互联网应用程序测量的性能比MPLS链接上的性能差，或者只是互联网链路变得不可用，你可以配置FortiGate通过MPLS链接引导互联网流量。
非常好！你已经了解了SD-WAN的基础知识。接下来你将了解SD-WAN的原理。
通过展示SD-WAN原理的能力，你应该能够配置基本的SD-WAN设置。
要定义SD-WAN规则，请使用：
● 成员：这些是用于引导流量的逻辑或物理接口。
● 区域：区域是用于优化配置的成员组。
● 性能 SLA 规则：借助性能SLA 规则，你可以定义你希望如何监控成员的状态以及你希望监控的性能标准。它可以是数据包丢失、抖动、延迟或几个标准的加权组合。
你首先定义应用程序或流量的匹配标准。然后，你指明要遵循的远期政策，以引导跨一个或多个成员和区域的流量，包括要应用的策略和确定首选成员的性能指标。
在接下来中，你将详细了解构成SD-WAN规则的每个元素。
你首先定义应用程序或流量的匹配标准。然后，你指明要遵循的远期策略，以引导跨一个或多个成员和区域的流量，包括要应用的策略和确定首选成员的性能指标。
根据正在使用的策略，首选成员是区域内最好的活跃成员。然后，FortiGate使用首选成员（前提是它们是可以接受的）来引导流量。对于所有策略，如果你不激活负载均衡模式，FortiGate会选择一个成员来引导流量。在本课程的后面，你将发现可用的策略。
如果用户定义的SD-WAN规则都没有匹配，那么FortiGate会使用隐式规则。
上图的示例显示了三个用户定义的规则。一个名为Corp的规则，用于将关键流量从分支机构引导到总部。该规则通过叠加链路（T_INET和T_MPLS）将流量从LAN-net引导到Corp-net。成员选择使用延迟标准完成，T_MPLS是选定的成员。关键DIA和非关键DIA规则，FortiGate用于通过底板区域（端口1和端口2）引导DIA流量，根据正在使用的应用程序区分链接选择。请注意，只有规则配置最重要的部分显示在输出中。
FortiGate以与防火墙策略相同的方式评估SD-WAN规则：从上到下，使用第一个匹配。然而，与防火墙策略不同，它们用于引导流量，而不是允许流量。当你使用SDWAN规则时，你必须配置相应的防火墙策略以允许SD-WAN流量。
默认创建了一个隐式SD-WAN规则。它总是出现在SD-WAN规则列表的底部。如果用户定义的SD-WAN规则都没有匹配，则使用隐式规则。这意味着FortiGate根据常规流程路由交通。默认情况下，隐式规则负载平衡所有可用的SD-WAN成员之间的流量。在上述示例中，隐式规则可以根据路由表中的最佳匹配，通过叠加（T_INET，T_MPLS）或下层（端口1，端口2）成员引导流量。
你可以双击隐式规则来显示负载均衡选项。默认情况下，隐式规则根据源IP负载均衡流量。你可以根据源-目的地IP、会话、容量或溢位来决定负载均衡。
配置SD-WAN的第一步是定义成员并将其分配给区域。此配置在SD-WAN区域页面上完成。
成员（也称为链路）是你选择作为SD-WAN一部分的现有物理或逻辑FortiOS接口。然后，FortiGate使用接口根据配置的SD-WAN规则来引导流量。
当你在SD-WAN中配置成员时，你必须将其分配给一个区域，并可选择设置网关。区域是接口的逻辑分组。区域中的接口具有类似的配置要求。与FortiGate接口区域一样，SD-WAN区域的目标是在配置中引用它们，而不是单个成员，通过避免重复设置来优化配置。设置后，FortiGate使用网关设置作为下一个跳跃，通过成员转发流量。
FortiGate默认创建一个区域，称为virtual-wan-link区域。如果你不将任何新成员分配给用户定义的区域，FortiGate将放置任何新成员。
上图的示例显示了默认的SD-WAN区域（virtual-wan-link）和两个用户定义的区域：underlay和overlay。underlay区域包含port1和port2作为成员，用于基本的DIA设置。请注意，尽管该区域被命名为underlay，因为它包含这种类型的成员，但你可以分配任何你喜欢的名称。
在SD-WAN环境中，底层和叠加层这两个术语通常用于描述SD-WAN成员的链路类型。
底层是指你可以从ISP租用或购买的物理链路，如电缆、DSL、光纤、MPLS、3G/4G/5G/LTE和ATM链路。这些链路是ISP物理基础设施的一部分，负责跨网络传输数据包。通过底层传输的流量仅限于ISP部署的路由策略，因此，数据包源和目标IP地址必须在ISP网络中可路由。此限制使你定义网络寻址计划的选项有限。此外，通过底层传输的流量通常不会被ISP网络加密，这意味着如果发件人不加密数据，未经授权的一方可以访问敏感数据。
叠加层是你在底层之上构建的虚拟链路。叠加层的一个常见示例是IPsec隧道。由于原始数据包通常封装在ESP数据包中，因此通过IPsec隧道通信的网络不再局限于ISP的路由策略。此外，IPsec提供的隐私和身份验证功能可以保护你的流量免受未经授权的访问。
上图显示了FortiGate作为SD-WAN成员支持的不同底层和叠加层链路。
通常，你应该根据SD-WAN成员的链路类型应用一组不同的策略。例如，你可能想要启用NAT，并对通过底层链路发送的互联网流量应用严格的安全策略，因为流量直接离开站点边界。相反，你可能想要禁用NAT，并对通过叠加层链路发送的流量应用基本过滤和检查，因为远程站点是完全可路由的，并对流量执行进一步的过滤和检查。
SD-WAN区域允许管理员对需要一组类似防火墙策略的成员进行分组。通常，这意味着将底层和叠加层分组到不同的SD-WAN区域。
FortiGate默认创建virtual-wan-link SD-WAN区域，你无法删除该区域。它包含任何未明确分配给用户定义的SD-WAN区域的SDWAN成员。为你的SDWAN流量定义的防火墙策略必须引用SD-WAN区域，不能引用单个SD-WAN成员。
上图显示的拓扑结构显示了一个分支机构，其中配置了两个 SD-WAN 区域：叠加层和底层。叠加层SD-WAN区域由IPsec隧道组成，底层SD-WAN区域由互联网链路和3G/4G链路组成。分支机构使用叠加层访问总部网络，使用底层访问公共云中的服务。通过将SD-WAN成员划分为区域，你可以将同一组防火墙策略应用于一个区域，而不必将它们应用于其单个成员，从而减少管理开销并构建更干净的配置。
定义SD-WAN成员并将其分配给区域后，你可以在性能SLA页面上监控SDWAN成员的运行状况。虽然配置性能SLA是可选的，但你应该对其进行配置，以确保成员满足转向流量的运行状况和性能要求，这对于通过SD-WAN的有效使用广域网至关重要。
FortiGate性能SLA监控每个成员的状态（无论它是活的还是死的）并测量成员数据包丢失、延迟和抖动。然后，SD-WAN使用成员健康信息根据配置的SD-WAN规则做出流量转向决策。例如，你可以指示FortiGate将互联网流量引导到成员，前提是成员还活着，并且其延迟不超过给定的阈值。性能SLA还会检测接口物理上启动的情况，但FortiGate无法到达所需的目的地，并将相应的链路标记为死亡。
配置性能 SLA 时，你可以决定是主动还是被动地监控链路运行状况。在主动监控中，性能SLA定期检查成员的运行状况，默认情况下，每500毫秒检查一次，将探针从成员发送到充当信标的一两台服务器。在被动监控中，性能SLA根据通过成员的流量来确定成员的运行状况。请注意，只有主动监控才能检测链接是活的还是死的。
上图的示例显示了一个名为 Corp_HC 的条目。该条目包含两台服务器，两台服务器都用于监控端口1和端口2的运行状况。性能SLA VPN_PING监控两个叠加层隧道T_INET和T_MPLS的运行状况。结果表明，成员还活着（绿色箭头），报告没有数据包丢失，并且有平均延迟值。（抖动也被测量，但在本例中不可见。）
配置性能 SLA 规则时，首先定义链路健康监控参数。
在本节中，你将定义FortiGate用于监控链路质量的探测模式：
● 主动：FortiGate将活动探针发送到配置的服务器，以监控链路运行状况。
● 被动：FortiGate使用通过链路的流量来评估链路的运行状况。它使用来自所选防火墙策略（启用了passivewan-health-measurement参数的防火墙策略）上流量的会话信息。
● 被动优先：FortiGate使用被动监控，只有在没有通过链路的流量时，才会发送探针。
你最多可以指定两个服务器作为你的信标。这可以防止服务器过错，而不是链路。
SLA 目标部分是可选的。在这里，你可以定义活跃成员的性能要求（延迟、抖动和数据包丢失阈值）。性能SLA使用带有一些SD-WAN规则策略的SLA目标，如最低成本（SLA）来决定链路是否符合流量引导的条件。
链路状态部分可用于主动和首选被动探针模式。在这里，你定义了FortiGate通过每个监控链接发送探针的频率，以及在宣布链路为死亡之前接受多少次失败的探针。
上图的示例显示了名为 Corp_HC 的性能 SLA 的配置。它定义了主动探测模式，以及SLA目标和探测配置的默认值。它监控两个底层接口，端口1和端口2的状态和性能。
规则中的策略定义了首选成员的要求。首选成员是出站接口（oif）列表中的最佳成员（基于正在使用的策略）符合SLA要求（如果适用）。oif列表按偏好对配置的成员进行排序。也就是说，虽然成员相同，但它们在oif列表和接口偏好列表中的顺序可能不同。你可以选择三种策略：
● 手工：FortiGate根据配置顺序更喜欢成员。成员指标不计用于成员偏好。
● 最佳质量：FortiGate根据配置的质量标准更喜欢表现最好的成员。
● 最低成本（SLA）：FortiGate更喜欢符合配置的SLA目标的成员。如果多个成员达到 SLA 目标，则成员成本，然后是配置顺序，用作决胜局。
你可以将策略手工和最低成本（SLA）与负载均衡选项结合使用，以指示FortiGate通过多个成员引导流量。当你将手工与负载均衡相结合时，FortiGate将流量分配给所有已启动的成员。当负载均衡与最低成本（SLA）策略结合使用时，FortiGate将流量分配给满足SLA目标的所有成员。
请注意，对于所有策略，默认情况下，FortiGate必须检查首选成员是否有前往目的地的有效路线。如果成员没有有效的路线，那么FortiGate会检查oif列表中的下一个成员，以此类推，直到它找到可接受的成员。此外，除手工外，所有策略都考虑成员偏好的成员指标。
● 源IP地址、源接口、防火墙用户和防火墙用户组。如果你想指定源接口，你应该使用CLI命令input-device和input-device-negate。
● 目的IP地址，IP协议，目的端口号
● 互联网服务
● 应用程序：单个应用程序、应用程序类别或应用程序组
● 服务类型（ToS）
SD-WAN规则为流量匹配提供了极大的灵活性。例如，你可以匹配来自特定身份验证用户的Netflix流量，或匹配前往特定地址的ICMP流量（IP协议1）。
请注意，默认情况下，GUl规则配置菜单不会显示应用程序标准字段。如果你想使用此功能，你应该从CLl下config system global启用标准可见性。
1. FortiGate为数据包目标IP（dstip）执行转发信息库（FIB）查询。如果fib-best-match的解析接口不是SD-WAN成员，那么FortiGate将进入下一个规则。这种行为遵循关键路由原则：如果前往目的地的最佳路由不是SD-WAN成员，则跳过SD-WAN规则。
2. 如果解析的接口是SD-WAN成员，那么FortiGate在oif列表中查找一个或多个可接受的成员，从列表中的第一个成员开始。可接受的成员是指有前往目的地的路线的活着的成员。此行为遵循密钥路由原则：如果规则中配置的成员都没有通往目的地的有效路由，则跳过SD-WAN规则。
如果FortiGate找到一个可接受的成员，它会将数据包转发给该成员，然后进行防火墙策略检查，规则查找过程结束。否则，FortiGate将进入下一个规则。如果跳过所有规则，那么FortiGate将使用标准路由路由数据包，因此关键路由原则：隐式SD-WAN规则等于标准FIB查找。
你可以以与常规防火墙策略相同的方式配置SD-WAN防火墙策略，但在选择出站或入站接口时，你必须引用指向SD-WAN区域的接口。引用区域时，通过避免重复防火墙策略来简化配置。你不能在防火墙策略中使用SD-WAN区域的单个成员。
上图的示例显示了引用underlay和overlay SD-WAN区域的防火墙策略。underlay区域包含作为成员的端口1和端口2，overlay区域包含T_INET和T_MPLS。这些策略还包含单个端口port3的接口，作为源或目的地。此接口不是SD-WAN区域的一部分。
当你配置SD-WAN规则时，FortiGate基本上在FortiOS上应用策略路由。出于这个原因，在学习SD-WAN中的路由如何工作之前，首先了解策略路由是有用的。
静态路由很简单，通常用于小型网络。然而，策略路由更灵活，因为它们可以匹配的不仅仅是目标IP地址。例如，你可以将传入接口、源和目标子网、协议和端口号配置为匹配标准。由于常规策略路由优先于任何其他路线，因此尽可能缩小匹配标准是最佳做法。否则，预计由SD-WAN规则或转发信息库（FIB）中的其他路由路由的流量可以通过常规策略路由来处理。
上图显示了使用FortiGate GUl配置的策略路由示例。策略路由指示FortiGate匹配在端口5接收的流量，该流量来自10.0.0/24，并指向主机10.10.10.10。流量还必须指向TCP端口10444，以便策略路由匹配。然后，FortiGate通过网关192.2.0.2将流量（转发流量操作）转发到端口1。
当数据包与策略路由匹配时，FortiGate会采取两个操作之一。要么将数据包路由到配置的出站接口和网关（正向流量操作），要么停止检查策略路由（停止策略路由操作），因此数据包根据FIB进行路由。
注意，配置动作为转发流量时，目的地址、流出接口和网关地址的配置必须与FIB中的路由匹配。否则，该策略路由将被认为无效，并因此被跳过。
另请注意，策略路由优先于SD-WAN规则以及FIB中的任何路由。也就是说，如果数据包与策略路由匹配，并且策略路由在FIB中有一个匹配的路由，那么FortiGate不会检查任何配置的SD-WAN规则或FIB中的路由。
SD-WAN规则定义了SD-WAN中的流量转向策略。但是，除非有与通过SDWAN成员的流量目的地地址匹配的有效路由，否则流量将不会转发给SDWAN成员。
由于目标是让SD-WAN根据SD-WAN规则标准选择将流量转发的最佳成员，因此配置路由设置是最佳做法，以便你的SD-WAN站点知道所有可能路由到SD-WAN处理的所有可能目的地。否则，SD-WAN可能无法选择最佳成员，不是因为它不符合应用程序要求，而是因为FortiGate没有目的地和成员的路由。
你可以在SD-WAN中使用静态和动态路由。上图显示了为underlay区域配置的静态默认路由示例，该区域用于在基本 DIA 设置中路由流量。
当你配置静态路由时，你可以引用一个或多个区域作为出站接口。因此，FortiOS在路由表中为区域中配置的每个成员安装一个静态路由。由于静态路由共享相同的距离，它们成为ECMP路由。ForiOS使用为每个区域成员定义的网关。
或者，你可以配置每个成员的静态路由，以更精细地控制流量。然而，与从成员配置中检索成员网关的区域静态路由不同，每个成员静态路由，如果接口类型需要，则必须指定网关。
当您你区域创建静态路由时，FortiOS 会默认分配距离为 1 的路由。ForiOS默认分配如此低的距离，因为管理员通常希望他们的SD-WAN路由优先于FIB中的其他路由。但是，如果需要，你可以将距离更改为不同的值。单个成员的静态路线的默认距离为10。
在上图显示的示例中，端口1 和端口 2 是underlay区域的成员。管理员创建了引用此区域的默认静态路由。结果是，路由表显示区域每个成员的ECMP路由。此外，管理员通过port1为8.8.8.8创建了每个成员的静态路由。然后，所有三种路由都可以由SD-WAN规则用于路由流量，或者在没有匹配的规则时由FIB用于路由流量。
非常好！你已经了解了SD-WAN的原理。接下来你将了解SD-WAN的基本监控。
完成本部分后，你应该能够实现上图显示的目标。
通过展示SD-WAN的基本监控，你应该能够识别FortiGate GUI上可用的工具，以检查SD-WAN流量分布、运行状况和事件。
为了验证SD-WAN流量路由，对于记录的流量，你可以使用正向流量日志。你可以使用转发流量日志中的目标接口列来验证流量是否从 SD-WAN 成员接口中流出。SD-WAN 规则名称列表示应用的 SD-WAN 规则的名称。此列中没有名称表示流量是根据默认的隐式SD-WAN规则路由的。
或者，你可以使用详细级别4到6使用CLl数据包捕获工具查看流出接口。
上图的示例显示了带有过滤器的捕获，该过滤器与任何带有SYN标志和端口443的数据包相匹配。因此，嗅探器输出向端口443（HTTPS）显示所有SYN数据包。
请注意vwl_service和vwl_mbr字段，它们表示允许创建路由的SD-WAN规则和用于引导流量的SD-WAN成员。
当数据包与规则匹配时，diagnostic firewall proute list命令输出中显示的ID对应于调试流输出中显示的ID。输出还包括出站接口列表，接口首选项从左到右排序。
为了排除故障，diagnostic firewall proute list命令的输出还会显示命中规则的次数和最后一次命中规则的时间。
你可以使用diagnose sys session filter ?查看可用的过滤器，diagnose sys session filter以查看活动过滤器，diagnose sys session filter clear以重置过滤器设置。对于IPv4流量，使用diagnose sys session list命令，对于IPv6流量，使用diagnose sys session6 list。
上图右侧显示了一个示例输出，其中包含有关会话表条目的详细信息。
仅突出显示与 SD-WAN 相关的信息。从左到右，从上到下：
● 匹配策略的ID
● 应用程序ID（用于具有应用程序标准的SD-WAN规则）
● SD-WAN特定的会话信息。sdwan_mbr_seq和sdwan_service_id分别表示正在使用的SDWAN成员ID和SD-WAN规则ID。如果会话与SD-WAN隐式规则匹配，因此使用标准FIB路由处理，则这些SD-WAN字段不会出现。
对于这些活动，你可以依靠一些你已经知道的通用FortiGate监控工具，如路由表、会话表或嵌入式数据包捕获工具。你还可以从FortiGate GUl接口提供的专用SDWAN监控工具中受益。在接下来中，你将发现FortiGate GUI提供的SD-WAN监控工具。
默认情况下，网络仪表板包含三个对SD-WAN监控有用的小部件。当你想要检查FortiGate设备上的SD-WAN行为时，它应该是你首先查看的地方。
从这个页面，你可以查看：
● 静态和动态路由
● IPsec隧道状态
● SD-WAN接口性能
单击任何小部件以展开并获取每个主题的更多详细信息。SD-WAN小部件提供了每个被监控的SD-WAN链路状态的概述。
上图的示例显示了你可以通过单击 SD-WAN 小组件来查看的详细信息。
在SD-WAN小部件详细视图中，你可以将鼠标悬停在图表上以查看详细信息。你还可以单击图表部分来过滤成员列表，并仅显示与所选条件匹配的成员。
在上图显示的示例中，两个成员的数据包丢失率很高，超过40%。这在图表上显示为圆圈的红色部分。当你单击圆圈的这个红色部分时，FortiGate会过滤成员列表，以仅显示数据包丢失率高的成员，在本例中，T_INET和T_MPLS。
菜单网络>SD-WAN中的SD-WAN区域页面提供了SD-WAN区域和成员配置的综合视图。请注意，没有成员的区域会显示一个红色图标。带有成员的区域旁边是一个+符号，你可以单击该符号以显示成员。
页面顶部的图表显示每个接口的流量分配，根据带宽使用、数量或会话数量进行评估。
在此菜单中，你可以双击区域或接口线来调整其配置。
在上一张图上显示的 SD-WAN 区域页面中，你可以监控 SD-WAN 成员的流量分布。该页面包含基于带宽、音量或会话显示流量分布的图表。请注意，带宽是指数据速率，而音量是指数据量。
你还可以将鼠标悬停在成员或图形上，以获得特定的带宽、音量或会话量。
菜单网络>SD-WAN中的SD-WAN规则页面提供了SD-WAN规则配置的摘要视图。从这个列表中，你可以快速查看规则的主要配置参数、正在使用的成员以及该规则用于引导流量的最后一次时间。通过拖放，你可以对规则进行重新排序，你还可以双击任何用户定义的规则来调整其配置。
如果你想调整视图，你可以通过拖放来重新排序列，使用顶部栏左侧的参数菜单添加或删除列。你还可以过滤任何列，以根据你正在寻找的内容调整显示。将光标悬停在列角上以查看过滤器配置图标。
你可以浏览到性能 SLA页面，以监控成员的健康状况。你首先选择要检查的性能SLA（示例中的VPN PING）。然后，页面上的图形使用选定的性能SLA显示每个成员的数据包丢失、延迟和抖动。请注意，图表上显示的信息仅限于最后一分钟。
如果你配置了 SLA 目标，则该目标将以水平虚线的形式显示在图表上。你可以快速检测成员状态。FortiGate GUI显示带有绿色向上箭头图标的活跃成员，以及不考虑数据包丢失、延迟和抖动值的死成员。这并不表明任何 SLA 都已得到满足。红色向下箭头图标。对于错过的 SLA 目标，FortiGate 以红色突出显示受影响的指标。需要注意的是，绿色向上箭头仅表示服务器正在响应运行状况检查，
你可以通过选择顶部选项卡来显示数据包丢失、延迟或抖动的图表。你还可以将鼠标悬停在图表上，以获得特定数量的数据包丢失、延迟或抖动。由于在使用SD-WAN时，链路质量在链路选择中起着重要作用，因此监控SD-WAN成员接口的链路质量状态是一个很好的做法。你应该调查任何长期的数据包丢失、延迟或抖动问题，以确保你的网络流量不会出现中断或性能下降。
在上图显示的示例中，选择了 VPN_PING 性能 SLA，并报告 T_MPLS 处于活跃，而 T_INET 处于死机。该图表显示了过去一分钟中两个被监控接口的延迟。
在此页面上，你还可以更新性能SLA配置，或创建新的配置。
从系统事件日志摘要菜单中，你可以获得按类别和消息类型排序的近期事件概览。默认情况下，摘要页面会考虑过去 5 分钟内收到的日志。你可以调整以获取过去1小时或过去24小时的摘要。在SD-WAN事件摘要小部件中，你将记录有关SLA状态更改、优先级成员订单更改等事件。VPN事件小部件提供了有用的信息，以了解叠加链路的行为。
单击小部件标题以详细查看相应的日志。单击事件名称以查看按事件名称过滤的日志。
在大多数情况下，你希望单击日志以充分了解事件。例如，表格中突出显示的警告日志消息表明port2的状态从活着变为死。虽然此下面的详细信息没有显示，但日志报告了port2停止转发流量，并且使用port2的规则中的成员首选项已更新以删除port2。
请注意，隐式 SD-WAN 规则名称不会出现在SD-WAN规则名称列中。当流量按照此规则引导时，该字段将保持空位。
上图的表格显示了多个会话。表格中的第二个会话被识别为HTTP应用程序，与Corp规则相匹配，并被发送到T_INET。选择T_INET的原因是它的延迟最低。
答案：B
答案：C
恭喜你！你已经完成了这节课。
现在，你将回顾本课所涉及的目标。
上图展示了你在本课中所涉及的目标。
通过掌握本课程中涵盖的目标，你学会了如何配置、维护和监控FortiGate SD-WAN解决方案。
扫一扫
1277
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
