fortigate on Ilham Maulana

Fortigate SDWAN Design Principles

slav.ilham@gmail.com — Fri, 31 Mar 2023 13:15:14 +0700

Tahun 2021 lalu, saya membuatkan posting tentang SDWAN Fortigate. Di post tersebut saya membuat ilustrasi SDWAN Fortigate berdasarkan dari pengalaman pribadi.

Ilustrasi tersebut tidak jauh berbeda dengan yang dibuat oleh Fortinet. Hanya saja, punya saya minus layer Security, a.k.a Firewall/IPv4 Policy.

But thats ok..

Berikut ilustrasinya.

Layer pertama (dimulai dari atas). tentu saja adalah Underlay. SDWAN sendiri adalah transport agnostic. Any Underlay will do, as long as there is IP reachability.

Dilanjut dengan layer kedua, yaitu Overlay a.k.a Tunnel. Jenis tunnel yang bisa digunakan pada Fortigate adalah Site-to-Site, Dial-Up, ADVPN, dan beberapa lainnya. Topologi yang bisa dibuat juga beragam. Bisa Hub and Spoke, Full Mesh, Partial Mesh, atau kombinasi dari ketiga topologi tersebut.

Di layer ketiga ada Routing. Tentu saja, saya akan menggunakan BGP, as the most scalable off all routing protocols.

Di layer keempat, yaitu Security. It’s just like Access List on your devices.

Di layer kelima, atau yang terakhir, tentu saja ada SDWAN. SDWAN sendiri adalah path steering yang aware akan jenis-jenis aplikasi yang lewat a.k.a Application Aware.

SDWAN akan sangat terasa manfaatnya jika Anda memiliki 2 atau lebih Underlay/Overlay yang bisa di utilisasi pada environment jaringan WAN.

Sekian dan semoga bermanfaat.

Mengatasi Masalah VOIP Pada Fortigate

slav.ilham@gmail.com — Sun, 17 Apr 2022 21:41:12 +0700

Jika Anda menggunakan perangkat Fortigate, dan mengalami kendala pada service VOIP, Anda bisa meng-copy paste perintah dibawah ke CLI Fortigate dan kemudian berharap permasalahan tersebut akan menghilang.

config system settings
set sip-nat-trace disable
set default-voip-alg-mode kernel-helper-based
set sip-expectation disable
end
#
config system session-helper
delete 2
delete 3
delete 13
end
#
config voip profile
edit "default"
config sip
set status disable
end
end
#
diagnose sys session clear

Sekian dan semoga bermanfaat.

SDWAN Fortigate

slav.ilham@gmail.com — Fri, 13 Aug 2021 09:19:19 +0700

Fortigate SDWAN menurut saya belum benar-benar Sofware-Defined solution. Belum ada separasi antara control plane, data plane, dan management plane. Semuanya menjadi satu.

Kalau kita bandingan dengan Cisco Viptela, terdapat 3 controller wajib yang bertugas untuk menseparasi plane-plane diatas.

Anyway, Implemetasi yang selalu saya lakukan di customer yang menggunakan Fortigate untuk solusi SDWAN, adalah dengan metode ADVPN + BGP.

I’ve done this solution for several Customer, like Fast Food Company, Bank, Airline, etc.

From routing perspective, you can accomplish the same thing with Cisco Router + DMVPN + BGP. Namun saya lebih prefer Fortigate, karena terdapat fitur firewall-nya.

Berikut 4 layer ilustrasi SDWAN Fortigate yang saya buat untuk memudahkan kita semua dalam memahami solusi diatas.

Pada ilustrasi diatas terdapat 2 perangkat Fortigate, 1 Spoke dan 1 Hub.

Let’s say, Tranport antara kedua Fortigate tersebut menggunakan Internet (Layer 1). Jika ingin memanfaatkan link Internet untuk keperluan private, kita harus membangun tunnel ipsec (Layer 2) kemudian pilih routing protocol (Layer 3).

Layer paling atas (Layer 4) adalah Application Steering. App Steering/Path Control ini tergantung Performance SLA dan SDWAN Rules yang kita buat.

Tips deploy SDWAN dari saya:

Make ipsec phase-2 transparent (with src/dst-addr 0.0.0.0/0).
Use BGP.
Keep SDWAN SLA dan SDWAN Rules simple.
Jangan menyusahkan diri sendiri dan orang lain!

Semoga bermanfaat ya..

Konfigurasi VXLAN Di Fortigate

slav.ilham@gmail.com — Mon, 20 Jul 2020 12:39:19 +0700

Halo network geeks.. Kali ini saya akan share tentang konfigurasi VxLAN pada perangkat Fortigate.

VxLAN sendiri ada teknologi untuk men-tunnel layer2 diatas layer 3 transport. Fitur ini sedang sangat booming saat ini, karena pertumbuhan Data Centre sedang on-fire.

Mau curhat sedikit, beberapa waktu yang lalu, saya mencoba untuk mengaplikasikan VxLAN pada Fortigate pada salah satu pelanggan di perusahaan tempat saya bekerja.

Tapi gagal. 😅

Jaringan LAN pelanggan looping karena STP tidak convergence. Awalnya, saya tidak bisa memastikan kenapa. Padahal di lab yang sudah saya lakukan berkali-kali, BPDU STP bisa dilewatkan VxLAN Fortigate.

Namun belakangan saya menemukan secercah pencerahan. VxLAN yang gagal saya terapkan di pelanggan tersebut, kemungkinan karena Fortigate yang digunakan pada saat itu tidak support Encap/Decap VxLAN di ASICs. Maklum ya, Fortigate versi kecil.

Dari hasil membaca beberapa website, Fortigate support Encap/Decap VxLAN pada perangkatnya seri 1800F, seperti keterangan pada situs halaman web ini.

Anyway busway, berikut adalah konfigurasi VxLAN pada Fortigate ya. Fortigate yang satunya lagi di config juga seperti config-an dibawah, dengan mengubah IP WAN-nya.

config system interface
 edit "port9"
 set vdom "root"
 set ip 1.1.1.1 255.255.255.0
 set allowaccess ping
 set type physical
 set snmp-index 9
 next
 edit "port10"
 set vdom "root"
 set broadcast-forward enable
 set l2forward enable
 set vlanforward enable
 set stpforward enable
 set type physical
 set snmp-index 10
 set stpforward-mode rpl-nothing
 set mtu-override enable
 set mtu 1446
 next
 edit "vxlan-dc-to-drc"
 set vdom "root"
 set broadcast-forward enable
 set l2forward enable
 set vlanforward enable
 set stpforward enable
 set type vxlan
 set snmp-index 13
 set stpforward-mode rpl-nothing
 set mtu-override enable
 set mtu 1446
 set interface "port9"
 next
end
#
#
config system vxlan
 edit "vxlan-dc-to-drc"
 set interface "port9"
 set vni 1000
 set remote-ip "1.1.1.2"
 next
end
#
#
config system virtual-wire-pair
 edit "vwp1"
 set member "port10" "vxlan-dc-to-drc"
 set wildcard-vlan enable
 next
end
#
#
config firewall policy
 edit 1
 set name "VXLAN-POLICY"
 set srcintf "port10" "vxlan-dc-to-drc"
 set dstintf "vxlan-dc-to-drc" "port10"
 set srcaddr "all"
 set dstaddr "all"
 set action accept
 set schedule "always"
 set service "ALL"
 next
end
#
#
config system global
 set honor-df disable
end

Berikut contoh capture Wireshark, Frame STP yang di encap ke VXLAN.

Semoga bermanfaat.