È possibile distribuire e inoltrare il traffico tramite VNF in SD-WAN Edge utilizzando firewall di terze parti.
Solo un operatore può attivare la configurazione di VNF di sicurezza. Se l'opzione VNF di sicurezza (Security VNF) non è disponibile, contattare l'operatore.
Prerequisiti
Assicurarsi di disporre di quanto segue:
SASE Orchestrator e SD-WAN Edge attivato che esegua la versione del software che supporta la distribuzione di una VNF di sicurezza specifica. Per ulteriori informazioni sulle versioni del software supportate e sulle piattaforme Edge, fare riferimento alla matrice di supporto in Sicurezza funzioni di rete virtuale.
Nel servizio SD-WAN del portale dell'azienda, fare clic su Configura (Configure) > Edge (Edges).
Nella pagina Edge (Edges), fare clic sul link a un Edge che si desidera configurare o fare clic sul link Visualizza (View) nella colonna Dispositivo (Device) dell'Edge. Le opzioni di configurazione per l'Edge selezionato vengono visualizzate nella scheda Dispositivo (Device).
Nella scheda Dispositivo (Device), scorrere verso il basso fino alla sezione VNF di sicurezza (Security VNF) e fare clic su + Configura VNF di sicurezza (+ Configure Security VNF). Viene visualizzata la finestra Configura VNF di sicurezza (Configure Security VNF).
Nella finestra Configura VNF di sicurezza (Configure Security VNF) selezionare la casella di controllo Distribuisci (Deploy).
In Configurazione macchina virtuale (VM Configuration) configurare le impostazioni seguenti:
VLAN: nell'elenco a discesa scegliere una VLAN da utilizzare per la gestione di VNF.
IP VM-1 (VM-1 IP): immettere l'indirizzo IP della macchina virtuale e verificare che l'indirizzo IP si trovi nell'intervallo di subnet della VLAN scelta.
Nome host VM-1 (VM-1 Hostname): immettere un nome per l'host della macchina virtuale.
Stato distribuzione (Deployment State): scegliere una delle seguenti opzioni:
Immagine scaricata e accesa (Image Downloaded and Powered On): questa opzione attiva la macchina virtuale dopo aver creato la VNF del firewall nell'Edge. Il traffico transita attraverso VNF solo quando viene scelta questa opzione, che richiede la configurazione di almeno una VLAN o un'interfaccia instradata per l'inserimento di VNF.
Immagine scaricata e spenta (Image Downloaded and Powered Off): questa opzione consente di mantenere la macchina virtuale spenta dopo aver creato il firewall VNF nell'Edge. Non selezionare questa opzione se si intende inviare il traffico tramite VNF.
In VNF di sicurezza (Security VNF): nel menu a discesa scegliere un servizio di gestione VNF predefinito. È inoltre possibile fare clic su + Aggiungi (+ Add) per creare un nuovo servizio di gestione VNF. Per ulteriori informazioni, vedere Configurazione del servizio di gestione VNF.
L'immagine seguente illustra un esempio di Firewall Fortinet (Fortinet Firewall) come tipo di VNF di sicurezza. Se si sceglie Firewall Fortinet (Fortinet Firewall), configurare le seguenti impostazioni aggiuntive:
Core macchina virtuale (VM Cores): selezionare il numero di core nell'elenco a discesa. La licenza della macchina virtuale è basata sui core della macchina virtuale. Assicurarsi che la licenza della macchina virtuale sia compatibile con il numero di core selezionati.
Modalità di ispezione (Inspection Mode): scegliere una delle seguenti modalità:
Proxy: questa opzione è selezionata per impostazione predefinita. L'ispezione basata su proxy implica il buffering del traffico e l'esame dei dati nel loro insieme per l'analisi.
Flusso (Flow): l'ispezione basata sul flusso esamina i dati del traffico che passano attraverso l'unità FortiGate senza alcun buffering.
Licenza: trascinare e rilasciare la licenza della macchina virtuale o incollare il contenuto della licenza nella casella di testo.
L'immagine seguente illustra un esempio di Firewall Check Point (Check Point Firewall) come tipo di VNF di sicurezza.
Se si sceglie Firewall Palo Alto Networks (Palo Alto Networks Firewall) come VNF di sicurezza, configurare le seguenti impostazioni aggiuntive:
Licenza (License): selezionare la licenza VNF nell'elenco a discesa.
Nome gruppo di dispositivi (Device Group Name): immettere il nome del gruppo di dispositivi preconfigurato nel server Panorama.
Nome modello di configurazione (Config Template Name): immettere il nome del modello di configurazione preconfigurato nel server Panorama.
Nota: Se si desidera rimuovere la distribuzione della configurazione del
Firewall Palo Alto Networks da un tipo di VNF, assicurarsi di aver disattivato la
Licenza VNF (VNF License) di Palo Alto Networks prima di rimuovere la configurazione.
Fare clic su Aggiorna (Update).
risultati
I dettagli della configurazione vengono visualizzati nella sezione
VNF di sicurezza (Security VNF).
È possibile inserire la VNF di sicurezza sia nella VLAN sia nell'interfaccia instradata per reindirizzare il traffico dalla VLAN o dall'interfaccia instradata alla VNF. Vedere Configurazione della VLAN con inserimento di VNF.
