EdgeConnect SD-Branch参考设计
本指南的这一部分展示了如何基于客户概况来设计一个EdgeConnect SD-Branch部署。
目录
组件选择
本节介绍如何为各种部署选择合适的设备。请根据以下客户配置文件使用此指南来进行选择。
总部(hub)设备选择 — 需要考虑四个方面:最大隧道数量、从数据中心学习到的路由数量、接口数量和接口类型。
分支(branch)设备选择 — 在决定使用哪种分支网关时,需要考虑三个方面:防火墙会话数、接口数量和接口类型。
请参阅数据表以获取有关SD-WAN网关设备及其详细信息。
许可选项
Foundation - 此许可证涵盖分支机构或总部部署所需的所有SD-Branch功能。
Foundation Base - 此许可证包含基础版的所有功能,但每个分支站点最多支持75台客户端设备。
带安全性的Foundation - 此许可证在分支或总部部署中提供所需的SD-WAN功能,并附加安全性特点。
带安全性的Foundation Base - 此许可证包含带安全性基础版中的所有功能,但每个分支站点最多支持75台客户端设备。
Advanced - 此许可证涵盖了基础版中的所有内容,并额外提供SaaS Express Net Conductor和AI Insights相关的高级特点。
带安全性的Advanced - 此许可证包括高级版本的全部特点,此外还增加了与IPS、IDS、安全仪表盘及反恶意软件相关的额外安全性功能。
虚拟网关 (VGW) 许可- 适用于AWS、Azure和ESXi平台,根据所需带宽进行授权。可用类型包括VGW-500M、VGW-2G和VGW-4G。
有关详细信息,请参阅订购指南。
叠加设计(Overlay Design)
对于以下每个客户配置文件,适用以下一般要求和考虑事项:
- 随着业务迁移到云端,提升用户在使用IaaS(基础设施即服务)和SaaS(软件即服务)应用时的体验。
- 通过遍历IPS/DLP来保护发送到SaaS服务的敏感公司数据。
- 使用Zoom和Microsoft Teams进行实时通信。
- 在托管于数据中心的内部SQL系统上执行实时库存数据查询。
- 使用批量FTP文件传输处理整个环境中托管于数据中心的事务。
- 为Salesforce等SaaS应用程序提供最佳互联网出口。
为了解决这些需求:
- 采用Hub-and-spoke架构叠加方案。
- 为提高SaaS性能,通过本地分流技术优化Salesforce、Zoom和Teams的流量,即使用“SaaS express”。
- 对于库存查询,实施高优先级DPS策略;其他应用程序则采用单独的DPS策略管理。
- 确保应用安全性,启用有状态应用感知防火墙,并配备IPS、网页内容过滤及IP信誉功能。
总部设计(Hub Design)
客户概况包括以下需求和考虑因素:
- 容纳100个分支站点,并预计在未来五年内增长10%。
- 随着业务向云端迁移,提升IaaS(基础设施即服务)和SaaS(软件即服务)应用的用户体验。
- 减少对MPLS的依赖,以降低运营成本,并最终完全淘汰MPLS。
设计概要
型号选择 | 最大IP Sec隧道数量 | 考虑因素 |
---|---|---|
9012 (推荐) | 512 | 冗余网关设计能够支持未来8年以上的增长需求。 在故障情况下,单个设备可以处理所有站点的工作。 |
9106 (替代方案) | 8k | 冗余网关对,支持未来10年以上的增长。 在故障情况下,一台设备可以处理所有站点的需求。 |
vGW-2G (未来) | 4096 | 未来的IaaS/SaaS迁移考量因素 |
以下列表总结了Hub设计的关键元素:
- 网关被设置为内联模式。
- 每个网关均连接两种WAN传输方式(INET和MPLS)。
- 网关通过3层网络连接到LAN,进入WAN汇聚块并与OSPF对等。
- 数据中心路由在重新分配到SD-WAN叠加时进行汇总。
分支设计(Branch Design)
根据客户概况,我们设计了三种不同的分支站点,每个站点规模对应三个不同的模板组。中型和大型站点在分支网关上进行标准化,而小型站点则在Microbranch上实现标准化。
大型站点
根据客户概况,大型站点有以下要求:
- 业务对非计划停机没有容忍度。
- 正常运行时间由网关的高可用性(HA)和蜂窝备份保障。
- 某些通过入侵防护系统(IPS)/数据丢失防护(DLP)传输到SaaS服务的敏感公司数据必须受到保护。
- 该站点最多可容纳200名用户。
- 该站点目前使用40 Mbps连接,并计划添加一条200/50 Mbps的商品互联网线路,配备5G LTE备份。
为了解决这些需求:
- 将部署双网关配置。
- MPLS将连接到一个网关,而INET将连接到另一个网关。
- 启用WAN上行链路共享功能。
- 使用LTE作为备用连接方案。
- 网关通过三层网络与局域网(LAN)相连,并与汇聚核心进行OSPF对等互联。
- 分支路由在重新分发至SD-WAN叠加时进行汇总处理。
- 汇聚核心应采用VSF堆叠架构。
- 汇聚核心与接入交换机之间应使用LACP中继链路确保连通性。
- 为交换和无线通信启用隧道模式(UBT)。
型号选择 | 防火墙会话 | 考虑因素 |
---|---|---|
9004 LTE (推荐) | 64k | 冗余网关,网关内置LTE 无SFP/SFP+端口 |
6300 (推荐) | — | 堆叠核心 |
6200 (推荐) | — | 接入交换机 |
6100, 6300 (替代方案) | — | 接入交换机 |
中型站点
根据客户概况,中型站点有以下要求:
- 业务对停机时间的容忍度较低。
- 网关高可用性(HA)提供更多正常运行时间,但没有蜂窝备份。
- 该站点最多支持100名用户。
- 使用现有的30 Mbps MPLS连接,并计划增加一个100/10商品互联网线路。
为满足这些要求,将采取以下措施:
- 在线路中放置双网关。
- 将MPLS连接到一个网关,INET连接到另一个网关。
- 启用WAN上行链路共享功能。
- 网关通过三层网络与局域网(LAN)相连,并与折叠核心进行OSPF对等互联。
- 在重新分配到SD-WAN叠加时,对分支路由进行汇总处理。
- 折叠核心应在VSF堆叠中实现,以提高可靠性和性能。
- 折叠核心至接入交换机的连通性应采用LACP干道链路(trunks)。
- 启用用于交换(UBT)和无线通信的隧道。
型号选择 | Firewall Sessions | 考虑因素 |
---|---|---|
9004 (推荐) | 64K | Redundant pair of gateways No SFP/SFP+ ports |
6300 (推荐) | — | Collapsed Core |
6200 (推荐) | — | 接入交换机 |
6100, 6300 (替代方案) | — | 接入交换机 |
小型站点
根据客户资料,小型站点有以下需求:
- 业务可以容忍停机时间。
- 该站点最多有10个用户。
- 该站点只需要一个网关,无需设备级高可用性或蜂窝备份。
- 该站点使用现有的5 Mbps MPLS连接,并计划增加50/10 Mbps的普通互联网线路。
为满足这些需求:
- 将单一网关置于在线位置。
- MPLS和INET将连接到网关。
- 网关将作为所有VLAN的默认网关。
- 客户网络将使用互联网分流。
- 分支路由将在重新分配到SD-WAN叠加时进行汇总。
型号 | 防火墙会话 | 考虑因素 |
---|---|---|
9004 (推荐) | 64k | 无SFP/SFP+端口 |
6100 (推荐) | — | 为本地设备提供额外端口。 |
小型站点
为满足这些要求:
- 单个远程接入点将被放置在内联位置。
- INET 将连接到 AP。
- AP 将作为所有 SSID 的默认网关。
- 内部用户的3层网络将进行路由。
- 客人网络的3层 SSID 将进行 NAT 转换。
- 分支线路将重新分配到 SD-WAN 叠加中。
型号 | 考虑因素 |
---|---|
500H Series (推荐) | 支持Wi-Fi 6 |
303H Series (替代方案) | 不支持下一代Wi-Fi |
6100 (推荐) | 为本地设备提供额外端口。 |