FortiGate SD-WAN Yanlış Hattı Seçiyor: SLA, Kural ve Oturum Kontrolü

WAN1 ve WAN2 açık. Kurumsal uygulamanın WAN1’den çıkması gerekiyor, ancak uygulama kayıtlarında WAN2’nin genel IP adresi görünüyor. Bu durumda WAN portlarının durumuna bakmak tek başına yeterli olmaz. FortiGate’in SLA ölçümünü, eşleşen SD-WAN kuralını ve test oturumunun çıkış arayüzünü aynı bağlantı için doğrulayın.

Aşağıdaki adımlar FortiOS 7.6.6 dokümantasyonu temel alınarak hazırlandı. Örnek IPv4 içindir. Komutlar mevcut durumu okur veya sınırlı paket yakalama yapar. Örnek adresleri, arayüzleri ve kural numarasını kendi ortamınıza göre değiştirin.

Lab senaryosu

Alan	Örnek değer
İstemci	10.20.30.50
FortiGate giriş arayüzü	lan
HTTPS hedefi	203.0.113.80:443
Beklenen çıkış	wan1
Yedek çıkış	wan2
Örnek SD-WAN kuralı	ID 10, ad Kurumsal-HTTPS
Örnek üyeler	Üye 1 wan1, üye 2 wan2
SLA kontrolü	INTERNET-SLA

203.0.113.80 dokümantasyon adresidir. Testte erişmeye yetkili olduğunuz ve HTTPS yanıtı veren gerçek bir hedef kullanın. Bir CDN veya SaaS uygulaması söz konusuysa istemcinin o denemede bağlandığı gerçek IP’yi ve protokolü kaydedin. Örnekte TCP 443 kullanılıyor. Uygulama QUIC ile UDP 443 kullanıyorsa aşağıdaki TCP filtrelerini buna göre uyarlayın.

1. Doğru cihazı, VDOM’u ve SD-WAN üyelerini belirleyin

get system status
show system sdwan
diagnose sys sdwan member

Çoklu VDOM varsa SD-WAN’ın ve istemci trafiğinin bulunduğu VDOM’da çalışın. HA varsa testi trafiği işleyen üye üzerinde inceleyin. show system sdwan çıktısında kuralın kaynak ve hedef nesnelerini, üye sırasını, bölgesini, stratejisini ve bağlı Performance SLA’yı kaydedin. diagnose sys sdwan member çıktısından üye sıra numarasını gerçek arayüz adıyla eşleştirin. Üye 1’in WAN1 olması yalnızca bu örneğin varsayımıdır.

2. WAN1 canlı mı, SLA hedefini de karşılıyor mu?

diagnose sys sdwan health-check

İlgili SLA kontrolünü bulun ve her iki üyede state, packet loss, latency, jitter ve sla_map alanlarını okuyun. Bir üye probe yanıtı alıp alive görünürken belirli SLA hedefini kaçırabilir. sla_map bir bit alanıdır. Birden fazla SLA hedefi tanımlıysa kuralın hangi hedefi kullandığını doğrulayın.

Örnek ölçüm	WAN1	WAN2
Probe durumu	alive	alive
Paket kaybı	%3	%0
Gecikme	52 ms	29 ms
Örnek kuralın paket kaybı hedefi	En fazla %2	En fazla %2
Paket kaybı hedefinin sonucu	Karşılamıyor	Karşılıyor

Kural SLA hedefini seçimde kullanıyorsa bu tabloda WAN2’nin seçilmesi beklenebilir. WAN1’de kayıp yalnızca tek bir probe hedefine karşı görülüyorsa, hat arızası sonucuna varmadan önce probe hedefinin erişilebilirliğini ve diğer ölçümleri karşılaştırın. Strateji gecikmeye göre en iyi hattı seçiyorsa iki üye hedefi karşıladığında da WAN2 tercih edilebilir.

Fortinet — SD-WAN teşhis komutları

3. Hangi SD-WAN kuralı devrede?

diagnose sys sdwan service4
diagnose firewall proute list

İlk komutun çıktısında Service(10) bölümünü bulun. Kaynak ve hedef adres aralıklarını, protokolü, seçim modunu ve üye satırlarını inceleyin. selected, kuralın seçime aldığı üyeyi gösterir. Birden fazla üye selected görünebilir. Tek bir oturumun kullandığı hattı 5. adımda doğrulayın.

diagnose firewall proute list çıktısında FortiGate’in ürettiği SD-WAN girdilerini ve varsa ayrı policy route girdilerini kontrol edin. SD-WAN kural ID’si ile policy route ID’si farklı alanlardır. Sürüm ve kurala göre vwl_service ile SD-WAN kuralını, vwl_mbr_seq ile üye bilgisini ilişkilendirebilirsiniz.

Belirli bir IPv4 akışı için policy route eşleşmesini de sorgulayın. Bu örnekte sıralama hedef IP, kaynak IP, giriş arayüzü, IP protokol numarası, hedef port şeklindedir. 6, TCP’nin IP protokol numarasıdır.

diagnose ip proute match 203.0.113.80 10.20.30.50 lan 6 443

Çıktı başka bir kuralı gösteriyorsa kural sırasını ve koşullarını inceleyin. Özellikle daha üstteki geniş kapsamlı bir kuralın istemciyi veya hedefi kapsayıp kapsamadığına bakın. Bu sorgu mevcut bir oturumun gerçekte hangi hattan geçtiğini göstermez. Uygulama tanıma veya ISDB kullanan kurallarda canlı oturum ve trafik loglarını da karşılaştırın.

Güncel FortiOS örneklerinde IPv4 için service4 kullanılır. Eski bir sürümde aynı görünüm service altında olabilir. Cihazdaki seçenekleri diagnose sys sdwan ? ile kontrol edin.

Fortinet — SD-WAN kural ve policy route doğrulaması

4. Yönlendirme tablosunda hedefe giden yolu kontrol edin

get router info routing-table details 203.0.113.80

Hedefe eşleşen rotayı, çıkış arayüzünü ve varsa sonraki atlamayı okuyun. Örneğin beklediğiniz WAN1 yolu aktif değilse veya hedef için daha özgül bir rota başka bir çıkışa gidiyorsa, nedenini belirlemeden kural sırasını değiştirmeyin. Varsayılan rotayı, öğrenilen veya statik daha özgül rotaları ve üyenin zone ilişkisini birlikte inceleyin. Rota çıktısı erişilebilir yolları anlamaya yarar. SD-WAN kuralı ve gerçek oturum için ayrı kanıt toplayın.

5. Yeni HTTPS oturumunun çıkışını doğrulayın

Testi LAN’daki istemciden başlatın. FortiGate’in kendi üzerinden başlattığı ping farklı bir trafik yolunu izleyebilir. Tarayıcı bağlantıları tekrar kullanabildiği için Windows istemcide ayrı bir TCP testi açabilirsiniz:

Test-NetConnection 203.0.113.80 -Port 443

FortiGate’te filtreyi hazırlayıp istemciden testi yeniden başlatın. Kısa ömürlü oturumu yakalamak için çıktıyı test sırasında veya hemen sonrasında alın.

diagnose sys session filter clear
diagnose sys session filter src 10.20.30.50
diagnose sys session filter dst 203.0.113.80
diagnose sys session filter proto 6
diagnose sys session filter dport 443
diagnose sys session list
diagnose sys session filter clear

Oturum alanı	Yorum
sdwan_service_id	Görünüyorsa oturumla ilişkili SD-WAN kuralı
sdwan_mbr_seq	Görünüyorsa kullanılan SD-WAN üye numarası
policy_id	Firewall policy ID’si
dev=	Oturum yönlerindeki arayüz indeksleri

Örneğin sdwan_service_id=10 ve sdwan_mbr_seq=2 görürseniz üye 2’nin hangi arayüz olduğunu ilk adımdaki üye listesiyle doğrulayın. sdwan_service_id görünmüyorsa bunu doğrudan hata saymayın. Fortinet, örtük kural üzerinden standart FIB yönlendirmesi yapılan oturumlarda bu alanın bazı sürümlerde gösterilmediğini belirtiyor.

Fortinet — Oturumda SD-WAN kuralını doğrulama · Fortinet — Örtük kural ID’si

6. Paket yakalamayla arayüzü teyit edin

FortiGate’te aşağıdaki yakalamayı başlatın, ardından istemciden yeni bir TCP 443 denemesi yapın.

diagnose sniffer packet any 'host 203.0.113.80 and tcp port 443' 4 20 l

4 ayrıntı seviyesi arayüz adını gösterir. Yakalama 20 paketle sınırlıdır. Trafik azsa Ctrl+C ile durdurun. Çıktıda önce LAN girişindeki SYN’i, ardından WAN çıkışındaki SYN’i ve varsa geri dönen SYN-ACK’i arayın. SNAT uygulanıyorsa WAN tarafında istemcinin özel IP’si yerine çevrilmiş kaynak adresi görünebilir. Bu yüzden filtreyi hedef IP üzerinden kurduk. Mevcut donanım hızlandırmalı akışlarda görünürlük değişebileceğinden yeni bağlantının ilk paketlerini yakalayın.

Bulgudan sonraki adımı çıkarın

Birlikte gördüğünüz kanıtlar	Sonraki kontrol
WAN1 canlı, SLA hedefi tutmuyor. Yeni oturum WAN2’de.	WAN1 probe kaybını ve hedefi doğrulayın. Kuralın SLA stratejisine göre WAN2 seçimini değerlendirin.
İki hat SLA hedefini tutuyor, farklı kural eşleşiyor.	Kural sırası, kaynak nesnesi, hedef IP ve portu karşılaştırın.
Kural birden fazla üye seçmiş, oturum WAN2’de.	Kuralın yük dengeleme ve üye seçimi davranışına bakın.
Eski oturum WAN2’de, aynı hedefe açılan yeni oturum WAN1’de.	Oturum sürelerini ve değişiklik zamanını karşılaştırın. Doğrulama için yeni akışı kullanın.
SYN WAN1’den çıkıyor, cevap gelmiyor.	Upstream yönlendirme, NAT adresi, hedef erişim kısıtı ve karşı uç kayıtlarına bakın.
SYN ve SYN-ACK görülüyor, uygulama hâlâ başarısız.	TLS, DNS veya uygulama katmanı loglarına geçin. Aynı hedef ve portu test ettiğinizi doğrulayın.

Örnek olayda WAN1 %3 kayıp ölçüyor, kural en fazla %2’ye izin veriyor, oturum üye 2’yi gösteriyor ve sniffer WAN2 çıkışını doğruluyor. Dört gözlem birlikte SLA nedeniyle WAN2’nin kullanıldığı sonucunu destekliyor. WAN1 ölçümleri düzeldikten sonra aynı istemci ve hedefle yeni bir oturum açıp sonucu tekrar kaydedin.