Tek bir internet hattına bağlı ofiste hat koptuğunda iş durur. İkinci bir hat (fiber ve yedek olarak GSM ya da farklı bir operatör) eklemek çoğu zaman yetmez; asıl soru, birinci hat bozulduğunda trafiğin ne kadar sürede ve hangi kurala göre ikinci hatta geçtiğidir. Sophos Firewall’da bu işi SD-WAN profili ve SD-WAN yönlendirme kuralı yapar. İkisi birlikte, hattın tamamen kopmasının yanında yavaşlamasına da tepki verebilir.
Sophos Firewall’da SD-WAN tam olarak ne yapar?
Sophos’un dokümantasyonuna göre SD-WAN yönlendirmeleri, birden fazla ağ geçidi (gateway) arasında performans ölçütlerine bağlı, kesintisiz geçiş sağlamak için kullanılır. Trafiği uygulamaya, kullanıcıya ya da kullanıcı grubuna ve ağ ölçütlerine (gelen arayüz, kaynak ve hedef ağlar, servisler) göre eşleştirebilirsiniz. Yani “Microsoft Teams trafiği hızlı hattan, yedekleme trafiği ucuz hattan çıksın” gibi bir kural yazılabilir.
İki parçası var:
- SD-WAN profili: Hangi ağ geçitlerinin, hangi sırayla ve hangi kalite koşullarıyla kullanılacağını tanımlar. Menü: Routing > SD-WAN profiles.
- SD-WAN yönlendirmesi (route): Hangi trafiğin hangi profile ya da ağ geçidine gideceğini söyler. Menü: Routing > SD-WAN routes.
İki ağ geçidiyle yetinecekseniz profil şart değil, rotada birincil ve yedek ağ geçidini doğrudan seçebilirsiniz. Sophos’a göre ikiden fazla ağ geçidi ve performans eşiği (SLA) kullanmak istediğinizde profil gerekir.
Profilde hangi yönlendirme stratejisini seçmeli?
Profilde iki yaklaşım var.
First available gateway (ilk uygun ağ geçidi). Firewall, eklediğiniz ağ geçitlerini listelediğiniz sırayla sağlık kontrolünden geçirir ve ilk ulaşılabilir olanı kullanır. Birinci hat fiber, ikincisi GSM ise ve amacınız “fiber çalıştığı sürece fiber” ise bu yeterlidir.
SLA (hizmet seviyesi) tabanlı seçim. Burada hattın kalitesi belirleyici olur. İki seçenek var:
- Best quality: Gecikme (latency), jitter ya da paket kaybından yalnızca birini ölçüt seçersiniz, firewall o ölçütte en iyi hattı kullanır.
- Custom SLA: Gecikme, jitter ve paket kaybı için kabul edilebilir üst değerleri kendiniz yazarsınız. Bir ağ geçidinin seçilebilmesi için üç değere de uyması gerekir.
Hiçbir ağ geçidi SLA’yı karşılamazsa Sophos varsayılan stratejiye, yani ilk uygun ağ geçidine döner. Bu önemli: SLA’yı fazla sıkı yazarsanız hatların hepsi “kötü” sayılır ve yönlendirme sıralı listeye düşer.
Kritik uygulama sesli görüşme ve görüntülü toplantı ise paket kaybı ve jitter eşiğini önceleyin. Dosya yedekleme gibi gecikmeye duyarsız işlerde yalnızca ulaşılabilirlik yeterli olabilir.
Sağlık kontrolü nasıl çalışır?
Profilde sağlık kontrolü açılıp kapatılabilir. Dokümantasyonda protokol olarak ping ve TCP gibi seçenekler örnek verilir. İki hedef (probe target) ekleyebilirsiniz: firewall önce birinci hedefi yoklar, o yanıt vermezse ikinciye geçer ve ikinci hedef yanıt vermeyi bırakana kadar birinciye dönmez. Kontrolü geçemeyen ağ geçidi seçimden çıkarılır, geçtiğinde yeniden eklenir.
Burada pratik bir tuzak var: yoklama hedefi olarak operatörün ilk atlamasını ya da tek bir genel DNS adresini seçerseniz, o adresteki geçici bir sorun hattı “kopmuş” gösterebilir. İki farklı ve kararlı hedef seçmek bu yüzden makul.
Hat düzelince trafik neden hemen geri dönmüyor?
Best quality seçeneğinde firewall hatlar arasında sürekli gidip gelmesin diye geri dönüş (failback) payı uygular. Sophos’un dokümantasyonundaki değerler şöyle: gecikme için 10 ms, jitter için 5 ms iyileşme gerekir. Paket kaybında pay yoktur; daha düşük kayıp yüzdesine sahip hat varsa firewall trafiği oraya alır. Sonuç olarak iki hat arasındaki fark küçükse trafik mevcut hatta kalır, bu istenen davranıştır.
Mevcut bağlantılar failover’da kopar mı?
Sophos “zero-impact failover” tanımlıyor: bir ağ geçidi devre dışı kalırsa ya da SLA’yı karşılamazsa mevcut bağlantılar yeniden yönlendirilir. Bu, reroute-connection ayarına dayanır ve varsayılan olarak açıktır. Ancak sınırlar var:
- NAT kuralıyla (SNAT) çıkan bağlantılar varsayılan ayarda yeniden yönlendirilmez.
reroute-snat-connectionayarı kapalıdır ve yalnızca farklı hatlara aynı kaynak IP uygulanıyorsa işe yarar. - MASQ ya da “Override source translation” kullanan bağlantılar yeniden yönlendirilmez.
Her hattın farklı bir operatör ve farklı bir genel IP’ye sahip olduğu tipik şube kurulumunda bu, bazı oturumların (örneğin web üzerindeki açık bir bağlantı) yine de yeniden kurulması gerekebileceği anlamına gelir. “Hiçbir şey fark edilmez” beklentisini müşteriye vermeden önce kendi topolojinizde deneyin.
SD-WAN kuralı yazarken en sık yapılan hatalar
1. Kural sırası. Rotalar yukarıdan aşağı değerlendirilir ve ilk eşleşme uygulanır. Geniş bir “any” kuralı üstte kalırsa altındaki özel kurallar hiç çalışmaz. Dar kuralları üste alın.
2. Rota önceliği. Sophos’un varsayılan sırası statik, SD-WAN ve ardından VPN rotalarıdır. Yani aynı hedefe giden bir statik rota SD-WAN kuralınızı geçersiz kılabilir. SD-WAN kuralı yazdığınız hedef için statik rota kalmadığını kontrol edin. Önceliği değiştirmek komut satırından yapılır.
3. Cevap paketleri. Sophos’a göre WAN arayüzlerinde cevap paketleri, isteğin geldiği arayüzden çıkar. İstek varsayılan rotadan geldiyse SD-WAN rotaları cevap paketlerine uygulanmaz. Dışarıdan gelen bağlantıları yayımlıyorsanız (VPN, port yönlendirme) bu ayrıntıya dikkat edin; gerekirse set routing sd-wan-policy-route reply-packet enable komutu ilgili davranışı açar.
4. Firewall’un kendi trafiği. Güncelleme, lisans kontrolü, DNS gibi firewall’un ürettiği trafik için SD-WAN rotasında yalnızca hedef ağ ve servis seçilmelidir, çünkü gelen arayüz ve kaynak ağ bilinmez. Bu davranış set routing sd-wan-policy-route system-generate-traffic enable ile açılır. Dokümantasyona göre WAN link yöneticisinde tüm ağ geçitleri Backup olarak işaretliyse firewall kendi trafiğini iletmez, en az biri Active olmalıdır.
5. “Route only through specified gateways” seçeneği. Seçili olduğunda trafik yalnızca belirttiğiniz ağ geçitlerinden çıkar. Sophos’un rota ekleme sayfasında bu ağ geçitlerine ulaşılamazsa trafiğin düşürüldüğü yazıyor; yönetim sayfasındaki ifade ise diğer SD-WAN rotalarının, sonra varsayılan rotanın değerlendirildiğini söylüyor. İki sürümdeki açıklama birbirinden farklı olduğundan, kendi firmware sürümünüzde bir testle davranışı doğrulayın.
Hangi lisans ve donanım gerekiyor?
SD-WAN yönlendirme firewall’un yönlendirme özelliğidir, ayrı bir abonelik olarak tanıtılmıyor; ancak güncel sürümlerden faydalanmak ve ilgili düzeltmeleri almak destek aboneliğinize bağlıdır. Hangi paketin neyi içerdiğini Standard, Xstream ve Epic paketlerini karşılaştırdığımız yazıda bulabilirsiniz. Birden fazla hat ve şube varsa site-to-site IPsec VPN kurulumu ile birlikte planlayın; Sophos, route-based VPN’de XFRM arayüzünün ağ geçidini SD-WAN profilinde ya da rotasında seçmeye izin veriyor. Yeni bir cihaz gerekiyorsa hangi XGS modelinin uygun olduğuna bakın, uygun bir yapılandırma için teklif alın.
Kurulum sonrası nasıl izlenir?
Sophos Firewall, SD-WAN performance ekranında gerçek zamanlı gecikme, jitter ve paket kaybını gösterir; SD-WAN günlükleri rotaları, profilleri ve SLA’yı kapsar. Failover’ı canlıda ilk kez görmek yerine bir bakım penceresinde birinci hattın kablosunu çekerek test edin ve hangi oturumların yeniden kurulduğunu not edin. Böylece “yedek hat var” ile “yedek hat işi gerçekten taşıyor” arasındaki farkı önceden görürsünüz.
Firewall’unuzun lisansı bitmek üzereyse yapılandırmayı yenilemeden önce gözden geçirmek mantıklı; lisans yenileme sayfasından süreci başlatabilirsiniz.
Sık sorulan sorular
SD-WAN için ayrı bir Sophos lisansı gerekir mi? Dokümantasyon SD-WAN yönlendirmeyi firewall’un yönlendirme özelliği olarak anlatıyor ve ayrı bir lisans şartı belirtmiyor. Güncelleme ve destek hakkınız için yine de geçerli bir abonelik gerekir; paketinizi satış ortağınızdan doğrulayın.
Kaç internet hattını SD-WAN ile yönetebilirim? İki ağ geçidi için rotada doğrudan birincil ve yedek seçebilirsiniz. İkiden fazla hat ya da SLA kullanacaksanız SD-WAN profili gerekir. Profildeki en yüksek ağ geçidi sayısı dokümantasyonun incelediğimiz sayfasında belirtilmiyor.
Hat koptuğunda açık oturumlar devam eder mi? Yeniden yönlendirme varsayılan olarak açıktır, ancak NAT’lı (SNAT) bağlantılar varsayılan ayarda yeniden yönlendirilmez ve MASQ kullanan bağlantılar hiç yönlendirilmez. Her hatta farklı genel IP varsa bazı oturumlar yeniden kurulabilir.
SD-WAN kuralım neden çalışmıyor gibi görünüyor? En sık nedenler kural sırası, aynı hedef için tanımlı bir statik rota, cevap paketleri ve firewall’un kendi ürettiği trafiğin kapsam dışı kalmasıdır. Rota listesindeki ağ geçidi durum simgeleri de rotanın canlı olup olmadığını gösterir.