Referenční architektura SD-WAN řízená umělou inteligencí Juniper NCE-511

Specifikace

• Produkt Jméno: Juniper AI-Driven SD-WAN
• Integrace: Řešení SSE společnosti Microsoft
• Publikováno Datum: 2024-12-16

Informace o produktu
Juniper AI-Driven SD-WAN se integruje s řešením SSE společnosti Microsoft a poskytuje konfiguraci sítě napřampsoubory pro scénáře nasazení. Řešení nabízí výhody, jako je lepší výkon sítě a optimalizované plánování nasazení.

Návod k použití produktu

Pracovní postup konfigurace
Konfigurace napřampTento soubor zahrnuje vytvoření a nasazení základní šablony větve pro připojení zařízení. Před konfigurací se ujistěte, že máte potřebné informace pro každou lokalitu, včetně adres propojení WAN, rozsahů partnerských adres BGP, čísla AS BGP, přístupových oprávnění, požadavků na šířku pásma a modelu redundance.

Základy konfigurace

1. Vytvořte základní šablonu větve pro připojení zařízení.
2. Nakonfigurujte tunel IPsec.
3. Odborník na provozfiles.
4. View síťový profíkfile.
5. Vytvářejte aplikace.
6. Aktualizujte šablony WAN Edge.
7. Ověřte provoz.

Možnosti konfigurace
K dispozici je více možností konfigurace s různou úrovní redundance. V závislosti na nastavení můžete pomocí řešení SSE od společnosti Microsoft nakonfigurovat jedno nebo dvě připojení WAN. Ujistěte se, že dodržujete určené pokyny pro konfigurace WAN Edge a Microsoft SSE Solution.

Juniper AI-Driven SD-WAN a integrace řešení SSE společnosti Microsoft – konfigurace sítě Příkladample (NCE)
Konfigurace sítě Juniper Networks Přample (NCE) popisuje, jak nakonfigurovat a nasadit produkty Juniper v typickém scénáři použití. V tomto NCE najdete scénář případu použití s ​​topologií, konfiguračními informacemi a ověřovacím výstupem pro konfiguraci. Čtěte dále a plánujte a optimalizujte nasazení sítě.

Výhody řešení

• Tato konfigurace sítě napřample (NCE) popisuje integraci, které můžete dosáhnout mezi Juniper AI-Driven SD-WAN a řešením SSE společnosti Microsoft. NCE popisuje výhody integrace řešení a poskytuje několik exampkonfigurace souborů včetně kroků ověření.
• Cloudové řešení Secure Service Edge (SSE) společnosti Microsoft zahrnuje Microsoft Entra Internet Access a Microsoft Private Access pod značkou Global Secure Access. Řešení Juniper AI-Driven SD-WAN poskytuje bezproblémový přístup k řešení SSE společnosti Microsoft z poboček a kanceláří. Tato integrace je automatizována pomocí škálovatelných šablon zařízení, aby se ulehčila provozní zátěž nasazení služby na mnoha místech. Tato příručka popisuje, jak nakonfigurovat řešení SSE společnosti Microsoft a šablonu Juniper Mist WAN Edge pro připojení.

Tento dokument umožňuje topologii zobrazenou na obrázku 1 na straně 2. Mezi zařízením Juniper AI-Driven SD-WAN, známým také jako Juniper Session Smart Router (SSR), a řešením SSE společnosti Microsoft pomocí Secure Edge Connector je nakonfigurován tunel IPsec. v šabloně WAN Edge. Připojení BGP přes IPsec je navíc nakonfigurováno tak, aby se dynamicky učilo směrovací cíle z řešení SSE společnosti Microsoft. Při použití pro přístup k Microsoft 365 se k určení provozu odeslaného do služby používají adresy inzerované řešením SSE společnosti Microsoft, nikoli aplikační slovník založený na WAN Edge.

Pracovní postup konfigurace
Posloupnost úloh v této konfiguraci napřampten:

1. Vytvořte a nasaďte základní šablonu větve pro připojení zařízení. Vytvoření základní šablony je mimo rozsah této příručky, ale šablona WAN Edge může být samostatná nebo SD-WAN s povoleným zabezpečením.
2. Nakonfigurujte vzdálenou síť v rámci portálu Microsoft Entra. To definuje charakteristiky tunelu IPsec a definuje koncové body směrování pro dosažitelnost.
3. Nakonfigurujte Secure Edge Connector v šabloně zařízení. To vytvoří vlastní tunel IPsec k řešení SSE společnosti Microsoft a definuje parametry šifrování.
4. Nakonfigurujte rovnocenného partnera BGP pro službu řešení SSE společnosti Microsoft, abyste se mohli dynamicky učit cíle Microsoft 365.
5. Nakonfigurujte aplikaci tak, aby umožňovala směrování provozu směrem k tunelu IPsec. Tato aplikace bude použita v aplikační politice, aby umožnila klientským sítím přístup k naučeným trasám BGP.
6. Nakonfigurujte zásadu aplikace se sítí a aplikací, ale žádnou zásadu řízení provozu, abyste WAN Edge indikovali, že pro naučené cíle by měla být použita směrovací tabulka.

Plánování konfigurace
Před konfigurací musí být pro každou lokalitu k dispozici následující informace:

1. Veřejná adresa odkazů WAN, které se používají k dosažení služby řešení SSE společnosti Microsoft. V tuto chvíli mohou být k dosažení služby použity pouze statické adresy WAN.
2. Jeden nebo dva /29 rozsahy adres, které jsou k dispozici pro peering BGP mezi smyčkou WAN Edge a řešením SSE společnosti Microsoft. Je-li požadována redundance zóny, jsou vyžadovány dva rozsahy adres.
3. BGP AS pro použití řešením SSE společnosti Microsoft. To může být v rozsahu soukromého AS, který se jinde v podnikové síti nepoužívá.
4. Sítě a uživatelé, kterým je udělen přístup k řešení SSE společnosti Microsoft.
5. Požadovaná šířka pásma pro každý web. To se používá při konfiguraci vzdálené sítě v rámci portálu Microsoft Entra.
6. Požadovaný model redundance pro každý web. Možnosti zahrnují jednu/duální WAN pro WAN Edge a jednu/duální zónu pro řešení Microsoft SSE. Konfigurace single/dual WAN může být použita s jedním SSR nebo HA SSR.

Možnosti konfigurace a pracovní postupy
K dispozici je několik možností konfigurace s různou úrovní redundance. Pro Juniper SSR WAN Edge je možné nakonfigurovat jeden uzel s jedním nebo dvěma WAN rozhraními připojenými k řešení SSE společnosti Microsoft. Router HA SSR se dvěma uzly by měl být nakonfigurován se dvěma rozhraními WAN připojenými k řešení SSE společnosti Microsoft.

POZNÁMKA: Když je na řešení SSE společnosti Microsoft nakonfigurována redundance zóny, pak jsou dva partneři BGP nakonfigurováni jako sousedé směrování přes jediný tunel.

V této příručce jsou popsány tři možnosti konfigurace:

1. Jedno připojení WAN a peer na řešení SSE společnosti Microsoft. Tuto konfiguraci lze použít pro malá nasazení a testování, kdy není vyžadována redundance.
2. Jedno připojení WAN s redundancí zóny na řešení SSE společnosti Microsoft. Tato konfigurace neposkytuje redundanci na SSR WAN Edge, ale pokrývá selhání zóny dostupnosti v řešení SSE společnosti Microsoft. Tato možnost je zahrnuta pro ilustraci toho, jak mohou být dva rovnocenní partneři BGP nakonfigurováni ve stejném tunelu IPsec.
3. Duální propojení WAN pomocí HA SSR s redundancí zóny na tunel na řešení SSE společnosti Microsoft. To poskytuje maximální úroveň redundance pro WAN Edge i řešení SSE společnosti Microsoft. Selhání uzlu SSR, připojení WAN nebo zóny dostupnosti společnosti Microsoft nemá vliv na tok provozu v této konfiguraci.

Další varianty redundance a připojení WAN lze nakonfigurovat pomocí stavebních bloků základní konfigurace popsaných pro každou z těchto variant.

Single WAN Link a Peer na řešení SSE společnosti Microsoft
Tato možnost konfigurace je znázorněna na obrázku níže.

Základy konfigurace

Tímto se přihlaste na portál Microsoft Entra URL, https://entra.microsoft.compomocí přihlašovacích údajů s oprávněními správce ke konfiguraci řešení SSE společnosti Microsoft.

1. Na portálu Microsoft Entra přejděte na Global Secure Access > Devices > Remote network.
2. Vyberte Vytvořit vzdálenou síť a zadejte podrobnosti o názvu a oblasti. Region určuje oblast Azure, kde bude druhý konec vašeho tunelu (jeden konec je směrovač WAN Edge SSR na pobočce).
3. Klepněte na tlačítko Další.

VYTVOŘTE VZDÁLENOU SÍŤ

Nakonfigurujte tunel IPsec

1. Vyberte tlačítko + Přidat odkaz.
2. Zadejte následující podrobnosti:
   1. Link name: Název vašeho zařízení WAN Edge.
   2. Typ zařízení: Vyberte jednu z možností z rozevíracího seznamu (Jiné nebo Juniper).
   3. IP adresa zařízení: Veřejná IP adresa WAN odkazu použitého pro připojení k Microsoftu.
   4. Adresa BGP zařízení: Adresa protokolu hraniční brány WAN Edge. Toto bude místní adresa BGP zařízení WAN Edge a bude v rozsahu /29 vybraném pro připojení. Zpětná konfigurace peer bude provedena v portálu Entra.
   5. Device ASN: Zadejte číslo autonomního systému sítě WAN Edge. Ve výchozím nastavení je tato hodnota 65000, ale lze ji upravit pomocí rozhraní Mist API.
   6. Redundance: Vyberte buď Bez redundance nebo Zone redundance pro váš IPsec tunel. Pokud vyberete Redundanci zóny, nakonfiguruje se další jedinečná místní redundantní adresa BGP v zóně.
      POZNÁMKA: Microsoft omezuje konfiguraci na seznam platných ASN.
   7. Kapacita šířky pásma (Mbps): Vyberte šířku pásma pro tunel IPsec.
   8. Místní adresa BGP: Toto je soukromá adresa IP mimo místní síť v rozsahu /29 vybraném pro připojení. Napřample, pokud je BGP adresa zařízení vybraná pro WAN Edge peer výše 10.99.99.1, pak použijte 10.99.99.2.
3. Klepněte na tlačítko Další.
4. Zásada IPsec/IKE je nastavena na Výchozí, ale změňte ji na Vlastní.
5. Po výběru Custom (Vlastní) vyberte kombinaci nastavení, která odpovídá WAN Edge. V tomto example, jsou vybrána následující nastavení:
   • Šifrování
   • Integrita IKEv2
   • DH Group
   • IPSec šifrování
   • Integrita IPSec
   • Skupina PFS
   • SA životnost
     POZNÁMKA: Zadaná zásada IPsec/IKE musí odpovídat zásadám na WAN Edge.
6. Review platné konfigurace vzdálené sítě.
7. Klepněte na tlačítko Další.
8. Zadejte předsdílený klíč (PSK). Na vašem CPE musí být použit stejný tajný klíč.
9. Vyberte Přidat odkaz.

Associate Traffic Profile

1. Buď klikněte na Další, nebo vyberte Traffic profiles tab.
2. Vyberte Microsoft 365 traffic profile. Tím je zajištěno, že do řešení SSE společnosti Microsoft bude přesměrován pouze provoz Microsoft 365. Zbytek provozu se bude řídit nakonfigurovanými zásadami aplikace.
3. Vyberte Review + Vytvořit.

POZNÁMKA: Vyberte Vytvořit vzdálenou síť pro dokončení konfigurace vzdálené sítě.

View Network Profile
Po vytvoření vzdálené sítě přejděte do seznamu vzdálených sítí a vyberte View konfigurace. Zobrazí se podokno úloh s podrobnostmi o připojení pro bránu Microsoft. Podrobnosti zahrnují veřejné koncové body brány SSE společnosti Microsoft, které jsou přidány do WAN, spolu s hodnotami BGP a ASN.

Vytvořit aplikaci

• Jednou z výhod řešení SSE společnosti Microsoft je, že aplikace Microsoft 365 jsou dynamicky inzerovány na WAN Edge. To znamená, že jak jsou chráněné cíle aktualizovány a adresy služeb se mění v průběhu času, řešení SSE společnosti Microsoft může dynamicky inzerovat tyto trasy do WAN Edge pro přenos směrem ke službě.
• Jednou z výhod AI-Driven SD-WAN společnosti Juniper je, že směrovací politika je „nulová důvěra“. To znamená, že to, že byla trasa naučena, neznamená, že síť může přistupovat k destinacím dosažitelným prostřednictvím inzerované trasy. Zásady aplikace musí výslovně povolit síti přístup k aplikaci.
• Jedinečnou vlastností Session Smart Router (SSR) je to, že může být nakonfigurován tak, aby směroval bezpodmínečně k cíli pomocí politiky řízení nebo sledoval trasy naučené v RIB (informační základna směrování nebo tabulka směrování). Když je definována politika řízení pro provoz, který má být lokálně přesměrován na WAN nebo LAN linku (napřample, DIA), tato zásada přepíše jakékoli naučené trasy. Internetová služba orientovaná na místní rozhraní (nikoli dynamicky naučené trasy přes překrytí) má proto přednost před naučenými trasami, pokud je nakonfigurována v šabloně WAN Edge.
• Když se pro veškerý internetový provoz používá řešení SSE od společnosti Microsoft, lze použít jednoduchou internetovou aplikaci s předponou 0.0.0.0/0 a uživateli je udělen přístup bez zásad řízení, jak je uvedeno níže:
• To sdělí rozhraní WAN, aby umožnilo „Lab“ sítě používat kteroukoli z naučených cest, buď přes překrytí, nebo přes IPsec do řešení SSE společnosti Microsoft.
• Pokud je však internetová služba již vytvořena a používá zásady DIA, jak je uvedeno v příkladuample níže, pak musí být vytvořena samostatná aplikace, aby bylo možné nejprve použít naučené trasy.
• Způsob, jak toho dosáhnout, je definovat specifičtější aplikaci „IPSec“, než je internetová aplikace 0.0.0.0/0. Pokud předpony, které se mají naučit, nejsou známy (nelze je nakonfigurovat), vytvořením aplikace IPsec se specifičtější předponou zajistíte, že tabulka směrování bude importována z rovnocenného partnera IPsec BGP a použita pro povolené sítě.

1. Na portálu Mist přejděte na Organizaci > WAN > Aplikace.
2. Klepněte na Přidat aplikace.
3. Definujte název aplikace (napřample, IPSec). Viz obrázek níže.
4. Vyberte Vlastní aplikace.
5. Zadejte předpony 128.0.0.0/1 a 0.0.0.0/1 pro adresy IP. Tyto předpony jsou specifičtější než výchozí 0.0.0.0/0.
6. Klikněte na Uložit a přejděte na Organizace > WAN > Šablony okraje WAN.

Aktualizujte šablonu okraje WAN

Na portálu Mist přejděte na šablonu WAN Edge pro zařízení Session Smart Router WAN Edge.

1. Výběrem možnosti Přidat poskytovatele v části Konektory zabezpečené hrany otevřete konfigurační panel.
2. Zadejte následující položky, které odpovídají řešení SSE společnosti Microsoft:
   • Jméno: (napřample, MicrosoftSSE)
   • Poskytovatel: Custom
   • Protokol: IPSec
   • LocalID:
   • Předsdílený klíč:
   • IP nebo název hostitele:
   • Zdroj IP:
   • Vzdálené ID:
   • Rozhraní WAN:
   • Návrhy IPSec:
     • Šifrování: aes256
     • Autentizační algoritmus: sha2
     • Skupina DH: 14
   • Návrhy IPSec:
     • Šifrovací algoritmus: aes_gcm256
     • Skupina DH: 14
     • Životnost SA: 1800 sekund
3. Klikněte na Uložit ve spodní části okna.
4. Vytvořte novou skupinu BGP pomocí dialogu BGP.
   Použijte dříve vybrané hodnoty:
   • Jméno:
   • Typ: Externí
   • Místní AS: <65000 nebo jiný než výchozí AS pro WAN Edge>
5. V dialogovém okně BGP vyberte Přidat souseda.
6. 6. Zadejte následující hodnoty pro rovnocenného partnera BGP:
   • IP adresa: BGP peer adresa řešení Microsoft SSE
   • Volitelné: Přidejte zásady BGP pro import/export tras
7. Přejděte na Zásady aplikací a klepněte na Přidat zásady aplikací.
   • Importovat zásady aplikace
   • Přidat zásady aplikace
   • Upravit aplikace
8. Pomocí názvu aplikace vytvořeného ve výše uvedených krocích přidejte zásadu, která umožní požadovaným sítím dosáhnout specifičtější aplikace „IPSec“ pomocí směrovací tabulky. Ponecháte-li Zásadu řízení prázdnou, instruujete SSR, aby použilo směrovací tabulku pro prefixy v rámci definovaného rozsahu aplikací.
9. Přejděte do horní části šablony a klikněte na Uložit.
   Ověřte provoz
   • Po aktualizaci šablony bude do zařízení WAN Edge odeslána konfigurace IPsec. Pokud se jedná o první nasazení protokolu IPsec, bude stažení softwaru/konfigurace nějakou dobu trvat.
   • Jakmile je konfigurace IPsec nasazena, můžete view stav IPsec pod WAN Edge > > Podrobnosti konektoru Secure Edge.
   • Stav souseda BGP lze nalézt v části Monitor > Insights > WAN Edge.
   • Může být užitečné přejít na Testovací nástroje a sledovat naučené trasy pod WAN Edge > Utilities > Testing Tools > Routes > Show Routes. Na níže uvedeném displeji se zobrazí trasy naučené pomocí protokolu IPsec s rovnocenným přístupem BGP řešení Microsoft SSE.

Jedno připojení WAN s redundancí zóny na řešení Microsoft SSE

Tato možnost konfigurace je znázorněna na obrázku níže.

V této konfiguraci je vytvořen druhý BGP peer pomocí redundance zóny v rámci řešení Microsoft SSE. Postupujte podle výše popsaných kroků s následujícími doplňky:

1. Při vytváření propojení se vzdálenou sítí v rámci řešení Microsoft SSE se ujistěte, že jste vybrali redundanci zóny, jak je znázorněno níže. Tím se vytvoří druhý BGP peer, který může být dosažitelný přes stejné vzdálené síťové spojení a IPsec tunel z SSR.
2. Vytvořte druhého partnera BGP pomocí stejné skupiny BGP v šabloně zařízení v Mist. Adresu partnera lze nalézt v konfiguraci SSE, jak je znázorněno.

Duální propojení WAN pomocí HA SSR s redundancí zón na tunel v řešení Microsoft SSE
Tato možnost konfigurace je znázorněna na obrázku níže.

V této konfiguraci je pomocí redundance zóny v rámci řešení Microsoft SSE vytvořena jak druhá linka, tak i druhá BGP peer na linku. Postupujte podle výše popsaných kroků s následujícími doplňky:

1. Ujistěte se, že jste vybrali Redundanci zóny při vytváření odkazů, jak je popsáno výše.
2. Vytvořte druhého partnera BGP v rámci stejné konfigurace skupiny BGP, která směřuje k tunelu SEC jako partnerská síť.
3. Vytvořte druhé propojení v rámci řešení Microsoft SSE pro stejnou vzdálenou síť. Tento odkaz může být přidán buď během počáteční konfigurace sítě, nebo pomocí níže uvedeného dialogového okna Vzdálená síť. Vyberte Vzdálená síť > Název vzdálené sítě > Odkazy > Přidat odkaz.
4. Opakujte výše uvedené kroky pro přidání dalšího Secure Edge Connector do šablony zařízení v Mist. To poskytuje příležitost vést tunel ze sekundárního rozhraní v konfiguraci s vysokou dostupností.
5. Vytvořte druhou skupinu BGP, která je přiřazena k druhému konektoru Secure Edge. Tato skupina je přiřazena druhému konektoru (tunelu SEC) jako odchozí rozhraní.
6. Vytvořte druhý pár BGP peerů v rámci BGP Group pomocí dalšího propojení a konfigurace BGP peeringu v rámci řešení Microsoft SSR.

Juniper Networks, logo Juniper Networks, Juniper a Junos jsou registrované ochranné známky společnosti Juniper Networks, Inc. ve Spojených státech a dalších zemích. Všechny ostatní ochranné známky, servisní známky, registrované známky nebo registrované servisní známky jsou majetkem příslušných vlastníků. Juniper Networks nepřebírá žádnou odpovědnost za jakékoli nepřesnosti v tomto dokumentu. Juniper Networks si vyhrazuje právo změnit, upravit, převést nebo jinak revidovat tuto publikaci bez upozornění. Copyright © 2024 Juniper Networks, Inc. Všechna práva vyhrazena.

FAQ

Otázka: Jaké informace jsou vyžadovány před konfigurací sítě?
Odpověď: Před konfigurací potřebujete mít veřejné adresy WAN spojení, rozsahy peeringových adres BGP, číslo BGP AS, přístupová oprávnění, požadavky na šířku pásma a podrobnosti o modelu redundance pro každou lokalitu.

Otázka: Kolik možností konfigurace je zahrnuto v příručce? 
Odpověď: Průvodce pokrývá tři možnosti konfigurace: Single WAN link and peer na Microsoft SSE Solution, Single WAN link s redundancí zóny na Microsoft SSE Solution a Dual WAN link pomocí HA SSR s redundancí zóny na tunel na Microsoft SSE Solution.

Dokumenty / zdroje

Referenční architektura SD-WAN řízená umělou inteligencí Juniper NCE-511 [pdfUživatelská příručka NCE-511 referenční architektura SD-WAN řízená AI, NCE-511, referenční architektura SD-WAN řízená AI, referenční architektura, architektura

Reference

• Uživatelská příručka