Prérequis pour le déploiement d'un site
Ce topic vous aide à préparer un emplacement physique avant de créer un Site dans le portail client. Le déploiement d’un Site suppose trois niveaux de préparation sur le routeur OneOS6, également appelé équipement CPE (customer premises equipment), et sur votre réseau. Utilisez ce topic pour vérifier ce qui doit être en place, pourquoi c’est important et qui en est responsable : vous, votre fournisseur de services ou votre partenaire.
Pour la séquence de configuration dans le portail (Labels, Règles de trafic, Overlays et Sites), consultez la section : Préparation au déploiement de votre réseau. Une fois ces prérequis remplis, poursuivez avec Créer des sites et attribuer des overlays.
Vue d’ensemble
Le déploiement d'un Site dans le SD-WAN suppose trois niveaux de préparation :
Préparation de l’équipement : préconfiguration en usine ou en préparation (staging) sur le routeur lui-même.
Préparation réseau : connectivité IP WAN et règles de pare-feu sortantes pour que l’équipement puisse joindre le Director et le Controller.
Préparation du service (VPN) : lorsque le Site participe à un overlay VPN Hub & Spoke : règles IPsec sur le WAN vers le hub (et règles supplémentaires si ce Site est le hub).
PRÉPARATION OBLIGATOIRE ET FACULTATIVE
La préparation de l’équipement et la préparation réseau sont obligatoires pour chaque Site. La préparation du service est complémentaire : elle est requise pour les Sites spoke dans un overlay VPN Hub & Spoke, et pour les Sites hub lorsque Hub type: Site. Elle n’est pas requise pour l’enregistrement du Site auprès du Director.
Niveau | Éléments à confirmer |
|---|---|
Préparation de l'équipement | Le routeur a été préparé (staged) avant livraison ; Call-Home peut s’authentifier auprès du Director. |
Préparation réseau | Le WAN dispose d’une connectivité IP (routage, DNS, synchronisation de l’heure) ; le trafic de gestion sortant vers le Director (puis le Controller) est autorisé. |
Préparation du service (VPN) | Si vous utilisez un VPN Hub & Spoke : IPsec est autorisé entre spoke et hub (Site ou Passerelle) ; si Hub type: Site, les règles côté hub sont également en place. |
Niveaux 1 + 2 → l’équipement peut s’enregistrer dans le Director et le Site peut passer à l’état Up.
Niveau 3 (le cas échéant) → l’overlay VPN peut s’établir.
Valeur | Signification |
|---|---|
Sortant | Le routeur du site initie le trafic vers Director, le Controller, un serveur de fichiers, le DNS, le NTP ou un autre pair. Autorisez ce trafic en sortie sur le pare-feu client depuis le WAN du routeur. |
Entrant | Un système distant se connecte au routeur du Site (le routeur est à l’écoute). Autorisez ce trafic en entrée sur le WAN du routeur. |
Bidirectionnel | Les deux extrémités envoient et reçoivent sur le même port (typique pour IPsec). Autorisez le trafic dans les deux sens entre les adresses WAN des pairs. |
En quoi consiste-t-elle ?
La préparation de l’équipement signifie que le routeur dispose déjà de la préconfiguration en usine ou en préparation (golden image) nécessaire pour le démarrage et l’ouverture de Call-Home vers le Director.
Call-Home est le canal de gestion principal entre le routeur et le Director. La session est toujours lancée par le routeur (sortante). Le Director n'a pas besoin d’un port de gestion entrant traversant votre pare-feu. Une fois Call-Home établi, le Director peut pousser la configuration, planifier les mises à jour logicielles et collecter les données de supervision.
Sur le matériel SASE Box (SB600, SB2500, SB3500), deux voyants sur le panneau avant peuvent vous aider à vérifier l’état de démarrage sans vous connecter :
Voyant | Vert fixe | En attente / rouge |
|---|---|---|
Director | Session Call-Home active vers le Director | Aucune session Director (clignotement lent) |
Internet | La résolution DNS fonctionne sur le réseau étendu (WAN) | DNS indisponible |
Pourquoi est-ce important ?
Sans préparation de l’équipement, l’authentification Call-Home échoue. Le routeur ne peut pas s’enregistrer dans le Director, même si le réseau WAN et le pare-feu sont correctement configurés. La fonction Call-Home est requise pour l’exploitation sans intervention depuis le portail.
Que se passe-t-il si ce n'est pas prêt ?
Le CPE ne parvient pas à établir la connexion Call-Home .
L'appareil ne s'enregistre pas dans le Director.
Dans le portail, l’état de l’équipement reste Down ou Update Pending ; la configuration n’est pas appliquée.
À qui revient la responsabilité ?
Acteur | Responsabilité |
|---|---|
Ekinops ou votre partenaire | Préconfiguration en usine / préparation, paramétrage de base Call-Home et préparation associée de l’équipement. |
Votre partenaire / fournisseur de services | Enregistrez le routeur dans le Director, associer le modèle matériel et allouer un Controller. |
Vous (le client) | Vérifier que l’équipement apparaît comme disponible lorsque vous créez un Site ; sur la SASE Box, vous pouvez utiliser les voyants situés au-dessus pour effectuer une vérification locale. Vous ne réalisez pas la préparation dans le portail client. |
ÉQUIPEMENTS DISPONIBLES
Les appareils disponibles sont les routeurs attribués à votre compte client par votre partenaire et qui ne sont pas encore utilisés par un autre Site. Si aucun numéro de série n'apparaît dans la liste, contactez votre partenaire.
En quoi consiste-t-elle ?
La préparation réseau signifie que le routeur dispose d’une connectivité IP sur au moins une liaison WAN, notamment une adresse, une route par défaut, le DNS si nécessaire et une horloge valide pour la synchronisation de l’heure, et que des règles de pare-feu sortantes autorisent le trafic de gestion du routeur vers le Director et, après la création du Site, vers le Controller.
Pare-feu externe (en amont du routeur)
Les règles sortantes de cette section s’appliquent à un pare-feu ou à un filtrage en dehors du routeur SD-WAN, et non au pare-feu du Site que vous configurez dans le portail client. Cas typiques : un pare-feu entre le WAN du routeur et le dispositif d’accès Internet, ou un filtrage dans la box FAI / haut débit qui fournit l’accès WAN au routeur.
Tous les flux de gestion sont initiés par le routeur. Avant de créer le Site dans le portail, autorisez ce trafic sortant sur le pare-feu ou le routeur FAI en amont du routeur SD-WAN . Aucune règle entrante vers le routeur n’est requise pour l’orchestration Director.
Pour les nouveaux Sites, utilisez le chemin Call-Home sécurisé recommandé : TCP 2201 (TLS mutuel). Les équipements SASE Box l’utilisent par défaut après préparation en usine.
Les paramètres IP WAN sont préparés en usine par le fournisseur de services ou le partenaire. Pour SASE Box, l’interface WAN est généralement en mode client DHCP, en attente d’une adresse IP, d’une route par défaut et du DNS. Des serveurs SNTP publics sont préconfigurés pour que l’horloge soit valide pour le mTLS.
DÉPLOIEMENT SASE BOX TYPIQUE
L’accès WAN est souvent fourni par un routeur haut débit externe ou un routeur FAI. Dans ce cas, les règles sortantes sur ce dispositif en amont (ou sur votre pare-feu) doivent autoriser le trafic de gestion depuis le routeur SD-WAN.
Demandez à votre partenaire les destinations (FQDN ou IP) Director et du Controller à autoriser sur votre pare-feu.
Pourquoi est-ce important ?
Le Director et le Controller doivent être joignables via le WAN pour l’orchestration, la supervision, les services d’heure et les fonctions associées du plan de contrôle. La préparation réseau maintient Call-Home actif et permet au Site d’être Up dans le portail.
Que se passe-t-il si ce n'est pas prêt ?
La fonction Call-Home échoue ou reste inactive.
Le Site n’apparaît pas comme Up dans le portail.
La configuration n’est pas déployée ; la supervision et les mises à niveau sont dégradées.
À qui revient la responsabilité ?
Actor | Responsabilité |
|---|---|
Votre partenaire / fournisseur de services | Fournir les destinations de plateforme à autoriser ; activer et configurer les flux de gestion côté Controller pour votre tenant, selon les besoins. |
Partenaire (préparation) | Préparation initiale orientée WAN (par exemple client DHCP et SNTP sur SASE Box) avant livraison. |
Vous (le client) | Garantir la connectivité WAN sur le site et autoriser le trafic de gestion sortant requis sur les pare-feu ou routeurs en amont que vous administrez. |
Destination | Ports | Sens |
|---|---|---|
Director | TCP 2201 | Sortant (Site → Call-Home Director) |
DNS | UDP 53 | Sortant (Site → DNS) |
NTP | UDP 123 | Sortant (Site → NTP) |
Après la création du Site et l’association du routeur à un Controller, autorisez également le trafic sortant vers le Controller pour les fonctions de plan de contrôle et de supervision SD-WAN (par exemple journalisation et analyses sécurisées, équilibrage DNS, supervision des chemins WAN, mises à jour logicielles ou du dictionnaire d’applications).
Pour les déploiements SASE Box (et les autres nouveaux Sites utilisant Management Flow mTLS, recommandé et par défaut sur SASE Box), autorisez au minimum les flux suivants :
Protocole | Port | Service | Sens |
|---|---|---|---|
UDP | 123 | NTP : référence horaire SD-WAN depuis le Controller | Sortant (Site → Controller) |
UDP | 53 | DNS : équilibreur de charge SD-WAN (LBDNS) | |
TCP | 6514 | Syslog sécurisé (mTLS) | |
TCP | 4740 | NetFlow sécurisé (mTLS) |
Protocole | Port | Service | Sens |
|---|---|---|---|
ICMP | — | Link Quality Measurement (sondes echo ; les réponses reviennent sur le même flux) | Sortant (Site → Controller) |
TCP | 80 | WAN Path Monitoring (contrôles de santé HTTP) | |
TCP | 8085 | Controller File Server (HTTPS) : téléchargement de fichiers hébergés sur le dépôt logiciel du Controller | Sortant (Site → Controller File Server) |
Votre partenaire confirme les destinations du Controller (et du serveur de fichiers) (FQDN ou IP) pour votre déploiement. Demandez à votre partenaire si un accès HTTP/HTTPS supplémentaire à un serveur de fichiers du fournisseur de services (TCP 80 ou 443) est requis pour les mises à jour du dépôt logiciel OneOS6.
Note ICMP
Autorisez le trafic ICMP sortant depuis le routeur SD-WAN vers la destination de sonde (généralement votre Controller). Si un pare-feu avec état se trouve en amont, assurez-vous que les réponses echo peuvent revenir au routeur.
Protocole | Port | Service | Sens |
|---|---|---|---|
TCP | 8085 | Controller : téléchargement des mises à jour du dictionnaire d’applications SaaS depuis le Controller | Sortant (Site → Controller) |
TCP | 80 ou 443 | File Server : téléchargement des mises à jour du dépôt OneOS Software Repository depuis la plateforme de votre fournisseur de services. L’adresse IP et le port TCP peuvent varier selon le serveur de fichiers ; le protocole est HTTP ou HTTPS. | Sortant (Site → Service Provider File Server) |
Avertissement
Ce niveau s’applique uniquement lorsque le Site est rattaché à un overlay VPN Hub & Spoke.
En quoi consiste-t-elle ?
La préparation du service signifie que le pare-feu (ou le dispositif en amont) sur le WAN du Site autorise le trafic IPsec nécessaire à l’overlay VPN chiffré, en plus des flux de gestion décrits dans la préparation réseau.
Rôle du site | Type de hub | Ce que vous devez autoriser |
|---|---|---|
Spoke | Site, Passerelle ou cluster de Passerelles | IPsec entre le WAN spoke et le hub (IP publique du Site hub, ou IP publique de la passerelle fournie par votre partenaire). |
Hub | Site | Les mêmes ports IPsec vers les spokes, plus la supervision du hub depuis le Controller. |
Hub | Passerelle ou cluster de Passerelles | Le hub n’est pas sur vos locaux ; votre partenaire gère la passerelle. |
Pourquoi est-ce important ?
Le modèle VPN Hub & Spoke transporte le trafic overlay privé entre les sites (ou entre les sites et une passerelle partenaire). La préparation réseau seule n’établit pas ces tunnels.
Que se passe-t-il si ce n'est pas prêt ?
Le Site peut rester Up dans le portail.
Les tunnels VPN ne s’établissent pas.
Le trafic overlay privé échoue (le spoke ne peut pas joindre le Site hub ou la Passerelle, ou le Site hub ne peut pas joindre les spokes).
À qui revient la responsabilité ?
Acteur | Responsabilité |
|---|---|
Votre partenaire | Gérez les hubs de passerelle ou de cluster de passerelles ; fournir l’adressage public de la passerelle lorsque le hub n’est pas un Site sur vos locaux. Confirmer les options de configuration VPN applicables à votre overlay. |
Vous (client) | Sur les Sites sur vos locaux (spoke, ou hub lorsque Hub type: Site), autoriser le trafic IPsec requis sur le chemin WAN que vous contrôlez. Obtenir l’adresse pair du hub ou de la passerelle auprès de votre service d'ingénierie ou de votre partenaire. |
En plus du trafic de gestion, autorisez les flux suivants sur le WAN du Site spoke ou sur les pare-feu en amont devant la liaison WAN :
Protocole | Port | Service | Sens | Pair |
|---|---|---|---|---|
UDP | 500 | Configuration VPN et échange de clés (IKEv2) | Bidirectionnel | Site spoke ↔ Hub (Site ou Passerelle), lorsque le protocole VPN est IKEv2 |
TCP | 1728 | Configuration VPN et échange de clés (TINA) | Sortant → Controller | Site spoke ou Site hub → Controller, lorsque le protocole VPN est TINA |
UDP | 4500 | Données VPN (IPsec sur NAT-T) | Bidirectionnel | Site spoke ↔ Hub (Site ou Passerelle) |
Les ports IPsec sont les mêmes que le hub soit un Site sur vos locaux ou une passerelle gérée par votre partenaire ; seule l’adresse WAN du pair diffère. Obtenez l’IP publique du Site hub ou l’IP publique de la passerelle depuis votre service d'ingénierie ou votre partenaire.
Lorsque Hub type: Site, le hub doit autoriser les mêmes ports IPsec en entrée depuis les spokes et en sortie vers les spokes. En outre, le hub est supervisé par le Controller :
Protocole | Port | Service | Sens | Entre |
|---|---|---|---|---|
UDP | 500 | VPN Hub Monitoring (IKEv2 SA INIT) | Entrant | Controller → Hub (Site ou Passerelle) |
Le port est le même que pour la configuration VPN et l’échange de clés (IKEv2) ; seule l’adresse IP source du flux entrant vers le hub diffère.
Prochaines étapes
Lorsque la préparation de l’équipement et la préparation réseau sont en place, et la préparation du service si vous utilisez un VPN Hub & Spoke :
Terminez la séquence de conception dans le portail si nécessaire : Labels → Traffic Rules → Overlays → Sites (consultez Préparez-vous à déployer votre réseau SD-WAN).
Créez le Site, assignez l’équipement, configurez les interfaces LAN/WAN et assignez les overlays (consultez Créer des sites et attribuer des overlays).
Pour les modèles de conception WAN et LAN (consultez Topologies dans la section Guide de configuration).