Guide de démarrage
Introduction
SD-WAN (Software‑Defined Wide Area Network) est une approche moderne du réseau qui optimise la connectivité et le contrôle des applications.
Basée sur un contrôle centralisé, cette approche achemine le trafic via différents circuits réseau et applique un routage dynamique en fonction de la qualité des liaisons et des règles métier.
Cette approche se démarque des architectures WAN (Wide Area Network ou réseau étendu) classiques, souvent basées sur le MPLS (Multiprotocol Label Switching), une technologie de connectivité privée qui achemine le trafic via des routes statiques généralement plus coûteuses et moins adaptables.
Voici comment notre solution SD-WAN répond aux principaux défis des réseaux étendus (WAN) classiques :
Les défis du WAN | Bénéfices du SD‑WAN |
|---|---|
Des coûts de connectivité élevés liés à l'utilisation d'une liaison MPLS dédiée sur chaque site. | Utilise des accès Internet, fibre et 4G/5G en complément ou en remplacement du MPLS afin de réduire les coûts et d'améliorer la résilience du réseau. |
Des performances applicatives difficiles à optimiser dans un contexte d'évolution rapide des besoins métier. | Sélectionne automatiquement le meilleur chemin réseau en fonction des besoins des applications et des performances des liens. |
Une visibilité réduite sur les performances applicatives. | Offre un tableau de bord centralisé pour analyser le trafic par site, par application et par overlay. |
Une faible agilité réseau due à des configurations complexes nécessitant une expertise spécialisée. | Permet d'ajouter rapidement de nouveaux sites grâce au provisionnement sans intervention et à la mise à jour des politiques en quelques minutes. |
Pour gérer votre réseau, définissez des sites correspondant à vos emplacements physiques. Chaque site regroupe des informations essentielles, notamment son nom (utilisé comme nom d'hôte dans votre SD-WAN) et son emplacement.
Chaque site est associé à un dispositif de périphérie, généralement un routeur Ekinops fonctionnant sous OneOS6 (système d’exploitation réseau d’Ekinops). Ce périphérique donne accès aux fonctionnalités du SD-WAN, telles que les overlays, les extensions de routage et le protocole VRRP (Virtual Router Redundancy Protocol). Son association à un site permet de définir les politiques d'acheminement et de contrôle du trafic au sein du réseau.
Vous gérez et exploitez votre environnement SD-WAN via le Director, une plateforme de gestion centralisée. Cette interface permet de déployer, configurer et superviser le réseau ainsi que les dispositifs de périphérie. Son mécanisme d'accès basé sur les rôles garantit une séparation sécurisée des ressources entre partenaires, clients et fournisseurs de services.
Le Director repose sur un modèle à trois niveaux qui définit clairement les rôles et les responsabilités, comme l'illustre le schéma ci-dessous.
 |
En tant que client, vous disposez d’un portail dédié qui vous offre une visibilité claire sur l’état de votre réseau, le trafic et les performances applicatives. Ce portail met également à votre disposition des outils intuitifs pour configurer et administrer votre environnement SD-WAN. Afin de garantir la sécurité, la fiabilité et l'évolutivité de la plateforme à mesure que votre réseau se développe, le Director s'appuie sur des contrôleurs légers et sans état, conçus pour communiquer efficacement avec les équipements SD-WAN de périphérie.
Une fois connecté, le portail client devient votre espace de travail principal pour administrer et surveiller votre réseau SD-WAN.
La page d'accueil fournit une vue d'ensemble en temps réel de votre réseau afin d'en évaluer rapidement l'état et d'identifier les éventuels incidents nécessitant une intervention. Les indicateurs clés, tels que la disponibilité des sites, les performances des overlays, l'état des équipements et l'utilisation du trafic, sont présentés de manière claire et exploitable. Une carte interactive complète cette vue en affichant la répartition géographique de vos sites.
Le menu de navigation donne accès aux principaux éléments de l'infrastructure réseau, notamment les sites, les overlays, les politiques de trafic, les équipements, le pare-feu et les outils de supervision. Chaque section fournit les fonctionnalités nécessaires à l'observation du réseau et à son administration.
Les fonctionnalités auxquelles vous avez accès dépendent du rôle qui vous est attribué. Les rôles de base permettent de consulter l'état du réseau, les statistiques et les alertes. Des autorisations supplémentaires donnent accès à la gestion des overlays et des politiques de trafic, à la configuration des paramètres LAN des sites et, pour les rôles les plus avancés, à la modification des paramètres WAN. Ce modèle de contrôle d'accès garantit une gestion sécurisée des configurations tout en facilitant les opérations quotidiennes.
Dans certains cas, votre partenaire peut se charger des configurations avancées, tandis que vous utilisez le portail principalement à des fins de suivi et de gestion courante.
Pour vous aider à comprendre comment les responsabilités sont réparties dans le modèle à trois niveaux, le tableau ci-dessous présente en détail chaque composante de la solution, son rôle et l'équipe qui en assure la gestion.
Composant | Fonction | Qui administre cette fonction ? |
|---|---|---|
Directeur | Permet de piloter l'ensemble du réseau depuis une plateforme centralisée dotée de portails Web et d'API REST. | Fournisseur de services |
Controller | Assure les fonctions du plan de contrôle, notamment la surveillance, la gestion des clés, l'équilibrage DNS et les services NTP. | Partenaire |
Gateway (Facultatif) | Permet d'établir des connexions VPN vers des réseaux externes, tels que des centres de données hébergés ou des réseaux MPLS. | Partenaire |
Edge | Assure les fonctions de routage et d'accès WAN via un routeur Ekinops OneOS6 déployé dans chaque succursale. | Assigné à vos sites |
Portail client | Permet de surveiller et de configurer votre environnement réseau via une interface Web centralisée. | Vous (Client) |
Afin de simplifier la configuration sur l'ensemble de vos sites, la solution SD-WAN s'appuie sur trois concepts clés : les labels, les overlays et les flux de trafic. Ces éléments constituent un modèle logique qui définit la nature du trafic, sa destination et les règles d'acheminement appliquées sur le réseau.
Les labels définissent une couche d'abstraction de l'infrastructure physique en associant des identifiants logiques aux interfaces des routeurs. Plutôt que de s'appuyer sur des ports spécifiques, qui peuvent différer d'un site à l'autre, ils permettent de désigner les interfaces selon leur fonction, comme les segments LAN ou les accès WAN. Cette approche favorise la standardisation des configurations, simplifie les déploiements à grande échelle et réduit les contraintes liées aux différences matérielles entre les sites.
Les flux de trafic définissent la manière dont le trafic réseau est identifié et catégorisé. Chaque flux repose sur un ensemble de critères de classification, tels que les adresses IP, les protocoles, les ports ou les applications. Cette approche permet de traduire les exigences métier en règles réseau, par exemple en distinguant les applications critiques du trafic Internet classique. Une fois classifiés, les flux peuvent être utilisés pour appliquer des politiques de routage, de performance et de priorité de manière cohérente à l'échelle du réseau.
Les overlays définissent la manière dont le trafic circule entre vos sites, vos centres de données et Internet. Ils vous permettent de déterminer quels chemins doivent être empruntés par chaque type de trafic et comment les connexions WAN disponibles doivent être utilisées. Grâce aux overlays, vous pouvez prioriser les applications critiques, répartir le trafic sur plusieurs liaisons et garantir des performances adaptées aux besoins de chaque usage.
En combinant les labels, les flux de trafic et les overlays, vous pouvez définir simplement la façon dont votre réseau doit fonctionner. Les labels identifient l'origine et la destination du trafic, les flux de trafic permettent de distinguer les différents usages et applications, tandis que les overlays déterminent le chemin que ce trafic doit emprunter. Cette approche facilite la configuration du réseau, tout en rendant les politiques plus lisibles, plus simples à administrer et plus faciles à faire évoluer.
En savoir plus
Reportez-vous à la section correspondante pour plus d'informations sur ces concepts et les autres objets de configuration.
Comment ces composants interagissent
Pour comprendre comment le trafic est identifié et géré, il est important de voir comment les « Labels » et les « Overlays » fonctionnent ensemble :
 |
Voici deux exemples :
Trafic d'accès à Internet : lorsqu'un utilisateur du réseau LAN-Corporate accède à Microsoft 365, le trafic est identifié par une règle de politique et associé à un overlay Internet configuré pour une sortie locale. Il est alors acheminé directement vers Internet via la liaison WAN-Fibre.
Trafic des applications privées : lorsqu'un utilisateur du réseau LAN-Corporate accède au serveur ERP hébergé au siège, le trafic est identifié par une règle de politique et associé à un overlay VPN utilisant une topologie en étoile. Il est ensuite chiffré et acheminé via un tunnel VPN vers le site central.
Étapes pour commencer à utiliser votre SD-WAN
Voici les étapes à suivre pour commencer :
Connectez-vous au portail client à l'aide des identifiants fournis par votre partenaire. Une fois authentifié, vous accédez aux fonctionnalités disponibles pour votre compte.
Les étapes ci-dessous vous guident lors de votre première connexion au portail client.
Modifiez le mot de passe initial fourni par votre partenaire. Lorsque vous vous connectez pour la première fois au Director, vous êtes invité à créer un nouveau mot de passe.
Sur la page Modifier le mot de passe, saisissez votre mot de passe actuel, puis saisissez et confirmez votre nouveau mot de passe.
Cliquez sur le bouton Enregistrer les modifications (
).
Après avoir modifié votre mot de passe, vous pouvez vous connecter en utilisant l'une des deux méthodes suivantes :
Sélection de la langue
Sur la page de connexion, utilisez le sélecteur de langue pour choisir le français ou l'anglais. Le contenu de la page est alors automatiquement affiché dans la langue sélectionnée.
Utilisez cette méthode si votre compte est géré localement dans le portail client. Connectez-vous à l'aide de votre adresse e-mail et de votre mot de passe. Une fois authentifié, vous êtes redirigé vers le tableau de bord client.
Pour des raisons de sécurité, votre session expire automatiquement après une période d'inactivité.
Entrez les informations suivantes :
E-mail
L'adresse e-mail associée à votre compte utilisateur.
Mot de passe
Le mot de passe de votre compte utilisateur.
Captcha
Un défi de vérification que vous devez relever avant de pouvoir vous connecter.
 |
Utilisez cette méthode pour vous connecter via l'authentification unique (SSO). Dans ce cas, c'est le fournisseur de services qui gère les comptes utilisateurs et les identifiants d'accès au portail.
Cliquez sur « Login with SSO » pour continuer. Une fois la connexion établie, le tableau de bord client s'ouvre.
 |
Le SSO est-il disponible ?
Le bouton « Login with SSO » est disponible uniquement lorsqu'au moins un fournisseur d'identité (IdP) a été configuré et activé par votre fournisseur de services.
Cette section est là pour vous aider à configurer votre premier réseau d'entreprise SD-WAN. Vous y découvrirez les principales étapes, de la conception de l’architecture réseau à la mise en œuvre des règles de trafic, des overlays et des sites.
Elle est destinée aux administrateurs en charge du déploiement et de la configuration initiale du SD-WAN.
Introduction à la configuration
Vous configurez votre réseau SD-WAN dans un ordre logique ; chaque étape prépare la suivante.
 |
Les étapes de configuration sont les suivantes :
Configurer les labels WAN et LAN
Créez des labels d'interface pour identifier les segments LAN et les types de connexions WAN utilisées dans votre réseau SD-WAN, tels que la fibre optique, la 4G, la liaison principale et la liaison de secours.
Créez des règles de trafic afin de définir comment le trafic des applications est identifié, classé et transféré sur le réseau SD-WAN. Les règles de trafic permettent de déterminer quels overlays sont utilisés en fonction des besoins métiers, tels que la performance, la disponibilité ou la sécurité.
Créez des overlays afin d'établir les chemins logiques entre vos sites. Les overlays utilisent les labels d'interface et les règles de trafic définis précédemment pour contrôler l'acheminement du trafic à travers le réseau.
Créer des sites et attribuer des overlays
Ajoutez vos sites SD-WAN et affectez-leur les overlays requis. Une fois cette étape terminée, les sites sont connectés au réseau SD-WAN et le trafic est acheminé selon les overlays et les règles de trafic configurés.
Cas particulier : VPN avec site central
Si le hub est un site plutôt qu'une gateway ou un cluster de gateways, créez et enregistrez le site hub dans le Director avant de créer l'overlay VPN hub-and-spoke.
L'overlay VPN nécessite un site central valide avant de pouvoir être configuré. Les sites périphériques peuvent être créés et associés une fois l'overlay mis en place.
Lorsque vous déployez un nouveau site hub, effectuez d'abord Créer des sites et attribuer des overlays pour le site hub, puis l'étape Créer des overlays pour cette architecture VPN.
Une fois ces étapes terminées, votre réseau d'entreprise SD-WAN disposera de la configuration de base nécessaire pour connecter les sites, gérer le trafic et appliquer des politiques réseau cohérentes à l'échelle de l'organisation. Les sections suivantes détaillent chacune de ces étapes dans l'ordre de réalisation.
Les labels d'interface permettent d'utiliser une nomenclature cohérente pour les interfaces LAN et WAN sur l'ensemble des sites, même lorsque les équipements sous-jacents diffèrent.
Pour plus d'informations sur l'utilisation des labels LAN et WAN, consultez l'objet « Labels » dans la section Objets de configuration.
Pour configurer vos labels, procédez comme suit.
Rendez-vous à Objets > Étiquettes (Labels)
Cliquez sur + Ajouter une étiquette (
) dans le coin supérieur droit.La fenêtre Nouveau label s'ouvre.
Dans la liste déroulante, sélectionnez le type de label à créer.
Labels LAN
Attribuez des labels LAN représentant les différents segments de votre réseau d'entreprise, tels que les sous-réseaux IP ou les VLAN (Virtual LAN ou réseaux locaux virtuels).
Isolation du réseau LAN (facultatif)
Activez l'isolation du LAN pour empêcher tout trafic entre cette interface et les autres interfaces LAN du site. Cette isolation est appliquée sans configuration de règles de pare-feu supplémentaires.
Option A : numérotation simple
Choisissez cette option si vous souhaitez adopter un mode de nommage simple reposant sur le nombre maximal de liaisons LAN configurées sur un site.
Nom de label
Description
LAN1
Segment LAN principal
LAN2
Segment LAN secondaire
Option B : par objectif/segment
Utilisez cette option lorsque vous souhaitez identifier chaque LAN en fonction de son utilisation.
Nom de label
Description
Cas d'usage courant
LAN-Corporate
Réseau d'utilisateurs d'entreprise
Postes de travail pour les employés
LAN-Guest
Réseau WiFi pour invités
Accès réseau invité
LAN-VoIP
Réseau VoIP
Téléphones IP
LAN-Camera
Réseau de surveillance
Caméras de sécurité
LAN-IoT
Dispositifs IoT
Capteurs et systèmes d'automatisation des bâtiments
Labels WAN
Définissez des labels WAN en fonction de la stratégie de connectivité WAN de votre entreprise.
Option A : numérotation simple
Utilisez cette option pour appliquer une convention de nommage simple basée sur le nombre maximal de liaisons WAN par site.
Nom de label
Description
WAN1
Connexion WAN principale
WAN2
Connexion WAN secondaire
WAN3
Connexion WAN tertiaire
Option B : par type de connexion
Idéal pour identifier rapidement la technologie WAN utilisée sur chaque site. Utilisez les descriptions des labels pour ajouter des informations complémentaires.
NB : Si vous disposez de plusieurs connexions du même type (par exemple, 2 liaisons par fibre optique), créez des variantes numérotées : WAN-Fiber1, WAN-Fiber2.
Nom de label
Description
WAN-Fiber
Connexion WAN via fibre optique
WAN-Fiber2
Connexion fibre optique de secours (si besoin)
WAN-DSL
Connexion xDSL
WAN-4G
Réseau cellulaire 4G intégré
WAN-4G-Ext
Routeur 4G/5G externe
WAN-MRU
Modem 5G externe (Ekinops MRU)
Nommez le label.
Format du nom
Le nom peut inclure des caractères alphanumériques et un trait de soulignement (_), mais les espaces ne sont pas autorisés.
(facultatif) Ajoutez une brève description du label.
Cliquez sur le bouton Créer.
Les « Traffic Rules » (règles de trafic), anciennement appelées « Rule Groups », définissent la manière dont le trafic de l'entreprise est classé. Chaque règle de trafic contient une ou plusieurs règles qui identifient le trafic en fonction de critères tels que l'adresse IP de destination, l'adresse IP source, le port, le protocole ou l'application.
L'approche la plus simple et la plus courante consiste à classer le trafic en fonction de l'adresse IP de destination. Pour vous aider à démarrer, nous vous recommandons la configuration suivante :
Pour la plupart des entreprises, le trafic peut être classé en deux catégories fondamentales en fonction de sa destination.
Type de trafic | IP de destination | Type d'overlay |
|---|---|---|
Trafic privé | Réseau privé ( | VPN |
Trafic Internet | N'importe lequel | Internet |
Ordre de traitement des règles de trafic
Lorsqu'un paquet arrive sur le routeur, les règles de trafic sont évaluées en fonction de l'interface LAN par laquelle il est entré. Cette interface est appelée interface LAN d'entrée.
Les critères d'une règle de trafic fonctionnent selon une logique « OU ». En d'autres termes, un flux est considéré comme conforme à la règle s'il satisfait au moins l'un des critères configurés. Il n'a pas besoin de répondre à tous les critères définis.
Bonnes pratiques
Avant de créer des règles de trafic, consultez les recommandations suivantes :
Commencez simplement : commencez par les deux règles de trafic de base : « Private-Networks » et « Catch-All ». N'ajoutez des règles plus spécifiques qu'en cas de besoin.
Partez des objectifs métier : demandez au client ou au responsable opérationnel d'identifier le trafic important, restreint ou essentiel à l'activité avant de définir les règles de trafic. Ces décisions déterminent les critères des règles, la manière dont celles-ci sont réparties, ainsi que les overlays, les labels WAN, les paramètres de qualité de service (QoS) ou les politiques de partage de liaisons qu'elles utilisent.
Commencez par identifier les exigences métier à satisfaire. Il peut s'agir, par exemple, de prioriser certaines applications, de restreindre l'utilisation de liens WAN spécifiques ou d'assurer la continuité de service en cas de congestion ou de défaillance. Traduisez ces exigences en règles de trafic et en politiques WAN cohérentes. Toute règle de trafic doit répondre à un objectif opérationnel clairement défini.
Utilisez des règles basées sur les adresses IP pour le trafic interne : pour les communications entre sites, la correspondance fondée sur les adresses IP est généralement plus fiable que l'identification des applications.
Utilisez des règles basées sur les applications pour les services cloud : SD-WAN s'appuie sur la technologie d'Olfeo, qui permet d'identifier efficacement les applications. Pour le trafic Internet, la détection applicative constitue généralement la méthode de classification la plus précise.
N'oubliez pas que l'ordre des overlays est important : attribuez les régles de trafic plus spécifiques en premier dans les overlays.
Pour créer une règle de trafic, procédez comme suit.
Rendez-vous sur la page SD-WAN > Réseau > Trafics.
Cliquez sur + Ajouter un trafic (
) situé dans l'angle supérieur droit du tableau Liste des trafics.La fenêtre Ajouter un trafic s'ouvre.
Nommez votre nouveau trafic.
Cliquez sur Suivant en bas à droite de la fenêtre.
Cliquez sur le bouton + Ajouter une règle (
) en haut à droite de votre écran ou dans la section Règles.NB : Répétez cette action pour ajouter autant de règles que nécessaire.
Cliquez sur le bouton Ajouter un critère (
)Sélectionnez dans la liste déroulante le ou les critères à utiliser.
Saisissez les informations associées aux critères retenus.
Source (IP / CIDR) : sélectionnez une ou plusieurs adresses IP source ou sous-réseaux en notation CIDR.
Destination (IP / CIDR) : sélectionnez une ou plusieurs adresses IP de destination ou un ou plusieurs sous-réseaux en notation CIDR.
Application : choisissez un ou plusieurs noms d'application parmi les options proposées.
Application personnalisée : choisissez un ou plusieurs noms d'application parmi les options proposées.
Catégorie d'application : sélectionnez une ou plusieurs catégories d'application.
Catégorie d'application personnalisée : sélectionnez une ou plusieurs catégories d'applications créées par l'utilisateur ainsi que le nom de l'application dans la liste déroulante.
Protocole (obligatoire) : conservez la valeur par défaut (IP) ou sélectionnez un autre protocole dans la liste déroulante : TCP, UDP, ICMP.
Label LAN : choisissez un ou plusieurs labels LAN correspondant au trafic à identifier. Les options disponibles dans la liste déroulante sont celles configurées pour le client actuel.
DSCP : entrez un nombre entier compris entre 1 et 63.
Cliquez sur Créer en bas à droite de votre écran.
Pour la plupart des entreprises, le trafic peut être classé en deux catégories fondamentales en fonction de sa destination :
Type de trafic | Destination | Type d'overlay |
|---|---|---|
Trafic privé | Réseau privé ( | VPN |
Trafic Internet | N'importe lequel | Internet |
Politique de trafic 1 — Private-Networks
Cette politique de trafic est destinée aux communications entre sites ainsi qu'aux échanges avec les centres de données de l'entreprise.
Nom |
|
|---|---|
Objectif | Trafic de site à site et de site à centre de données |
Overlay | Overlay VPN (modèle « hub and spoke ») |
Rule # | Source | Destination | Description |
|---|---|---|---|
1 |
|
| Trafic vers 10.x.x.x |
2 | n'importe lequel |
| Trafic vers 172.16-31.x.x |
3 | n'importe lequel |
| Trafic vers 192.168.x.x |
Une règle pour une plage privée
Si votre entreprise utilise une plage d'adresses IP privées unique, telle que 10.0.0.0/8, une seule règle suffit pour couvrir l'ensemble de cette plage.
Politique de trafic 2 — Catch-All
Cette politique de gestion du trafic s'applique à tout le trafic restant, c'est-à-dire à tout ce qui est destiné à Internet.
Nom |
|
|---|---|
Objectif | Accès à Internet |
Overlay | Internet (sortie locale ou vers le cloud) |
Rule # | Source | Destination | Description |
|---|---|---|---|
1 |
| n'importe lequel | Tout autre trafic |
Placer les règles Catch-All en dernier
Cette règle sert de règle par défaut pour tout trafic qui ne correspond à aucune autre politique de trafic. Attribuez-la à l'overlay ayant la priorité la plus faible.
Comment ça marche ?
Les overlays définissent les chemins logiques empruntés par le trafic dans le réseau SD-WAN. Ils contrôlent l'acheminement du trafic depuis le LAN d'un site vers sa destination à travers un ou plusieurs moyens de transport WAN.
Une fois l'overlay créé, vous pouvez l'attribuer aux sites concernés et l'utiliser dans vos politiques de trafic. Les sites associés à cet overlay appliquent alors le mode d'acheminement du trafic qu'il définit.
Au sein de chaque overlay, vous pouvez faire référence à plusieurs règles de trafic. Chaque règle de trafic peut définir sa propre qualité de service (QoS) et son propre objectif de performance WAN, notamment la politique de partage de liaison et la pondération QoS.
Deux types de connexion sont disponibles : VPN et Internet.
Internet : ce type d'overlay achemine le trafic vers Internet. Il est particulièrement adapté aux applications cloud, à la navigation Web et aux autres services Internet.
VPN : cet overlay transporte le trafic privé à travers des tunnels IPsec chiffrés. Il est destiné aux communications intersites, à la connectivité entre les réseaux LAN et les centres de données, ainsi qu'à l'extension vers des réseaux tiers, tels qu'un réseau MPLS accessible via une gateway ou un cluster de gateways partenaire.
Pour en savoir plus sur les overlays, consultez la section Objets de configuration.
L'ordre de classification et la pondération de la qualité de service (QoS) sont différents
Lorsque vous attribuez des overlays et configurez les politiques de trafic au cours de cette étape, gardez à l'esprit que l'ordre de classification et la pondération QoS ont des objectifs différents :
Ordre de classement : détermine quel overlay prend en charge le trafic. Cet ordre est défini par la séquence des overlays associés au site. Les overlays sont évalués de haut en bas, et le premier dont la politique de trafic correspond au flux est utilisé. Placez les overlays les plus spécifiques en tête de liste et les plus généraux à la fin.
Poids QoS, ou poids de partage de liaison : permet de définir la manière dont la bande passante est répartie en cas de saturation des liaisons WAN. Configuré dans la politique de trafic de l'overlay, ce paramètre favorise les classes de trafic auxquelles un poids plus élevé est attribué.
Choisissez un type d'overlay, puis suivez la procédure correspondante.
Rendez-vous à la page SD-WAN > Réseau > Overlays.
Cliquez sur + Nouvel overlay (
) dans le coin supérieur droit.La fenêtre Nouvel overlay s'ouvre.
Nommez le nouvel overlay.
Cliquez sur Suivant.
Dans la section Paramètres généraux de l'overlay, saisissez les informations suivantes :
Nom de l'overlay: nommez l'overlay.
Description (optionnel) : ajoutez une brève description.
Labels LAN : sélectionnez une ou plusieurs labels LAN dans la liste déroulante.
Labels WAN : utilisez le bouton Ajouter pour sélectionner un label WAN. Renouvelez l'opération pour ajouter d'autres labels WAN.
Nombre de sites et de passerelles : sélectionnez le nombre de sites et de gateways qui feront partie de votre réseau overlay (entre 6 et 16 382).
Dans la section Usage de l'overlay :
Choisissez l'option Internet.
Sélectionnez dans la liste déroulante Type d'accès : Local ou Cloud.
Type d'accès
Le type de sortie détermine comment le trafic du LAN atteint Internet.
Accès local : le trafic Internet est acheminé directement depuis le site vers Internet en utilisant les liaisons WAN disponibles. Cette option est recommandée pour un accès rapide aux applications et services en ligne.
Accès cloud : le trafic Internet est acheminé à travers un tunnel VPN vers une passerelle Web sécurisée. Cette option est recommandée lorsque l'accès à Internet est protégé par un fournisseur de services de sécurité tiers.
(facultatif) Si vous avez sélectionné le type d'accès Cloud dans l'étape précédente :
Entrez le point d'accès VPN en renseignant l'adresse IP ou le FQDN du point d'accès VPN principal.
Cliquez sur Paramètres avancés, et saisissez les informations suivantes :
Point d'accès VPN de secours (optionnel) : saisissez l'adresse IP ou le nom de domaine complet (FQDN) du point d'accès VPN de secours. Ce point d'accès est utilisé si le point d'accès VPN principal devient indisponible.
Méthode de surveillance : sélectionnez la méthode utilisée pour surveiller l'état du tunnel VPN.
Identifiant d'accès (optionnel) : saisissez l'identifiant d'accès si le point de terminaison VPN l'exige.
Clé d'accès (optionnel) : entrez la clé d'accès si le point de terminaison VPN l'exige.
Type de chiffrement : sélectionnez le type de chiffrement utilisé pour protéger le trafic VPN.
Intégrité : sélectionnez l'algorithme d'intégrité utilisé pour vérifier l'intégrité du trafic VPN.
Perfect Forward Secrecy : sélectionnez le paramètre PFS (Perfect Forward Secrecy) pour le tunnel VPN.
Dans la section Orientation du trafic :
Cliquez sur le bouton + Ajouter une politique (
).Saisissez les informations suivantes :
Trafic : sélectionnez la classification des règles de trafic qui s'applique à cet overlay.
Stratégie (anciennement Link Sharing Policy): sélectionnez dans la liste déroulante la stratégie de routage souhaitée. Le plus rapide (fastest) utilise la liaison WAN offrant les meilleures performances, Performance utilise les liaisons WAN respectant l'objectif de performance défini, et Disponible (Available) répartit le trafic entre les liaisons WAN disponibles.
Objectif : performance
Si vous choisissez l'objectif performance, vous devrez définir un objectif.
DSCP WAN (optionnel) : saisissez une valeur DSCP de 1 à 63 pour hiérarchiser le trafic WAN. Ce paramètre ne doit être utilisé que s'il est fourni par votre opérateur de télécommunications. En l'absence d'instructions, laissez ce champ vide.
WAN principaux : sélectionnez les WAN qui transporteront prioritairement le trafic.
WAN secondaires (optionnel) : sélectionnez les WAN à utiliser en complément ou en secours des WAN principaux.
Poids de répartition (recommandé) (optionnel) : saisissez le pourcentage de bande passante attribué à ce trafic dans le cadre de la qualité de service (QoS).
Association d'une politique de trafic à plusieurs overlays
Chaque overlay peut faire référence à plusieurs règles de trafic, chacune avec des paramètres de qualité de service (QoS) différents.
Dans cet exemple, les quatre règles de trafic utilisent le même overlay (Overlay-Internet) et acheminent le trafic via le même chemin de transport (Local Breakout).
Toutefois, le trafic des utilisateurs du réseau local (LAN) peut emprunter une liaison WAN différente en fonction de la politique de trafic sélectionnée et des indicateurs de santé du réseau WAN, tels que la latence, la perte de paquets et la gigue (jitter).
Règle de trafic
Poids de partage de liaison
Stratégie
Liaisons WAN
Collaborative-CloudApp
4
Le plus rapide
ERP-CloudApp
4
Performances (latence plus faible)
WAN1, WAN2
Streaming
1
Disponible
WAN1 uniquement
Catch-All
2
Disponible
WAN1, WAN2
Pour d'autres cas d'utilisation, consultez les exemples : Option A : utilisation d'un seul overlay Internet pour plusieurs types de trafic et Option B : utilisation de plusieurs overlays Internet pour différencier l'acheminement du trafic.
Cliquez sur Créer en bas à droite de la fenêtre.
Cas d'utilisation
Pour les exemples suivants, supposez que la procédure a été réalisée jusqu'à l'étape 4. L'overlay utilisé est Overlay-Internet, avec les règles de trafic suivantes : Collaborative-CloudApp, ERP-CloudApp, Streaming et Catch-All.
Utilisez cette option lorsque l'ensemble du trafic Internet emprunte le même type de sortie, par exemple Local Breakout, mais que certaines classes de trafic nécessitent des politiques de trafic et des poids de partage de liaison différents (link-sharing policies and weights).
Dans cet exemple, plusieurs politiques de trafic (Collaborative-CloudApp, ERP-CloudApp, Streaming et Catch-All) sont associées à un même overlay Internet. Bien qu'elles partagent le même type de sortie, chacune peut disposer de paramètres de partage de liaison distincts, tels que Fastest, Performance ou Available.
 |
Remarques sur le schéma : « Perf. » désigne la politique de partage de liens Performance. « Avail » signifie Politique de partage de liens Available. Le schéma utilise les mêmes colonnes que le tableau d'exemple.
Utilisez cette option lorsque différentes classes de trafic doivent emprunter des chemins d'accès Internet distincts. Par exemple, certaines classes de trafic peuvent utiliser une sortie Internet directe, tandis que d'autres, y compris une règle Catch-All, peuvent être acheminées via une passerelle Web de sécurité dans le cloud.
Dans cette configuration, les quatre politiques de trafic sont réparties entre deux overlays Internet. Les overlays étant évalués dans l'ordre de priorité défini au niveau du site, l'overlay le plus spécifique doit être placé avant l'overlay général.
 |
Remarques sur le schéma : Cette répartition n'est donnée qu'à titre d'exemple. Associez les politiques de trafic aux overlays de sortie locale ou de sortie cloud en fonction de vos objectifs métier. Par exemple, vous pouvez soumettre le trafic Streaming et Catch-All à une inspection via le cloud, tout en conservant Collaborative-CloudApp et ERP-CloudApp sur une sortie Internet directe.
Rendez-vous à la page SD-WAN > Réseau > Overlays.
Cliquez sur + Nouvel overlay (
) dans le coin supérieur droit.La fenêtre Nouvel overlay s'ouvre.
Dans la section Paramètres généraux de l'overlay, saisissez les informations suivantes :
Nom de l'overlay: nommez l'overlay.
Labels WAN : utilisez le bouton Ajouter pour sélectionner un label WAN. Renouvelez l'opération pour ajouter d'autres labels WAN.
Labels LAN : sélectionnez une ou plusieurs labels LAN dans la liste déroulante.
Description (optionnel) : ajoutez une brève description.
Dans la section Usage de l'overlay, saisissez les informations suivantes :
Spoke-to-Spoke : cochez cette option pour que les sites spoke puissent communiquer directement les uns avec les autres. Le trafic n’est alors plus redirigé vers le hub avant d’atteindre sa destination.
Type de hub : Lors de la création de l'overlay, le seul type de hub disponible est Site.
Topologie
La topologie hub-and-spoke établit des tunnels IPsec chiffrés entre les sites privés et un hub central, qui assure l'acheminement du trafic entre les différents sites.
Site : l'un de vos sites fait office de hub. Utilisez cette option lorsque votre propre centre de données héberge les serveurs ou les applications que les succursales doivent atteindre. Avant de sélectionner cette option, reportez-vous à la section Important : site du hub avant le VPN overlay.
Hub Site : sélectionnez le site qui fait office de hub central pour la couche VPN Hub&Spoke. Les sites spoke envoient leur trafic à ce hub, qui se charge ensuite de l’acheminer vers sa destination.
Backup Hub Site (ancienne version) : sélectionnez le site utilisé comme hub secondaire. Ce hub assure la continuité du service lorsque le site hub principal est indisponible.
À utiliser uniquement avec l'ancienne version de Hub HA
Sélectionnez cette option uniquement si votre environnement repose sur un déploiement Hub HA hérité doté d’un hub de secours. Les déploiements basés sur des sites Single Edge ou Dual Edge ne peuvent pas utiliser cette option.
Nombre de sites et de passerelles : sélectionnez le nombre de sites et de gateways qui feront partie de votre réseau overlay (entre 6 et 16 382).
NAT LAN Subnet : indiquez le sous-réseau LAN traduit à appliquer lorsque la NAT (traduction d’adresses réseau) est nécessaire pour le trafic LAN circulant dans cette overlay.
Protocole VPN : sélectionnez le protocole VPN (IKE, TINA, les deux) utilisé pour établir le tunnel chiffré pour cette overlay.
Sous-réseau de l'overlay (optionnel) : spécifiez le sous-réseau utilisé pour l’adressage du tunnel d’overlay si vous souhaitez remplacer l’attribution automatique. Si ce champ est laissé vide, le sous-réseau d’overlay par défaut ou attribué automatiquement sera utilisé.
Dans la section Orientation du trafic :
Trafic : sélectionnez la classification des règles de trafic qui s'applique à cet overlay.
DSCP WAN (optionnel) : saisissez une valeur DSCP de 1 à 63 pour hiérarchiser le trafic WAN. Ce paramètre ne doit être utilisé que s'il est fourni par votre opérateur de télécommunications. En l'absence d'instructions, laissez ce champ vide.
Poids de répartition des liens : saisissez le pourcentage de bande passante QoS attribué à ce trafic.
Stratégie (politiques de partage de liens ou Link Sharing Policy) : sélectionnez dans la liste déroulante la stratégie de routage souhaitée. Le plus rapide (fastest) utilise la liaison WAN offrant les meilleures performances, Performance utilise les liaisons WAN respectant l'objectif de performance défini, et Disponible (Available) répartit le trafic entre les liaisons WAN disponibles.
Association d'une politique de trafic à plusieurs overlays
Chaque overlay peut faire référence à plusieurs règles de trafic, chacune avec des paramètres de qualité de service (QoS) différents.
Dans cet exemple, les quatre règles de trafic utilisent le même overlay VPN (Overlay-VPN) et empruntent le même chemin de transport logique : le trafic privé est acheminé via l’overlay VPN (topologie hub & spoke vers le Site hub ou la Passerelle), et non via une sortie Internet locale (Local Breakout).
Toutefois, selon la règle de trafic associée et la Stratégie configurée sur l’overlay, le trafic des utilisateurs du réseau local (LAN) peut utiliser une liaison WAN différente sur le site (WAN1 ou WAN2). Le choix s’appuie sur les indicateurs de santé des liaisons WAN, tels que la latence, la perte de paquets et la gigue (jitter).
Règle de trafic
Poids de partage de liaison
Stratégie
Liaisons WAN
Enterprise-Business-Apps
4
Le plus rapide
Enterprise-VoIP-Network
4
Performances (latence plus faible)
WAN1, WAN2
Enterprise-Data-Backup
2
Disponible
WAN2 uniquement
Enterprise-Other
2
Disponible
WAN1, WAN2
Cliquez sur Créer en bas à droite de votre écran.
Cas d'utilisation
Si le trafic doit être dirigé vers plusieurs destinations privées, vous pouvez créer plusieurs réseaux VPN overlay afin d’optimiser le routage.
Dans ce cas, le scénario est le suivant :
Centre de données : votre siège héberge des applications d'entreprise et des serveurs de fichiers sur un sous-réseau
10.0.0.0/8.Réseau MPLS : les sites existants sont accessibles via un service MPLS partenaire sur un sous-réseau
172.16.0.0/12.
Dans cette configuration, un réseau VPN overlay peut être utilisé pour le trafic du centre de données, tandis qu’un autre est dédié au trafic MPLS.
 |
Overlay | Type de hub | Hub | Traffic Rule (Règle de trafic) |
|---|---|---|---|
Overlay-Datacenter | Site | Site-HQ (votre centre de données) | Traffic-Datacenter |
Overlay-MPLS | Gateway | Gateway des partenaires | Traffic-MPLS |
Les sites correspondent à vos emplacements physiques. La création d'un site permet de connecter un routeur à votre réseau SD-WAN et de définir la manière dont le trafic circule pour cet emplacement.
Site hub utilisé par les VPN overlay
Si le type de hub sélectionné pour un VPN overlay est Site, le site hub correspondant doit exister avant la création du VPN overlay. Pour plus d’informations, consultez la présentation de la configuration.
Pour les nouveaux déploiements, le site hub doit être créé avant toute autre étape de configuration.
Pour créer un site, vous devez :
Étape A : attribuer un équipement
Sélectionnez le routeur OneOS6 pour le site.
Étape B : configurer des labels LAN et WAN
Configurez les adresses IP et attribuez-leur les labels appropriés.
Étape C : sélectionner des overlays
Attribuez des overlays pour contrôler l'acheminement du trafic sur le site.
Chaque site doit se voir attribuer un routeur OneOS6, également appelé customer premises equipment ou équipement dans les locaux des clients (CPE).
Équipements disponibles
Les équipements disponibles sont ceux attribués à votre client par votre partenaire et qui n'ont pas encore été utilisés sur un autre site.
Rendez-vous à la page SD-WAN > Sites
Cliquez sur + Ajouter (
) en haut à droite.Choisissez le type de site que vous souhaitez créer.
Single Edge : sélectionnez cette option pour une succursale standard équipée d'un seul routeur.
Dual Edge : sélectionnez cette option pour un site nécessitant une haute disponibilité avec deux routeurs et une redondance via le protocole VRRP (Virtual Router Redundancy Protocol).
Hub HA (ancienne version) : sélectionnez cette option uniquement pour les sites hub de centre de données qui utilisent plusieurs équipements OneOS6 comme concentrateurs VPN pour les sites spoke. Ce type de site ne prend pas en charge le trafic utilisateur provenant de son réseau local.
Usage restreint
Hub HA est destiné uniquement aux déploiements existants (ancienne version). Pour les nouveaux sites de hub de centre de données, utilisez le type de site actuellement recommandé (Single ou Dual Edge).
La fenêtre Ajouter un site s'ouvre.
Dans l'onglet Général, saisissez les informations suivantes :
Nom du site : donnez un nom unique pour le site. Utilisez des lettres, des chiffres et des traits de soulignement (_). Les espaces ne sont pas autorisés.
Description (facultative) : brève description du site.
Emplacement : emplacement géographique du site. La latitude et la longitude sont renseignées automatiquement.
Dans l'onglet Routeur, section Paramètres du routeur, remplissez les champs suivants :
Numéro de série : sélectionnez le numéro de série de l'appareil dans la liste déroulante.
Modèle de matériel : ce champ est rempli automatiquement selon l'équipement sélectionné et est accessible en lecture seule uniquement.
Avant de continuer
Laissez la fenêtre Ajouter un site ouverte. L’étape suivante se déroule dans cette fenêtre.
Au cours de cette étape, vous définissez les interfaces du routeur qui font partie du réseau SD-WAN, en leur attribuant des labels et des adresses IP.
Les labels servent à identifier de manière cohérente les interfaces des routeurs sur tous les sites. Lors de la configuration des overlays et des politiques de trafic, vous pouvez utiliser ces labels à la place des noms d’interfaces physiques. Parmi les exemples courants figurent « LAN-Corporate », « WAN-Fiber » et « WAN-LTE ».
Cette abstraction évite de devoir adapter la configuration à chaque site. Une même configuration peut ainsi être appliquée à des routeurs différents, même lorsque leurs interfaces portent des noms différents.
 |
Avantage | Description |
|---|---|
Cohérence | Utilisez les mêmes noms de labels, tels que LAN-Corporate ou WAN-Fiber, sur tous les sites. |
Simplicité | Les overlays et les politiques de trafic font référence à des labels plutôt qu'à des interfaces physiques. |
Flexibilité | Différents modèles de routeurs peuvent être utilisés sur différents sites sans modifier la conception logique. |
Évolutivité | Intégrez de nouveaux sites sans modifier les overlays ni les politiques existantes. |
Pour configurer le réseau LAN local, dans l'onglet Routeur, section Interface LAN :
Dans la section Interface LAN, cliquez sur Ajouter (
).Saisissez les informations suivantes pour chaque interface LAN :
Label : sélectionnez un label de réseau local (par exemple, LAN-Corporate).
Désactiver (optionnel) : désactivez le label.
Interface (Routeur-x) : sélectionnez l'interface physique sur ce routeur spécifique.
VLAN (facultatif) : entrez l'ID VLAN si l'interface utilise du trafic balisé. Plage valide : 1 à 4094.
Routeur-x IP / CIDR LAN : entrez l'adresse IP du réseau local et le masque de sous-réseau.
Après avoir configuré les interfaces LAN, configurez les interfaces WAN qui connectent le site à ses réseaux de transport.
Pour configurer le réseau étendu WAN, dans l'onglet Routeur, section Interface WAN :
Avant de continuer
Laissez la fenêtre Ajouter un site ouverte. L’étape suivante se déroule dans cette fenêtre.
Dans la section Interface WAN, cliquez sur Ajouter (
).Saisissez les informations suivantes :
DHCP (Dynamic Host Configuration Protocol) (optionnel) : activez si l'adresse IP est attribuée automatiquement par le FAI
Adresse IP / CIDR : entrez l'adresse IP WAN (si ce n'est pas DHCP)
Adresse IP publique (optionnel) : Spécifiez l’adresse IP publique si elle ne correspond pas à l’adresse IP configurée sur l’interface. C’est notamment le cas lorsqu’un dispositif de NAT est placé entre le routeur et Internet.
Gateway : indiquez l’adresse IP de la gateway par défaut associée à l’interface WAN.
NAT (optionnel) : désactivez la traduction d'adresses réseau (NAT) sur l'interface WAN.
Label : sélectionnez un label WAN (par exemple, fibre WAN)
Interface : sélectionnez l'interface physique sur ce routeur spécifique
Débit montant (optionnel) : entrez la vitesse de la liaison montante en kbit/s. Cette valeur est utilisée pour la qualité de service (QoS).
Débit descendant (optionnel) : entrez la vitesse de la liaison descendante en kbit/s. Cette valeur est utilisée pour la qualité de service (QoS).
MTU (optionnel) : indiquez la taille maximale des paquets transmis sur l'interface WAN. La valeur recommandée dépend du type de liaison utilisée.
Les overlays créent des chemins de communication virtuels entre ce site et le reste du réseau SD-WAN. Le choix des overlays détermine les parcours que peut emprunter le trafic ainsi que les règles de routage appliquées à chaque flux.
Pour attribuer des overlays au site, allez dans l'onglet Overlay :
Dans la section Sélection de overlay :
Sélectionnez les overlays dans la liste Overlays non assignés, puis cliquez sur la flèche allant vers la gauche pour déplacer les overlays dans la liste Overlays assignés.
Dans la liste Overlays assignés, faites glisser les overlays à l'aide de l'icône (
) dédiée afin de les positionner du plus spécifique au moins spécifique.L'ordre des overlays est important
Les overlays sont évalués séquentiellement, de haut en bas. Dès qu’une correspondance est trouvée, le trafic est acheminé par l’overlay concerné.
Cliquez sur Ajouter en bas à droite de la fenêtre Ajouter un site.
Félicitations !
Vous avez configuré avec succès votre premier réseau d'entreprise SD-WAN.
Allez plus loin...
Votre réseau est désormais configuré et prêt à l’emploi. Vous pouvez commencer à utiliser le SD-WAN pour :
Explorer le tableau de bord pour obtenir une vue d’ensemble de l’état opérationnel des sites et des overlays.
Passer en revue vos sites afin de comprendre leurs configurations actuelles.
Consulter les statistiques de trafic pour identifier les applications qui consomment votre bande passante.
Découvrir la gestion des overlays afin de comprendre comment configurer les politiques de trafic et les paramètres de qualité de service (QoS) associés à chaque overlay.