Configuración y análisis de registros SD-WAN en FortiGate para optimización WAN

La configuración y monitoreo de SD-WAN en dispositivos FortiGate es fundamental para garantizar la eficiencia y la alta disponibilidad de las conexiones WAN empresariales. El análisis detallado de eventos relacionados con SD-WAN, como los reportados en los logs sobre la selección y el reenvío de tráfico según la calidad de enlace, permite a los administradores entender cómo se está gestionando el tráfico y detectar posibles problemas o mejoras en la infraestructura de red.

Campos principales

Los registros de eventos de SD-WAN típicamente incluyen los siguientes campos, claves para interpretar el comportamiento del sistema:

  • Date/Time: Fecha y hora exacta en la que ocurrió el evento. Es crucial para correlacionar con otras actividades de red o incidentes.
  • Level: Indica la gravedad o tipo de mensaje (informativo, alerta, error). En SD-WAN suele estar orientado a reportes de estado y cambios en la conectividad.
  • Message: Descripción del evento, por ejemplo, cambios en el estado de los enlaces miembros, selección de rutas por prioridad (latencia, pérdida de paquetes) o inicialización de chequeos de salud.
  • Log Description: Categoría del evento, aquí siempre relacionado con el estado del enlace virtual WAN.
  • Service: El servicio o regla afectada. En el contexto SD-WAN, define cómo se prioriza o redirige el tráfico.
  • Data Message: Información adicional sobre el estado del enlace o cambios en las reglas de reenvío de tráfico.

Activar la vigilancia detallada de estos campos permite un diagnóstico preciso y facilita la toma de decisiones para ajustar políticas de ruteo o redefinir reglas de prioridad en los enlaces.

Compatibilidad de versiones y modelos

La funcionalidad SD-WAN está disponible en las versiones modernas de FortiOS, comenzando aproximadamente desde FortiOS 7.4.x,7.6.x y ampliamente mejorada en 7.4.x,7.6.x, 7.0 y versiones posteriores. Las mejoras incluyen mejor soporte en los procedimientos de health-check, balanceo dinámico y políticas basadas en múltiples parámetros.

Los dispositivos FortiGate de gama media y alta, así como aquellos diseñados para sucursales y datacenters, disponen de capacidades avanzadas para SD-WAN con múltiples interfaces WAN físicas y virtuales. Modelos más pequeños o antiguos pueden no soportar todas las funciones, como múltiples mecanismos de health-check o reglas complejas de priorización basadas en SLA.

Entre las limitaciones típicas, algunas versiones antiguas muestran interfaces de configuración menos intuitivas o parámetros que han cambiado de nombre o estructura con el tiempo, además, ciertos comandos CLI pueden variar en sintaxis. Se recomienda validar la documentación oficial para compatibilidad exacta según el modelo y versión de firmware.

Escenarios de uso y recomendaciones

El uso de SD-WAN se recomienda principalmente en entornos que requieren alta disponibilidad y eficiencia en el uso de múltiples conexiones WAN, como por ejemplo: instalaciones de oficinas con enlaces MPLS y banda ancha, o datacenters con varios proveedores de Internet o enlaces LTE.

Con esta configuración, el tráfico puede ser redirigido dinámicamente según la latencia, pérdida de paquetes o disponibilidad de los enlaces, mejorando la experiencia de usuario y reduciendo costos.

Sin embargo, una configuración incorrecta puede derivar en loops de red, pérdida de paquetes elevados o conexiones inestables. Por ejemplo, no definir adecuadamente las reglas de priorización puede hacer que todo el tráfico prefiera un enlace saturado o caído.

El fabricante recomienda validar constantemente el estado de los enlaces mediante health-checks, implementar políticas claras y usar la segmentación del tráfico para evitar sobrecargar un solo camino. También se debe monitorear los logs SD-WAN para detectar cambios inesperados en el ruteo.

Comandos de CLI útiles para diagnóstico

  • diagnose sdwan health-check status: muestra el estado de los chequeos de salud configurados en cada enlace.
  • diag debug enable y diag debug application sdwan -1: para habilitar el debug y ver eventos detallados de SD-WAN en tiempo real.
  • get system performance top: ayuda a monitorizar el impacto de SD-WAN en el rendimiento del firewall.
  • show full-configuration router sdwan: despliega la configuración completa de SD-WAN para revisión y auditoría.
  • execute log filter category 4 seguido de execute log display: filtra y muestra los logs relacionados a Virtual WAN Link status y eventos SD-WAN.

Buenas prácticas de configuración

  • Establecer health-checks robustos y variados (ICMP, HTTP, TCP) para monitorear la salud real de cada enlace.
  • Priorizar servicios críticos con reglas específicas para evitar interrupciones ante fallos de enlaces.
  • Evitar configuraciones de failover agresivas sin periodo de estabilidad para no provocar oscilaciones de rutas.
  • Actualizar firmware periódicamente para mantener compatibilidad y recibir mejoras en SD-WAN.
  • Implementar monitoreo constante mediante logs y alertas para responder rápidamente a cambios o degradaciones.
  • Realizar pruebas periódicas que simulen caída de enlaces para validar el comportamiento de failover y re-priorización.
  • Documentar y versionar la configuración de SD-WAN para facilitar auditorías y restauraciones en caso de incidentes.
  • Capacitar al personal técnico en análisis y manejo de logs específicos de SD-WAN para detectar fallos tempranos.