La configuración de Performance SLA (Service Level Agreement) en dispositivos FortiGate es una herramienta esencial para gestionar la calidad del servicio en redes SD-WAN. Este tipo de configuración permite definir parámetros de rendimiento, como latencia, jitter y pérdida de paquetes, para evaluar continuamente la calidad de las conexiones y tomar decisiones automáticas sobre el enrutamiento del tráfico. Así, ayuda a mantener la eficiencia, disponibilidad y estabilidad de la red ante variaciones en las condiciones de los enlaces WAN.
Campos principales
A continuación, se describen los principales campos y opciones dentro de la configuración de Performance SLA:
- Name: Identificador único para la configuración del SLA. Permite reconocer fácilmente cada perfil configurado.
- Protocol: Tipo de prueba que se usará para medir el rendimiento. Las opciones disponibles son:
- Ping: Envía paquetes ICMP para medir latencia y disponibilidad.
- HTTP: Realiza solicitudes HTTP para evaluar respuesta de servidores web.
- DNS: Ejecuta consultas DNS para medir tiempos de resolución.
- Server: Dirección IP o nombre del servidor de destino que será usado para enviar las sondas SLA.
- Participants: Define los miembros de SD-WAN que se evaluarán con este SLA. Puede ser “All SD-WAN Members” (todos) o seleccionado manualmente.
- Enable probe packets: Activa o desactiva el envío de paquetes de prueba. Es fundamental tenerlo activado para que el SLA funcione correctamente y mida el rendimiento.
- SLA Target: Permite activar los umbrales que determinan cuándo un enlace se considera como aceptable o no según los parámetros definidos.
- Latency threshold: Establece el máximo tiempo de latencia permitido, en milisegundos. Si se supera este valor, el enlace será evaluado como degradado.
- Jitter threshold: Determina el máximo jitter (variación de latencia) tolerado, también en milisegundos, que afecta especialmente el tráfico en tiempo real.
- Packet Loss threshold: Define el porcentaje máximo de pérdida de paquetes permitido antes de considerar el enlace problemático.
- Check interval: Intervalo en milisegundos entre sondas enviadas para medir el rendimiento. Un valor menor implica mediciones más frecuentes y sensibilidad alta, pero puede aumentar la carga.
- Failures before inactive: Número de fallos consecutivos que se permiten antes de marcar un enlace como inactivo o degradado.
- Restore link after: Indica cuántas mediciones exitosas se necesitan para recuperar un enlace previamente declarado inactivo.
- Update static route: Cuando está activo, la ruta estática se actualiza automáticamente basándose en el estado del SLA, permitiendo redireccionar tráfico de forma dinámica.
Compatibilidad de versiones y modelos
La funcionalidad de Performance SLA es común en las versiones modernas del sistema operativo FortiOS, principalmente desde la versión 7.4.x,7.6.x en adelante. Se encuentra disponible y es estable en versiones como FortiOS 7.4.x,7.6.x, 7.0 y 7.2, que representan las principales ramas para implementaciones productivas hoy en día.
Esta característica es compatible con FortiGate de gama media y alta, así como con dispositivos orientados a sucursales o infraestructura de datacenter. Sin embargo, en modelos muy antiguos o con software inicial a FortiOS 5.x no se encuentran todas las opciones o el UI puede ser limitado. Igualmente, algunos modelos de gama baja podrían tener limitaciones en actualizaciones o menor capacidad para manejar múltiples SLA simultáneos.
Entre las limitaciones destacables a nivel firmware, algunas versiones antiguas presentaban diferencias en el nombre o ubicación de parámetros, por ejemplo, la forma de activar el «Enable probe packets» o la gestión de múltiples participantes. Además, la integración con SD-WAN ha evolucionado, haciendo que configuraciones en versiones menores a 7.4.x,7.6.x sean menos intuitivas o con funciones incompletas.
Escenarios de uso y recomendaciones
El uso principal de los Performance SLA es en rutas SD-WAN para asegurar que el tráfico se envíe por el enlace con mejores condiciones de rendimiento. Por ejemplo, en una empresa con múltiples conexiones WAN, se puede configurar SLA con umbrales estrictos para latencia y pérdida de paquetes, asegurando que videoconferencias o aplicaciones críticas no sufran interrupciones ni degradación.
Si esta configuración no se realiza correctamente, pueden ocurrir problemas graves, como cambios innecesarios de ruta debido a umbrales muy sensibles, provocando inestabilidad en la red o alternancias de ruta frecuentes. Por otro lado, configurar umbrales poco estrictos podría ocasionar que el tráfico siga usando un enlace degradado, afectando la experiencia del usuario.
El fabricante recomienda definir umbrales acorde a los requisitos específicos de cada aplicación, realizar pruebas previas en ambientes controlados y aprovechar las acciones automáticas para actualizar rutas estáticas cuando un enlace falla, garantizando así una red dinámica y resiliente.
Comandos de CLI útiles para diagnóstico
diagnose sys sdwan health-check list: Muestra los resultados actuales de los chequeos SLA en todos los miembros SD-WAN configurados.show system sdwan performance-sla: Visualiza la configuración completa de los Performance SLA definidos en el dispositivo.diagnose debug enableydiagnose debug sdwan health-check: Activa debug para monitorear en tiempo real la evaluación de los SLA y la toma de decisiones del SD-WAN.get system performance top: Permite observar el rendimiento general del dispositivo y detectar posibles impactos que puedan afectar la precisión de los SLA.diagnose firewall iprope lookup: Útil para verificar a qué ruta será enviada una IP destino y si el estado del SLA afecta esta decisión.
Buenas prácticas de configuración
- Definir nombres representativos para cada perfil SLA para facilitar su identificación y mantenimiento.
- Comenzar con umbrales conservadores y ajustarlos conforme se entienden las condiciones reales de la red.
- Habilitar el envío de paquetes de prueba para asegurar que el monitoreo funcione correctamente.
- Combinar diferentes protocolos de prueba en SLA según el tipo de servicio que se desea monitorear (por ejemplo, HTTP para aplicaciones web).
- Evitar configurar intervalos de chequeo demasiado cortos para no saturar la red ni el CPU del dispositivo.
- Utilizar la opción de actualización automática de rutas para que SD-WAN reconduzca el tráfico sin intervención manual.
- Probar los perfiles SLA individualmente desde el CLI antes de integrarlos en reglas complejas para aislar fallos.
- Monitorear continuamente los logs y resultados para detectar falsos positivos o falsas degradaciones.
- Actualizar el firmware del dispositivo para mantener la compatibilidad y obtener mejoras en la funcionalidad.