Contenu

Introduction

Exigences

Configuration

Configuration des règles NAT pour l'adoption de la passerelle (facultatif)

Configuration SD-WAN

Vérification

Conclusion

Questions/Réponses

Introduction

Le SD-WAN (Software-Defined Wide Area Network) révolutionne les architectures WAN traditionnelles en s'appuyant sur un contrôle centralisé et l'automatisation pour acheminer dynamiquement le trafic sur plusieurs connexions (MPLS, haut débit, LTE, etc.). Le SD-WAN améliore le modèle en étoile en intégrant un pilotage intelligent du trafic et une gestion simplifiée des sites. Son principal avantage réside dans la gestion centralisée des politiques, qui permet de définir et d'appliquer les règles réseau sur l'ensemble des sites depuis un contrôleur unique.

Note:

• Le WAN participant au réseau ne peut pas activer la fonction DMZ.
• Tous les rayons doivent d'abord être connectés au moyeu.

Cet article propose une procédure détaillée pour configurer la fonction SD-WAN sur le contrôleur Omada, permettant aux entreprises de centraliser la gestion de leur réseau, d'optimiser le routage du trafic et d'établir une connectivité sécurisée en étoile entre leurs sites distribués, le tout depuis un seul contrôleur. Ce guide aborde les prérequis, l'adoption de la passerelle, l'attribution des plages d'adresses IP et la vérification post-configuration afin de garantir des performances WAN fiables.

Exigences

• Passerelle Omada avec firmware entièrement adapté au contrôleur Omada V6.2 et versions ultérieures
• Contrôleur Omada V6.2 et versions ultérieures

Configuration

Dans la section suivante, nous expliquerons comment configurer un réseau SD-WAN à l'aide de trois passerelles. Ces trois passerelles sont déployées sur trois sites : SD-WAN 1, 2 et 3, sur le même contrôleur, et sont nommées Passerelle A, B et C.

Veuillez noter que vous devez utiliser des passerelles dont le firmware prend en charge la fonctionnalité SD-WAN pour pouvoir voir le panneau SD-WAN et poursuivre toutes les configurations suivantes !

Configuration des règles NAT pour l'adoption de la passerelle (facultatif)

Lorsqu'on utilise un contrôleur sur site, les passerelles sont généralement adoptées à distance, ce qui nécessite la configuration du transfert de port pour finaliser l'adoption.

Étape 1. Le contrôleur doit être situé du côté LAN d'une passerelle. Après avoir adopté cette passerelle, accédez à Configuration réseau > NAT .

Étape 2. Sur la page de redirection de port , cliquez sur Créer une nouvelle règle .

Étape 3. Nommez la règle, choisissez « Toute adresse IP » ou « Adresses IP limitées » pour autoriser cette redirection de port, puis sélectionnez le port WAN approprié comme interface . Configurez ensuite le port source , l’adresse IP de destination , le port de destination et le protocole . Enfin, cliquez sur « Créer » .

Pour utiliser un périphérique Omada, les ports suivants doivent être activés : UDP29810, TCP29811-29817 et TCP8043. La capture d’écran ci-dessous illustre la configuration d’une règle de redirection de port pour UDP29810.

Étape 4. Après avoir créé la règle de redirection de port, configurez l'adresse IP WAN de cette passerelle comme URL d'information sur les autres passerelles pour finaliser l'adoption. Veuillez noter que l'adresse IP WAN doit être directement accessible depuis les autres passerelles ; dans le cas contraire, vous devrez peut-être configurer des règles de redirection de port supplémentaires sur les équipements de liaison montante.

Configuration SD-WAN

Si vous avez terminé l'adoption de toutes les passerelles sur le même contrôleur, le processus de configuration SD-WAN commence ici.

Étape 1. Accédez à Vue globale > SD-WAN .

Étape 2. Cliquez sur Créer un groupe SD-WAN .

Étape 3. Modifiez le nom et la description du groupe si nécessaire.

La solution de gestion des conflits de sous-réseaux est désormais prise en charge dans Omada Controller V6.2. Elle mappe les segments de réseau en conflit des passerelles SD-WAN sur un segment virtuel afin de résoudre le problème selon lequel les segments de réseau en conflit ne pouvaient pas rejoindre le même groupe SD-WAN. Cette option est activée par défaut.

À partir d'Omada Controller V6.2, il n'est plus nécessaire de configurer manuellement le pool d'adresses IP SD-WAN virtuelles pour les passerelles du groupe SD-WAN ; celui-ci sera généré et attribué automatiquement.

Étape 4. Cliquez sur le bouton Sélectionner pour choisir le périphérique central et le périphérique distant . Seul un périphérique doté d'une adresse IP publique peut servir de périphérique central . Cochez la case pour sélectionner le périphérique, puis cliquez sur Enregistrer .

Étape 5. Une fois la sélection des périphériques Hub et Spoke terminée, cliquez sur Suivant pour continuer.

Étape 6. Sur la page « Configurer la topologie du réseau » , vous pouvez prévisualiser les tunnels créés entre les passerelles. Par défaut, seul le tunnel Hub-Spoke est créé ; tout le trafic entre les spokes doit être acheminé par le hub. Vous pouvez également choisir d'établir des tunnels entre les spokes pour les connecter directement et réduire la charge sur le hub. Cette option est configurable en cliquant sur « Gérer la connexion Spoke-Spoke » . Veuillez noter que pour établir une connexion spoke-spoke, au moins un des spokes doit posséder une adresse IP publique.

Sur la page Gérer la connexion Spoke-Spoke , cochez la connexion à sélectionner et cliquez sur Enregistrer .

Une fois la connexion en étoile activée, l'aperçu de la topologie change en conséquence.

Cliquez sur Suivant en bas à droite pour continuer.

Étape 7. Sur la page Sélectionner WAN et réseau , cliquez pour sélectionner le port WAN participant à ce groupe SD-WAN pour chaque passerelle, ou cliquez sur Sélection automatique du port WAN en haut à droite ; le système choisira automatiquement le WAN le plus approprié, généralement celui avec une adresse IP publique.

Cliquez pour sélectionner les réseaux LAN de chaque passerelle que vous souhaitez inclure dans le groupe SD-WAN. Seuls les réseaux LAN avec un masque de sous-réseau supérieur ou égal à /20 peuvent être sélectionnés. Par exemple, le réseau LAN 2 de la passerelle B a un masque de /16 ; il est donc grisé et ne peut pas être sélectionné. Les sous-réseaux qui se chevauchent peuvent être sélectionnés ; ils seront alors associés à un sous-réseau virtuel sans conflit. Cliquez sur « Enregistrer » en bas à droite pour continuer.

Étape 8 (Facultatif) : À partir d'Omada Controller V6.2.10 et avec le firmware Omada Gateway adapté à Omada Controller V6.2, les utilisateurs peuvent ajouter une route personnalisée au groupe SD-WAN. Cette route est définie par l'utilisateur et ne correspond pas à un sous-réseau géré par Omada Controller. Il peut s'agir d'un tunnel VPN, d'un sous-réseau statique connecté mais non géré par Omada, ou d'un périphérique tiers connecté. Cette fonctionnalité est uniquement disponible sur le Hub. Cliquez sur le bouton « Ajouter » pour ajouter une route personnalisée .

Dans la fenêtre contextuelle, saisissez le nom et le sous-réseau de destination de cette route personnalisée. Cliquez sur Enregistrer pour terminer la création.

Veuillez noter qu'une route statique doit être configurée sur la passerelle contenant cette route personnalisée configurée dans le SD-WAN pour que celle-ci soit prise en compte. La route statique de la passerelle peut être configurée dans Configuration réseau > Transmission > Routage , puis dans l'onglet Route statique .

Après avoir ajouté la route personnalisée, l'aperçu du segment LAN devrait ressembler à la capture d'écran suivante ; cliquez sur Enregistrer pour continuer.

Étape 9. Une fois les sous-réseaux chevauchants sélectionnés au niveau des passerelles et la solution de résolution des conflits de sous-réseaux activée, la page de mappage des segments de réseau virtuel s'affiche pour confirmer le mappage virtuel des sous-réseaux chevauchants. Par défaut, la plage de mappage virtuel correspond aux adresses IP privées 10.0.0.0/8, 172.16.0.0/12 et 192.168.0.0/16. Vous pouvez également ajouter une plage personnalisée en cliquant sur « Ajouter ».

Le résultat du mappage sera généré automatiquement. Si vous souhaitez le modifier, cliquez sur le bouton Modifier et sélectionnez le sous-réseau souhaité.

Le masque de sous-réseau du sous-réseau mappé est identique à celui du sous-réseau d'origine et ne peut être modifié. Ceci garantit que les adresses IP d'origine de la plage peuvent être mappées une à une sans conflit. Par exemple, si le sous-réseau 192.168.254.1/24 est mappé sur 10.1.0.0/24, les clients ayant les adresses IP 192.168.254.1 et 192.168.254.100 seront respectivement mappés sur 10.1.0.1 et 10.1.0.100.

L'ordre des segments de réseau mappés peut être modifié. Par exemple, dans la capture d'écran, l'ordre est le suivant : 10.0.0.0/8 > 172.16.0.0/12 > 192.168.0.0/16 > Personnalisé. La priorité étant donnée à 10.0.0.0/8, les segments de mappage virtuels générés se situent dans cette plage. Vous pouvez déplacer n'importe quel segment en tête pour le prioriser dans la plage de mappage virtuel générée.

Après avoir confirmé la configuration de la cartographie virtuelle, cliquez sur Enregistrer pour continuer.

Étape 10. Une fois la configuration du mappage virtuel terminée, les sous-réseaux mappés s'afficheront sous chaque sous-réseau sur la page Sélectionner WAN et réseau . Si tout est correct, cliquez sur Enregistrer pour continuer.

Étape 11. La configuration du groupe SD-WAN est terminée. Vous serez redirigé vers la page SD-WAN générale, où l'état du groupe SD-WAN créé s'affichera. Vous pouvez basculer entre les deux affichages en cliquant sur le bouton « Affichage » en haut à droite.

Comme le montre la capture d'écran d'exemple, le tunnel Hub-Spoke à deux points est établi, mais le tunnel Spoke-Spoke ne l'est pas encore.

Étape 12. En cliquant sur le bouton Gérer en haut à droite, vous pouvez choisir de modifier le groupe , de supprimer le groupe ou de gérer le réseau virtuel .

En cliquant sur Modifier le groupe , vous retournerez à la page de configuration détaillée du groupe SD-WAN.

En cliquant sur Supprimer le groupe , l'ensemble du groupe SD-WAN sera supprimé après confirmation.

En cliquant sur Gérer le réseau virtuel , vous pouvez vérifier l'état ou modifier le mappage virtuel des segments de réseau qui se chevauchent.

Si vous souhaitez modifier le segment réseau et le masque d'un LAN participant au groupe SD-WAN, il est recommandé de retirer d'abord ce LAN du groupe SD-WAN, puis, une fois les modifications effectuées, de le rajouter au groupe SD-WAN. Vous devrez également reconfigurer les sous-réseaux en conflit par la suite.

Étape 13. En cliquant sur le bouton Carte en haut à droite, les utilisateurs peuvent visualiser l'emplacement des sites sur la carte en fonction de leur longitude et latitude, ou les placer manuellement si ces informations ne sont pas disponibles. Dans la capture d'écran d'exemple, la longitude et la latitude n'étant pas définies, les sites apparaissent non positionnés et sont listés dans le panneau de gauche. Faites-les glisser pour les placer manuellement sur la carte.

Après avoir placé les sites, cliquez sur l' icône de verrouillage de chaque site pour confirmer l'emplacement ; l'état du tunnel s'affichera alors. Faites un clic droit sur les icônes des sites pour modifier l'emplacement ou supprimer un site .

Déplacez le curseur sur les icônes des tunnels ou du site pour vérifier leur statut.

Vérification

L'état du groupe SD-WAN peut être vérifié sur la page SD-WAN, notamment les passerelles participantes et l'état du tunnel.

Rendez-vous sur l'un des sites et consultez la table de routage de la passerelle ; vous y trouverez des entrées de routage formées par le SD-WAN.

Les outils Ping peuvent également être utilisés pour vérifier la connectivité ; veuillez noter que des adresses IP virtuelles mappées doivent être utilisées pour les sous-réseaux qui se chevauchent.

Conclusion

Dans cet article, nous avons présenté comment configurer le SD-WAN sur Omada Controller V6.2 et versions ultérieures ; cette version comporte de nouvelles fonctionnalités pour le SD-WAN.

Pour en savoir plus sur chaque fonction et configuration, veuillez vous rendre dans le Centre de téléchargement pour télécharger le manuel de votre produit.

Questions/Réponses

Q1 :

Que dois-je faire si je rétrograde des appareils d'un groupe SD-WAN existant configuré avec la NAT virtuelle vers une version ne prenant pas en charge la NAT virtuelle ?

R1 : Après la rétrogradation, le NAT virtuel ne peut plus être actif, le groupe SD-WAN d’origine sera supprimé et devra être configuré à nouveau manuellement.

Q2 : Comment puis-je contrôler quel utilisateur peut modifier ou consulter le panneau SD-WAN lorsqu’il est connecté à Omada Controller ?

R2 : Lors de la création d'un rôle de compte, trois types de privilèges sont disponibles pour le panneau SD-WAN : Modification , Consultation seule et Blocage . Si le privilège Blocage est défini , l'utilisateur ne verra pas le panneau SD-WAN après connexion. Si le privilège Consultation seule est défini, l'utilisateur pourra voir le panneau SD-WAN mais ne pourra pas modifier la configuration actuelle. Si le privilège Modification est défini , l'utilisateur disposera de tous les droits pour consulter et modifier la configuration du panneau SD-WAN. Les privilèges des rôles peuvent être configurés dans Vue globale > Comptes > Rôle . Les privilèges des rôles par défaut ne peuvent pas être modifiés. Pour personnaliser un rôle, cliquez sur Ajouter un nouveau rôle . Avant la version 6.2.10 du contrôleur, un utilisateur disposant des privilèges Consultation seule ou Modification pour le panneau SD-WAN pouvait voir la page SD-WAN et les sites associés même s'il n'y avait pas accès dans le contrôleur, ce qui présentait un risque. À partir de la version 6.2.10 du contrôleur, seul l'utilisateur ayant accès à tous les sites du contrôleur et disposant des privilèges correspondants pour le panneau SD-WAN peut le consulter ou le modifier.