SD-WAN Trên FortiGate: Khái Niệm, Performance SLA & Rule-Based Load Balancing

1. Liên hệ thực tế

Khách hàng của anh Nam có 2 đường Internet (1 cáp quang, 1 4G dự phòng) và đang dùng ECMP với Link Monitor để chia tải (xem lại bài ECMP, Link Monitor & Dead Gateway Detection). Vấn đề là traffic voice/video của công ty thỉnh thoảng vẫn bị đi qua đường 4G có độ trễ cao dù đường cáp quang vẫn hoạt động bình thường, chỉ là đang bị nghẽn tạm thời.

Chị Lan giải thích: "ECMP + Link Monitor chỉ biết đường link còn sống hay đã chết (up/down), nó không biết đường nào đang tốt hơn tại thời điểm hiện tại về độ trễ, jitter, hay tỷ lệ mất gói. Đây chính là hạn chế mà SD-WAN trên FortiGate được thiết kế để giải quyết — SD-WAN đo lường liên tục chất lượng thực tế của từng đường truyền và định tuyến traffic theo ứng dụng dựa trên SLA đã định nghĩa. Bài này mình học khái niệm nền tảng trước, phần cấu hình multi-internet và failover thực chiến chi tiết mình sẽ làm ở bài nâng cao sau."

2. Kiến thức cốt lõi

2.1 SD-WAN Zone và SD-WAN Member là gì

Trên FortiGate, SD-WAN được cấu hình như một interface ảo gọi là SD-WAN Zone, gộp nhiều interface vật lý lại với nhau — mỗi interface vật lý tham gia vào Zone gọi là một SD-WAN Member. Từ FortiOS 7.0 trở lên, có thể tạo nhiều SD-WAN Zone khác nhau (ví dụ tách riêng Zone cho traffic Internet và Zone cho traffic MPLS nội bộ), thay vì chỉ có một "virtual-wan-link" duy nhất như các bản cũ hơn.

config system sdwan
    set status enable
    config zone
        edit "virtual-wan-link"
        next
    end
    config members
        edit 1
            set interface "wan1"
            set zone "virtual-wan-link"
        next
        edit 2
            set interface "wan2"
            set zone "virtual-wan-link"
        next
    end
end

2.2 Performance SLA — đo lường chất lượng đường truyền theo thời gian thực

Performance SLA (tên cũ trước FortiOS 6.4 là "Health Check") liên tục gửi probe (ping, HTTP, DNS, TWAMP...) tới một hoặc nhiều server đích qua từng SD-WAN Member, đo 3 chỉ số chính:

Khi một Member vượt ngưỡng SLA đã định nghĩa (ví dụ latency > 150ms), FortiGate coi Member đó là "SLA fail" cho traffic tương ứng — dù interface vẫn đang up bình thường — và sẽ điều hướng traffic phù hợp sang Member khác đạt SLA. Cách gán ngưỡng cụ thể (latency-threshold, jitter-threshold, packetloss-threshold) và cách tinh chỉnh để tránh false positive được trình bày chi tiết ở bài nâng cao.

2.3 Ba chiến lược chọn đường (khái niệm)

Sau khi có Performance SLA, FortiGate dùng SD-WAN Rule để quyết định traffic loại nào đi qua Member nào, theo 3 nhóm chiến lược:

• Lowest Cost (SLA): chọn Member rẻ nhất trong số các Member đang đạt SLA — dùng khi có 1 đường ưu tiên và 1+ đường dự phòng đắt hơn.
• Best Quality: luôn chọn Member có chất lượng tốt nhất tại thời điểm hiện tại theo latency/jitter/packet loss — phù hợp cho voice/video.
• Maximize Bandwidth (Load Balancing): chia tải đồng thời trên tất cả Member đạt SLA — dùng cho traffic bulk data không nhạy cảm độ trễ.

Việc gán cost cho từng Member, cấu hình priority-members, cũng như cách kiểm tra failover thực tế bằng diagnose sys sdwan service — tức là toàn bộ phần triển khai thực chiến với nhiều đường Internet — được trình bày đầy đủ ở bài SD-WAN nâng cao: Multiple Internet, Failover thực tế và Lowest Cost SLA. Bài đó cũng chỉ ra các sai lầm thường gặp (health-check chỉ 1 server, failtime/recoverytime đặt sai gây flapping...) mà người mới triển khai SD-WAN hay mắc phải.

2.4 So sánh SD-WAN vs ECMP/Link Monitor truyền thống

3. Hỏi & Đáp

SD-WAN Rule và Firewall Policy, cái nào được xử lý trước?

SD-WAN Rule quyết định traffic đi qua Member/interface vật lý nào trước khi Firewall Policy lookup diễn ra bình thường như các traffic khác — SD-WAN hoạt động ở tầng chọn đường ra (outbound path selection), độc lập với logic allow/deny của Firewall Policy. Traffic vẫn phải khớp một Firewall Policy có outgoing interface là SD-WAN Zone thì mới được phép đi qua.

Nếu không cấu hình SD-WAN Rule nào, traffic sẽ đi qua Member nào?

Mặc định FortiGate sẽ dùng rule "implicit" theo chiến lược Load Balance dựa trên session (round-robin theo 5-tuple hash), tương tự hành vi ECMP truyền thống, cho tới khi admin định nghĩa SD-WAN Rule cụ thể theo ứng dụng.

4. Quiz

Câu 1: Performance SLA trên FortiGate đo những chỉ số nào?

• A. CPU, Memory, Disk
• B. Latency, Jitter, Packet Loss
• C. Bandwidth, VLAN ID, MTU
• D. Session count, Policy count

Câu 2: Chiến lược SD-WAN nào phù hợp nhất cho traffic voice/video nhạy cảm độ trễ?

• A. Maximize Bandwidth
• B. Lowest Cost
• C. Best Quality
• D. Round Robin

Câu 3: Điểm khác biệt cốt lõi giữa SD-WAN và ECMP truyền thống là gì?

• A. SD-WAN chỉ hoạt động với 2 đường trở lên
• B. SD-WAN đo chất lượng thực tế và định tuyến theo ứng dụng, ECMP chỉ biết up/down
• C. ECMP nhanh hơn SD-WAN
• D. Không có khác biệt đáng kể

Câu 4: Khi một SD-WAN Member vượt ngưỡng SLA đã cấu hình, điều gì xảy ra?

• A. Interface tự động bị shutdown
• B. FortiGate coi Member đó "SLA fail" cho traffic liên quan và điều hướng sang Member khác đạt SLA
• C. FortiGate gửi cảnh báo nhưng không đổi đường đi
• D. Toàn bộ SD-WAN Zone bị vô hiệu hóa

👉 Đáp án

Câu 1: B Performance SLA đo 3 chỉ số cốt lõi phản ánh chất lượng đường truyền theo thời gian thực: Latency, Jitter, Packet Loss.

Câu 2: C Best Quality luôn chọn Member có chất lượng tốt nhất tại thời điểm hiện tại, phù hợp với traffic nhạy cảm độ trễ như voice/video.

Câu 3: B ECMP/Link Monitor chỉ biết trạng thái up/down của link, còn SD-WAN đo lường chất lượng thực tế liên tục và có thể định tuyến theo từng loại ứng dụng cụ thể.

Câu 4: B Dù interface vẫn "up" về mặt vật lý, khi vượt ngưỡng SLA đã cấu hình, FortiGate coi Member đó fail cho traffic liên quan và chuyển hướng sang Member khác đạt chuẩn.

📚 Bài viết thuộc khóa học FortiGate của VNExperts

🧭 Điều hướng