Juniper NCE-511 AI-Driven SD-WAN Referans Achitekti

Espesifikasyon

• Pwodwi Non: Juniper AI-Driven SD-WAN
• Entegrasyon: Solisyon SSE Microsoft la
• Pibliye Dat: 2024-12-16

Enfòmasyon sou pwodwi
Juniper AI-Driven SD-WAN entegre ak solisyon SSE Microsoft a pou bay konfigirasyon rezo ansyen.amples pou senaryo deplwaman. Solisyon an ofri benefis tankou pèfòmans rezo amelyore ak planifikasyon deplwaman optimize.

Enstriksyon Itilizasyon Pwodwi

Konfigirasyon Workflow
Konfigirasyon an ansyenample enplike nan kreye ak deplwaye yon modèl branch debaz pou koneksyon aparèy. Anvan konfigirasyon, asire w ke ou gen enfòmasyon ki nesesè pou chak sit, ki gen ladan adrès lyen WAN, seri adrès BGP peering, nimewo BGP AS, otorizasyon aksè, kondisyon bandwidth, ak modèl redondance.

Konfigirasyon Basics

1. Kreye yon modèl branch debaz pou koneksyon aparèy.
2. Konfigure tinèl IPsec la.
3. Asosye trafik profiles.
4. View rezo profile.
5. Kreye aplikasyon yo.
6. Mete ajou modèl WAN Edge yo.
7. Verifye operasyon an.

Opsyon Konfigirasyon
Opsyon konfigirasyon miltip ki disponib ak diferan nivo redondance. Tou depan de konfigirasyon an, ou ka configured lyen WAN sèl oswa doub ak solisyon SSE Microsoft la. Asire w swiv direktiv ki espesifye pou konfigirasyon WAN Edge ak SSE Solution Microsoft la.

Juniper AI-Driven SD-WAN ak Microsoft's SSE Solution Integration—Network Configuration Example (NCE)
Konfigirasyon rezo Juniper Networks Egzample (NCE) dekri kijan pou konfigirasyon ak deplwaye pwodwi Juniper nan yon senaryo ka itilize tipik. Nan NCE sa a, w ap jwenn ka itilize ak topoloji, enfòmasyon konfigirasyon, ak pwodiksyon validation pou konfigirasyon an. Li plis pou planifye ak optimize deplwaman rezo w la.

Benefis solisyon

• Konfigirasyon rezo sa a example (NCE) dekri entegrasyon ou ka reyalize ant Juniper AI-Driven SD-WAN ak solisyon SSE Microsoft la. NCE a dekri benefis ki genyen nan entegre solisyon yo epi li bay plizyè ansyenample konfigirasyon ki gen ladan etap verifikasyon.
• Solisyon Microsoft Secure Service Edge (SSE) ki baze sou nwaj gen ladan Microsoft Entra Internet Access ak Microsoft Private Access, anba mak Global Secure Access. Solisyon SD-WAN Juniper AI-Driven bay aksè san pwoblèm nan solisyon SSE Microsoft a soti nan filyal ak biwo. Entegrasyon sa a otomatize lè l sèvi avèk modèl aparèy évolutive pou fasilite fado operasyonèl la nan deplwaye sèvis la sou anpil sit. Gid sa a dekri kijan pou konfigirasyon solisyon SSE Microsoft ak modèl Juniper Mist WAN Edge pou koneksyon.

Dokiman sa a pèmèt topoloji yo montre nan Figi 1 nan paj 2. Yon tinèl IPsec configuré ant aparèy SD-WAN Juniper AI-Driven, ke yo rele tou Juniper Session Smart Router (SSR), ak solisyon SSE Microsoft a ki itilize Secure Edge Connector nan modèl WAN Edge. Anplis de sa, yon koneksyon BGP sou IPsec configuré pou aprann dinamik wout destinasyon nan solisyon SSE Microsoft la. Lè yo itilize pou aksè Microsoft 365, adrès Microsoft SSE yo te anonse nan solisyon SSE yo itilize pou detèmine trafik ki voye nan sèvis la olye ke diksyonè aplikasyon ki baze sou WAN Edge.

Konfigirasyon Workflow
Sekans travay nan konfigirasyon sa a ekzample:

1. Kreye ak deplwaye yon modèl branch debaz pou koneksyon aparèy. Kreyasyon modèl debaz la pa nan sijè ki abòde gid sa a, men modèl WAN Edge ta ka otonòm oswa SD-WAN ak sekirite pèmèt.
2. Konfigure yon rezo aleka nan pòtal Microsoft Entra la. Sa a defini karakteristik tinèl IPsec yo epi defini pwen final wout pou yo ka jwenn.
3. Konfigure yon Connector Secure Edge nan modèl aparèy la. Sa a kreye yon tinèl IPsec koutim nan solisyon SSE Microsoft a epi li defini paramèt chifreman.
4. Konfigure yon konpayon BGP pou sèvis solisyon SSE Microsoft a pou aprann destinasyon Microsoft 365 dinamik.
5. Konfigure yon aplikasyon pou pèmèt trafik yo dwe dirije nan tinèl IPsec la. Aplikasyon sa a pral itilize nan règleman aplikasyon pou pèmèt rezo kliyan yo jwenn aksè nan wout BGP aprann yo.
6. Konfigure yon politik aplikasyon ak yon rezo ak aplikasyon, men pa gen okenn politik volan trafik pou endike WAN Edge la ke yo ta dwe itilize tab routage pou destinasyon aprann yo.

Konfigirasyon Planifikasyon
Anvan konfigirasyon, enfòmasyon sa yo dwe disponib pou chak sit:

1. Adrès piblik lyen WAN yo itilize pou jwenn sèvis solisyon SSE Microsoft la. Nan moman sa a, sèlman adrès WAN estatik ka itilize pou jwenn sèvis la.
2. Youn oswa de seri adrès / 29 ki disponib pou peering BGP ant WAN Edge loopback ak solisyon SSE Microsoft la. Lè yo vle redondance zòn, yo mande de seri adrès.
3. Yon AS BGP pou solisyon SSE Microsoft a itilize. Sa a ta ka nan seri prive AS ki pa itilize yon lòt kote nan rezo antrepriz la.
4. Rezo ak itilizatè yo akòde aksè nan solisyon SSE Microsoft la.
5. Bandwidth vle pou chak sit. Yo itilize sa a nan konfigirasyon rezo aleka nan pòtal Microsoft Entra.
6. Modèl redondance vle pou chak sit. Opsyon yo enkli WAN sèl/double pou WAN Edge ak Zòn sèl/double pou solisyon SSE Microsoft la. Konfigirasyon WAN sèl/double ka itilize swa ak yon sèl SSR oswa HA SSR.

Opsyon Konfigirasyon ak Workflows
Gen plizyè opsyon konfigirasyon ki disponib ak diferan nivo redondance. Pou Juniper SSR WAN Edge la, li posib pou konfigirasyon yon sèl ne ak swa youn oswa de koòdone WAN ki konekte ak solisyon SSE Microsoft la. Yo ta dwe configuré yon routeur double node HA SSR ak de koòdone WAN ki konekte ak solisyon SSE Microsoft la.

REMAK: Lè redondance zòn yo configuré sou solisyon SSE Microsoft a, Lè sa a, de parèy BGP yo configuré kòm vwazen routage atravè yon sèl tinèl.

Twa opsyon konfigirasyon yo kouvri nan gid sa a:

1. Single WAN lyen ak kamarad sou solisyon SSE Microsoft la. Konfigirasyon sa a ta ka itilize pou ti deplwaman ak tès lè redondans pa obligatwa.
2. Single WAN lyen ak zòn redondance sou solisyon SSE Microsoft la. Konfigirasyon sa a pa bay redondance sou SSR WAN Edge men li kouvri echèk nan yon zòn disponiblite sou solisyon SSE Microsoft la. Opsyon sa a enkli pou ilistre kijan de parèy BGP ka konfigirasyon atravè menm tinèl IPsec la.
3. Doub lyen WAN lè l sèvi avèk yon HA SSR ak zòn redondance pou chak tinèl sou solisyon SSE Microsoft la. Sa a bay nivo maksimòm èkse pou tou de WAN Edge ak solisyon SSE Microsoft la. Echèk nan yon nœud SSR, lyen WAN oswa zòn disponiblite Microsoft pa gen enpak sou koule nan trafik nan konfigirasyon sa a.

Yo ka konfigirasyon lòt redondance ak varyasyon lyen WAN lè l sèvi avèk blòk bilding konfigirasyon debaz yo dekri pou chak nan varyasyon sa yo.

Single WAN Link ak Peer sou solisyon SSE Microsoft la
Opsyon konfigirasyon sa a montre nan dyagram ki anba a.

Konfigirasyon Basics

Siyen nan Microsoft Entra Portal ak sa a URL, https://entra.microsoft.com, lè l sèvi avèk kalifikasyon ak otorizasyon administratif pou konfigirasyon solisyon SSE Microsoft la.

1. Sou Microsoft Entra Portal, ale nan Global Secure Access > Aparèy > Rezo Remote.
2. Chwazi Kreye rezo aleka epi bay detay Non ak Rejyon an. Rejyon presize rejyon Azure kote lòt bout tinèl ou a pral ye (yon bout se routeur WAN Edge SSR nan branch lan).
3. Klike sou Next.

KREYE YON REZO REMOTE

Konfigure IPsec Tinèl

1. Chwazi bouton an + Ajoute yon lyen.
2. Antre detay sa yo:
   1. Non lyen: Non aparèy WAN Edge ou a.
   2. Kalite aparèy: Chwazi youn nan opsyon ki soti nan lis deroule (Lòt oswa Juniper).
   3. Adrès IP aparèy: Adrès IP piblik nan lyen WAN yo itilize pou konekte ak Microsoft.
   4. Adrès BGP aparèy: Adrès pwotokòl pòtay fwontyè WAN Edge la. Sa a pral adrès BGP lokal la nan WAN Edge epi yo pral nan seri / 29 yo chwazi pou koneksyon. Konfigirasyon parèy ranvèse a pral fè nan Portal Entra.
   5. Aparèy ASN: Bay nimewo sistèm otonòm rezo WAN Edge la. Pa default, valè sa a se 65000 men yo ka modifye lè l sèvi avèk Mist API.
   6. Redondans: Chwazi swa Pa gen redondance oswa redondans Zòn pou tinèl IPsec ou a. Si w chwazi zòn redondance, lè sa a yon lòt zòn inik redondants lokal BGP adrès configuré.
      REMAK: Microsoft limite konfigirasyon a yon lis ASN ki valab.
   7. Kapasite Bandwidth (Mbps): Chwazi Pleasant pou tinèl IPsec ou a.
   8. Adrès BGP lokal: Sa a se yon adrès IP prive andeyò rezo lokal la nan seri /29 yo chwazi pou koneksyon. Pou egzanpample, si adrès BGP aparèy la chwazi pou WAN Edge peer pi wo a se 10.99.99.1, Lè sa a, sèvi ak 10.99.99.2.
3. Klike sou Next.
4. Règleman IPsec/IKE la mete sou Default men chanje li an Custom.
5. Apre w fin chwazi Custom, chwazi yon konbinezon de paramèt ki matche ak WAN Edge. Nan ansyen sa aample, yo chwazi paramèt sa yo:
   • Ankripteman
   • IKEv2 entegrite
   • Gwoup DH
   • IPSec chifreman
   • IPSec entegrite
   • Gwoup PFS
   • SA pou tout lavi
     REMAK: Règleman IPsec/IKE espesifye dwe matche ak règleman sou WAN Edge la.
6. Review rezo aleka konfigirasyon yo valab.
7. Klike sou Next.
8. Antre kle pre-pataje a (PSK). Ou dwe itilize menm kle sekrè a sou CPE ou.
9. Chwazi Ajoute lyen.

Asosye Trafik Profile

1. Swa klike sou Next oswa chwazi Traffic pro lafiletab s.
2. Chwazi Microsoft 365 trafik profile. Sa asire ke se sèlman trafik Microsoft 365 voye bay solisyon SSE Microsoft la. Rès trafik la pral swiv Règleman Aplikasyon konfigirasyon an.
3. Chwazi Review + Kreye.

REMAK: Chwazi Kreye rezo aleka pou finalize konfigirasyon rezo aleka a.

View Rezo Pro afile
Yon fwa yo kreye rezo aleka, ale nan lis rezo aleka epi chwazi View konfigirasyon. Sa a montre yon fenèt travay ak detay koneksyon pou pòtay Microsoft la. Detay yo enkli pwen final piblik nan pòtay SSE Microsoft a ki ajoute nan WAN a, ansanm ak valè BGP ak ASN.

Kreye Aplikasyon

• Youn nan benefis ki genyen nan solisyon SSE Microsoft la se ke aplikasyon Microsoft 365 yo pibliye dinamik WAN Edge la. Sa vle di ke, kòm destinasyon pwoteje yo mete ajou ak adrès sèvis yo modifye sou tan, solisyon SSE Microsoft la ka dinamikman piblisite wout sa yo WAN Edge pou transpò nan direksyon sèvis la.
• Youn nan avantaj AI-Driven SD-WAN Juniper a se ke politik routage se "Zero Trust." Sa vle di ke jis paske yo te aprann yon wout, sa pa vle di yon rezo ka jwenn aksè nan destinasyon yo ka jwenn atravè wout ki anonse a. Yon politik aplikasyon dwe klèman pèmèt Rezo a jwenn aksè nan aplikasyon an.
• Yon karakteristik inik nan Session Smart Router (SSR) se ke li ta ka konfigirasyon pou wout san kondisyon nan direksyon yon destinasyon lè l sèvi avèk Règleman Dirijan, oswa swiv wout yo aprann nan RIB la (baz enfòmasyon routage oswa tab wout). Lè yo defini yon politik volan pou trafik yo dwe voye lokalman nan yon lyen WAN oswa LAN (pa egzanpample, DIA), règleman sa a pase sou nenpòt wout aprann. Se poutèt sa, yon sèvis Entènèt dirije nan direksyon yon koòdone lokal (ki pa dinamik wout aprann atravè kouvri a), pran priyorite sou wout yo aprann si konfigirasyon nan modèl WAN Edge.
• Lè yo itilize solisyon SSE Microsoft a pou tout trafik Entènèt, lè sa a yon senp aplikasyon Entènèt ak yon prefiks 0.0.0.0/0 ka itilize, epi itilizatè a gen aksè san yo pa yon politik volan jan yo montre anba a:
• Sa a pral di kwen WAN pou pèmèt Rezo "Lab" itilize nenpòt nan wout aprann yo swa atravè kouvri oswa atravè IPsec nan solisyon SSE Microsoft la.
• Sepandan, si yon sèvis Entènèt deja kreye epi li itilize règleman DIA jan yo montre nan ansyen anample pi ba a, Lè sa a, yon aplikasyon separe dwe kreye pou pèmèt wout yo aprann yo dwe itilize an premye.
• Fason pou fè sa se defini yon aplikasyon "IPSec" ki pi espesifik pase aplikasyon Entènèt 0.0.0.0/0. Lè prefiks yo dwe aprann yo pa konnen (pa ka configuré), Lè sa a, kreye yon aplikasyon IPsec ak yon prefiks pi espesifik asire tab la wout enpòte soti nan parèy la IPsec BGP ak itilize pou rezo yo pèmèt.

1. Nan pòtal Mist la, ale nan Òganizasyon > WAN > Aplikasyon.
2. Klike sou Ajoute Aplikasyon.
3. Defini yon non aplikasyon (pa egzanpample, IPSec). Gade imaj ki anba a.
4. Chwazi Custom Apps.
5. Antre prefiks 128.0.0.0/1 ak 0.0.0.0/1 pou adrès IP yo. Prefiks sa yo pi espesifik pase default 0.0.0.0/0.
6. Klike sou Save epi ale nan Òganizasyon > WAN > WAN Edge Templates.

Mete ajou WAN Edge Template

Nan pòtal Mist la, ale nan Modèl WAN Edge pou aparèy Sesyon Smart Router WAN Edge la.

1. Chwazi Ajoute Founisè yo anba Konektè Edge Sekirize pou ouvri yon panèl konfigirasyon.
2. Antre antre sa yo pou matche ak solisyon SSE Microsoft la:
   • Non: (pa egzanpample, MicrosoftSSE)
   • Founisè: Custom
   • Pwotokòl: IPSec
   • LocalID:
   • Kle pre-pataje:
   • IP oswa Non Host:
   • Sous IP:
   • Remote ID:
   • Entèfas WAN:
   • Pwopozisyon IPSec:
     • Chifre: aes256
     • Algorithm Otantifikasyon: sha2
     • Gwoup DH: 14
   • Pwopozisyon IPSec:
     • Algorithm chifreman: aes_gcm256
     • Gwoup DH: 14
     • SA pou tout lavi: 1800 segonn
3. Klike sou Save nan pati anba a nan fenèt la.
4. Kreye yon nouvo gwoup BGP lè l sèvi avèk dyalòg BGP la.
   Sèvi ak valè yo chwazi deja:
   • Non:
   • Kalite: ekstèn
   • AS lokal: <65000 oswa AS ki pa default pou WAN Edge>
5. Chwazi Add Neighbor nan bwat dyalòg BGP la.
6. 6. Antre valè sa yo pou parèy BGP la:
   • Adrès IP: adrès parèy BGP solisyon SSE Microsoft la
   • Si ou vle: Ajoute politik BGP pou enpòte/ekspòtasyon wout yo
7. Navige nan Règleman Aplikasyon epi klike sou Ajoute Règleman Aplikasyon.
   • Enpòte Règleman Aplikasyon
   • Ajoute Règleman Aplikasyon
   • Edit Aplikasyon yo
8. Sèvi ak non aplikasyon ki te kreye nan etap ki anwo yo, ajoute yon politik pou pèmèt rezo yo vle yo rive jwenn aplikasyon "IPSec" ki pi espesifik lè l sèvi avèk tab wout la. Si w kite Règleman Dirijan an vid, SSR a enstwi pou l sèvi ak tab routage pou prefiks nan seri aplikasyon yo defini.
9. Navige nan tèt modèl la epi klike sou Save.
   Verifye Operasyon
   • Yon fwa yo mete ajou modèl la, yo pral pouse yon konfigirasyon IPsec sou aparèy WAN Edge la. Si sa a se premye fwa deplwaman IPsec, sa ap pran kèk tan pou telechaje lojisyèl/konfigirasyon an.
   • Yon fwa konfigirasyon IPsec la deplwaye, ou kapab view estati IPsec anba WAN Edge> > Secure Edge Connector Detay.
   • Yo ka jwenn estati vwazen BGP anba Monitor > Insights > WAN Edge.
   • Li ta ka itil pou navige nan Zouti Tès pou obsève wout aprann anba WAN Edge > Itilite > Zouti Tès > Wout > Montre Wout. Nan ekspozisyon ki anba a, wout yo aprann atravè IPsec yo pral parèt ak solisyon Microsoft SSE BGP peer kòm pwochen hop.

Single WAN Link ak Zòn Redondans sou Microsoft SSE Solution

Opsyon konfigirasyon sa a montre nan dyagram ki anba a.

Nan konfigirasyon sa a, yo kreye yon dezyèm parèy BGP lè l sèvi avèk redondance zòn nan solisyon Microsoft SSE la. Swiv etap ki dekri pi wo a ak adisyon sa yo:

1. Asire w ke w chwazi Zòn redondance lè w ap kreye lyen ki mennen nan rezo aleka nan solisyon Microsoft SSE a jan yo montre anba a. Sa a kreye yon dezyèm parèy BGP ki ta ka jwenn nan menm lyen rezo aleka ak tinèl IPsec soti nan SSR la.
2. Kreye yon dezyèm parèy BGP lè l sèvi avèk menm gwoup BGP nan modèl aparèy la nan Mist. Yo ka jwenn adrès kanmarad la nan konfigirasyon SSE la jan yo montre.

Doub WAN Link Sèvi ak yon HA SSR ak Zòn Redondasyon pou chak Tinèl sou Microsoft SSE Solution
Opsyon konfigirasyon sa a montre nan dyagram ki anba a.

Nan konfigirasyon sa a, tou de yon dezyèm lyen ak yon dezyèm parèy BGP pou chak lyen yo kreye lè l sèvi avèk redondance zòn nan solisyon an Microsoft SSE. Swiv etap ki dekri pi wo a ak adisyon sa yo:

1. Asire w ke w chwazi Zòn redondance lè w ap kreye lyen jan sa dekri pi wo a.
2. Kreye dezyèm BGP parèy nan menm konfigirasyon gwoup BGP ki ap lonje dwèt sou tinèl SEC a kòm rezo peering la.
3. Kreye yon dezyèm lyen nan solisyon Microsoft SSE pou menm rezo Remote la. Lyen sa a ta ka ajoute swa pandan premye konfigirasyon rezo a oswa ajoute lè l sèvi avèk bwat dyalòg rezo Remote yo montre anba a. Chwazi Rezo Remote > Non Rezo Remote > Lyen > Ajoute yon lyen.
4. Repete etap ki anwo yo pou ajoute yon lòt Connector Secure Edge nan modèl aparèy la nan Mist. Sa a bay opòtinite pou dirije tinèl la soti nan yon koòdone segondè nan yon konfigirasyon disponiblite segondè.
5. Kreye yon dezyèm gwoup BGP ki plase nan dezyèm Connector Secure Edge. Gwoup sa a asiyen nan dezyèm konektè a (SEC tinèl) kòm koòdone nan sortant.
6. Kreye yon dezyèm pè parèy BGP nan Gwoup BGP la lè l sèvi avèk lyen adisyonèl ak konfigirasyon peering BGP nan solisyon Microsoft SSR la.

Juniper Networks, logo Juniper Networks, Juniper, ak Junos se mak anrejistre Juniper Networks, Inc. nan Etazini ak lòt peyi. Tout lòt mak, mak sèvis, mak anrejistre, oswa mak sèvis anrejistre se pwopriyete pwopriyetè respektif yo. Juniper Networks pa pran okenn responsablite pou nenpòt ki erè nan dokiman sa a. Juniper Networks rezève dwa pou chanje, modifye, transfere, oswa revize piblikasyon sa a san avètisman. Copyright © 2024 Juniper Networks, Inc. Tout dwa rezève.

FAQ

K: Ki enfòmasyon ki nesesè anvan konfigirasyon rezo a?
A: Anvan konfigirasyon, ou bezwen gen adrès piblik yo nan lyen WAN, seri adrès BGP peering, nimewo BGP AS, otorizasyon aksè, kondisyon Pleasant, ak detay modèl redondance pou chak sit.

K: Konbyen opsyon konfigirasyon ki kouvri nan gid la? 
A: Gid la kouvri twa opsyon konfigirasyon: Lyen WAN sèl ak kamarad sou solisyon SSE Microsoft a, lyen WAN sèl ak redondance zòn nan solisyon SSE Microsoft a, ak lyen WAN doub lè l sèvi avèk yon SSR HA ak redondance zòn pou chak tinèl sou solisyon SSE Microsoft a.

Dokiman / Resous

Juniper NCE-511 AI-Driven SD-WAN Referans Achitekti [pdfGid Itilizatè NCE-511 AI-Driven SD-WAN Referans Achitekti, NCE-511, AI-Driven SD-WAN Referans Achitekti, Referans Achitekti, Achitekti

Referans

• Manyèl itilizatè