ยิ่งมี FortiGate กระจายอยู่หลายสาขา ความท้าทายจะขยับจากการตั้งค่าอุปกรณ์หนึ่งเครื่อง ไปสู่การควบคุมให้ Policy และ Configuration ของทุกแห่งสอดคล้องกับมาตรฐานที่กำหนด

บ่ายวันศุกร์ก่อนเลิกงาน ทีม IT ได้รับคำขอด่วนว่า

“เปิดสิทธิ์ให้ทีมการตลาดเข้าใช้งานระบบใหม่ และต้องพร้อมใช้ทุกสาขา”

สำหรับองค์กรที่มี FortiGate กระจายอยู่ 50 แห่ง โจทย์นี้ไม่ได้จบแค่การสร้าง Firewall Policy หนึ่งรายการ

ทีมงานยังต้องพิจารณา Address Object, Service, Interface Mapping, ลำดับ Policy และค่าที่แตกต่างกันในแต่ละอุปกรณ์ ก่อนนำการเปลี่ยนแปลงไปใช้งานจริง

หากยังบริหารแบบแยกเครื่อง งานชุดเดียวอาจหมายถึงการรีโมตเข้าสาขาทีละแห่ง คัดลอกค่าซ้ำหลายรอบ และคอยจดว่าสาขาใดดำเนินการแล้ว

เมื่อการเปลี่ยนแปลงลักษณะนี้เกิดขึ้นซ้ำๆ โดยไม่มีระบบควบคุมร่วมกัน ความแตกต่างระหว่าง Configuration ของแต่ละสาขาก็เริ่มสะสมจนกลายเป็น Configuration Drift ได้

• — บางสาขาอาจใช้ Object คนละชื่อ
• — บางเครื่องอาจมี Policy เรียงต่างกัน
• — อีกสาขาอาจพลาดการอัปเดตเพียงเพราะหลุดจาก Checklist

ค่าที่ต่างออกไปเพียงจุดเดียวอาจทำให้ผู้ใช้งานเข้าถึงระบบปลายทางไม่ได้ หรือได้รับสิทธิ์กว้างเกินความจำเป็น

เมื่อจำนวนอุปกรณ์เพิ่มขึ้น การบริหารแบบ Device-by-Device จึงเริ่มสร้างภาระที่ควบคุมได้ยากขึ้น และทำให้ Centralized Management ด้วย FortiManager เข้ามามีบทบาท

FortiManager ช่วยนำอุปกรณ์เข้ามาบริหารจากจุดเดียว พร้อมจัดโครงสร้างการทำงานผ่านองค์ประกอบสำคัญ เช่น

• Device Registration
  ลงทะเบียน FortiGate เข้าสู่การบริหารของ FortiManager เพื่อจัดการ Device Database ตรวจสอบสถานะการเชื่อมต่อ และติดตามความสอดคล้องของ Configuration
• Policy Packages
  จัดโครงสร้าง Firewall Policy เป็น Package และกำหนดขอบเขตการใช้งานกับอุปกรณ์ที่เกี่ยวข้อง ช่วยลดการสร้างและดูแลกฎชุดเดิมซ้ำในหลายสาขา
• Shared และ Dynamic Objects
  ใช้ Object ร่วมกันในขอบเขตที่กำหนด พร้อมสร้าง Dynamic Mapping สำหรับค่าที่แตกต่างกันตามอุปกรณ์หรือสาขา ช่วยลดการแยก Policy Package เพียงเพราะค่าบางรายการไม่เหมือนกัน
• Provisioning Templates
  เตรียม Configuration ระดับอุปกรณ์ เช่น การตั้งค่าระบบและค่าที่องค์กรต้องการควบคุมให้เป็นมาตรฐาน แล้วนำไปใช้กับอุปกรณ์หลายแห่ง

ก่อนติดตั้งการเปลี่ยนแปลง ทีมงานควรตรวจสอบ Scope ของ Policy Package, Device Mapping, Installation Preview และสถานะ Synchronization ให้ครบถ้วน

เพราะ Centralized Management ที่ดีไม่ได้หมายถึงการกดคำสั่งให้เร็วที่สุด

หัวใจอยู่ที่การทำให้ทุกการเปลี่ยนแปลงมีขอบเขตชัดเจน ตรวจสอบได้ และมี Revision History ให้ทีมย้อนกลับไปเปรียบเทียบเมื่อเกิดข้อสงสัยภายหลัง

ลองสำรวจระบบขององค์กรวันนี้ด้วย 3 คำถาม

• 1. Firewall Policy ของแต่ละสาขายังใช้มาตรฐานเดียวกันหรือไม่
• 2. ทีมงานสามารถตรวจสอบที่มาของการเปลี่ยนแปลงล่าสุดและเปรียบเทียบ Revision ที่เกี่ยวข้องได้ชัดเจนเพียงใด
• 3. ก่อน Deploy มีขั้นตอน Review และตรวจผลกระทบที่ชัดเจนแค่ไหน

เมื่อคำขอด่วนบ่ายวันศุกร์มาถึง ความเร็วเพียงอย่างเดียวจึงยังไม่พอ

ทีมงานควรรู้ด้วยว่า Policy ชุดใดถูกติดตั้งไปยังสาขาใด การดำเนินการสำเร็จครบหรือไม่ และมี Revision ใดให้ตรวจสอบย้อนหลังได้บ้าง

หลังจัดการเรื่อง Policy ได้เป็นระบบมากขึ้น โจทย์ถัดไปก็กำลังรออยู่

หาก Internet Link ของสาขาเริ่มมีปัญหา ทีมส่วนกลางจะใช้ FortiManager ร่วมกับ SD-WAN เพื่อควบคุม Configuration และตัดขอบเขตสาเหตุได้อย่างไร?

มี Internet Link สำรองแล้ว เหตุใด Application สำคัญยังสะดุดได้?

คำตอบอาจอยู่ที่คุณภาพของแต่ละเส้นทาง และเงื่อนไขที่ SD-WAN ใช้ตัดสินใจเลือก Link

จากตอนที่แล้ว ทีม IT สามารถจัดการ Policy และ Configuration ของ FortiGate หลายสาขาผ่าน FortiManager ได้เป็นระบบมากขึ้น

การควบคุม Configuration ช่วยวางโครงสร้างให้เป็นระบบ

บททดสอบอีกด้านหนึ่งจะเริ่มขึ้นเมื่อโทรศัพท์จากสาขาดังมาว่า

• — “ระบบหน้าร้านช้า”
• — “ชำระเงินไม่ได้”
• — “เปิด Cloud Application แล้วค้าง”

คำว่า “เน็ตมีปัญหา” อาจซ่อนความเป็นไปได้ไว้หลายแบบ

• — Internet Link ล่มทั้งเส้น
• — Latency สูงจน Application ตอบสนองช้า
• — Packet Loss เกิดขึ้นเป็นช่วง
• — หรือเส้นทางยังใช้งานได้ แต่คุณภาพต่ำเกินกว่าจะรองรับระบบสำคัญ

ลิงก์สำรองจะช่วยให้ธุรกิจทำงานต่อได้เพียงใด จึงขึ้นอยู่กับเงื่อนไขการตรวจสอบคุณภาพและการเลือกเส้นทางที่ตั้งไว้ด้วย

ระบบต้องมีเกณฑ์ตรวจสอบคุณภาพของแต่ละเส้นทาง พร้อมกำหนดว่า Traffic ประเภทใดควรใช้ลิงก์ใด และควรเปลี่ยนเส้นทางเมื่อเงื่อนไขใดเกิดขึ้น

นี่คือบทบาทของ Secure SD-WAN บน FortiGate

ทีม IT สามารถกำหนด Performance SLA เพื่อติดตาม Latency, Jitter และ Packet Loss แล้วใช้ผลที่ได้ประกอบการเลือกเส้นทางตาม SD-WAN Rules ที่วางไว้

• — ระบบชำระเงินอาจถูกกำหนดให้ใช้ลิงก์ที่มีคุณภาพดีที่สุด
• — งานทั่วไปอาจกระจายไปอีกเส้นทาง
• — เมื่อเส้นหลักไม่ผ่านเกณฑ์ SLA ระบบจะเลือก Member อื่นตามเงื่อนไขของ SD-WAN Rule ที่กำหนดไว้

FortiGate เป็นผู้ประเมินเงื่อนไขและเลือกเส้นทางตาม SD-WAN Configuration ที่ติดตั้งไว้

ส่วน FortiManager ช่วยให้ทีมส่วนกลางออกแบบ จัดการ และกระจาย SD-WAN Template รวมถึง Policy ที่เกี่ยวข้องไปยังหลายสาขาจากศูนย์กลาง

หากองค์กรมีสาขาจำนวนมาก ประโยชน์สำคัญจึงอยู่ที่การควบคุมมาตรฐาน

ทีมงานสามารถวางโครงสร้างร่วมสำหรับหลายสาขา แล้วกำหนดค่าที่แตกต่างกัน เช่น Interface, Gateway หรือรายละเอียดของแต่ละวงจร ผ่าน Template และ Mapping ที่เหมาะสม

เมื่อเกิด Incident จริง รายงานจากผู้ใช้อาจเป็นเพียงจุดเริ่มต้น เพราะปัญหาในลักษณะเดียวกันสามารถเชื่อมโยงกับหลายสาเหตุ

ทีม IT ควรตรวจสอบอย่างน้อย 4 จุด

• 1. สถานะของอุปกรณ์และการเชื่อมต่อ
  FortiGate ยังเชื่อมต่อกับ FortiManager ตามปกติหรือไม่ และอยู่ใน Synchronization State ใด
• 2. ผลของ Performance SLA
  Performance SLA หรือ Health Check ใดไม่ผ่านเกณฑ์ และค่า Latency, Jitter หรือ Packet Loss รายการใดเกิน Threshold ที่กำหนด
• 3. SD-WAN Rule ที่จับ Traffic
  Application ที่มีปัญหาถูกจัดเข้า Rule ใด และระบบเลือก Member ตรงตามที่ออกแบบไว้หรือไม่
• 4. Configuration Change ล่าสุด
  ก่อนเกิดเหตุมีการติดตั้ง Policy Package, Template หรือแก้ไข Object ใดหรือไม่ และ Revision ล่าสุดแตกต่างจากสถานะก่อนหน้าอย่างไร

จุดนี้ทำให้ Centralized Management มีคุณค่ามากกว่าการมีหน้าจอรวม

ทีมงานจึงต้องนำ Device Status, Policy, Template, Synchronization State, Revision History และผลการติดตั้งมาพิจารณาร่วมกัน เพื่อค่อยๆ แยกว่าเหตุการณ์สัมพันธ์กับ Link, Routing, SD-WAN Rule หรือ Configuration ที่เพิ่งเปลี่ยน

การบริหารจากศูนย์กลางช่วยให้ทีมเห็นบริบทด้านอุปกรณ์ Policy, Template และการเปลี่ยนแปลงได้เป็นระบบมากขึ้น

ส่วนการยืนยันสาเหตุยังต้องอาศัยข้อมูลจาก FortiGate และเครื่องมือ Monitoring ที่เกี่ยวข้อง ร่วมกับความเข้าใจของผู้ดูแลระบบ

การบริหารจากศูนย์กลางจะเป็นระบบมากขึ้น เมื่อทีมเข้าใจทั้งโครงสร้าง Configuration ขั้นตอนการ Deploy และแนวทางตรวจสอบความเปลี่ยนแปลงที่เกี่ยวข้อง

หลักสูตร FortiManager พาผู้เข้าอบรมเรียนรู้ตั้งแต่ Initial Configuration, Administration, ADOM, Device Registration และ Policy and Objects

เนื้อหายังครอบคลุมการเชื่อมโยง Fortinet Security Fabric การติดตั้งและตรวจสอบ Configuration Change ตลอดจน Diagnostics & Troubleshooting พร้อมฝึกผ่าน Interactive Labs

นอกจากนี้ NTC เพิ่มช่วงสาธิตการบริหาร SD-WAN Configuration ผ่าน FortiManager เพื่อให้ผู้เรียนเห็นแนวทางการนำ Centralized Management ไปประยุกต์ใช้กับระบบหลายสาขา

ผู้เรียนจะได้เชื่อมโยงขั้นตอนการ Deploy เข้ากับแนวทางตรวจสอบปัญหาในการใช้งานประจำวัน เพื่อให้การแก้ไขแต่ละจุดเกิดขึ้นภายใต้ภาพรวมของ Policy, Device และ Change ที่เกี่ยวข้อง

เหมาะสำหรับผู้ที่รับผิดชอบการดูแล FortiGate Security Policies ผ่าน FortiManager โดยควรมีความรู้เกี่ยวกับ Firewall บนเครือข่าย IPv4 คุ้นเคยกับหัวข้อในหลักสูตร FCP – FortiGate Administrator และมีความเข้าใจพื้นฐานเกี่ยวกับ Network Management Systems

สำหรับองค์กรที่ต้องการพัฒนาทีมให้บริหาร Policy, Change Workflow และ Troubleshooting ภายใต้แนวทางร่วมกัน สามารถปรึกษาการจัด In-house Training และหารือเนื้อหาให้สอดคล้องกับสภาพแวดล้อมขององค์กรได้

สอบถามรายละเอียดเพิ่มเติม หรือปรึกษาการจัดอบรมสำหรับทีม LINE: @NTC-LINE

เมื่อสาขาถัดไปแจ้งว่า “เน็ตล่ม” ทีมของคุณมีข้อมูลพร้อมเพียงใด สำหรับไล่ตรวจหาสาเหตุก่อนเริ่มปรับ Configuration?