Um FortiSwitch pode funcionar sozinho, em modo standalone, com configuração e próprias. Em quase todo ambiente Fortinet, porém, não é assim que ele funciona, porque o FortiLink deixa um FortiGate gerenciá-lo, e o switch vira uma extensão da configuração do firewall, e não um equipamento com vida própria.

O que o FortiLink muda de fato

Com o FortiLink, o FortiGate vira o switch controller, o controlador dos switches. As portas do switch aparecem na lista de interfaces do FortiGate, as VLANs são criadas no FortiGate e enviadas para o switch, e a configuração do switch passa a ser gerenciada pelo FortiGate, e não escrita diretamente nele.

Vale dizer com todas as letras a consequência prática: uma configuração feita diretamente num switch gerenciado corre o risco de ser sobrescrita. O FortiGate guarda o estado desejado e acerta o switch de acordo com ele, do mesmo jeito que o FortiManager guarda o estado desejado de um firewall. Quem resolve um problema entrando no switch fez uma mudança que vai desaparecer.

Provisionamento, passo a passo

  1. A interface FortiLink. Uma ou mais portas do FortiGate são definidas como a interface FortiLink. Onde a redundância importa, o normal é usar uma interface agregada (aggregate) em vez de uma porta só, e ela precisa ser agregada nas duas pontas.
  2. Descoberta. O switch ligado a essa interface é descoberto automaticamente e aparece como um equipamento não autorizado.
  3. Autorização. Você autoriza o switch. Enquanto não fizer isso, ele fica visível, mas não gerenciado, e é esse o estado que as pessoas confundem com defeito.
  4. Envio da configuração. Depois de autorizado o switch, o FortiGate aplica a configuração de switch que ele mantém: VLANs, configurações de porta, políticas de segurança.

Um switch que nem aparece falhou no passo 2, e as causas são poucas: o cabo não está numa porta definida como FortiLink, o switch não está num modo que permita ser gerenciado, ou há uma incompatibilidade de entre o switch controller do FortiGate e o switch.

Topologias

As topologias suportadas trocam custo por resiliência, e a escolha limita tudo o que vem depois.

Camada única (single tier) liga os switches diretamente ao FortiGate. É simples, e cada switch fica a uma falha de ficar isolado.

Duas camadas (two tier) acrescenta uma camada de distribuição: os switches de acesso se ligam aos switches de distribuição, que se ligam ao FortiGate. É o desenho corporativo mais comum, e é aí que a redundância de links começa a importar.

MCLAG junta dois switches num par, para que um equipamento abaixo deles possa se ligar aos dois ao mesmo tempo (dual-homing) e enxergar um único peer lógico. É assim que um switch de acesso sobrevive à perda de um switch de distribuição sem depender da reconvergência do spanning tree.

Empilhamento via FortiLink (stacking) liga os switches uns através dos outros, em vez de ligar cada um de volta ao FortiGate. Isso economiza portas, mas faz de um switch acima uma dependência de tudo o que está atrás dele.

Os papéis das portas de empilhamento precisam ser configurados explicitamente. Um switch cabeado numa topologia de pilha sem a configuração de porta correspondente ou não vai ser descoberto, ou vai formar uma topologia que você não queria.

Multi-tenancy

Quando uma mesma infraestrutura física de switches atende vários tenants (os clientes que dividem a infraestrutura), a separação é feita com VLANs mapeadas para VDOMs diferentes do FortiGate. O tráfego de cada tenant passa nas suas próprias VLANs, e a fronteira entre VDOMs no FortiGate é o que mantém separados os conjuntos de políticas, o roteamento e a administração.

O que é preciso ter claro é que o switch é compartilhado. A separação é uma propriedade da configuração, e não do hardware; por isso, uma atribuída à porta errada é uma quebra do isolamento entre tenants, e não um erro de configuração para corrigir com calma.

Quando o FortiLink não sobe

Na ordem que resolve a maioria dos casos:

1. A porta é uma porta FortiLink? É, de longe, a causa mais comum. Um switch ligado numa porta comum é só mais um equipamento mandando tráfego.

2. O switch foi descoberto, mas não foi autorizado? A autorização é um passo explícito, e é fácil esquecer esse passo no segundo e no terceiro switch.

3. Compatibilidade de firmware. O switch controller do FortiGate suporta uma faixa de versões do FortiSwitchOS. Um switch fora dessa faixa pode até ser descoberto, mas não ser gerenciado direito, e o sintoma é uma configuração intermitente ou aplicada pela metade.

4. Agregação só de um lado. Se de um lado a interface FortiLink for agregada e do outro forem portas individuais, o link pode subir fisicamente e mesmo assim nunca se formar.

5. Loops durante o cabeamento. Ligar um switch que já está cabeado em outro ponto pode criar um loop antes de o spanning tree convergir, e o broadcast storm (tempestade de broadcast) que resulta disso faz tudo parecer quebrado ao mesmo tempo.

O que você precisa saber de cor para a prova

O FortiLink faz do FortiGate o switch controller, então o switch é configurado a partir do firewall, e mudanças feitas diretamente nele correm o risco de ser sobrescritas. O provisionamento segue a ordem: interface FortiLink, descoberta, autorização e envio da configuração; um switch não autorizado fica visível, mas não gerenciado. As topologias são camada única, duas camadas, MCLAG para a dupla conexão (dual-homing) e empilhamento para economizar portas, com o custo da dependência. O usa VLANs mapeadas para VDOMs, então a separação está na configuração, e não no hardware. Quando o FortiLink falha, verifique primeiro o papel da porta, depois a autorização e, por fim, a compatibilidade de firmware.

Esta série, em ordem

Este artigo abre a série FortiSwitch. Depois que o FortiLink transforma o FortiGate no controlador, o switch passa a fazer parte dele; as duas partes da série tratam do trabalho que vem em seguida: a configuração do dia a dia e a proteção das portas, junto com a forma de tirar informações do switch.

  1. VLANs, spanning tree, portas e QoS no FortiSwitch. VLANs criadas no FortiGate, configurações de porta e prevenção de loops, cada tema com o detalhe que costuma pegar as pessoas de surpresa.
  2. Segurança de portas, antispoofing e diagnóstico no FortiSwitch. Quais dispositivos podem usar uma porta, se um dispositivo pode usar um endereço que não é dele e como tirar respostas do switch.