WAN-migratie naar een FortiGate-netwerk voor De Rijke Logistics
Het internationale logistieke bedrijf De Rijke had zijn Nederlandse vestigingen op een verouderd MPLS-netwerk en zijn buitenlandse vestigingen op losse IPsec-tunnels. 020 ICT ontwierp een nieuw WAN met een IP-VPN, BGP en FortiGate-clusters, en zette de locaties een voor een om.
- Opdrachtgever
- De Rijke Logistics, via een systeemintegrator
- Periode
- 2018 – 2019
- Rol
- Netwerkontwerp, remote engineer bij de omzettingen en documentatie
- Techniek
- FortiGate 301E (cluster, VRRP), FortiGate 60E (HA), IP-VPN met BGP, AS-path prepending, SD-WAN, IPsec, FortiAnalyzer / Security Fabric
Situatie
De Rijke had circa tien Nederlandse vestigingen en datacenters op een verouderd MPLS-netwerk van een carrier. Daarnaast waren circa zeven buitenlandse vestigingen, in België, Spanje, Italië en het Verenigd Koninkrijk, en een aantal klanten via losse IPsec-tunnels aangesloten. Het geheel was in de loop der jaren gegroeid en niet als één netwerk ontworpen. De opdracht liep via een systeemintegrator. Het bedrijf gebruikt inmiddels een andere oplossing; deze case beschrijft de situatie van 2018 – 2019.
Aanpak
020 ICT ontwierp een nieuw IP-VPN met BGP naar elke locatie. Op locaties met twee verbindingen kreeg de tweede lijn AS-path prepending, zodat het verkeer voorspelbaar over de eerste lijn loopt en bij uitval automatisch overschakelt. De internetuitgang werd centraal ondergebracht in twee Amsterdamse datacenters, op een FortiGate-cluster van twee 301E's met VRRP en UTM-beveiliging. Op de locaties kwamen circa zestien FortiGate 60E-clusters in HA met sessiesynchronisatie, met SD-WAN voor het uitgaande verkeer. De buitenlandse vestigingen werden via IPsec-tunnels in BGP opgenomen, en FortiAnalyzer met Security Fabric gaf centraal zicht op logging en beveiliging.
De migratie is locatie voor locatie uitgevoerd. Het oude en het nieuwe netwerk waren tijdelijk aan elkaar gekoppeld, zodat verkeer tussen al omgezette en nog niet omgezette locaties bleef werken. Nieuwe firewallregels draaiden eerst in monitormodus en werden daarna stapsgewijs aangescherpt. Bij iedere omzetting stond een config-revert klaar als vangnet. 020 ICT werkte bij de omzettingen als remote engineer en legde het netwerk vast in documentatie.
Wat er is gebouwd
- Een nieuw IP-VPN met BGP naar elke Nederlandse locatie.
- AS-path prepending op de tweede lijn van locaties met twee verbindingen.
- Een centrale internetuitgang in twee Amsterdamse datacenters op een FortiGate-cluster (2× 301E, VRRP) met UTM-beveiliging.
- Circa zestien FortiGate 60E-clusters op de locaties, in HA met sessiesynchronisatie.
- SD-WAN voor het uitgaande verkeer.
- Buitenlandse vestigingen in België, Spanje, Italië en het Verenigd Koninkrijk via IPsec-tunnels opgenomen in BGP.
- FortiAnalyzer met Security Fabric voor centrale logging en zicht op beveiliging.
- Een migratie locatie voor locatie, met een tijdelijke koppeling tussen oud en nieuw, firewallregels eerst in monitormodus en een config-revert als vangnet.
Resultaat
- Eén ontworpen en gedocumenteerd netwerk voor de vestigingen in Nederland, België, Spanje, Italië en het Verenigd Koninkrijk.
- Een centrale, redundante internetuitgang met UTM-beveiliging in plaats van losse oplossingen per locatie.
- Het netwerk is overgedragen aan 24/7 managed-firewallbeheer.
Wat dit voor u betekent
Heeft u vestigingen op een verouderd carriernetwerk en buitenlandse locaties op losse tunnels? 020 ICT ontwerpt één WAN met BGP, firewallclusters en een centrale internetuitgang, en zet de locaties een voor een om, met een vangnet bij iedere stap.
Meer over deze dienst: Netwerkmigratie