FortiGate SD-WAN Troubleshooting: Hat UP Ama Trafik Neden Yanlış Linkten Gidiyor?

İlgili yazılar

FortiGate HA Failover: Primary Değişti Ama Trafik Neden Toparlanmadı?

1 hafta önce

FortiGate DNS Troubleshooting: IP Çalışıyor Ama Domain Çalışmıyor

2 hafta önce

FortiGate Session Table: Policy Değişti Ama Trafik Neden Eski Davranıyor?

3 hafta önce

FortiGate SD-WAN tarafında bir WAN interface’in UP olması, trafiğin mutlaka o link üzerinden gönderileceği anlamına gelmez.

Asıl soru:

“Hangi link UP?” değil, “Bu trafik için hangi link seçildi ve neden?”

1. Member ve Performance SLA

İlk kontrol:

diagnose sys sdwan health-check

Burada member’ların:

State → Latency → Jitter → Packet Loss → SLA

değerlerini kontrol edin.

FortiGate Performance SLA, linkin yalnızca fiziksel olarak aktif olup olmadığını değil, gerçek kalite metriklerini de değerlendirebilir.

Örneğin interface alive olabilir ancak latency veya packet loss değeri belirlenen SLA sınırının dışında olabilir.

2. Hangi SD-WAN Rule Match Oluyor?

Kontrol:

diagnose sys sdwan service

Bu çıktı:

SD-WAN Rule → Match kriteri → Eligible Member → Selected Member

bilgisini görmenizi sağlar.

Beklediğiniz link seçilmiyorsa önce trafiğin gerçekten doğru SD-WAN rule’a match olup olmadığını kontrol edin.

3. Priority ve Cost Tek Başına Yeterli Değil

Link seçimi kullanılan SD-WAN stratejisine bağlıdır.

Örneğin Lowest Cost (SLA) modunda FortiGate, SLA’yı sağlayan linkler arasından en düşük cost değerine sahip member’ı seçer. Cost eşitse preference sırası devreye girer.

Best Quality gibi stratejilerde ise latency, jitter veya packet loss gibi değerler seçim kriteri olabilir.

Bu nedenle:

Priority / Cost → Rule Strategy → SLA

birlikte değerlendirilmelidir.

4. Routing ve Next-Hop

SD-WAN rule doğru olsa bile destination için geçerli route bulunmalıdır.

Kontrol:

get router info routing-table all

FortiGate önce routing/FIB üzerinden trafiğin SD-WAN için uygun olup olmadığını değerlendirir, ardından ilgili SD-WAN rule ile member seçimini yapar.

5. Mevcut Session Eski Path’te mi?

Mevcut session’ları da kontrol edin:

diagnose sys session filter src 10.10.10.25
diagnose sys session list

Route veya SD-WAN path değiştiğinde session dirty olarak işaretlenip yeniden değerlendirilebilir. Ancak kullanılan NAT, session ve interface ayarlarına bağlı olarak session davranışı değişebilir.

Bazı tasarımlarda:

set preserve-session-route enable

ile mevcut session’ın route hâlâ FIB’de bulunduğu sürece aynı interface üzerinde tutulması sağlanabilir.

Dolayısıyla:

“Eski session her zaman eski linkte kalır.”

demek doğru değildir.

SLA Flapping’e Dikkat

Latency veya packet loss değerleri sürekli threshold çevresinde değişiyorsa linkler sürekli SLA’ya girip çıkabilir.

Bu durumda:

failtime → recoverytime → SLA thresholds → probe target

kontrol edilmelidir.

Fortinet ayrıca gerektiğinde sla-stickiness kullanılarak gereksiz member değişimlerinin azaltılabileceğini belirtiyor.

Hızlı Troubleshooting Sırası

Health Check → SLA → SD-WAN Rule → Selected Member → Route → Session → NAT → Packet Capture

Kritik nokta:

🔥 Link UP ≠ Link tercih edilmeli

İyi bir SD-WAN tasarımının cevaplaması gereken soru:

“Bu trafik için şu anda en uygun ve SLA’yı karşılayan link hangisi?”

olmalıdır.