Trong FortiGate SD-WAN, Performance SLA được dùng để đánh giá tình trạng và chất lượng của các SD-WAN member.

Một SD-WAN member có thể là:

Performance SLA sẽ gửi probe đến một hoặc nhiều server đích để kiểm tra đường truyền. Các thông số thường được theo dõi gồm:

Một đường WAN có thể vẫn ra Internet được, nhưng Performance SLA vẫn báo down vì FortiGate đang đánh giá đường truyền dựa trên probe đến server SLA, không phải chỉ dựa trên việc người dùng có mở web được hay không.

Một trong những nguyên nhân phổ biến nhất là server đích dùng để SLA không phản hồi đúng cách.

Cách kiểm tra cơ bản:

execute ping <sla_target_ip>

Ví dụ:

execute ping 8.8.8.8

Performance SLA có thể dùng nhiều loại probe khác nhau như ping, HTTP, DNS. Lỗi xảy ra khi protocol cấu hình không phù hợp với server đích.

Cách xử lý:

• Kiểm tra protocol đang dùng trong Performance SLA.
• Đảm bảo server đích hỗ trợ đúng protocol.
• Nếu HTTP probe không ổn định, cân nhắc dùng ping hoặc DNS tùy mục tiêu.
• Không dùng target không phù hợp để làm health-check lâu dài.

Performance SLA cần FortiGate có route hợp lệ đến SLA target. Nếu route sai, thiếu route hoặc traffic probe đi không đúng SD-WAN member, SLA có thể bị down.

Cách kiểm tra route:

get router info routing-table all

Kiểm tra route đến một IP cụ thể:

get router info routing-table details <sla_target_ip>

Ví dụ:

get router info routing-table details 8.8.8.8

Hoặc với VPN:

get router info routing-table details 10.25.12.3

Đây là lỗi rất quan trọng trong mô hình nhiều WAN hoặc IPsec VPN. Performance SLA cần gửi probe từ một source phù hợp. Nếu source IP không đúng, peer hoặc server đích có thể không biết route trả về, dẫn đến SLA down.

Ví dụ CLI set source cho SD-WAN member:

config system sdwan
    config members
        edit <member_id>
            set source <source_ip_phu_hop>
        next
    end
end

Ví dụ:

config system sdwan
    config members
        edit 5
            set source 10.24.3.109
        next
    end
end

Performance SLA không chỉ kiểm tra alive/dead, mà còn đánh giá theo các ngưỡng như latency, jitter và packet loss. Nếu ngưỡng đặt quá chặt, member có thể bị đánh dấu fail dù đường truyền vẫn sử dụng được.

Cách xử lý:

• Kiểm tra số liệu thực tế trước khi đặt ngưỡng.
• Không đặt threshold quá lý tưởng.
• Đặt ngưỡng phù hợp với chất lượng đường truyền thật.
• Với broadband, không nên kỳ vọng như leased line.
• Với 4G/5G backup, latency và jitter thường dao động nhiều hơn.
• Theo dõi vài ngày trước khi chốt thông số SLA cho hệ thống production.

Lệnh kiểm tra:

diagnose sys sdwan health-check

Một nguyên nhân khó chịu hơn là traffic probe đi ra một interface nhưng reply lại về interface khác. Trường hợp này có thể làm FortiGate đánh giá health-check là fail, dù về mặt tổng thể destination vẫn reachable.

Lệnh sniffer mẫu:

diagnose sniffer packet any 'host <sla_target_ip>' 4 0 a

Ví dụ:

diagnose sniffer packet any 'host 10.25.12.3' 4 0 a

Traffic probe có thể bị chặn bởi nhiều lớp khác nhau:

Lệnh debug flow mẫu:

diagnose debug reset
diagnose debug flow filter clear
diagnose debug flow filter addr <sla_target_ip>
diagnose debug flow show function-name enable
diagnose debug console timestamp enable
diagnose debug flow trace start 100
diagnose debug enable

Sau khi test xong:

diagnose debug disable
diagnose debug reset

Trong một số mô hình, Performance SLA có thể ảnh hưởng đến trạng thái route nếu cấu hình có liên quan đến việc update static route. Khi SLA fail, route tương ứng có thể bị inactive.

Cách xử lý:

• Kiểm tra route active/inactive.
• Kiểm tra cấu hình Performance SLA có update static route không.
• Kiểm tra member có đang nằm trong SLA phù hợp không.
• Không gán member vào Performance SLA không liên quan.
• Nếu route inactive, cần xử lý nguyên nhân SLA fail trước, không chỉ chỉnh route.

get router info routing-table all

diagnose sys sdwan health-check