14-Dec-23

ルーティング設計

Aruba ESPキャンパスルーティング設計セクションでは、Aruba ESPレイヤ3 LANトポロジおよび制御プレーンの設計に使用される技術および設計指針について説明します。

ルーティング設計

OSPFルーティング

Aruba ESPのベストプラクティスでは、OSPFを使用して、そのシンプルさと設定の容易さを実現しています。OSPFは、一般的にキャンパスネットワークに展開される、ダイナミックなリンクステートの標準ベースのルーティングプロトコルです。OSPFは、高速なコンバージェンスと優れたスケーラビリティを提供するため、再設計を必要とせずにネットワークとともに拡張できるため、大規模なネットワークに適しています。

OSPFでは、ルーティングアドバタイズメントを制限し、ルート集約を可能にするエリアが定義されています。Aruba ESPのキャンパス設計では、キャンパスLANに単一のエリアを使用します。複数のキャンパスまたはWANトポロジを接続する場合は、マルチエリア、バックボーン設計が考慮されます。OSPFは、キャンパスLANとWANゲートウェイまたはDMZファイアウォールとの間でルートを交換するためによく使用されます。

ESPアンダーレイのベストプラクティス構成では、集約デバイスとコアデバイス間のOSPFポイントツーポイントリンクを使用します。ダウンストリームホストにレイヤ3サービスを提供する集約スイッチ上のインターフェイスは、OSPFドメインのメンバとして設定されます。レイヤ2アクセスポートに接続されたデバイスで意図しない隣接関係が形成されるのを防ぐために、OSPFルータを”passive-interface default”に設定します。ポートでOSPFネイバールータが想定されている場合は、パッシブ動作を無効にします。

アクセススイッチを設定する際のベストプラクティスは、管理VLANにIPアドレスを設定し、そのVLAN IPインターフェイスでOSPFを有効にすることです。また、OSPFに/32ループバックインターフェイスを追加することで、信頼性の高い管理ネットワークの基盤が構築されます。

次の図は、3層のキャンパスLANのOSPFの基本を示しています。

3層有線のOSPF

IPマルチキャスト

Aruba ESPはネットワーク上のマルチキャスト通信をルーティングするためにProtocol Independent Multicast-Sparse Mode(PIM-SM)。を用いますマルチキャスト通信をルーティングするために必要となる追加の仕組みは以下です。

– ブートストラップルータプロトコル(BSR) – ランデブーポイント(RP) – マルチキャストソースディスカバリープロトコル(MSDP) – インターネットグループマネジメントプロトコル(IGMP)

すべてのルーテッドリンクでPIM-SMを設定して、ネットワーク上のマルチキャストトラフィックを有効にします。PIM-SMは、アクティブルーティングテーブルに基づくReverse Path Forwarding（RPF;リバースパスフォワーディング）を使用して、RPまたはマルチキャストソースへの最適なパスを見つけます。

BSRプロトコルは、PIMマルチキャストドメイン内のすべてのルータで有効にされ、RP情報を動的に共有します。1台のルータをBSRとして選択すると、RP情報がすべての参加ルータにアドバタイズされるため、管理者は各ネットワークルータでRPアドレスを設定する必要がなくなります。BSRが選択されると、RP候補インターフェイスを持つすべてのルータが候補RP IPアドレスをBSRに送信します。アクティブRPは、候補のリストから選択されます。

RPは、PIMマルチキャストドメイン内のアクティブなマルチキャストソースに関する情報を含み、Rendezvous Point Tree（RPT;ランデブーポイントツリー）のルートです。エニーキャストネットワークでは、冗長性とトラフィックフローの最適化のために、複数のRPを同時にアクティブにできます。BSRによって選択される候補RPとして、エニーキャストループバックIPアドレスをアナウンスするようにコアスイッチを設定します。

MSDPは、RP間でマルチキャストソース情報を共有することで、アクティブ – アクティブRPエニーキャストの冗長性を容易にし、PIMマルチキャストドメイン内のすべてのマルチキャストソースが、エニーキャストRPの完全なセットによって確実に認識されるようにします。MSDPはキャンパスコアスイッチで有効になっています。

ダウンストリームクライアントとの集約スイッチレイヤ3インターフェイスでIGMPを有効にします。ワイヤレスゲートウェイまたは別のレイヤ2デバイスがコアスイッチに直接接続されている場合は、これらのデバイスに面しているレイヤ3インターフェイスでIGMPを有効にします。アクセスレイヤスイッチでIGMPスヌーピングを有効にします。

注:
IGMPタイマーは、他のベンダーのスイッチを含む、ネットワーク上のすべてのスイッチ間で一致する必要があります。

オーバーレイネットワーク

オーバーレイネットワークは、変化し続けるエンドポイントとアプリケーションの要求を満たす柔軟なトポロジを展開するメカニズムを提供します。ユーザーデータトラフィックと関連ポリシーをネットワークの物理トポロジから完全に分離することで、オーバーレイを使用してL2またはL3サービスのオンデマンド展開を可能にします。オーバーレイを使用すると、パス内のすべてのデバイスがロールを理解または管理する必要なく、デバイスまたはユーザーのロールに関する情報をネットワーク全体で簡単に伝送できます。オーバーレイネットワークは、物理インフラストラクチャで構成されたアンダーレイネットワークの上に構築された仮想ネットワークです。アンダーレイは、安定性、拡張性、予測可能性を考慮して設計する必要があります。GREやIPSECなどの技術は、キャンパスやWAN空間にオーバーレイを作成するために長年にわたって使用されてきました。Virtual Extensible LAN(VXLAN)は、キャンパス内に分散オーバーレイネットワークを作成するためのオプションになりました。

Arubaは、さまざまなトラフィックエンジニアリングおよびポリシー適用の要件に対応するために、集中型オーバーレイまたは分散型オーバーレイのいずれかを柔軟に選択できます。ユーザーベーストンネリングは、ゲートウェイデバイス上で操作を簡素化し、高度なセキュリティ機能を提供する、一元化されたオーバーレイアーキテクチャです。EVPN-VXLANは、キャンパス内の任意の場所にあるスイッチ間の動的トンネルを可能にする分散オーバーレイアーキテクチャであり、ネットワーク全体で一貫した継続的なポリシー適用を提供します。どちらのオーバーレイモデルも「カラーレスポート」機能をサポートしており、クライアントのオンボーディングとアクセス制御を自動化して操作を容易にします。

集中型オーバーレイサマリー

ユーザーベーストンネリング(UBT)は、ファイアウォール、DPI、アプリケーションの可視性、帯域幅制御などのサービスを使用したポリシーを実施するために、管理者が指定のユーザートラフィックをゲートウェイクラスターにトンネリングできるようにする一元化されたオーバーレイです。UBTは、ユーザーまたはデバイスの役割に基づいてトラフィックを選択的にトンネリングします。各クライアントに関連づけられたポリシーは、通常、ClearPass Policy ManagerなどのRADIUSサーバを介して割り当てられます。

分散型オーバーレイサマリー

分散型オーバーレイは、従来のキャンパスネットワーク設計の進化形です。分散オーバーレイは、可用性の高いアンダーレイ上でEVPN-VXLANを使用して構築され、ネットワークインフラストラクチャ全体で、グローバルなロールに基づく完全なポリシーベースのマイクロセグメンテーションに結び付けられています。ロールベースのポリシーは、基盤となるネットワークからポリシーを抽象化し、ポリシーの定義と適用に柔軟性を持たせ、かつ簡素化します。これは、オーバーレイを完全に自動化して、単一の管理の概要（single-pane-of-glass）を提供することでプロビジョニングされます。

分散ファブリックは、ネットワーク内のさまざまなデバイスにペルソナを割り当てることによって形成されます。以下のリストは、各ペルソナの目的を説明しています。

Route Reflector（RR;ルートリフレクタ）:コアスイッチは、EVPN到達可能性情報を共有するBGP route reflector（RRペルソナ）として設定されます。これにより、ファブリック全体で必要なピアリング・セッションの数が減少します。
スタブ – ワイヤレス集約スイッチは、スタブペルソナを使用して構成され、静的VXLANトンネルのみをサポートするワイヤレスゲートウェイにポリシー適用を拡張します。集約スイッチは、キャンパスファブリックVXLANトンネルから集約スイッチとゲートウェイの間に設定されたスタティックVXLANトンネルにGPID値を転送します。
Border:インターネットエッジスイッチは、ボーダーペルソナを使用して、ファブリックとファブリック外のサービスとの間の接続を提供します。
Edge – エッジペルソナは、ファブリックに出入りするエンドポイントトラフィックに対してプライマリVXLANトンネル入出力およびポリシー強制を提供するアクセススイッチに適用されます。
Intermediate Devices:ワイヤードアグリゲーションスイッチは、ファブリックペルソナが割り当てられていないアンダーレイデバイスです。 VTEPを実行せず、ジャンボフレームをサポートする必要があります。

分散型オーバーレイ

Aruba ESPキャンパスの分散形オーバーレイネットワークは、EVPN-VXLANを使用して作成されます。この一連のプロトコルは、既存の物理ネットワークとレイヤ3アンダーレイにレイヤ2接続を拡張する、動的に形成されたネットワークファブリックを作成します。これは、キャンパスやデータセンターでより機敏で安全かつスケーラブルなネットワークを構築するためのオープンスタンダードスイートです。EVPN-VXLANは以下で構成されます:

Ethernet VPN (EVPN)IPまたはMPLSネットワーク上の異なるレイヤ2/3ドメイン間の仮想接続を提供するオーバーレイ用のBGPドリブンコントロールプレーンです。
Virtual extensible LANs (VXLAN)レイヤ2ブロードキャストドメインの数を、従来のVLANを使用して利用可能な4,000から1,600万に拡張する、一般的なネットワーク仮想化トンネリングプロトコルです。

Aruba ESPは、冗長レイヤ3リンクを使用してIPアンダーレイにEVPN-VXLANオーバーレイを実装し、高速回復性と最大帯域幅使用率を実現します。

Distributed Overlay

EVPN-VXLANのメリット

– 多様なキャンパストポロジ間の均一なブリッジングとルーティング:

– レイヤ3境界を越えた効率的なレイヤ2拡張 – エニーキャストゲートウェイにより、キャンパス全体で一貫したファーストホップルーティングサービスを確保します。

VXLAN-Group Based Policies (VXLAN-GBP)を使用したエンドツーエンドのセグメンテーションにより、キャンパス内のどこにでもポリシーを伝達できます。 – ジャンボ・フレームをサポートする任意のIPネットワークを介して転送されるため、VXLANはファブリックのエッジデバイスにのみ展開する必要があります。

EVPN-VXLANコントロールプレーン

Aruba ESPでは、EVPN-VXLANコントロールプレーンはマルチプロトコルBGP(MP-BGP)で、MACアドレス、MAC/IPバインディング、およびIPプレフィックスを用いて、ファブリック全体でのエンドポイントの到達可能性を確保します。このアプローチは、データプレーンでの非効率的なフラッド・アンド・ラーニング通信と、固有のスケーリング制限を備えた集中制御プレーンのアプローチの両方よりもはるかに優れています。

仮想トンネルエンドポイント(VTEP)間でEVPNアドレスファミリとともにMP-BGPを使用すると、マルチテナンシーのネイティブサポートでエンドポイントの到達可能性情報を共有するための、標準ベースの高度にスケーラブルなコントロールプレーンが提供されます。長年にわたり、サービスプロバイダーはMP-BGPを使用して、非常に大規模なセキュアなレイヤ2およびレイヤ3 VPNサービスを提供してきました。ルートリフレクタを使用したiBGP設計では、VTEPを含むスイッチ全体にわたってBGPピアリングのフルメッシュが不要になるため、設計が簡素化されます。BGPピアリングは、VTEP終端スイッチ（アクセス、スタブ、およびサービス集約）とコアの間でのみ必要です。

BGPコントロールプレーンの構成には、次のものがあります。

アドレスファミリ(AF) - MP-BGPは、複数のアドレスタイプをアドレスファミリ（IPv4、IPv6、L3VPNなど）に分類することで、ネットワーク到達可能性情報の交換を可能にします。レイヤ2 VPNアドレスファミリ(AFI=25)およびEVPN後続アドレスファミリ(SAFI=70)は、MP-BGPスピーカ間でIPおよびMACアドレス情報をアドバタイズします。EVPNアドレスファミリには、VTEP間にVXLANトンネルを確立するための到達可能性情報が含まれています。
Route Distinguisher（RD;ルート識別）:ルート識別を使用すると、MP-BGPは、元のアドレスに一意の値を付加することで、同じアドレスファミリ内でレイヤ3とレイヤ2のアドレスを重複して伝送できます。RDは固有の意味のあるプロパティを持たない値です。アドレスをルートテーブルまたはブリッジテーブルに関連付けることはありません。RD値は、2つの異なるVRFを介して同じアドレス範囲に対してアナウンスされたルートを、同じMP-BGPアドレスファミリでアドバタイズできるようにすることで、マルチテナントをサポートします。
Route Target（RT;ルートターゲット）:ルートターゲットは、アドレスをルートまたはブリッジテーブルに関連付けるために使用されるMP-BGP拡張コミュニティです。EVPN-VXLANネットワークでは、共通のVRFルートターゲットをMP-BGP EVPNアドレスファミリにインポートおよびエクスポートすると、複数のVTEPにわたって定義された一連のVRFに対するレイヤ3到達可能性が確立されます。レイヤ2の到達可能性は、L2 VNI定義の共通ルートターゲットをインポートおよびエクスポートすることによって、分散したL2 VNIのセット全体で共有されます。さらに、他のVRFからエクスポートされる1つのVRFにルートターゲットをインポートすることにより、IPv4アドレスファミリを使用してVRF間でレイヤ3ルートがリークされる可能性があります。
Route Reflector（RR;ルートリフレクタ） - VTEP間で到達可能性情報を共有するプロセスを最適化するために、コアでルートリフレクタを使用すると、iBGPピアリングを簡素化できます。この設計により、すべてのVTEPが同じiBGPピアリング設定を持つことができるため、iBGPネイバーのフルメッシュが不要になります。

Aruba ESPキャンパスの設計では、2つのレイヤ3接続コアスイッチがiBGPルートリフレクタとして使用されます。宛先プレフィックスとオーバーレイネットワークの数は、転送テーブルの形式で物理リソースを消費するため、ネットワークの設計時には考慮する必要があります。ファブリック・アンダーレイ設計を拡張する際のハードウェア・ガイドラインについては、「リファレンス・アーキテクチャ」のセクションを参照してください。

VXLANネットワークモデル

VXLANは、レイヤ2イーサネットフレームをレイヤ3 UDPパケットにカプセル化します。これらのVXLANトンネルは、接続されたエンドポイントにレイヤ2とレイヤ3の両方の仮想化ネットワークサービスを提供します。VTEPは、VXLANトンネルの発信または終端を処理するスイッチ内の機能です。従来のVLAN IDと同様に、VXLAN Network Identifier（VNI; VXLANネットワーク識別子）は、VXLANオーバーレイトポロジ内の孤立したレイヤ2セグメントを識別します。Symmetric Integrated Routing and Bridging(IRB)を使用すると、オーバーレイネットワークでリーフノード間の連続したレイヤ2転送とレイヤ3ルーティングをサポートできます。

注:
追加のカプセル化を正確に転送できるように、ファブリック内のすべてのアンダーレイリンクにジャンボフレームを構成します。

VXLANネットワークは、レイヤ2 VNIとレイヤ3 VNIという2つの主要な仮想ネットワーク構成で構成されています。L2VNI、L3VNI、およびVRFの関係を次に示します。

L2VNIはVLANに似ており、AOS-CXを使用する場合はVLANの設定に似ています。L2VNIは、異なるVTEPに接続されたエンドポイント間でレイヤ2トラフィックをブリッジします。
L3VNIはVRFに似ており、VTEP間のL2VNIのサブネット間の経路です。 *1つのVRF内に複数のL2VNIが存在する可能性があります。

VXLANカプセル化

オーバーレイネットワークは、キャンパスに接続されたエンドポイントにレイヤ2とレイヤ3の両方の仮想化ネットワークサービスを提供するVirtual Extensible LAN (VXLAN)トンネルを使用して実装されます。VXLAN Network Identifier（VNI;ネットワーク識別子）は、トンネル化されたトラフィックを対応する正しいレイヤ2 VLANまたはレイヤ3ルートテーブルに関連付けて、受信側のVTEPがカプセル化されたフレームを適切に転送できるようにします。Symmetric Integrated Routing and Bridging(IRB)機能を使用すると、オーバーレイネットワークでリーフノード間の連続したレイヤ2転送とレイヤ3ルーティングをサポートできます。

VTEPは、フレームを次のヘッダーにカプセル化します。

IPヘッダー:ヘッダーのIPアドレスは、トランスポートネットワークのVTEPまたはVXLANマルチキャストグループにすることができます。この外部IPヘッダーに基づいて、送信元と宛先の間の中間デバイスがVXLANパケットを転送します。
VXLANのUDPヘッダー:デフォルトのVXLAN宛先UDPポート番号は4789です。
VXLANヘッダー:カプセル化されたフレームのVXLAN情報。
- 8-bit VXLAN Flags:パケットにGBP IDが設定されている場合は最初のビット信号、VNIが有効な場合は5番目のビット信号。それ以外のビットはすべて予約され、”0”に設定されます。
- 16ビットVXLANグループポリシーID:グループIDは、トンネルされたトラフィックに適用されるポリシーを識別します。
- 24-bit VXLAN Network Identifier:カプセル化されたフレームの仮想ネットワーク識別子(VNI)を指定します。
- 24ビット予約フィールド