セグメンテーション設計

Aruba ESPキャンパスセグメンテーション設計セクションでは、Aruba ESPトラフィックセグメンテーション設計の実装に使用される技術と設計原則について説明します。

目次

• セグメンテーション設計
  • ネットワーク・セグメンテーション
    • 仮想LAN
    • 仮想ルーティングと転送
    • アクセス制御リスト
  • ロールベースのポリシー
    • ユーザーロール
    • ポリシー
      • 信頼済み
      • 信頼されていない
      • IoT
      • ポリシーエンフォースメント
        • 集中型オーバーレイ
      • 分散型オーバーレイ
    • 802.1Xおよびポリシーベースのセグメンテーション
      • リモート認証ダイヤルインユーザーサービス(RADIUS)
      • ロールの割り当て
    • カラーレスポート
      • ダイナミックセグメンテーション
        • ワイヤレスデータプレーンモード
        • ワイヤード用のユーザーベーストンネリング
      • Central NetConductor
        • VXLAN-GBP
        • EVPNからGREへのポリシー
        • キャンパスからブランチへのポリシー

ネットワーク・セグメンテーション

従来のVLANおよびAccess Control List（ACL;アクセスコントロールリスト）のセキュリティ機能は、引き続きセキュリティフレームワークの重要なコンポーネントです。Aruba ESPは、以下の方法で標準的なセキュリティ対策を大幅に強化しています。

– オーバーレイネットワーク全体でセキュリティポリシーの適用を自動化します – 各ユーザーまたはデバイスに対するアクセス試行を明確に識別してグループ化し、一貫したポリシーアプリケーションを実現するロールまたはペルソナを組み込みます。 – 有線エンドポイントとワイヤレスエンドポイントの両方から発信されるキャンパストラフィックを正常にセグメント化します。

ESPアーキテクチャには2つのポリシー・フレームワークが用意されており、組織は現在の要件を最も満たすアプローチを選択できます。

Aruba Dynamic Segmentationは、ビジネス要件によって定義されたポリシーを使用して、ユーザトラフィックを安全なネットワークセグメントに動的に割り当てるメカニズムを提供します。このソリューションでは、Generic Route Encapsulation（GRE;ジェネリックルートカプセル化）を使用してAPおよびスイッチからゲートウェイクラスタにトラフィックをトンネル化し、南北のトラフィックに対して一貫した高スループットのポリシーを適用します。

Aruba Central NetConductorは、ユーザトラフィックを安全かつ動的にセグメント化するためのメカニズムも提供します。このソリューションでは、VXLAN-GBP上に構築された分散オーバーレイアーキテクチャを使用して、効率的でフォールトトレラントなファブリックトポロジとネットワーク内の任意のポイントでのGBPエンフォースメントを使用して、ネットワーク内のユーザトラフィックをセグメント化します。

![ポリシーイントロ]（メディア/ポリシーイントロ.png）

論理ネットワークのセグメント化は、安全なIPネットワーク設計の基本的なツールです。仮想LAN(VLAN)は、IPブロードキャストドメインを分離するために使用されます。Virtual Routing and Forwarding（VRF；仮想ルーティングおよび転送）インスタンスを使用すると、単一のネットワークデバイスが複数の異なるルーティングドメイン内でルーティングサービスを提供できます。VLANとVRFはどちらもAccess Control List（ACL;アクセスコントロールリスト）とルートマップを使用して、サブネット間の通信をフィルタリングします。

仮想LAN

VLANはレイヤ2でトラフィックをセグメント化し、MACの到達可能性を制限します。ポリシーの観点から、VLANはマクロセグメンテーションに使用されます。デバイスはIPサブネットごとにVLANにグループ化され、VLANインターフェイスにIP ACLが適用されます。これは、VLANまたはサブネット内のエンドポイントが他のVLANまたはサブネット内のエンドポイントとの通信を許可されているかどうかを判断するための主要なポリシーエンフォースメントメカニズムとして機能します。

NetConductorでは、VLANもレイヤ2セグメントを作成するように設定されています。

仮想ルーティングと転送

VRFインスタンスを使用すると、単一のネットワークデバイスで複数のルーティングドメインを管理し、完全に独立したルートテーブルを維持できます。メンバインターフェイスは、VRF固有のルートテーブルに基づいてトラフィックを転送します。個々のルートテーブルは個別であるため、VRFには別のVRFと重複するIPアドレスを含めることができます。

VRFはIPルーティングドメインを分離するため、ネットワークをセグメント化してポリシーを効果的に適用できます。たとえば、小売組織では、すべてのPCIトラフィックを他の企業ネットワークとは別のVRFに配置して、規制されたトラフィックが企業トラフィックと混在できないようにすることができます。キャンパスネットワークを設計する場合は、ネットワークインフラストラクチャ上のリソースを保持するために、VRFセグメンテーションを最小限に抑える必要があります。

NetConductorでは、VRFを使用してレイヤ3オーバーレイネットワークを作成できます。

アクセス制御リスト

Access Control List（ACL;アクセスコントロールリスト）は、ホストまたはネットワークを識別し、他のホストまたはネットワークセグメントとの通信を制限するためにネットワークトラフィックに適用されるフィルタです。フィルタリング規則は、MACアドレス、IPv4アドレスとポート、またはIPv6アドレスとポートに適用できます。

トラフィックがACL規則に一致すると、ポリシーが適用されてトラフィックが許可、拒否、または廃棄されます。このACLは、Quality of Service(QoS)ポリシーおよびルートマップフィルタの適用にも使用できます。

ACLは通常、レイヤ3ネットワーク境界でIPv4フィルタを作成するために使用されます。これにより、IPアドレス、タイプ、およびポート番号に基づいてフィルタを設定し、IPサブネット間の通信を規制できます。たとえば、ACLは、ユーザVLAN（BYOD、従業員、および訪問者）がネットワークインフラストラクチャ管理VLANにアクセスすることを拒否できます。

AOS-CXデバイスでは、ACLはプラットフォームに応じて特定の方向にインターフェイスに適用されます。この方向に注意することが重要です。次の表は、インターフェイスの種類およびACLの種類ごとに、ACLのインバウンドまたはアウトバウンドを適用するAOS-CX機能を示しています。

ロールベースのポリシー

ユーザーロール

ArubaのWLANソリューションは、長い間、ユーザーのロール、またはペルソナの概念を取り上げてきました。ユーザーロールは、ユーザーまたはデバイスがネットワークおよび接続されているリソースをどのように使用できるかを定義するさまざまな属性のコンテナです。ほとんどの場合、ロールは、802.1Xベースの認証中に提供された資格情報に基づいてユーザーまたはデバイスに派生して割り当てられます。ロールは、デバイスのプロパティ、使用パターン、地域、時刻、および多数の追加属性に基づいて設定することもできます。

セキュリティポリシー適用の大幅な進歩であるAruba ESPは、ネットワーク内の認証またはプロファイルされたトラフィックにロールを割り当て、ネットワーク内の任意のポイント（スイッチ、AP、ゲートウェイ）で関連ポリシーを適用する機能を提供します。この機能により、すべてのパケットがロールに関連付けられ、そのロールのポリシーに準拠していることが保証されるため、真のゼロトラストネットワーク環境が実現します。ポリシーは、ACL、VLAN割り当て、QoSマーキング、時間制限、およびその他のセキュリティ要件をさまざまな組み合わせで使用して適用できます。

ポリシー

ネットワークの正当な使用を妨げない包括的なソリューションのためにロールを最大限に活用するべく、セキュリティポリシーを慎重に計画してください。

同様のポリシーを持つロールの一般的なタイプまたはカテゴリは次のとおりです。

– 信頼済み(Trusted) – 信頼されていない(Untrusted)

• IoT

信頼済み

信頼済みロールには、802.1Xベースのエンタープライズ認証が必要です。信頼済みロールは、アクセスが制限された内部リソースに対して、さまざまなレベルのアクセスを提供します。通常、信頼されるカテゴリに分類されるロールの例を次に示します。

• 従業員 – 一般的な権限は次のとおりです。 – ファイル、印刷、電子メール、インターネット、内部システムへのアクセスなど、一般的なネットワークリソースへのフルアクセス。 – 一般的な例外/禁止事項は次のとおりです。 - PCI、PHI、またはPIIデータに関連するセキュアまたはセンシティブなシステム。 – 操作コントロール – HVAC、照明、ビルオートメーションシステム。 – ネットワーク管理システム – 管理インターフェイス、構成管理アプリケーション。
• IT部門 – 一般的な権限は次のとおりです。 – 従業員の標準アクセス。 – ネットワーク管理システム – 管理インターフェイス、構成管理アプリケーション。 – 一般的な例外/禁止事項は次のとおりです。 – 例外はPCI、PHI、PIIデータ
• クリティカル – 一般的な権限は次のとおりです。 – 通常、このロールは、認証サービスへのアクセスが中断された場合にのみ使用される単一のアカウントに割り当てられます。 – このロールには、必要に応じて修復、回復、および復元を実行するために必要な特定のシステム制御権限が割り当てられています。

信頼されていない

信頼されていないロールには認証が必要ですが、事前共有キーやゲスト登録など、802.1X以外のメカニズムに依存する場合があります。 通常、信頼されていないカテゴリに分類されるロールの例を次に示します。

• ビジター

  – 一般的な権限は次のとおりです。 – インターネットのみのアクセスにて、HTTPS、HTTP、DNS、DHCPプロトコルに限定されます。 – 一般的な例外/禁止事項は次のとおりです。 – 帯域幅制限。 ・アプリケーションのカテゴリー（ギャンブル、ゲーム、アダルトコンテンツなど） – 時間帯

• 請負業者

  – 一般的な権限は次のとおりです。

  – 制限のあるインターネットアクセス。
  – 契約された機能に必要に応じて、機密システムまたは運用システム  – 一般的な例外/禁止事項は次のとおりです。
  
  – 最小パッチレベルのデバイスプロファイル。    ・アプリケーションのカテゴリー（ギャンブル、ゲーム、アダルトコンテンツなど）
  – 時間帯
  – ネットワーク管理システム – 管理インターフェイス、構成管理アプリケーション。
  

IoT

IoTのロールは、導入するデバイスの制限や要件に合わせて調整する必要があります。ポリシーは、IoTソリューションが正しいピアツーピア通信で正しく機能することを許可する必要があります。また、ポリシーは、IoTソリューションの管理プレーンがすべてのデバイスに到達することを許可する必要があります。一般的にIoTに分類されるロールの例を次に示します。

• オフィスデバイス – 一般的な権限は次のとおりです。 – 消耗品管理システムへのアクセス。 – プリントサーバー、DHCP、DNSへのアクセス。 – 一般的な例外/禁止事項は次のとおりです。 – インターネットまたはその他のシステムにアクセスできない。 ・ビル管理機器 – 一般的な権限は次のとおりです。 – ビル管理システム(BMS)ホストへのアクセス - DHCPおよびDNSへのアクセス – 一般的な例外/禁止事項は次のとおりです。 – インターネットまたはその他のシステムにアクセスできない。

デバイス間の通信が必要ない場合は、エンドポイント間のトラフィックを拒否するようにユーザーロールを構成します。

ネットワークのロールを設計する際の目標は、ポリシーの適用を一貫して正確にし、利用可能な攻撃対象領域を制限するロールを作成することです。

正確なネットワークプロファイルを開発し、ユーザーやデバイスの種類ごとに個別のアクセス要件を設定することが不可欠です。

ポリシーエンフォースメント

集中型オーバーレイ

集中型ポリシーアーキテクチャを使用してネットワークを構築する場合、APとスイッチはゲートウェイクラスタへのGREトンネルを形成し、すべてのユーザトラフィックがトンネルされます。これにより、データセンターやインターネット向けのトラフィックなど、主にクライアントが開始する南北に向かうトラフィックに対して効率的な設計が行われます。

802.1X認証セッションの認証サーバーとして、ゲートウェイは認証に成功すると、すべてのクライアントセッションにロールを適用します。Arubaゲートウェイ製品は、高スループットのポリシー適用ファイアウォールとディープパケットインスペクションエンジンを使用して、プライマリポリシー適用ポイントとしても機能します。

分散型オーバーレイ

分散ポリシーアーキテクチャを使用してネットワークを構築する場合、スイッチはEVPN-VXLANオーバーレイファブリックを形成します。データトラフィックは、すべてのデータグラム上のグループポリシーID(GPID)を含むVXLANパケットにカプセル化されます。これにより、対応するロールとポリシーで構成されたVXLAN-GBP対応デバイスでのポリシーエンフォースメントが可能になります。

Aruba Central NetConductorソリューションに実装された分散ポリシーアーキテクチャは、トラフィックフローのすべての方向に一貫した効率的なポリシーエンフォースメントを提供し、インターネット全体のゼロトラストネットワークの可能性を開きます。

スイッチに適用されるポリシーはAruba Central内で構成され、オーバーレイファブリックに追加されたときにスイッチにダウンロードされます。

802.1Xおよびポリシーベースのセグメンテーション

リモート認証ダイヤルインユーザーサービス(RADIUS)

RADIUSは、ユーザクレデンシャルを認証データベースに通信し、対応するユーザプロファイルをデータベースからネットワークインフラストラクチャに中継するために使用されるネットワークプロトコルです。

ESP設計で使用される主な認証方法は802.1Xです。Aruba製品は標準に準拠しており、一般的に利用可能な多くのRADIUSサーバ製品と統合されていますが、包括的なESPポリシーレイヤでは、RADIUSおよびポリシーサーバとしてAruba ClearPass Policy Managerを使用する必要があります。

Aruba ESPは、安全で信頼性の高いRADIUSインフラストラクチャの運用に必要な重要な機能を提供します。重要なデバイスが常に必要なネットワークアクセスを受信できるように、802.1XからMACベースの認証へのフォールバックを有効にするには、「認証の優先順位」を使用します。意図しないMACフラッディングを防ぐために、1つのデバイスポートからの認証されたクライアントの数を制限するには、”Client limits”を設定する必要があります。

フォルトトレランスを向上させるもう1つの重要な方法は、「重要な認証」のロールを作成することです。このロールは、認証要求が失敗した場合に重要なデバイスに割り当てることができます。認証の試行を継続する場合は、基本的な接続のみを許可するポリシーに関連付ける必要があります。スイッチングインフラストラクチャの重要な認証ロールにより、RADIUSサーバーに一時的にアクセスできない場合に、デバイスがネットワークにアクセスできるようになります。

ロールの割り当て

ロールは通常、ユーザーまたはデバイスが802.1Xで認証されるときに割り当てられます。RADIUSサーバは、指定されたクレデンシャルに関連付けられたプロファイルを含むバックエンドLDAPに問い合わせます。Aruba ESPでは、 vendor specific attribute (VSA)を使って割り当てられたロールを伝えます。

認証後、RADIUSサーバは、プロファイルに関連する標準定義のアトリビュートとVSAをネットワークインフラストラクチャに中継できます。

エンドポイントがネットワークに接続するための適切な資格情報を持っていない場合は、 「拒否のロール」を使用して、継続的な認証エラーを防ぐ必要があります。拒否ロールは、DHCPおよびDNSへのアクセスのみを持つ制限されたVLANにデバイスを配置する必要があります。これにより、サプリカントは自身を認証されたものとして認識し、インターネットへのルートを取得できないことが保証されます。サプリカントは、それ以上の認証試行を中止する必要があります。

Change-of-authorizationメッセージは、既に認証されたユーザーまたはデバイスに適用されたポリシーの変更を可能にする特別なRADIUSメッセージです。時刻、場所、または動作変数に基づいて、既存の認証済みユーザーまたはデバイスのロールを変更できます。

ユーザーロールの割り当ての基本原則は次のとおりです。

– ユーザーのロールにより、トラフィックがローカルでスイッチングされるか、別のデバイスにトンネリングされるかが決まります。 – 任意のRADIUSサーバーを使用して、ローカルユーザーのロール(LUR)を返すことができます。

• “HPE-User-Role”VSAを使用して、RADIUSサーバからロールを割り当てます。 – ロールは、ポリシーまたはQoS ACL、再認証タイマー、およびキャプティブポータルリダイレクトを割り当てることができます。

– 関連するポリシーをネットワークデバイスで適用する前に、そのロールがネットワークデバイス上に存在している必要があります。

カラーレスポート

ESPカラーレスポート機能を使用すると、デバイスの接続と認証に続いて、アクセスポートにロールとポリシーを動的に割り当てることができます。デバイスはネットワーク内の任意のポートに接続でき、関連するポリシーに基づいて正しいVLANに割り当てられます。このVLAN割り当ての結果、トラフィックは従来のVLANに直接配置されるか、GREトンネルにカプセル化されてUBTを使用してゲートウェイに送信されるか、または、VXLANトンネルにカプセル化されてNetConductorファブリックを介して送信されます。

ダイナミックセグメンテーション

Aruba ESPでは、ダイナミックセグメンテーションは、ビジネス要件によって定義されたポリシーに基づいて、安全なネットワークセグメントにユーザートラフィックを動的に割り当てるソリューションです。カラーレスポートを使用すると、有線デバイスのオンボーディングが容易になり、ロールとポリシーが動的に割り当てられます。ワイヤレスデバイスの場合、認証とロールの割り当てには802.1Xが推奨されます。

ダイナミックセグメンテーションは、GREを使用してAPとスイッチを一元化されたゲートウェイクラスタにトンネリングし、データプレーン上でファイアウォールベースのセグメンテーションとポリシーエンフォースメントを提供します。ポリシーはAPでブリッジされたトラフィックに適用できますが、ゲートウェイクラスタを使用すると、スループットとエンフォースメント機能が向上します。

トラフィックのマイクロセグメンテーションは、トンネル化されたデータプレーンのゲートウェイクラスタにロールベースのポリシーを適用することによって実現されます。サブネット間でIPベースのポリシーを適用することに加え、MAC層のトラフィックをサブネット内でフィルタリングして、ピアツーピア通信を制限できます。

ワイヤレスデータプレーンモード

ダイナミックセグメンテーションは、次の3つのワイヤレスデータプレーンモードをサポートします。

*トンネルモード *ブリッジモード *混合モード

トンネルモードSSIDは、APから集中型ゲートウェイクラスタへのGREトンネルを使用します。ポリシーはAruba Centralで構成され、ゲートウェイはポリシーエンフォースメントファイアウォールとDPIエンジン機能を提供するエンフォースメントポイントです。

ゲートウェイは、1つのサイトに500を超えるAPと5000を超えるクライアントを展開するキャンパスに必要です。ゲートウェイは、高スループットで最大限のポリシー適用機能を実現するために推奨されます。

3層有線のトンネルモード

ブリッジモードSSIDは、ワイヤレストラフィックをローカルでVLANにブリッジし、ゲートウェイにはトンネルしません。その結果、ブリッジモードのAPでは、接続されているスイッチポートにトランキングされたすべてのワイヤレスユーザVLANが必要になります。ポリシーはAruba Centralで構成され、APはポリシーエンフォースメントファイアウォールと中程度の密度のクライアントにDPI機能を提供するエンフォースメントポイントです。ブリッジモードのSSIDは、サイトごとに5000クライアント未満、500AP未満のAPを導入することが予想される場所で考慮する必要があります。導入を計画する際の全体的なセキュリティ、ポリシー、およびトラフィックエンジニアリングの要件を検討します。

2層有線のブリッジモード

混合モードのSSIDでは、1つのSSIDでブリッジとトンネルの両方の転送モードが有効になります。キャンパス内のSSIDを減らすと、送信される管理フレームとビーコンフレームの数が減るため、WLANのパフォーマンスが向上します。混在モードのSSIDは、802.1X認証のみをサポートします。設計にキャンパス内のブリッジトラフィックとトンネルトラフィックの両方が必要な場合は、これらのトラフィックを考慮する必要があります。混在モードのSSIDを展開する場合は、Aruba ClearPassが推奨されますが、必須ではありません。ブリッジおよびトンネルによるVLANの割り当てでは、標準のVSA（filter-idなど）またはAruba VSA（user roleなど）が使用され、これらはRADIUSサーバから送信されます。

ワイヤード用のユーザーベーストンネリング

User-Base Tunneling（UBT;ユーザベーストンネリング）を使用すると、スイッチからのトラフィックを、トンネルモードSSIDのトラフィックと同じ方法でGREを使用してゲートウェイクラスタにトンネリングできます。トンネルモードと同様に、ポリシーはCentralで設定され、ゲートウェイはポリシーエンフォースメントポイントとして機能します。これにより、有線トラフィックと無線トラフィックに対して一貫したポリシーが適用され、ノースバウンドのフローのエンジニアリングが簡素化されます。

次の図は、3層ワイヤード設計のUBTを示しています。従業員、ビジター、IoTデバイスは、アクセスレイヤ内の同じVLANサブネットからアクセスする場合でも、割り当てられたユーザのロールに基づいて異なるアクセスポリシーを持ちます。

3層ワイヤードでのUBTを利用したポリシーの実施

Central NetConductor

Aruba ESPでは、Central NetConductorは、VXLAN-EVPNを使用してポリシーベースのキャンパスオーバーレイネットワークを構築するためのソリューションであり、ネットワーク内の任意のポイントでパケット単位のポリシーエンフォースメントを可能にします。カラーレスポートを使用すると、プライマリ認証に802.1Xを使用して、エンドポイントを適切なオーバーレイネットワークおよびポリシードメインに簡単にオンボーディングできます。

NetConductorでは、ESPキャンパス全体に一貫してポリシー設定を配布し、ゲートウェイ、AP、およびスイッチがすべて使用中のロールを識別して、関連するポリシーを適用できるようにします。

VXLAN-GBP

NetConductorは、VXLAN-GBPを使用して、ユーザロールに関連付けられたグループポリシーID(GPID)でVXLANパケットをタグ付けすることにより、ネットワーク内のユーザトラフィックをセグメント化します。ロールとポリシーはAruba Centralで定義され、オーバーレイファブリック内のすべてのデバイスに配布されます。

GPIDは、デバイスまたはユーザーが最初にネットワークに対して認証するときに割り当てられたユーザーロールに基づいて、入力仮想トンネルエンドポイント(VTEP)に設定されます。エンドポイントはMACまたは802.1Xで認証できます。

ファブリックへの入力時に各パケットにポリシーを関連付け、ファブリックからの出力時に各パケットにポリシーを適用することにより、細分性、拡張性、および動的に優れたポリシー層のフレームワークが確立されます。割り当てられたポリシータグは、ファブリック内のデータトラフィックにて、ユーザーセグメントからWANブロック、または物理的なセキュリティインフラストラクチャからデータセンターに至るまで、忠実性を損なうことなく伝送されます。

VXLAN-GBPを用いたセグメンテーションには以下の利点があります。

• VXLANヘッダーにGPIDとして保存されているユーザーロールでタグ付けすることにより、同じVLAN上のユーザートラフィックのロール間のマイクロセグメンテーション。 – キャンパス全体およびファブリックドメイン間で一貫したポリシー適用 – Egressで、スイッチは（グループポリシーIDによって運ばれる）発信元のロールからのトラフィックが（宛先MACによって決定される）宛先のロールに対して許可されるか拒否されるかを決定します。トラフィックはそれに応じて転送または廃棄されます。

– ゲートウェイでは、VXLANトンネル上のトラフィックを終端し、別のVXLANトンネルに入ることができます。ロールベースのポリシーを適用するには、最終的な宛先のためにグループポリシーIDを新しいトンネルに転送する必要があります。

EVPNからGREへのポリシー

ポリシーは、ゲートウェイ集約スイッチのEVPNファブリックボーダとGREセッションが終了するゲートウェイクラスタの間の静的VXLANトンネルを使用して、GREオーバーレイとEVPNオーバーレイ間で通信されます。GPIDはArubaのロールを識別し、2つのソリューション間の静的VXLANトンネルを介してVXLANヘッダーで伝送されます。

ファブリックボーダースイッチのサイズが、想定されるMACアドレスの数に応じて適切に設定されていることを確認します。

キャンパスからブランチへのポリシー

SD-Branchに対してCentralゲートウェイグループが設定されている場合、SD-Branch宛てのパケットにVXLANヘッダーを挿入できます。ヘッダーには、EVPNファブリック内で使用されるVXLAN GPIDが含まれます。これにより、リモートサイトはGPIDを受信し、発信元サイトで適用されたパケットに同じロールを適用できます。

---