Google Cloudでの仮想ゲートウェイのデプロイメント

Aruba Centralでユーザーデータを生成

Aruba Centralによって管理されているすべてのデバイスは、証明書ベースの相互認証を実行することで通信を認証および保護します。Aruba Centralはサーバー証明書を提示し、それと引き換えに、管理対象デバイス（この場合はvGW）は自身の証明書を提示して身元を証明します。ハードウェアデバイス（AP、スイッチ、ゲートウェイ）には、これを容易にする出荷時TPMが付属していますが、仮想デバイス（vGWなど）は、別のメカニズムを使用して証明書（およびID）を取得する必要があります。

したがって、最初のステップは、Aruba CentralでデバイスIDを生成することです。これには、シリアル番号、MACアドレス、デバイスモデルなどが含まれます。また、Arubaの認証局に対してEST登録を行うことで、独自の証明書を自動的に取得するための「ワンタイムパスワード」も含まれます。最後に、このプロセスの一部として、プロビジョニングされているvGWにVirtual Gatewayサブスクリプションが適用されます（ライセンスプールから自動的に取得されます）。

このデバイスIDの生成（サブスクリプションの割り当てをトリガーします）は、Network Services > Virtual Gateways > Config > Unmanagedから実行できます。デバイスIDが生成されたら、 “Userdata Generated”文字列をクリックするだけで、txt/isoファイルにダウンロードできます。このデータはこの先のプロセスで必要になります。

vGWを接続するためのGCPでのVPCの作成

展開セクションで説明されているように、Google CloudのvGWには、Management (MNG), Internet Access (INET), Cloud Interconnect (VPN) and LAN or Transit VPC (LAN)の4つのインターフェイスがあります。各VPCには、vGWが接続されるサブネットが少なくとも1つ必要です。

これらの4つのインターフェイスはそれぞれ異なるサブネットに接続する必要があり、それぞれが異なるVPCに存在します。複数のリージョンにvGWをデプロイする場合は、同じグローバルVPC（vgw-mgmt-vpc、vgw-inet-vpcなど）に属する異なるサブネットに接続することをお勧めします。GCP NICからvGWへのVLAN/ポートのマッピングは次のようになります。

GCPでさまざまなVPCとサブネットを作成するには、次の手順に従います。

まず、GCPプロジェクトからNetworking > VPC Network > VPC Networks*に移動し、”Create VPC network”をクリックします。

これにより、VPCとそのサブネットが定義されているメニューが開きます。GCPの特徴の1つは、VPCがリージョン間にまたがるグローバル要素であり、サブネットが特定のリージョンに限定されていることです。つまり、グローバルデプロイメントでは、すべてのvGWのインターネット接続にグローバルVPCを使用し、vGWが展開されているすべてのリージョンに相互接続サブネットを持つことが一般的です。

サブネットはvGWによってのみ相互接続として使用され、リージョン間でルーティング可能である必要がないため、Internet、Management および Cloud Interconnectに関連付けられたVPCは、”Regional” Dynamic Routing modeを使用するように設定できます。ただし、LAN (or Transit) VPCは、NCCを使用してブランチ間通信を確立する場合は常に、”Global” dynamic routingを使用するように設定する必要があります（詳細はNCC-specificセクションを参照）。

GCPファイアウォールの設定

この時点で、vGWが接続されるサブネットを持つ4つのVPCが必要です。GCPは、従来の”ファイアウォールゾーン”の場合と同様に、VPC設定の一部としてファイアウォールポリシーを実装します。vGWとの通信を許可するには（デプロイ後）、対応するファイアウォール規則を作成する必要があります。ファイアウォール規則の作成方法の詳細については、GCPドキュメントを参照してください。次に、従うべき重要な手順を示します。

これは、画面下部の”Firewall Rules”タブに移動して、VPC自体の設定ページから実行できます。

また、Networking > VPC Network > Firewallにアクセスして、すべてのVPCの共通の場所で行うこともできます。これらのファイアウォールポリシーは常にVPCに関連付けられている必要があることに注意することが重要です。

これらのポリシーがVPC設定ページで設定されているか、グローバルに設定されているかに関係なく、vGWのインターネットおよびVPNインターフェイスでinbound NAT-Transversalトラフィック(UDP 4500)が許可されていることを確認することが重要です。これは、ブランチゲートウェイとvGWの間にSD-WANオーバーレイを確立するために必要です。同様に、Aruba vGWは、Aruba Centralやその他の関連サービスとINETインターフェイスから通信できる必要があります。これはAruba Centralのドキュメントの一部として詳細に文書化されています。

Aruba vGWソフトウェアをGCPプロジェクトにアップロード

2番目のステップは、vGWイメージをGCPにアップロードすることです。vGWイメージはAruba Support Portalからダウンロードできます。google cloudの場合、正しいフォーマットは”. img.tar.gz”で終わるものです。

このイメージは、 Project > Storage > Cloud Storageに移動して適切なGCPプロジェクトにアップロードできます。バケットを作成するには、次のパラメータを使用します。

Step 1 バケットの名前を入力します。

Step 2 ロケーション・タイプとして”Region“を設定し、locationを指定します。

Step 3 Storage Classとして”Standard“を設定します。

Step 4 Access Controlを”Fine Grained“に設定します。

Step 5 “Advanced Settings“で、Encryptionを”Google-managed key“に設定します。

適切な属性を持つバケットが作成されると、vGWイメージをアップロードできます。その後すぐに必要になるので、画像の”ソースURI”を確認することをお勧めします。これは、イメージ自体をクリックして”gsutil URI”フィールドをコピーすることで得ることができます。

GCPでのAruba vGWイメージの作成

Aruba Centralにソフトウェアがロードされている場合、次のステップはGCPで仮想ゲートウェイイメージを起動することです。これに関する重要な側面は、仮想マシンの属性として”MULTI-IP-SUBNET”を有効にすることです。説明したように、vGWは、異なるVPC内の複数のサブネットに接続する必要があるルータです。

これは、GCP Cloud Shellから直接ウェブブラウザから行うことも、GCP Cloud SDKを利用して任意のターミナルアプリケーションを使用して行うこともできます。それぞれのコマンドは、どちらのメカニズムでも同じです。

gcloud compute images create <image-name> --project=<project-name> --source-uri=<URL to tar.gz file> --storage-location=<location> --guest-os-features MULTI_IP_SUBNET

このコマンドを発行すると、次のようになります。

Home$ gcloud compute images create vgw-ncc-europe-01 --project=sd-branch-ncc-testing --source-uri=gs://sd_branch_bucket/ArubaOS_VGW_8.7.0.0-2.3.0.0_79669.img.tar.gz --storage-location=us-west1 --guest-os-features MULTI_IP_SUBNET
Created [https://www.googleapis.com/compute/v1/projects/sd-branch-ncc-testing/global/images/vgw-ncc-europe-01].
NAME               PROJECT                FAMILY  DEPRECATED  STATUS
vgw-ncc-europe-01  sd-branch-ncc-testing                      READY


Updates are available for some Cloud SDK components.  To install them,
please run:
  $ gcloud components update



To take a quick anonymous survey, run:
  $ gcloud survey

Home$

GCPでのVMインスタンスの設定

必要なネットワークコンポーネント（VPCおよびファイアウォールルール）とvGWイメージを整理した後、最後のステップは、Aruba Virtual GatewayとなるVMインスタンスを構成（および起動）することです。これはCompute > Compute Engine > VM Instancesの下でCreating an Instanceを実行することで行います。

• このページでは、最初のステップとしてselect a name, region and zone for this VMを実行します。
• Machine Configurationが表示されます。N2 General purpose VMを使用する必要があります。vGW-500の場合は、”n2-standard-4”GCPマシンを選択します(サイジングの詳細はdeployセクションにあります)。ブートディスクでは、新しい”Standard or persistent disk“にロードされた最近作成されたイメージを使用します。:

“Create”をクリックする前に、この仮想マシンに対していくつかの追加パラメータを構成する必要があります。この同じページで、”Networking, Disks, Security, Management, Sole-Tenancy”セクションを展開します。

• Networkingの下に、 Mgmt, Internet, VPN and LAN interfacesを（この順序で）追加する必要があります。これらのインタフェースは、以前に作成した相互接続サブネットに接続する必要があります。インターネットインターフェイスは、内部IPおよび外部IPの一時的なインターフェイスに接続する必要があります。他の3つのインターフェイスは一時的な内部IPだけを必要としますが、外部IPは必要としません。
• Disksで、次の特性を持つ新しいディスクを追加します。
  • source typeをBlank Diskに設定
  • タイプをStandard Persistent Diskに設定します
  • sizeを16GBに設定
  • その他のフィールドはすべてデフォルト値のままでかまいません
• sshキーが利用可能な場合は、 Securityセクションに入力できます。これにより、ネットワーク管理者はAruba Centralに接続する前にssh経由でvGWにログインできます。vGWがAruba Centralによって管理されると、リモートアクセスパラメータを簡単に変更できるため、これはオプションの手順です。
• 最後に、 Managementの下に、Aruba Centralからダウンロードしたユーザーデータ情報を入力します。これは、vGWにIDを与え、Aruba Centralとの通信を保護するために証明書を取得するための情報を提供するため、重要なステップです。
  • メタデータで、keyとして “userdata” と入力しvalueとしてCentralから取得した情報を貼り付けます。
  • その他のすべてのパラメータは、デフォルト設定のままにしておくことができます。

検証手順

以下に概説する手順に従った後、vGWはGCPで作成されます。起動すると、ESTを使用してArubaのプライベートCAから証明書が自動的にダウンロードされ、Aruba Centralに自動的に接続されます。それ以降、すべての管理、監視などはAruba CentralのUIから行われます。

GCPでのvGWプロビジョニングの監視

高度なトラブルシューティング手順として、このプロセスはGCPを介してデバイスのコンソールに接続することで監視できます。これを行うには、仮想マシンを”Enable connecting to serial ports”に編集します。

この設定を有効にすると、”Connect to serial console”をクリックして、ゲートウェイが自動的にAruba Centralに接続する方法を確認できます。ただし、プロビジョニングプロセスを中断しないことが重要です。