Google NCC統合
前述のように、SD-BranchをGCP Network Connectivity Centerと統合することで、お客様はGCPのAruba vGWをリージョナルクラウドルーターとピア接続し、両方の環境間の通信を容易にすることができます。これにより、柔軟で動的なメカニズムを備えたブランチ間の通信だけでなく、ブランチ間の通信も可能になります。これを実現するには、次のようなシンプルな手順が必要です。
Step 1 GCPへのAruba vGWの導入
Step 2 NCCハブをイネーブルにし、vGWをスポークとして定義する
Step 3 各地域におけるクラウドルーターの定義
Step 4 ダイナミックルーティング(BGP)を使用したAruba vGWとのクラウドルータのピアリング
この環境を設定する手順の詳細については、次を参照してください。ドキュメント化を容易にするためにgcloudコマンドを使用して説明しますが、代わりのメカニズム（GUIベースの設定を含む）についてはNCC documentationで詳しく説明します。
| NOTE: |
|---|
| ウェブコンソールはgcloudコマンドに使用できますが、gcloud CLIツールがローカルマシンからGoogle Cloudリソースにアクセスできるため、優れたユーザーエクスペリエンスを実現するにはGoogle Cloud SDKをインストールすることをお勧めします。 |
Aruba仮想ゲートウェイのセットアップ
仮想ゲートウェイのデプロイメント
最初のステップは、このガイドで説明したGCPでAruba vGWを作成することです。次のコマンドは、各領域のインスタンスを一覧表示します。vGWはその一部である必要があります。一般的な推奨事項は、vGWを同じグローバルVPCの異なるサブネットに接続することです。vGWのLANインターフェイス（VLAN 4092に接続されたもの）の特定のケースでは、Google NCCを使用する場合、これは困難な要件になります。次の図は、NCCと統合する場合に、vGWのさまざまなネットワークインターフェイスにグローバルVPCをどのように割り当てるかを示しています。
ルータアプライアンス（この場合はAruba vGW）のリストは、次のコマンドを使用して簡単に取得できます。
gcloud compute instances list
変数を使用して、次の操作を行います。
- ZONE : vGWがデプロイされるリージョン。
たとえば、次のようになります。
Home$ gcloud compute instances list
NAME ZONE MACHINE_TYPE PREEMPTIBLE INTERNAL_IP EXTERNAL_IP STATUS
vgw-ncc-01 us-west1-b n2-standard-4 10.128.0.2,10.128.1.2,10.128.2.2,10.128.3.2 35.212.223.10 RUNNING
vgw-ncc-uk-01 europe-west2-c n2-standard-4 10.128.16.7,10.128.17.7,10.128.18.7,10.128.19.2 35.214.21.100 RUNNING
Aruba vGWのBGP設定
Googleは、Cloud Routerの前にRAを設定することを推奨しています。したがって、次のステップはAruba vGWでBGP設定を行うことです。これは、vGWを使用してグループに移動し、advanced configurationメニューからRouting > BGPに移動することで実行できます。インストールが完了すると、次の設定を行うことができます。
Step 1 BGPを有効にし、Autonomous Systemを設定します。前述のように、すべての地域のvGWは、NCCサービスで使用されるASとは異なる、独自のプライベートASに存在する必要があります。
Step 2 対応するルートマップを作成して、BGP neighborsにアタッチします。
Step 3 すべてのvGWで、プライマリおよびスタンバイのクラウドルータをBGP neighborsとして設定します。
Step 4 （SD-WANから学習した）オーバーレイルートをBGPに再分配し、その逆も行う。”design”セクションで説明されているように、ルートの再配布はトラフィックの対称性を確保するのに役立つ方法で行われます。
| NOTE: |
|---|
| Aruba GatewaysはRFC8212に準拠しています。eBGPネイバーにルートマップを適用しなければ、暗黙の“deny”が適用されます。そのため、eBGPネイバーからプレフィクスを学習するには、eBGPネイバーにインバウンドルートマップを適用する必要があります。 |
NCC初期セットアップ
GCPに展開されているvGWは、ネットワーク接続センターと統合する必要があります。これは、SD-WANとクラウドルーター間の通信に対処するためのダイナミックルーティングを可能にするものです。これには、グローバルNCCハブ（導入前にすでに導入されている可能性がある）を立ち上げ、vGWをNCCスポークとして定義する必要があります。
NCCハブの作成
最初のステップは、NCC Hubを作成することです。この”ハブ”は、 “バックボーン as a service”として機能するグローバルリソースです。したがって、GCPプロジェクトごとに1つのハブがあるはずです 。コード例は次のようになります。
gcloud network-connectivity hubs create NAME \
--description=DESCRIPTION \
--labels=KEY=VALUE
上記の変数は次の内容を表します。
NAME: 新しいハブの名前DESCRIPTION: ハブを説明するオプションのテキストKEY: オプションのラベルテキストのkey-value pairのKeyVALUE: オプションのラベルテキストのkey-value pairのValue
たとえば、次のようになります。
Home$ gcloud network-connectivity hubs create hub-ncc-uk --description="NCC Hub UK"
Create request issued for: [hub-ncc-uk]
Waiting for operation [projects/sd-branch-ncc-testing/locations/global/operations/operation-1629332960069-5c9dea44e47d8-a816636a-e287f102] to complete...done.
Created hub [hub-ncc-uk].
Home$
Home$
Home$ gcloud network-connectivity hubs list
NAME DESCRIPTION
hub-ncc NCC Hub
Home$
その他の設定オプションや詳細については、CGPのドキュメントで説明されています。
vGWをスポークとしてNCCハブに追加
NCCハブを作成した後、次のステップは、Aruba vGWを”Router appliance spokes”として追加することです。他のタイプのスポーク(VLAN、VPN)とは異なり、Aruba vGWはSD-WANネットワークのどこからでも接続を提供するため、これらはGoogle Cloudの外部の単一の場所に関連付けられていません。site_to_site_data_transferが有効になっているスポークは、同じVPCネットワークに属している必要があります。
冗長性または拡張性を目的として、特定の導入に対して複数のvGWが必要になる場合があります。それらはすべて同じNCCスポークに接続する必要があります。これらのvGWは、NCCスポークと同じリージョンに存在する必要があります。
NCCスポークを作成し、vGWに関連付けるコードサンプルは次のとおりです。
gcloud network-connectivity spokes create NAME \
--hub=HUB_NAME \
--description=DESCRIPTION \
--router-appliance=ROUTER_APPLIANCE_DETAILS \
--region=REGION \
--labels=KEY=VALUE
上記の変数は次を表します。
NAME: スポークの名前HUB_NAME: スポークをアタッチするハブの名前（URI形式）。例:projects/myproject/locations/global/hubs/us-west-to-ukDESCRIPTION: スポークを説明するオプションのテキスト（例:us-vpn-spoke）ROUTER_APPLIANCE_DETAILS: スポークに追加するルーターアプライアンスインスタンスのURIおよびIPアドレスREGION: スポークが配置されているGoogle Cloudリージョン。たとえば、us-west1KEY: オプションのラベルテキストのkey-valueのペアのkeyVALUE: オプションのラベルテキストのkey-valueのペアのvalue
ROUTER_APPLIANCE_DETAILS変数は、次の形式に従います。
instance="https://www.googleapis.com/compute/projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_NAME",ip="INTERNAL_IP_ADDRESS"
たとえば、次のようになります。
Home$ gcloud network-connectivity spokes create ncc-spokes-vgw-uk-01 --hub=hub-ncc-uk --description="NCC Spoke for UK Region" --router-appliance=instance="https://www.googleapis.com/compute/v1/projects/sd-branch-ncc-testing/zones/europe-west2-c/instances/vgw-ncc-uk-01",ip="10.128.19.2" --region=europe-west2
Create request issued for: [ncc-spokes-vgw-uk-01]
Waiting for operation [projects/sd-branch-ncc-testing/locations/europe-west2/operations/operation-1629400259100-5c9ee4fa3fd64-a84dd719-b0b41f41] to complete...done.
Created spoke [ncc-spokes-vgw-uk-01].
Home$
Home$ gcloud network-connectivity spokes list --region=europe-west2
NAME REGION HUB TYPE RESOURCE COUNT DESCRIPTION
ncc-spokes-vgw-uk-01 europe-west2 hub-ncc-uk Router appliance 1 NCC Spoke for UK Region
Home$
Home$ gcloud network-connectivity spokes list --region=us-west1
NAME REGION HUB TYPE RESOURCE COUNT DESCRIPTION
ncc-spokes-vgw-01 us-west1 hub-ncc-01 Router appliance 1
その他の設定オプションや詳細については、CGPのドキュメントで説明されています。
Cloud Routerの作成と設定
スポークが作成された後各リージョンのCloud Routerを定義できます。これらは、ルータアプライアンス(Aruba vGW)が展開されているリージョンと同じリージョンにある必要があります。簡単にするために、GoogleはCloud Routerで同じASNを使用することをお勧めしています。また、HAペア以外のルータ・アプライアンスでは、固有のASNを使用します。
Cloud Routerの作成
Cloud Routerは、次のコマンドで作成します。
gcloud compute routers create NAME \
--region=REGION \
--network=NETWORK \
--asn=ASN \
--project=PROJECT_ID
次を表す変数を使用します。
NAME: クラウドルーターの名前（例:cloud-router-a）REGION: クラウドルーターを含むリージョン（例:us-west1）NETWORK: クラウドルーターを含むVPCネットワーク（例:network-a）ASN: クラウドルーターのautonomous system number(ASN)。このASNは、RFC 6996で定義されている16ビットまたは32ビットのプライベートASNである必要があります。たとえば、65000などです。PROJECT_ID: クラウドルーターのプロジェクトID （例:my-project）
例:
Home$ gcloud compute routers create router-ncc-uk-01 --region=europe-west2 --network=vpc-vgw-lan --asn=65000 --project=sd-branch-ncc-testing
Creating router [router-ncc-uk-01]...done.
NAME REGION NETWORK
router-ncc-uk-01 europe-west2 vpc-vgw-lan
Home$
Home$ gcloud compute routers list
NAME REGION NETWORK
router-ncc-01 us-west1 vpc-vgw-lan
router-ncc-uk-01 europe-west2 vpc-vgw-lan
Home$
その他の設定オプションや詳細については、CGPのドキュメントで説明されています。
Cloud Routerへのインターフェイスの追加
各Cloud Routerは最大128個のBGPピアリングセッションをサポートし、特定のCloud Routerは最大2つのインターフェイスを持つことができます（冗長性の目的のため） 。通常のHAシナリオでは、2つのvGWがクラウドルータの各インターフェイスに接続され、次のようなトポロジになります。
2つの冗長インターフェイスを作成するには、次のコマンドを使用します。
Step 1 最初のルータインターフェイスを作成します。
gcloud compute routers add-interface NAME \
--interface-name=INTERFACE_NAME \
--ip-address=IP_ADDRESS \
--subnetwork=SUBNET \
--region=REGION \
--project=PROJECT_ID
Step 2 冗長インターフェイスを作成します。
gcloud compute routers add-interface NAME \
--interface-name=INTERFACE_NAME \
--ip-address=IP_ADDRESS \
--subnetwork=SUBNET \
--redundant-interface=REDUNDANT_INTERFACE \
--region=REGION \
--project=PROJECT_ID
次を表す変数を使用します。
NAME: 更新するクラウドルーターの名前（例:cloud-router-a）INTERFACE_NAME: インターフェイスの名前。例:router-appliance-interface-0またはrouter-appliance-interface-1IP_ADDRESS: インターフェイスに使用するRFC 1918の内部IPアドレス。例:10.0.1.5または10.0.1.6SUBNET: 内部IPアドレスが存在するサブネット。例:subnet-a-1REDUNDANT_INTERFACE: プライマリインターフェイスと同じルーターアプライアンスインスタンスでピアとなる冗長Cloud Routerインターフェイス。例:router-appliance-interface-0REGION: Cloud Routerが存在するGoogle Cloudリージョン（例:us-west1）PROJECT_ID: クラウドルーターのプロジェクトID （例:my-project）
例として、次の出力があります。
Home$ gcloud compute routers add-interface router-ncc-uk-01 --interface-name=router-interface-0 --ip-address=10.128.19.10 --subnetwork=subnet-vgw-lan-uk --region=europe-west2 --project=sd-branch-ncc-testing
Updated [https://www.googleapis.com/compute/beta/projects/sd-branch-ncc-testing/regions/europe-west2/routers/router-ncc-uk-01].
Home$
Home$ gcloud compute routers add-interface router-ncc-uk-01 --interface-name=router-interface-1 --ip-address=10.128.19.11 --subnetwork=subnet-vgw-lan-uk --redundant-interface=router-interface-0 --region=europe-west2 --project=sd-branch-ncc-testing
Updated [https://www.googleapis.com/compute/beta/projects/sd-branch-ncc-testing/regions/europe-west2/routers/router-ncc-uk-01].
Home$
Home$ gcloud compute routers describe router-ncc-uk-01 --region=europe-west2
bgp:
advertiseMode: DEFAULT
asn: 65000
keepaliveInterval: 20
creationTimestamp: '2021-08-19T13:35:03.266-07:00'
id: '8698182270885002904'
interfaces:
- ipRange: 10.128.19.10/27
name: router-interface-0
privateIpAddress: 10.128.19.10
redundantInterface: router-interface-1
subnetwork: https://www.googleapis.com/compute/beta/projects/sd-branch-ncc-testing/regions/europe-west2/subnetworks/subnet-vgw-lan-uk
- ipRange: 10.128.19.11/27
name: router-interface-1
privateIpAddress: 10.128.19.11
redundantInterface: router-interface-0
subnetwork: https://www.googleapis.com/compute/beta/projects/sd-branch-ncc-testing/regions/europe-west2/subnetworks/subnet-vgw-lan-uk
kind: compute#router
name: router-ncc-uk-01
network: https://www.googleapis.com/compute/beta/projects/sd-branch-ncc-testing/global/networks/vpc-vgw-lan
region: https://www.googleapis.com/compute/beta/projects/sd-branch-ncc-testing/regions/europe-west2
selfLink: https://www.googleapis.com/compute/beta/projects/sd-branch-ncc-testing/regions/europe-west2/routers/router-ncc-uk-01
Home$
その他の設定オプションや詳細については、CGPのドキュメントで説明されています。
クラウドルーターのBGP設定
クラウドルータの設定の最後のステップは、BGPネイバー（この場合はAruba vGW）を定義することです。上記のように、Googleは、すべてのGCP Cloud Cloud Routerを同じASの一部とし、Router Appliances(Aruba vGW)を異なるASに配置することを推奨しています。このタイプの展開では、Arubaは、地域ごとに異なるAutonomous Systemを使用して、vGWを同じASに配置することをお勧めします。
| NOTE: |
|---|
| BGPは通信にTCPポート179を使用するため、VPCのファイアウォール規則の一部として許可する必要があります。 |
各ピアルータの設定手順は、最初にプライマリインターフェイスのBGPピアを設定することです。
gcloud compute routers add-bgp-peer NAME \
--peer-name=PEER_NAME \
--interface=INTERFACE \
--peer-ip-address=PEER_IP_ADDRESS \
--peer-asn=PEER_ASN \
--instance=ROUTER_APPLIANCE \
--instance-zone=ROUTER_APPLIANCE_ZONE \
--region=REGION
次に、セカンダリインターフェイスです。
gcloud compute routers add-bgp-peer NAME \
--peer-name=PEER_NAME \
--interface=INTERFACE \
--peer-ip-address=PEER_IP_ADDRESS \
--peer-asn=PEER_ASN \
--instance=ROUTER_APPLIANCE \
--instance-zone=ROUTER_APPLIANCE_ZONE \
--region=REGION
下記の変数を使用して、次の操作を行います。
NAME: 更新するクラウドルーターの名前PEER_NAME: ルーターアプライアンスインスタンスと確立するBGPピアリングセッションの名前INTERFACE: このBGPピアのインターフェイスの名前PEER_IP_ADDRESS: ピアルーター（ルーターアプライアンスインスタンス）のInternal IPアドレス。このアドレスは、VMのプライマリネットワークインターフェイス(nic0)のプライマリInternal IPアドレスと一致する必要があります。PEER_ASN: このBGPピアのBGP自律システム番号(ASN)。このASNは、RFC 6996で定義されている16ビットまたは32ビットのプライベートASNである必要があります。ROUTER_APPLIANCE: ルーターアプライアンスインスタンスとして動作しているVMの名前ROUTER_APPLIANCE_ZONE: ルーター・アプライアンス・インスタンスとして動作している仮想マシンがあるゾーンREGION: ルーターアプライアンスインスタンスとして機能するVMが配置されているリージョン
設定全体の例を次に示します。
Home$
Home$ gcloud compute routers add-bgp-peer router-ncc-uk-01 --peer-name=vgw-ncc-uk-01-int0 --interface=router-interface-0 --peer-ip-address=10.128.19.2 --peer-asn=65011 --instance=vgw-ncc-uk-01 --instance-zone=europe-west2-c --region=europe-west2
Creating peer [vgw-ncc-uk-01-int0] in router [router-ncc-uk-01]...done.
Home$
Home$ gcloud compute routers add-bgp-peer router-ncc-uk-01 --peer-name=vgw-ncc-uk-01-int1 --interface=router-interface-1 --peer-ip-address=10.128.19.2 --peer-asn=65011 --instance=vgw-ncc-uk-01 --instance-zone=europe-west2-c --region=europe-west2
Creating peer [vgw-ncc-uk-01-int1] in router [router-ncc-uk-01]...done.
Home$
Home$ gcloud compute routers describe router-ncc-uk-01 --region=europe-west2
bgp:
advertiseMode: DEFAULT
asn: 65000
keepaliveInterval: 20
bgpPeers:
- enable: 'TRUE'
interfaceName: router-interface-0
ipAddress: 10.128.19.10
name: vgw-ncc-uk-01-int0
peerAsn: 65011
peerIpAddress: 10.128.19.2
routerApplianceInstance: https://www.googleapis.com/compute/beta/projects/sd-branch-ncc-testing/zones/europe-west2-c/instances/vgw-ncc-uk-01
- enable: 'TRUE'
interfaceName: router-interface-1
ipAddress: 10.128.19.11
name: vgw-ncc-uk-01-int1
peerAsn: 65011
peerIpAddress: 10.128.19.2
routerApplianceInstance: https://www.googleapis.com/compute/beta/projects/sd-branch-ncc-testing/zones/europe-west2-c/instances/vgw-ncc-uk-01
creationTimestamp: '2021-08-19T13:35:03.266-07:00'
id: '8698182270885002904'
interfaces:
- ipRange: 10.128.19.10/27
name: router-interface-0
privateIpAddress: 10.128.19.10
redundantInterface: router-interface-1
subnetwork: https://www.googleapis.com/compute/beta/projects/sd-branch-ncc-testing/regions/europe-west2/subnetworks/subnet-vgw-lan-uk
- ipRange: 10.128.19.11/27
name: router-interface-1
privateIpAddress: 10.128.19.11
redundantInterface: router-interface-0
subnetwork: https://www.googleapis.com/compute/beta/projects/sd-branch-ncc-testing/regions/europe-west2/subnetworks/subnet-vgw-lan-uk
kind: compute#router
name: router-ncc-uk-01
network: https://www.googleapis.com/compute/beta/projects/sd-branch-ncc-testing/global/networks/vpc-vgw-lan
region: https://www.googleapis.com/compute/beta/projects/sd-branch-ncc-testing/regions/europe-west2
selfLink: https://www.googleapis.com/compute/beta/projects/sd-branch-ncc-testing/regions/europe-west2/routers/router-ncc-uk-01
Home$
その他の設定オプションや詳細については、CGPのドキュメントで説明されています。
冗長vGWの設定
Aruba SD-BranchでSD-WANトポロジーを構築する場合、Orchestratorを使用すると、同じプレフィックスをアドバタイズするノード間で優先順位を確立するための非常にシンプルなメカニズムを使用できます。ブランチゲートウェイは、同じリージョン内の両方のvGWへのアクティブパスを持ち、両方のAruba vGWが同じルーティングプレフィックスをクラウドルータにアドバタイズします。2つのvGWを経由するパスのルーティングコストは、特定のブランチグループのDC-Preferenceを設定するときに決定されます。
対称な通信フローを確保するために、Aruba Gatewaysは、自身のAutonomous Systemを段階的にプリペンドすることで、アップストリームルータ（この場合はGCPクラウドルータ）にとって望ましくないルートをアドバタイズします。セカンダリAruba vGWからより長いAS_PATHをアドバタイズすると、クラウドルータはプライマリvGWによってアドバタイズされたパスを最適なパスとして選択します。
このDC-Preferenceが設定されると、Aruba SD-BranchはAruba vGWがSD-WANルーティングコスト（DC Preferenceで高い方のVPNCほど低い）を対応するBGPルーティングコストに自動的に変換するのを支援します。Aruba vGWとTGWの間でeBGPが使用されている場合、Aruba vGWはSD-WANオーバーレイルーティングコストをBGPメトリックに変換し、自身のAutonomous Systemを段階的にプリペンドします。例:
- オーバーレイコスト10は、AS-Pathのプリペンド= 0に変換されます。
- オーバーレイコスト20は、AS-Pathのプリペンド= 1に変換されます。
- オーバーレイコスト30は、AS-Pathのプリペンド= 2に変換されます。
- …
要約すると、冗長vGWを設定するには、セカンダリvGWに対して上記の手順を繰り返します（vgwを展開し、スポークとしてNCCに追加し、vGWとクラウドルータ間のBGPを設定します）。Aruba CentralのSD-WAN Orchestratorは、HAとパスの対称性を自動的に処理します。
vGWとクラウドルーター間のピアリングの検証
Cloud RouterとAruba vGWの両方でBGP設定が完了したら、相互にネットワークプレフィックスのアドバタイズを開始する必要があります。
Aruba vGWによってアドバタイズされたルートは、Routing > BGPに移動して対応するBGPネイバーに入ることで、vGWの詳細ページから監視できます。
これらのルートは、次のコマンドを発行してクラウドルータから読み取ることもできます。
gcloud compute routers get-status NAME \
--region=REGION \
--project=PROJECT_ID
次を表す変数を使用します。
NAME: 更新するクラウドルーターの名前（例:cloud-router-a）REGION: Cloud Routerが存在するGoogle Cloudリージョン（例:us-west1）PROJECT_ID: クラウドルーターのプロジェクトID （例:my-project）
例として、次の（切り捨てられた）出力があります。
Home$ gcloud compute routers get-status router-ncc-us --region=us-west1
kind: compute#routerStatusResponse
result:
bestRoutes:
- creationTimestamp: '2021-09-09T11:37:30.083-07:00'
destRange: 10.127.31.80/32
kind: compute#route
network: https://www.googleapis.com/compute/v1/projects/sd-branch-ncc-testing/global/networks/vpc-vgw-lan
nextHopIp: 10.128.3.2
priority: 0
- creationTimestamp: '2021-09-09T13:29:54.496-07:00'
destRange: 10.127.32.121/32
kind: compute#route
network: https://www.googleapis.com/compute/v1/projects/sd-branch-ncc-testing/global/networks/vpc-vgw-lan
nextHopIp: 10.128.19.2
priority: 334
- creationTimestamp: '2021-09-09T11:37:30.083-07:00'
destRange: 10.127.29.0/26
kind: compute#route
network: https://www.googleapis.com/compute/v1/projects/sd-branch-ncc-testing/global/networks/vpc-vgw-lan
nextHopIp: 10.128.3.2
priority: 0
...
...
- creationTimestamp: '2021-09-10T00:49:21.597-07:00'
destRange: 10.127.31.80/32
kind: compute#route
network: https://www.googleapis.com/compute/v1/projects/sd-branch-ncc-testing/global/networks/vpc-vgw-lan
nextHopIp: 10.128.3.2
priority: 0
bgpPeerStatus:
- advertisedRoutes:
- destRange: 10.128.10.0/24
kind: compute#route
network: https://www.googleapis.com/compute/v1/projects/sd-branch-ncc-testing/global/networks/vpc-vgw-lan
nextHopIp: 10.128.3.10
priority: 100
...
...
- destRange: 10.128.19.0/27
kind: compute#route
network: https://www.googleapis.com/compute/v1/projects/sd-branch-ncc-testing/global/networks/vpc-vgw-lan
nextHopIp: 10.128.3.10
priority: 434
- creationTimestamp: '2021-09-09T07:29:42.127-07:00'
destRange: 10.127.18.0/24
kind: compute#route
network: https://www.googleapis.com/compute/v1/projects/sd-branch-ncc-testing/global/networks/vpc-vgw-lan
nextHopIp: 10.128.3.10
priority: 334
- creationTimestamp: '2021-09-09T07:29:42.127-07:00'
destRange: 10.127.32.121/32
kind: compute#route
network: https://www.googleapis.com/compute/v1/projects/sd-branch-ncc-testing/global/networks/vpc-vgw-lan
nextHopIp: 10.128.3.10
priority: 334
ipAddress: 10.128.3.10
name: vgw-ncc-01-int0
numLearnedRoutes: 3
peerIpAddress: 10.128.3.2
state: Established
status: UP
uptime: 22 hours, 36 minutes, 3 seconds
uptimeSeconds: '81363'
- advertisedRoutes:
- destRange: 10.128.10.0/24
kind: compute#route
network: https://www.googleapis.com/compute/v1/projects/sd-branch-ncc-testing/global/networks/vpc-vgw-lan
nextHopIp: 10.128.3.11
priority: 100
...
...
- destRange: 10.128.11.0/27
kind: compute#route
network: https://www.googleapis.com/compute/v1/projects/sd-branch-ncc-testing/global/networks/vpc-vgw-lan
nextHopIp: 10.128.3.11
priority: 452
- creationTimestamp: '2021-09-03T01:50:56.223-07:00'
destRange: 10.127.32.121/32
kind: compute#route
network: https://www.googleapis.com/compute/v1/projects/sd-branch-ncc-testing/global/networks/vpc-vgw-lan
nextHopIp: 10.128.3.11
priority: 334
- creationTimestamp: '2021-09-03T01:50:56.223-07:00'
destRange: 10.127.18.0/24
kind: compute#route
network: https://www.googleapis.com/compute/v1/projects/sd-branch-ncc-testing/global/networks/vpc-vgw-lan
nextHopIp: 10.128.3.11
priority: 334
ipAddress: 10.128.3.11
name: vgw-ncc-01-int1
numLearnedRoutes: 3
peerIpAddress: 10.128.3.2
state: Established
status: UP
uptime: 9 hours, 21 minutes, 22 seconds
uptimeSeconds: '33682'
network: https://www.googleapis.com/compute/v1/projects/sd-branch-ncc-testing/global/networks/vpc-vgw-lan
逆に、vGWはCloud Routerからルートを学習しているはずです。これは BGP Detailsタブからドロップダウンで “Routes” を選択して確認することもできます。
NCC統合のユースケース
NCCハブを作成し、vGWをNCCスポークとして定義し、それらをクラウドルータに接続することで、いくつかのユースケースが可能になります。すべてが詳細に説明できるわけではありませんが、最も興味深いものについては焦点を当てます。
ブランチからクラウドへの接続
リファレンスアーキテクチャで説明されているように、SD-WANとクラウド環境間の接続を提供することが、NCC統合の主なユースケースです。これを実現するためのステップは以下の通りです。
設定ステップ
VPCピアリングの確立
vGWがNCCと統合され、クラウドルータとルートを交換したら、次のステップは、vGWのLAN VPCをトランジットVPCとして使用し、他のVPCとピア接続することです。これはNetworking > VPC Network > VPC Network Peeringから実行できます。その際には、allow both importing as well as exporting custom routesが重要です。
VPC Peering has to be done in both directionsが重要です。vpc-01は、vpc-02自体に1つのピアリングがある場合にのみ、vpc-02からのピアリングを受け入れます。これが発生するまで、ピアリングは非アクティブのままであり、2つの間で通信は行われません。
クラウドルーターへのカスタムルートの追加
2番目のステップは、BGPを介してアドバタイズするために、Cloud Routerテーブルにカスタムルートを追加することです。これは、 Networking > Hybrid Connectivity > Cloud Routersから簡単に実行でき、カスタムルートを追加するルーターに移動できます。このオプションを有効にすると、カスタムルート（および他のすべてのサブネット）をアドバタイズし、アドバタイズするサブネット範囲を追加できます。
検証手順
NCC統合が正常に機能している場合、カスタムルートはvGWに自動的にアドバタイズされます。通常どおり、これはAruba Centralのgateway detailsページのrouting tabから簡単に検証できます。
ネットワークをルーティング可能にするには、これだけで十分です。トラフィックがどのようにGCPを通過するかについての詳細な情報については、GCPからデータフロー全体を視覚化することもできます。これにより、トラフィックが正しいパスを通過しているか、ファイアウォール規則によってトラフィックフローがブロックされていないかなどを簡単に確認できます。これは、Network > Network IntelligenceからNetwork Connectivity Testを実行することで表示できます。
ブランチからブランチへの接続
NCCとのSD-WAN統合のもう1つの重要なユースケースは、GCPバックボーンを介したブランチ間通信を可能にすることです。NCCハブ（およびスポーク）を作成し、Aruba vGWをGCPクラウドルータに接続した後、ネットワークはブランチ間の通信がGoogleクラウドバックボーンを通過する準備ができているはずです。これを検証するために、カリフォルニア州レッドウッドシティとスペインのマドリッドの2つのブランチを取ります。
通信フローは、Aruba CentralやGCPを見れば簡単に確認できます。
検証手順
トンネルとルーティング
詳細な説明はこのドキュメントの範囲外ですが、Aruba CentralはSD-BranchまたはMicrobranchとGCPに展開されたvGW間の接続を調整します。これにより、Aruba CentralはブランチとWANインフラストラクチャの完全な可視性を提供し、ブランチゲートウェイが特定のGCPリージョンの1つ（またはHAの2つ）のAruba vGWにどのように接続されているかを表示します。対応するハブとの通信を含むブランチトポロジは、対応するサイトに移動してからOverview > Topologyに移動することで見つけることができます。
SD-WANオーバーレイがアップすると、Aruba vGWはブランチゲートウェイからルーティングプレフィックスを自動的に学習します。この情報は、vGWの詳細ページのRouting > Overlayセクションから取得できます。
vGWは、これらのプレフィクスをクラウドルータにアドバタイズする必要があります(vGWの詳細ページにも表示され、Routing > BGPに進み、次に対応するBGP近隣ルータにアドバタイズします。)
同時に、vGWはCloud Routerから他のリージョンからのルートも学習します。これは、ドロップダウンで”Routes”を選択してBGP Detailsタブからも確認できます。vGWによって学習されるプレフィクスのASパスには、NCCに定義されたAS(65000)とUKリージョンに定義されたAS(65011)が含まれ、そのようなルートの起点を示していることに注意してください。
これらのルートは、最終的にSD-WANオーケストレータにアドバタイズされます。これは、ゲートウェイの詳細ページでOverview > Routing > Overlayページに移動し、Routes Advertisedに移動して再度確認できます。
データフロー
また、GCPは、展開を検証および/またはトラブルシューティングするための非常に貴重な情報も提供します。トラフィックがいくつかのファイアウォール規則（トランジットvpcの入力と出力に適用されるもの）を通過するという事実を考えると、おそらく最も興味深いツールはNetwork > Network Intelligenceページから実行できるNetwork Connectivity Testです。次の例では、米国カリフォルニア州のブランチゲートウェイに接続されているホストと、スペインのマドリード州のブランチゲートウェイに接続されているホストの間の通信パス全体が明確に表示されています。
