リファレンス・アーキテクチャ
Aruba SD-WANとZIAの統合により、さまざまなシナリオが可能になります。このセクションでは、Arubaによって検証されている最も一般的なものについて説明します。上記で述べたように、IPSecとGREの両方が統合をサポートしています。IPSec/GREでは、さまざまなシナリオがサポートされています。
目次
IPsecベースの統合
ヘッドエンドゲートウェイ(VPNC) から ZIA への接続
ブランチトラフィックは、多くの場合、ローカルハブで集約され、インターネットまたは他の企業リソースにルーティングされます。このケースは、プライベートWANネットワークを使用する場合に特に一般的です。このようなシナリオでは、Aruba VPNCは最寄りのZIA Service Edgeへのトンネルを設定して、ブランチトラフィックに追加のセキュリティ検証を行うことができます。
ZIAに接続するブランチゲートウェイまたはマイクロブランチ
Aruba Branch Gateways（BGW）は、最大4つのアップリンクインターフェイスから1つ（または理想的には2つ）のZIA Public Service EdgesノードにIPSecトンネルを確立して、パブリッククラウドサービスまたはインターネットに向かうユーザトラフィックをセキュリティで保護し、高可用性を実現します。このソリューションでは、各BGWの宛先ZIA Public Service Edgeを手動で設定できます。また、SD-WAN Orchestratorが各ブランチの場所に最も近い2つのノードを学習し、それらへのトンネルを自動的に確立する可能性もあります。
マイクロブランチでも同等のソリューションが利用できますが、この場合はオーケストトンネルのサポートと、アクティブアップリンクインターフェイスの数が少ない場合のみです。
ブランチゲートウェイの冗長性
ブランチ内で冗長性が必要な場合、ブランチゲートウェイはアップリンクインターフェイスをHAペアと共有できます。これは、LANを介して仮想アップリンクを確立してそのようなインターフェイスを共有することによって行われます。その結果、次の図に示すように、各ブランチゲートウェイには”仮想”アップリンクに加えて”物理”アップリンクが存在することになります。
このようなシナリオでは、各ブランチゲートウェイは、すべてのアップリンクインターフェイス（物理および仮想）を介してZIAサービスへのトンネルを確立します。両方のBGWは、ZIAで単一の”ロケーション”として定義され、同じVPN認証情報を使用するか、ゲートウェイごとに異なる認証情報を持つ2つの”ロケーション”として定義できます。両方の動作モードがサポートされています。
ZIAサービスエッジの冗長性
Branch to ZIAの参照図面に示されているように、ロードバランシングとダイナミックパス選択メカニズムはWAN回線の冗長性を処理します。ただし、万が一ZIA公共サービスエッジが利用できなくなる場合には、それだけでは不十分な場合があります。この問題に対処するため、SDブランチまたはZIAとのマイクロブランチ統合では、ZIAノードに送信されるL7プローブとDead Peer Detection(DPD)プロトコルを使用して、トラフィックがブラックホールされないようにします。
さらに、オーケストレーションが有効になると、Aruba Centralは常にZIAサービスエッジの可用性を監視し、各ゲートウェイまたはマイクロブランチを常に最も近いノードに接続します。
| 注: |
|---|
| 冗長ZIAノードへのトンネルは、上に表示されているすべてのトポロジ（ZIAへのブランチゲートウェイ、ZIAへのマイクロブランチ、およびZIAへのヘッドエンドゲートウェイ）でサポートされています。 |
GREベースの統合
前述のように、ゲートウェイは2つのZIA Public Service EdgesへのGREトンネルを確立します（理想的には、冗長化を目的としています）。GREトンネルは、フェールオーバーを自動的に処理するために、GREトンネルグループにグループ化されます。
GREトンネルグループが確立されると、ゲートウェイはアクティブなトンネルを介してトラフィックを送信します。フェールオーバーを提供するには、GREトンネルキープアライブが必要です。GREトンネルがグループ化されると、アクティブなトンネルがダウンした場合、トラフィックはグループ内の次のトンネルを通ってシームレスに転送されます。Aruba Gatewaysは、トンネルグループ内で最大4つのGREトンネルをサポートし、同時に1つのトンネルだけがアクティブになります。
Aruba ブランチゲートウェイからZIAへの接続
GREトンネルを使用してZIAサービスと統合する場合、最大2つのアップリンクインターフェイスから2つのZIAパブリックサービスエッジにトンネルが作成されます。これにより、トンネルグループ内に合計4つのGREトンネルが追加されます。トンネルグループが作成されると、トラフィックはPBRポリシーを使用して選択的にトンネルグループにリダイレクトされます。
ZIAへのヘッドエンドゲートウェイの数
ブランチゲートウェイがGREトンネルを使用してZIAサービスと統合できるのと同じ意味で、VPNCもGREトンネルを使用できます。ブランチトラフィックは、インターネットに送信される前にローカルハブで集約されることが多く、このユースケースは、プライベートWAN回線が使用されている場合に特に関連します。
ゲートウェイの冗長性
特定の場所（ブランチまたはハブ）で冗長性を提供するには、すべてのゲートウェイからトンネルグループを作成する必要があります。推奨されるベストプラクティスとして、アップストリームトラフィックは一度に1つのゲートウェイからのみ到達する必要があります。
| 注: |
|---|
| アップリンク共有では、両方のBGWが同じパブリックIPアドレスを共有する必要がありますが、これはGREトンネルでサポートされるものではありません。したがって、GREトンネルを使用する場合、各ゲートウェイは、すべてのアップリンクで一意のパブリックルーティング可能なIPアドレスを使用して、すべてのインターネットに接続するアップリンクに接続する必要があります。 |