Aruba AOS 6からAOS 10への移行の計画
このセクションでは、AOS 6からAOS 10への移行を計画しているネットワークアーキテクチャまたは運用チームに関する重要な考慮事項について説明します。
移行の手順を正確に計画するには、ネットワークの各層を次に示すガイドラインと照らし合わせて確認することが重要です。
ここに記載されている情報は、網羅的な参考情報ではありません。これは、実際のプロジェクトを計画するための出発点として機能します。経験豊富なネットワーク専門家が関与する必要があります。詳細については、ArubaまたはArubaのチャネルパートナーにお問い合わせください。
目次
AOS 6キャンパスネットワークアーキテクチャのレビュー
Aruba OS 6プラットフォームは、幅広いトポロジと構成オプションをお客様に提供しました。スタンドアロンのConductorコントローラ、AP、およびデータトラフィックを同じVLANおよびサブネットにインストールするだけで簡単に導入できます。または、コントローラまたはネットワーク内の他の場所で実行されているNATおよびDHCPサービスを使用して、完全に冗長なコンダクタメンバトポロジを含めることができます。
AOS 6キャンパスLAN設計
次に示すコラプストコア（崩壊したコア）トポロジは、一般的なAOS 6キャンパス展開を表しています。アンダーレイとして冗長リンクで接続されたレイヤ2およびレイヤ3スイッチが含まれ、コンダクタ – メンバ配置をサポートします。外部DHCP、DNS、監視、および認証サーバーは、単一の”Servers on Prem”アイコンで表されます。
AOS 6キャンパスデータパス
AOS 6コントローラベースの展開では、Wi-FiクライアントトラフィックはAPとコントローラ間のGREトンネルにカプセル化されます。エンドポイントからのトラフィックは、無線インターフェイスを介してAPに到達すると、カプセル化され、有線LANを介してモビリティコントローラに転送されます。次に、コントローラはトラフィックを検査し、ユーザロールを割り当て、タグを付け、トランキングされたユーザVLANにローカルインターフェイスで転送します。次の図は、このプロセスを示しています。
ゲストネットワークは、コントローラを介してゲスト電話とインターネット間の信頼できないトラフィックを伝送します。音声ネットワークは、ラップトップ上のソフトクライアントからコントローラに優先順位付けされたトラフィックを伝送します。エンタープライズネットワークは、ノートパソコンやプリンタなどの企業資産間で信頼できる企業トラフィックを伝送します。GREトンネルは、アクセスポイント(AP)とコントローラ間のクライアントデータトラフィックを転送します。このオーバーレイ機能は、IPモビリティ（L3ローミング）を実現し、DMZ内のローカルモビリティコントローラとゲストアンカーのモビリティコントローラ間でゲストトラフィックを転送するためにも使用できます。
ネットワークのコンポーネント間では、次の2つの管理プロトコルが使用されます。
- PAPI
- APとコントローラ間のUDPポート8211を介したARM、WIDS、および設定のダウンロードには、Process Application Programming Interfaceが使用されます。
- AMON
- Advanced Monitoringには、スペクトラム、無線統計、チャネル使用率などの詳細な監視および診断情報が含まれます。従来のAirWave SNMPポーリングに加えて、モビリティコントローラからAirWaveに送信されます。
AOS 6 有線LANの一般的なベストプラクティス
AOS 6のベストプラクティスをレビューすることで、アーキテクトやデリバリーエンジニアがAOS 6ネットワーク上の既存の構成と導入されたサービスをより深く理解できるようになります。
完全にカプセル化されたワイヤレストラフィックをサポートするには、有線LANでジャンボフレームのサポートを有効にする必要があります。これはAOS 10のベストプラクティスでもあります。可能な場合は、パケットのフラグメントを避けてください。
トンネルモードWLANだけをサポートするAPは、ネイティブVLANがWLAN管理VLANに設定されたアクセスモードスイッチポートに接続されています。APがブリッジモードで動作するように配備されている場合、それらのスイッチポートは、APの管理とユーザアクセスのために複数のVLANでトランクされる可能性があります。場合によっては、不正なAPの検出と有線ポートの検出を可能にするために、APポートがトランクされることがあります。
AOS 10トンネルモードアーキテクチャの確認
お客様がAOS 6のキャンパスモードからAOS 10のトンネルモードへの移行計画を立てる際には、移行前に、必要な変更（存在する場合）をサポートアーキテクチャに決定するための違いを理解することが重要です。
キャンパスの管理と監視
多くのお客様にとって、AOS 6から10への移行で最も顕著な変化は管理面です。AOS 6の展開では、通常、構成管理と監視のためにAirWaveサーバとの間でSNMPおよびAMONを許可する必要がありますが、ほとんどのAOS 10の展開では、Aruba Centralと各管理対象デバイスの管理インターフェイス間のTCPポート443上のトラフィックのみが必要です。
管理LANに存在するデバイスからのインターネットアクセスを拒否するように構成されたAOS 6キャンパスでは、Centralとの接続を許可するためにセキュリティポリシーを更新する必要があります。現在、キャンパスAPがインターネットに接続できない場合は、AOS 10に移行する前にCentralにアクセスする必要があります。
詳細については、Aruba Central User GuideのOpening Firewall Ports for Device Communicationセクションを参照してください。
SSIDモードの考慮事項
AOS 10環境のSSIDは、3つの異なる転送モードに対して設定できます。
*トンネルモード *ブリッジモード *混合モード。
クライアントがトンネルモードまたは混合モードでゲートウェイにトンネリングされる場合、APの有線インターフェイスを介してクライアントデバイスの無線MACアドレスをAPが学習しないようにする必要があります。この場合、既存のキャンパスVLANをワイヤレスデータトラフィックに再利用する際には、慎重に検討する必要があります。
トンネルモードSSID
トンネルモードSSIDを排他的に使用する展開では、キャンパスのAP管理VLANであるVLAN IDを使用して、アクセスモードでAPスイッチポートを設定します。このVLANは、トンネルしている無線クライアントのデータトラフィックに再利用しないでください。クライアントトラフィックがコントローラでユーザデータVLANにスイッチングされる場合は、AP管理に使用されるVLANとは異なっていることを確認します。
トンネルおよびブリッジまたは混合モードのSSID
ブリッジモードまたは混合モードを使用する場合は、APスイッチポートをトランクモードで設定し、これらのスイッチポートでブリッジされたワイヤレストラフィック用のデータVLANを配布する必要があります。トンネリングされたワイヤレストラフィックに使用されるデータVLANは、ブリッジモードまたは混合モードのSSIDを提供するAPに使用されるスイッチポートでプルーニングする必要があります。ブリッジクライアントとトンネルクライアントは、同じVLANを共有できません。
AOS 6の一部の展開では、APスイッチポートに拡張されたトンネルSSIDのデータVLANが使用されています。AOS 10でのトンネルモードSSIDの準備の一環として、これらのVLANをAPスイッチポートからプルーニングします。
次の意思決定表は、前述のVLAN要件に対応する1つの方法を示しています。
機能、機能、およびサービスに関する考慮事項
次の表は、AOS 6とAOS 10の重要な機能、要件、および機能の違いを示しています。
認証、承認、およびアカウンティング
AOS 10への移行後も802.1X WLANクライアント認証が中断されないようにするには、すべてのRADIUSサーバーのNAD/RADIUSクライアントIP一覧で更新が必要になる場合があります。内部認証サーバーまたはEAP – オフロードを使用する場合は、AOS 10への移行時の変更に対応する準備を行います。
| サービス/機能 | AOS 6キャンパスモード | AOS 10 |
|---|---|---|
| NAD IP/RADIUS Authenticator | ClearPassアクセストラッカーのRADIUS要求では、モビリティコントローラーがソースIPとして表示されます。 | 混合モード:発信元IPはゲートウェイの管理アドレスです。 ブリッジモード:発信元IPは個々のAPの管理アドレスです。 |
| 内部認証サーバー | Mobility Controllerで、小規模またはテストの展開に使用できる内部データベースとして利用できます。 | ローカルユーザー認証サービスはサポートされていません。 |
| AAA FastConnect （EAPオフロード） | クライアントとRADIUSサーバー間のリレーではなく、認証サーバーとして機能するようにモビリティコントローラーで有効にできます。 | サポートされていません |
モビリティコントローラ/ゲートウェイの設定
既存のAOS 6モビリティコントローラをアップグレードする場合でも、新しいAOS 10ゲートウェイを導入する場合でも、移行後にコントローラの機能の一部がAruba CentralまたはAPに移行されることを理解しておくことが重要です。この変更を理解することは、移行計画と移行されたネットワークのアップグレード後のサポートの両方に役立ちます。
| サービス/機能 | AOS 6キャンパスモード | AOS 10 |
|---|---|---|
| 高可用性(HA) | LMS/Backup LMS、Active-Active、およびAP Fast Failover | 使用できるモードは、[自動グループ]、[自動サイト]、および[手動]です。 |
| 無線送信電力、チャネル幅、およびDFSチャネル | ARMプロファイル、Dot11a/g無線プロファイル、およびRegulatory Domainプロファイル | すべてのラジオ送信、チャネル幅、およびDFSチャネルの決定は、AirMatchによって処理され、Aruba Centralによって管理されます。 |
| ClientMatchのバンド・ステアリング、スティッキー、ロード・バランシング | ARMプロファイル内で設定可能 | Aruba Central WLAN Control and Servicesの一部です。設定を調整できません。 |
| コンダクタコントローラ | コンダクタ – メンバ展開でのメンバコントローラの構成に使用されます | すべてのゲートウェイ構成はAruba Centralで実行されます。 |
| APオーバーライド | サポート | AP Overrideは、管理対象ゲートウェイとスイッチで同様の構成を可能にするデバイスレベルの上書きに置き換えられました。 |
アクセスポイント
コントローラやゲートウェイのサービスの移行と同様に、次のAP機能を理解しておくと、移行後のネットワークを”最初から”サポートするのに役立ちます。
| サービス/機能 | AOS 6キャンパスモード | AOS 10 |
|---|---|---|
| 有線側へのAPトラフィック | APとコントローラ間の通信のみ。特定のポートについては、上記の”ファイアウォールポートの設定“のセクションを参照してください。 | トンネルモードAPでは、AP間のEast/Westのトラフィックだけでなく、Aruba CentralへのHTTPS (TCP 443)が必要です。 |
| ダイナミックAPディスカバリ/ADP | AP-コントローラの検出順序: 1.DHCPオプション43および60 2.グループ239.0.82.11へのAPマルチキャストADP 3.L2/L3受信者へのAPブロードキャストADP 4.APがAruba-masterのDNSクエリを送信する | 1.TCP 443の構成については、Centralに問い合わせて構成してください。 APがお客様のAruba Centralデータベースに存在せず、AOS 10をまだ実行しておらず、ライセンスも取得していない場合は、前の列に示したAOS 6検出方式に従います。 |
| キャンパスAPの管理VLAN | VLANまたはサブネットの制限なし | VLANがトンネルモードインフラストラクチャによってWi-Fiクライアントに割り当てられている場合、そのVLANはトンネルモードAPのトランクアップリンクには存在できません（たとえば、SSID “CorpWiFi”でユーザがVLAN 10に割り当てられている場合、APが”CorpWiFi”クライアントのMACアドレスを学習しないように、APに接続されたスイッチポートでVLAN 1をネイティブまたはタグとして使用できません）。これはデザイン上の制約です。 |
| VLAN 1 | VLANまたはサブネットの制限なし | デフォルトでは、VLAN 1はトンネルSSIDクライアントには使用できません。 APアップリンクVLANは、デフォルトではVLAN 1です。 |
| 802.11フレームの暗号化と暗号化解除 | トンネルSSIDモードではコントローラで実行されます。 一般的には使用されませんが、復号化トンネルまたはブリッジSSIDモードではAPで実行されます。 | トンネル、ブリッジ、または混合モードのSSIDに関係なく、常にAPで実行されます。 |
| APのIPアドレッシング | 静的またはDHCP | APがAruba Centralに動的に接続するには、DHCPが必要です。 |
AOS 6キャンパスからAOS 10ブリッジモード
ほとんどのAOS 6のお客様は、同じトラフィックフローを維持するためにAOS 10ゲートウェイクラスタトポロジに移行します。または、ブリッジモードの設計に移行することでメリットを得ることもできます。
コントローラベースからブリッジモードに移行する場合、トラフィックを一元化されたゲートウェイクラスタにトンネリングする必要はありません。また、ブリッジモードのインフラストラクチャではジャンボフレームのサポートは必要ありませんが、APとゲートウェイ間のスイッチではジャンボフレームを有効にしておくことをお勧めします。
IAPと同様に、ブリッジモードAPの管理IPアドレスは同じレイヤ2で接続している必要があります。また、ワイヤレスユーザVLANは、単一のローミングドメインを提供するために同じレイヤ2で接続している必要があります。
認証要件
AOS 10ブリッジモード展開では、認証要求の送信元IPは常にクライアントが関連付けられているAPです。
すべてのRADIUS要求は、アクセスポイントから発信されます。AOS 10では、IAP VCのクラスタごとに128 APという制限の4倍のスケーリング機能を満たすために、RADIUSサーバにはAP管理サブネットまたは個別のAP IPアドレスがRADIUSクライアントまたはNADとして設定されている必要があります。 AOS 10ではVCがないため、AOS 10のブリッジモードではDynamic Radio Proxy(DRP)はオプションではなくなりました。
AOS 6トンネルおよびAOS 10ブリッジモードデータパス
AOS 6からAOS 10に移行するときの最も重要な変更の1つは、管理プレーンです。AOS 10は、Aruba Centralが管理するクラウドネイティブのオペレーティングシステムです。Aruba AirWaveはAOS 10の展開では利用できません。
次の図は、AOS 6キャンパスからAOS 10ブリッジモードに移行する際のデータパス変更に関する重要な考慮事項を示しています。AirWaveサーバが削除されたため、モビリティコントローラとAirWave間のAMONとSNMPは使用されなくなりました。
ブリッジモードの展開ではゲートウェイが必要ないため、クライアントトラフィックはカプセル化されず、AOS 6コントローラに送信されます。AOS 10では、クライアントトラフィックは各APでデータVLAN上にローカルでスイッチされます。APとコントローラ間のGREおよびPAPIトラフィックは不要になりましたが、AP間では依然としてPAPIが使用されています。
HTTPS用のポート443/tcpは、APとAruba Centralの間に必要です。APからAPへのブロードキャストおよびセキュアPAPIが許可されている必要があります。QoSポリシーを使用して、高密度のブリッジモード展開でAP管理トラフィックに優先順位を付けます。
ブリッジモードのスケーリング
- AP管理の場合、サポートされている最大サブネットサイズは現在/20です。 *ワイヤレスユーザVLANでは、/20以下のサブネットを使用する必要があります。VLAN内に多数のホストが必要な場合は、ゲートウェイクラスタとトンネルモードのSSIDを展開します。 *ブリッジモードのサポートの現在の最大値は、500台のAPと5000台のクライアントです。
| 注: |
|---|
| 上記のスケール値は、ドキュメント公開時にテストおよびサポートされている最大値です。これらは厳しい制限ではなく、増加する可能性があります。 |
混合モード
混合モードSSIDを使用すると、APはゲートウェイクラスタにトラフィックをトンネリングしたり、ローカルでブリッジしたりできます。この機能をサポートするには、ブリッジモードのみを設定する場合と同じスイッチング、スケーリング、およびデータパス要件をネットワークが満たしている必要があります。主な要件を次に示します。
- トンネルモードSSIDデータVLANは、ゲートウェイクラスタでのみ構成する必要があります。
- トンネルモードSSIDデータVLANは、APスイッチポートでプルーニングする必要があります。
- ブリッジモードのSSIDデータVLANは、APスイッチポートで許可されている必要があります。
- APスイッチポートはトランクとして設定する必要があります。
- ベストプラクティスは、APスイッチポートでAP管理VLANをネイティブ（タグなし）として設定することです。
- 802.1Xを使用する場合:
- トンネルモードSSIDと混合モードSSIDでは、ゲートウェイをRADIUSクライアント(NAD)として登録する必要があります。
- ブリッジモードのSSIDでは、すべてのAPをRADIUSクライアント(NAD)として登録する必要があります。