Aruba Instant APからAOS 10への移行
このセクションでは、Instant AP(IAP)からAOS 10への移行を計画しているネットワークアーキテクチャまたは運用チームに関する重要な考慮事項について説明します。
移行ステップを正確に計画するには、ネットワークの各レイヤを次のガイドラインに照らして確認することが重要です。
ここに記載されている情報は、網羅的な参考情報ではありません。これは、実際のプロジェクトを計画するための出発点として機能します。経験豊富なネットワーク専門家が関与する必要があります。詳細については、ArubaまたはArubaのチャネルパートナーにお問い合わせください。
目次
IAPネットワークアーキテクチャのレビュー
Instant APプラットフォームは、モビリティコントローラを必要とせずにエンタープライズグレードの機能を提供していました。同じサブネット内のAPはIAPクラスタを形成し、コンダクタとして選択されたメンバの1つを通じて設定可能です。このコンダクタはVirtual Controller(VC)サービスを実行し、Webユーザーインターフェイスによって直接管理および監視することも、Aruba CentralまたはAirWaveを介してリモートで管理および監視することもできます。
IAPキャンパスのLAN設計
次に示すコラプスト（崩壊した）コア集約トポロジは、一般的なAruba IAPキャンパスの展開を表しています。アンダーレイ内の冗長リンクによって接続されたレイヤ2およびレイヤ3スイッチが含まれ、IAPクラスタの配置をサポートします。DHCP、DNS、監視、および認証サーバーは、単一の”Servers on Prem”アイコンで表されます。
IAP – 物理トポロジ
IAPキャンパス・データパス
IAPクラスタでは、Wi-Fiクライアントデータは集中型コントローラにトンネリングされるのではなく、APでローカルにブリッジされます。エンドポイントからのトラフィックが無線インターフェイスを介してAPに到達すると、そのトラフィックは検査され、ユーザロールが割り当てられ、タグが付けられ、APのローカルインターフェイスでトランクされたユーザVLANに転送されます。これらの違いを説明するために、次の2-APの例のクラスタでは、AP間の管理/制御トラフィックとともに、信頼できるクライアントと信頼できないクライアントからのデータトラフィックを強調表示しています。
IAP – データパス
上記の例を続けると、企業のラップトップからの信頼できる企業ネットワークトラフィックは、無線インターフェイスを介してAPに到達します。その後、検査が行われ、ユーザーの役割が割り当てられ、VLAN IDのタグが付けられ、ローカルLAN (3)に配置されて宛先アドレスに送信されます。一方、このWLANはVC管理として設定されているため、ゲストネットワークトラフィックは異なる方法で処理されます。この方法で設定すると、ゲスト電話からのトラフィックはワイヤレスインターフェイスを介してAPに到達します。VCおよびNATとして機能するAPにメンバIAPから転送されてから、ローカルLANでその宛先に配置されます。
ネットワーク内のコンポーネント間では、次の2つの管理プロトコルが使用されます。
- PAPI
- ARM、構成のダウンロード、およびWIDSに使用され、IAP間で送信されます。
- HTTP/HTTPS
- IAPからAirWaveまたはCentralに監視および管理のために送信されます。
IAP有線LANの一般的なベストプラクティス
IAPのベストプラクティスをレビューすることで、アーキテクトやデリバリーエンジニアがIAPネットワーク上の既存の構成と導入されたサービスをより良く理解できるようになります。
IAPが接続するスイッチのポートは、トランクポート（またはタグ付きインターフェイス）として設定され、AP管理VLANはネイティブ（またはタグなし）に設定されます。これらのトランクポートは、IAPクラスタ内のWLANをサポートするために必要なVLANを許可するように設定する必要があります。同じクラスタに属する予定のすべてのIAPは、同じネイティブ（またはタグ付けされていない）VLAN IDを持つトランクポートに接続する必要があります。
AOS 10ブリッジモードアーキテクチャの確認
お客様がIAPからAOS 10ブリッジモードソリューションへの移行計画を立てる際には、導入、サポート、およびメンテナンスがどのように変化するかを理解することが重要です。このセクションの表は、IAPとAOS 10間の主要な機能、要件、および機能の相違点を示す便利なリファレンスとして役立ちます。
ブリッジモードの管理と監視
IAP環境では、管理と監視は3つの方法で実行できます。Virtual ControllerのWeb UIを介してローカルで、AirWaveを使用した中央管理、またはAruba Centralを使用した中央管理で実行します。
AOS 10へのアップグレード後、InstantOS 6.x/8.xのVCまたはAirWaveを介して実行されるすべての監視および構成管理は、Aruba Centralに移行されます。AOS 10管理対象デバイスとAruba Central間のほとんどの通信は、HTTPS(TCP 443)を介して行われます。中央管理されたデバイスがネットワークファイアウォールを介して通信できるようにするには、こちらにあるAruba Central Online Helpサイトの”Opening Firewall Ports for Device Communication”セクションに記載されているドメイン名とポートを許可します。
機能、機能、およびサービスに関する考慮事項
次の表は、IAPとAOS 10間の重要な機能、要件、および機能の違いについての便利なリファレンスとして役立ちます。
認証、承認、およびアカウンティング
ClearPass ServiceおよびNAD/RADIUSクライアント（または同等のサードパーティ認証サーバ）の設定によっては、移行後に802.1X WLANユーザ認証が中断されないようにするために、いくつかの更新が必要になる場合があります。
AOS 10ブリッジモード展開では、認証ソースは常にクライアントが関連付けられているAPです。すべてのRADIUS要求はアクセスポイントから発信され、RADIUSサーバにはAP管理サブネットまたは個別のAP IPアドレスがNADとして設定されている必要があります。詳細については、このページの下部にある認証に関する考慮事項と機能のセクションを参照してください。
| サービス/機能 | IAP | AOS10 |
|---|---|---|
| NAS IP/RADIUS認証 | RADIUSソースIPは、Dynamic Radius Proxy (DRP)が有効な場合、個別のIAPまたはVirtual Controller (VC) IPです。 | 混在モード:発信元IPはゲートウェイの管理アドレスです。 ブリッジモード:発信元IPは個々のAPの管理アドレスです。 |
| 内部認証サーバー | 小規模またはテストの展開に使用できる内部データベースとしてVCで利用可能です。 | ローカルユーザー認証サービスはサポートされていません。 |
| AAA FastConnect （EAPオフロード） | APで認可プロトコルを終了することにより、外部RADIUSサーバへのトラフィックを減らすことが可能です。 | サポートされていません |
仮想コントローラ(VC)の構成
IAPからAOS 10にアップグレードする際は、古いIAP仮想コントローラの一部の機能がCentralに移行するか、個々のAPで処理されることを理解しておくことが重要です。これらの変更を理解することは、移行計画および移行されたネットワークのアップグレード後のサポートに役立ちます。
HA、無線管理、ClientMatchなどのサービスは、次の表に示すように異なる方法で処理されます。
| サービス/機能 | IAP | AOS 10ブリッジモード |
|---|---|---|
| 高可用性(HA) | VCとコンダクタAPの選択がクラスタ内のAP間で行われる | Central Servicesは、VC、Conductor AP、およびクラスター機能をコンテナー化されたサービスに移動することで、コントローラーレスAPの回復性を向上させます。 |
| 無線送信電力、チャネル幅、およびDFSチャネル | VCのRFメニュー内で設定可能 | ラジオの送信、チャネル幅、およびDFSチャネルに関するすべての決定はAirMatchが処理し、Aruba Centralが管理します |
| ClientMatchのバンド・ステアリング、スティッキー、ロード・バランシング | VCのRFメニュー内で設定可能 | Aruba Central WLAN Control and Servicesの一部です。設定を調整できません。 |
| コンダクタAP/仮想コントローラ(VC) | クラスタ内のIAPの構成に使用 | すべてのAP設定はAruba Centralで実行されます |
| ユーザーロール | サポート | サポート |
| L3モビリティ | 限られた規模でサポート | ローミングドメインのサイズが改善され、クラスタ間でのL3ローミングが不要になりました。 |
アクセスポイント
上記のVC管理の変更と同様に、APの機能とサービスの変更を理解することは、新しく移行されたAOS 10ネットワークの”最初の”サポートに役立ちます。次の表は、有線アップリンクのAPトラフィックの動作、AP検出、およびVLANの考慮事項の詳細を示しています。
| サービス/機能 | IAP | AOS 10ブリッジモード |
|---|---|---|
| 有線アップリンクのAPトラフィック | データトラフィックは各APでブリッジされます。APは、CentralまたはAirWaveへのHTTPS(TCP 443)が必要です。 | データトラフィックは各APでブリッジされ、APはAruba CentralへのHTTPS (TCP 443)が必要です。 |
| ダイナミックAPディスカバリ/ADP | Unified AP Discovery: 1.DHCPオプション43および60 2.グループ239.0.82.11へのAPマルチキャストADP 3.L2/L3受信者へのAPブロードキャストADP 4.APがAruba-masterのDNSクエリを送信する 5.APはIAP VCディスカバリを開始します。 6.APがAirWave discoveryを開始します。 7.APはAruba Activateに接続します。 8.”SetMeUp:xx:xx:xx” SSID を出力します。「X」はAP MACアドレスの最後の3オクテットを表します。 | 1.TCP 443の構成については、Centralのマニュアルを確認して構成してください。 APがお客様のAruba Centralデータベースに存在せず、ライセンスされていない場合は、前の列に示したUnified AP Discovery方式に従います。 |
| キャンパスAP管理VLAN | VLANまたはサブネットの制限なし | トンネルモードインフラストラクチャによってWi-FiクライアントにVLANが割り当てられている場合、そのVLANはトンネルモードAPのトランクアップリンクには存在できません（たとえば、”CorpWiFi”というSSIDでユーザがVLAN 10に配置されている場合、APが”CorpWiFi”クライアントのMACアドレスを学習しないように、すべてのAPのアップリンクスイッチポートでVLAN 1をプルーニングする必要があります）。これはデザイン上の制約です。 |
| VLAN 1 | VLANまたはサブネットの制限なし | VLANまたはサブネットの制限なし |
| 802.11フレームの暗号化と暗号化解除 | トンネルSSIDモードのコントローラで発生します。 一般的には使用されませんが、APに対して復号化トンネルまたはブリッジSSIDモードで実行されます。 | トンネル、ブリッジ、または混合モードのSSIDに関係なく、常にAPで実行 |
IAPおよびAOS 10ブリッジモードデータパス
これまでAirWaveを介して中央で、またはVCを介してローカルでIAP導入を管理してきたお客様にとって、AOS 10への移行時に最も重要な変更は管理プレーンです。AOS 10は、Aruba Centralが管理するクラウドネイティブのオペレーティングシステムです。
次の比較では、Airwaveで管理されたIAPクラスターからAOS 10ブリッジモードにアップグレードする前後の展開例を示します。
アンダーレイの設定は変わりませんが、上記のIAPとAOS 10ブリッジモードの例には、いくつかの重要なデータパスの違いがあります。
Aruba Centralへの接続が必要です。オンプレミスのAirWaveサーバーの機能は、AOS 10のAruba Centralクラウドサービスに置き換えられました。 APとCentralの間のファイアウォールは、Aruba Central Helpページこちらに従って管理トラフィックを許可するように構成する必要があります
VCはAOS 10では使用されないため、NATまたはDHCP機能はAPでは提供されなくなりました。上の例では、最初は左側のVC管理用に設定されていたゲストネットワークが、現在は外部サーバからDHCPを受信し、上流のファイアウォールまたはルータからNATサービスを受信します。VC管理として設定されたWLANは、すべて同様に設定する必要があります。
最後に、PAPIトラフィックがAP間を通過し続けることに注意してください。
ブリッジモードAPおよびクライアントスケーリング
AOS 10は、IAPクラスターと比較して、単一のローミングドメイン内のAPとクライアントの数の制限を取り除きます。現在、サポートされているAOS 10ブリッジモードスケーリングの推奨事項は、最大500のAPと5000のクライアントです。クラスタ内の128個のIAPの推奨最大値のほぼ4倍を使用すると、IAPアーキテクチャのいくつかの制限が解決されます。
– フロアごとに1つのクラスタを持つマルチフロアIAP導入は統合でき、1つの建物で複数の個別クラスタを管理する必要がなくなります。 – 複数の建物を持つキャンパスを統合して、上記の複数階の統合と同じメリットを得ることができます。また、複数のIAPクラスタが連続したRFカバレッジを提供する場合、L3モビリティは必要ありません。
| 注: |
|---|
| 上記のスケール値は、ドキュメント公開時にテストおよびサポートされている最大値です。これらは厳しい制限ではなく、変更される可能性があります。 |
ブリッジモードインフラストラクチャの考慮事項
サブネットのサイズ設定 – 現在、AP管理のテストおよびサポートされている最大値は/20です。同様に、ワイヤレスユーザVLANでは/20以下のサブネットを使用する必要があります。VLAN内のホスト数を増やす必要がある場合は、ArubaゲートウェイクラスタとトンネルモードWLANを展開する必要があります。
L3モビリティ – レイヤ2ローミングドメインの拡張により、AOS 10はレイヤ3モビリティ機能セットを排除します。単一のローミングドメインを提供するには、VLANがレイヤ2の隣接関係を維持する必要があります。ローミングドメインをレイヤ3境界を越えて維持する必要がある場合は、トンネルモードを使用するArubaゲートウェイクラスタを考慮する必要があります。
PAPI - AOSの以前のリリースでは、PAPIプロトコルはオプションでセキュアであり、IAPの場合はAPとVCの間で発生していました。AOS 10は、特定のローミングドメイン内のすべてのAP間でセキュアPAPI(UDP 8211)を許可することを要求することで、この動作を変更します。管理VLANにファイアウォールまたはACLがある場合は、ポリシーを適切に変更します。
NATおよびDHCPサーバ - AOS 10ブリッジモードAPはNATまたはDHCPサービスを提供しません。現在のIAPの展開で、WLANに”Virtual Controller Managed”オプションが設定されている場合、サービスは展開前にL3スイッチ、ファイアウォール、ルータ、またはアルバゲートウェイによってアップストリームで提供される必要があります。
認証に関する考慮事項と機能
暗号化キー - AOS 10では、暗号化キーの配布はCentralで管理されます。以前のソフトウェアでは、キーの配布はVCまたはコントローラによって処理されていました。Aruba Centralは、高速ローミングのためにキーを近隣のAPに配布するようになりました。
レイテンシ – グローバル展開では、応答性の高いパフォーマンスを確保するために、Centralサービスへのラウンドトリップ時間のレイテンシを考慮する必要があります。ターゲットのレーテンシーは200ミリ秒未満である必要があります。
認証要求 - AOS 10ブリッジモードでは、802.1X用に設定されたSSIDで、認証要求は常にクライアントが関連付けられているAPから送信されます。250台のAPを持つブリッジモードサイトがある場合は、RADIUSサーバがすべてのAPからの認証要求を受信するように更新する必要があります。Aruba ClearPassでは、これらは個々のクライアントIPアドレスまたは範囲として入力できます。