Aruba AOS 8からAOS 10への移行の計画

このセクションでは、AOS 8からAOS 10への移行を計画しているネットワークアーキテクチャまたは運用チームに関する重要な考慮事項について説明します。

ネットワークの各層を次に示すガイドラインと照らし合わせて見直し、移行のステップを正確に計画します。

ここに記載されている情報は、完全な参考情報ではありません。これは、実際のプロジェクトを計画するための出発点として機能します。経験豊富なネットワーク専門家が関与する必要があります。詳細については、ArubaまたはArubaのチャネルパートナーにお問い合わせください。

目次

• Aruba AOS 8からAOS 10への移行の計画
  • AOS 8キャンパスネットワークアーキテクチャのレビュー
    • AOS 8キャンパスLAN設計
    • AOS 8キャンパスデータパス
    • AOS 8 有線LANの一般的なベストプラクティス
  • AOS 10トンネルモードアーキテクチャの確認
    • データパスの比較
    • キャンパスの管理と監視
    • SSIDモードの考慮事項
      • トンネルモードSSID
      • トンネルとブリッジまたは混合モードのSSID
    • 機能、機能、およびサービスに関する考慮事項
      • 認証、承認、およびアカウンティング
      • モビリティコントローラ/ゲートウェイの設定
      • アクセスポイント
  • AOS 8キャンパスからAOS 10ブリッジモード
    • 認証要件
    • AOS 8トンネルおよびAOS 10ブリッジモードデータパス
    • ブリッジモードのスケーリング
  • 混合モード

AOS 8キャンパスネットワークアーキテクチャのレビュー

2016年に導入されたArubaOS 8プラットフォームは、AirMatch、レイヤ2冗長コントローラクラスタリング（ヒットレスフェイルオーバ）、モビリティコンダクタ階層などの新しいサービスを提供しました。これにより、RF管理、高可用性、および構成管理に対するより包括的なアプローチがお客様に提供されました。正常なアップグレードを計画する際には、AOS 8の主要な用語、トポロジ、および一般的な構成について簡単に説明します。

AOS 8キャンパスLAN設計

次にコラプスト（崩壊した）コアトポロジは、一般的なAOS 8キャンパス展開を表しています。Mobility Conductorの階層展開をサポートするためのアンダーレイとして、冗長リンクで接続されたレイヤ2およびレイヤ3スイッチが含まれています。外部DHCP、DNS、監視、および認証サーバーは、単一の”Servers on Prem”アイコンで表されます。

AOS 8キャンパスデータパス

AOS 8コントローラベースの展開では、Wi-FiクライアントトラフィックはAPとコントローラ間のGREトンネルにカプセル化されます。エンドポイントからのトラフィックは、無線インターフェイスを介してAPに到達すると、カプセル化され、有線LANを介してモビリティコントローラに転送されます。次に、コントローラはトラフィックを検査し、ユーザロールを割り当て、タグを付け、トランキングされたユーザVLANにローカルインターフェイスで転送します。次の図は、このプロセスを示しています。

ゲストネットワークは、コントローラを介してゲスト電話とインターネット間の信頼できないトラフィックを転送します。音声ネットワークは、ラップトップ上のソフトクライアントからコントローラに優先順位付けされたトラフィックを伝送します。エンタープライズネットワークは、ノートパソコンやプリンタなどの企業資産間で信頼できる企業トラフィックを伝送します。GREトンネルは、アクセスポイント(AP)とコントローラ間のクライアントデータトラフィックを転送します。IPsecは、モビリティコンダクタとモビリティコントローラの間で交換されるすべてのコントロールプレーントラフィックを保護します。

ネットワークのコンポーネント間では、次の2つの管理プロトコルが使用されます。

• PAPI
  • APとコントローラ間のUDPポート8211を介したARM、WIDS、および設定のダウンロードには、Process Application Programming Interfaceが使用されます。
  • Mobility ConductorとMobility Controller間のPAPIはIPsecにカプセル化されていますが、上の図には反映していません。
• AMON
  • Advanced Monitoringには、スペクトラム、無線統計、チャネル使用率などの詳細な監視および診断情報が含まれます。従来のAirWave SNMPポーリングに加えて、モビリティコントローラからAirWaveに送信されます。 – 上記のPAPIと同様に、AMONトラフィックはモビリティコンダクタとAirWaveの間に存在しますが、上の図には反映していません。

AOS 8 有線LANの一般的なベストプラクティス

AOS 8のベストプラクティスをレビューすることで、アーキテクトやデリバリーエンジニアがAOS 8ネットワーク上の既存の構成と導入されたサービスをより深く理解できるようになります。

完全にカプセル化されたワイヤレストラフィックをサポートするには、有線LANでジャンボフレームのサポートを有効にする必要があります。これはAOS 10でもベストプラクティスです。可能な場合は、パケットのフラグメントを避けてください。

トンネルモードWLANだけをサポートするAPは、ネイティブVLANがWLAN管理VLANに設定されたアクセスモードスイッチポートに接続されています。APがブリッジモードで動作するように配備されている場合、それらのスイッチポートは、APの管理とユーザアクセスのために複数のVLANでトランキングされる可能性があります。場合によっては、不正APの検出と有線ポートの検出を可能にするために、APポートがトランキングされることがあります。

AOS 10トンネルモードアーキテクチャの確認

AOS 10トンネルモードへの正常な移行を計画する際の最初の考慮事項は、トラフィックフローです。

データパスの比較

Wi-FiクライアントトラフィックはAOS 10トンネルモードとAOS 8キャンパスモードの両方で同様に処理されますが、以下の図で強調されているように、いくつかの重要な変更は計画が必要です。

最も重要な要素を効果的に表示しながら、図をできるだけシンプルに保つために、両方の展開には単一のアプライアンスが含まれています。実際の導入では、Arubaのヒットレスフェイルオーバー機能を利用するために冗長性が導入されます。上の図の番号付きマーカーは、次のとおりです。

Step 1 企業のラップトップとゲスト電話からのWi-Fiクライアントトラフィックは、両方のプラットフォームでGREを使用してカプセル化されます。AOS 10の展開は、GREのトラフィックをIPsecでカプセル化するようにCentralで設定できます。

Step 2 AOS 8 Mobility ConductorおよびAirWaveアプライアンスは、AOS 10では使用できないため、廃止されます。

Step 3 AOS 10ハードウェアの管理と監視にはAruba Centralが必要です。

Step 4 モビリティコンダクタおよびAirWaveに送信されるIPsec、AMON、およびSNMPトラフィックは、ArubaゲートウェイおよびAPから送信されるHTTPSトラフィックに置き換えられます。

キャンパスの管理と監視

上記の最も明白な変更の1つは管理プレーンです。AOS 8の導入では、通常、特定のArubaアプライアンス間でSNMP、AMON、およびIPSecを許可する必要があります。

管理と監視のために、ほとんどのAOS 10の展開では、Aruba Centralと各管理対象デバイスの管理インターフェイス間のTCPポート443上のトラフィックのみが必要です。

管理VLANに存在するデバイスからのインターネットアクセスを拒否するように構成されたAOS 8キャンパスでは、サーバーの全体管理との接続を許可するためにセキュリティポリシーの更新が必要です。キャンパスAPがインターネットに接続してセントラルにアクセスできない場合は、AOS 10に移行する前にアクセスを提供する必要があります。詳細については、Aruba Central User GuideのOpening Firewall Ports for Device Communicationセクションを参照してください。

SSIDモードの考慮事項

AOS 10環境のSSIDは、3つの異なる転送モードに対して設定できます。

*トンネルモード *ブリッジモード *混合モード。

クライアントがトンネルモードまたは混合モードでゲートウェイにトンネル接続されている場合、APの有線インターフェイスを通じてクライアントデバイスの無線MACアドレスをAPが学習しないようにする必要があります。この場合、既存のキャンパスVLANをワイヤレスデータトラフィックに再利用する際には、慎重に検討する必要があります。

トンネルモードSSID

トンネルモードSSIDを排他的に使用する展開では、キャンパスのAP管理VLANであるVLAN IDを使用して、アクセスモードでAPスイッチポートを設定します。このVLANは、無線トンネルクライアントデータトラフィックに再利用しないでください。クライアントトラフィックがコントローラでユーザデータVLANにスイッチングされる場合は、AP管理に使用されるVLANとは異なっていることを確認します。

トンネルとブリッジまたは混合モードのSSID

ブリッジモードまたは混合モードを使用する場合は、APスイッチポートをトランクモードで設定し、これらのスイッチポートでブリッジされたワイヤレストラフィック用のデータVLANを配布する必要があります。トンネリングされたワイヤレストラフィックに使用されるデータVLANは、ブリッジモードまたは混合モードのSSIDを提供するAPに使用されるスイッチポートでプルーニングする必要があります。ブリッジクライアントとトンネルクライアントは、同じVLANを共有できません。

一部のAOS 8の展開では、トンネリングされたSSIDのデータVLANがAPスイッチポートに拡張されます。これらのVLANをAPスイッチポートからプルーニングして、AOS 10でトンネルモードSSIDを準備します。

次の意思決定表は、上記のVLAN要件に対応する1つの方法を示しています。

機能、機能、およびサービスに関する考慮事項

次の表は、AOS 8とAOS 10間の重要な機能、要件、および機能の違いについての便利なリファレンスとして役立ちます。

認証、承認、およびアカウンティング

AOS 10への移行後も802.1X WLANクライアント認証が中断されないようにするには、すべてのRADIUSサーバーのNAD/RADIUSクライアントIP一覧で更新が必要になる場合があります。内部認証サーバーまたはEAPオフロードを使用する場合は、AOS 10への移行時の変更に対応する準備を行います。

モビリティコントローラ/ゲートウェイの設定

既存のAOS 8モビリティコントローラをアップグレードする場合でも、新しいAOS 10ゲートウェイを導入する場合でも、コントローラの機能の一部は移行後にCentralまたはAPに移行されることを理解しておくことが重要です。この変更を理解することは、移行計画および移行されたネットワークのアップグレード後のサポートに役立ちます。

アクセスポイント

コントローラやゲートウェイに関するサービスの移行と同様に、移行されたネットワークの”最初の”サポートでは、次のAP機能の変更を理解することが役立ちます。

AOS 8キャンパスからAOS 10ブリッジモード

ほとんどのAOS 8キャンパスモードのお客様は、同じトラフィックフローを維持するために、AOS 10トンネルモードトポロジに移行します。他の人はブリッジモードのデザインに移行することで恩恵を受けます。

コントローラベースからブリッジモードに移行する場合、トラフィックを一元化されたゲートウェイクラスタにトンネリングする必要はありません。ブリッジモードインフラストラクチャではジャンボフレームのサポートは必要ありませんが、APとゲートウェイ間のスイッチではジャンボフレームを有効にしておくことをお勧めします。

IAPと同様に、ブリッジモードAP管理IPアドレスはレイヤ2に隣接している必要があります。また、ワイヤレスユーザVLANは、単一のローミングドメインを提供するためにレイヤ2に隣接している必要があります。

認証要件

AOS 10ブリッジモード展開では、認証要求の送信元IPは常にクライアントが関連付けられているAPです。すべてのRADIUS要求は、アクセスポイントから発信されます。RADIUSサーバには、AP管理サブネットまたは個々のAP IPアドレスがRADIUSクライアントまたはNADとして設定されている必要があります。IAP VCはAOS 10では非推奨となっており、スケーリング機能は現在のIAPの推奨リミットであるクラスタあたり128 APの4倍になります。VCがない場合、AOS 10ブリッジモードではDynamic Radio Proxy(DRP)はオプションではなくなりました。

AOS 8トンネルおよびAOS 10ブリッジモードデータパス

AOS 8 CampusからAOS 10 Tunnel Modeへの移行と同様に、管理プレーンが最も顕著な違いです。AOS 10は、Aruba Centralが管理するクラウドネイティブのオペレーティングシステムです。

次の図は、AOS 8キャンパスからAOS 10ブリッジモードに移行する際のデータパス変更に関する重要な考慮事項を示しています。AirWaveサーバが削除されたため、モビリティコントローラとAirWave間のAMONおよびSNMPは使用されなくなりました。

ブリッジモードの展開ではゲートウェイは必要ないため、クライアントトラフィックはカプセル化されず、AOS 8コントローラに送信されません。クライアントトラフィックは、各AOS 10 APでデータVLANにローカルでスイッチングされるようになりました。APとコントローラ間のGREおよびPAPIトラフィックは不要になったものの、AP間ではPAPIが使用されています。

APとAruba Centralの間には、HTTPS用のポート443/TCPが必要です。APからAPへのブロードキャストおよびセキュアPAPIが許可されている必要があります。QoSポリシーを使用して、高密度のブリッジモード展開でAP管理トラフィックに優先順位を付けます。

ブリッジモードのスケーリング

• AP管理の場合、サポートされている最大サブネットサイズは現在/20です。 *ワイヤレスユーザVLANでは、/20以下のサブネットを使用する必要があります。VLAN内のホスト数を増やす必要がある場合は、ゲートウェイクラスタとトンネルモードのSSIDを展開します。 *サポートされるブリッジモードの現在の最大値は、500台のAPと5000台のクライアントです。

混合モード

混合モードSSIDを使用すると、APはゲートウェイクラスタにトラフィックをトンネリングしたり、ローカルでブリッジしたりできます。この機能をサポートするには、ブリッジモードのみを設定する場合と同じスイッチング、スケーリング、およびデータパス要件をネットワークが満たしている必要があります。主な要件は次のとおりです。

• トンネルモードSSIDデータVLANは、ゲートウェイクラスタでのみ構成する必要があります。
  • トンネルモードSSIDデータVLANは、APスイッチポートでプルーニングする必要があります。
• ブリッジモードのSSIDデータVLANは、APスイッチポートで許可されている必要があります。
  • APスイッチポートはトランクとして設定する必要があります。
• ベストプラクティスは、APスイッチポートでAP管理VLANをネイティブ（タグなし）として設定することです。
• 802.1Xを使用する場合:
  • トンネルモードSSIDと混合モードSSIDでは、ゲートウェイをRADIUSクライアント(NAD)として登録する必要があります。
  • ブリッジモードのSSIDでは、すべてのAPをRADIUSクライアント(NAD)として登録する必要があります。

---