05-Feb-25

データセンターのポリシー設計

HPE Aruba Networkingデータセンターは、マルチテナントをサポートし、セキュリティ目標を達成し、重要なデータを保護するための強力なポリシー管理オプションを提供します。

データセンターのポリシー設計

HPE Aruba Networking Data Center Policy Layer

HPE Aruba Networkingのデータセンターポリシーレイヤの実装は、選択したネットワークアーキテクチャのセキュリティを最大限に高めるためにカスタマイズされています。

EVPN-VXLAN設計は、オーバーレイ技術とトラフィックフィルタリング機構の豊富な組み合わせを提供し、主にリーフスイッチで構成されたユーザーとアプリケーショントラフィックを分離します。レイヤ2 2層の設計では、多くの同じフィルタリングオプションが提供されますが、コア層とアクセス層の両方で設定が必要です。

HPE Aruba Networking CX10000 Distributed Services Switch(DSS)は、スイッチ内のハードウェアでインラインステートフルファイアウォールを使用して、東西のトラフィックポリシーを実施します。DSSは、一元化されたファイアウォール戦略を介してパフォーマンスとトラフィックフローの特性を最適化し、ハイパーバイザベースのファイアウォールに取って代わることができ、ホストされるワークロードのハイパーバイザCPUとメモリリソースを増加させます。CX 10000は、EVPN-VXLANとレイヤー2の2層アーキテクチャの両方に配置できますが、EVPN-VXLAN設計により、ポリシーの柔軟性が向上します。

注：
このドキュメントでは、DSSとCX 10000という用語を同じ意味で使用しています。

Aruba Fabric Composer(AFC)をvCenterおよびAMD Pensando Policy Services Manager(PSM)と統合すると、CX 10000スイッチとVMゲストポリシー割り当てを使用して東西のデータセンターポリシーを管理するための強力な組み合わせが得られます。ネットワーク管理者とセキュリティ管理者は、すべてのポリシー要素を一元的に管理できます。また、VM管理者は、VMタグを使用して、独自のワークフローでVMゲストをポリシーブロックに割り当てることができます。また、AFCは、アクセス制御リスト(ACL)の集中設定もサポートしています。

このドキュメントでは、HPE Aruba Networkingデータセンターネットワークのポリシーレイヤを設計するためのコンポーネント、設計上の推奨事項、およびベストプラクティスについて説明します。

帯域外管理ネットワーク

組織は、ネットワークデバイス用に物理的に別個の管理LANと役割ベースのアクセス制御(RBAC)を構築することを計画する必要があります。

別の管理ネットワークにより、データプレーンがスイッチ管理の侵害の可能性のある攻撃を受ける場所になるのを防ぎ、データプレーンポリシーを変更する際にデータセンタースイッチの到達可能性が損なわれないようにします。

RBACには、エンタープライズディレクトリに対するログイン認証が必要です。通常、この認証は、HPE Aruba NetworkingのClearPass Policy Managerなどのポリシーサーバーを使用して、TACACS+またはRADIUSプロトコルを使用して行います。

ログ機能の使用、ログ管理、およびログ分析も考慮する必要があります。

セグメンテーションとポリシーの前提条件

データ・センター・アプリケーションは、さまざまな方法で導入されます。アプリケーションは、ハイパーバイザを使用してVMとして実装することも、ベアメタルサーバでホストすることもできます。コンテナ化されたアプリケーションは高度に分散されており、通常は複数のコンピューティングノードとサービスノード間の接続が必要です。場合によっては、単一のデータセンターに複数のテナントのアプリケーションが含まれ、それらのテナント間で一連の共有サービスが提供されます。アプリケーションはデータセンターに含まれるトラフィックの大部分を使用して展開されるため、セキュリティ上の脅威がすべて外部にあると考えるのは誤りです。

データセンターのポリシー設計の成功は、まず環境内で実行されるアプリケーションの要件を分析することから始まります。要件のドキュメントが不十分な場合は、レガシーアプリケーションを再プロファイルする必要があります。ネットワークの観点から見ると、アプリケーション・プロファイリングでは、アプリケーションを正常に実行するために必要なすべてのネットワーク接続を記述する必要があります。これには、バックエンドデータベースまたはクラウドでホストされるサービスへの接続が含まれる場合があります。アプリケーション・プロファイルを理解して、どの接続を許可し、どの接続を拒否するかを識別する適切なポリシーを定義することが重要です。

同様に、アプリケーションやデータにアクセスするユーザーのプロファイルを分析することも必要です。たとえ安全な環境であると想定していても、データセンターをキャンパスに広く開放したままにしないでください。アクセスを適切に制限するには、必要なアプリケーションとデータに関連するさまざまなユーザープロファイルを理解します。キャンパス内、リモートブランチ、モバイルフィールドワーカー、およびパブリックインターネットの要件を特定し、それぞれの固有の要件を満たす適切なデータセンターのアクセスプロファイルを作成できるようにします。

セグメンテーションの概要

セグメント化とは、セキュリティ・ポリシーを適用できるデータ・センター・ホストの論理的な分離です。ネットワークセグメントは、データセンターテナントなどの大規模なホストのセットを表すことも、単一のホストと同じくらい細かく表すこともできます。

VRFセグメンテーション

ルーティングドメインの確立は、内部データセンター通信をセグメント化するための重要な方法であり、EVPN-VXLANオーバーレイの要件です。あるルーティングドメインのメンバであるネットワークホストは、既定では別のルーティングドメインのホストと通信できません。各ルーティングドメインには、相互に通信を許可されたホストのセットが含まれ、ルーティングドメインへのトラフィックまたはルーティングドメインからのトラフィックを制御できます。必要に応じて、複数の方法を使用してルーティングドメイン間で接続を共有できます。

スイッチは、仮想ルーティングおよび転送インスタンス(VRF)を実装することによって、複数のルーティングドメインをサポートします。各VRFは、一意のルートテーブル、ルートテーブルに基づいてトラフィックを転送するメンバインターフェイス、およびルートテーブルを構築するルーティングプロトコルで構成されます。個々のルートテーブルは個別であるため、異なるVRFには重複するIPアドレス範囲が含まれる場合があります。

VRFインスタンスは、顧客、アプリケーション、共通のセキュリティ要件を持つ一連のホスト（PCIなど）、または他の共通の特性を持つ一連のホスト（本番環境、開発環境など）と相関させることができます。この相関関係により、ファイアウォールなどのVRFを接続するネットワークデバイスにセキュリティポリシーを適用することで、VRFインスタンスをセキュリティドメインとして使用できます。外部ネットワークに接続するVRFメンバインターフェイスは、南北のセキュリティポリシーを実装するための自然なポイントを提供します。

EVPN-VXLAN設計では、VRFはオーバーレイに必要な構造であり、リーフスイッチに実装されています。マルチファブリック環境では、EVPN-VXLANにより、VRFセグメントを追加のデータセンターの場所に拡張できます。既定のVRFは、アンダーレイ接続のために予約されています。

レイヤ2の2層設計では、VRFはオプションであり、データセンターのコアに実装されます。VRFセグメンテーションを必要とする規模のデータセンターの実装は、通常、EVPN-VXLANソリューションを使用して実装されますが、VRFはレイヤ2の2層設計でも有用なセグメンテーション戦略です。デフォルトでは、レイヤ2 2層データセンター内のすべてのホストは、デフォルトのVRFのメンバです。

VRFの数が増えるにつれてネットワークの運用上の複雑さが増すため、VRFは慎重に追加する必要があります。複雑さを最小限に抑えることで、ネットワーク実装のメンテナンスとトラブルシューティングが容易になります。各組織は、ネットワークにVRFを追加するための基準を明確に記述する独自のポリシーを定義する必要があります。例えば、複数のテナントをサポートするサービスプロバイダーは、大学のデータセンターよりも多くのVRFを必要とする基準が異なります。

一般的なベストプラクティスは、明確に定義された組織の目標を達成するために必要な最小限のVRFを使用することです。VRFは次の機能をサポートするために使用されます。

– 本番アプリケーション環境と開発アプリケーション環境を分離これにより、本番アプリケーションのアップタイムに対するリスクを最小限に抑えながら開発サンドボックスを提供し、必要に応じて重複するIPスペースをサポートします。

PCIやHIPAAなどの厳格な規制コンプライアンスを必要とするセグメント化されたトラフィックにポリシーを適用する。 – 組織ポリシーによってセグメント化が必要であると識別され、共通のセキュリティ要件を持つホストからのトラフィックにポリシーを適用する。これらのホストのセットは、多くの場合、共通の管理ドメインを共有します。 – マルチテナントのデータセンターでレイヤ3のルート到達可能性を分離し、重複するIP空間をサポートします。

Inter-VRF Route Forwarding（IVRF; VRFルートフォワーディング）は、データセンター内でVRF間でIPプレフィクスを共有するために使用できます。たとえば、データセンターで共有サービスを提供するために、一部またはすべてのデータセンターVRFに共通のリソースセットを提供するサービスVRFを作成できます。IVRFを使用すると、サービスVRF内のアプリケーションと他のVRF内のホストとの間でレイヤ3の到達可能性が確保されます。

注：
IVRFは、以前は分離されていたルーティングドメインを結合することでVRF間ポリシーを回避でき、重複するIPアドレス空間をサポートしていません。

VLAN/サブネットのセグメント化

ブロードキャスト・ドメイン・サイズの制限に加えて、VLANを使用して、役割、アプリケーション、管理ドメインごとにデータ・センター・ホストのセットをグループ化できます。通常、VLANは1つのIPサブネットに関連付けられます。VLAN間のトラフィックはルーティングされる必要があり、VLAN間のすべてのホストトラフィックはIPゲートウェイインターフェイスを介して転送され、セキュリティポリシーを適用できます。

レイヤ3 VLANインターフェイスに適用されるACLは、通常、サブネット間にベースポリシーを適用するために使用されます。より高度なポリシー要件を満たす場合、一般的なソリューションは、一元化されたファイアウォールを展開し、それをデフォルトゲートウェイにすることです。その結果、最適とはいえない非効率的なトラフィックパターンが生じます。VLAN間のルーティングされたトラフィックは、中央のファイアウォールでヘアピンされ、余分なデータセンター帯域幅を不必要に消費します。

HPE Aruba Networkingは、DSS(CX 10000)ToRスイッチを導入することで、より洗練されたデータセンターポリシーオプションを提供します。このスイッチは、ホストの接続レイヤーでハードウェアベースのレイヤ4ファイアウォール機能を提供します。このモデルは、データセンターの帯域幅の容量を最適化し、中央のファイアウォールを介してトラフィックをヘアピンで固定する必要がなくなります。

マイクロセグメンテーション

マイクロセグメンテーションは、プライベートVLAN(PVLAN)機能セットで利用可能な分離およびプライマリVLAN構成を使用して、レイヤ2 VLANセグメンテーションを個々のワークロードレベルに拡張します。ハイパーバイザベースのファイアウォールと同様に、PVLANマイクロセグメンテーション戦略では、同じハイパーバイザ上の仮想マシンゲスト間でポリシーを適用できます。この同じ方法で、コンテナ間でポリシーを適用できます。

プライベートVLANとDSSを組み合わせると、ワークロードの接続ポイントに対してローカルなマイクロセグメンテーションポリシーが適用されます。同じ分離プライベートVLANに割り当てられたデータセンターのワークロードは、レイヤ2を介して相互に直接通信することはできません。隔離VLANは、CX 10000上のプライマリVLANに関連付けられ、隔離VLANごとにデフォルトゲートウェイSVIをホストします。Proxy-ARPは、プライマリVLANのSVIで設定され、プライマリVLANのSVIを介した分離ホスト間の通信を有効にします。

一元化されたファイアウォールを使用してマイクロセグメンテーションを実現することも可能ですが、マイクロセグメンテーションされたワークロードの急増と一元化された設計の非効率的なトラフィックエンジニアリングを組み合わせることで、各マイクロセグメンテーションされたワークロードとのトラフィックを一元的にヘアピン処理する必要があるため、データセンター全体の帯域幅をはるかに迅速に使い果たすことができます。

DSSリーフスイッチを使用したEVPN-VXLANソリューションは、最も柔軟なポリシー割り当てを提供します。ステートフルファイアウォールポリシーは、セグメント化されたワークロードの分離VLANに関連付けられたプライマリVLANに割り当てられます。分離VLANに割り当てられたワークロードのすべてのトラフィックはDSS上のプライマリVLANに転送されるため、個々のワークロードのすべてのトラフィックはポリシー強制の対象となります。出力と入力の両方のファイアウォールポリシーをワークロードに適用できます。

DSSアクセススイッチを使用するレイヤ2の2層ソリューションでは、ファイアウォールポリシーは、ワークロードの隔離されたPVLANに適用される出力方向のみに制限されます。トラフィックがDSSアクセスレイヤを通過して、コアで定義されたプライマリVLANのゲートウェイIPに向かう場合に、ポリシーが適用されます。

CX 10000は、ハイパーバイザ（VMware、Microsoft Hyper-V、KVMなどをサポート）に依存しない、統合されたデータセンターのマイクロセグメント化戦略を提供し、ベアメタルサーバもサポートします。ハイパーバイザベースの実装の代わりにCX 10000を使用すると、ポリシー適用サイクルの負荷がVMホストのCPUから専用スイッチハードウェアに移ります。

EVPN-VXLANとレイヤ2 2層ソリューションの両方で、ACLポリシーをプライマリVLANのSVIインターフェイスに適用し、PVLANを複数のスイッチに拡張できます。

マイクロセグメンテーションは、高いレベルの精査を必要とするホストのサブセットに適用することも、データセンターのセキュリティ体制を最大化するためにより広く適用することもできます。

ポリシーの概要

セキュリティポリシーは、ネットワークセグメント間で許可されるトラフィックの種類を指定します。ネットワークベースのポリシーは、通常、ファイアウォールまたはACLを使用して適用されます。トラフィックがステートフルファイアウォールで許可されている場合、ダイナミックステートが作成され、セッションのリターントラフィックが許可されます。ACLは、ダイナミックステートが作成されていない一方向のトラフィックにのみ適用されます。

ネットワークセキュリティポリシーの適用は、データセンターホストによって公開される攻撃サーフェスを減らすために重要な役割を果たします。不要なプロトコルをブロックすると、脅威アクターがホストの悪用に使用できる戦術が減少します。許可された発信トラフィックのスコーピングは、コマンドおよび制御構造を禁止し、データを抽出する一般的な方法をブロックします。データセンター内のセキュリティポリシーを適用すると、ホストが侵害された場合の横方向の脅威移動のオプションが制限されます。

データセンターの境界ポリシー

データセンターのルートは、キャンパスやその他の外部ネットワークとの共有を必要とします。データセンターと外部ネットワークの間のエッジにポリシーを適用することは、データセンターアプリケーションの最初のセキュリティ層です。これらの接続を監視している間、許可されたネットワークとホストだけにアクセスを制限し、境界ファイアウォールアプライアンスまたはACLを使用して実装できます。

EVPN-VXLANのスパイン・アンド・リーフ設計では、1組のリーフ・スイッチがデータ・センターへの単一の入口および出口ポイントになります。このボーダーリーフは、その機能専用である必要はありません。境界とサービスリーフの機能は一般的に組み合わされ、あまり頻繁にはコンピューティングホストも接続されています。レイヤ2の2層設計では、コアレイヤは、データセンターと外部ネットワーク間のトラフィックに共通の入口と出口ポイントを提供します。どちらの場合も、このデータセンターネットワークエッジは、データセンターネットワークへのアクセスとネットワークからのアクセスを制御するための一連のポリシーが実装されている場所です。

境界ポリシーは、VRFセグメントレベルで適用されます。1つのVRFにすべてのデータセンターホストが含まれている場合、データセンターエッジには、1組のポリシー（入力トラフィック用の1つのポリシーと出力トラフィック用の2番目のポリシー）が設定されます。複数のVRFが設定されている場合、一意のポリシーのペアをデータセンターのエッジでVRFごとに実装する必要があります。

複数のデータセンターVRFを、単一の物理インターフェイスまたは802.1Qタグ付けを使用して集約リンク上のアップストリームエッジデバイスに拡張できます。VLANは各VRFに関連付けられ、VLANの対応するSVIはルータプロトコルピアリングの目的で使用されます。アップストリームエッジデバイスには、1つまたは複数のVRFが定義されている場合があります。データセンターエッジのVRFとそのキャンパスのVRF隣接ルータとの間に直接VRF-to-VRFピアリングを確立することで、VRF-liteと呼ばれるキャンパス内にIPセグメンテーションを拡張できます。

重複するIPアドレス空間が実装されていない場合、データセンターと外部ネットワーク間のトラフィックのフィルタリングに加えて、複数のデータセンターVRFが1つの外部ルーティングインスタンスとピア接続することで、外部VRFとVRF間ポリシーの統合された実施ポイントを作成できます。データセンターVRF間のポリシーは、アップストリームデバイスへのトラフィックをヘアピンで固定することによって適用されます。

境界ファイアウォール

境界の専用セキュリティシステムは、高度な監視、アプリケーション対応のポリシー適用、および脅威の検出を提供できます。

境界ファイアウォールは、透過モードまたはルーティングモードで展開されます。トランスペアレントモードでは、ファイアウォールはワイヤのバンプのように動作します。つまり、ファイアウォールはレイヤ3ネットワークルーティングには参加しません。直接接続されたスイッチの観点からは、これらはトランスペアレントブリッジと同じですが、ファイアウォールは明示的に許可されたトラフィックだけを転送します。ルーティングモードでは、ファイアウォールはルーティングコントロールプレーンに参加し、一般的に詳細なパケット検査とポリシー強制オプションを備えた柔軟性があります。ステートフルファイアウォールでは、セッション内の後続のトラフィックにポリシーを正しく適用するために、対称転送が必要であることに注意してください。

複数のデータセンターVRFに重複するIPアドレス空間が含まれている場合や、VRFセグメンテーションを境界ファイアウォールの範囲を超えて拡張する必要がある場合、ファイアウォールはルートテーブルの分離を許可する仮想化メカニズムをサポートする必要があります。これは、ファイアウォール自体を個別の論理インスタンスに仮想化したり、VRFをサポートしたりできます。

境界ACL

データセンター内のIPサブネットがセキュリティグループまたはビジネス機能にマッピングするように設計されている場合、境界リーフのアクセス制御リスト(ACL)によって、ユーザーの場所からデータセンターアプリケーションにポリシーを強制できます。サブネットをセキュリティグループにマッピングできない場合、大規模な環境ではACLの管理と拡張が困難になる可能性があります。境界ACLの主な利点は、スイッチングインフラストラクチャに直接実装して、データセンターへのアクセスを確立するためのポリシー基盤を適用できることです。スイッチACLを使用して実装されるポリシーは、特にレイヤ3およびレイヤ4の構成を対象としています。スイッチACLはステートフルでもアプリケーション対応でもありません。

東西セキュリティ・ポリシー

現代のデータセンターのトラフィックの大部分は、データセンターのワークロード自体の間の東西のトラフィックです。ファイアウォールまたはACLを使用して、VRF、VLAN、およびマイクロセグメンテーションセグメント間でポリシーの強制を実装できます。

ファイアウォールは、ACLと比較して、より包括的なフィルタリング機能を提供します。HPE Aruba Networkingデータセンター内のファイアウォールポリシーは、ネットワーク層で2つの方法を使用して実装できます。分散サービススイッチ(DSS)を使用してインライン実装するか、サービスリーフでファイアウォールアプライアンスを使用して一元的に実装します。

分散サービススイッチポリシーの実施

AMD Pensandoプログラマブルデータプロセッシングユニット(DPU)は、CX 10000スイッチを拡張してステートフルファイアウォール機能を備えています。この組み込みハードウェア機能を使用すると、ファイアウォールの強制がスイッチデータプレーンの一部としてインラインで提供されます。

このアプローチにはいくつかの利点があります。データ・パスは、ワークロードの接続ポイントでポリシーを適用することで最適化されます。一元化されたファイアウォールを介してデータをヘアピンで固定する必要はありません。ファイアウォールポリシーは、マイクロセグメンテーションをサポートすることで、ホストに対して細かく設定できます。Pensando DPUは、ファイアウォールサービスを専用のスイッチハードウェアに移動することで、大規模なデータフローを処理するハイパーバイザベースのファイアウォールサービスのリソース消費を軽減できるワイヤレートパフォーマンスを提供します。

CX 10000スイッチは、EVPN-VXLANソリューションではリーフ・スイッチとして、レイヤー2の2層ソリューションではアクセス・スイッチとして導入されます。

中央ファイアウォールポリシーの実施

一般的に導入されているもう1つのポリシー適用アプローチは、データセンターホストにIPゲートウェイサービスを提供する中央の場所にファイアウォールアプライアンスを配置することです。

EVPN-VXLANソリューションでは、中央のファイアウォールはサービスリーフに接続され、オーバーレイネットワークを使用してファブリックホストに隣接するレイヤ2です。ポリシーの強制を必要とするホストのデフォルトゲートウェイは、ToRから集中型ファイアウォールに移動されます。境界リーフと同様に、サービスリーフはこの機能専用である必要はありません。このアプローチの利点の1つは、レイヤ2オーバーレイネットワークを使用してホストトラフィックをファイアウォールに転送しやすいことです。

レイヤ2の2層ネットワークでは、中央のファイアウォールがコアスイッチに接続され、ホストのデフォルトゲートウェイがコアスイッチから中央のファイアウォールに移動されます。

EVPN-VXLANとレイヤ2の2層トポロジの両方に集中型ファイアウォールを使用するデメリットがいくつかあります。ポリシーの強制は、異なるサブネット内のホスト間でのみ適用できます。一元化されたファイアウォールでは、ポリシーを適用するためにデータセンターホストから複数のスイッチホップが必要です。これにより、EVPN-VXLANモデルでのデータパス配信の効率が軽減されます。同じスイッチに接続された2つのホスト間のポリシー強制は、中央ファイアウォールに転送する必要があります。大量の東西のトラフィックを中央ポイントでヘアピン処理すると、ボトルネックが発生し、東西のデータセンターの帯域幅が減少する可能性があります。マイクロセグメンテーションは一元的にサポートできますが、ポリシーに基づくすべてのデータセンタートラフィックがネットワークの1つのポイントを通過する必要があるため、推奨されません。これにより、ボトルネックのリスクが大幅に高まります。

次の図は、サービスリーフファイアウォールを使用する場合の非効率的なトラフィックヘアピンを示しています。

**PSMポリシーの方向図**

ハイパーバイザベースのファイアウォールの適用

一部のベンダーは、ハイパーバイザ環境内で仮想化ファイアウォールサービスを提供しています。このアプローチにより、アクティブなゲートウェイを使用しながら、サービス・レベルの詳細なポリシーを適用できます。VMware NSXは、この方法で統合できる製品の一例です。

仮想化ファイアウォールは、大量のCPUリソースを消費し、VMインフラストラクチャでの計算処理に使用できるCPUリソースを削減します。CX 10000は、ファイアウォール検査を、VM間のマイクロセグメンテーションをサポートできるスイッチインフラストラクチャ上の専用ハードウェアに移動することで、このプレッシャーを軽減します。

DSSポリシーの適用

AMD Pensandoを搭載したHPE Aruba Networking CX 10000スイッチは、Distributed Services Switch(DSS)と呼ばれる強力なポリシー適用エンジンを提供します。ここでは、DSSファイアウォールポリシーの実装方法に関する背景情報と詳細について説明します。

Pensando Policy and Services Manager (PSM)アプリケーションは、AMD Pensando DPUにプッシュされるポリシーと関連要素を定義します。Aruba Fabric Composer(AFC)は、PSMのAPIを介してポリシーをオーケストレーションするために使用できます。

PSMポリシーの基礎

PSMポリシーは、NetworkとVRFという2つの異なるオブジェクトタイプに割り当てることができます。PSMは、NetworkオブジェクトをDSSスイッチで設定されたVLANに関連付けます。PSM Networkを定義すると、レイヤ4ポリシーを適用するために、スイッチに対して、関連付けられたVLANのトラフィックをオンボードのAMD Pensando DPUベースのファイアウォールにリダイレクトするように通知されます。Networkに割り当てられたポリシーは、Networkオブジェクトに関連付けられたVLAN内のトラフィックにのみ適用されます。PSMは、VRFオブジェクトをDSSスイッチ上で設定されたVRFに関連付けます。

VRFオブジェクトに割り当てられたポリシーは、関連するVRF内でNetworkオブジェクトにも関連付けられているすべてのVLANに適用されます。VRFポリシー強制では、ポリシーがNetworkオブジェクトに割り当てられている必要はありませんが、関連するVRFの各VLANにNetworkオブジェクトが存在して、トラフィックがPensando DPUにリダイレクトされる必要があります。PSMポリシーが割り当てられたVRF内のVLANで、対応するNetworkオブジェクトが定義されていない場合は、Pensando DPUにトラフィックを転送しません。

注意：
VLANまたはVRFでポリシーの強制が必要な場合は、VRF内の各VLANに対してNetworkオブジェクトを定義します。VRF内のVLANのサブセットにのみ対応するNetworkオブジェクトが定義されている場合、ネットワーク通信の障害が発生する可能性があります。

ファイアウォールの強制のためにトラフィックがPensando DPUにリダイレクトされると、 VRFポリシーとNetworkポリシーの両方が強制されます。PSMは、論理AND関数を使用して両方のポリシータイプを評価します。ポリシーは連続または評価されません。両方のポリシーでトラフィックが許可されている場合、トラフィックは転送されます。いずれかのポリシーがトラフィックを拒否すると、そのポリシーは廃棄されます。ポリシーが1つのレベルで割り当てられていない場合、ポリシーは他のレベルのポリシーによって適用されます。どちらのレベルにもポリシーが割り当てられていない場合、トラフィックは許可されます。次の表は、トラフィックが許可または拒否される状況をまとめたものです。

ネットワークポリシー	VRFポリシー	結果
許可書	許可書	許可書
拒否	許可書	拒否
許可書	拒否	拒否
拒否	拒否	拒否
許可書	ポリシーなし	許可書
拒否	ポリシーなし	拒否
ポリシーなし	許可書	許可書
ポリシーなし	拒否	拒否
ポリシーなし	ポリシーなし	許可書

PSMファイアウォールポリシーは、発信元アドレスと宛先アドレス、およびIPプロトコルとポート番号を使用して発信元アドレスと宛先アドレスの間で許可されるトラフィックの種類を指定する規則のセットです。PSMポリシーは、接続ホストの観点から、入力または出力方向のいずれかでNetworkまたはVRFに割り当てられます。直接接続されたホスト宛てのトラフィックは入力と見なされ、直接接続されたホストから発信されたトラフィックは出力と見なされます。この入力/出力の関係は、スイッチのネットワークインターフェイスの観点から、スイッチACLを適用する場合と逆になります。 **PSMポリシーの方向図**

PSM入力ポリシー

入力ポリシーは、関連するPSMネットワークが存在するVLAN内のホスト宛てのトラフィックに適用されます。ただし、同じCX 10000に接続された同じVLAN内の2つのホスト間のトラフィックは例外です。入力ポリシーは、通常、アプリケーションサーバー宛ての着信トラフィックをフィルター処理するために適用されます。

入力ポリシーは、AOS-CX 10.10.1000以降を実行している場合に、同じCX 10000に接続されているホスト間でルーティングされるトラフィックに適用されます。以前のバージョンのAOS-CXでは、ルーテッドトラフィックとブリッジトラフィックの両方に対して、同じスイッチに接続されたホスト間で出力ポリシーを適用する必要がありました。

**入力スイッチ内ルーティングポリシー強制ダイアグラム**

入力ポリシーは、標準のVLANを介して同じスイッチ上のホスト間でブリッジされる従来のレイヤ2トラフィックには適用されません。したがって、CX 10000アクセススイッチを使用するレイヤ2 2層トポロジでは適用できません。EVPN-VXLANを使用する場合、プライベートVLANとプロキシARPを使用するマイクロセグメンテーション戦略を使用して、同一スイッチ上の同一の隔離VLAN内のホスト間に入力ポリシーを適用できます。これについては、後述の「マイクロセグメンテーション」で説明します。

EVPN-VXLANファブリックオーバーレイを使用する場合、入力ポリシーは、異なるVTEPに接続された同じVLAN内のホスト間のすべてのVXLAN転送トラフィック（ルーティングトラフィックとレイヤ2トラフィックの両方）に適用されます。宛先スイッチでVTEPインターフェイスに到達すると、トラフィックはPensando DPUに転送され、評価されます。

**入力レイヤ2ファブリックポリシー適用図**

PSM出力ポリシー

出力ポリシーは、DSSスイッチに直接接続されたホストによって開始される許可されたトラフィックを定義します。出力ポリシーを定義することで、侵害されたホストによる横方向の移動からデータセンターを保護し、データの漏洩を防ぐことができます。たとえば、バックエンド・データベース・サーバは、同期、DNS、NTP、認証サービス、ローカル更新サーバとの通信を開始するだけで済みます。この通信は、レイヤ4フィルタを使用して、ホスト間で必要なトラフィックタイプのみを許可することでスコープできます。

出力ポリシーは、宛先ホストが存在する場所に関係なく、検査済みVLAN内のホストによって発信されるすべてのトラフィックに適用されます。入力ポリシーとは異なり、出力ポリシーは、同じスイッチ上の同じVLAN内のホスト間でレイヤ2ブリッジトラフィックをフィルタリングします。出力ポリシーは、EVPN-VXLANリーフスイッチとレイヤ2 2層アクセススイッチの両方に適用され、VLAN間およびマイクロセグメンテーションポリシーを適用します。

**出力ポリシー強制ダイアグラム**

同じ物理ホスト上に存在するVMまたはコンテナ間の通信は、デフォルトではポリシー適用のためにDSSスイッチに転送されません。これらのワークロード間のポリシーは、PVLANマイクロセグメンテーション戦略を使用して実施できます。以下の「マイクロセグメンテーション」で説明します。

CX 10000の混在環境に関する考慮事項

すべてのリーフ・スイッチまたはアクセス・スイッチがCX 10000sの場合は、データ・センター・ファブリック全体に一貫したPSMベースのポリシーを適用する方が容易です。これにより、例外を管理する必要なく、統一されたポリシーの適用がサポートされます。DSSスイッチと非DSSスイッチの混在環境がサポートされていますが、追加の計画が必要です。

ポリシー検査のために1つのCX 10000にリダイレクトされたVLANは、同じファブリック内のすべてのDSSスイッチに配置する必要があります。ポリシーの適用とトラフィックフローが適切に行われるように、混在環境で非DSSスイッチのDSSスイッチのポリシー用にリダイレクトされるVLANを構成しないでください。ポリシーにリダイレクトされないVLANは、DSSスイッチと非DSSスイッチの両方に設定できます。

ファブリック内のユビキタスなホストの移動には、すべてのリーフ・スイッチとアクセス・スイッチが同じ機能をサポートする必要がありますが、これは混在環境では不可能です。DSSステートフルファイアウォールのセキュリティポリシーは、非DSSスイッチでは使用できません。そのため、DSSスイッチと非DSSスイッチが混在するネットワークでは、VMのモビリティを制限する必要があります。たとえば、VMwareのDistributed Resource Scheduler(DRS)などの動的ツールを使用する場合は、仮想スイッチとポートグループのリソースを定義して、DSSスイッチに接続されていないVMハイパーバイザホストへのファイアウォールサービスを必要とするVMゲストの自動移動を防ぎます。ハイパーバイザ上で個別の分散仮想スイッチを維持することは、この動きを制限する効果的な方法です。

**DSSホストモビリティ制約図**

ワークロードのマイクロセグメンテーション

マイクロセグメンテーションにより、同じVLAN内の同じハイパーバイザによってホストされているVM間でPSMファイアウォールポリシーを適用できます。同じハイパーバイザーにインストールされているVM間のトラフィックは、標準構成ではスイッチにトラフィックを転送しません。マイクロセグメンテーションを実行するには、プライベートVLAN(PVLAN)戦略を使用して、ハイパーバイザに接続されたアップストリームDSSスイッチを通過するようにVMからトラフィックを強制します。プライマリPVLANのSVIでプロキシARPを有効にすると、同じプライベートVLAN内のホスト間でDSSスイッチを介した通信が可能になります。この戦略により、同じハイパーバイザ上の同じVLAN内のホスト間で入力および出力ファイアウォールポリシーの両方を適用できます。

レイヤ2 2層トポロジを使用する場合、VLAN SVIはコアレイヤに設定され、CX 10000ポリシーエンジンはアクセスレイヤに配置されるため、出力ポリシーだけをマイクロセグメント化されたトラフィックに適用できます。

EVPN-VXLANトポロジを使用している場合は、出力ポリシーに加えて、入力ポリシーをマイクロセグメント化されたトラフィックにも適用できます。これは、VLANゲートウェイIPが、アクティブなゲートウェイ機能を使用してすべてのリーフスイッチ上に設定されているためです。

**マイクロセグメンテーション出力ポリシー強制ダイアグラム**

PVLANのマイクロセグメンテーション戦略では、コンテナ間のポリシー強制も可能です。

AFCポリシーの自動化

Aruba Fabric Composer(AFC)は、データ・センター・スイッチ構成の構築と管理を行うためのGUIベースの管理ツールです。AFC自動化ツールは、背骨と葉の構造とレイヤー2の2層トポロジ、およびEVPN-VXLANオーバーレイを簡素化します。AFC監視ツールは、現在の運用状態に関する洞察を提供し、プロセスのトラブルシューティングを支援します。AFCは、フル機能のデータセンターポリシー管理ツールでもあります。PSMおよびAOS-CXオペレーティングシステムとのAPI統合により、DSSファイアウォールポリシーおよびスイッチACLの管理が可能になります。

追加のVMware vSphere API統合により、VMware管理者は、ネットワークまたはセキュリティ・グループとの調整を必要とせずに個々のVMゲストにDSSポリシー・セットを割り当てることができるため、AFCポリシー管理が強化されます。

AFCは、1つ以上のIPアドレスのセットであるエンドポイントグループオブジェクトにポリシーを割り当てます。特別な動的エンドポイントグループは、VMゲストのVMタグ割り当てに基づいて、vCenterからのVM IPアドレス割り当てを自動的に設定します。VMware管理者がVMタグを割り当てたり変更したりすると、AFCは関連するエンドポイントグループに対してIP割り当てを自動的に更新します。これらの変更は、AFCによってPSMおよびスイッチに伝搬されます。

PSMポリシーに関する考慮事項

ポリシー内のルールは、リストに表示される順序で適用されます。暗黙の「すべて拒否」ルールは、ルールセットの最後に適用されます。より頻繁に使用される規則はリストの上に高く表示されるべきです。

PSM Networkを定義すると、上記のように、関連付けられたVLANのすべてのトラフィックがPensando DPUファイアウォールにリダイレクトされます。ポリシー規則セットを構築する場合は、すべてのVLANメンバのネットワーク要件を考慮する必要があります。

入力ポリシーを設定すると、ルーティングまたはVXLANで転送されるレイヤ2トラフィック（データセンターの外部から発信されるトラフィックを含む）に対して、宛先VLAN内のすべてのホストにポリシーが適用されます。

出力ポリシーを設定すると、ポリシーはVLAN内のホストが発信するすべてのトラフィックに適用されます。したがって、データセンター内外のすべての宛先を考慮する必要があります。これには、同じVLAN上のすべてのホストが含まれます。出力ポリシーを定義する場合、DNS、ログ、認証などの基礎となるサービスを許可するルールが必要です。

VMゲスト間でファイアウォールポリシーを適用する場合、データセンターの設計ではPVLANベースのマイクロセグメンテーションを使用するか、ポリシーを必要とするVMを異なるVLANに割り当てる必要があります。マイクロセグメンテーションにより、同じハイパーバイザ上のVM間のトラフィックがDSSスイッチを通過するように強制されるため、ポリシーを適用できます。異なるVLAN内のVMも、検査のためにDSSスイッチにトラフィックを送信します。

特定の実施方向に対して、1つのPSMポリシーレベル（NetworkまたはVRF）のみを適用することをお勧めします。VRFレベルでポリシーを定義する主な利点は、単一のポリシーが、単一の実施方向でデータセンター全体に対する完全なルールセットを表すことです。Networkレベルでポリシーを定義すると、個々のポリシーのサイズが小さくなり、あるNetworkに適用されるポリシーが別のNetworkに影響を与えないことが保証されます。

1つの方向にポリシーレベルを混在させると、両方のポリシーセットでルールの複雑さと重複が増すことがありますが、ポリシーレベルの混在は完全にサポートされています。両方のレベルでポリシーを定義する場合、1つのポリシーレベルでは、ポリシーの最後にあるトラフィックを許可するルールが必要です。このルールはNetworkレベルのポリシーで推奨されます。「permit any」規則の上に定義されているポリシー規則では、「deny」アクションを使用する必要があります。これにより、VRFレベルのポリシーは、Networkレベルでより詳細な拒否の制限を適用して、ファブリック内でグローバルに許可される内容を定義できます。

ポリシーをネットワークに適用する前に、ルールの完全なセットを定義することをお勧めします。完全なルールセットが不明な場合は、「すべて許可」ルールを適用して、監視されたトラフィックのログデータを収集できます。ルールを挿入して「すべて許可」ルールの上に特定のトラフィックを許可することで、完全なルールセットを構築できます。ルールセットの下部にある[すべて許可]ルールにヒットするトラフィックがない場合は、ルールセットを削除します。

DSSのベストプラクティス

CX 10000のOOBM(Out-of-Band Management)ポートは、スイッチとの管理プレーン通信に推奨されます。これにより、オペレータのエラーから復旧するための通信パスを提供しながら、スイッチの設定とポリシーの変更によってスイッチの到達可能性が意図せずにブロックされることがなくなります。インバンド管理が必要な場合は、CX 10000でip source-interface psmを設定し、スイッチとPSM間のデータプレーンを使用した管理通信を許可します。

DSSスイッチの管理IPインターフェイスとPSMの間にファイアウォールまたはアクセス制御リストを配置する場合、正しく動作させるためには、DSSとPSMの間で多数のTCPポートでの通信が許可されている必要があります。必要なオープンポートは、HPE Networking Support Portalから入手できるPolicy and Services Manager for HPE Aruba Networking CX 10000 User Guideの付録Bに記載されています。

PSMとのDSSスイッチ登録を維持するには、時間同期が必要です。CX 10000スイッチとPSMの両方に同じNTPサーバセットを構成して、PSMでの登録の問題を回避します。

PSMは、セットアップおよびテスト中にログを使用できます。運用ネットワークでは、ファイアウォールログを外部コレクタにエクスポートする必要があります。DSSスイッチのデフォルトVRFで、syslogおよびIPFixコレクタに到達可能である必要があります。

対称IRBを使用する場合は、ポリシー適用のためにリダイレクトされたすべてのVLANがファブリック内のすべてのDSSスイッチに存在し、アクティブ・ゲートウェイがすべてのVLANインタフェースに構成されている必要があります。

NFSストレージトラフィックにポリシーを適用する場合は、適切な規則でセッションの再使用を有効にして、適切なNFS操作を許可します。