26-Feb-25

Aruba EVPNファブリックの保護

この例のファブリックでは、CX 10000スイッチとAMD PensandoのPolicy and Services Managerを使用して、AFCオーケストレーションセキュリティポリシーが東西のトラフィックに適用されます。ACLポリシーは、東西および南北のトラフィックにも適用できます。

– toc

の概要

この章では、Aruba CX 10000スイッチプラットフォームのステートフルファイアウォールを使用したAruba ESPデータセンターネットワークでのポリシーの実施について説明します。ポリシーは、Aruba Fabric Composer(AFC)によってオーケストレーションされたAMD Pensando Policy and Services Manager(PSM)を使用して実装されます。ステートフルファイアウォールポリシーは、VLAN間、同じVLAN内のホスト間、および同じハイパーバイザに割り当てられたVMゲスト間のトラフィックをフィルタリングします（マイクロセグメンテーション）。

Aruba CX 10000シリーズ・スイッチは、データ・センター・クラスのDSS（分散サービス・スイッチ）です。データセンターホストトラフィックでステートフルファイアウォール機能を実行するための専用ハードウェアが含まれています。これらの機能を構成および管理するには、PSMの展開が必要です。PSMを管理するには、AFCを使用することをお勧めします。詳細については、Aruba ESP Data Center Design VSGおよびPensando Policy and Services Manager for Aruba CX 10000: User Guideを参照してください。

注：
AOS-CX 10.13以降を実行するAruba CX 10000スイッチでは、ファイアウォール機能を有効にするには機能パックライセンスが必要です。Feature Packのインストールおよび購入に関する情報は、Feature Pack Ordering GuideおよびDeployment Guideに記載されています。

Aruba Fabric ComposerとのPSM統合の構成

PSMクラスタをAFCのファブリックに関連付けて、ファイアウォールポリシーの集中管理を有効にするには、次の手順を使用します。

Step 1 AFCユーザーインターフェイスの右上にあるメニューバーで、[ガイド付きセットアップを選択しす。

Step 2 ガイド付きセットアップウィンドウの上部にあるDistributed Servicesタブをクリックし、PENSANDO PSMをクリックします。

Step 3 ホストページで、次の値を入力してVALIDATEをクリックします。

名前： RSVDC-FB1-PSM
説明： RSVDCファブリック1のPSMクラスター
ホスト： 172.16.104.51
ユーザー名： admin
Password: < PSM管理ユーザのパスワード>

注：
Hostフィールドに必要なDNS名またはIPアドレスは、1つのPSM VMのみです。残りのクラスタ・メンバーのIPアドレスは自動的に検出されます。

4.検証の成功メッセージが表示されたら、「NEXT」をクリックします。

Step 5 設定ページで、ファブリックを選択します。その他の設定はデフォルトのままにして、 NEXTをクリックします。

Step 6 概要ページで、PSMクラスター設定が正しいことを確認し、[適用]をクリックします。

注：
Aruba CX 10000同じファブリックのメンバーであるスイッチは、この手順の完了時にPSMクラスタへの参加要求を行います。PSMクラスタへの自動承認がfalseに設定されている場合、AFCはPSMに対してCX 10000スイッチを承認するように指示します。

Step 7 AFCの右上のメニューバーで、CLI Commandsアイコンをクリックします。

Step 8 CLI Command Processorページで、次の値を入力してRUNをクリックします。

スイッチ： < Aruba CX 10000ファブリックリーフスイッチを選択>
コマンド： show psm

9.コマンド出力で、各CX10000に次の値が含まれていることを確認します。

動作状態： 承認済み
ホストアドレス： < PSMクラスタメンバのIPアドレス一覧>
VRF: 管理
操作アドレス： < PSMクラスタメンバのIPアドレス一覧>

マクロファイアウォールポリシーの構成

ファイアウォールポリシーは、PSM NetworkオブジェクトまたはVirtual Routing and Forwarding (VRF)オブジェクトに適用される規則の集まりです。PSMポリシーがDSSスイッチに適用される場合、Networkオブジェクトはスイッチ上のVLANに対応し、VRFオブジェクトはスイッチ上のVRFに対応します。

ポリシーには、エンドポイントグループ間で許可または拒否されるトラフィックを指定する一連の規則が含まれています。各規則には、ポート番号によってトラフィックの種類を識別するサービス修飾子またはアプリケーション（サービス修飾子のセット）が含まれています。暗黙的な「すべて拒否」ルールは、すべてのポリシーの最後に適用されます。

次のファイアウォールポリシーの例では、許可されるトラフィックをデータベースサーバーのVLANに制限します。これはPSM Networkに適用されます。ポリシーをNetworkまたはVRFに適用する方法については、Data Center Design VSGのNetwork Designのセクションを参照してください。

サンプル・ポリシーの主な目的は、データベース・サーバを保護することです。このプロセスが完了すると、WebアプリケーションサーバーはMSSQL、ICMP、およびtracerouteトラフィックをデータベースサーバーに送信できます。その他のトラフィックは拒否されます。

このプロセスでは、次の項目が定義されます。

CX 10000スイッチにファイアウォールエンジンにリダイレクトするVLANを通知するPSM Networkオブジェクト – ファイアウォール規則に適用されるIP範囲を指定するエンドポイントグループオブジェクト – 許可または拒否されたトラフィックを指定するファイアウォール規則 – 上記のコンポーネントを結合するファイアウォールポリシー

この例では、WebサーバはCX 10000スイッチと非DSSスイッチ・モデルの両方に分散されています。データベース・サーバは、CX 10000のリーフ・ペアにのみ接続されます。

PSMネットワークの構成

この手順では、PSM Networkオブジェクトを作成して、ファイアウォールポリシーの適用のためにトラフィックをリダイレクトするVLANを指定します。AFCでPSM Networkを作成しても、スイッチにVLANは作成されません。対応するVLANとSVIが存在しない場合は、定義する必要があります。前提条件となるVRF、VLAN、およびSVIの設定手順の詳細については、このガイドの前半にあるDeploying the Fabricを参照してください。

Step 1 Guided SetupのDistributed Servicesタブで、「選択したVRF** ドロップダウンのRSVDC-FB1/PROD-DC-VRFを選択します。 **CONFIGURE NETWORKSをクリックします。

Step 2 WebサーバーのVLANにPSM Networkを追加するには、ACTIONSメニューを右クリックし、[追加を選択してNetworkワークフローを開始しす。

Step 3 名前ページで、名前および説明を入力し、「次へをクリックしす。

Step 4 設定ページで、データベースサーバーのVLAN IDを*VLAN** フィールドに入力してNetworkオブジェクトに関連付け、次**をクリックします。

Step 5 Summaryページで、情報が正しいことを確認し、[APPLY]をクリックします。

Step 6 PROD-DC-VRFのすべてのVLANにNetworkオブジェクトを定義する手順を繰り返します。

注意：
両方のVLANにNetworkオブジェクトが関連付けられていない場合、異なるVLAN内の2つのホスト間で通信エラーが発生する可能性があります。ベストプラクティスは、VRF内のすべてのVLANにNetworkを定義することです。

動的エンドポイントグループの確認

エンドポイントグループオブジェクトは、ファイアウォール規則で参照される発信元IPアドレスと宛先IPアドレスを表します。動的エンドポイントグループは、AFCのvCenter統合によって特定された仮想マシンへのvSphereタグの割り当てに基づいて自動的に入力されます。

同じタグが割り当てられたすべての仮想マシンは、動的グループのメンバーとして自動的に生成されます。vCenterでメンバーのIPアドレスが変更されたり、タグの割り当てが変更されたりすると、動的グループオブジェクトが自動的に更新されます。

Step 1 構成メニューで、[ポリシー] > [エンドポイントグループを選択ます。

Step 2 vSphereで割り当てられた仮想マシンのタグが動的エンドポイントグループに入力されていることを確認します。

注：
動的エンドポイントグループが存在しない場合は、Configuration > Integration > VMware vSphereでAutomated Endpoint Group Provisioningが有効になっていることを確認します。vSphere内の仮想マシンにタグが割り当てられ、現在実行中であることを確認します。統合の詳細については、Deploying the Fabricのセクションを参照してください。

注：

動的エンドポイントグループが存在しない場合は、Configuration > Integration > VMware vSphereでAutomated Endpoint Group Provisioningが有効になっていることを確認します。vSphere内の仮想マシンにタグが割り当てられ、現在実行中であることを確認します。統合の詳細については、Deploying the Fabricのセクションを参照してください。

静的エンドポイントグループの構成

動的グループに自動的に入力されないIPアドレスを表すために、追加のエンドポイントグループが作成されます。

1.ネットワークサービスサブネットのエンドポイントグループを作成するには、構成>ポリシー>エンドポイントグループコンテキストで、右アクションメニューをクリックし追加を選択します。

Step 2 名前ページで、名前および説明を入力し、「次へをクリックしす。

Step 3 Typeページで、TypeをデフォルトのLayer 3値のままにしてNEXTをクリックします。

Step 4 エンドポイントページで、[手動エンドポイントエントリラジオボタンをクリックし、IPv4ネットワークアドレスフィールドにWebサーバーのサブネット値を入力して追加をクリックします。

注：
単一のエンドポイントグループは、IP範囲と個々のアドレスのコレクションにすることができます。静的エンドポイントグループは、AFCのvSphereインテグレーションを使用して作成できます。VM名またはVMタグに基づいてエンドポイントグループウィザードで静的な割り当てを行う場合、エンドポイントグループに追加されたIPアドレスは、エンドポイントグループの作成時に確立されます。VM IPアドレスまたはタグ割り当てに対する今後の変更は、アドレスオブジェクトで自動的には更新されません。動的エンドポイントグループを使用して、VM IP割り当てを自動的に更新します。

注：

単一のエンドポイントグループは、IP範囲と個々のアドレスのコレクションにすることができます。

静的エンドポイントグループは、AFCのvSphereインテグレーションを使用して作成できます。VM名またはVMタグに基づいてエンドポイントグループウィザードで静的な割り当てを行う場合、エンドポイントグループに追加されたIPアドレスは、エンドポイントグループの作成時に確立されます。VM IPアドレスまたはタグ割り当てに対する今後の変更は、アドレスオブジェクトで自動的には更新されません。動的エンドポイントグループを使用して、VM IP割り当てを自動的に更新します。

Step 5 [エンドポイントグループ]ウィンドウの下部にあるリストにサブネットが追加されたことを確認し、[次へをクリックしす。

Step 6 Summaryページで、すべての情報が正しいことを確認し、APPLYをクリックします。

7.次の値を使用して、ファイアウォール規則で使用する追加のエンドポイントグループを作成する手順を繰り返します。

名前	説明	型	住所
PROD-DC-VRF-Summary-EG	DCオーバーレイ内のPROD-DC-VRFの概要IPプレフィックス	画層3	10.5.0.0/16
Campus-Admins-EG	アプリケーション管理者が使用するキャンパスIPサブネット	画層3	10.254.1.0/24
All-Hosts-EG	すべてのホストエンドポイントグループ	画層3	0.0.0.0/0

ファイアウォール規則の構成

次の手順では、バックエンド・データベース・サーバVLANに許可される着信トラフィックを定義するファイアウォール規則を作成します。

フロントエンドWebサーバからの通信に加え、ネットワークサービス機能やトラブルシューティングプロトコルを可能にするルールが定義されています。これは、ファイアウォールポリシーで明示的に許可されていないトラフィックが暗黙的な拒否規則によってブロックされるために必要です。

ルールを定義する際には、政策の方向性を考慮することが重要です。この例では、入力ポリシーを使用して、データベース・サーバへのDSSおよび非DSSソース・トラフィックの両方をフィルタリングします。ポリシーの方向と設計は、要件と管理者の設定によって異なります。

個々の規則は、送信元と宛先のエンドポイントグループ、トラフィックの種類を指定するサービス修飾子またはアプリケーション、および「許可」または「拒否」のアクションを識別します。規則は、ポリシーに追加されるまでトラフィックを許可または拒否しません。

Step 1 AFCの左ナビゲーションウィンドウで、[ルール]をクリックします。

Step 2 MSSQLプロトコルを使用してWebサーバーがデータベースサーバーにアクセスできるようにするルールを作成するには、右の[アクション]メニューをクリックして追加を選択しす。

Step 3 名前ページで、名前および説明を入力し、「次へをクリックしす。

注：
規則の名前付け規則には、規則の名前に許可または拒否、エンドポイントグループ、およびサービスのアクションを含めると便利です。これにより、後でポリシーの構築が簡素化されます。

Step 4 設定ページで、TypeおよびActionフィールドをデフォルト値のままにし、NEXTをクリックします。

Step 5 エンドポイントグループページで、次のようにVMタグを使用して動的に作成されたエンドポイントグループを選択し、[次へをクリックします。

Source Endpoint Groups: rsvdc-vcenter.example.local_prod:app1_webui
Destination Endpoint Groups: rsvdc-vcenter.example.local_prod:app1_db

注：
AFCは、仮想マシン管理者がvCenterのIP割り当てまたはVMタグを変更すると、動的に作成されたエンドポイントグループを使用するファイアウォール規則のIPアドレスを自動的に更新します。

Step 6 [アプリケーションおよびサービス修飾子]ページで、[サービス修飾子]フィールドに定義済みのmssql_server名を入力し始め、一覧に表示されたらmssql_serverをクリックして、[NEXT]をクリックします。

Step 7 Summaryページで、すべての情報が正しいことを確認し、APPLYをクリックします。

8.手順を繰り返して、データベース・サーバのNetwork入力ポリシーで使用する次の値を持つルールを作成します。

名前	説明	型	アクション	エンドポイントグループ	アプリケーションとサービスの修飾子
Allow-All-ICMP	すべてのホストからすべてのホストへのICMPを許可する	画層3	許可	Source: All-Hosts-EG Destination: All-Hosts-EG	サービス修飾子: icmp
Allow-All-UDP-traceroute	すべてのホストからすべてのホストへのUDPベースのtracerouteを許可します	画層3	許可	Source: All-Hosts-EG Destination: All-Hosts-EG	サービス品質: traceroute
Allow-Admins-to-PROD-DC-VRF	キャンパス管理ネットホストをDCオーバーレイの実稼働VRFに許可する	画層3	許可	Source: Campus-Admins-EG Destination: PROD-DC-VRF-Summary-EG	サービスの条件：すべて

注：
複数のポリシーに適用できる規則を定義することで作成される規則の総数を減らします。同じような規則に対して細かい変更が必要な場合は、[操作>クローン]を選択して、既存の規則から新しい規則を複製できます。

入力ポリシーの構成

EVPN-VXLANオーバーレイを使用する場合、PSM入力ポリシーは、ファブリック内の他のスイッチ（DSSまたは非DSS）から到着するすべてのトラフィックをフィルタリングします。これには、レイヤ2およびレイヤ3 VXLAN転送トラフィック、およびデータセンターファブリックの外部から発信されるトラフィックの両方が含まれます。AOS-CX 10.10.1000以降を使用している場合、入力ポリシーは、同じCX 10000スイッチに接続されているホスト間のルーティングトラフィックにも適用されます。

デフォルトでは、入力ポリシーは、同じCX 10000スイッチに接続されている同じサブネット内のホスト間のトラフィックには適用されません。このタイプのポリシーアプリケーションは、ESXi VM Microsegmentationで説明されているように、PVLANベースのマイクロセグメンテーション戦略を使用する場合に実現できます。出力ポリシーは、トラフィックがスイッチを通過する限り、同じVLANおよびサブネット内にある同じCX 10000に接続されたホスト間のトラフィックをフィルタリングするためにも適用できます。

次の図は、Webサーバが発信する非MSSQLトラフィックからデータベースサーバを保護するコンポーネントを示しています。

**入力ポリシー図**

次の手順では、以前に作成した規則をポリシーに割り当て、データベースサーバーのVLAN宛てのトラフィックをフィルタリングします。

Step 1 構成/ポリシー/ポリシーで、右アクションメニューをクリックして追加を選択します。

Step 2 名前ページで、名前および説明を入力し、「次へをクリックしす。

Step 3 設定ページで、タイプのデフォルト値の分散ファイアウォールを選択したままにして、次をクリックします。

Step 4 Policy Rulesページで、右のACTIONSメニューをクリックし、Add > Existingを選択します。

Step 5 ルールの選択ウィンドウで、次の順序でデータベースサーバー宛てのトラフィックを許可するルールのチェックボックスをクリックし、適用をクリックします。

Allow-PROD-WEB-to-DB-MSSQL
Allow-Admins-to-PROD-DC-VRF
Allow-All-ICMP
Allow-All-UDP-Traceroute

注：
データベースサーバーVLANに入力ポリシーを適用した後、VLAN内のホスト宛てのすべてのトラフィックは、ポリシー内のファイアウォール規則によって明示的に許可される必要があります。許可されない場合は、ブロックされます。唯一の例外は、送信元と宛先が同じCX 10000スイッチに接続されているデータベースサーバVLANから発信されたトラフィックです。

注：

データベースサーバーVLANに入力ポリシーを適用した後、VLAN内のホスト宛てのすべてのトラフィックは、ポリシー内のファイアウォール規則によって明示的に許可される必要があります。許可されない場合は、ブロックされます。唯一の例外は、送信元と宛先が同じCX 10000スイッチに接続されているデータベースサーバVLANから発信されたトラフィックです。

6.ルールセットが適切な順序であることを確認し、[次へをクリックしす。

Step 7 実行ページで、次の値を選択します。ウィンドウの左下（ドロップダウンの下）にあるADDボタンをクリックします。

ファブリック： RSVDC-FB1
方向： 入口
VRF: PROD-DC-VRF
ネットワーク： DB-NET-PROD - VLAN: 102

Step 8 enforcer情報が正しく追加されたことを確認し、[次へ]をクリックします。

Step 9 Summaryページで、情報が正しいことを確認し、APPLYをクリックします。

フロントエンドWebアプリケーションサーバーからバックエンドデータベースサーバーポリシーの構成が完了しました。

VMのマイクロセグメンテーション

マイクロセグメンテーションにより、同じハイパーバイザ上の仮想マシンゲスト間でファイアウォールポリシーを適用できます。

PVLANベースの設定では、ファイアウォールポリシー検査のために、マイクロセグメント化されたVMからアップストリームCX 10000スイッチへのすべてのトラフィックが強制的に送信されます。PVLANを設定しない場合、ハイパーバイザは同じVLAN内のホスト間で直接トラフィックを転送します。出力および入力ポリシーを適用できます。

次の図は、マイクロセグメンテーションポリシーのサポートに使用されるネットワークコンポーネントを示しています。

**マイクロセグメンテーションポリシー図**

この手順では、出力ファイアウォールポリシーを同じESXiホスト上の2つのVM間で適用します。出力ポリシーは、VLAN内のホストによって開始されたすべてのトラフィックをポリシー規則の作成対象にします。

AFCは、vSphereで仮想分散スイッチ(vDS)とマイクロセグメンテーションPVLANを作成するために使用されます。対応するPVLAN構造が、ESXiホストに接続されたCX 10000スイッチ上に作成されます。隔離PVLANに配置されたVM間のプロキシ通信を可能にするために、プライマリPVLANにプロキシARPでSVIが作成されます。隔離PVLAN内のホスト間で許可されるトラフィックを指定するために、プライマリPVLAN Networkにファイアウォールポリシーが適用されます。この実装例では、複数のCX 10000スイッチにわたってマイクロセグメンテーションが作成されます。

AFCのマイクロセグメンテーションワークフローでは、一連のウィザードを使用して、単一の流体プロセスでマイクロセグメンテーションのセットアップを完了します。vCenter構成の一部を作成する以外に、次の関連する構成コンポーネントを同じワークフロー内で変更できます。

– プライマリPVLANのPSM Network定義 – プライマリPVLANのVLAN SVI

CX 10000 MC-LAG構成 – ポリシーエンドポイントグループ – ポリシーアプリケーションとサービスの修飾子・ポリシールール – ファイアウォールポリシー
vCenter vDSおよび仮想ポート・グループ
vCenter LAG/LACP構成
vCenter VMへの分散ポートグループの割り当て

ポリシーアプリケーションの構成

AFCのアプリケーションは、管理者が複数のサービス修飾子をプロトコルのセットにまとめる柔軟性を提供します。定義は、アプリケーションに対する広範な要件を表したり、ファイアウォールまたはACLポリシーの目的でプロトコルの集合を論理的にグループ化したりできます。

次の手順では、マイクロセグメント化されたデータセンターホストから到達可能でなければならないネットワークサービスのセットを表すアプリケーションを定義します。

Step 1 AFCの左ナビゲーションウィンドウで、[アプリケーションをクリックます。

2.右のACTIONSメニューをクリックしてAddを選択します。

Step 3 名前ページで、名前および説明を入力し、「次へをクリックしす。

Step 4 サービス修飾子ページで、サービス修飾子の名前の入力を開始します。一致する修飾子のリストが表示されます。選択がハイライト表示されているときに[Tab]または[Enter]を押してエントリをオートコンプリートするか、リスト内の修飾子名をクリックします。Qualifiersフィールドに次の選択項目が表示されるまでサービス修飾子の選択を続け、 NEXTをクリックします。

syslog
dns
ntp
radius_auth_udp
radius_acct_udp
ldaps

注：
目的のプロトコルとポートの組み合わせに対して定義済みのサービス修飾子が存在しない場合は、[追加]をクリックして新しいサービス修飾子を作成します。

Step 5 ALG設定ページで、Typeをデフォルト値のNoneのままにしてNEXTをクリックします。

Step 6 Summaryページで、すべての情報が正しいことを確認し、APPLYをクリックします。

マイクロセグメンテーション規則の構成

ファイアウォール規則の構成セクションの手順に従って、次のファイアウォール規則を作成します。AFC Microsegmentationウィザードは、ワークフローの一部としてルールの作成をサポートしています。ルールを事前に定義すると、マイクロセグメンテーションのプロセスが簡素化されます。

名前	説明	型	アクション	エンドポイントグループ	アプリケーションとサービスの修飾子
Allow-Base-Net-Services	DCホストがサポートしているネットワークサービスにアクセスできるようにする	画層3	許可	Source: PROD-DC-VRF-Summary-EG Destination: Network-Services-EG	アプリケーション： Base-Net-Services
Allow-MSEG1-HTTPS	MSEG1ホスト間のHTTPSを許可する	画層3	許可	Source: rsvdc-vcenter.example.local_rsvdc:mseg1 Destination: rsvdc-vcenter.example.local_rsvdc:mseg1	サービス修飾子: https
Allow-MSEG1-SSH	MSEG1ホスト間のSSH/SCPを許可する	画層3	許可	Source: rsvdc-vcenter.example.local_rsvdc:mseg1 Destination: rsvdc-vcenter.example.local_rsvdc:mseg1	サービス修飾子: ssh

注：
マイクロセグメント化されたエンドポイント間のルールは、個々のレベルに細分化できます。上記のAllow-MSEG1の例では、マイクロセグメンテーションに割り当てられたVMの集合セット間の通信を許可するために、同じ規則が適用されています。規則の数を最小限に抑えるために、可能な場合はホストのセットにポリシーを適用することをお勧めします。この実装の例では、動的エンドポイントグループはマイクロセグメンテーションファイアウォールルールで使用されます。

注：

マイクロセグメント化されたエンドポイント間のルールは、個々のレベルに細分化できます。上記のAllow-MSEG1の例では、マイクロセグメンテーションに割り当てられたVMの集合セット間の通信を許可するために、同じ規則が適用されています。規則の数を最小限に抑えるために、可能な場合はホストのセットにポリシーを適用することをお勧めします。

この実装の例では、動的エンドポイントグループはマイクロセグメンテーションファイアウォールルールで使用されます。

AFCを使用したESXiのマイクロセグメンテーション

マイクロセグメンテーションでは、PSMファイアウォールポリシーを使用して、CX 10000スイッチに接続されている場合に、同じハイパーバイザにインストールされているVM間のトラフィックをフィルタリングします。

AFC Create Microsegmentationワークフローは、vSphere環境でのマイクロセグメンテーションを自動化します。

次のワークフローは、新しいESXiホストの導入または既存のホストで使用できます。ESXiホストには、現在仮想スイッチに割り当てられていない使用可能なVNICが少なくとも1つ必要です。未割り当てのVNICのみが表示され、ウィザードで使用できます。ターゲットのESXiホストで未使用のVNICを使用できない場合は、vCenterでPVLANを構成した後に、適切なAFCウィザードを個別に実行することで、マイクロセグメンテーションを作成できます。

Step 1 ガイド付きセットアップのDISTRIBUTED SERVICESタブSelected VRFフィールドでRSVDC-FB1/PROD-DC-VRFを選択し、CONFIGURE MICROSEGMENTATIONをクリックします。

Step 2 設定ページで、次の値を入力してESXiホストを選択し、追加をクリックします。

名前： MSEG1
ホストアドレス： < ESXiホストターゲット、マイクロセグメンテーション>
NIC: vmnic3 vmnic4

3.上の手順を繰り返して、マイクロセグメンテーションインスタンスに追加のESXiホストを割り当てます。割り当てられたすべてのESXiホストは、CX 10000スイッチに接続する必要があります。

4.すべてのESXiホストがダイアログボックスの下部にある一覧に追加されたことを確認し、[次へ]をクリックします。

Step 5 PVLANページで、次の値を入力します。Isolated VLAN VNICsの横にあるSELECT VNICをクリックします。

ポートグループ名の接頭辞： DPG
プライマリVLAN: 50
隔離VLAN: 51

Step 6 PVLAN分散ポートグループに割り当てるVM仮想ネットワークアダプターを確認し、[適用]をクリックします。

注：
各列では、大規模なVM展開で表示されるVNICを管理するためのフィルタリングと並べ替えがサポートされています。

Step 7 分離VLAN NICの数が正しいことを確認し、[次へをクリックしす。

Step 8 Fabricページで、データセンターファブリックを選択し、[次へ]をクリックします。

Step 9 LAGsページで、次のVM値を入力します。Switch LAGの横にあるADDをクリックします。

vSphere LAGの名前: MSEG1
ホスト： < ESXiホスト>
ホストNIC: <スイッチMC-LAG &gt；に接続されたVM NIC

Step 10 LAGウィザード：設定ページで、名前、説明およびLAG番号を入力します。NEXTをクリックします。

Step 11 LAGウィザード： Portsページで、ESXiホストに対応するスイッチを選択し、ポートが正しく選択されていることを確認して、 NEXTをクリックします。

Step 12 LAGウィザード： LACP設定ページで、設定をデフォルトのままにして次へをクリックします。

Step 13 LAGウィザード： [VLANs]ページで、[VLANs]フィールドにプライマリVLAN IDと分離VLAN IDの両方を入力し、[NEXT]をクリックします。

Step 14 LAGウィザード： Summaryページで、すべての情報が正しいことを確認し、 APPLYをクリックします。ウィザードが閉じ、メインの分散仮想スイッチワークフローに戻ります。

Step 15 LAGsページの左下にあるADDをクリックします。

16.手順9–15を繰り返して、マイクロセグメンテーションに含まれる各仮想マシンに追加のMC-LAGを作成し、 NEXTをクリックします。

Step 17 [VRF]ページでVRFを選択し、[ネットワーク]フィールドで追加をクリックしてネットワークウィザード起動ます。

Step 18 ネットワークウィザード：名前ページで、名前と説明を入力し、次をクリックします。

Step 19 ネットワークウィザード：設定ページで、自動選択されたプライマリPVLAN値を確認し、次へをクリックします。

注：
マイクロセグメンテーションワークフロー内でPSMネットワークを作成する場合、VLANは自動的にプライマリPVLAN IDに設定されます。この値は変更できません。別のVLAN IDが存在する場合は、キャンセルをクリックしてネットワークウィザードを終了し、戻るをクリックしてPVLANページを確認します。

注：

マイクロセグメンテーションワークフロー内でPSMネットワークを作成する場合、VLANは自動的にプライマリPVLAN IDに設定されます。この値は変更できません。別のVLAN IDが存在する場合は、 キャンセルをクリックしてネットワークウィザードを終了し、戻るをクリックしてPVLANページを確認します。

Step 20 ネットワークウィザード：概要ページで、設定が正しいことを確認し、適用をクリックします。ウィザードが閉じ、メインの分散仮想スイッチワークフローに戻ります。

21.新しいPSM NetworkがNetwork Fieldに設定されていることを確認し、[SVI]フィールドでADDをクリックしてIP Interfaceウィザードを起動します。

Step 22 IP Interfaceウィザード： Interface Typeページで、Type、VLAN、およびEnable Local Proxy ARPフィールドの自動入力された値を確認します。次の値を入力し、 NEXTをクリックします。

スイッチ： < ESXiマイクロセグメンテーション&gt；に接続されたCX 10000スイッチ
IPv4サブネットワークアドレス： 10.5.50.0/24
IPv4アドレス： 10.5.50.1
アクティブゲートウェイのIPアドレス： 10.5.50.1
Active Gateway IP MACアドレス： 02:00:0A:05:00:01

注：
ローカルプロキシARPを有効にするはウィザードによってチェックされており、変更できません。同じ隔離PVLANに割り当てられたVM間の通信を有効にするには、プロキシARPが必要です。

Step 23 IP Interfaceウィザード： Nameページで、NameとDescriptionを入力し、NEXTをクリックします。

Step 24 IPインターフェイスウィザード：概要ページで、すべての情報が正しいことを確認し、適用をクリックします。ウィザードが閉じ、メインの分散仮想スイッチワークフローに戻ります。

25.新しいSVIが[SVI]フィールドに入力されていることを確認し、[次]をクリックして続行します。

Step 26 Policyページで、[Policies]フィールドのADDをクリックしてPolicyウィザードを開始します。

Step 27 Policyウィザード： Nameページで、NameとDescriptionを入力し、NEXTをクリックします。

Step 28 Policyウィザード： Settingsページで、事前に入力されているTypeフィールドの値がDistributed Firewallに設定されていることを確認し、 NEXTをクリックします。

Step 29 Policyウィザード： ACTIONSをクリックし、 Add > Existingを選択します。

Step 30 ポリシーウィザード。 ルールの選択ウィンドウで、次の順序で既存のルールのチェックボックスを選択し、適用をクリックします。

Allow-MSEG1-HTTPS
Allow-MSEG1-SSH
Allow-Base-Net-Services
すべてのICMPを許可
Allow-All-UDP-Traceroute

Step 31 ポリシーウィザード：ルールの順序が要件に一致することを確認し、[次へをクリックしす。

Step 32 Policyウィザード： Enforcersページで、事前に設定されているegress enforcerがリストされていることを確認し、 NEXTをクリックします。

注：
ポリシーの方向とデザインは、要件と管理者の設定によって異なります。すべてのホストがCX 10000スイッチに接続されている場合は、東西のトラフィックをフィルタリングするために出力ポリシーを使用することをお勧めします。入力ポリシーが優先される場合は、ごみ箱アイコンをクリックして、事前設定された出力強制を削除できます。

注：

ポリシーの方向とデザインは、要件と管理者の設定によって異なります。すべてのホストがCX 10000スイッチに接続されている場合は、東西のトラフィックをフィルタリングするために出力ポリシーを使用することをお勧めします。入力ポリシーが優先される場合は、 ごみ箱アイコンをクリックして、事前設定された出力強制を削除できます。

Step 33 Policyウィザード： Summaryページで、すべての情報が正しいことを確認し、APPLYをクリックします。 Policyウィザードが閉じ、メインの分散仮想スイッチワークフローに戻ります。

Step 34 [Policy]ページで、新しく作成したポリシーが[Policies]フィールドに入力されていることを確認し、[NEXT]をクリックします。

Step 35 Summaryページで、すべての情報が正しいことを確認し、APPLYをクリックします。

この手順が完了すると、AFCは、含まれているすべてのESXiホストでPVLANおよびLAG/LACP構成を作成し、アップリンクToRスイッチでMC-LAGを作成します。

プライマリPVLANをEVPNに追加する

プライマリPVLANがEVPN構成に追加され、ファブリック内のマイクロセグメント化されたホストの到達可能性が通知されます。マイクロセグメンテーションは、ファブリック内の1つのラックまたは複数のラックに存在できます。

Step 1 構成メニューで、[ルーティング] > [EVPNを選択ます。

Step 2 EVPN構成を変更するには、右の[アクションメニューをクリックして追加を選択しす。

Step 3 概要ページで、構成メモを読み、[次へをクリックしす。

Step 4 Switchesページで、Create EVPN instance across the Entire Fabric and all Switches contains within itチェックボックスをオフにします。PVLANマイクロセグメンテーションに接続されているすべてのDSSスイッチを指定し、 NEXTをクリックします。

Step 5 Nameページで、以前にEVPNマップの作成に使用したName Prefixを入力し、 NEXTをクリックします。

注：
1つのファブリック内のすべてのEVPN構成に同じプレフィックス値を使用することがベスト・プラクティスです。

Step 6 VNIマッピングページで、以前に使用したBase L2VNIの値が自動入力されます。VLANsフィールドにmicrosegmentation primary PVLANと入力し、 NEXTをクリックします。

Step 7 設定ページで、以前に使用したMACリソースプールが[MACアドレスリソースプールフィールドに自動入力されます。ルートターゲットタイプとしてAUTOを指定し、 NEXTをクリックします。

Step 8 Summaryページで、すべての値が正しいことを確認し、APPLYをクリックします。

マイクロセグメント化されたネットワークを外部にアドバタイズ

AFC EVPN-VXLANの作成中に、PROD-DC VRFに対してBGPが有効になりました。BGPがイネーブルになっている場合、AFCは、VRFが設定されているすべてのリーフスイッチに接続されたインターフェイスの再配布を設定します。この設定では、プライマリPVLAN SVIプレフィクスがBGPにインストールされます。これにより、追加手順を必要とせずに、キャンパスおよびその他のファブリックへのプライマリPVLANネットワークのアドバタイズメントが提供されます。

PSMでのポリシーの確認

AFCポリシーはAMD PensandoのPSMにプッシュされ、CX 10000 DPUにポリシーがインストールされます。

ネットワークの確認

Step 1 PSMで、左側のウィンドウでテナントを展開し、[ネットワーク]をクリックします。

2.表示されたPSM Networksに正しい入力ポリシーと出力ポリシーが適用されていることを確認します。

注：
定義されているNetworkごとにPropagation Status列に「Propagation Complete」と表示され、すべてのCX 10000スイッチが表示されたポリシーをインストールしたことを示します。

3.ポリシーの完全な一覧を表示するには、左側のナビゲーションメニューでセキュリティポリシーをクリックします。

4.ポリシーのリストを確認します。ポリシーに含まれるルールを表示するには、ポリシー名をクリックします。

5.表示されたルール・セット内のルールの全文を表示するには、リスト内のルールにマウスオーバーします。