28-Mar-24

EdgeConnect SD-WANオーバーレイ設計

EdgeConnect SD-WANソリューションのオーバーレイは、IPsecトンネルを使用して構築されます。 IPsecトンネルの上に、トラフィックはBusiness Intent Overlay(BIO)に配置され、特定のガイドラインと設定を使用してトラフィックを指示します。 BIOには多くの異なるコンポーネント（インターフェイス、ポリシー、SLAなど）が含まれます。設計に関する考慮事項の概要を以下に示します。

EdgeConnect SD-WANオーバーレイ設計

トラフィックの分類

分類は各BIOに割り当てられます。 SD-WANアプライアンスは、特定のアプリケーションを認識するように割り当てたり、DSCPマーキング、L3/L4 ACL、およびFirst Packet IQと呼ばれる組み込みDPIエンジンに基づいてオーバーレイアクセスリストを使用したりできます。

設計フェーズでは、さまざまなタイプのトラフィックに対してBIOのセットアップを調整する方法を検討します。 DSCPまたはACLをフォールバックとして使用して、アプリケーションの識別を推奨します。

デフォルトのオーバーレイACLを確認し、必要に応じて変更します。また、アプリケーショングループを使用して、必要に応じて共通のアプリケーションをバンドルします。

トポロジ

トポロジは、IPsecトンネルが構築される場所を決定し、SD-WANソリューションのスケーラビリティを決定します。最適化されたスポーク・ツー・スポーク・ルーティングを必要としないBIOでは、ハブ・アンド・スポーク・トポロジの使用をお勧めします。一般に、メッシュとして構成される唯一のBIOは、レイテンシに敏感なアプリケーションがスポーク間で直接ルーティングできるようにリアルタイムです。

地域ルーティング

SD-WANトポロジ内でリージョンを定義して、より大規模なネットワークに対応できます。これにより、リージョン間にIPsecトンネルのフルメッシュがあるリージョン内で、ハブアンドスポークまたはフルメッシュトポロジを使用できます。これは、一般的に大規模なネットワークでのみ使用される高度な設計です。地域のルーティング設計の支援については、アルバのアカウントチームにお問い合わせください。

インターフェイスの選択

主インタフェースとバックアップインタフェースはBIOで定義されています。主インタフェースリストのインタフェースは、正常性について頻繁に調査され、すべて結合ポリシーに基づいてトラフィックを転送するために使用されます。

バックアップインターフェイスは、すべてのプライマリ回線がダウンしているか、設定されたSLAを満たしていない場合にのみ使用されます。バックアップインターフェイスは、IPsecトンネルの実行を維持するのに十分なトラフィックだけを渡し、正常性プローブを持ちません。

ベストプラクティスは、すべての一般的なインターネットおよびMPLSインターフェイスをプライマリインターフェイスリストに配置し、モバイル回線などの従量制課金インターフェイスに対してバックアップリストを使用することです。

サービス・レベルの目標

BIOはサービスレベル目標(SLO)を使用して定義でき、ポリシーの範囲から外れた場合に利用可能なインターフェイスから削除できます。高可用性および高品質リンクボンディングポリシーでは、オーバーレイブラウンアウトに基づいてリンクが除外されます。このため、ほとんどの環境でSLOの設定は必要ありません。BIOレベルのSLOが必要な場合は、リンク結合ポリシーでオーバーレイを管理できるように高い値に設定する必要があります。

BIOレベルのSLOの推奨値は次のとおりです。

リアルタイムBIO:

*レーテンシー – 250ms *損失 – 10% *ジッター – 50ms

TCPベースのBIO

*レーテンシー – 500ミリ秒 *損失 – 10% *ジッター – 50ms

リンクボンディングポリシー

Link Bondingポリシーは、トラフィックが適切なリンクに分散される方法と、トラフィックにForward Error Correction（FEC；前方誤り訂正）が適用される方法を定義します。4つのデフォルトのリンクボンディングポリシーにより、カスタムポリシーを作成できます。

デフォルトのリアルタイムBIOは高可用性リンク結合ポリシーを使用し、残りのBIOは高品質リンクポリシーを使用します。各ボンディング方針の特徴を以下に示します。

高可用性

高可用性は、最もパフォーマンスの高いパスを選択し、パスが満杯に近づくまでパスを使用し、次にパフォーマンスの高いパスにトラフィックを流します。パケットのコピーが別のトランスポートに配置されると、すべてのトラフィックは1:1 FECを受信します。高可用性リンクボンディングポリシータイプは、有効帯域幅を50%に設定するため、リアルタイムトラフィックにのみ使用する必要があります。

高品質

高品質のポリシーでは、最もパフォーマンスの高いパスが選択され、パスが満杯に近づくまでそのパスが使用され、次にパフォーマンスの高いパスにトラフィックが振り分けられます。アダプティブFECは、回線の劣化がある場合にのみパリティパケットを提供するために使用されます。高品質リンクボンディングポリシーは、非リアルタイムトラフィックタイプのデフォルトの選択として使用する必要があります。

高スループット

高スループットポリシーは、BIOで定義されたSLO以下で実行されるすべてのトランスポートでパケットの負荷分散を行います。アダプティブFECは、回線の劣化がある場合にのみパリティパケットを提供するために使用されます。このリンク結合ポリシーは、固有の状況でのみ使用されます。

高効率

高効率ポリシーは、BIOで定義されたSLO以下で実行されるすべてのトランスポートでパケットの負荷分散を行います。このボンディングポリシーではFECは使用されません。このリンク結合ポリシーは、固有の状況でのみ使用されます。

QOS、セキュリティ、最適化

QOS

アプリケーションによって、サービス品質(QOS)とエンドユーザーエクスペリエンスの要件が異なります。たとえば、音声とビデオのトラフィックでは、パケット損失がゼロで遅延が非常に低く、ファイル転送では大量の帯域幅が必要ですが、ある程度の遅延は許容されます。

Silver Peakを使用すると、ネットワーク設計者は、ビジネスに関連するアプリケーションのQOS要件を反映した論理または仮想WANオーバーレイを定義できます。

EdgeConnectは、アプリケーションを適切なオーバーレイにマッピングします。これにより、SD-WANはルーティングの決定を自動的に最適化できます。EdgeConnectは、結合トンネルと物理WANリンクを継続的に監視し、遅延、ジッタ、およびパケット損失に関するリアルタイムデータを考慮して、インテリジェントなルーティング決定を行います。Silver Peak SD-WANは、アプリケーションを中断することなく、実際のパフォーマンスに基づいて、必要に応じてパスを最適化し、動的に変更するように学習および適応します。リンク条件が変更されると、SD-WANは元のパスに戻すことができます。

EdgeConnectは、出力トラフィックシェーピングと入力トラフィックシェーピングの両方を実行します。ITスタッフは、出力トラフィックに対して最小および最大帯域幅制限をプログラムし、トラフィッククラス別にエンジンを形成して、1つのアプリケーションがWAN帯域幅をすべて消費することがないようにします。

入力シェーピングは、低いプライオリティのトラフィックが高いプライオリティのトラフィックを上書きしないようにプログラムできます。例えば、ビデオストリーミングやソーシャルメディアアプリケーションは、優先度の高いビジネスアプリケーションのパフォーマンスを損なうことを防ぐことができます。

EdgeConnect SD-WANソリューションでは、2つの主要コンポーネントがQOSを管理します。

– シェーパは、アプライアンスでQoS(Quality of Service)をグローバルに設定するための簡略化された方法を提供します。帯域幅をシステム帯域幅に対する割合として割り当てることにより、トラフィックを形成します。シェーパのパラメータは、10のトラフィッククラスに編成されています。4つのトラフィッククラスが事前設定され、real-time、interactive、default、best effortという名前が付けられます。

BIOはトラフィックを信頼またはコメントするために使用されます。割り当てられたトラフィッククラスにパケットをマッピングする方法を決定します。

ブランチを設計する際には、全体的なQOSポリシーを考慮し、使用するQOSマーキングとトラフィッククラスのマッピング方法を決定することが重要です。

最適化

EdgeConnectエンタープライズソリューションは、 EdgeConnect SD-WANソリューションの概要のセクションで説明されているように、堅牢なWAN最適化を提供します。最適化は、各BIOに個別に適用し、ブーストを使用する必要がある、または使用することで利益を得られるBIOにのみ適用する必要があります。キャッシュが必要な場合や高レイテンシ（100ms以上）が予想される場合は、BIOの最適化を使用します。

インターネットおよびクラウドサービスへのブレイクアウトトラフィック

企業がクラウドに移行するアプリケーションの数が増えるにつれて、トラフィックパターンが変化すると、ワイドエリアネットワーク(WAN)とセキュリティアーキテクチャを変革する必要性が高まります。

アプリケーションが企業のデータセンターのみでホストされていた場合、ブランチサイトからのトラフィックはプライベート回線を介してデータセンターにバックホールされました。今日のクラウドを最初に採用した企業では、アプリケーションはデータセンターやパブリッククラウド、プライベートクラウドなど、あらゆる場所でホストされ、無数のSaaS(Software-as-a-Service)プロバイダーによって提供されています。

ユーザーは、どこからでも、どのデバイスからでも、ブロードバンドインターネットを含む多様なWANトランスポートを介してアプリケーションにアクセスできます。アクセスの種類が増えたことで、効果的なセキュリティモデルのIT開発が複雑になっています。企業のセキュリティ境界が消滅すると、攻撃対象領域が拡大し、変化が激しくなります。これにより、脅威にさらされることを軽減するための高度なデータおよび脅威保護サービスの重要なニーズが大幅に高まります。

Arubaは、SD-WANの強さとクラウドで提供されるセキュリティサービスを組み合わせたSecure Access Service Edge(SASE)アーキテクチャでこれらの課題に対応しました。

Aruba EdgeConnect Platformは、クラウドで提供されるセキュリティサービスで業界をリードする統合と自動化を実現します。

セキュリティパートナー	サービス	統合
チェックポイント	ハーモニーコネクト	API統合
力点	クラウドセキュリティ	サービスオーケストレーション
iボス	クラウドセキュリティ	サービスオーケストレーション
マカフィー	統合クラウドエッジ	サービスオーケストレーション
ネットスコープ	新しいエッジSWG	サービスオーケストレーション
パロアルト	プリズマアクセス	サービスオーケストレーション
シマンテック	Webセキュリティサービス	サービスオーケストレーション
ズスケーラー	Zscalerインターネットアクセス	API統合

Aruba Orchestratorは、EdgeConnectアプライアンスと最も近いセキュリティサービスクラウドインスタンス間のデータプレーンIPsecトンネルの確立を自動化します。これは、完全なAPI統合（接続の確立がシングルエンドで、Orchestratorがパートナーサービスへの接続を手配する場合）またはService Orchestration （Orchestratorがパートナーサービスアクセスポイントのリストを取得してから接続を構築する場合）を使用して実行されます。

インターネット出力はBIO単位で設定されます。インターネット出力を設計するための一般的な推奨事項を以下に概説します。推奨事項は、特定のセキュリティ要件によって異なる場合があります。

*信頼できるトラフィックは、必要に応じて組み込みのゾーンベースのファイアウォールを使用して、企業ポリシーを満たすための最小限のセキュリティ検査で、直接インターネットに送信する必要があります。データセンターを介した出力トラフィックのバックホールは、ローカルインターネットが利用できない場合にのみ使用する必要があります。 *信頼できない、高リスク、または機密性の高いトラフィックは、追加検査のためにクラウドセキュリティソリューションに送信する必要があります。この出力トラフィックをデータセンター経由でバックホールする場合は、ローカルインターネットが利用できない場合にのみ実行する必要があります。 *ゲストトラフィックは、最小限のセキュリティ検査で直接インターネットに送信する必要があります。トラフィックのバックホールには高いコストがかかるため、ローカルのインターネット障害が発生した場合はバックホールを実行しないでください。特定の環境における重要なゲストトラフィックには例外が必要な場合があります。 *従来のセルラー接続は、バックアップインターネット出力と、特定のハイインパクトBIOにのみ使用する必要があります。広帯域幅でデータキャップのない最新の5Gセルラーバックアップを使用する場合は、主要なインターネットエグレス選択の一部としてそれらを使用することを検討してください。

インターネットのブレイクアウト

ゾーンベースファイアウォール

ゾーンベースファイアウォール(ZBFW)は、LANインターフェイスペア間、またはLANセグメントとインターネット間に適用できます。ZBFW機能は、First Packet IQを使用して、ポート/プロトコルに基づくL3/L4検査をサポートできます。

Intrusion Detection System（IDS；侵入検知システム）もサポートされています。トラフィックを監視して潜在的な脅威や悪意のあるアクティビティがないか確認し、構成されたルールに基づいて脅威イベント通知を生成します。パケットは、Cloud PortalからOrchestratorにダウンロードされた署名に対して検査されます。 Orchestratorは、許可リストに追加されたルールとともに署名ファイルをアプライアンスに送信します。トラフィックは、ファイアウォールゾーンで有効になっている一致ルールを使用して検査するように指定されます。

クラウド統合

このガイドは、SD-WAN設計の基盤を提供することを目的としています。クラウド統合の詳細な設計ガイダンスは、コンテンツの範囲外です。

基本設計では、クラウド統合の次の要素を考慮することが重要です。

EdgeConnectは、パブリッククラウドIaaSプロバイダー内の仮想プライベートクラウドにデプロイできます。

多くの大企業は、複数のパブリックIaaSプロバイダー内および複数のパブリックIaaSプロバイダー間でワークロードを持っています。EdgeConnectは、Equinix、Megaport、Alkiraなどの”Multi-Cloud-Hub”プロバイダーに展開できます。マルチクラウドハブプロバイダーは、異なるクラウドIaaSプロバイダー間を仲介し、プロバイダーごとに専用の相互接続サービスを使用して接続できます。

クラウド統合