EdgeConnect SD-WANブランチ設計
このセクションでは、ブランチのSD-WAN展開の設計とオーケストレーションの基本を説明し、ブランチネットワークの設計に固有の考慮事項を示します。
目次
設計の概要
この節では、ブランチネットワークの設計に必要なSD-WANゲートウェイ、スイッチ、およびアクセスポイントの設計の詳細について説明します。 分岐の設計要素には、次のものがあります。
- EdgeConnect SD-WANゲートウェイは、すべてのVLANのデフォルトゲートウェイを提供し、SD-WANファブリックおよびインターネットサービスへの接続も提供します。
- 無線APは、ブリッジモードで動作するため、ブランチに無線ゲートウェイが不要になり、インフラストラクチャデバイスの総数が削減されます。
- 有線アクセスは、6200/6300スイッチを積み重ねて提供されるため、管理が容易です。
- 折りたたまれたコアには、アクセスに対するマルチシャーシLAGを備えたVSXまたはVSFが提供され、大規模ブランチで帯域幅を効果的に使用するためのノンブロッキングレイヤ2ドメインが提供されます。
- VLAN間のセグメント化は、EdgeConnect SD-WANゲートウェイによって、役割ベースのポリシー、アプリケーション対応ポリシー、およびIPアドレスポリシーを使用して提供されます。
次のトポロジは、大規模ブランチおよび小規模ブランチのサンプルを示しています。
大規模ブランチトポロジ
小規模ブランチトポロジ
SD-WANゲートウェイ
このセクションでは、ブランチでのSD-WANゲートウェイ設計の詳細について説明します。
インライントポロジ
インラインは、EdgeConnect SD-WANアプライアンスを展開して、ブランチで2つ以上のネットワークセグメントを接続するための推奨される方法です。
“アプライアンス”は、WANとLANのネットワーク・セグメントの間に配置されるデバイスです。
インライン展開の場合、割り当てられたアプライアンスはローカルに接続されたサブネットのルーターとして機能し、ローカルトラフィックフローのパススルー機能を提供できます。パススルーに加えて、アプライアンスはOSPFまたはBGP（LAN側）およびBGP（WAN側）を使用して非EdgeConnect SD-WANデバイスとルートアップデートを交換し、さまざまなトポロジに対応できます。
アプライアンスをインラインに導入すると、通常、従来のブランチルーターに割り当てられた機能（NAT変換の実行、DHCPサーバーとしての動作、異なる接続タイプに合わせた多様なインターフェイスの提供など）を実行できます。
高可用性
ブランチでの高可用性(HA)は、EdgeHAと呼ばれる機能を使用して実現されます。EdgeHAは、WAN接続と機器の両方にフォールトトレランスを提供します。 ハイブリッドWAN”の古典的なSD-WANの使用は、複数のアンダーレイネットワーク（MPLS、インターネット、4Gなど）を介した顧客トラフィックのフローを可能にし、単一のアンダーレイネットワークが劣化やダウンタイムなどの問題を経験した場合の顧客トラフィックを維持するための有益な機能です。
下の図では、ブランチ展開が2つのEdgeConnectインスタンスを持ち、それぞれが2つの異なるアンダーレイネットワークへの1つのWANリンクで接続されていることを示しています。WAN側のスイッチは必要ありません。EdgeConnectアプライアンスは、各アンダーレイネットワークのトンネルが両方のアプライアンスに接続できるようにするEdgeHAリンクと相互接続されています。LAN側では、Virtual Router Redundancy Protocol（VRRP；仮想ルータ冗長プロトコル）や標準ルーティングプロトコルなどのプロトコルを使用して、お客様のトラフィックをEdgeConnectアプライアンスに転送します。
LANルーティングの統合
ブランチでは、LAN統合はレイヤ2またはレイヤ3になります。SD-WANゲートウェイがVLAN間のポリシー強制ポイントとして機能するようにするため、レイヤ2 LAN統合をお勧めします。
レイヤ3では、LANへのルートをアドバタイズする場合、スタンバイアプライアンスでOSPFメトリックを高く設定して、最初のアプライアンスが停止している間だけトラフィックが送信されるようにし、ECMPを回避します。これにより、フローの対称性が維持され、Boostなどの機能が正しく動作するようになります。
レイヤ2の場合は、すべての冗長リンクがポートチャネル接続されていることを確認します。 EdgeConnect SD-WANアプライアンスはスパニングツリーに参加しないため、BPDUガードなどのスパニングツリーループ防止メカニズムを有効にして、インターフェイスをスイッチポートに接続します。レイヤ2を使用する場合、ゲートウェイはすべてのVLANのデフォルトゲートウェイとして機能します。 ゲートウェイの冗長性を提供するには、VRRPを設定する必要があります。
WANルーティング統合:プロバイダー
MPLSなどのプライベート回線では、アンダーレイルーティングが必要かどうかを考慮することが重要です。 アンダーレイルーティングにより、SD-WANサイトと従来のサイト間のブランチ間の直接トラフィックフローが可能になり、将来的に使用される可能性があるSIPトランクなどのサービスをアンダーレイする到達可能性が高まります。
アンダーレイサービスが不要で、ブランチ間の通信が制限されている場合は、ブランチでプロバイダーのBGP接続を削除し、デフォルトルートを確立することを検討してください。これにより、すべてのスポークツースポークトラフィックがハブを通過します。
BGP隣接関係は、必要に応じて移行中も維持できますが、可能であれば、すべてのサイトがSD-WANソリューション上にある後にBGPを削除することをお勧めします。 これにより、MPLS回線がアンダーレイトンネルの確立にのみ使用され、すべてのトラフィックがオーバーレイにプッシュされます。
WANルーティング統合:オーバーレイ
オーバーレイWANルーティングを設計する際の主な目標は、目的の結果を達成しながら設計を簡素化することです。 Arubaは、各ブランチがサマリールートをアドバタイズし、そのブランチのプレフィックスをカバーすることを推奨します。 インターネット出力トラフィックとオーバーレイトンネルの確立のために、インターネット回線にスタティックデフォルトルートを設定する必要があります。
スイッチング
ほとんどのブランチネットワークのサイズでは、折りたたまれたコアトポロジを使用する必要があります。次のセクションでは、スイッチングインフラストラクチャの各レイヤで考慮すべき事項について説明します。 これらのトピックの多くは、VSGのCampus Designのセクションでより詳細に説明されています。
折りたたまれたコア
集約されたコアは、ネットワーク内のレイヤ3ポイントとして機能したり、VLANを終端したり、レイヤ2ポイントとして機能したりできます。 推奨される設計はレイヤ2で、デフォルトゲートウェイはEdgeConnect SD-WANゲートウェイに配置され、高度なポリシーを適用できます。小さなブランチでは、これが唯一のスイッチングブロックです。大規模なブランチでは、折りたたまれたコアがアクセススイッチとSD-WANゲートウェイを相互接続します。
シャーシの仮想化
折りたたまれたコアでシャーシ仮想化技術を選択することは、効果的な設計に不可欠です。CX 8000シリーズ・スイッチではVSXを実行し、CX 6000シリーズ・スイッチではVSFを実行します。
VSXは、制御プレーンと管理プレーンを分離することで回復性を向上させます。 また、VSXは、ブランチでのダウンタイムを回避するのに役立つインサービスソフトウェアアップグレード(ISSU)も可能にします。 VSXの主な課題は、CX 8000シリーズ・スイッチのすべてのポートがシャットダウン状態で出荷され、レイヤ3ポートとして構成されていることです。 VSXペアを展開するには、スイッチを中央に到達可能な状態に事前設定するために、ゼロタッチではなくワンタッチの手順が必要です。
CX 6000シリーズ・スイッチのデフォルトであるVSFは、コントロール・プレーン、データ・プレーン、管理プレーンを統合し、リカバリ性を若干低下させるが、管理を容易にします。通常、ソフトウェアのアップグレードには停止が必要です。VSFスタックにより、完全なゼロタッチプロビジョニングが可能になります。
アクセス
VSFスタッキングをサポートするAruba CXスイッチを使用して、ネットワーククローゼットの拡張を簡素化します。レイヤ2アクセスデザインの場合は、異なるVSFスタックメンバ上のアップリンクポートを使用し、1つを各MC-LAG設定の集約スイッチに割り当てます。これにより、アクセスレイヤから効率的でフォールトトレラントなレイヤ2帯域幅が確保されます。
802.1xの動的認証とネットワーク構成を許可するようにポートポリシーを構成して、Aruba ESPカラーレスポートを有効にします。
ループ保護、BPDUフィルタ、ルートガード、BPDU保護などのレイヤ2保護メカニズムを有効にします。
ワイヤレス
ワイヤレスアクセスは、ブリッジモードの展開を使用して提供されます。 このモードでは、APはWLANからのトラフィックを正しいユーザVLANにブリッジします。AP接続のスイッチポートでは、すべてのワイヤレスユーザVLANをトランクする必要があります。この展開モードの詳細については、VSGのWLAN Designのセクションを参照してください。
ゼロタッチプロビジョニング
ゼロタッチプロビジョニング(ZTP)は、ブランチにとって重要です。 多くの展開では、構成を持つすべての機器を事前に準備することは不可能であり、IT以外のリソースを呼び出して物理的な展開を行う必要があります。
EdgeConnect SD-WAN
ZTPを使用すると、EdgeConnect SD-WANアプライアンスはAruba Cloud Portalと通信できます。Cloud PortalはアプライアンスをOrchestratorにリダイレクトし、お客様のOrchestratorに登録します。これにより、オペレータによるデバイスのリモート構成や、YAMLファイルを使用したOrchestratorからの構成プッシュが可能になります。
ZTPに対応するには、ブランチでパブリックDNSを備えたインターネット回線をお勧めします。これにより、Cloud PortalおよびOrchestratorとの直接的で制限のない通信が可能になります。 ローカルインターネット回線を持たないサイトは、ZTPを使用できない可能性が高く、デバイスの事前設定が必要です。
EdgeConnect SD-WANアプライアンスは、ZTPプロセスに対応するために、管理VLAN to LANネットワークインフラストラクチャでDHCPを提供するように構成する必要があります。
スイッチングとワイヤレス
APとスイッチは、SD-WANゲートウェイからIPアドレスとドメインネームサーバー(DNS)情報を受信してから、Centralと通信する必要があります。SD-WANゲートウェイがオンラインになり、完全に機能したら、スイッチとAPを接続する必要があります。 SD-WANゲートウェイは、APとスイッチに次の項目を提供する必要があります。
- DHCPアドレス指定
- DHCPオプション3（ルータ）および5（ネームサーバ） – インターネットアクセス
管理
APとスイッチの管理はAruba Centralが行います。 SD-WANゲートウェイの管理は、Aruba Orchestratorによって処理されます。 両方のソリューションにはオンプレミスのオプションがありますが、クラウドでホストするオプションをお勧めします。
これらのプラットフォームは、管理とレポート作成を容易にする統合を提供し、今後もより完全に統合されます。 統合の詳細については、 Aruba SD-WAN Docsを参照してください。
セグメンテーションとポリシー
この項では、ブランチ内、WAN経由、およびインターネットへのトラフィックをセグメント化する方法について説明します。
分岐内の####
ブランチ内では、レイヤ2 VLANを使用してトラフィックをセグメント化します。 これにより、セグメンテーションのコースグレインレベルが提供されます。 VLAN内のデバイスは直接通信できますが、VLAN外の通信はSD-WANゲートウェイ間をルーティングする必要があります。
SD-WANゲートウェイは、すべてのVLANのデフォルトゲートウェイとして機能します。 SD-WANゲートウェイは、ゾーンベースのステートフルファイアウォール、IPS/IDS、およびロールベースのポリシーを提供して、VLAN間のトラフィックをフィルタリングします。
WAN経由の####
Orchestratorでは”セグメント”と呼ばれるVRF全体を使用して、レイヤ3分離と専用ルートテーブルを提供します。 ブランチのVLANはセグメントにマッピングされます。 一般的なセグメントには、ゲスト、IoT、および企業が含まれます。
インターネット
支店のインターネット出力デザインは非常に柔軟です。 オンボックスIPS/IDSとステートフルファイアウォールは、インターネット宛てのトラフィックのオンボックスポリシーに使用できます。 より高度なクラウドベースのフィルタリング統合を行うには、AxisやZscalerなどのSecure Serviced Edge(SSE)プロバイダーを使用します。
インターネット出力の設計は、要件によって異なります。 一般的なインターネットエグレス設計を以下に示します。
*ゲストBIOは直接インターネットにアクセスでき、オンボックスのポリシーは制限または適用されず、トラフィックをできるだけ速くネットワークから移動します。 *ビジネストラフィックは、さらにログとポリシーの適用を行うためにSSEに送信されます。 *コンプライアンスの対象となる可能性のある機密トラフィックは、集中管理されたDCにバックホールされ、追加のロギングと検査が行われます。 *その他のトラフィックは、インターネットに直接ルーティングされる前に、IPS/IDSおよび基本的なオンボックスポリシーの対象となります。
