Aruba EdgeConnect SD-Branchソリューションの基礎
このセクションでは、Aruba Central、Gatewayデバイス、およびオーケストレーションの詳細を確認して、EdgeConnect SD-Branchコンポーネントの概要を示し、デバイス選択のガイダンスを提供します。
目次
アルバ・セントラル
Aruba Centralは強力なクラウドネットワーキングソリューションです。Aruba ESP(Edge Services Platform)の管理およびオーケストレーションコンソールとして、Centralはデバイス、ポリシー、およびテンプレートのクラウドベースの一元管理を提供し、グループベースの構成でブランチサイトの迅速な展開を可能にします。グループの詳細については、”Orchestrator and Group Design”セクションを参照してください。
Aruba Centralは、WANの健全性と最適化に関する重要な洞察を提供し、組織がユーザーごと、デバイスごと、またはアプリケーションごとのポリシーのトラフィックの最適なパスを決定するのに役立ちます。 履歴データレポート、PCIコンプライアンスの監視、地域およびグローバルな場所のトラブルシューティングはすべて、中央のダッシュボードで表示できます。
また、Aruba Centralは、必要に応じてIPsecトンネルの動的な構築とスケーリングを可能にするクラウドベースのOrchestratorもホストしています。
SD-WAN Orchestrator
SD-WAN Orchestratorは、ブランチゲートウェイ(BGW)とVPNコンセントレータ間のサイト間トンネルとルート伝搬を自動化します。 SD-WAN Orchestratorには、Overlay Tunnel Orchestrator(OTO)とOverlay Route Orchestrator(ORO)の2つのコンポーネントがあります。
Aruba SD-WAN Orchestratorは、次の機能を提供します。
- IPsecオーバーレイは、オーバーレイトンネルオーケストレーションを使用して自動的に作成されます。
- Overlay Route Orchestratorによって自動ルート伝達が管理されています。 ルートの再配布は、グループ設定レベルで実行できます。 – ハブプリファレンスを使用すると、管理者は、データセンターの動的ルーティングプロセスに変換されるルーティングコストを設定することで、あるハブサイトを別のサイトよりも優先させることができます。 – デバイスは、グループオーバーレイ構成を動的に採用し、トンネルを構築し、ルートポリシーを適用します。 – オーケストレーションには拡張性が組み込まれており、組織が堅牢でコスト効率の高いルーティング設計を構築するのに役立ちます。
このセクションでは、各Orchestratorコンポーネントの違いを確認し、2つのコンポーネントが連携してトンネルオーケストレーションを自動化する方法について説明します。
オーバーレイトンネルオーケストレーター
Overlay Tunnel Orchestratorは、デバイス間のIPsec構成を自動的に生成および管理し、デバイスがトンネルする場所を識別します。
Orchestratorは、インターフェイスのラベルを使用してトンネルを構築する場所を識別します。ラベルには、Aruba Central内のWANアップリンクページで設定されたアップリンクタイプとリンク名の組み合わせが含まれます。これにより、OrchestratorはインターフェイスIPアドレスを動的に取得して、ブランチゲートウェイとVPNコンセントレータ間にIPsecトンネルを構築できます。
現在利用可能なアップリンクタイプには、MetroEthernet、INET、MPLS、およびLTEがあります。インターフェイスに適用される両方のラベル（アップリンクタイプとリンク名）の組み合わせにより、インターフェイスがWANアップリンクとして識別されます。 WANアップリンクが識別されない場合、トンネルは構築されません。
BGWがヘッドエンドサイトへのトンネルを構築するには、アップリンクタイプが一致している必要があります。ただし、いくつかの注意事項があります。 アップリンクの命名では、MPLSアップリンクタイプは、構築するトンネルと同じアップリンクタイプおよびリンク名を持つ必要があります。INET、MetroEthernet、およびLTEのアップリンクタイプでは、同じリンク名を持つデバイスへのトンネルの構築が優先されます。ただし、条件が一致しない場合は、リンク名に関係なく、次に使用可能なINET、MetroEthernet、またはLTEのアップリンクタイプに対してトンネルが構築されます。 EdgeConnect SDブランチを展開する場合、デバイス間でトンネルを構築できるように、一貫した拡張可能な命名規則を維持することが重要です。
| 注: |
|---|
| VPNCはMPLSおよびINETアップリンクタイプのみをサポートします。ブランチゲートウェイがMetroEthernetまたはLTEアップリンクタイプを使用する場合、追加の一致基準としてアップリンク名を使用して、VPNCのINETアップリンクタイプに接続します。一致する名前がない場合、トンネルはVPNCの利用可能なINETアップリンクに対して構築されます。 |
| 注: |
|---|
| slow_INETにヘッドエンドと一致しないアップリンク名がありますが、INETアップリンクの種類により、2つのエンドポイント間にトンネルが作成されます |
オーバーレイルートオーケストレーター
Aruba Overlay Route Orchestratorを使用すると、ブランチとVPNコンセントレータ間でルーティング情報を配信できます。Control Connection Overlay Agent Protocol（OAP;コントロール接続オーバーレイエージェントプロトコル）を使用して、サイト間のルート配布を行います。OAPは各デバイス上で個別のプロセスで動作し、アンダーレイルーティングスタックと対話して、ルートをブランチやVPNコンセントレータに配布するRoute Orchestratorとプレフィクスを交換し、アドバタイズします。
Route Orchestratorは、ルートをSD-WANオーバーレイに再配布することでルーティング情報を学習します。 管理者は、1つ以上のルーティングソース（接続された、静的ルート、OSPF、BGP）を選択して、SD-WANオーバーレイに入るルートを決定できます。
Aruba Route Orchestratorの主な機能は次のとおりです。
ヘッドエンドおよびブランチサイトからのルートの学習
適切なコストでSD-WANネットワーク全体の広告ルート
適切なコストでLAN側にルートを再配布する。
Orchestratorとグループのデザイン
前の2つのセクションでは、Aruba Orchestratorのコンポーネントと、ユーザー入力に必要なパラメーターについて説明しました。ただし、ユーザーはSD-WANファブリックに持ち込まれたすべてのデバイスのパラメータを入力する必要はありません。 Orchestratorは、グループとデバイスレベルの構成に2層の階層を持つAruba Centralと連携して動作します。DNS、ルート再配布、WANアップリンク、およびその他のオプションの設定は、グループレベルで一度に定義されます。IPアドレスやホスト名などの特定の構成は、デバイス・レベルで必要です。
グループに入れられたデバイスは、構成パラメータがオンラインになるとすぐに継承されます。 これにより、管理者はグループを1回だけ構成できます。 グループを作成する場合、ファブリックに含めるルートと使用するインターフェイスを決定することが重要です。
デバイスの概要
ゲートウェイは、WAN接続のために物理的または仮想的に導入できます。Arubaは、ヘッドエンドゲートウェイとブランチゲートウェイの2種類のゲートウェイを使用します。
SD-WANファブリックの規模に応じて、同じモデルのデバイスをヘッドエンドゲートウェイまたはブランチゲートウェイにすることができます。ブランチゲートウェイとヘッドエンドゲートウェイの違いは、その機能または展開によって異なります。
ゲートウェイに加えて、アクセスポイントはSD-WANファブリックに参加できます。 これらはマイクロブランチアクセスポイントと呼ばれ、ブランチカテゴリに分類されます。 次のリストでは、マイクロブランチ、ヘッドエンド、ブランチ、および仮想ゲートウェイの定義と、デバイスが実行する役割について説明します。
VPNコンセントレータ(VPNC) - VPNコンセントレータは、ハブゲートウェイまたはヘッドエンドゲートウェイとも呼ばれ、ブランチゲートウェイ、マイクロブランチAP、およびVIAクライアントからのIPsecトンネルを終端するVPNコンセントレータとして機能します。ヘッドエンドは、接続された、静的な、OSPFまたはBGPプレフィックスの再配布を使用して、データセンターまたはキャンパス環境からブランチゲートウェイへのルートもアドバタイズします。
Virtual Gateways(VGW ) – 仮想ゲートウェイは、SD-WANオーバーレイサービスをパブリッククラウドインフラストラクチャに拡張します。仮想ゲートウェイはVPNコンセントレータとして機能し、ブランチゲートウェイ、インスタントAP、およびVIAクライアントからのトンネルを終端します。ハードウェアのVPNコンセントレータと同様に、仮想ゲートウェイはルーティング、セキュリティ、およびトンネリング機能をサポートします。仮想ゲートウェイは、Amazon Web ServicesとMicrosoft Azureでサポートされています。
| 注: |
|---|
| 物理ヘッドエンドゲートウェイと仮想ゲートウェイの使用に関する設計上の考慮事項については、ハブ設計のセクションで説明します。 |
Branch Gateways(BGW) – ブランチゲートウェイは、ヘッドエンドゲートウェイへのIPsecトンネルを終了する各リモートサイトのアプライアンスです。ブランチゲートウェイは、有線、無線、セキュリティ、およびルーティングを含むWANポリシーのポリシー適用ポイントとして機能することで、動的なセグメンテーションも提供できます。ゲートウェイ機能には、ステートフルファイアウォール、ウェブコンテンツ分類、ハイブリッドWAN接続、IPsec VPN、QoS、およびWANパスの監視と選択が含まれます。
マイクロブランチ – ヘッドエンドゲートウェイへのIPsecトンネルの構築をサポートするアクセスポイントを使用する非常に小規模なブランチ展開です。
次のトポロジの図は、WANトポロジでのゲートウェイとその配置を示しています。LANデバイスも表示されます。 ブランチサイトまたはヘッドエンドサイトのLAN側で必要な特定の種類のデバイスは、組織のニーズによって異なります。詳細については、”ハブとブランチ”の設計セクションを参照してください。
次の表に、ゲートウェイのスケール番号の一部を示します。スケール番号の詳細はthisを参照してください。
|プラットフォーム | 配置 | 最大IPsecトンネル数 | 最大ルート数 |ファイアウォールセッション | WANスループット | | ——– | ————– | ——————— | ————– | ——————————————– | —————— | | 7280 |ヘッドエンド | 8192 | 32,768 | 2百万 | 50 Gbps | | 7240XM |ヘッドエンド/ブランチ | 6144 | 32,768 | 2百万 | 30 Gbps | — | vGW-4G |ヘッドエンド | 8192 | 131,072 | 6百万 | 4 Gbps | | vGW-2G |ヘッドエンド | 4096 | 65,536 | 256k | 2 Gbps | | vGW-500M |ヘッドエンド | 1,600 | 2048 | 64k | 500 Mbps | | 7220 |ヘッドエンド/ブランチ | 24,576 | 16,384 | 2百万 | 21 Gbps | | 7210 |ヘッドエンド/ブランチ | 16,384 | 8192 | 2百万 | 8 Gbps | | 7030 |ヘッドエンド/ブランチ | 512 | 4096 | 65k | 2.6 Gbps | | 7024 |ヘッドエンド/ブランチ | 256 | 4096 | 64k | 2.6 Gbps | | 7010 |ヘッドエンド/ブランチ | 256 | 3840 | 64k | 2.6 Gbps | | 9012 |ヘッドエンド/ブランチ | 512 | 12K | 64k | 4 Gbps | | 9004 |分岐 | 512 | 12K | 64k
（2.3+で128k、IDPSは無効） | 4 Gbps | — —
| 注: |
|---|
| switchingおよびaccess pointsの詳細については、それぞれのデータシートを参照してください。 |
デバイスオンボード
ゲートウェイをオンボードする方法には、ワンタッチプロビジョニング(OTP)、ゼロタッチプロビジョニング(ZTP)、およびインストーラアプリケーションの3つがあります。すべての方法を組み合わせて使用できますが、ブランチサイトを設定する場合は、一貫した展開手順を使用することをお勧めします。
OTPとZTPの両方で、Centralでのオンボーディング後にゲートウェイを適切なグループに配置して設定する必要があります。インストーラアプリは、オンボーディング中にオンボードデバイスを自動的に適切なグループに配置します。
One Touch Provisioningは、通常、接続されたアップリンク（通常はヘッドエンドサイトまたはブランチサイト）でDHCPを使用できないサイトで使用されます。ワンタッチプロビジョニングでは、CLIまたはWeb UIを使用してゲートウェイのアップリンクを設定し、インターネットに接続できるようにする必要があります。 その後、残りの構成については、ゲートウェイがCentralサーバに送信されます。
Zero Touch Provisioningは、DHCPが利用可能な展開に適しています。 ゲートウェイは、DHCPを受信した後、その設定のためにCentralに到達します。
インストーラアプリケーションを使用すると、権限を持つインストーラがグループを選択し、選択したグループに追加する新しいデバイスをスキャンできます。管理者は、インストーラがアクセスを許可されているデバイスグループを指定する必要があります。
システムIP
システムIP(system-ip)は、VPNCまたはBGWとして動作する各ゲートウェイの重要な構成要素です。1つのVLANインターフェイスをシステムIPとしてオンボーディングする場合。デフォルトでは、Aruba Gatewayはこのインターフェイスを使用して、RADIUS、syslog、TACACS+、SNMPなどのネットワークサービスと通信します。各ゲートウェイのsystem-ipに対して選択されたVLANインターフェイスには、ゲートウェイが完全に機能するようにIPv4アドレスが割り当てられている必要があります。割り当てられたVLANインターフェイスがアクティブで動作していない限り、ゲートウェイは完全に初期化できません。Centralでは、ゲートウェイがシステムIPとしてDHCPまたはPPPoEを使用してインターネットサービスプロバイダから動的にアドレス指定を取得することはできません。
ゲートウェイプールを使用すると、システムのIPアドレスを専用VLANインターフェイスに自動的に割り当てることができます。このインターフェイスはシステムのIPアドレスとして指定されます。各プールには、開始IPv4アドレスと終了IPv4アドレスに加えて一意の名前が含まれています。各プールに定義されたアドレスの範囲は重複できません。IPアドレスはグループ単位でVLANインターフェイスに設定および適用されるため、Arubaではグループごとに1つのゲートウェイプールを設定することをお勧めします。ゲートウェイプールには、グループに割り当てられたすべてのArubaゲートウェイをサポートするのに十分なIPv4アドレスが含まれている必要があります。グループは複数のゲートウェイプールをサポートできますが、特定のIPアドレスは動的に適用しないでください。
セキュリティ機能
EdgeConnect SD-Branchのセキュリティは、オペレーティングシステムの強化から、最高のセキュリティパートナーとの統合まで、レイヤーで構築されています。ArubaOSは、ゲートウェイとマイクロブランチで動作し、次の機能を含む強固なプラットフォームです。
- AES 256暗号化 – 暗号化はSD-WANオーバーレイトンネルに使用されます。
Aruba Role-Based Stateful Firewall – ファイアウォールエイリアス、ALG、およびロールベースのポリシーを使用したスケーラブルな構成をサポートします。
Aruba ESPソリューションは、ClearPass（またはその他のAAAサーバ）と統合して、真のポリシー駆動型ブランチを形成できます。このモデルでは、ポート、VLAN、およびIPアドレスに基づいてこれらのポリシーを手動で割り当てる従来の方法とは対照的に、ユーザー、デバイス、およびアプリケーションに基づいてポリシーが動的に割り当てられます。ClearPass Exchange programで140社以上のパートナーと統合することで、Aruba ESPの累積的なAI/ML-driven Client Insightsを活用し、ポリシー主導型ブランチをさらに強化できます。