27-Jan-25

EdgeConnect SDブランチデザイン

この節では、分岐設計の次の側面について説明します。

EdgeConnect SDブランチデザイン

ゼロタッチプロビジョニング

Zero Touch Provisioning(ZTP)は、ブランチゲートウェイを展開する場合に推奨される方法です。 ZTPはCentralと自動的に通信し、ユーザの操作を必要とせずにブランチのグループ設定をダウンロードします。ゲートウェイのグループ割り当ては、プロビジョニングの前にCentralで行われます。このため、管理者がゲートウェイをデフォルト・グループから移動したり、構成機能を実行したりしなくても、グループ構成を適用できます。

新しいブランチサイトを展開する場合は、ブランチのAPとスイッチがZTPプロセスを完了して、それらのグループ設定を受信できるようにするためには、ゲートウェイをプロビジョニングしてオンラインにする必要があることに注意してください。APとスイッチは、Centralと通信する前に、それぞれのゲートウェイからIPアドレッシングとDomain Name Server（DNS;ドメインネームサーバ）の情報を受信する必要があります。ゲートウェイがZTPを正常に実行するには、次の機能を提供するWANサービスに1つ以上のZTPポートを接続する必要があります。

DHCPアドレス指定
DHCPオプション3（ルータ）および5（ネームサーバ） – インターネットアクセス。

ブランチ間の整合性を確保し、必要なグループ数を減らすために、物理ポートはBGW間で整合性を保つ必要があります。目的は、可能な限り多くのブランチ構成で動作するポートの共通セットを選択することです。

WANアップリンクは、BGW上の任意のスイッチポートに接続できます。ただし、Gigabit Ethernet 0/0/1はOne Touch Provisioning(OTP)用に予約されています。

ゲートウェイが複数のWANサービスに接続されている場合は、成功するまで各サービス上でZTPの実行が試行されます。DHCPの検出メッセージに応答する最初のWANサービスが最初に選択されます。次の図は、いくつかの異なるフォームファクタ用にOTP用に予約されたインタフェースを示しています。

ZTP_Ports

サイト、クラスタリング、およびシステムIP

ブランチゲートウェイは、通常、単一のデバイスまたは冗長ペアとして導入されます。どちらの展開方法も、サイトに基づいてクラスタに自動的に配置されます。クラスタには、1つまたは2つのゲートウェイを含めることができます。自動クラスタリングは、サイトで最大2つのブランチゲートウェイに対してのみ機能します。冗長サイトと非冗長サイトの両方で、ゲートウェイがクラスタに配置されていない場合、アクセスポイントはゲートウェイにトンネルできません。両方のデバイスをサイトに配置し、自動的にクラスタ化することは常に重要です。

注意:
自動グループクラスタリングを使用しない。各サイトに一意のグループを割り当てる必要があります。これにより、標準構成の管理が非常に煩雑になります。

非冗長サイトと冗長サイトでは、システムIPアドレスの使用方法が若干異なります。

– 非冗長サイトでは、ゲートウェイはRadius、SNMP、トンネリングなどの機能の送信元としてシステムIPアドレスを使用します。詳細については、EdgeConnect SD-Branch Overviewを参照してください。
– 冗長構成では、VRRP Virtual IP(VIP)が必要で、RadiusおよびTACACS機能の送信元IPアドレスとして機能します。ゲートウェイは、VIPから発信されたすべてのCOAリクエストをプロキシします。システムIPアドレスは、トンネリングやクラスタ形成などの機能に使用されます。

LAN接続が中断され、ゲートウェイが相互に通信できない場合に、”スプリットブレイン”状態が発生することがあります。どちらのゲートウェイもプライマリ機能を引き受け、VIPを使用します。LAN接続が復元された後、二次クラスタメンバーはプライマリVIPの役割を引き継ぎなくなり、280年代以降はプライマリの役割を引き継ぎます。ゲートウェイには、直接または中継スイッチを介してレイヤ2接続が必要です。ゲートウェイは、フォールトトレランスのためにLACPも使用する必要があります。

WANの冗長性

ブランチゲートウェイが複数あり、WANトランスポートが制限されている環境では、ブランチサイトがオンサイトでWANドロップを制限することがよくあります。

管理者はアップリンク共有を利用できます。これにより、ブランチゲートウェイはDHCP状態を同期し、LANを介して各デバイス間でアップリンクを共有できます。各ブランチゲートウェイは、選択的なアップリンク、アップリンクなし、またはすべての利用可能なアップリンクを共有できます。アップリンクを共有する場合、各共有アップリンクに一意のVLANを使用することが重要です。たとえば、INETアップリンクはVLAN 4085で、MPLSアップリンクはVLAN 4086です。次に示すように、VLANは相互に共有できます。

Uplink_Sharing

管理者VLAN IDに基づいて、共有するアップリンクインターフェイスを識別します。管理者がアップリンクを共有せずにゲートウェイ間でDHCP状態の同期を利用する場合は、両方のゲートウェイでWANアップリンクに同じVLAN IDを使用します。次の図では、VLAN 4085がBGW1とBGW2の両方で使用されています。そのアップリンクも接続されています。この例では、WANアップリンクは共有されていません。

Uplink_Sharing

支店セキュリティ

ブランチゲートウェイは、次の機能を実装することで、外部および内部の脅威に対するサイトの最初の防衛線として機能できます。

Aruba Role-Based Stateful Firewall – ファイアウォールエイリアス、ALG、およびロールベースのポリシーを使用したスケーラブルな構成をサポートします。
Deep Packet Inspection - Qosmosのアプリケーションエンジンとシグニチャは、約3,500のアプリケーションを識別する機能を提供します。
Web Content, Reputation and Geo-location Filtering - WebRootの機械学習テクノロジは、数十億のURLのコンテンツ、レピュテーション、ジオロケーションを分類します。
Aruba Threat Defense(IPS/IDS) - ProofPointのThreat Intelligenceを搭載したAruba 9000シリーズゲートウェイは、すべてのブランチトラフィックに対してIDS/IPS機能を実行できます。詳細については、IPDS Guideを参照してください。

Arubaブランチゲートウェイで利用可能なセキュリティ機能を使用する前に、特に重要なビジネス資産(ユーザーグループ、POSシステム、アプリケーション（クラウドベースまたはオンプレミス）など)を特定することが重要です。包括的な保護要件とセキュリティ・プロトコルを定義する前に、資産を明確に特定する必要があります。

ブランチゲートウェイでは、アセットは宛先、サービス、および個々の役割によって明確に識別されます。

ネットワークエイリアスは、特定のホスト、特定のネットワーク、または組み合わせを識別および区別するために使用されます。
サービスエイリアスは、DHCP、FTP、SIPなどのサービスを識別および区別するために使用されます。
アプリケーションは明確に識別されるため、個別にターゲットを絞ることも、特定のセキュリティ操作を実行するためのグループとしてターゲットを絞ることもできます。例えば、ディープパケット検査は、YouTube、Facebook、Twitterなどの3000以上の一般的なアプリケーションのリストで実行できます。
役割は、エンドユーザーデバイスを識別および分類するために使用されます。アクセス制御リストとポリシーは、割り当てられたロールを使用して適用されます。

資産が明確に識別された後、組織はどの資産が互いに通信するかをマッピングする必要があります。例えば、従業員は日常業務を行うためにOffice 365やGoogle Workspaceとコミュニケーションを取る必要があります。フローを作成して、アセット間の接続をアウトライン化します。

次のステップは、資産とその通信フローに基づくポリシーの開発と実施です。ブランチゲートウェイは、地理位置フィルタリング、Web評判評価、侵入防止システム、アクセス制御リスト(ACL)の4つの方法を使用してポリシーを適用できます。

位置情報フィルタリング、Webレピュテーション、侵入防止システムを使用してポリシーを適用するには、ゲートウェイでファイアウォールの可視性、ディープパケット検査、およびWebコンテンツ分類(Webcc)機能が有効になっている必要があります。また、ジオロケーション・フィルタリングにはデフォルトで暗黙のデフォルト”allow all”があるため、不要な国をブロックするには追加の構成が必要です。

受信ポリシーと送信ポリシーの両方で悪意のあるURLをブロックするには、Webレピュテーションの設定を確立する必要があります。正当なWebサイトが誤って設定によってブロックされた場合は、許可されたURLのリストに個別に追加できます。管理者はログを使用して、Web評価に基づいてブロックされたURLを確認し、必要に応じてブロックを解除するURLを特定できます。

トラフィックの方向に応じて、異なる強制ルールが優先されます。ACLは、インターフェイスとロールに固有に適用でき、それぞれに適用の優先順位があります。

次の図では、ロールAにVLAN割り当てACLとルーティングポリシーが適用されています。ロール内のルートポリシーは、VLANに適用されるルートポリシーよりも優先されます。次のポリシーヒットは、トラフィックが悪意のあるものではないことを確認するためにトラフィックを検査するIPS/IDSです。組織のポリシー要件に応じて、ゲートウェイのIPSまたはIDSを有効にできます。IPS（防御）は悪意のあるトラフィックをブロックし、IDS（検出）は悪意のあるトラフィックのインスタンスをログに記録します。トラフィックが悪意のあるものと判断されない場合、トラフィックはGeo Filtering/Web Reputationシステムに続行されます。最後に、パケットはファイアウォールを介してNAT処理またはPAT処理され、WAN ACLにヒットします。

トラフィックがWANインターフェイスからゲートウェイに入ってくると、最初にヒットするポリシーはWAN ACLです。そこから、受信トラフィックはGeo Filtering/Web Reputationシステムを介してルーティングされます。トラフィックは次にNAT(1:1)にヒットし、次に検査のためにIPS/IDSに移動します。次に、トラフィックはグローバルルーティングポリシーにヒットします。これは、上の例とは少し異なります。最後に、トラフィックは最終的なACLとポリシーチェックのためにユーザロールにヒットします。

上の図は、ゲートウェイ内ではなく発信および着信に向かう強制ポイントを示しています。ゲートウェイ内では、各ユーザーロールはステートフルファイアウォールのインスタンスとして追跡されます。同じゲートウェイ内のロール間を通過するトラフィックは、同じゲートウェイ上であっても入力時に検査されます。信頼できないポートの追加のセキュリティについては、”信頼できるポート”のセクションで詳しく説明します。

次の例では、トラフィックを開始する役割（役割A）がステートフルなファイアウォールを通過します。ACLがロールに適用され、IPS/IDS検査が実行されます。トラフィックは宛先の役割（役割B）にルーティングされ、役割Bに対するACL強制を使用して、別のステートフルファイアウォールを通過する必要があります。

信頼されたポート

ゲートウェイの各ポートは、信頼できるポートまたは信頼できないポートとして構成できます。trustパラメータは、ゲートウェイが着信ユーザートラフィックを処理する方法を決定します。ポートまたはVLANが信頼できないものとして設定されている場合、ゲートウェイは各IPv4アドレスのユーザーセッションを追跡します。ユーザーデバイスには、着信および発信ユーザートラフィックに適用されるセッションACLを決定する定義済みの役割の1つが割り当てられます。各ポートとVLANの信頼構成は、ゲートウェイの役割と、そのポートに接続されているポートによって異なります。Arubaでは、VPNCおよびBGWポートに対して次の信頼設定を推奨しています。

VPNC – すべてのポートとVLANを信頼済みとして設定します。
BGW – すべてのWANポートとVLANを信頼済みとして設定します。
BGW – すべてのLANポートを信頼できないものとして設定します。

VPNC上のユーザーセッションを追跡する理由はないため、すべてのポートとVLANは信頼済みとして設定されます。これは、WANサービスに直接接続されているBGWおよびVPNCポートにも当てはまります。VPNCまたはBGWがパブリックWANサービスに直接接続されている場合、Arubaは、制限セッションACLを設定してポートに割り当て、すべてのBGW LANポートを信頼できないものとして設定することをお勧めします。これにより、内部IPv4アドレスのすべてのユーザーセッションのBGW追跡が行われます。各LAN/VLANには独自のAAAプロファイルが必要です。各AAAプロファイルは、MAC、802.1X、またはキャプティブポータル認証をトリガーし、初期ロール割り当てを決定できます。デバイスとユーザーの認証は完全にオプションです。

アルバSD-LAN

SD-WANが展開された後、LAN側はSD-LANとも呼ばれ、ブランチゲートウェイを設計する必要があります。一般的に、SD-LANの設計は、アプリケーションがオンサイトでホストされていない場合を除き、キャンパス[2層] (./../../010-campus-design/esp-campus-design-020-architecture/#two-tier-wired)および[3層] (./../../010-campus-design/esp-campus-design-020-architecture/#three-tier-wired)の設計と一致します。

このセクションでは、SD-WAN側とのLANの相互作用に焦点を当て、ブランチサイトでの展開がどのように影響を受けるかについて同じアーキテクチャを説明します。

L2とL3の境界

ブランチサイトを展開する場合、LANはブランチのサイズに応じて2方向に移動できます。組織は、ブランチゲートウェイの下からレイヤ2またはレイヤ3を使用することも、両方を組み合わせて使用することもできます。どちらの場合でも、一元化されたオーバーレイは、従来のセグメンテーション手法を活用できます。

2層/3層レイヤー2

– サイトのシンプルな展開が可能 – ブロードキャスト・ドメインの増加

BGWの設定を増やす必要がある（BGWがすべてのVLANのデフォルトゲートウェイになる） – スパニングツリーの複雑さを含む

3層レイヤ3（アクセスするためにBGWレイヤ2にルーティングされる）

– 規模を拡大 – ブロードキャスト・ドメインを削減 – スパニングツリーの複雑さを最小限に抑える – より多くのスイッチレベル設定が必要（スイッチはすべてのVLANのデフォルトゲートウェイ） – サイトのより複雑な展開（ポイントツーポイントルート）が必要

各展開タイプには利点と欠点があります。一般に、2層アーキテクチャを備えた小規模な支社サイトでは、レイヤ2を使用すると、規模の問題を最小限に抑えながら迅速にサイトを構築できます。

3層アーキテクチャを採用している場合は、レイヤ3の使用を検討する必要があります。レイヤ3は展開の複雑さを増しますが、大規模なL2ドメインで発生する可能性のあるスパニングツリーの複雑さを軽減します。

レイヤ2有線アクセス

この設計では、BGWはサイトにレイヤ2サービスを提供します。これらのスイッチはVLANを使用してセグメント化を行うため、同一のアクセススイッチ構成を実現し、設計の複雑さを軽減します。

設計上の配慮

（サイトクラスター）を使用するクラスターゲートウェイ。
Default-GWモードを有効にします。

– クラスタ形成、AP、およびスイッチトンネリングには、システムIPが必要です。

– 両方のゲートウェイが、VRRP通信用に設定されたすべてのVLANを介して相互に到達できる必要があります。

RADIUSはVRRPの仮想IPアドレスから発信されます。

– デフォルトゲートウェイモードを使用して、非対称ルーティングを防止します。トラフィックはVRRP優先メンバに固定され、バックアップメンバにフェールオーバーされます。

BGWは、DHCPサーバーまたは集中管理されたDHCPサーバーを指すことができます。

– スイッチングインフラストラクチャの容易なZTP

– 接続されたVLANをSD-WANオーバーレイに再配布する必要があります。

**非トンネルL2有線アクセス**

レイヤ2集中型オーバーレイ

次の設計では、集中型ファブリックとも呼ばれるユーザーベーストンネリング(UBT)を使用します。アクセススイッチとAPのトンネルクライアントをBGWに接続して、ユーザの役割を適用し、レイヤ3終端を行います。管理者は、クライアントに適用されるユーザーロールを利用して、ロールをロールポリシーに強制し、ディープパケット検査(DPI)を使用してWANポリシーを指定できます。たとえば、ゲストトラフィックを完全にセグメント化し、インターネット出力またはクラウドセキュリティプロバイダーに直接配信できます。

設計上の配慮

（サイトクラスター）を使用するクラスターゲートウェイ。
Default-GWモードを有効にします。 – クラスタ形成、AP、およびスイッチトンネリングには、システムIPが必要です。
RADIUSはVRRPの仮想IPアドレスから発信されます。 – デフォルトゲートウェイモードを使用して、非対称ルーティングを防止します。トンネルはVRRP優先メンバに送信され、トンネルはバックアップメンバにフェールオーバーします。 – ポリシーはBGWで適用される – ゲートウェイはL2集約ブロックに対してLACPトランクを実行し、すべてのトンネル化されたVLANをトランクする必要があります。ゲートウェイには、VRRPおよびクラスタ形成のためのL2隣接関係が必要です。 – 集約とアクセスの間のVLANは、トンネルされたVLANとは異なるVLAN IDとサブネットを持つ必要があります。(これらのVLANはトンネル接続できせん – すべてのデバイスが同じ管理VLAN上にある必要があります。このVLANはトンネルしないでください。 – アグリゲーションとBGWの間でLACPトランクを実行します。

L2_tunneled_ubt

レイヤ3有線アクセス

この設計では、集約スイッチがサイトのレイヤ3サービスを提供します。レイヤ2アクセススイッチは、集約スイッチにトランクされた複数のVLANを使用して、それらの間でVLANをマッピングします。集約スイッチは、各IPサブネットのIPデフォルトゲートウェイとして機能し、エンドデバイスにDHCPサービスを提供します。DHCPは、ヘッドエンドの場所またはデータセンターで集中化することもできます。レイヤ2アクセススイッチは、管理VLAN上のDHCPクライアントを使用して自身のIPアドレスを取得します。集約スイッチは、レイヤ3ポートを使用してBGWにルーティングされます。

設計上の配慮

– この設計ではクラスタリングは必要ありません。

– ゲートウェイはエッジルーター/ファイアウォールとしてのみ機能する必要があります。

OSPFを使用して、SD-WANオーバーレイにルートを再配布する必要があります。

**非トンネルL3有線アクセス**

集中型オーバーレイ

設計上の配慮

（サイトクラスター）を使用するクラスターゲートウェイ。
Default-GWモードを有効にします。 – クラスタ形成、AP、およびスイッチトンネリングには、システムIPが必要です。
RADIUSはVRRPの仮想IPアドレスから発信されます。 – デフォルトゲートウェイモードを使用して、非対称ルーティングを防止します。トンネルはVRRP優先メンバに送信され、トンネルはバックアップメンバにフェールオーバーします。 – ポリシーはBGWで適用される – ゲートウェイはL3集約ブロックに対してLACPトランクを実行し、すべてのトンネル化されたVLANをトランクする必要があります。ゲートウェイには、VRRPおよびクラスタ形成のためのL2隣接関係が必要です。 – 集約とアクセスの間のVLANは、トンネルされたVLANとは異なるIDとサブネットを持つ必要があります。(これらのVLANはトンネル接続できせん
OSPFは、LACPトランクからアグリゲーションおよびBGWの間で動作し、トンネル化されていないサブネットについて学習する必要があります。
OSPFは、トンネリングされたVLANを集約スイッチにアドバタイズする**NOT)。

Tunneled Access with Dynamic Segmentation

注:
レイヤ2またはレイヤ3 LAN展開では、ユーザーベースのトンネリングを有効にできます。この例では、レイヤ3アーキテクチャのみを使用しています。

一元化されたマルチサイトファブリック

以下の設計は、2つのブランチ展開を示しています。両方のブランチでユーザーロールが実装されています。両方のブランチで、役割の伝達が有効になり、WAN全体でポリシーが強制されます。役割の伝達は、ユーザーロールをVXLANのGBP(Group-Based Policy)タグにマッピングし、そのタグをIPSECでカプセル化することで実行されます。ファブリックではVXLANのGBPヘッダーのみが使用され、レイヤー2のペイロードは転送されません。

ロールの伝達を成功させるには、ユーザーロールの実装とゲートウェイによるユーザーロールの認識という2つの要素を考慮する必要があります。VLANマッピングや802.1xへの静的ユーザーロールなど、ユーザーロールを適用する方法はいくつかあります。さらに、ゲートウェイがユーザーの役割を正確に認識することが不可欠です。すべての場所で整合性を確保するには、グローバル・ポリシー・マネージャを使用します。

ユーザーロールを適用する方法は、マイクロセグメンテーションまたはVLANセグメンテーションがさまざまなサイトで有効になっているかどうかを判断できます。たとえば、VLANとユーザーロールの静的マッピングは次のようになります。ユーザーロール”MGMT”はVLAN 100にマッピングされます。したがって、ゲートウェイはVLAN 100上でトラフィックを受信するたびに、それを”MGMT”ユーザロールに関連付けます。WANポリシーを作成すると、特定のサブネットを指定する代わりに、WAN全体での管理ユーザーロール間の通信を許可できます。同様に、802.1xを使用するには、ゲートウェイが各ユーザロールに関連付けられたVLANを認識している必要があります。

もう1つの例は、User-Based Tunneling(UBT)によるマイクロセグメンテーションの利用です。このシナリオでは、各ユーザーは802.1xを使用して認証を行い、個別のユーザーロールを受け取ります。たとえば、User-Role-AとUser-Role-Bです。ゲートウェイは、VLANマッピングに依存する代わりに、トンネルを介して各ユーザの役割を認識します。この概念は、トンネリングされたSSIDにも及びます。各ユーザの役割には異なる名前が割り当てられているため、各ユーザの役割に異なるGroup-Based Policy（GBP;グループベースポリシー）タグを割り当てても、同じVLANに属することができます。これにより、ユーザーの役割がポリシーを適用して、ローカルブランチでマイクロセグメンテーションが可能になります。トラフィックがWANを通過すると、GBPタグによって宛先サイトでのポリシー適用が保証されます。

設計上の配慮

Gatewayデバイスのユーザーの役割を認識する必要があります。 – ブランチ内ポリシーがBGWで適用される – ブランチ間ポリシーは宛先ブランチで適用されます。
Global policy managerとNetConductorを使用して役割を定義します。この場合も、GBP-IDが設定されます。
VXLAN-GBPパケットはフラグメント化され、各ゲートウェイで再アセンブルされます。（MTUの変更は不要） – ポリシーは、有効なグループ内および有効なグループ間で適用されます。

Centralized_Multi_fabric

注:
この例は、ユーザーベースのトンネリングによるロールの伝達を示していますが、ロールの伝達を許可するためにUBTは必要ありません。